Alessio Cipollone

📌 Aggiornamenti normativi più recenti

Linee Guida ANAC n. 1/2025 (delibera n. 478 del 26 novembre 2025): hanno completato la disciplina con indicazioni operative stringenti sui canali interni di segnalazione. Punto chiave: email ordinaria e PEC non sono canali idonei; serve una piattaforma dedicata che garantisca riservatezza, cifratura e non tracciabilità degli accessi.
Piano Nazionale Anticorruzione 2026-2028 (delibera ANAC n. 19 del 28 gennaio 2026): ribadisce la centralità del whistleblowing tra gli strumenti di prevenzione della corruzione.
Sanzioni: ANAC può irrogare sanzioni fino a 50.000 euro per la mancata istituzione del canale, per la mancata gestione delle segnalazioni o per atti ritorsivi contro i segnalanti.
Collegamento con la 231: un ETS che ha adottato il modello organizzativo 231 è obbligato ad attivare il canale whistleblowing, anche se ha meno di 50 dipendenti. Le Linee Guida 2025 hanno inoltre chiarito che un MOG 231 privo di un sistema whistleblowing adeguato non esprime la propria efficacia esimente.

Partiamo dalla domanda che conta: il mio ETS è obbligato?

Il whistleblowing, dopo il D.Lgs. 24/2023, è uno di quei temi su cui circola molta confusione tra i dirigenti del Terzo Settore. C’è chi pensa “riguarda solo le grandi aziende” e chi, all’opposto, teme di doversi attrezzare anche con due volontari. La verità sta nel mezzo, ed è precisa.

Il D.Lgs. 24/2023 (che ha recepito la Direttiva UE 2019/1937) non esclude gli ETS: si applica con gli stessi criteri previsti per tutti i soggetti del settore privato. Quindi la domanda giusta non è “gli ETS sono esonerati?” (non lo sono), ma “il mio ETS rientra in una delle soglie di obbligo?“.

Questa guida parte proprio da lì: capire se sei obbligato, e in caso affermativo cosa devi fare concretamente per essere a norma, evitando sia il rischio di sanzioni fino a 50.000 euro sia l’eccesso opposto di attrezzature inutili.

Le tre soglie di obbligo: quando scatta per un ETS

Nel settore privato, l’obbligo di istituire il canale interno di whistleblowing scatta al verificarsi di almeno una di queste tre condizioni (art. 2 D.Lgs. 24/2023). Vale anche per gli ETS.

1. Soglia dei 50 lavoratori subordinati

L’ETS che ha impiegato, nell’ultimo anno, una media di almeno 50 lavoratori subordinati (a tempo determinato o indeterminato) è obbligato. La media si calcola sugli ultimi dodici mesi. È la soglia più comune per le realtà strutturate: cooperative sociali, grandi APS, fondazioni operative con personale numeroso.

2. Settori sensibili (a prescindere dal numero)

L’ETS che opera in settori specifici indicati dalla normativa europea (servizi e mercati finanziari, prevenzione del riciclaggio e del finanziamento del terrorismo, sicurezza di prodotti, ambiente in certi casi) è obbligato anche se ha meno di 50 dipendenti. È una soglia che riguarda pochi ETS, ma va verificata.

3. Adozione del modello 231

Qui c’è il collegamento cruciale con il tema del modello organizzativo che abbiamo trattato in un altro approfondimento del blog: l’ETS che ha adottato il modello di organizzazione e gestione ex D.Lgs. 231/2001 è obbligato ad attivare il canale whistleblowing, a prescindere dal numero di dipendenti, anche se sotto i 50.

💡 Punto chiave: se stai valutando di adottare un modello 231 per il tuo ETS, devi mettere in conto che l’attivazione del canale whistleblowing diventa parte integrante del pacchetto. Anzi: le Linee Guida ANAC 2025 hanno chiarito che un modello 231 privo di un sistema whistleblowing adeguato non è in grado di esprimere la propria efficacia esimente. I due strumenti viaggiano insieme.

