Whistleblowing nel settore privato: protezione e limiti della denuncia interna nel 2026

Whistleblowing nel settore privato: il quadro normativo tra tutele e responsabilità

Capire come funziona il whistleblowing nel settore privato è diventato, nel 2026, una necessità operativa concreta per imprese, lavoratori e professionisti legali. La denuncia di illeciti all’interno di un’organizzazione privata non è più una scelta lasciata all’iniziativa individuale del singolo dipendente coraggioso: è un sistema strutturato, regolato da norme europee e nazionali che impongono obblighi precisi agli enti e garantiscono protezioni specifiche a chi segnala. La tensione fondamentale che attraversa questa materia — tra la lealtà verso il datore di lavoro e la tutela dell’interesse pubblico — trova oggi una risposta normativa articolata nella Direttiva UE 2019/1937 e nel suo recepimento italiano attraverso il Decreto Legislativo 10 marzo 2023, n. 24. Comprendere i confini di questa tutela, i canali attraverso cui può essere esercitata e i limiti che la legislazione pone significa, per il lavoratore, sapere quando è protetto e quando rischia di esporsi; per l’impresa, sapere come costruire un sistema di compliance genuinamente funzionale.

Cos’è il whistleblowing nel settore privato: definizione e perimetro applicativo

Il termine whistleblowing indica l’atto con cui un soggetto — tipicamente un lavoratore o un collaboratore — segnala, all’interno o all’esterno di un’organizzazione privata, condotte illecite, irregolarità o violazioni normative di cui è venuto a conoscenza nell’esercizio della propria attività professionale. Nel settore privato, questa pratica ha assunto rilevanza giuridica autonoma soltanto con l’adozione della Direttiva UE 2019/1937 e il suo recepimento nel D.Lgs. 24/2023: prima di allora, la tutela del segnalante era affidata a disposizioni sparse e disomogenee, con esiti spesso imprevedibili.

Il perimetro soggettivo della normativa è ampio. Sono protetti non solo i lavoratori dipendenti in senso stretto, ma anche collaboratori autonomi, liberi professionisti, azionisti, membri di organi di amministrazione e vigilanza, stagisti, volontari e persino i candidati a una posizione lavorativa che abbiano acquisito informazioni rilevanti durante il processo di selezione. Questa estensione riflette la consapevolezza che le violazioni all’interno di un’organizzazione privata possono essere percepite e segnalate da chiunque abbia un contatto professionale con essa, indipendentemente dalla natura formale del rapporto contrattuale.

Differenze tra whistleblowing nel settore privato e nel settore pubblico

Sebbene il D.Lgs. 24/2023 costituisca una disciplina unitaria applicabile a entrambi i contesti, il whistleblowing nel settore privato presenta specificità rilevanti rispetto all’analogo istituto nel settore pubblico. Comprendere queste differenze è essenziale per orientarsi correttamente nella gestione delle segnalazioni.

Nel settore pubblico, la cultura della trasparenza e il controllo istituzionale sono storicamente più radicati: le amministrazioni sono soggette a obblighi di pubblicità, a controlli della Corte dei Conti e all’attività ispettiva di ANAC, il che crea un ecosistema di vigilanza esterna già strutturato. Nel settore privato, invece, l’impresa opera in un contesto di autonomia organizzativa più ampia, e il sistema di segnalazione interna rappresenta spesso l’unico presidio di emersione degli illeciti prima che questi raggiungano l’attenzione delle autorità esterne.

Sul piano degli obblighi, le soglie dimensionali differiscono: mentre per le pubbliche amministrazioni l’obbligo di istituire canali interni prescinde dal numero di dipendenti, per le imprese private la soglia ordinaria è fissata a cinquanta lavoratori subordinati, con eccezioni settoriali. Anche il ruolo di ANAC cambia: nel settore pubblico l’autorità svolge una funzione di vigilanza più pervasiva, mentre nel settore privato interviene principalmente come destinataria delle segnalazioni esterne e come autorità sanzionatoria in caso di inadempimento degli obblighi organizzativi.

A chi si applica il D.Lgs. 24/2023 nel settore privato: soglie e soggetti obbligati

Una delle domande più frequenti tra i professionisti che si occupano di whistleblowing aziendale riguarda l’esatta platea dei soggetti obbligati. Il D.Lgs. 24/2023 distingue in base alla dimensione dell’impresa e al settore di attività, introducendo soglie differenziate che determinano l’insorgere degli obblighi organizzativi.

