Le Linee guida ANAC n. 1 (delibera n. 478 del 26 novembre 2025) sono un riferimento operativo per configurare i canali interni di segnalazione.[1] Il loro impatto è concreto: un canale non allineato agli artt. 4 e 5 del D.Lgs. 24/2023 espone l’ente a rischio sanzionatorio.[2]
Per quando scatta l’obbligo in Italia, parti da D.Lgs. 24/2023 e canale interno.
Guida informativa per valutazione di processo e software, non consulenza legale. Le regole cambiano: verifica con consulenza qualificata prima del rollout.
Principio di base: entrambe le modalità
ANAC è esplicita: il canale interno deve garantire forma scritta e forma orale. Non è ammesso adottarne una sola. Il canale deve anche essere facilmente accessibile alle persone legittimate a segnalare, inclusi consulenti, volontari e altri non dipendenti.[1][2]
L’atto organizzativo o il Modello 231 devono regolare ricezione e gestione di entrambi i tipi di segnalazione.
Segnalazioni scritte: piattaforme, email e protocollo cartaceo
Preferenza per piattaforme IT dedicate
ANAC esprime una preferenza per piattaforme IT perché consentono misure di sicurezza più robuste, tra cui:
- cifratura dei dati a riposo;
- interazione confidenziale con il segnalante tramite codice identificativo;
- tracciabilità documentata di ricezione e gestione;
- allineamento a privacy by design / by default (art. 25 GDPR).
Le piattaforme aiutano anche a strutturare scadenze di processo (avviso di ricezione, riscontro) e a limitare l’accesso al personale autorizzato. Per criteri di acquisto vedi Come scegliere software whistleblowing.
Email da sola non basta
ANAC e il Garante convergono: email ordinaria o PEC non è adeguata da sola a garantire la confidenzialità dell’identità del segnalante.[1][3] I sistemi di posta generano log che possono rivelare indirettamente chi segnala, soprattutto con account di lavoro. Se si usa email, servono contromisure specifiche e motivate nella DPIA.
Protocollo a doppia busta
In attesa di strumenti digitali, o per enti non ancora attrezzati, può usarsi il protocollo a doppia busta:
- prima busta: dati identificativi del segnalante;
- seconda busta: contenuto della segnalazione;
- entrambe in una terza busta sigillata, “riservata”, destinata al gestore del canale.
Per soggetti tenuti al CAD questa soluzione va considerata extrema ratio.
Non tracciabilità dalle reti interne
Se il canale è accessibile dalla rete interna dell’ente, va garantita la non tracciabilità del segnalante al momento della connessione, sia a livello di piattaforma sia sui dispositivi di trasmissione (firewall, proxy).[1][3]
Segnalazioni orali: telefono, messaggi vocali e incontro
La forma orale può esercitarsi tramite canali previsti dall’art. 4(3) del D.Lgs. 24/2023 (linea telefonica, sistema di messaggistica vocale, incontro diretto su richiesta).[2] Il processo deve chiarire:
- come si registra o trascrive l’incontro (con consenso ove richiesto);
- chi conserva l’audio/trascrizione;
- come si collega l’orale allo stesso flusso di gestione del caso della forma scritta.
Un software whistleblowing tipicamente supporta meglio la parte scritta e la gestione del caso; l’orale richiede comunque procedure e ruoli organizzativi chiari.
Chi può gestire il canale
Un’unità interna autonoma con personale formato, oppure un soggetto esterno autonomo con personale formato. L’autonomia tutela l’imparzialità. I provider esterni agiscono di solito come responsabili del trattamento (art. 28 GDPR).[1][3]
Tempistiche di processo da monitorare
| Evento | Tempistica tipica di riferimento |
|---|---|
| Avviso di ricezione | Entro 7 giorni dalla ricezione |
| Riscontro | Entro 3 mesi dall’avviso (o dalla scadenza dei 7 giorni) |
| Inoltro se ricevuta da non competente | Entro 7 giorni al gestore competente |
Queste scadenze sono controlli di processo: il software può ricordarle, ma non le “compie” al posto del team.
Domande utili in procurement
- Il fornitore mostra sia ricezione scritta strutturata sia collegamento a un flusso orale documentato?
- Come si limita l’accesso e si registra chi ha visto cosa?
- Come funziona il follow-up senza email ordinaria?
- Quale documentazione privacy (DPIA, misure, ruoli) viene fornita a supporto — restando la responsabilità in capo all’ente?
Per privacy e antiretaliazione: Garante, privacy e antiretaliazione.
Fonti
[1] Linee guida ANAC n. 1 — canali interni di segnalazione (del. 478/2025).