E se il mio ETS è sotto soglia?

Se il tuo ETS non rientra in nessuna delle tre soglie (meno di 50 dipendenti, nessun settore sensibile, nessun modello 231), non sei obbligato a istituire il canale interno di whistleblowing. Punto.

Tuttavia, due considerazioni:

i lavoratori di enti sotto soglia possono comunque accedere al canale esterno di ANAC per segnalare illeciti rilevanti, e restano protetti dalle tutele anti-ritorsione previste dalla legge;
attivare volontariamente un canale di segnalazione, anche semplice, può essere una buona pratica di trasparenza e accountability, soprattutto per ETS che gestiscono fondi pubblici o lavorano con soggetti vulnerabili. Non è obbligo, ma è un segnale di serietà.

Chi può segnalare e cosa si può segnalare

La platea di chi può effettuare una segnalazione protetta è molto ampia, e questo è uno degli aspetti più sottovalutati. Non si tratta solo dei dipendenti. Sono tutelati anche:

lavoratori subordinati (a tempo pieno, parziale, determinato, indeterminato);
collaboratori, lavoratori autonomi, liberi professionisti e consulenti che operano per l’ente;
volontari e tirocinanti, anche non retribuiti;
azionisti e persone con funzioni di amministrazione, direzione, controllo o vigilanza;
soggetti il cui rapporto è in corso, ma anche in fase precontrattuale, durante il periodo di prova o dopo la cessazione del rapporto.

Per un ETS, l’inclusione esplicita di volontari e tirocinanti è particolarmente rilevante: il mondo del Terzo Settore vive di lavoro volontario, e queste persone rientrano a pieno titolo tra i soggetti tutelati.

Cosa si può segnalare: violazioni di disposizioni normative (nazionali o dell’Unione Europea) che ledono l’interesse pubblico o l’integrità dell’ente, di cui il segnalante sia venuto a conoscenza nel contesto lavorativo. Per gli enti con modello 231, rientrano anche le violazioni del modello stesso e le condotte rilevanti ai fini della 231.

💡 Attenzione: il whistleblowing non è uno strumento per lamentele personali o vertenze individuali di lavoro. Le contestazioni legate al proprio rapporto di lavoro (mansioni, retribuzione, conflitti interpersonali) restano fuori dall’ambito di tutela. La segnalazione riguarda illeciti che toccano l’interesse pubblico o l’integrità dell’organizzazione.

Il canale interno: come deve essere fatto (Linee Guida ANAC 2025)

Qui le Linee Guida ANAC n. 1/2025 hanno alzato l’asticella, ed è il punto su cui molti enti si trovano impreparati. Vediamo i requisiti concreti.

Email e PEC non bastano

È il chiarimento più importante e più frainteso. Un semplice indirizzo email, anche PEC, non è un canale conforme. Il motivo è tecnico: questi strumenti non garantiscono un livello adeguato di riservatezza dell’identità del segnalante. Usarli espone l’ente a una violazione dei requisiti di legge.

La preferenza va a piattaforme informatiche dedicate che assicurino:

riservatezza dell’identità del segnalante, dei soggetti coinvolti e del contenuto della segnalazione;
cifratura dei dati a riposo, per mitigare i rischi di data breach;
non tracciabilità dell’accesso al canale dalla rete aziendale (l’accesso non deve essere rilevabile da reparti IT o superiori gerarchici);
un key code (codice identificativo della segnalazione) noto solo al segnalante, che consente un’interlocuzione riservata senza rivelare l’identità.

Segnalazioni scritte e orali

Il canale deve permettere segnalazioni sia in forma scritta che in forma orale (linea telefonica dedicata, sistemi di messaggistica vocale, o incontro diretto su richiesta del segnalante). Le segnalazioni orali vanno comunque documentate nel rispetto della riservatezza.