Le imprese private con cinquanta o più lavoratori subordinati sono tenute in ogni caso a istituire canali di segnalazione interna conformi alla normativa. Al di sotto di questa soglia, l’obbligo sussiste comunque per le imprese che operano in settori specificamente individuati dalla direttiva europea — come i servizi finanziari, la prevenzione del riciclaggio, la sicurezza dei trasporti e la tutela dell’ambiente — indipendentemente dal numero di dipendenti. Questa distinzione è rilevante nella pratica: una piccola impresa attiva nel settore finanziario non può invocare le proprie dimensioni ridotte per sottrarsi all’obbligo di dotarsi di un canale interno.

Sul piano soggettivo, come già anticipato, la protezione si estende ben oltre il perimetro del rapporto di lavoro subordinato. Rientrano nell’ambito di tutela: i lavoratori autonomi e i collaboratori che operano nell’ambito dell’organizzazione, i tirocinanti retribuiti e non retribuiti, i volontari, gli azionisti e i membri degli organi sociali, nonché i soggetti il cui rapporto con l’ente si sia già concluso, purché le informazioni segnalate siano state acquisite durante il periodo di attività. Quest’ultima previsione è particolarmente significativa: un ex dipendente che segnali illeciti di cui è venuto a conoscenza prima della cessazione del rapporto beneficia delle stesse tutele di chi è ancora in servizio.

La Direttiva UE 2019/1937: fondamenti e ambito di applicazione

La Direttiva europea 2019/1937 rappresenta il primo intervento armonizzato a livello comunitario in materia di protezione delle persone che segnalano violazioni del diritto dell’Unione. Prima della sua adozione, il panorama normativo europeo era profondamente frammentato: alcuni Stati membri disponevano di leggi organiche sulla tutela dei whistleblower, altri si affidavano a disposizioni sparse nel diritto del lavoro, nel diritto penale o nella normativa anticorruzione. Il risultato era una disomogeneità che rendeva la protezione del segnalante dipendente, in modo quasi casuale, dalla giurisdizione in cui operava.

La direttiva supera questa frammentazione stabilendo uno standard minimo comune che gli Stati membri sono tenuti a rispettare e possono soltanto migliorare, non peggiorare. Il suo ambito di applicazione ratione materiae copre le violazioni del diritto dell’Unione in settori specifici — dagli appalti pubblici alla tutela dell’ambiente, dalla sicurezza dei prodotti alla protezione dei dati personali, passando per la normativa fiscale e quella sui mercati finanziari — ma lascia agli Stati la facoltà di estendere le tutele anche ad ambiti puramente nazionali. Sul piano soggettivo, la direttiva protegge non solo i lavoratori dipendenti in senso stretto, ma anche collaboratori, liberi professionisti, azionisti, membri di organi di amministrazione e persino i candidati a una posizione lavorativa che abbiano acquisito informazioni durante il processo di selezione.

Centrale nella struttura della direttiva è la distinzione tra tre canali di segnalazione: quello interno all’organizzazione, quello esterno alle autorità competenti, e la divulgazione pubblica. Questa architettura a tre livelli non è casuale: riflette una precisa filosofia normativa che privilegia la risoluzione interna dei problemi, pur riconoscendo che in certi contesti il canale interno può essere inadeguato, inefficace o addirittura compromesso.

Il recepimento italiano: il D.Lgs. 24/2023 e la sua struttura

L’Italia ha recepito la Direttiva 2019/1937 con il Decreto Legislativo 10 marzo 2023, n. 24, che ha abrogato le precedenti disposizioni in materia — contenute in modo frammentario nella legge anticorruzione e nel Codice del lavoro — sostituendole con una disciplina organica e unitaria. Il decreto si applica sia al settore pubblico sia al settore privato, sebbene con alcune differenziazioni procedurali che tengono conto delle peculiarità di ciascun contesto.

