Il Decreto Legislativo 10 marzo 2023, n. 24, che attua la Direttiva (UE) 2019/1937, impone alle imprese ed agli enti del settore privato di attivare un canale di segnalazione interna e di affidarne la gestione a una persona o a un ufficio autonomo e specificamente formato, oppure a un soggetto esterno che abbia gli stessi requisiti (art. 4, comma 2).
Il canale non è un adempimento formale. Deve garantire la riservatezza dell’identità di chi segnala, della persona coinvolta e delle persone menzionate. Deve essere raggiungibile anche da chi non ha accesso alla rete aziendale, perché la platea dei segnalanti comprende collaboratori, fornitori, consulenti, volontari, tirocinanti, azionisti ed amministratori (art. 3, commi 3 e 4). Deve rispettare termini precisi: sette giorni per l’avviso di ricevimento, tre mesi per il riscontro.
Le Linee guida ANAC n. 1/2025 sui canali interni di segnalazione (delibera n. 478 del 26 novembre 2025), insieme alla revisione delle linee guida generali del 2023 (delibera n. 479 di pari data), hanno ridisegnato il quadro operativo: requisiti del gestore, affidamento a un soggetto esterno, struttura di supporto, raccordo con il modello 231, formazione. Un canale progettato sulla sola delibera n. 311/2023 va oggi riverificato.
OFFICINELEGALI assume il ruolo di gestore esterno del canale di segnalazione interna e cura gli adempimenti che lo accompagnano: dalla progettazione del sistema all’istruttoria delle segnalazioni, dalla formazione alla manutenzione nel tempo, con la riservatezza che il decreto impone e quella che il segreto professionale dell’avvocato aggiunge.
Il ruolo di gestore si esercita in autonomia, ma l’incarico si costruisce insieme all’ente. Il nostro metodo segue alcune regole fisse:
• prima la qualificazione: ricostruiamo la struttura organizzativa e verifichiamo quale delle ipotesi del decreto ricorra, perché da questo dipendono l’ampiezza delle violazioni segnalabili e l’accesso al canale esterno dell’ANAC;
• moduli, non pacchetti: impianto del sistema, ruolo di gestore, formazione, manutenzione e prestazioni a richiesta sono lotti distinti, che l’ente sceglie integralmente o singolarmente. Il ruolo di gestore presuppone un impianto conforme, realizzato da noi o già presente;
• ruoli separati e scritti: il gestore decide l’esito dell’istruttoria senza subordinarlo all’organo di indirizzo, che conserva il monitoraggio generale sul funzionamento del canale; i provvedimenti conseguenti restano agli organi dell’ente. La ripartizione delle responsabilità è definita prima, nell’atto organizzativo e nel contratto, come richiedono le Linee guida ANAC n. 1/2025;
• riservatezza su due piani: all’obbligo di riservatezza dell’art. 12 del decreto si somma il segreto professionale dell’avvocato. Comunichiamo con l’ente in forma anonimizzata e l’identità del segnalante non esce dal gestore fuori dei casi previsti dalla legge;
• protezione dei dati personali: operiamo come responsabile del trattamento designato ai sensi dell’art. 28 del Regolamento (UE) 2016/679 (GDPR), con un accordo dedicato, secondo la qualificazione delle Linee guida ANAC n. 1/2025 e del parere del Garante n. 581 del 9 ottobre 2025. Le istruzioni del titolare riguardano le modalità del trattamento, mai il merito delle valutazioni istruttorie.
Portiamo il sistema in condizione di essere attivato, o lo riportiamo in conformità se esiste già. È il presupposto del ruolo di gestore.
