D.Lgs. 24/2023: la normativa sul whistleblowing in Italia #

L’Italia ha recepito la Direttiva (UE) 2019/1937 con il Decreto Legislativo 10 marzo 2023, n. 24. Le sue disposizioni hanno effetto dal 15 luglio 2023. Il decreto obbliga gli enti pubblici e gli enti privati con una media di almeno 50 lavoratori subordinati ad attivare un canale di segnalazione interna. Lo stesso obbligo vale, a prescindere dalle dimensioni, per gli enti che hanno adottato un Modello 231 e per alcuni settori regolati dal diritto dell’Unione. Il decreto protegge inoltre chi segnala da qualsiasi ritorsione.

Il D.Lgs. 24/2023 in sintesi #

Legge applicabile #

• Decreto Legislativo 10 marzo 2023, n. 24 — testo vigente su Normattiva
• Linee guida ANAC sulle segnalazioni esterne (delibera n. 311 del 12 luglio 2023, aggiornata con delibera n. 479/2025)
• Linee guida ANAC n. 1/2025 sui canali interni di segnalazione (delibera n. 478 del 26 novembre 2025)

Chi deve attivare un canale di segnalazione interna #

Settore privato. L’art. 2, comma 1, lett. q) individua tre gruppi di enti obbligati:

1. gli enti che nell’ultimo anno hanno impiegato una media di almeno 50 lavoratori subordinati, con contratto a tempo indeterminato o determinato;
2. gli enti che rientrano negli atti dell’Unione delle parti I.B e II dell’allegato al decreto, anche sotto i 50 lavoratori. Sono gli atti su servizi, prodotti e mercati finanziari e prevenzione del riciclaggio e del finanziamento del terrorismo, più alcuni atti sulla sicurezza dei trasporti (aviazione civile e trasporto marittimo) e sulla sicurezza delle operazioni in mare nel settore degli idrocarburi;
3. gli enti che rientrano nel D.Lgs. 231/2001 e adottano un Modello 231, anche sotto i 50 lavoratori.

Per il calcolo della media, l’ANAC fa riferimento all’ultimo anno solare precedente a quello in corso e al valore medio degli addetti riportato nella visura camerale. Per le imprese di nuova costituzione si considera l’anno in corso (Linee guida, delibera n. 311/2023, § 1.3).

Il Modello 231 deve prevedere i canali di segnalazione interna (art. 4, comma 1, e art. 6, comma 2-bis, del D.Lgs. 231/2001, come sostituito dall’art. 24, comma 5).

Settore pubblico. L’obbligo vale per tutti i soggetti del settore pubblico definiti all’art. 2, comma 1, lett. p), senza soglia di dimensione. Dove è previsto il responsabile della prevenzione della corruzione e della trasparenza (RPCT), la gestione del canale spetta a lui (art. 4, comma 5).

Cosa si può segnalare #

Il decreto protegge chi segnala violazioni di norme nazionali o dell’Unione europea che ledono l’interesse pubblico o l’integrità dell’ente, apprese nel contesto lavorativo (art. 1, comma 1). L’art. 2, comma 1, lett. a) elenca sei categorie:

1. illeciti amministrativi, contabili, civili o penali;
2. condotte illecite rilevanti ai sensi del D.Lgs. 231/2001 o violazioni dei Modelli 231;
3. illeciti negli ambiti degli atti dell’Unione indicati nell’allegato: appalti pubblici, servizi finanziari e antiriciclaggio, sicurezza dei prodotti, sicurezza dei trasporti, tutela dell’ambiente, radioprotezione e sicurezza nucleare, sicurezza degli alimenti e benessere degli animali, salute pubblica, protezione dei consumatori, privacy e sicurezza delle reti;
4. atti od omissioni che ledono gli interessi finanziari dell’Unione;
5. violazioni che riguardano il mercato interno, comprese concorrenza, aiuti di Stato e imposta sulle società;
6. atti o comportamenti che vanificano l’oggetto o la finalità delle norme dell’Unione nei settori dei punti 3, 4 e 5.

Dal 24 gennaio 2026 il decreto copre anche le segnalazioni di violazioni delle misure restrittive dell’Unione europea previste dal codice penale e dall’art. 12, comma 1-bis, del D.Lgs. 286/1998 (art. 1, comma 1, modificato dal D.Lgs. 30 dicembre 2025, n. 211). Si possono segnalare anche i fondati sospetti e le condotte volte a nascondere una violazione (art. 2, comma 1, lett. b).

