Articolo a cura di: Redazione - Studio Legale Calvello

Un’azienda può aver acquistato una piattaforma whistleblowing, averla attivata e messa a disposizione dei dipendenti, senza aver organizzato correttamente la gestione delle segnalazioni. È una situazione che può verificarsi quando si considera l’installazione del software sufficiente per adempiere agli obblighi previsti dal D.Lgs. 24/2023. In realtà, la piattaforma whistleblowing e il gestore delle segnalazioni svolgono funzioni differenti: la prima costituisce uno strumento tecnologico, mentre il secondo è il soggetto incaricato di ricevere, esaminare e dare seguito alle segnalazioni secondo le prescrizioni normative.

Per le imprese soggette alla disciplina, distinguere queste due componenti significa comprendere quali attività devono essere effettivamente assicurate, come attribuire gli incarichi e quali responsabilità rimangono in capo all’organizzazione. La scelta diventa particolarmente delicata quando l’azienda affida il software a un fornitore esterno, dispone di un Organismo di Vigilanza oppure intende esternalizzare anche l’esame delle segnalazioni. Una valutazione legale e organizzativa consente di verificare se il sistema adottato sia coerente con gli obblighi applicabili e con la struttura aziendale.

Piattaforma whistleblowing e gestore delle segnalazioni: due funzioni diverse che non devono essere confuse

La piattaforma whistleblowing è uno strumento informatico attraverso il quale i soggetti legittimati possono trasmettere segnalazioni riguardanti violazioni rientranti nell’ambito di applicazione del D.Lgs. 24/2023. Il software permette generalmente di inviare comunicazioni riservate, allegare documenti, mantenere un’interlocuzione con il segnalante e organizzare le informazioni relative alla pratica. Le sue caratteristiche tecniche devono essere valutate rispetto alle esigenze di sicurezza, riservatezza e protezione dei dati personali richieste dalla normativa.

Il gestore whistleblowing è invece il soggetto al quale viene affidata la gestione del canale interno. Ai sensi dell’art. 4, comma 2, del D.Lgs. 24/2023, tale attività deve essere attribuita a una persona o a un ufficio interno autonomo, con personale specificamente formato, oppure a un soggetto esterno, anch’esso autonomo e dotato di personale specificamente formato. Il gestore deve assicurare la corretta presa in carico delle segnalazioni, mantenere le interlocuzioni necessarie con il segnalante, svolgere le verifiche pertinenti e fornire riscontro nei termini previsti dalla legge.

La distinzione assume particolare rilievo quando l’impresa acquista una soluzione informatica commercializzata come servizio whistleblowing completo. La disponibilità di un software non dimostra, da sola, che sia stato individuato un soggetto incaricato della gestione delle segnalazioni. Occorre verificare che cosa comprenda effettivamente il contratto: il fornitore potrebbe limitarsi a concedere l’utilizzo della piattaforma, curarne la manutenzione e garantire l’assistenza tecnica, senza assumere alcun incarico relativo alla valutazione delle comunicazioni ricevute.

Può anche accadere che lo stesso operatore commerciale offra sia la piattaforma sia un servizio di gestione esterna. In questa ipotesi, l’azienda deve distinguere contrattualmente e organizzativamente le prestazioni tecnologiche dalle attività affidate al gestore, verificando l’autonomia di quest’ultimo, le competenze del personale incaricato, le modalità di accesso alle informazioni e le procedure previste per l’esame delle segnalazioni. Non è sufficiente che il servizio venga presentato come integrato: bisogna accertare quali obbligazioni siano effettivamente assunte e da chi.

Un’ulteriore distinzione riguarda l’amministratore tecnico della piattaforma, che può occuparsi di configurazioni, aggiornamenti, credenziali e funzionamento del sistema. Tale figura non coincide necessariamente con il gestore delle segnalazioni e non deve disporre automaticamente dell’accesso al loro contenuto. I privilegi informatici devono essere definiti secondo le mansioni effettive, limitando l’accessibilità delle informazioni riservate ai soggetti legittimati e adottando misure tecniche adeguate per impedire consultazioni non autorizzate.

Questa separazione consente di comprendere perché un’impresa possa utilizzare una piattaforma tecnologicamente avanzata e presentare comunque carenze organizzative. Il software può assicurare determinate funzionalità, ma non sostituisce l’attività di valutazione giuridica e fattuale necessaria per stabilire se una comunicazione rientri nell’ambito della disciplina, quali approfondimenti siano appropriati e come procedere nel rispetto dei diritti delle persone coinvolte. Per comprendere gli ulteriori requisiti del sistema aziendale è utile distinguere questo profilo dalla questione, trattata separatamente, relativa al fatto che una piattaforma whistleblowing sia sufficiente per essere in regola.