Le attività comprendono:
• analisi preliminare e qualificazione: ricognizione dell’organizzazione, individuazione dell’ipotesi che rende obbligatorio il canale, perimetro delle violazioni segnalabili, platea dei segnalanti, presupposti per l’eventuale condivisione del canale nel gruppo;
• gap analysis del sistema esistente: verifica dell’impianto vigente rispetto al decreto ed alle Linee guida ANAC n. 1/2025, con relazione sui disallineamenti e sulle azioni correttive ordinate per priorità;
• atto organizzativo (procedura whistleblowing): disciplina dell’intero ciclo, dai canali interni ed esterni alle tutele del segnalante, dal gestore e dal suo sostituto alla conservazione ed alla cancellazione;
• modello 231 e sistema disciplinare: previsione o adeguamento del canale, divieto di ritorsione e di ostacolo alla segnalazione, aggiornamento del sistema disciplinare, unicità del canale e procedure di raccordo fra gestore ed organismo di vigilanza. Per chi non ha il modello, integrazione del codice etico;
• consultazione sindacale: individuazione del destinatario, informativa, termine per le osservazioni, eventuale incontro e verbale, con l’evidenza documentale che rende l’adempimento dimostrabile;
• protezione dei dati personali: informative distinte per segnalante, persona coinvolta e persone menzionate; accordo ex art. 28 GDPR fra ente e gestore; voci del registro delle attività di trattamento; valutazione d’impatto, che l’art. 13, comma 6, del decreto pone a fondamento delle misure di sicurezza del canale;
• informazioni al pubblico: testo sui canali, sulle procedure e sui presupposti delle segnalazioni, nelle versioni per i luoghi di lavoro e per la sezione dedicata del sito;
• scelta del canale tecnico: assistenza nella selezione della piattaforma, con verifica della cifratura dei dati a riposo, del codice identificativo noto al solo segnalante, della non tracciabilità dell’accesso dalla rete interna e della gestione della segnalazione orale; esame delle clausole del fornitore. In assenza di piattaforma, procedura alternativa di protocollazione riservata;
• struttura di supporto interna: individuazione del personale di supporto al gestore, compiti, responsabilità ed atti di autorizzazione al trattamento.
È l’incarico in senso proprio: assumiamo il ruolo di gestore esterno previsto dall’art. 4, comma 2, del decreto, con i requisiti che le Linee guida ANAC n. 1/2025 richiedono: imparzialità, indipendenza, formazione specifica in materia di whistleblowing e di protezione dei dati, conoscenza dell’organizzazione dell’ente.
Il ruolo comprende:
• gestione di ogni segnalazione: ricezione, avviso di ricevimento, esame di ammissibilità, istruttoria, esito e riscontro, secondo il ciclo descritto nella sezione seguente;
• presidio dei termini: registro delle segnalazioni con tracciamento dei sette giorni per l’avviso di ricevimento e dei tre mesi per il riscontro;
• segnalazioni orali: reperibilità su linea telefonica o messaggistica vocale ed incontro diretto su richiesta del segnalante, con documentazione mediante registrazione, trascrizione o verbale che il segnalante può verificare, rettificare e confermare;
• gestore sostituto: designazione, all’interno dello studio, di un sostituto con gli stessi requisiti per i casi di conflitto di interessi e di assenza prolungata;
• custodia dei dati identificativi: se l’ente sceglie di separare l’identità del segnalante dal contenuto della segnalazione, ne teniamo la custodia con registrazione di ogni accesso e delle sue ragioni;
• relazione periodica: rapporto anonimizzato all’organo di indirizzo sul funzionamento del canale, con numero e qualificazione delle segnalazioni, tempi, esiti aggregati e criticità. Consente il monitoraggio generale senza sindacato sulle singole istruttorie;
• flussi con l’organismo di vigilanza: raccordo secondo le procedure dell’atto organizzativo o del modello 231, nel rispetto della riservatezza.
Ogni segnalazione segue un percorso definito, che il decreto scandisce per fasi e termini.