Nel settore privato la protezione dipende dal tipo di ente (art. 3, comma 2):

Gli illeciti di solo diritto nazionale (punto 1) rientrano nel decreto solo per il settore pubblico (art. 3, comma 1). Un ente privato può aprire il proprio canale anche ad altre segnalazioni. Secondo l’ANAC, le segnalazioni fuori dall’ambito del decreto possono essere trattate come segnalazioni ordinarie (Linee guida n. 1/2025, § 3.5).

Sono esclusi (art. 1, commi 2 e 3):

• le contestazioni e le richieste di interesse personale che riguardano solo il proprio rapporto di lavoro o i rapporti con i superiori;
• le violazioni già disciplinate in via obbligatoria dagli atti della parte II dell’allegato;
• le violazioni in materia di sicurezza nazionale e di appalti per la difesa o la sicurezza nazionale, salvo che rientrino nel diritto dell’Unione.

Restano ferme le norme su informazioni classificate, segreto professionale forense e medico e segretezza delle deliberazioni degli organi giurisdizionali.

Chi è protetto #

L’art. 3, comma 3, protegge chi segnala informazioni apprese nel proprio contesto lavorativo, in particolare:

• i lavoratori subordinati, pubblici e privati, compresi quelli con i contratti del D.Lgs. 81/2015;
• i lavoratori autonomi, i collaboratori, i liberi professionisti e i consulenti;
• i lavoratori e i collaboratori dei fornitori di beni, servizi e opere;
• i volontari e i tirocinanti, anche non retribuiti;
• gli azionisti e le persone con funzioni di amministrazione, direzione, controllo, vigilanza o rappresentanza, anche di fatto.

La tutela vale anche durante la selezione, durante il periodo di prova e dopo la fine del rapporto, per le informazioni apprese nel corso del rapporto (art. 3, comma 4). Si estende ai facilitatori, ai colleghi con un rapporto abituale, ai parenti entro il quarto grado e alle persone con un legame affettivo stabile nello stesso contesto lavorativo, e agli enti di proprietà del segnalante o per cui lavora (art. 3, comma 5).

La persona è protetta se, al momento della segnalazione, aveva fondato motivo di ritenere che le informazioni fossero vere e rientrassero nell’ambito del decreto, e se ha usato i canali previsti (art. 16, comma 1). I motivi personali della segnalazione sono irrilevanti (art. 16, comma 2). La tutela viene meno se è accertata, anche con sentenza di primo grado, la responsabilità penale del segnalante per diffamazione o calunnia, o la sua responsabilità civile per lo stesso titolo, nei casi di dolo o colpa grave. In quel caso è irrogata anche una sanzione disciplinare (art. 16, comma 3).

Le ritorsioni si comunicano all’ANAC, che può avvalersi dell’Ispettorato nazionale del lavoro (art. 19, commi 1 e 2).

Requisiti del canale interno #

• Sindacati. Il canale si attiva “sentite” le rappresentanze o le organizzazioni sindacali di cui all’art. 51 del D.Lgs. 81/2015 (art. 4, comma 1). Per l’ANAC il coinvolgimento è informativo e il parere non è vincolante. L’informativa va inviata prima di approvare l’atto organizzativo o l’aggiornamento del Modello 231: alle RSA o alla RSU, oppure, se mancano, alle organizzazioni territoriali dei sindacati più rappresentativi. Senza questo passaggio la procedura non è conforme ed è sanzionabile (Linee guida n. 1/2025, § 2.1).
• Riservatezza. Il canale garantisce, anche con strumenti di crittografia, la riservatezza dell’identità del segnalante, della persona coinvolta e delle persone menzionate, e del contenuto della segnalazione (art. 4, comma 1).
• Chi lo gestisce. Una persona o un ufficio interno autonomo e dedicato, con personale specificamente formato, oppure un soggetto esterno, anch’esso autonomo e formato (art. 4, comma 2). Per l’ANAC il gestore non deve trovarsi in conflitto di interessi. Con un gestore esterno serve un contratto che ne fissi compiti e poteri; il gestore può trattare i dati come responsabile del trattamento ai sensi dell’art. 28 GDPR (Linee guida n. 1/2025, § 3.4).
• Forma scritta e orale. Le segnalazioni si fanno in forma scritta, anche informatica, oppure orale, tramite linee telefoniche o messaggistica vocale. Su richiesta del segnalante si fissa un incontro diretto entro un termine ragionevole (art. 4, comma 3). L’ANAC precisa che l’ente deve garantire entrambe le forme e che il segnalante deve poter scegliere (Linee guida n. 1/2025, § 2.2).
• Strumenti. L’ANAC preferisce le piattaforme informatiche. Considera la posta elettronica, ordinaria o certificata, di per sé non adeguata a proteggere l’identità del segnalante, se non accompagnata da contromisure specifiche (Linee guida n. 1/2025, § 2.2).
• Segnalazioni anonime. Il decreto non obbliga ad accettarle. Le tutele valgono anche per chi ha segnalato in forma anonima, se viene identificato in seguito e subisce ritorsioni (art. 16, comma 4). L’ente può trattarle come segnalazioni ordinarie, se le sue regole lo prevedono, ma deve registrarle e conservarne la documentazione (Linee guida ANAC n. 311/2023, § 2.2, e n. 1/2025, § 3.5). Vedi anche la differenza tra segnalazione anonima e riservata.
• Segnalazione arrivata alla persona sbagliata. Va trasmessa al gestore entro sette giorni, informando il segnalante (art. 4, comma 6).
• Informazioni al personale. Informazioni chiare sul canale interno, sulle procedure e sui presupposti per segnalare, e sul canale esterno. Vanno esposte nei luoghi di lavoro, rese accessibili anche a chi non li frequenta e pubblicate in una sezione dedicata del sito, se l’ente ne ha uno (art. 5, comma 1, lett. e).
• Protezione dei dati. L’ente definisce il proprio modello di gestione delle segnalazioni sulla base di una valutazione d’impatto sulla protezione dei dati e regola i fornitori esterni con un contratto ai sensi dell’art. 28 GDPR (art. 13, comma 6). Fornisce le informative privacy al segnalante e alle persone coinvolte (art. 13, comma 4). I dati manifestamente inutili non si raccolgono o si cancellano subito (art. 13, comma 2). Vedi anche GDPR e segnalazioni whistleblowing.

