Whistleblowing nel settore privato: il quadro normativo dopo il D.Lgs. 24/2023
La tutela del lavoratore che denuncia illeciti all’interno della propria organizzazione rappresenta uno dei nodi più delicati del diritto del lavoro contemporaneo. Il tema del whistleblowing nel settore privato ha conosciuto una svolta decisiva con l’emanazione del Decreto Legislativo 10 marzo 2023, n. 24, che ha ridisegnato in modo organico l’intera disciplina della protezione dei segnalanti, recependo la Direttiva europea 2019/1937 e superando la frammentarietà delle disposizioni previgenti. Capire come funziona questa normativa, quali condotte essa protegge e quali conseguenze produce sul rapporto di lavoro è oggi indispensabile tanto per i lavoratori quanto per i professionisti che li assistono e per i datori di lavoro chiamati ad adeguare i propri modelli organizzativi.
Definizione e fondamento concettuale del whistleblowing
Il whistleblowing è l’atto con cui un soggetto interno a un’organizzazione pubblica o privata segnala in via riservata comportamenti illeciti, irregolarità gravi o violazioni di norme che si verificano nel contesto lavorativo. La metafora anglosassone del “fischietto” evoca l’immagine di chi, dall’interno di un sistema, lancia un segnale d’allarme verso l’esterno o verso strutture interne preposte al controllo, interrompendo una condotta che altrimenti rimarrebbe nell’ombra.
Dal punto di vista concettuale, il whistleblowing si colloca all’intersezione tra due valori fondamentali in tensione tra loro: da un lato, la lealtà organizzativa e l’obbligo di riservatezza che caratterizzano il rapporto di lavoro subordinato; dall’altro, l’interesse pubblico alla trasparenza, alla legalità e alla prevenzione dei danni collettivi derivanti da condotte illecite. Risolvere questa tensione in favore della tutela del segnalante è la scelta di fondo che il legislatore europeo prima, e quello italiano poi, hanno compiuto con crescente determinazione.
La normativa di whistleblowing è, del resto, una normativa di origine comunitaria che ha avuto un’importante evoluzione negli ultimi anni, passando da disposizioni settoriali e disomogenee a un sistema unitario e trasversale capace di coprire un ampio spettro di violazioni del diritto dell’Unione e del diritto nazionale.
Il D.Lgs. 24/2023: struttura e ambito di applicazione nel settore privato
Il D.Lgs. 24/2023, emanato il 10 marzo 2023, disciplina la protezione dei segnalanti nel settore privato introducendo obblighi precisi a carico dei soggetti privati e definendo un sistema articolato di canali di segnalazione, misure protettive e meccanismi sanzionatori. La riforma ha profondamente innovato il panorama normativo preesistente, che nel settore privato si limitava sostanzialmente alle disposizioni contenute nei modelli di organizzazione e gestione previsti dal D.Lgs. 231/2001, lasciando ampi spazi di incertezza sulla reale protezione del segnalante.
I soggetti obbligati
Il decreto si applica ai soggetti del settore privato che hanno impiegato, nell’ultimo anno, una media di almeno cinquanta lavoratori subordinati. Tuttavia, indipendentemente dalla soglia dimensionale, l’obbligo si estende a tutti i soggetti privati che operano nei settori dei servizi, prodotti e mercati finanziari, della prevenzione del riciclaggio e del finanziamento del terrorismo, della sicurezza dei trasporti e della tutela dell’ambiente, nonché a quelli che adottano modelli di organizzazione e gestione ai sensi del D.Lgs. 231/2001. Questa scelta legislativa riflette la consapevolezza che il rischio di illeciti organizzativi non è proporzionale esclusivamente alla dimensione dell’impresa, ma dipende anche dalla natura delle attività svolte e dalla loro esposizione a rischi specifici di compliance.
I soggetti protetti
La platea dei soggetti protetti è ampia e include non soltanto i lavoratori subordinati in senso stretto, ma anche i lavoratori autonomi, i collaboratori, i liberi professionisti, i consulenti, i volontari, i tirocinanti, i soggetti che svolgono attività di lavoro nell’ambito di rapporti non ancora iniziati o già conclusi, nonché gli azionisti e i componenti degli organi di amministrazione, direzione, controllo e vigilanza. Questa estensione soggettiva risponde alla logica per cui chiunque possa venire a conoscenza di violazioni nell’esercizio della propria attività lavorativa merita protezione, indipendentemente dalla qualificazione formale del rapporto che lo lega all’organizzazione.
