Dal 2023, quando è entrata in vigore la legge italiana sul whistleblowing, nel piè di pagina di molti siti web aziendali compare una voce in più, accanto a quelle sulla privacy e sui cookie: "Segnalazioni", oppure "Whistleblowing". La voce porta a un modulo o a una piattaforma esterna, e sembra valere per qualunque segnalazione. Ma la legge sul whistleblowing e la certificazione della parità di genere prevedono due canali con regole diverse, e su due punti opposte. La certificazione, introdotta nel 2022, è l'attestato rilasciato alle aziende che riducono il divario fra donne e uomini.
Un canale che manca o non è conforme ha conseguenze in entrambi i casi. Se la tua azienda è obbligata al whistleblowing e il canale manca o non rispetta la legge, l'Autorità nazionale anticorruzione (ANAC) può applicare una sanzione da 10.000 a 50.000 euro, di cui rispondono l'organo amministrativo e i suoi componenti. Se invece il canale non rispetta i requisiti della certificazione, l'azienda non può ottenerla.
Quale canale di segnalazione serve alla tua azienda #
Prima di scegliere un modulo o una piattaforma, rispondi a cinque domande: le prime tre riguardano il whistleblowing, le altre due le certificazioni.
- Nell'ultimo anno hai avuto in media almeno 50 dipendenti, a tempo determinato o indeterminato? Se sì, il canale di whistleblowing è obbligatorio.
- Hai adottato un modello 231, cioè il sistema di regole interne che protegge l'azienda dalla responsabilità per alcuni reati commessi nel suo interesse? Se sì, il canale è obbligatorio anche sotto i 50 dipendenti, ma solo per le violazioni legate al modello.
- La tua azienda opera in un settore regolato da norme europee specifiche, come i servizi finanziari? Se sì, il canale è obbligatorio qualunque sia il numero di dipendenti.
- Stai chiedendo la certificazione della parità di genere? Se sì, ti serve un canale anonimo per segnalare molestie e abusi.
- Hai o chiedi la certificazione SA8000, lo standard internazionale sulle condizioni di lavoro? Se sì, ti serve una procedura di reclamo riservata, aperta anche a fornitori e ad altre persone esterne all'azienda.
Se hai risposto no a tutte, nessuna delle norme di cui parla questo articolo ti obbliga ad avere un canale. Se hai risposto sì a più di una, i canali possono convivere nella stessa pagina, ma ognuno con il suo modulo e le sue garanzie.
Whistleblowing: cosa copre la legge e cosa resta fuori #
Il whistleblowing è la segnalazione di illeciti da parte di chi lavora in un'azienda o collabora con lei. La legge italiana che lo regola è il decreto legislativo 24 del 2023, che ha recepito una direttiva europea: se la tua azienda è obbligata, doveva attivare un canale interno entro la fine del 2023. Il decreto protegge chi segnala violazioni che danneggiano l'interesse pubblico o l'integrità dell'azienda, ma per un'azienda privata il perimetro è stretto. Se hai almeno 50 dipendenti, il canale serve per le violazioni delle norme europee in settori come gli appalti pubblici, la protezione dei consumatori, l'ambiente e i dati personali; se hai il modello 231, per i reati previsti dal decreto 231 e le violazioni del modello.
Restano fuori, invece, le lamentele che riguardano il rapporto di lavoro di chi segnala. Le linee guida dell'ANAC le elencano: vertenze di lavoro, «discriminazioni tra colleghi», conflitti con un altro lavoratore o con i superiori. Nel decreto le molestie e le discriminazioni compaiono una volta sola, nell'elenco delle ritorsioni vietate contro chi ha segnalato qualcosa.
Una molestia che tocca soltanto il rapporto di lavoro di chi la subisce, quindi, di norma non si segnala con il canale di whistleblowing. Non è chiaro se una molestia vietata dal codice etico richiamato nel modello 231 possa costituire una violazione del modello: né il decreto né le linee guida dell'ANAC lo dicono.
Il canale deve accettare segnalazioni scritte e orali, al telefono o in un incontro. Le gestisce una persona o un ufficio autonomo e formato, interno o esterno all'azienda, che entro sette giorni conferma a chi segnala di averla ricevuta ed entro tre mesi gli fornisce una risposta. Sul sito della tua azienda deve esserci una sezione che spieghi il canale interno e quello esterno dell'ANAC. Chi segnala può rivolgersi all'ANAC se il canale dell'azienda manca o non ha dato seguito alla segnalazione, se teme ritorsioni o se c'è un pericolo imminente per l'interesse pubblico. Nelle aziende sotto i 50 dipendenti con il modello 231, chi segnala può usare solo il canale interno.
