Whistleblowing nel settore privato: il quadro normativo tra tutele e responsabilità
Capire come funziona il whistleblowing nel settore privato è diventato, nel 2026, una necessità operativa concreta per imprese, lavoratori e professionisti legali. La denuncia di illeciti all’interno di un’organizzazione privata non è più una scelta lasciata all’iniziativa individuale del singolo dipendente coraggioso: è un sistema strutturato, regolato da norme europee e nazionali che impongono obblighi precisi agli enti e garantiscono protezioni specifiche a chi segnala. La tensione fondamentale che attraversa questa materia — tra la lealtà verso il datore di lavoro e la tutela dell’interesse pubblico — trova oggi una risposta normativa articolata nella Direttiva UE 2019/1937 e nel suo recepimento italiano attraverso il Decreto Legislativo 10 marzo 2023, n. 24. Comprendere i confini di questa tutela, i canali attraverso cui può essere esercitata e i limiti che la legislazione pone significa, per il lavoratore, sapere quando è protetto e quando rischia di esporsi; per l’impresa, sapere come costruire un sistema di compliance genuinamente funzionale.
La Direttiva UE 2019/1937: fondamenti e ambito di applicazione
La Direttiva europea 2019/1937 rappresenta il primo intervento armonizzato a livello comunitario in materia di protezione delle persone che segnalano violazioni del diritto dell’Unione. Prima della sua adozione, il panorama normativo europeo era profondamente frammentato: alcuni Stati membri disponevano di leggi organiche sulla tutela dei whistleblower, altri si affidavano a disposizioni sparse nel diritto del lavoro, nel diritto penale o nella normativa anticorruzione. Il risultato era una disomogeneità che rendeva la protezione del segnalante dipendente, in modo quasi casuale, dalla giurisdizione in cui operava.
La direttiva supera questa frammentazione stabilendo uno standard minimo comune che gli Stati membri sono tenuti a rispettare e possono soltanto migliorare, non peggiorare. Il suo ambito di applicazione ratione materiae copre le violazioni del diritto dell’Unione in settori specifici — dagli appalti pubblici alla tutela dell’ambiente, dalla sicurezza dei prodotti alla protezione dei dati personali, passando per la normativa fiscale e quella sui mercati finanziari — ma lascia agli Stati la facoltà di estendere le tutele anche ad ambiti puramente nazionali. Sul piano soggettivo, la direttiva protegge non solo i lavoratori dipendenti in senso stretto, ma anche collaboratori, liberi professionisti, azionisti, membri di organi di amministrazione e persino i candidati a una posizione lavorativa che abbiano acquisito informazioni durante il processo di selezione.
Centrale nella struttura della direttiva è la distinzione tra tre canali di segnalazione: quello interno all’organizzazione, quello esterno alle autorità competenti, e la divulgazione pubblica. Questa architettura a tre livelli non è casuale: riflette una precisa filosofia normativa che privilegia la risoluzione interna dei problemi, pur riconoscendo che in certi contesti il canale interno può essere inadeguato, inefficace o addirittura compromesso.
Il recepimento italiano: il D.Lgs. 24/2023 e la sua struttura
L’Italia ha recepito la Direttiva 2019/1937 con il Decreto Legislativo 10 marzo 2023, n. 24, che ha abrogato le precedenti disposizioni in materia — contenute in modo frammentario nella legge anticorruzione e nel Codice del lavoro — sostituendole con una disciplina organica e unitaria. Il decreto si applica sia al settore pubblico sia al settore privato, sebbene con alcune differenziazioni procedurali che tengono conto delle peculiarità di ciascun contesto.
Per quanto riguarda il whistleblowing nel settore privato, il D.Lgs. 24/2023 stabilisce che le imprese private con almeno cinquanta lavoratori subordinati — soglia che può variare in ragione del settore di attività e della tipologia di rischi — sono obbligate a istituire canali di segnalazione interna. Questo obbligo non è meramente formale: il decreto richiede che i canali siano progettati e gestiti in modo da garantire la riservatezza dell’identità del segnalante, delle persone coinvolte nella segnalazione e delle informazioni trasmesse. La gestione può essere affidata a una persona o a un ufficio interno all’ente, oppure a un soggetto esterno, purché dotato di adeguate garanzie di autonomia e competenza.