Le condotte segnalabili: cosa protegge la norma
Il perimetro delle violazioni segnalabili è uno degli elementi centrali della disciplina e condiziona direttamente l’operatività della tutela. Il D.Lgs. 24/2023 copre le violazioni del diritto dell’Unione europea — in particolare negli ambiti elencati nell’allegato alla Direttiva 2019/1937, che spaziano dagli appalti pubblici alla sicurezza dei prodotti, dalla tutela ambientale alla protezione dei dati personali — nonché le disposizioni normative nazionali che ne danno attuazione. Sono inoltre ricomprese le violazioni delle disposizioni normative nazionali che, pur non rientrando negli ambiti europei, tutelano interessi di carattere generale quali la salute, la sicurezza sul lavoro, l’integrità del mercato e la legalità amministrativa.
È fondamentale comprendere che la protezione non si estende a qualsiasi segnalazione di insoddisfazione lavorativa o a denunce di condotte che, pur spiacevoli, non costituiscono violazioni di norme giuridiche. Il segnalante deve avere ragionevoli motivi per ritenere che le informazioni segnalate siano vere al momento della segnalazione e che rientrino nell’ambito di applicazione del decreto. Non è richiesta la certezza dell’illecito, ma è necessaria una base ragionevole di fondatezza: la segnalazione temeraria o in malafede non beneficia delle protezioni previste dal decreto.
👉 Leggi anche: Whistleblowing nel settore privato: protezione reale o illusoria dopo il d.lgs. 24/2023?
I canali di segnalazione: interno, esterno e divulgazione pubblica
Il decreto prevede un sistema tripartito di canali attraverso i quali il segnalante può veicolare le proprie informazioni, strutturato secondo una logica di preferenza per il canale interno, ma senza un obbligo assoluto di esaurirlo prima di ricorrere a canali esterni.
Il canale interno
I soggetti privati obbligati devono istituire canali di segnalazione interna che garantiscano la riservatezza dell’identità del segnalante, delle persone coinvolte e del contenuto della segnalazione. La gestione di questi canali può essere affidata a una persona o a un ufficio interno autonomo, oppure a un soggetto esterno. Il gestore del canale interno è tenuto a rilasciare un avviso di ricevimento entro sette giorni dalla ricezione della segnalazione e a fornire un riscontro al segnalante entro tre mesi. La corretta istituzione e gestione del canale interno non è soltanto un obbligo formale, ma costituisce un elemento essenziale del sistema di compliance aziendale e può incidere sulla valutazione della responsabilità dell’ente ai sensi del D.Lgs. 231/2001.
Il canale esterno presso ANAC
Il segnalante può ricorrere al canale esterno gestito dall’ANAC — Autorità Nazionale Anticorruzione, che gestisce un servizio di whistleblowing aggiornato e operativo. Il ricorso al canale esterno è possibile quando il segnalante ha già utilizzato il canale interno senza ottenere riscontro nel termine previsto, oppure quando ha ragionevoli motivi di ritenere che la segnalazione interna non sarebbe efficacemente seguita o potrebbe esporre il segnalante a ritorsioni, o ancora quando la violazione riguarda direttamente il responsabile del canale interno.
La divulgazione pubblica
La divulgazione pubblica — ovvero la rivelazione di informazioni al pubblico attraverso la stampa, i media o piattaforme accessibili al pubblico — è protetta solo a condizioni più restrittive: quando il segnalante ha già segnalato per via interna ed esterna senza ottenere riscontro adeguato, oppure quando ha fondati motivi di ritenere che la violazione possa costituire un pericolo imminente o manifesto per il pubblico interesse, o ancora quando la segnalazione esterna potrebbe comportare rischi di ritorsione o potrebbe essere insabbiata.
Il divieto di ritorsione e le misure protettive
Il cuore della disciplina è il divieto di ritorsione nei confronti del segnalante. Il decreto elenca in modo non tassativo una serie di misure che costituiscono ritorsione vietata: il licenziamento, la sospensione, il demansionamento, il trasferimento, la modifica dell’orario di lavoro, la valutazione negativa delle prestazioni, l’imposizione di misure disciplinari, la coercizione, l’intimidazione, la discriminazione, il mancato rinnovo di un contratto a termine, la risoluzione anticipata di un contratto di fornitura o di servizi, nonché qualsiasi altra misura che produca un danno, anche solo reputazionale, al segnalante.