👉 Leggi anche: Whistleblowing e protezione dal licenziamento: come la Legge 179/2017 tutela il denunciante e i limiti della protezione

Per quanto riguarda il whistleblowing nel settore privato, il D.Lgs. 24/2023 stabilisce che le imprese private con almeno cinquanta lavoratori subordinati — soglia che può variare in ragione del settore di attività e della tipologia di rischi — sono obbligate a istituire canali di segnalazione interna. Questo obbligo non è meramente formale: il decreto richiede che i canali siano progettati e gestiti in modo da garantire la riservatezza dell’identità del segnalante, delle persone coinvolte nella segnalazione e delle informazioni trasmesse. La gestione può essere affidata a una persona o a un ufficio interno all’ente, oppure a un soggetto esterno, purché dotato di adeguate garanzie di autonomia e competenza.

Il decreto disciplina poi le procedure che devono essere seguite una volta ricevuta la segnalazione: l’ente è tenuto ad accusare ricevuta entro un termine ragionevole, a svolgere un’istruttoria diligente e imparziale, e a fornire un riscontro al segnalante sull’esito della verifica. Questi obblighi procedurali non sono dettagli burocratici: sono la sostanza della tutela, perché un sistema che riceve segnalazioni senza darvi seguito è, nella migliore delle ipotesi, inutile e, nella peggiore, uno strumento di identificazione e successiva ritorsione nei confronti del segnalante.

I tre canali di segnalazione previsti dalla normativa

Come anticipato, il D.Lgs. 24/2023 struttura il sistema di segnalazione su tre livelli distinti, ciascuno con le proprie caratteristiche e condizioni di accesso.

• Canale interno: è il primo livello, quello che il legislatore considera preferibile perché consente all’organizzazione di prendere atto del problema e porvi rimedio senza che la vicenda diventi pubblica o coinvolga autorità esterne. Il segnalante che utilizza questo canale gode di piena protezione purché abbia avuto ragionevoli motivi per ritenere che le informazioni segnalate fossero vere al momento della segnalazione.
• Canale esterno: il segnalante può rivolgersi alle autorità competenti — in Italia, l’Autorità Nazionale Anticorruzione (ANAC) svolge un ruolo centrale in questo sistema — quando il canale interno non è attivo o non è conforme ai requisiti di legge, quando ha già utilizzato il canale interno senza ricevere riscontro adeguato, o quando ha fondati motivi di ritenere che la segnalazione interna non possa essere efficacemente seguita.
• Divulgazione pubblica: è il livello più estremo e più delicato. Il segnalante che rende pubbliche le informazioni — ad esempio attraverso i media — è protetto soltanto in presenza di condizioni specifiche: deve aver previamente utilizzato i canali interni ed esterni senza risultato, oppure deve avere fondati motivi per ritenere che la segnalazione interna o esterna comporti un rischio di ritorsione o non abbia prospettive di successo, o ancora che la violazione costituisca un pericolo imminente per l’interesse pubblico.

Cosa si può segnalare: l’oggetto della segnalazione nel settore privato

Un aspetto spesso sottovalutato nella pratica del whistleblowing aziendale riguarda l’oggetto della segnalazione: non qualsiasi comunicazione interna di un dipendente insoddisfatto rientra nell’ambito di tutela della normativa. Il D.Lgs. 24/2023 circoscrive la protezione alle segnalazioni che abbiano ad oggetto violazioni del diritto dell’Unione europea o del diritto nazionale, purché acquisite nel contesto lavorativo.

Rientrano nell’ambito oggettivo di tutela, a titolo esemplificativo: le violazioni della normativa in materia di appalti pubblici, di servizi finanziari e di mercati dei capitali, di prevenzione del riciclaggio e del finanziamento del terrorismo, di sicurezza dei prodotti e dei trasporti, di tutela dell’ambiente e della salute pubblica, di protezione dei dati personali e della privacy, di sicurezza delle reti e dei sistemi informativi. Il legislatore italiano ha inoltre esteso la tutela alle violazioni di disposizioni nazionali che non trovano corrispondenza diretta nel diritto europeo, ampliando così il perimetro rispetto al minimo richiesto dalla direttiva.

Non rientrano invece nell’ambito di tutela le contestazioni di natura meramente individuale — come controversie salariali, conflitti interpersonali o lamentele sulla gestione delle risorse umane — che non presentino un profilo di illiceità normativa. Questa distinzione è cruciale per il professionista che assiste il lavoratore: qualificare correttamente la segnalazione come whistleblowing o come ordinaria contestazione lavorativa determina l’applicabilità o meno delle tutele rafforzate previste dalla normativa.

