Il decreto legislativo 10 marzo 2023, n. 24 — attuazione della Direttiva (UE) 2019/1937 — definisce il quadro italiano di protezione del segnalante e di organizzazione dei canali di segnalazione.[1] Per i team di compliance, HR, legal e procurement la domanda utile non è solo “siamo obbligati?”, ma anche cosa deve funzionare ogni giorno quando arriva una segnalazione.
Questo testo ha finalità informative, non è consulenza legale e non determina se un soggetto specifico è obbligato. Disclosurely è software, non un’autorità pubblica né una garanzia di conformità.
Direttiva UE e decreto italiano
La Direttiva crea la cornice europea. Il D.Lgs. 24/2023 è la norma nazionale rispetto alla quale valutare il modello italiano.[1][2] Non basta un’etichetta generica “conforme alla direttiva UE”.
Nella pratica conviene separare quattro livelli:
| Livello | Domanda operativa | Cosa non risolve da solo il software |
|---|---|---|
| Diritto e governance | Il soggetto ha obbligo e quale procedura vale? | Interpretazione normativa e responsabilità |
| Canale di segnalazione | Come il segnalante trasmette l’informazione in modo sicuro? | Contenuto della policy e scelte organizzative |
| Gestione del caso | Chi ha accesso, chi fa follow-up e chi decide? | Valutazione nel merito della violazione |
| Documentazione | Come registrare azioni, decisioni e accessi? | Motivazione delle decisioni senza lavoro del team |
Soglia dei 50 dipendenti e Modello 231
Per il settore privato, l’obbligo di istituire canali interni è tipicamente collegato a una media di almeno 50 dipendenti nell’anno precedente, con contratti a tempo indeterminato o determinato.[1] Collaboratori e rapporti diversi dal lavoro subordinato possono rientrare tra i soggetti protetti senza necessariamente contare nella soglia: il calcolo concreto va verificato con consulenza.
Separatamente, l’adozione di un Modello organizzativo ex D.Lgs. 231/2001 può rendere necessario un canale allineato al D.Lgs. 24/2023 anche sotto soglia.[1][3] Non è una scorciatoia commerciale del tipo “sotto 50 = nessun canale”.
Soggetti privati con media non superiore a 249 lavoratori possono, nei limiti previsti, condividere il canale e la relativa gestione, con sotto-canali autonomi e responsabile designato per ciascun ente; in caso di condivisione restano rilevanti anche i ruoli privacy (titolari congiunti).[1]
Chi può segnalare e perché la confidenzialità conta
La protezione riguarda un ventaglio ampio di persone legate al contesto lavorativo, non solo i dipendenti.[1] Un buon processo non prova a risolvere nello stesso momento lo status giuridico del segnalante e la ricezione dell’informazione. Dovrebbe invece garantire:
- un modo chiaro di inviare la segnalazione;
- accesso limitato a ruoli autorizzati;
- possibilità di chiedere chiarimenti;
- registro ordinato delle azioni successive;
- comunicazione coerente con la procedura adottata.
Anonimato e confidenzialità non sono la stessa cosa
La confidenzialità dell’identità del segnalante è un obbligo di processo. L’anonimato è una scelta di disegno del canale (e del modello organizzativo) che può rafforzare la fiducia, ma non sostituisce i controlli di accesso. Per approfondire: Segnalazioni anonime e confidenzialità.
Domande prima di scegliere un software whistleblowing
| Area | Domanda al proprietario del processo |
|---|---|
| Responsabilità | Chi riceve, chi gestisce il follow-up, chi supervisiona? |
| Accesso | Quali ruoli vedono contenuto, allegati e dati identificativi? |
| Comunicazione | Come si fanno domande senza usare caselle email personali? |
| Classificazione | Come si distinguono segnalazioni di contesto normativo, etica e altre pratiche HR? |
| Documentazione | Come si registrano decisioni, prove e permessi? |
| Privacy | Minimizzazione, conservazione, ruoli titolare/responsabile? |
| Modalità | Scritto e orale sono entrambi supportati dal processo? |
Per le modalità scritte e orali nel contesto ANAC, vedi Canali interni ANAC: scritto e orale. Per criteri di acquisto: Come scegliere software whistleblowing.
Ruolo del software
Una piattaforma può facilitare ricezione sicura, ruoli, messaggistica a due vie, assegnazione del caso, traccia di audit ed esportazioni. Non sostituisce procedura, owner, formazione né valutazione legale. I requisiti di acquisto migliori descrivono meccanismi verificabili, non etichette vaghe di conformità.
Fonti
[1] D.Lgs. 10 marzo 2023, n. 24 — Normattiva.