Come organizzare correttamente il rapporto tra fornitore della piattaforma e gestore whistleblowing

Quando un’azienda decide di utilizzare una piattaforma informatica per il whistleblowing, deve stabilire chi ne curerà il funzionamento tecnico e chi assumerà la gestione delle segnalazioni. Si tratta di una scelta che richiede di esaminare l’organizzazione interna, la disponibilità di personale qualificato, l’eventuale presenza di un Organismo di Vigilanza e le caratteristiche del servizio offerto dal fornitore. Il D.Lgs. 24/2023 non impone che il gestore coincida con il fornitore della piattaforma, né richiede che la gestione sia necessariamente esternalizzata.

L’impresa può attribuire la gestione a una struttura interna dotata dei requisiti richiesti oppure affidarla a un professionista o a un soggetto esterno adeguatamente qualificato. Nel primo caso deve assicurare che le persone incaricate dispongano della necessaria autonomia e formazione, evitando interferenze incompatibili con la riservatezza e l’imparzialità della gestione. Nel secondo caso occorre disciplinare l’incarico esterno, definendo le attività affidate, le modalità operative, i rapporti con l’azienda e le procedure da seguire quando emergano situazioni che richiedono particolari cautele.

La presenza di un Organismo di Vigilanza istituito ai sensi del D.Lgs. 231/2001 richiede una valutazione specifica. L’OdV può essere individuato quale gestore delle segnalazioni quando ricorrono i requisiti previsti dalla disciplina whistleblowing, ma la sua esistenza non determina automaticamente l’attribuzione di tale funzione. Se l’impresa sceglie un gestore diverso, deve definire le modalità di coordinamento e i flussi informativi relativi alle violazioni rilevanti per il Modello 231, rispettando i limiti di riservatezza e le competenze dei soggetti coinvolti.

Particolare attenzione merita la disciplina dei rapporti con il fornitore tecnologico. Quando quest’ultimo tratta dati personali per conto dell’azienda, occorre verificare l’applicabilità dell’art. 28 del GDPR e predisporre un accordo che disciplini le operazioni consentite, le misure di sicurezza, il ricorso a eventuali sub-responsabili, la gestione degli incidenti e la restituzione o cancellazione dei dati al termine del servizio. La qualificazione privacy del gestore esterno deve essere valutata separatamente, considerando le attività effettivamente svolte e il grado di autonomia nelle decisioni relative al trattamento.

La regolamentazione contrattuale deve trovare riscontro nella configurazione concreta del sistema. Se il fornitore dispone di privilegi amministrativi, l’impresa deve verificare se tali privilegi consentano di visualizzare il contenuto delle segnalazioni o di identificare i segnalanti. Devono essere esaminate le misure di segregazione degli accessi, la cifratura, la gestione delle credenziali, le operazioni di manutenzione e le condizioni alle quali il personale tecnico può intervenire. La semplice dichiarazione commerciale secondo cui la piattaforma è conforme al GDPR non sostituisce queste verifiche.

Anche il gestore deve ricevere strumenti e istruzioni organizzative coerenti con le proprie responsabilità. L’azienda deve assicurare che siano individuati i soggetti autorizzati ad accedere alle segnalazioni, che le comunicazioni siano trattate con riservatezza e che siano disponibili modalità operative per la presa in carico, l’interlocuzione con il segnalante e lo svolgimento delle verifiche. L’art. 5 del D.Lgs. 24/2023 prevede, tra l’altro, l’avviso di ricevimento entro sette giorni dalla data di ricezione e il riscontro entro tre mesi secondo le decorrenze stabilite dalla disposizione. Le tempistiche nella gestione delle segnalazioni whistleblowing devono quindi essere considerate anche nella scelta del servizio e nella definizione delle responsabilità operative.

Il rapporto tra piattaforma e gestore richiede attenzione anche quando l’impresa cambia fornitore oppure sostituisce il soggetto incaricato delle segnalazioni. Il passaggio deve essere organizzato in modo da preservare la continuità della gestione, la disponibilità della documentazione necessaria, la riservatezza delle informazioni e la revoca degli accessi non più giustificati. È opportuno che i contratti prevedano anticipatamente le condizioni di cessazione del servizio e le modalità di trasferimento delle informazioni, evitando che una modifica organizzativa comprometta la gestione delle pratiche ancora aperte.