Il gestore della segnalazione

Va individuato un gestore (persona interna designata, ufficio dedicato, o soggetto esterno), che deve avere autonomia e assenza di conflitti di interesse. Le Linee Guida 2025 richiedono anche la previsione di un sostituto del gestore in caso di conflitto di interessi o di assenza prolungata. Il gestore accede all’identità del segnalante solo se strettamente necessario per l’istruttoria, registrandone le motivazioni.

I tempi del procedimento

avviso di ricevimento al segnalante entro 7 giorni dalla ricezione;
riscontro sull’esito dell’istruttoria entro un termine (non perentorio) di 3 mesi;
se la segnalazione arriva per errore a un soggetto diverso dal gestore, va trasmessa al gestore entro 7 giorni.

Esternalizzazione: un’opzione spesso conveniente

Molti enti, soprattutto quelli senza strutture interne adeguate, scelgono di esternalizzare il canale affidandolo a uno studio legale o a una società specializzata. Per un ETS questa è spesso la soluzione più pratica ed economica: garantisce imparzialità, conformità tecnica e riservatezza, senza dover costruire internamente competenze e infrastrutture. Il soggetto terzo gestisce l’intero processo e le interlocuzioni con il segnalante.

Le tutele del segnalante: il cuore della normativa

La finalità della legge è proteggere chi segnala in buona fede. Le tutele principali:

riservatezza dell’identità: non può essere rivelata senza il consenso del segnalante, se non alle persone competenti a gestire la segnalazione;
divieto di ritorsione: sono vietati licenziamenti, demansionamenti, trasferimenti, sanzioni, discriminazioni e qualsiasi atto ritorsivo collegato alla segnalazione. Le ritorsioni sono nulle e sanzionabili da ANAC;
divieto di ostacolo: è vietato ostacolare o tentare di ostacolare la segnalazione;
inversione dell’onere della prova: in caso di ritorsione, spetta all’ente dimostrare che la misura adottata era estranea alla segnalazione;
esclusione di responsabilità del segnalante per la rivelazione, a determinate condizioni di buona fede.

Una precisazione sulle segnalazioni anonime: le segnalazioni anonime ricevute tramite il canale non godono automaticamente delle protezioni del D.Lgs. 24/2023 finché il segnalante non viene identificato; vengono trattate come segnalazioni ordinarie. Se però il segnalante anonimo viene successivamente identificato e subisce ritorsioni, le tutele si attivano.

Whistleblowing, GDPR e 231: il sistema integrato

Il whistleblowing non è un’isola. Si intreccia strettamente con altri due presìdi di compliance che abbiamo trattato in questo cluster di approfondimenti.

Con il GDPR: la gestione delle segnalazioni comporta il trattamento di dati personali delicati (identità del segnalante, persone coinvolte, contenuti spesso sensibili). Le Linee Guida ANAC 2025 dedicano grande attenzione agli adempimenti privacy: la piattaforma va scelta nel rispetto del principio di protezione dei dati fin dalla progettazione, spesso serve una DPIA (valutazione d’impatto), ed è centrale il ruolo del DPO/RPD dove presente. Va inoltre definito il periodo di conservazione delle segnalazioni e la loro cancellazione nei termini previsti.

Con la 231: per gli ETS dotati di modello 231, le Linee Guida 2025 suggeriscono un canale unico interno per le violazioni del modello 231 e quelle del D.Lgs. 24/2023, definendo però i flussi informativi verso l’Organismo di Vigilanza. È obbligatorio formalizzare i raccordi tra gestore delle segnalazioni e OdV, sia periodici sia “a evento”.

💡 Consiglio operativo: se il tuo ETS deve attivare il whistleblowing perché ha adottato la 231, progetta i due sistemi in modo coordinato fin dall’inizio. E se hai anche obblighi privacy rilevanti (dati sanitari, minori), coordina anche quel fronte. Costruire questi presìdi insieme, anziché come documenti separati, riduce costi e duplicazioni.