Il decreto disciplina poi le procedure che devono essere seguite una volta ricevuta la segnalazione: l’ente è tenuto ad accusare ricevuta entro un termine ragionevole, a svolgere un’istruttoria diligente e imparziale, e a fornire un riscontro al segnalante sull’esito della verifica. Questi obblighi procedurali non sono dettagli burocratici: sono la sostanza della tutela, perché un sistema che riceve segnalazioni senza darvi seguito è, nella migliore delle ipotesi, inutile e, nella peggiore, uno strumento di identificazione e successiva ritorsione nei confronti del segnalante.
I tre canali di segnalazione previsti dalla normativa
Come anticipato, il D.Lgs. 24/2023 struttura il sistema di segnalazione su tre livelli distinti, ciascuno con le proprie caratteristiche e condizioni di accesso.
- Canale interno: è il primo livello, quello che il legislatore considera preferibile perché consente all’organizzazione di prendere atto del problema e porvi rimedio senza che la vicenda diventi pubblica o coinvolga autorità esterne. Il segnalante che utilizza questo canale gode di piena protezione purché abbia avuto ragionevoli motivi per ritenere che le informazioni segnalate fossero vere al momento della segnalazione.
- Canale esterno: il segnalante può rivolgersi alle autorità competenti — in Italia, l’Autorità Nazionale Anticorruzione (ANAC) svolge un ruolo centrale in questo sistema — quando il canale interno non è attivo o non è conforme ai requisiti di legge, quando ha già utilizzato il canale interno senza ricevere riscontro adeguato, o quando ha fondati motivi di ritenere che la segnalazione interna non possa essere efficacemente seguita.
- Divulgazione pubblica: è il livello più estremo e più delicato. Il segnalante che rende pubbliche le informazioni — ad esempio attraverso i media — è protetto soltanto in presenza di condizioni specifiche: deve aver previamente utilizzato i canali interni ed esterni senza risultato, oppure deve avere fondati motivi per ritenere che la segnalazione interna o esterna comporti un rischio di ritorsione o non abbia prospettive di successo, o ancora che la violazione costituisca un pericolo imminente per l’interesse pubblico.
Le tutele contro le ritorsioni: contenuto e limiti
Il cuore della protezione offerta dal sistema normativo vigente è la tutela contro le ritorsioni. Il D.Lgs. 24/2023, in linea con la direttiva europea, vieta qualsiasi forma di ritorsione nei confronti del segnalante: il licenziamento, la retrocessione di carriera, il trasferimento non consensuale, la modifica peggiorativa delle condizioni di lavoro, la discriminazione nelle valutazioni di performance, le pressioni psicologiche, le segnalazioni negative a terzi. L’elenco contenuto nella normativa non è tassativo ma esemplificativo, il che significa che i tribunali possono qualificare come ritorsione anche comportamenti non espressamente menzionati purché siano causalmente collegati alla segnalazione.
Un aspetto particolarmente significativo riguarda l’inversione dell’onere della prova. Se il segnalante subisce un provvedimento sfavorevole dopo aver effettuato una segnalazione, spetta al datore di lavoro dimostrare che quel provvedimento non è collegato alla segnalazione ma è giustificato da ragioni autonome e preesistenti. Questa inversione è un meccanismo di tutela sostanziale, perché riconosce la difficoltà pratica che il lavoratore incontrerebbe nel dover provare positivamente il nesso causale tra la sua denuncia e il comportamento ritorsivo del datore.
La protezione si estende anche a terzi che possono essere coinvolti nella vicenda: i facilitatori — persone che assistono il segnalante nel processo di segnalazione — e le persone legate al segnalante da relazioni affettive o professionali che potrebbero essere bersaglio di ritorsioni indirette. Questa estensione soggettiva è importante perché le ritorsioni nei confronti dei familiari o dei colleghi del segnalante sono uno degli strumenti più comuni di pressione informale.
Quando la protezione non si applica
La normativa non offre una protezione incondizionata. Esistono condizioni che il segnalante deve soddisfare per beneficiare delle tutele, e situazioni in cui la protezione viene meno o non sorge affatto. In via generale, la protezione è subordinata al fatto che il segnalante avesse ragionevoli motivi per credere che le informazioni fossero vere: chi segnala fatti che sa essere falsi, o che segnala in malafede con l’intento di danneggiare una persona specifica, non solo non è protetto ma può essere esposto a responsabilità civili e penali. Analogamente, chi utilizza il sistema di whistleblowing come strumento di pressione nelle trattative sindacali o come tattica difensiva in un procedimento disciplinare già in corso rischia di vedersi opporre l’eccezione di abuso del diritto.