Obblighi, responsabilità e rischi quando la piattaforma whistleblowing non è affiancata da una gestione adeguata

La distinzione tra piattaforma e gestore assume particolare importanza quando l’azienda deve dimostrare di aver istituito un sistema di segnalazione conforme al D.Lgs. 24/2023. Per i soggetti tenuti ad applicare la disciplina, l’adempimento non si esaurisce nell’attivazione di un canale informatico, ma richiede che la gestione sia affidata a un soggetto dotato dei requisiti previsti dalla legge e che le segnalazioni possano essere effettivamente esaminate. Un sistema tecnologicamente funzionante può quindi presentare carenze organizzative se manca un incarico chiaramente attribuito, se il personale non è specificamente formato oppure se non sono state definite le modalità di gestione delle comunicazioni ricevute.

L’art. 4 del D.Lgs. 24/2023 richiede che la gestione del canale interno sia affidata a una persona o a un ufficio interno autonomo, con personale specificamente formato, oppure a un soggetto esterno autonomo e dotato di personale specificamente formato. L’azienda deve pertanto verificare che l’incarico sia concretamente esercitabile. La semplice indicazione di un nominativo nella configurazione della piattaforma non dimostra necessariamente che siano stati attribuiti compiti, responsabilità e strumenti adeguati. Occorre considerare anche l’eventuale presenza di conflitti di interessi, soprattutto quando il gestore appartiene alla struttura dirigenziale o potrebbe essere coinvolto nei fatti oggetto di segnalazione.

Un problema ricorrente riguarda la ripartizione delle responsabilità tra impresa, fornitore del software e gestore delle segnalazioni. Il fornitore tecnologico può assumere obblighi contrattuali relativi alla disponibilità del servizio, alla sicurezza informatica e alla manutenzione della piattaforma. Il gestore è invece incaricato delle attività previste dalla disciplina whistleblowing. L’affidamento di queste funzioni a soggetti esterni non elimina gli obblighi che la normativa pone a carico dell’ente. L’azienda deve verificare che il sistema adottato sia adeguato e che le attività affidate siano effettivamente organizzate secondo le prescrizioni applicabili.

Le conseguenze di una gestione irregolare devono essere valutate considerando la violazione concretamente riscontrata. L’art. 21 del D.Lgs. 24/2023 prevede sanzioni amministrative pecuniarie, applicate dall’ANAC nei casi stabiliti dalla disposizione. Tra le fattispecie sanzionabili rientrano la mancata istituzione dei canali di segnalazione, la mancata adozione di procedure conformi e la mancata effettuazione dell’attività di verifica e analisi delle segnalazioni ricevute. Per queste violazioni la legge prevede, ricorrendone i presupposti, sanzioni da 10.000 a 50.000 euro. Non ogni irregolarità tecnica della piattaforma determina automaticamente una sanzione: occorre accertare la specifica condotta, il suo inquadramento normativo e le responsabilità dei soggetti coinvolti.

Ulteriori criticità possono derivare dalla violazione della riservatezza dell’identità del segnalante o dall’accesso non autorizzato alle informazioni contenute nelle segnalazioni. L’art. 12 del D.Lgs. 24/2023 disciplina la tutela della riservatezza, mentre il GDPR impone di adottare misure tecniche e organizzative adeguate ai rischi del trattamento. La presenza di credenziali condivise, privilegi amministrativi eccessivi o accessi non correttamente revocati può richiedere interventi sia sulla configurazione della piattaforma sia sull’organizzazione dei soggetti incaricati.

La verifica deve riguardare anche il rapporto tra il gestore e gli altri organi aziendali. Quando una segnalazione interessa amministratori, dirigenti o persone che normalmente ricevono informazioni dal gestore, è necessario disporre di modalità operative idonee a prevenire interferenze e divulgazioni indebite. Il problema è particolarmente delicato quando la comunicazione riguarda direttamente il management, situazione per la quale occorre valutare chi deve intervenire quando una segnalazione whistleblowing coinvolge i vertici aziendali.

Per un’impresa che abbia già attivato il software, il controllo dovrebbe quindi partire dall’esame degli incarichi attribuiti, dei contratti con i fornitori, delle autorizzazioni di accesso e delle procedure operative. Se emergono carenze, gli interventi devono essere commisurati alla loro natura: può essere necessario formalizzare correttamente l’incarico del gestore, rivedere i permessi informatici, integrare le istruzioni operative oppure modificare il rapporto con il fornitore. Quando sono già presenti segnalazioni aperte, occorre evitare che la riorganizzazione interrompa le attività di gestione o comprometta la riservatezza delle informazioni.

Esempio pratico: azienda con piattaforma whistleblowing attiva ma senza un gestore formalmente incaricato

Consideriamo una società manifatturiera con 180 dipendenti che acquista una piattaforma whistleblowing da un fornitore informatico. Il software viene attivato e il collegamento per effettuare le segnalazioni viene comunicato al personale. La direzione ritiene di aver completato gli adempimenti perché la piattaforma consente di inviare comunicazioni riservate e di conservarne la documentazione.

