Linee guida ANAC 1/2025: cosa cambia per i Canali di segnalazione

Le linee guida ANAC n. 1/2025 sui canali interni di segnalazione sono state approvate con Delibera n. 478 del 26 novembre 2025 e ne è stata disposta la pubblicazione.

L’obiettivo è molto pratico: integrare e completare le indicazioni già fornite (anche nelle precedenti linee guida) per armonizzare le prassi operative e rendere più efficace il sistema di tutele.

Per le aziende, il messaggio è chiaro: il tema non è “avere un indirizzo email”, ma avere canali di segnalazione che garantiscano riservatezza, gestione corretta e tracciabilità del processo, conforme al D.lgs. 24/2023 sulla protezione dei segnalanti.

1) Canali di segnalazione: riservatezza prima di tutto

La normativa richiede che i canali interni garantiscano la riservatezza dell’identità della persona segnalante, dei soggetti coinvolti/menzionati, del contenuto e della documentazione.

Attenzione: la posta elettronica (anche PEC) non basta “da sola”

Le linee guida precisano che il ricorso alla posta elettronica (ordinaria o certificata) è di per sé non adeguato a garantire la riservatezza dell’identità della persona segnalante, se non accompagnato da specifiche contromisure e da un’adeguata valutazione del rischio (es. DPIA).

Il motivo è operativo: i sistemi di email generano e conservano log e metadati che possono rendere identificabile (anche indirettamente) la persona segnalante, soprattutto se usa la casella aziendale.

Accesso da rete interna: serve “non tracciabilità”

Se l’accesso ai canali di segnalazione avviene dalla rete interna del datore di lavoro, va garantita la non tracciabilità della persona segnalante anche tramite apparati come firewall o proxy.

2) Segnalazioni scritte e orali: non solo “si può”, ma “come”

Le linee guida ribadiscono che la persona segnalante deve poter scegliere tra modalità scritta e orale, e che l’ente deve descrivere nel proprio atto organizzativo/MOG 231 come riceve e gestisce anche le segnalazioni orali.

Per la forma orale, sono previste modalità come linea telefonica, messaggistica vocale o incontro diretto, con particolare attenzione alla riservatezza e alla gestione corretta.

Un punto pratico spesso sottovalutato: è “di primaria importanza” prevedere modalità di tracciamento/documentazione della segnalazione orale (registrazione con consenso oppure verbale dettagliato).

3) Tempistiche: 7 giorni + 3 mesi (e comunicazione continua)

· Conferma di ricezione entro 7 giorni dalla presentazione della segnalazione.

· Riscontro entro 3 mesi. Il termine non è perentorio, ma l’esito dell’istruttoria va comunicato.

Le linee guida sottolineano anche la necessità di mantenere aperta la comunicazione con la persona segnalante durante tutto il processo, anche tramite piattaforma.

4) Conservazione e cancellazione: limite massimo 5 anni

Una volta concluse le attività, la segnalazione e la documentazione vanno cancellate al più tardi entro cinque anni dalla comunicazione dell’esito finale alla persona segnalante.

5) Ruoli e indipendenza: attenzione ai conflitti

Le indicazioni sui ruoli mirano a preservare autonomia e imparzialità. In particolare, nelle organizzazioni grandi o complesse si ritiene opportuno che il RPD/DPO non coincida con il gestore, per evitare di limitare l’effettività delle rispettive funzioni; mentre in enti piccoli può essere possibile con valutazione ad hoc e motivazione.

6) Gruppi societari: quando è ammessa la condivisione del canale

Nei gruppi con imprese fino a 249 dipendenti è ammessa la condivisione del canale interno e della gestione, anche tramite una piattaforma unica “ramificata” in sotto canali autonomi.

In pratica: ciascuna società deve poter adempiere al proprio obbligo, nominare il proprio gestore e garantire che ogni gestore veda solo le segnalazioni dell’ente di appartenenza.

Le linee guida richiamano inoltre l’importanza di un accordo che disciplini anche misure tecniche e organizzative e le modalità con cui ogni ente accede solo alle proprie segnalazioni.

7) Sanzioni: perché è essenziale essere “conformi”, non solo “dotati”

ANAC può applicare una sanzione amministrativa pecuniaria da 10.000 a 50.000 euro in caso di mancata istituzione dei canali, mancata adozione di procedure o procedure non conformi.

Checklist rapida per le aziende (azione in 30 giorni)

1. Verificare che i canali di segnalazione garantiscano riservatezza e non tracciabilità (anche da rete interna).

2. Evitare di usare l’email come canale “principale” senza contromisure e DPIA.

3. Garantire modalità orali con documentazione/tracciamento adeguati.

4. Mettere in agenda Accordi operativi sul Livello di Servizio: 7 giorni (ricezione) + 3 mesi (riscontro).

5. Definire ruoli e sostituzioni, gestire conflitti ed evitare conflitti critici (es. DPO/gestore nelle aziende di grande dimensione).

6. Impostare conservazione e cancellazione entro 5 anni.

Come integrare in modo naturale un sistema whistleblowing

Le indicazioni ANAC spingono verso una gestione strutturata: canale dedicato, ruoli e accessi, tempistiche, comunicazioni e archiviazione/cancellazione. In questo contesto, un sistema whistleblowing con un sistema di gestione dei casi aiuta a rendere il processo coerente e dimostrabile.

Whistlelink offre soluzioni whistleblowing pensate per supportare organizzazioni che vogliono rafforzare trasparenza, responsabilità e conformità normativa.

Se state aggiornando i vostri canali di segnalazione o volete una verifica di allineamento rispetto alle linee guida ANAC n. 1/2025, possiamo condividere una checklist operativa e i punti chiave di configurazione.