Il decreto non impone l'anonimato ma la riservatezza, cioè che l'identità di chi segnala resti nota solo a chi gestisce la segnalazione e sia protetta anche con la crittografia. La tua azienda può accettare le segnalazioni anonime e trattarle come segnalazioni ordinarie, ma deve registrarle e conservarle: se chi ha scritto viene poi identificato e subisce ritorsioni, ha diritto alle stesse tutele degli altri.
Modello 231 e whistleblowing: un canale solo #
Se la tua azienda ha un modello 231, il canale di whistleblowing ne fa già parte per legge. Dal 2023 il decreto 231 prevede che il modello contenga i canali di segnalazione, il divieto di ritorsione e le sanzioni disciplinari. Secondo l'ANAC un modello senza questi elementi non protegge l'azienda dalla responsabilità per i reati, cioè non serve allo scopo per cui è stato adottato. A gestire le segnalazioni può essere l'organismo di vigilanza, l'organo che controlla che il modello sia rispettato, oppure un comitato etico o l'ufficio di controllo interno.
Parità di genere: perché il canale deve essere anonimo #
La certificazione della parità di genere si basa su un documento dell'UNI, l'ente che pubblica le norme tecniche italiane: la prassi di riferimento UNI/PdR 125:2022. Fra le misure contro le molestie sul lavoro, la prassi richiede di «prevedere una metodologia di segnalazione anonima» degli abusi fisici, verbali e digitali, «a tutela dei/delle dipendenti che segnalano».
È la differenza più importante rispetto al whistleblowing. La legge impone la riservatezza e lascia alla tua azienda la scelta sulle segnalazioni senza nome, mentre la prassi chiede l'anonimato e non parla mai né di riservatezza né di ritorsioni. Cambia anche cosa si segnala: le molestie e gli abusi che il whistleblowing di norma lascia fuori sono quelli che il canale della parità di genere deve raccogliere.
Se la pagina delle segnalazioni del tuo sito è nata per il whistleblowing, per la certificazione va quindi riscritta, non solo ritoccata, perché cambiano gli argomenti da segnalare e le garanzie per chi scrive. La prassi chiede anche di pubblicare sul sito la politica di parità dell'azienda, e di avere referenti e procedure contro molestie e mobbing: per le aziende sotto i 50 dipendenti, sono uno dei requisiti indispensabili.
In cambio la certificazione dà diritto a una riduzione dei contributi previdenziali fino all'1 per cento, entro 50.000 euro l'anno e nei limiti dei fondi stanziati. Inoltre il codice degli appalti obbliga le amministrazioni a prevedere nei bandi di gara un punteggio più alto per le aziende certificate.
SA8000: reclami riservati, anche dall'esterno #
La SA8000 è uno standard internazionale sulle condizioni di lavoro, pubblicato da Social Accountability International, un'organizzazione non profit con sede a New York. La versione del 2014 prevede una procedura di reclamo scritta e riservata, che protegge chi reclama dalle ritorsioni, aperta al personale e alle "parti interessate", cioè anche a fornitori, clienti e chiunque abbia rapporti con l'azienda.
La versione nuova, la SA8000:2026, separa i percorsi: un canale per il personale e uno per chi è esterno, entrambi riservati. Dal 2027 sarà l'unica versione valida per la certificazione. Né l'una né l'altra chiede l'anonimato, ma la pagina delle segnalazioni deve essere aperta anche ai fornitori e agli altri esterni.