Le tutele contro le ritorsioni: contenuto e limiti

Il cuore della protezione offerta dal sistema normativo vigente è la tutela contro le ritorsioni. Il D.Lgs. 24/2023, in linea con la direttiva europea, vieta qualsiasi forma di ritorsione nei confronti del segnalante: il licenziamento, la retrocessione di carriera, il trasferimento non consensuale, la modifica peggiorativa delle condizioni di lavoro, la discriminazione nelle valutazioni di performance, le pressioni psicologiche, le segnalazioni negative a terzi. L’elenco contenuto nella normativa non è tassativo ma esemplificativo, il che significa che i tribunali possono qualificare come ritorsione anche comportamenti non espressamente menzionati purché siano causalmente collegati alla segnalazione.

Un aspetto particolarmente significativo riguarda l’inversione dell’onere della prova. Se il segnalante subisce un provvedimento sfavorevole dopo aver effettuato una segnalazione, spetta al datore di lavoro dimostrare che quel provvedimento non è collegato alla segnalazione ma è giustificato da ragioni autonome e preesistenti. Questa inversione è un meccanismo di tutela sostanziale, perché riconosce la difficoltà pratica che il lavoratore incontrerebbe nel dover provare positivamente il nesso causale tra la sua denuncia e il comportamento ritorsivo del datore.

La protezione si estende anche a terzi che possono essere coinvolti nella vicenda: i facilitatori — persone che assistono il segnalante nel processo di segnalazione — e le persone legate al segnalante da relazioni affettive o professionali che potrebbero essere bersaglio di ritorsioni indirette. Questa estensione soggettiva è importante perché le ritorsioni nei confronti dei familiari o dei colleghi del segnalante sono uno degli strumenti più comuni di pressione informale.

Quando la protezione non si applica

La normativa non offre una protezione incondizionata. Esistono condizioni che il segnalante deve soddisfare per beneficiare delle tutele, e situazioni in cui la protezione viene meno o non sorge affatto. In via generale, la protezione è subordinata al fatto che il segnalante avesse ragionevoli motivi per credere che le informazioni fossero vere: chi segnala fatti che sa essere falsi, o che segnala in malafede con l’intento di danneggiare una persona specifica, non solo non è protetto ma può essere esposto a responsabilità civili e penali. Analogamente, chi utilizza il sistema di whistleblowing come strumento di pressione nelle trattative sindacali o come tattica difensiva in un procedimento disciplinare già in corso rischia di vedersi opporre l’eccezione di abuso del diritto.

Sul piano oggettivo, la protezione riguarda le informazioni acquisite nell’ambito del contesto lavorativo: non copre le rivelazioni che attengono esclusivamente alla sfera privata dell’individuo segnalato, né le informazioni che il segnalante ha ottenuto in modo illecito. Quest’ultimo punto merita attenzione: la giurisprudenza si è interrogata su cosa accade quando il segnalante, per acquisire le prove a supporto della sua segnalazione, ha commesso atti che potrebbero configurare violazioni — ad esempio accedendo a documenti riservati. La risposta non è univoca e dipende dalla proporzionalità tra la violazione commessa e la gravità dell’illecito segnalato.

Le sanzioni per le imprese inadempienti

Un profilo che le imprese private tendono a sottovalutare è quello sanzionatorio. Il D.Lgs. 24/2023 attribuisce ad ANAC il potere di irrogare sanzioni amministrative pecuniarie nei confronti degli enti che violano gli obblighi previsti dalla normativa. Le fattispecie sanzionate comprendono: la mancata istituzione del canale di segnalazione interna, l’adozione di misure ritorsive nei confronti del segnalante, l’ostacolo alla segnalazione o il tentativo di impedirla, e la violazione dell’obbligo di riservatezza sull’identità del segnalante.