Sul piano oggettivo, la protezione riguarda le informazioni acquisite nell’ambito del contesto lavorativo: non copre le rivelazioni che attengono esclusivamente alla sfera privata dell’individuo segnalato, né le informazioni che il segnalante ha ottenuto in modo illecito. Quest’ultimo punto merita attenzione: la giurisprudenza si è interrogata su cosa accade quando il segnalante, per acquisire le prove a supporto della sua segnalazione, ha commesso atti che potrebbero configurare violazioni — ad esempio accedendo a documenti riservati. La risposta non è univoca e dipende dalla proporzionalità tra la violazione commessa e la gravità dell’illecito segnalato.
Gli obblighi organizzativi per le imprese private
Per le imprese private, il D.Lgs. 24/2023 non è solo una fonte di diritti per i lavoratori: è una fonte di obblighi organizzativi che richiedono investimenti strutturali. La costruzione di un canale di segnalazione interna conforme alla normativa implica scelte tecnologiche, procedurali e di governance che non possono essere improvvisate.
Sul piano tecnologico, il canale deve garantire la riservatezza delle comunicazioni. Questo significa che le soluzioni basate su semplici caselle di posta elettronica ordinarie sono generalmente inadeguate, perché non offrono garanzie sufficienti di riservatezza e non consentono la gestione anonima delle segnalazioni. Sono invece preferibili piattaforme dedicate, progettate specificamente per questo scopo, che consentano la comunicazione bidirezionale tra segnalante e gestore anche in regime di anonimato.
Sul piano procedurale, l’impresa deve definire chi gestisce le segnalazioni, come vengono istruite, quali sono i tempi di risposta e come viene garantita l’indipendenza del gestore rispetto ai soggetti eventualmente coinvolti nella segnalazione. Il gestore del canale interno deve essere una figura dotata di credibilità, competenza e autonomia: spesso si tratta dell’organismo di vigilanza previsto dal D.Lgs. 231/2001, oppure di un ufficio compliance dedicato, o ancora di un professionista esterno.
Sul piano della governance, l’impresa deve assicurarsi che il sistema di whistleblowing sia integrato nel più ampio programma di compliance aziendale. In maggio 2026, Confindustria ha pubblicato una Guida Operativa sul Whistleblowing destinata alle imprese private, che fornisce indicazioni pratiche su come costruire e gestire il sistema di segnalazione interna in modo conforme alla normativa. Si tratta di un documento di riferimento importante per le imprese che devono tradurre gli obblighi normativi in procedure concrete.
Il rapporto con il Modello Organizzativo 231
Un tema ricorrente nella pratica aziendale è il rapporto tra il sistema di whistleblowing e il Modello di Organizzazione, Gestione e Controllo previsto dal D.Lgs. 231/2001. Le due discipline hanno origini e finalità parzialmente diverse — il Modello 231 nasce come strumento di prevenzione della responsabilità amministrativa degli enti per reati commessi nel loro interesse, mentre il sistema di whistleblowing è orientato alla protezione del segnalante e alla emersione degli illeciti — ma presentano significative aree di sovrapposizione.
In particolare, l’organismo di vigilanza previsto dal Modello 231 è spesso indicato come soggetto naturalmente deputato a ricevere e gestire le segnalazioni di whistleblowing, in ragione della sua posizione di terzietà rispetto al management e delle competenze in materia di controllo interno. Questa soluzione è praticabile ma richiede attenzione: l’organismo di vigilanza deve essere strutturato in modo da poter gestire le segnalazioni nel rispetto dei tempi e delle procedure previsti dal D.Lgs. 24/2023, che sono più stringenti di quelli tradizionalmente applicati nell’ambito del Modello 231.
La giurisprudenza più recente e le tendenze applicative
Il whistleblowing nel settore privato è un ambito in cui la giurisprudenza sta evolvendo rapidamente, man mano che i tribunali sono chiamati ad applicare le nuove disposizioni del D.Lgs. 24/2023 a fattispecie concrete. Le questioni che emergono con maggiore frequenza riguardano: la qualificazione del comportamento del datore di lavoro come ritorsione; i limiti della protezione quando il segnalante ha commesso irregolarità nell’acquisire le informazioni; la validità delle segnalazioni anonime e il loro peso nell’ambito dei procedimenti disciplinari.