La disposizione più rilevante sul piano probatorio è quella che introduce un meccanismo di inversione dell’onere della prova: quando il segnalante subisce una misura sfavorevole e dimostra di aver effettuato una segnalazione, spetta al datore di lavoro dimostrare che la misura adottata è fondata su ragioni oggettive del tutto estranee alla segnalazione. Questo meccanismo è di portata straordinaria nel contesto del diritto del lavoro italiano, dove ordinariamente l’onere di provare il carattere discriminatorio o ritorsivo di un atto datoriale grava sul lavoratore. L’inversione probatoria riduce significativamente l’asimmetria informativa e di potere che caratterizza il rapporto tra dipendente e datore, rendendo concretamente azionabile la tutela.
Le conseguenze dell’atto ritorsivo
Qualora il giudice accerti il carattere ritorsivo della misura adottata dal datore di lavoro, le conseguenze sono molteplici. Sul piano reale, l’atto ritorsivo è nullo e il lavoratore ha diritto alla reintegrazione nel posto di lavoro e al risarcimento del danno. Sul piano sanzionatorio amministrativo, l’ANAC può irrogare sanzioni pecuniarie significative sia nei confronti di chi adotta misure ritorsive, sia nei confronti di chi ostacola o tenta di ostacolare la segnalazione, sia nei confronti di chi viola l’obbligo di riservatezza sull’identità del segnalante. Le sanzioni possono colpire anche chi effettua segnalazioni che si rivelano manifestamente infondate con dolo o colpa grave, a tutela delle persone segnalate.
Il raccordo con la disciplina del whistleblowing pubblico e il quadro sistematico
Prima dell’entrata in vigore del D.Lgs. 24/2023, la tutela del segnalante nel settore pubblico trovava il proprio riferimento principale nell’articolo 54-bis del D.Lgs. 165/2001, introdotto dalla legge anticorruzione del 2012 e successivamente modificato. Quella disposizione, pur rappresentando un passo avanti significativo per il settore pubblico, lasciava il settore privato in una condizione di tutela assai più debole e frammentata. Il D.Lgs. 24/2023 ha operato una convergenza tra i due sistemi, abrogando le disposizioni previgenti e costruendo un regime unitario che, pur con alcune differenziazioni applicative, si applica trasversalmente ai due settori con principi comuni in materia di canali di segnalazione, riservatezza e divieto di ritorsione.
Per approfondire il quadro normativo complessivo e le modalità applicative del decreto, è utile fare riferimento alle analisi dottrinali dedicate alla nuova normativa, che ne ricostruiscono l’iter di formazione e le scelte di fondo operate dal legislatore delegato.
👉 Leggi anche: Whistleblowing nel settore privato: protezione e limiti della denuncia interna nel 2026
Obblighi organizzativi del datore di lavoro e rischi di inadempimento
Il D.Lgs. 24/2023 non si limita a proteggere il segnalante sul piano individuale, ma impone ai datori di lavoro obblighi organizzativi precisi la cui inosservanza espone l’impresa a conseguenze significative. In primo luogo, i soggetti obbligati devono istituire e rendere operativi i canali di segnalazione interna, adottare procedure chiare per la gestione delle segnalazioni e garantire la formazione del personale coinvolto nella gestione dei canali. La mancata istituzione dei canali interni o la loro inadeguata gestione è sanzionabile dall’ANAC con sanzioni amministrative pecuniarie.
Sul piano della responsabilità da reato degli enti, l’adeguamento dei modelli organizzativi ex D.Lgs. 231/2001 alle nuove disposizioni sul whistleblowing è diventato un elemento imprescindibile per garantire l’efficacia esimente del modello stesso. Un modello 231 che non preveda canali di segnalazione conformi al D.Lgs. 24/2023 rischia di essere considerato inadeguato, con le conseguenti ricadute sulla responsabilità dell’ente in caso di reati presupposto commessi da soggetti apicali o sottoposti.