Le sanzioni possono raggiungere importi significativi — fino a cinquantamila euro per le violazioni più gravi — e si aggiungono alle eventuali responsabilità civili derivanti dal risarcimento del danno subito dal segnalante. In presenza di comportamenti ritorsivi particolarmente gravi, non è esclusa la rilevanza penale della condotta, ad esempio sotto il profilo della discriminazione o della violenza privata. Per le imprese che hanno adottato un Modello Organizzativo 231, la mancata integrazione del sistema di whistleblowing nel modello può inoltre essere valutata negativamente ai fini dell’accertamento dell’idoneità del modello stesso a prevenire i reati presupposto.

👉 Leggi anche: Parità di genere e trasparenza retributiva: come le aziende italiane implementano la direttiva UE 2023/1023

Come costruire un sistema di whistleblowing efficace nell’impresa privata

Adempiere formalmente all’obbligo di istituire un canale di segnalazione non equivale a costruire un sistema di whistleblowing nel settore privato genuinamente funzionale. La differenza tra un presidio di compliance reale e una struttura meramente cartacea si misura su tre dimensioni: l’accessibilità del canale, la credibilità del processo istruttorio e la cultura organizzativa che circonda il sistema.

Sul piano dell’accessibilità, il canale deve essere facilmente raggiungibile da tutti i soggetti protetti — inclusi collaboratori esterni, stagisti e fornitori che abbiano un contatto stabile con l’organizzazione — e deve consentire la segnalazione anche in forma anonima. La normativa non impone l’anonimato come requisito, ma la sua possibilità è un indicatore della serietà del sistema: un lavoratore che teme ritorsioni utilizzerà il canale soltanto se percepisce che la propria identità è effettivamente protetta.

Sul piano istruttorio, l’ente deve designare un gestore delle segnalazioni che sia dotato di reale indipendenza gerarchica rispetto alle funzioni aziendali potenzialmente coinvolte nelle violazioni segnalate. Affidare la gestione delle segnalazioni al responsabile delle risorse umane o al direttore generale crea un conflitto di interessi strutturale che mina la credibilità dell’intero sistema. La prassi più consolidata prevede il coinvolgimento dell’Organismo di Vigilanza 231, di un comitato etico indipendente o di un soggetto esterno specializzato.

Sul piano culturale, infine, nessun sistema tecnico può sostituire un clima organizzativo in cui la segnalazione di irregolarità è percepita come un atto di responsabilità e non come una forma di tradimento. Le imprese che investono in formazione specifica sul whistleblowing — rivolta non solo ai dipendenti ma anche al management — registrano tassi di utilizzo dei canali interni significativamente più elevati, il che si traduce in una maggiore capacità di intercettare i problemi prima che degenerino in crisi reputazionali o procedimenti giudiziari.

Whistleblowing e Modello 231: il raccordo necessario

Per le imprese che hanno adottato un Modello di Organizzazione, Gestione e Controllo ai sensi del D.Lgs. 231/2001, il sistema di whistleblowing aziendale non è un elemento separato ma una componente integrante del presidio di prevenzione dei reati. Il raccordo tra i due sistemi è imposto dalla logica stessa del Modello 231: un ente che si dota di protocolli di prevenzione ma non prevede un meccanismo strutturato per la segnalazione delle violazioni di quei protocolli costruisce un edificio privo di sistema di allarme.

In concreto, il Modello 231 dovrebbe prevedere esplicitamente il canale di segnalazione come strumento a disposizione di dipendenti, collaboratori e terzi per comunicare all’Organismo di Vigilanza condotte che possano integrare i reati presupposto della responsabilità dell’ente. L’Organismo di Vigilanza, a sua volta, è il soggetto naturalmente deputato a ricevere e gestire le segnalazioni che riguardino i vertici aziendali, garantendo quella indipendenza gerarchica che il sistema richiede. Le Linee Guida di Confindustria e di altre associazioni di categoria hanno progressivamente aggiornato le proprie indicazioni per riflettere i requisiti del D.Lgs. 24/2023, e le imprese che si avvalgono di tali linee guida come riferimento per la costruzione del proprio modello devono verificare che l’aggiornamento sia stato effettivamente recepito nella versione adottata.