• ricezione: il gestore è l’unico soggetto legittimato a ricevere le segnalazioni, scritte ed orali. Rientrano fra queste le segnalazioni anonime, comunque registrate e conservate, come pure quelle giunte per errore ad altri uffici, che devono essergli trasmesse entro sette giorni;
• avviso di ricevimento: entro sette giorni, attraverso la piattaforma o al recapito indicato dal segnalante. Ha valore informativo e non anticipa alcuna valutazione;
• esame preliminare: verifica che il segnalante sia fra le persone legittimate, che l’oggetto rientri fra le violazioni rilevanti per l’ente e che i fatti siano descritti con sufficiente precisione. Ciò che resta fuori (esposti, reclami, rivendicazioni individuali) è qualificato come segnalazione ordinaria e trasmesso all’ufficio competente, con comunicazione al segnalante;
• istruttoria: verifiche, analisi e valutazioni sulla fondatezza dei fatti, con accesso alle banche dati ed agli applicativi che l’atto organizzativo consente, coinvolgimento di strutture interne o esperti esterni ove necessario, audizione della persona coinvolta. Ai terzi coinvolti non si trasmette la segnalazione, ma i soli esiti delle verifiche ed estratti anonimizzati;
• esito: archiviazione motivata, oppure rimessione degli atti agli organi competenti per i seguiti, segnalazione dell’esigenza di rivedere procedure interne, trasmissione all’autorità giudiziaria o contabile. La decisione è del gestore e non è subordinata al previo esame dell’organo di indirizzo; al gestore non compete alcuna valutazione sulle responsabilità individuali né sui provvedimenti conseguenti;
• riscontro: entro tre mesi dall’avviso di ricevimento, con comunicazione dell’esito e, se gli accertamenti richiedono più tempo, con informazione sullo stato del procedimento;
• conservazione: la documentazione è conservata per il tempo necessario e comunque non oltre cinque anni dalla comunicazione dell’esito finale, poi cancellata. I dati manifestamente non utili non vengono raccolti e quelli acquisiti per caso sono cancellati subito.
La formazione non è un accessorio: l’art. 4, comma 2, del decreto richiede che il gestore ed il personale addetto siano specificamente formati. La sua assenza incide sulla conformità del canale.
Proponiamo percorsi distinti per destinatario:
• gestore e personale di supporto: profili normativi europei e nazionali, protezione dei dati personali, procedure operative, gestione dei conflitti di interesse, riservatezza, ascolto attivo e competenze comunicative;
• tutto il personale ed i soggetti esterni legittimati a segnalare: chi è il segnalante, che cosa si può segnalare, con quali canali, quali tutele operano e quali segnalazioni restano fuori dalla disciplina;
• funzioni a maggiore esposizione ed organi di amministrazione e controllo: formazione specifica su casi concreti calati nel contesto dell’ente;
• aggiornamento periodico: a ogni modifica normativa o intervento dell’ANAC e del Garante, con cadenza almeno annuale;
• attestazioni e registro delle presenze: l’evidenza documentale dell’adempimento formativo.
Il canale non è un adempimento che si esaurisce all’attivazione: la disciplina è in evoluzione e la conformità si perde per inerzia.
La manutenzione comprende:
• aggiornamento normativo e regolatorio: monitoraggio delle modifiche al decreto, delle delibere e degli atti interpretativi dell’ANAC, dei provvedimenti del Garante e degli orientamenti giurisprudenziali, con segnalazione degli interventi resi necessari;
• revisione periodica dell’atto organizzativo e delle informative: con cadenza annuale ed al verificarsi di modifiche normative o organizzative rilevanti, compresa la nuova consultazione sindacale quando l’aggiornamento è sostanziale;
• verifica del funzionamento del canale: prova dei percorsi di segnalazione scritta ed orale e riscontro dell’effettiva accessibilità da parte dei soggetti esterni legittimati;
• assistenza continuativa: risposta ai quesiti dell’ente sull’applicazione della disciplina.
Alcune attività eccedono la gestione ordinaria del canale e si attivano su incarico specifico, previa verifica di compatibilità con il ruolo di gestore.
• procedimenti ANAC: assistenza nel procedimento di vigilanza o sanzionatorio, con redazione di memorie e partecipazione alle audizioni;
• ritorsioni: assistenza nella gestione delle comunicazioni di ritorsione e nei rapporti con l’ANAC;
• accertamenti specialistici: analisi forensi su supporti informatici e verifiche contabili, affidate a professionisti terzi con il coordinamento del gestore;
• procedimenti disciplinari e denunce: assistenza nei procedimenti disciplinari originati dalle segnalazioni e predisposizione della denuncia all’autorità giudiziaria;
• violazioni di dati personali: gestione delle violazioni relative al canale, con supporto alla notifica al Garante ed alla comunicazione agli interessati;
• gruppi societari: estensione del canale ad altre società del gruppo, con la disciplina dei rapporti di condivisione o di affidamento della gestione.