Termini e gestione della segnalazione #

Per l’ANAC l’avviso di ricevimento è solo informativo e non comporta alcuna valutazione del contenuto. Il gestore verifica poi che il segnalante sia legittimato e che i fatti rientrino nell’ambito del decreto (Linee guida n. 1/2025, § 3.5). Nel frattempo mantiene il dialogo con il segnalante, può chiedere integrazioni e dà diligente seguito alla segnalazione (art. 5, comma 1, lett. b e c). La persona coinvolta può essere sentita e, se lo chiede, deve esserlo (art. 12, comma 9).

Il decreto non prevede proroghe del termine di riscontro per il canale interno. Per il canale esterno l’ANAC può arrivare a sei mesi, se ricorrono giustificate e motivate ragioni (art. 8, comma 1, lett. f). Per l’ANAC il termine interno non è perentorio, perché alcuni accertamenti possono richiedere più tempo, ma resta fermo l’obbligo di comunicare l’esito dell’istruttoria (Linee guida n. 1/2025, § 3.5).

Riservatezza e conservazione #

Riservatezza (art. 12). Le segnalazioni non si usano oltre quanto necessario per darvi seguito. L’identità del segnalante, e ogni informazione da cui si può dedurre, non si rivela senza il suo consenso espresso a persone diverse da quelle competenti e autorizzate. Le regole speciali sono queste:

• nel procedimento penale l’identità è coperta dal segreto nei limiti dell’art. 329 c.p.p.;
• davanti alla Corte dei conti non si rivela fino alla chiusura dell’istruttoria;
• nel procedimento disciplinare, se la contestazione si fonda sulla segnalazione e l’identità è indispensabile per la difesa, la segnalazione si usa solo con il consenso espresso del segnalante. Il segnalante riceve una comunicazione scritta delle ragioni.

L’identità delle persone coinvolte e menzionate è tutelata fino alla conclusione dei procedimenti. La segnalazione è sottratta all’accesso agli atti e all’accesso civico.

Conservazione (art. 14). Le segnalazioni e la relativa documentazione si conservano per il tempo necessario al trattamento e comunque non oltre cinque anni dalla comunicazione dell’esito finale della procedura. Le segnalazioni orali si documentano così:

• linea telefonica o messaggistica vocale registrata: con il consenso del segnalante, registrazione o trascrizione integrale;
• linea non registrata: resoconto dettagliato della conversazione;
• incontro diretto: con il consenso del segnalante, registrazione o verbale.

Il segnalante può verificare, rettificare e confermare con la propria firma la trascrizione, il resoconto o il verbale.

