MAINSYSTEMS 
La Delibera ANAC n. 478/2025 e il nuovo assetto organizzativo del whistleblowing in Italia
Con l'approvazione della Delibera n. 478 del 26 novembre 2025, l'Autorità Nazionale Anticorruzione (ANAC) ha impresso una svolta determinante nell'applicazione del Decreto Legislativo 10 marzo 2023, n. 24. A due anni dall'entrata in vigore della riforma che ha recepito la direttiva europea (UE) 2019/1937, l'Autorità ha emanato le nuove Linee Guida di seconda generazione, superando la fase di prima sperimentazione e introducendo prescrizioni vincolanti per tutte le aziende con almeno 50 dipendenti o dotate di Modello di Organizzazione, Gestione e Controllo ex D.Lgs. 231/2001.
Il provvedimento dell'ANAC mette fine a una serie di prassi aziendali elusive e definisce parametri rigorosi sulla gestione dei canali interni, sulla qualificazione del personale incaricato e sulle modalità di interazione con i lavoratori. L'Autorità ha rilevato come molte organizzazioni abbiano trattato l'adempimento normativo come una mera formalità burocratica, affidandosi a strumenti rudimentali – quali caselle di posta elettronica ordinaria o moduli cartacei – del tutto inidonei a garantire la riservatezza e l'inviolabilità dell'identità del segnalante.
L'integrazione di un sistema di whistleblowing conforme non rappresenta più una raccomandazione di buona condotta aziendale, bensì un presidio inderogabile di legalità. Le aziende che non si adeguano ai dettami della Delibera 478/2025 si espongono a un duplice fronte sanzionatorio: da un lato le pesanti sanzioni pecuniarie applicate direttamente dall'ANAC, dall'altro la soccombenza automatica nei contenziosi di lavoro per licenziamento o demansionamento ritorsivo promossi davanti ai Tribunali del Lavoro.
L'ANAC ha inoltre chiarito che la tutela si applica indistintamente ai dipendenti a tempo indeterminato e determinato, ai lavoratori somministrati, ai collaboratori coordinati e continuativi, ai tirocinanti, ai liberi professionisti consulenti, ai fornitori e ai titolari di quote societarie o membri del Consiglio di Amministrazione. L'ampiezza soggettiva della norma impone un ripensamento complessivo delle politiche di compliance e dei flussi informativi aziendali.
L'obbligo inderogabile di consultazione preventiva delle rappresentanze sindacali (RSA e RSU)
Uno degli aspetti più incisivi e dibattuti della Delibera ANAC 478/2025 è la perentoria riaffermazione dell'obbligo di consultazione sindacale preventiva sancito dall'articolo 4, comma 1, del D.Lgs. 24/2023. L'Autorità ha statuito che l'attivazione del canale interno di segnalazione e l'adozione della relativa procedura aziendale devono essere precedute dal formale coinvolgimento delle rappresentanze sindacali aziendali (RSA) o delle rappresentanze sindacali unitarie (RSU), ovvero, in loro assenza, delle organizzazioni sindacali territoriali comparativamente più rappresentative a livello nazionale.
L'omissione di questa fase di consultazione determina vizi radicali nell'intero impianto procedurale dell'impresa. Nei recenti orientamenti espressi dai Tribunali del Lavoro di Milano, Roma e Torino, i giudici hanno ribadito che la mancata consultazione delle sigle sindacali integra gli estremi della condotta antisindacale ai sensi dell'articolo 28 dello Statuto dei Lavoratori (Legge 300/1970). In sede giudiziaria, le organizzazioni sindacali possono ottenere la revoca immediata del canale irregolare e la condanna del datore di lavoro alla rimozione degli effetti della condotta illecita.
La consultazione deve vertere su elementi sostanziali:
- Le caratteristiche tecniche e informatiche della piattaforma utilizzata per assicurare la crittografia dei dati e l'anonimato;
- L'individuazione del soggetto gestore del canale e la verifica dei requisiti di autonomia e imparzialità;
- Le modalità di accesso al canale per il personale operativo, i lavoratori remoti e i collaboratori esterni;
- L'informativa sul trattamento dei dati personali redatta ai sensi degli articoli 13 e 14 del Regolamento UE 2016/679 (GDPR).