Sul fronte delle ritorsioni, i tribunali tendono ad applicare un approccio sostanziale piuttosto che formale: ciò che rileva non è la qualificazione giuridica del provvedimento adottato dal datore di lavoro, ma il suo effetto concreto sulla posizione del lavoratore e la sua connessione temporale e logica con la segnalazione. Un trasferimento che avviene a pochi giorni dalla segnalazione, in assenza di giustificazioni organizzative plausibili, sarà difficilmente inquadrabile come atto neutro.
Per un approfondimento sull’evoluzione della giurisprudenza e della prassi operativa in materia di whistleblowing e diritto del lavoro, è utile consultare l’analisi disponibile sul sito WST Legal, che offre una panoramica aggiornata delle principali pronunce e dei criteri applicativi emergenti.
Segnalazione anonima: opportunità e criticità
Uno degli aspetti più dibattuti del sistema normativo vigente riguarda la segnalazione anonima. La normativa consente al segnalante di non rivelare la propria identità, e il gestore del canale interno è tenuto a trattare con riservatezza anche le segnalazioni anonime. Tuttavia, l’anonimato presenta implicazioni pratiche significative sia per il segnalante sia per l’organizzazione.
Per il segnalante, la scelta dell’anonimato offre una protezione immediata contro le ritorsioni, ma può ridurre la capacità del gestore di condurre un’istruttoria efficace: senza poter contattare il segnalante per richiedere integrazioni o chiarimenti, l’istruttoria deve fondarsi esclusivamente sulle informazioni inizialmente fornite. Per l’organizzazione, le segnalazioni anonime pongono una sfida nella gestione del contraddittorio: il soggetto segnalato ha diritto a conoscere le accuse che gli vengono mosse, ma la rivelazione dell’identità del segnalante potrebbe esporlo a ritorsioni. Bilanciare questi interessi contrapposti richiede procedure interne ben calibrate.
Indicazioni pratiche per il lavoratore che intende segnalare
Per il lavoratore che si trova di fronte a una situazione di potenziale illecito e valuta se e come segnalarla, il primo passo è verificare se l’impresa dispone di un canale di segnalazione interna conforme alla normativa. In presenza di tale canale, la segnalazione interna è generalmente la scelta più opportuna: consente di beneficiare della protezione normativa e offre all’organizzazione la possibilità di intervenire prima che la vicenda si aggravi.
Prima di procedere, è consigliabile documentare accuratamente i fatti che si intendono segnalare: non per costruire un dossier da utilizzare in un eventuale contenzioso, ma perché una segnalazione ben circostanziata è più facilmente istruibile e più difficilmente liquidabile come vaga o infondata. È altresì opportuno verificare che le informazioni che si intendono segnalare siano state acquisite nell’ambito del proprio contesto lavorativo e che vi siano ragionevoli motivi per ritenere che corrispondano al vero.
Se il canale interno non esiste, non funziona o il segnalante ha fondati motivi per ritenere che la segnalazione interna non sarà efficacemente gestita, il ricorso al canale esterno — tipicamente attraverso l’ANAC — è pienamente legittimo e garantisce le stesse protezioni. La divulgazione pubblica rimane invece una scelta da riservare a situazioni di particolare gravità e urgenza, in cui gli altri canali si siano rivelati inadeguati.
Conclusioni: un sistema in evoluzione che richiede consapevolezza
Il quadro normativo che regola il whistleblowing nel settore privato in Italia nel 2026 è il risultato di un processo di maturazione legislativa che ha trasformato la denuncia degli illeciti da atto eroico e rischioso a procedura regolata e tutelata. La Direttiva UE 2019/1937 e il D.Lgs. 24/2023 hanno costruito un’architettura normativa che, se correttamente applicata, offre protezioni significative al segnalante e impone obblighi organizzativi seri alle imprese. Tuttavia, la distanza tra la norma scritta e la realtà applicativa rimane un elemento da non sottovalutare: la protezione contro le ritorsioni è tanto più efficace quanto più il segnalante è informato dei propri diritti, quanto più l’impresa ha costruito un sistema di segnalazione genuinamente funzionale, e quanto più i tribunali applicano con rigore i meccanismi di tutela previsti dalla legge. La consapevolezza normativa — da parte di lavoratori, professionisti e imprese — è dunque la condizione preliminare affinché il sistema produca gli effetti che il legislatore europeo e nazionale si è proposto di raggiungere.
Questo articolo è stato realizzato con il supporto dell'AI e sottoposto a revisione editoriale.