Canale condiviso e gruppi societari #

Canale condiviso. Gli enti privati con una media fino a 249 lavoratori possono condividere il canale di segnalazione interna e la sua gestione. Lo stesso vale per i comuni che non sono capoluoghi di provincia (art. 4, comma 4). Gli enti che condividono le risorse fissano con un accordo interno le rispettive responsabilità privacy (art. 13, comma 5). Per l’ANAC la condivisione non toglie a ciascun ente l’obbligo di garantire la riservatezza, di valutare i fatti e di dare riscontro. Ogni ente nomina un proprio gestore e vede solo le proprie segnalazioni (Linee guida n. 1/2025, § 3.4.3).

Gruppi societari. Il decreto non regola i gruppi. Secondo l’ANAC (Linee guida n. 1/2025, Approfondimento 2):

• la soglia di 249 lavoratori si calcola per singola società, non per gruppo;
• le società fino a 249 lavoratori possono condividere il canale, per esempio con una piattaforma unica divisa in sottocanali autonomi, una per società. Il dialogo con il segnalante resta compito della singola società;
• le società sopra 249 lavoratori non possono condividere il canale. Ciascuna può però affidarne la gestione a un soggetto terzo, anche un’altra società del gruppo o la capogruppo, con un contratto che ne fissi compiti, poteri e responsabilità.

Sanzioni #

L’ANAC applica le sanzioni amministrative pecuniarie dell’art. 21, comma 1, del D.Lgs. 24/2023:

Le sanzioni sono applicate al responsabile. Per la lett. b) l’ANAC individua il responsabile così: per la mancata istituzione dei canali e per procedure mancanti o non conformi, l’organo di indirizzo dell’ente, sia pubblico sia privato; per il mancato svolgimento dell’attività di verifica e analisi delle segnalazioni, il gestore delle segnalazioni (Linee guida, delibera n. 311/2023 aggiornata con delibera n. 479/2025, Parte terza, § 1). L’organo di indirizzo risponde in solido con i suoi componenti, salvo regresso verso i responsabili della violazione (Linee guida n. 1/2025, § 2.3). Il procedimento sanzionatorio è regolato dalla delibera ANAC n. 301 del 12 luglio 2023. I soggetti privati con Modello 231 (art. 2, comma 1, lett. q), n. 3) devono inoltre prevedere, nel sistema disciplinare adottato ai sensi dell’art. 6, comma 2, lett. e), del D.Lgs. 231/2001, sanzioni nei confronti dei responsabili (art. 21, comma 2).

Una valutazione onesta dell’applicazione. La lett. b) non sanziona soltanto l’assenza del canale: sanziona allo stesso modo procedure non conformi e la mancata verifica e analisi delle segnalazioni ricevute. Un canale di segnalazione che nessuno istruisce rientra quindi nella stessa fascia di sanzione di un canale inesistente, anche se in questo caso l’ANAC individua come responsabile il gestore e non l’organo di indirizzo. Per l’ANAC è non conforme, e quindi sanzionabile, anche una procedura adottata senza sentire i sindacati (Linee guida n. 1/2025, § 2.1). La sanzione a carico del segnalante è volutamente circoscritta: richiede l’accertamento della responsabilità per diffamazione o calunnia, non basta che la segnalazione si riveli infondata.

Autorità di segnalazione esterna #

L’autorità esterna è l’ANAC. In Italia la segnalazione esterna non è una libera alternativa a quella interna. È ammessa solo se ricorre una di queste condizioni (art. 6, comma 1):

• il canale interno non è obbligatorio, non è attivo o non è conforme all’art. 4;
• la segnalazione interna non ha avuto seguito;
• il segnalante ha fondati motivi di ritenere che una segnalazione interna non avrebbe efficace seguito o lo esporrebbe a ritorsioni;
• il segnalante ha fondato motivo di ritenere che la violazione possa costituire un pericolo imminente o palese per il pubblico interesse.

Anche la divulgazione pubblica è protetta solo a condizioni precise (art. 15). La pagina sull’ANAC descrive il canale esterno, i suoi termini e il procedimento sanzionatorio.

Autorità per la protezione dei dati #

Per i reclami in materia di GDPR relativi al trattamento dei dati dei segnalanti, l’autorità competente è il Garante per la protezione dei dati personali.

Come attivare il canale in sette passi #

1. Verificare l’obbligo: media di lavoratori subordinati nell’ultimo anno, Modello 231, settori delle parti I.B e II dell’allegato.
2. Scegliere il gestore: una persona o un ufficio interno autonomo e formato, un soggetto esterno o, fino a 249 lavoratori, un canale condiviso.
3. Sentire i sindacati: inviare l’informativa prima di approvare l’atto organizzativo o il Modello 231.
4. Attivare le modalità: forma scritta e forma orale, incontro diretto su richiesta. Decidere come trattare le segnalazioni anonime.
5. Proteggere i dati: valutazione d’impatto, informative privacy, contratti con i fornitori ai sensi dell’art. 28 GDPR.
6. Informare: esporre le informazioni nei luoghi di lavoro e pubblicarle sul sito.
7. Fissare la procedura: avviso entro 7 giorni, riscontro entro 3 mesi, conservazione non oltre 5 anni dall’esito finale, formazione del gestore.