Le aziende che tentano di introdurre il canale in via unilaterale senza verbale di confronto sindacale si espongono all'invalidità della procedura di whistleblowing. Di conseguenza, il segnalante è pienamente legittimato a scavalcare l'azienda e a rivolgersi direttamente al canale esterno dell'ANAC o all'autorità giudiziaria, azzerando la capacità dell'impresa di gestire le criticità internamente.
Adotta un Canale Conforme alla Delibera ANAC 478/2025 con UNOVOX
Evita sanzioni fino a 50.000 €, contenziosi di lavoro e contestazioni sindacali con la nostra piattaforma certificata e crittografata.
Richiedi Dimostrazione Riservata →Autonomia e indipendenza del gestore del canale rispetto ai vertici aziendali
La Delibera 478/2025 ha tracciato una linea invalicabile tra la gestione operativa delle segnalazioni e il potere direttivo dei vertici aziendali. L'ANAC vieta tassativamente che l'Amministratore Delegato, i membri del Consiglio di Amministrazione, i direttori generali o i responsabili delle risorse umane (HR Director) assumano il ruolo di gestore del canale di whistleblowing o possano esercitare ingerenze sulle indagini interne.
Il gestore – sia esso una figura interna qualificata (come il Responsabile della Prevenzione della Corruzione e della Trasparenza nel pubblico, o il Responsabile Compliance / Internal Audit nel privato) o un soggetto esterno indipendente (avvocato, revisore o società specializzata) – deve operare in condizioni di assoluta terzietà. Il management aziendale non può avere accesso al fascicolo d'istruttoria contenente le generalità del segnalante o i dettagli non anonimizzati della segnalazione.
L'ANAC impone che l'eventuale relazione periodica trasmessa all'organo di governo societario contenga esclusivamente dati statistici aggregati e anonimizzati (numero di segnalazioni ricevute, aree aziendali interessate, esiti generali e azioni correttive strutturali). L'interferenza di un dirigente nel processo di accertamento costituisce violazione diretta dell'obbligo di riservatezza, sanzionata autonomamente con multe pecuniarie personali fino a 50.000 euro.
Per le aziende dotate di Modello 231, il coordinamento con l'Organismo di Vigilanza (OdV) deve essere disciplinato con la massima chiarezza. L'OdV può essere designato come gestore del canale purché la sua composizione collegiale assicuri la necessaria tempestività nel rispetto dei termini di legge e garantisca la rigorosa protezione del canale informatico attraverso un canale di segnalazione crittografato.
Il regime del licenziamento ritorsivo e l'inversione dell'onere della prova ex art. 17 D.Lgs. 24/2023
Il cuore protettivo della disciplina risiede nella presunzione legale di ritorsione disciplinata dall'articolo 17 del D.Lgs. 24/2023. Nei procedimenti giudiziari instaurati a seguito di atti discriminatori o sanzioni disciplinari applicate a un lavoratore che ha effettuato una segnalazione, l'onere della prova è integralmente ribaltato a carico del datore di lavoro.
Il meccanismo processuale opera con automatismo rigoroso:
- Il lavoratore deve unicamente dimostrare di aver effettuato una segnalazione e di aver successivamente subito una misura sfavorevole (licenziamento, sospensione dal lavoro, mutamento di mansioni, diniego di ferie o permessi, revoca di premi o progressioni di carriera);
- Si presume per legge che tale misura sia conseguenza diretta della segnalazione effettuata;
- Spetta al datore di lavoro fornire la prova positiva e inconfutabile che la decisione gestionale o disciplinare era fondata su ragioni oggettive, estranee e preesistenti rispetto alla segnalazione.