La giurisprudenza sul whistleblowing nel settore privato: orientamenti applicativi

L’applicazione giurisprudenziale della normativa sul whistleblowing nel settore privato è ancora in fase di consolidamento, ma alcuni orientamenti emergono con sufficiente chiarezza da orientare la pratica professionale. I tribunali del lavoro si sono trovati a dover qualificare come ritorsione una serie di provvedimenti datoriali adottati in prossimità temporale di una segnalazione: trasferimenti, demansionamenti, mancati rinnovi contrattuali, esclusione da progetti rilevanti. In questi casi, l’inversione dell’onere della prova prevista dalla normativa ha giocato un ruolo determinante, imponendo al datore di lavoro di dimostrare l’autonoma giustificazione del provvedimento.

Un tema ricorrente nella giurisprudenza riguarda la qualificazione della segnalazione: i datori di lavoro hanno talvolta sostenuto che la comunicazione del dipendente non integrasse i requisiti del whistleblowing — perché non riguardava violazioni normative ma mere irregolarità gestionali, o perché il segnalante non aveva agito in buona fede — nel tentativo di escludere l’applicazione delle tutele rafforzate. I giudici hanno generalmente adottato un approccio estensivo nella qualificazione della segnalazione, privilegiando la sostanza della comunicazione rispetto alla sua forma, e hanno richiesto al datore di fornire prove concrete della malafede del segnalante piuttosto che limitarsi ad allegarne la possibilità.

Sul piano del risarcimento del danno, la giurisprudenza ha riconosciuto sia il danno patrimoniale — corrispondente alle retribuzioni perse o alle opportunità di carriera compromesse — sia il danno non patrimoniale derivante dalla lesione della dignità professionale del segnalante. In alcuni casi, i tribunali hanno applicato criteri di liquidazione del danno particolarmente rigorosi nei confronti dei datori di lavoro che avevano adottato misure ritorsive in modo sistematico o particolarmente aggressivo, inviando un segnale chiaro circa la serietà con cui l’ordinamento intende presidiare la libertà di segnalazione.

FAQ sul whistleblowing nel settore privato

Un’impresa con meno di cinquanta dipendenti è esonerata dagli obblighi di whistleblowing?

Non necessariamente. La soglia dei cinquanta lavoratori subordinati è quella ordinaria, ma le imprese che operano in settori specifici — come i servizi finanziari, la prevenzione del riciclaggio o la sicurezza dei trasporti — sono obbligate a istituire canali di segnalazione interna indipendentemente dalle proprie dimensioni. È quindi indispensabile verificare il settore di attività prima di concludere che l’obbligo non sussiste.

Il segnalante deve necessariamente usare prima il canale interno?

No. Il D.Lgs. 24/2023 prevede che il segnalante possa rivolgersi direttamente al canale esterno — tipicamente ANAC — quando il canale interno non è attivo, non è conforme ai requisiti di legge, o quando vi sono fondati motivi per ritenere che la segnalazione interna non possa essere efficacemente gestita. La gerarchia tra i canali è una preferenza normativa, non un obbligo procedurale a pena di decadenza dalla tutela.

Un ex dipendente può beneficiare delle tutele del whistleblowing?

Sì. La normativa estende esplicitamente la protezione ai soggetti il cui rapporto con l’ente si sia già concluso, purché le informazioni segnalate siano state acquisite durante il periodo di attività. Questa previsione è particolarmente rilevante nei casi in cui il dipendente abbia deciso di segnalare soltanto dopo la cessazione del rapporto, magari per timore di ritorsioni immediate.

Cosa rischia concretamente un’impresa che non istituisce il canale di segnalazione?

Le sanzioni amministrative irrogabili da ANAC possono raggiungere i cinquantamila euro per le violazioni più gravi. A queste si aggiungono le eventuali responsabilità civili per il risarcimento del danno subito dal segnalante e, nei casi più gravi, profili di rilevanza penale. Per le imprese dotate di Modello 231, la mancata integrazione del sistema di whistleblowing può inoltre compromettere l’idoneità del modello stesso.

La segnalazione anonima è protetta dalla normativa?

Il D.Lgs. 24/2023 non impone l’anonimato come requisito, ma non lo esclude. Le segnalazioni anonime possono essere trattate dall’ente e, se successivamente il segnalante viene identificato e subisce ritorsioni, beneficia comunque delle tutele previste dalla normativa. La possibilità di segnalare in forma anonima è considerata un indicatore della qualità e della credibilità del sistema di whistleblowing adottato dall’impresa.

Questo articolo è stato realizzato con il supporto dell'AI e sottoposto a revisione editoriale.