Fonti ufficiali #

• D.Lgs. 10 marzo 2023, n. 24 — testo vigente (Normattiva)
• D.Lgs. 10 marzo 2023, n. 24 — Gazzetta Ufficiale n. 63 del 15 marzo 2023
• ANAC — whistleblowing
• ANAC — Linee guida, delibera n. 311/2023 aggiornata con delibera n. 479/2025
• ANAC — Linee guida n. 1/2025 sui canali interni, delibera n. 478/2025
• Garante privacy

Domande frequenti #

Che cos’è il D.Lgs. 24/2023? #

È il Decreto Legislativo 10 marzo 2023, n. 24, che recepisce in Italia la Direttiva (UE) 2019/1937 sul whistleblowing. Protegge chi segnala violazioni apprese nel contesto lavorativo e obbliga enti pubblici e privati ad attivare un canale di segnalazione interna. Ha effetto dal 15 luglio 2023.

Da quanti lavoratori scatta l’obbligo del canale di segnalazione? #

Da una media di 50 lavoratori subordinati, a tempo indeterminato o determinato, nell’ultimo anno. Sotto questa soglia l’obbligo vale comunque per gli enti con Modello 231 e per quelli dei settori delle parti I.B e II dell’allegato, come i servizi finanziari e l’antiriciclaggio (art. 2, comma 1, lett. q). Gli enti pubblici sono obbligati senza soglia.

Il canale deve accettare segnalazioni anonime? #

No, il decreto non lo impone. Se il segnalante anonimo viene identificato e subisce ritorsioni, è comunque protetto (art. 16, comma 4). Secondo l’ANAC, l’ente deve registrare le segnalazioni anonime ricevute e conservarne la documentazione, e può trattarle come segnalazioni ordinarie.

Basta un canale scritto? #

No. Il decreto prevede la forma scritta e la forma orale (art. 4, comma 3), e l’ANAC precisa che l’ente deve garantirle entrambe, lasciando la scelta al segnalante. Su richiesta va fissato anche un incontro diretto. Un canale non conforme è sanzionabile come un canale assente (art. 21, comma 1, lett. b).

Quali sono i termini per gestire una segnalazione? #

Avviso di ricevimento entro 7 giorni dalla ricezione. Riscontro entro 3 mesi dall’avviso o, senza avviso, entro 3 mesi dalla scadenza dei 7 giorni (art. 5, comma 1).

Per quanto tempo si conservano le segnalazioni? #

Per il tempo necessario a trattarle e comunque non oltre cinque anni dalla comunicazione dell’esito finale della procedura (art. 14, comma 1).

Quali sanzioni prevede il D.Lgs. 24/2023? #

L’ANAC applica sanzioni da 10.000 a 50.000 € per ritorsioni, ostacolo alla segnalazione e violazione della riservatezza, e per mancata istituzione del canale, procedure non conformi o mancata verifica delle segnalazioni. Al segnalante responsabile di diffamazione o calunnia per dolo o colpa grave si applica una sanzione da 500 a 2.500 € (art. 21).

Il segnalante può rivolgersi direttamente all’ANAC? #

Solo in presenza di una delle condizioni dell’art. 6: canale interno assente o non conforme, segnalazione interna senza seguito, fondato timore di inefficacia o di ritorsioni, fondato motivo di ritenere che la violazione possa costituire un pericolo imminente o palese per il pubblico interesse.

La gestione del canale può essere affidata a un soggetto esterno? #

Sì. Il decreto consente di affidarla a un soggetto esterno autonomo e con personale specificamente formato (art. 4, comma 2). Nei gruppi, secondo l’ANAC, il soggetto esterno può essere anche la capogruppo o un’altra società del gruppo, con un contratto per ciascuna società.

Bisogna coinvolgere i sindacati? #

Sì. Il canale si attiva dopo aver sentito le rappresentanze o le organizzazioni sindacali (art. 4, comma 1). Il loro parere non è vincolante, ma secondo l’ANAC una procedura adottata senza questo passaggio non è conforme ed è sanzionabile.

Attiva il tuo canale di segnalazione →

Ultimo aggiornamento: 4 novembre 2026