La giurisprudenza della Corte di Cassazione è categorica: le giustificazioni generiche basate su improvvisi cali di fatturato o su riorganizzazioni aziendali non documentate vengono respinte con fermezza. Se il licenziamento interviene entro uno o due anni dalla segnalazione e l'azienda non dispone di contestazioni disciplinari scritte antecedenti al whistleblowing, l'atto è dichiarato radicalmente nullo.
Ai sensi dell'articolo 18 dello Statuto dei Lavoratori, come richiamato dal D.Lgs. 24/2023, la nullità del licenziamento ritorsivo comporta l'ordine giudiziale di reintegrazione nel posto di lavoro e la condanna del datore di lavoro al risarcimento integrale del danno, pari a tutte le retribuzioni maturate dal giorno dell'estromissione fino all'effettiva reintegra, oltre al versamento dei contributi previdenziali e assistenziali e al risarcimento dell'eventuale danno biologico o esistenziale.
Il quadro sanzionatorio ANAC da 10.000 a 50.000 euro e la responsabilità dell'ente
L'articolo 21 del D.Lgs. 24/2023 attribuisce all'ANAC una potestà sanzionatoria diretta di straordinaria incisività. L'Autorità esercita la propria vigilanza mediante l'apertura di procedimenti sanzionatori autonomi, indipendenti dall'eventuale azione penale o civile della magistratura ordinaria.
Le sanzioni pecuniarie amministrative si articolano secondo scaglioni precisi:
- Da 10.000 a 50.000 euro: Quando l'ANAC accerta che sono stati commessi atti di ritorsione nei confronti del segnalante, quando la segnalazione è stata ostacolata o si è tentato di ostacolarla, oppure quando è stato violato l'obbligo di riservatezza dell'identità del whistleblower;
- Da 10.000 a 50.000 euro: Quando viene accertato che non sono stati istituiti i canali di segnalazione obbligatori per legge, o che i canali attivati non sono conformi ai requisiti di sicurezza e crittografia stabiliti dalla Delibera 478/2025;
- Da 10.000 a 50.000 euro: Quando l'azienda ha omesso di adottare le procedure operative interne per la gestione e l'accertamento delle segnalazioni, o non ha effettuato le attività di verifica dovute;
- Da 500 a 2.500 euro: A carico del segnalante, nei soli casi in cui sia stata accertata in sede giudiziaria la responsabilità penale per calunnia o diffamazione o la responsabilità civile per dolo o colpa grave.
Le sanzioni comminate dall'ANAC vengono pubblicate sul portale istituzionale dell'Autorità nella sezione amministrazione trasparente. Tale pubblicità negativa arreca un danno incalcolabile all'immagine aziendale e compromette il rating di legalità dell'impresa, precludendo l'accesso ad agevolazioni creditizie e a gare d'appalto pubbliche.
Prescrizioni tecniche del Garante Privacy e sicurezza dei flussi informativi
La gestione di una segnalazione di whistleblowing comporta il trattamento di dati personali a rischio elevato, comprendenti elementi di reato, violazioni etiche e dinamiche relazionali riservate. Il Garante per la Protezione dei Dati Personali ha emanato linee di indirizzo stringenti che vietano categoricamente soluzioni tecniche inadeguate.
In base al provvedimento del Garante e all'articolo 32 del GDPR, i canali informatici devono garantire:
- Crittografia end-to-end (E2EE): I contenuti testuali e gli allegati inviati devono essere cifrati mediante protocolli asimmetrici (AES-256 e RSA-4096), con chiavi crittografiche custodite esclusivamente dal gestore autorizzato;
- Segregazione dai sistemi informativi aziendali: Il software di whistleblowing deve risiedere su server esterni indipendenti, per impedire che gli amministratori di rete o i tecnici IT dell'azienda possano intercettare le trasmissioni o consultare i file di log;
- Assenza di log IP e metadati di connessione: I sistemi non devono registrare l'indirizzo IP, il browser fingerprinting o dati identificativi dell'hardware del segnalante;
- Valutazione di Impatto sulla Protezione dei Dati (DPIA): Il titolare del trattamento deve obbligatoriamente formalizzare una DPIA specifica per il trattamento whistleblowing prima di rendere operativo il sistema.