Cosa devi fare concretamente: la checklist

Se il tuo ETS rientra nelle soglie di obbligo, ecco i passi da compiere:

Verifica la soglia: calcola la media dei lavoratori subordinati degli ultimi 12 mesi, verifica se operi in settori sensibili, verifica se hai un modello 231.
Scegli il canale: piattaforma dedicata interna o esternalizzazione (per molti ETS la seconda è più pratica). Email e PEC sono escluse.
Designa il gestore (e il suo sostituto), interno o esterno, con autonomia e senza conflitti di interesse.
Adotta la procedura whistleblowing con delibera dell’organo di amministrazione: definisce canali, tempi, tutele, sistema disciplinare.
Coordina con GDPR: informativa, eventuale DPIA, ruolo del DPO, tempi di conservazione.
Coordina con la 231 (se presente): canale unico, flussi verso l’OdV.
Informa e forma il personale e i volontari: l’esistenza del canale va comunicata, e va prevista formazione periodica.
Aggiorna il sistema disciplinare: sanzioni per chi commette ritorsioni e per chi ostacola le segnalazioni.

Casi pratici risolti

Caso 1 – Cooperativa sociale con 60 dipendenti

Situazione: una cooperativa sociale (ETS) con 60 dipendenti gestisce servizi socio-assistenziali.

Analisi: supera la soglia dei 50 lavoratori subordinati, quindi è obbligata ad attivare il canale interno di whistleblowing. Deve dotarsi di una piattaforma conforme (no email/PEC), designare un gestore, adottare la procedura, coordinarla con GDPR. Data la dimensione, può valutare se gestire internamente o esternalizzare. Le sanzioni ANAC per l’omissione arrivano a 50.000 euro: l’adempimento non è rinviabile.

Caso 2 – APS con 12 dipendenti e modello 231

Situazione: una APS con soli 12 dipendenti ha adottato volontariamente un modello 231 perché gestisce fondi pubblici.

Analisi: pur essendo ampiamente sotto la soglia dei 50, la APS è obbligata al whistleblowing perché ha adottato il modello 231 (terza soglia). Anzi, senza un canale whistleblowing adeguato il suo modello 231 non avrebbe piena efficacia esimente. Per una realtà di queste dimensioni, l’esternalizzazione del canale è quasi sempre la scelta più razionale.

Caso 3 – Piccola ODV con 5 dipendenti e volontari

Situazione: una ODV con 5 dipendenti e una trentina di volontari, nessun modello 231, nessun settore sensibile.

Analisi: la ODV non è obbligata ad attivare il canale interno (sotto tutte e tre le soglie). I suoi lavoratori e volontari possono comunque rivolgersi al canale esterno ANAC e restano protetti dalle tutele anti-ritorsione. La ODV può valutare di attivare volontariamente un canale semplice come buona pratica, ma non vi è obbligo né rischio sanzionatorio per la sua assenza.

Caso 4 – Fondazione che esternalizza il canale

Situazione: una Fondazione ETS con 70 dipendenti decide di attivare il whistleblowing affidandosi a uno studio legale esterno.

Analisi: scelta legittima e spesso consigliabile. Il soggetto esterno gestisce l’intero processo, riceve le segnalazioni, conduce l’istruttoria nel rispetto della riservatezza, mantiene le interlocuzioni con il segnalante. La Fondazione deve comunque: adottare formalmente la procedura, informare il personale, coordinare gli aspetti privacy, e (se ha la 231) definire i flussi verso l’OdV. L’esternalizzazione garantisce imparzialità e competenza tecnica, ma non solleva l’ente dagli adempimenti organizzativi a monte.

Le 4 domande operative più frequenti

Basta una casella email dedicata per il whistleblowing?