Dopo alcuni mesi, un dipendente trasmette una segnalazione relativa a presunte irregolarità negli acquisti aziendali. La comunicazione viene registrata dal sistema, ma nessuno la prende in carico perché il contratto con il fornitore comprende esclusivamente il servizio tecnologico e l’azienda non ha individuato formalmente il soggetto incaricato della gestione. Il problema emerge quando il segnalante lamenta l’assenza di riscontro.

In una situazione simile, la disponibilità della piattaforma non compensa la mancata organizzazione della gestione delle segnalazioni. L’impresa deve verificare tempestivamente le attività omesse, individuare un gestore in possesso dei requisiti normativi e valutare come trattare la segnalazione già ricevuta, tutelando la riservatezza delle persone coinvolte. Occorre inoltre accertare se siano stati violati obblighi specifici e quali misure correttive risultino necessarie.

Il caso mostra perché, prima di acquistare una piattaforma o rinnovare un servizio esistente, sia opportuno verificare separatamente le prestazioni del fornitore tecnologico e quelle del soggetto incaricato delle segnalazioni. La distinzione permette di evitare che attività essenziali rimangano prive di un responsabile effettivamente individuato.

Domande frequenti sulla differenza tra piattaforma e gestore whistleblowing

Acquistare una piattaforma whistleblowing significa avere anche un gestore delle segnalazioni?

No. L’acquisto di una piattaforma non comporta automaticamente l’affidamento della gestione delle segnalazioni. Il fornitore può limitarsi a mettere a disposizione il software e l’assistenza tecnica. L’azienda deve verificare se il contratto comprenda anche un servizio di gestione e, in caso contrario, individuare un soggetto interno o esterno in possesso dei requisiti previsti dal D.Lgs. 24/2023.

Il fornitore della piattaforma può essere anche gestore whistleblowing?

Sì, purché il soggetto incaricato della gestione soddisfi i requisiti normativi di autonomia e formazione specifica del personale. Occorre distinguere le prestazioni tecnologiche dalle attività di gestione delle segnalazioni, definire gli incarichi e verificare le modalità di accesso alle informazioni riservate. La coincidenza tra fornitore e gestore non è vietata in quanto tale, ma deve essere valutata rispetto all’organizzazione concreta del servizio.

L’Organismo di Vigilanza può gestire le segnalazioni ricevute sulla piattaforma?

L’Organismo di Vigilanza può essere incaricato della gestione del canale whistleblowing quando dispone dei requisiti richiesti dalla normativa. La sua presenza nell’azienda non comporta però un’automatica attribuzione dell’incarico. Se il gestore è un soggetto diverso dall’OdV, devono essere organizzati i flussi informativi relativi alle segnalazioni rilevanti per il Modello 231, nel rispetto della riservatezza e delle rispettive competenze.

Chi risponde se la piattaforma funziona ma le segnalazioni non vengono gestite?

Occorre distinguere gli obblighi dell’ente da quelli eventualmente assunti dal fornitore tecnologico e dal gestore. Il mancato svolgimento delle attività di verifica e analisi delle segnalazioni può integrare una violazione rilevante ai sensi del D.Lgs. 24/2023. Le responsabilità devono essere accertate considerando gli incarichi conferiti, le condotte effettivamente tenute e le disposizioni applicabili. L’esternalizzazione del servizio non esonera automaticamente l’azienda dai propri obblighi.

È possibile cambiare gestore whistleblowing mantenendo la stessa piattaforma?

Sì, se le caratteristiche tecniche e contrattuali del servizio lo consentono. Il passaggio richiede di aggiornare gli incarichi, modificare le autorizzazioni di accesso e organizzare la continuità nella gestione delle segnalazioni già ricevute. È necessario verificare anche la conservazione della documentazione e la revoca delle credenziali del precedente gestore, evitando accessi non più giustificati o interruzioni delle attività in corso.

Consulenza legale per verificare piattaforma e gestione whistleblowing aziendale

Lo Studio Legale Calvello assiste le aziende nella verifica e nell’organizzazione dei sistemi whistleblowing, con particolare attenzione alla distinzione tra fornitore della piattaforma, gestore delle segnalazioni e soggetti coinvolti nei controlli interni. Esaminiamo gli incarichi, i rapporti contrattuali, le procedure operative e il coordinamento con il GDPR e, quando presente, con il Modello organizzativo 231 e l’Organismo di Vigilanza.

Se la vostra azienda ha già attivato una piattaforma ma deve verificare la correttezza dell’incarico al gestore, oppure intende affidare all’esterno la gestione delle segnalazioni, potete richiedere una consulenza allo Studio Legale Calvello per valutare la situazione esistente e individuare gli eventuali interventi necessari.