Uno o più canali: come organizzare la pagina segnalazioni del sito web #
Messi uno accanto all'altro, i tre canali hanno regole diverse:
| Whistleblowing | Parità di genere | SA8000 | |
|---|---|---|---|
| Chi lo chiede | La legge, dai 50 dipendenti, con il modello 231 o nei settori regolati dall'Europa | La certificazione della parità di genere | La certificazione SA8000 |
| Cosa raccoglie | Violazioni del diritto europeo e del modello 231 che danneggiano l'azienda o l'interesse pubblico | Molestie e abusi sul lavoro | Reclami sulle condizioni di lavoro e violazioni dello standard |
| Lamentele personali | Escluse | Incluse, sono l'oggetto del canale | Ammesse |
| Anonimato | Facoltativo | Richiesto | Non richiesto |
| Riservatezza | Obbligatoria | Non citata | Obbligatoria |
| Chi controlla | ANAC, con sanzioni da 10.000 a 50.000 euro | L'ente di certificazione | L'ente di certificazione |
Una sola pagina può ospitare tutti i canali; anzi, le linee guida dell'ANAC chiedono che il sito spieghi la differenza fra una segnalazione ordinaria e una di whistleblowing. La pagina del tuo sito può quindi partire da una domanda, «Cosa vuoi segnalare?», e portare a percorsi separati, ognuno con i suoi argomenti e le sue garanzie.
Un modulo unico, con le stesse categorie e le stesse promesse per tutti, finisce invece per trattare da whistleblowing una molestia che la legge esclude, oppure per garantire la sola riservatezza dove la certificazione chiede l'anonimato.
Per il whistleblowing le linee guida dell'ANAC sui canali interni preferiscono le piattaforme informatiche, che cifrano i dati e danno a chi segnala un codice segreto per seguire la pratica e rispondere alle domande senza rivelarsi. La prassi non dice come debba funzionare il canale anonimo della parità di genere, ma lo stesso sistema servirebbe anche lì: chi gestisce la segnalazione potrebbe fare domande senza sapere a chi le rivolge.
Se la tua azienda ha meno di 250 dipendenti, può anche condividere il canale di whistleblowing con altre società, per esempio quelle del suo gruppo, ma deve nominare un proprio gestore delle segnalazioni.
Segnalazione anonima: le tracce che il sito web registra comunque #
Una pagina può promettere l'anonimato e tradirlo senza che nessuno se ne accorga, perché i dati che identificano chi scrive non arrivano dal modulo ma dalla rete, dal server e dai file allegati. Il Garante per la protezione dei dati personali ha già sanzionato due enti per questo motivo: nel 2021 la società che gestisce l'aeroporto di Bologna e nel 2022 l'azienda ospedaliera di Perugia con una multa di 40.000 euro ciascuno. I firewall della loro rete, cioè i dispositivi che filtrano il traffico, registravano infatti l'indirizzo IP (il numero che identifica una connessione) e il nome utente di chi si collegava alla piattaforma di whistleblowing.
Il Garante ha accertato che a Perugia la piattaforma in sé non conservava gli indirizzi: il problema era nella rete dell'ospedale. Per questo le linee guida dell'ANAC chiedono che chi si collega dall'ufficio non lasci tracce né sulla piattaforma né sui dispositivi di rete.
Anche il server che ospita il tuo sito tiene un registro. I programmi che inviano le pagine ai visitatori, come Apache e nginx, annotano per ogni visita, già con le impostazioni predefinite, l'indirizzo IP, l'ora e la pagina, e nginx anche il tipo di browser. Se chi segnala si collega dalla rete dell'ufficio, quell'indirizzo è quello della tua azienda.
Google Analytics, il servizio di Google che conta le visite, aggiunge un altro registro: non conserva l'indirizzo IP dei visitatori europei, ma per ogni pagina riceve il percorso completo, il titolo e un identificativo che per due anni riconosce il browser quando torna. Le linee guida dell'ANAC non parlano di statistiche, ma il ragionamento fatto per i firewall vale anche qui, e sulla pagina delle segnalazioni le statistiche non dovrebbero esserci. Lo stesso succede se il tuo sito è protetto da Cloudflare, l'azienda che filtra il traffico verso molti siti, o da servizi simili: le visite attraversano la loro rete prima di arrivare al server, e Cloudflare riceve così l'indirizzo di ogni visitatore.
Restano gli allegati. Una foto scattata con lo smartphone può contenere le coordinate del luogo, il modello del telefono e l'ora dello scatto, e un documento il nome di chi l'ha scritto. Per questo articolo sono stati preparati una foto e due documenti, uno Word e un PDF, con dati di prova scritti nei file: posizione, modello del telefono e nome dell'autore si leggono con strumenti gratuiti, senza aprire i file.