L'omissione di queste cautele espone l'azienda a sanzioni del Garante Privacy fino a 20 milioni di euro o al 4% del fatturato globale annuo ai sensi dell'art. 83 del GDPR, oltre all'inutilizzabilità probatoria delle informazioni raccolte.
La tempistica procedurale inderogabile: 7 giorni per l'avviso e 3 mesi per il riscontro
Il D.Lgs. 24/2023 stabilisce un rigido cronoprogramma per la gestione delle segnalazioni, che non ammette proroghe discrezionali da parte del datore di lavoro:
- 7 giorni solari per l'avviso di ricevimento: Il gestore della segnalazione deve rilasciare al segnalante un formale avviso di ricevimento entro sette giorni dalla data di ricezione dell'informativa;
- 3 mesi per il riscontro sul merito: Il gestore deve fornire al segnalante un riscontro tempestivo e motivato sull'esito dell'istruttoria, dando conto delle verifiche effettuate e delle misure adottate o pianificate per rimuovere la violazione.
Il mancato rispetto di queste finestre temporali abilita il segnalante a rivolgersi direttamente al canale esterno gestito dall'ANAC o a procedere con la divulgazione pubblica agli organi di stampa, conservando integralmente tutte le tutele contro il licenziamento e le ritorsioni. La piattaforma UNOVOX garantisce la gestione automatica e il monitoraggio puntuale di tutte le scadenze legali.
Tabella comparativa: Canali di whistleblowing e conformità ANAC in Italia
La tabella seguente illustra il grado di conformità e i rischi legali associati alle varie modalità di raccolta delle segnalazioni nelle aziende italiane:
| Tipologia di Canale | Garanzia di Riservatezza | Conformità Delibera ANAC 478/2025 | Rischio Sanzioni (ANAC / Lavoro) |
|---|---|---|---|
| E-mail aziendale (es. whistleblowing@azienda.it) | Inesistente (Accesso admin IT, visibilità log e IP) | Non conforme (Mancanza di crittografia asimmetrica) | Critico (Sanzione fino a 50.000 € + nullità atti) |
| Cassetta postale fisica in sede | Bassa (Rischio videosorveglianza, nessun dialogo) | Inadeguata (Impossibile garantire tracciamento 7 giorni) | Alto |
| Organismo di Vigilanza senza software dedicato | Media (Dipende dai canali di comunicazione usati) | Parziale (Rischio contestazioni su archiviazione e DPIA) | Medio-Alto |
| Piattaforma Digitale Crittografata UNOVOX | Totale (E2EE AES-256, no log IP, doppio canale) | 100% Conforme (ANAC, GDPR, D.Lgs. 24/2023) | Nullo / Piena opponibilità in giudizio |
L'adozione di una piattaforma SaaS specificamente progettata è l'unica via per azzerare il contenzioso ed evitare l'intervento sanzionatorio dell'ANAC.
Check-list operativa in dieci punti per le imprese italiane
Per assicurare la piena conformità aziendale alla Delibera ANAC 478/2025, si raccomanda l'esecuzione del seguente piano operativo:
- Verifica soglie dimensionali: Accertare l'obbligo per aziende con oltre 50 dipendenti o con Modello 231.
- Convocazione sindacale preventiva: Formalizzare l'informativa e il confronto con RSA/RSU ai sensi dell'art. 4.
- Nomina del gestore autonomo: Assegnare formalmente la gestione a una figura autonoma, imparziale e formata.
- Adozione di piattaforma crittografata: Installare un software certificato che supporti segnalazioni scritte e orali.
- Aggiornamento Modello 231: Integrare la procedura di whistleblowing nella Parte Generale del Modello 231.
- Redazione DPIA Whistleblowing: Effettuare la valutazione d'impatto privacy secondo le linee del Garante.
- Monitoraggio dei termini perentori: Configurare gli alert per l'avviso entro 7 giorni e il riscontro entro 3 mesi.
- Formazione del management: Istruire dirigenti e quadri sul divieto di ritorsione e sulle sanzioni dell'ANAC.
