Le imprese con più di 50 dipendenti devono rivedere la gestione del canale interno di segnalazione dopo i chiarimenti operativi più recenti sul d.lgs. 24/2023. Chi assiste società private deve verificare che il gestore del canale sia nominato, formato e operativo entro i termini, e che la policy interna rispetti i requisiti di riservatezza e ritorno d’informazione al segnalante. L’omessa adozione o la gestione irregolare espone l’ente a sanzioni fino a 50.000 euro.
Punti chiave
- Il d.lgs. 24/2023 impone il canale interno a tutte le imprese private con almeno 50 dipendenti.
- Il gestore del canale deve rispondere al segnalante entro 3 mesi dalla ricevuta di ritorno.
- Le sanzioni ANAC per mancata adozione o gestione irregolare arrivano fino a 50.000 euro.
Se assistete società private con 50 o più dipendenti, è il momento di fare un check rapido sulla tenuta del loro sistema di whistleblowing. La gestione del canale interno non è un adempimento da sbrigare una volta sola: richiede verifiche periodiche su nomina del gestore, flussi di risposta al segnalante e aggiornamento della documentazione interna. Un assetto approssimativo espone il cliente a contestazioni da parte di ANAC e, nei casi più gravi, a sanzioni significative.
Diritto.it ha pubblicato una guida aggiornata sugli adempimenti whistleblowing per le imprese private, con focus sulle criticità operative emerse dopo la prima fase di applicazione del d.lgs. 24/2023. Potete consultare l’articolo originale su Diritto.it.
Il contesto normativo
Il d.lgs. 24/2023 (attuazione della Direttiva UE 2019/1937) ha reso obbligatorio il canale interno per le imprese private con almeno 50 dipendenti, con alcune eccezioni per settori specifici già regolati. L’art. 5 del decreto disciplina le caratteristiche del canale: deve garantire riservatezza dell’identità del segnalante, delle persone coinvolte e del contenuto della segnalazione. L’art. 6 fissa invece i tempi del ciclo di risposta: avviso di ricevimento entro 7 giorni e riscontro al segnalante entro 3 mesi. ANAC, con le Linee guida del 2023, ha precisato i requisiti minimi del soggetto gestore e le modalità di tenuta dei registri. Sul piano sanzionatorio, l’art. 21 prevede da 10.000 a 50.000 euro per le violazioni più gravi, inclusa la mancata istituzione del canale.
Cosa cambia per lo studio
- Verificare la nomina formale del gestore del canale interno: deve essere un soggetto o ufficio con autonomia, competenza e assenza di conflitti di interesse. La nomina va formalizzata per iscritto e conservata.
- Controllare che la procedura interna rispetti i tempi dell’art. 6 d.lgs. 24/2023: 7 giorni per l’avviso di ricevimento e 3 mesi per il riscontro. Molte aziende hanno adottato policy generiche che non mappano questi step in modo tracciabile.
- Aggiornare l’informativa privacy dedicata al canale di segnalazione: il Garante ha chiarito che il trattamento dei dati del segnalante richiede una base giuridica autonoma e una designazione specifica del responsabile del trattamento, se il canale è affidato a terzi.
- Verificare la soglia occupazionale su base annua, non puntuale: le imprese che oscillano attorno ai 50 dipendenti devono calcolare la media annua e non il dato alla data del controllo.
- Predisporre o aggiornare il registro delle segnalazioni, che deve essere conservato per 5 anni e reso disponibile ad ANAC in caso di ispezione.
Attenzione a
Il primo errore ricorrente è affidare la gestione del canale all’HR o al legale interno senza una nomina formale e senza un protocollo scritto di gestione. In assenza di documentazione, in caso di contestazione ANAC non è possibile dimostrare né la corretta istituzione né il rispetto dei tempi di risposta. Questo vale anche quando il canale è tecnicamente attivo: un sistema funzionante ma privo di tracce scritte è indifendibile.
Il secondo rischio riguarda le società che hanno delegato il canale a un provider esterno senza stipulare un contratto di responsabile del trattamento ai sensi dell’art. 28 GDPR. Il Garante considera questa omissione una violazione autonoma, separata da quelle previste dal d.lgs. 24/2023, con possibile cumulo di sanzioni.
Guida pratica: come procedere
- Verificare la soglia occupazionale
Calcolare la media annua dei dipendenti, non il dato puntuale. Se l’impresa supera i 50 dipendenti come media annua, l’obbligo si applica. Acquisire la documentazione HR a supporto e conservarla. - Formalizzare la nomina del gestore
Redigere un atto scritto di nomina del gestore del canale interno, specificando ruolo, competenze e assenza di conflitti di interesse. Il gestore deve riportare direttamente all’organo di vertice aziendale. - Adottare o aggiornare la procedura interna
Predisporre una procedura scritta che mappa i tempi obbligatori: avviso di ricevimento entro 7 giorni e riscontro al segnalante entro 3 mesi, come previsto dall’art. 6 d.lgs. 24/2023. - Aggiornare l’informativa privacy del canale
Redigere un’informativa dedicata al trattamento dei dati del segnalante con base giuridica autonoma. Se il canale è gestito da un provider esterno, stipulare il contratto di responsabile del trattamento ex art. 28 GDPR. - Istituire e conservare il registro delle segnalazioni
Creare un registro delle segnalazioni ricevute con data, esito e azioni intraprese. Il registro va conservato per 5 anni e messo a disposizione di ANAC in caso di ispezione o contestazione.
Domande frequenti
Quanti dipendenti deve avere un’azienda per essere obbligata al canale whistleblowing?
L’obbligo scatta per le imprese private con almeno 50 dipendenti, calcolati come media annua e non come dato puntuale. Alcune categorie di imprese in settori regolati (servizi finanziari, sicurezza dei trasporti) sono soggette all’obbligo indipendentemente dalla soglia. Il d.lgs. 24/2023, art. 4, disciplina queste eccezioni.
Quali sono le sanzioni per chi non istituisce il canale interno di segnalazione?
L’art. 21 del d.lgs. 24/2023 prevede sanzioni amministrative da 10.000 a 50.000 euro irrogate da ANAC. Le sanzioni più alte si applicano alla mancata istituzione del canale, alle ritorsioni verso il segnalante e alla rivelazione della sua identità. Il cumulo con sanzioni GDPR è possibile se il trattamento dei dati è irregolare.
Chi può essere nominato gestore del canale interno whistleblowing?
Può essere un singolo soggetto, un ufficio interno autonomo o un terzo esterno. Il requisito essenziale è l’assenza di conflitti di interesse rispetto ai soggetti potenzialmente coinvolti nelle segnalazioni. ANAC nelle Linee guida 2023 raccomanda che il gestore abbia competenze specifiche e risponda direttamente all’organo di vertice.
Fonte di riferimento: Diritto.it