La pagina del tuo sito dovrebbe avvisare chi segnala di questi dati nascosti, e la piattaforma ripulire i file prima che arrivino a chi li legge. Sull'iPhone chi segnala può togliere la posizione al momento della condivisione, dalle opzioni della foto; Word ha una funzione, Ispeziona documento, che trova e rimuove l'autore e gli altri dati nascosti.
Pagina segnalazioni sul sito web: cosa controllare #
- Apri la pagina delle segnalazioni del tuo sito e controlla che dica a quale canale porta ogni tipo di segnalazione, chi la legge e cosa succede dopo.
- Chiedi a chi gestisce il sito e a chi riceve le segnalazioni:
- Il nostro canale di whistleblowing è una piattaforma come quelle che indica l'ANAC, o un modulo che manda un'email?
- La pagina separa il whistleblowing dalle segnalazioni per la parità di genere?
- Se promettiamo l'anonimato, il server, gli strumenti di statistica e il modulo lo rispettano?
- Gli allegati arrivano a chi li legge ripuliti dai dati nascosti?
- Se la pagina va rifatta o costruita da zero, scrivimi: progetto e sviluppo siti web e pagine segnalazioni, dalla scelta della piattaforma al controllo di quello che il server registra.
Domande frequenti #
Il whistleblowing basta per la certificazione della parità di genere? #
No: i due canali possono trovarsi nella stessa pagina, ma restano distinti. Il whistleblowing esclude le lamentele sul rapporto di lavoro di chi segnala, come le discriminazioni tra colleghi, e impone la riservatezza; il canale della certificazione della parità di genere raccoglie molestie e abusi, e deve permettere la segnalazione anonima. Con la certificazione SA8000 si aggiunge un terzo percorso, per i reclami sulle condizioni di lavoro, aperto anche a fornitori e altre persone esterne.
Cos'è il whistleblowing? #
È la segnalazione di illeciti fatta da chi lavora in un'azienda o in un ente pubblico, o collabora con loro: dipendenti, consulenti, tirocinanti, lavoratori dei fornitori. In Italia è regolata dal decreto legislativo 24 del 2023, che obbliga molte aziende ad avere un canale interno riservato e protegge chi segnala dalle ritorsioni. Il termine viene dall'inglese whistleblower, letteralmente "chi soffia nel fischietto".
Il whistleblowing è obbligatorio sotto i 50 dipendenti? #
Sì, in due casi: se la tua azienda ha adottato un modello 231, e allora il canale serve per le violazioni legate al modello, oppure se opera in un settore regolato da norme europee specifiche, come i servizi finanziari. Altrimenti l'obbligo scatta con una media di almeno 50 dipendenti nell'ultimo anno, e vale dal 17 dicembre 2023 per le aziende fino a 249 dipendenti e dal 15 luglio 2023 per le più grandi.
Il whistleblowing è anonimo? #
Non per forza. La legge chiede la riservatezza, cioè che solo chi gestisce la segnalazione conosca l'identità di chi scrive. La tua azienda può accettare le segnalazioni anonime come segnalazioni ordinarie, ma deve registrarle e conservarle, e chi viene poi identificato e subisce ritorsioni ha le stesse tutele degli altri.
Molestie e mobbing si segnalano con il whistleblowing? #
Di norma no, se riguardano solo il rapporto di lavoro di chi le subisce: le linee guida dell'Autorità anticorruzione escludono le discriminazioni tra colleghi e i conflitti con altri lavoratori o con i superiori. Per molestie e abusi serve il canale previsto dalla certificazione della parità di genere, o una procedura interna della tua azienda.
Si possono ricevere le segnalazioni di whistleblowing via email? #
L'Autorità anticorruzione considera il ricorso all'email, ordinaria o certificata, «di per sé non adeguato» a proteggere l'identità di chi segnala, perché i sistemi di posta conservano i registri di invio e ricezione. Servono un altro canale, di preferenza una piattaforma, oppure misure di protezione aggiuntive, giustificate nella valutazione d'impatto sulla privacy, il documento che analizza i rischi per i dati personali.
Cosa rischia un'azienda senza canale di whistleblowing? #
Se la tua azienda è obbligata, l'Autorità anticorruzione può applicare una sanzione da 10.000 a 50.000 euro, di cui rispondono l'organo amministrativo e i suoi componenti. La stessa sanzione si applica a chi compie ritorsioni contro chi segnala o ne viola la riservatezza, e in quei casi ne risponde la persona responsabile.