- Pubblicazione e trasparenza: Rendere facilmente accessibile la procedura sul sito web istituzionale e sulla intranet.
- Reportistica periodica all'OdV: Presentare relazioni periodiche anonimizzate all'Organismo di Vigilanza e al CdA.
L'adempimento puntuale di questi dieci passaggi mette l'azienda al riparo da ogni profilo di responsabilità civile, penale e amministrativa.
La leadership tecnologica di UNOVOX per la conformità aziendale in Italia
UNOVOX è la piattaforma di riferimento per le imprese italiane che richiedono la massima garanzia di conformità alla Delibera ANAC 478/2025, al D.Lgs. 24/2023 e agli standard del Garante Privacy.
Grazie all'infrastruttura ospitata in data center europei certificati ISO 27001 e al sistema di crittografia asimmetrica a prova di intercettazione, UNOVOX offre al personale un ambiente sicuro e confidenziale per segnalare illeciti, proteggendo contestualmente l'ente da pesanti sanzioni fino a 50.000 euro e contenziosi sul lavoro.
Scegli la sicurezza giuridica e tecnologica di UNOVOX. Richiedi una sessione dimostrativa per scoprire le nostre soluzioni dedicate al mercato italiano e al Modello 231.
Domande Frequenti su Whistleblowing, Delibera ANAC 478/2025 e D.Lgs. 24/2023
Ai sensi degli articoli 17 e 21 del D.Lgs. 24/2023, la misura ritorsiva (es. licenziamento o demansionamento) è nulla di pieno diritto con ordine di reintegrazione nel posto di lavoro, pagamento delle retribuzioni arretrate e risarcimento danni. Inoltre, l'ANAC può comminare una sanzione amministrativa pecuniaria da 10.000 a 50.000 euro a carico dell'azienda.
Sì, l'art. 4 del D.Lgs. 24/2023 e la Delibera ANAC n. 478/2025 impongono l'obbligo inderogabile di consultazione preventiva delle RSA o RSU aziendali. In loro assenza, devono essere consultate le articolazioni territoriali dei sindacati comparativamente più rappresentativi. La mancata consultazione rende il canale non conforme e configura condotta antisindacale.
Il gestore può essere una persona interna o un ufficio dedicato autonomo e con personale specificamente formato, oppure un soggetto esterno indipendente. L'ANAC vieta che tale ruolo sia affidato a vertici aziendali (CdA, Amministratore Delegato) o al Direttore del Personale, al fine di garantire la totale imparzialità e l'assenza di conflitti di interesse.
Nelle aziende con Modello 231, il canale deve consentire la segnalazione di reati presupposto 231 e di violazioni del codice etico. L'Organismo di Vigilanza (OdV) può essere designato come gestore del canale o ricevere flussi informativi aggregati e anonimizzati dal gestore per monitorare l'efficacia del modello preventivo.
Il gestore deve rilasciare al segnalante un avviso di ricevimento entro 7 giorni solari dalla data di ricezione e deve fornire un riscontro motivato sul merito dell'istruttoria entro massimo 3 mesi dalla data dell'avviso di ricevimento.
No. L'ANAC e il Garante Privacy escludono categoricamente l'uso di caselle e-mail ordinarie, in quanto non garantiscono la crittografia asimmetrica dei contenuti e consentono agli amministratori di rete IT di tracciare l'indirizzo IP e l'identità del segnalante.
Il segnalante può utilizzare il canale esterno dell'ANAC se il canale interno non è stato attivato, se non è conforme, se non è stato dato seguito alla segnalazione nei termini di 7 giorni o 3 mesi, oppure se ha fondati motivi di ritenere che la segnalazione interna non avrebbe seguito o comporterebbe il rischio di ritorsioni.
Oltre alla sanzione ANAC fino a 50.000 euro, la violazione dell'identità del segnalante o la mancata adozione di misure di sicurezza informatiche adeguate espone l'azienda alle sanzioni del Garante Privacy fino a 20 milioni di euro o al 4% del fatturato globale ai sensi del GDPR.