No, ed è l’errore più comune. Le Linee Guida ANAC n. 1/2025 hanno chiarito senza ambiguità che email ordinaria e PEC non sono canali idonei, perché non garantiscono la riservatezza dell’identità del segnalante e la non tracciabilità degli accessi richieste dalla legge. Serve una piattaforma informatica dedicata con cifratura, key code e non tracciabilità. Usare l’email espone l’ente a sanzioni ANAC.

Se adotto il modello 231 devo per forza attivare anche il whistleblowing?

Sì. L’adozione del modello 231 è una delle tre soglie che fanno scattare l’obbligo di whistleblowing, indipendentemente dal numero di dipendenti. E c’è di più: le Linee Guida ANAC 2025 hanno chiarito che un modello 231 privo di un sistema whistleblowing adeguato non esprime la propria efficacia esimente. I due strumenti vanno progettati insieme, idealmente con un canale unico e flussi formalizzati verso l’Organismo di Vigilanza.

I volontari del mio ETS sono tutelati dal whistleblowing?

Sì. Il D.Lgs. 24/2023 include espressamente volontari e tirocinanti, anche non retribuiti, tra i soggetti che possono effettuare segnalazioni protette. Per il Terzo Settore, che vive di lavoro volontario, è un aspetto centrale: se il tuo ETS è obbligato al canale interno, le tutele si estendono anche ai volontari, non solo ai dipendenti.

Quanto rischio se non mi adeguo?

Le sanzioni, irrogate da ANAC, arrivano fino a 50.000 euro: per la mancata istituzione del canale, per la mancata o tardiva gestione delle segnalazioni, e per gli atti ritorsivi contro i segnalanti. A questo si aggiungono i rischi reputazionali e, per gli enti con modello 231, la perdita di efficacia esimente del modello. Per un ETS che gestisce fondi pubblici, una sanzione o una segnalazione di non conformità può avere ricadute anche sugli affidamenti e sulle convenzioni.

Riferimenti normativi essenziali

D.Lgs. 10 marzo 2023 n. 24: attuazione della Direttiva UE 2019/1937 sulla protezione dei segnalanti (whistleblowing); art. 2 (ambito soggettivo), art. 18 (misure di sostegno), art. 21 (sanzioni)
Direttiva UE 2019/1937 del 23 ottobre 2019
Linee Guida ANAC n. 1/2025 (delibera n. 478 del 26 novembre 2025): canali interni di segnalazione
Linee Guida ANAC n. 311/2023: disciplina generale e canale esterno (integrate dalle n. 1/2025)
Piano Nazionale Anticorruzione 2026-2028 (delibera ANAC n. 19 del 28 gennaio 2026)
D.Lgs. 231/2001, art. 6: collegamento tra modello 231 e canale whistleblowing
Regolamento UE 2016/679 (GDPR): protezione dei dati nella gestione delle segnalazioni
Documento CNDCEC-FNC “Nuova disciplina del whistleblowing e impatto sul D.Lgs. 231/2001” (ottobre 2023)

Il tuo ETS deve attivare il whistleblowing?

Il whistleblowing è un adempimento dove l’errore più frequente è duplice: o si ignora l’obbligo (rischiando sanzioni fino a 50.000 euro), o ci si “mette a posto” con una casella email che non è conforme e quindi non protegge da nulla. Capire se sei obbligato, e come attivare un canale davvero a norma (magari integrato con 231 e privacy), richiede una valutazione precisa. Se vuoi verificare la posizione del tuo ente e impostare il sistema nel modo giusto, scrivimi: facciamo chiarezza sul tuo caso concreto, dalla verifica delle soglie alla scelta del canale.

Il tuo ente ha già attivato un canale di whistleblowing, o stai verificando se sei obbligato? Lascia un commento qui sotto con la tua situazione o il tuo dubbio, e condividi l’articolo con gli altri amministratori: su questo tema la differenza tra “a posto sulla carta” e “davvero conforme” è enorme.