Riservatezza, anonimato e tutela delle persone segnalate
La riservatezza dell’identità del segnalante è un pilastro del sistema. Il decreto vieta la rivelazione dell’identità del segnalante senza il suo consenso esplicito, salvo che la rivelazione sia indispensabile e proporzionata ai fini del procedimento penale o disciplinare avviato sulla base della segnalazione. In quest’ultimo caso, il segnalante deve essere preventivamente informato e le sue osservazioni devono essere valutate prima di procedere alla rivelazione.
Il decreto affronta anche la delicata questione delle segnalazioni anonime: pur non escludendole, rimette alla discrezionalità del gestore del canale la decisione se seguirle o meno. Questa scelta è coerente con la difficoltà di garantire protezione e riscontro a chi non si identifica, ma rischia di lasciare senza tutela situazioni in cui il timore di ritorsioni è così elevato da indurre il segnalante a non rivelare la propria identità nemmeno al gestore del canale.
Sul versante opposto, il decreto si preoccupa di tutelare le persone segnalate, riconoscendo loro il diritto alla riservatezza durante la fase istruttoria e garantendo la presunzione di innocenza fino all’accertamento definitivo della violazione. Il bilanciamento tra protezione del segnalante e tutela della reputazione del segnalato è uno degli aspetti più delicati della disciplina e richiede una gestione particolarmente attenta da parte dei soggetti preposti ai canali interni.
Prospettive applicative e questioni aperte
A oltre due anni dall’entrata in vigore del D.Lgs. 24/2023, emergono alcune questioni applicative che la prassi e, progressivamente, la giurisprudenza sono chiamate a risolvere. Una delle più rilevanti riguarda la definizione del confine tra segnalazione protetta e comunicazione interna ordinaria: non ogni comunicazione di un dipendente che segnali un problema aziendale costituisce whistleblowing, e la qualificazione della condotta come segnalazione protetta dipende da elementi quali la specificità delle informazioni, la ragionevole fondatezza del sospetto di illecito e la modalità di trasmissione attraverso i canali previsti.
Un’altra questione aperta riguarda il coordinamento tra la disciplina del whistleblowing e quella della privacy: il trattamento dei dati personali del segnalante, delle persone segnalate e dei testimoni coinvolti deve avvenire nel rispetto del Regolamento europeo sulla protezione dei dati, e la predisposizione di una documentazione di impatto sulla protezione dei dati è diventata parte integrante degli adempimenti organizzativi richiesti ai soggetti obbligati.
Sul piano della tutela giudiziale, i tribunali del lavoro sono progressivamente chiamati ad applicare il meccanismo di inversione dell’onere della prova introdotto dal decreto, affrontando la difficile questione di come il datore di lavoro possa dimostrare che una misura sfavorevole adottata nei confronti di un segnalante è fondata su ragioni oggettive e non costituisce ritorsione. La risposta a questa domanda richiederà un’elaborazione giurisprudenziale che tenga conto della specificità del contesto organizzativo, della sequenza temporale degli eventi e della coerenza delle motivazioni addotte dal datore rispetto alla sua prassi gestionale complessiva.
Conclusioni: verso una cultura della legalità organizzativa
Il D.Lgs. 24/2023 rappresenta un punto di svolta nella disciplina del whistleblowing nel settore privato italiano, segnando il passaggio da un sistema frammentato e di fatto poco efficace a un regime organico che pone la protezione del segnalante al centro di un più ampio progetto di promozione della legalità nelle organizzazioni private. La norma non si limita a tutelare il singolo lavoratore coraggioso che decide di esporre un illecito, ma impone alle imprese di costruire strutture interne capaci di raccogliere, gestire e valorizzare le segnalazioni come strumento ordinario di governance e prevenzione del rischio. Per i datori di lavoro, l’adeguamento non è soltanto un obbligo normativo da assolvere formalmente, ma un’opportunità per rafforzare la propria cultura organizzativa e ridurre l’esposizione a rischi reputazionali, legali e finanziari. Per i lavoratori, conoscere i propri diritti e le modalità di esercizio della segnalazione è il presupposto indispensabile per poter agire con consapevolezza e con la ragionevole certezza di non essere lasciati soli di fronte alle pressioni che inevitabilmente accompagnano la scelta di denunciare un illecito.
Questo articolo è stato realizzato con il supporto dell'AI e sottoposto a revisione editoriale.
