Direttiva UE sul whistleblowing: cosa deve sapere ogni azienda

Ogni azienda privata con 50 o più dipendenti, e ogni ente pubblico indipendentemente dalle dimensioni, è legalmente tenuto a gestire un canale di segnalazione interno ai sensi della Direttiva (UE) 2019/1937 — con un termine di 7 giorni per confermare la ricezione delle segnalazioni e 3 mesi per risolverle.

Punti chiave

• La Direttiva si applica alle aziende private con 50+ dipendenti e a tutti gli enti pubblici, indipendentemente dalle dimensioni.
• Le segnalazioni devono essere confermate entro 7 giorni e ricevere un riscontro entro un massimo di 3 mesi.
• La segnalazione anonima non è obbligatoria secondo la Direttiva stessa, ma diverse leggi nazionali (Portogallo, Germania) la richiedono.
• Le sanzioni per la non conformità devono essere "effettive, proporzionate e dissuasive" (articolo 23) — in pratica includono multe e, in alcuni paesi, responsabilità penale per ritorsioni.
• Ogni Stato membro ha recepito la Direttiva con proprie specificità — un canale generico non basta se ignora i requisiti locali.

Chi deve conformarsi

La Direttiva (UE) 2019/1937, adottata nell'ottobre 2019, stabilisce una base europea comune per proteggere chi segnala violazioni del diritto dell'UE riscontrate in ambito lavorativo. Il suo ambito è volutamente ampio:

• Aziende private con 50 o più dipendenti — la soglia che copre la maggior parte delle medie e grandi imprese.
• Tutti gli enti pubblici, inclusi, in alcuni Stati membri, i comuni con meno di 10.000 abitanti, senza soglia minima di organico.
• Settori regolamentati specifici (servizi finanziari, sicurezza dei trasporti, antiriciclaggio), anche sotto la soglia dei 50 dipendenti, perché la normativa UE di settore già richiedeva meccanismi di segnalazione.

Le aziende tra 50 e 249 dipendenti hanno beneficiato di un termine di recepimento posticipato in diversi Stati membri, ma quel periodo di grazia è ormai scaduto quasi ovunque — la non conformità non è più questione di "non ancora", è un'esposizione legale concreta.

Le due scadenze legali: 7 giorni e 3 mesi

È qui che i team di compliance sbagliano più spesso, perché non è un'unica scadenza, ma due, e sono sequenziali:

1. Conferma di ricezione — l'organizzazione deve confermare al segnalante che la segnalazione è stata ricevuta, entro 7 giorni di calendario.
2. Riscontro sulla segnalazione — entro un massimo di 3 mesi dalla conferma di ricezione (non dalla presentazione originale), l'organizzazione deve fornire al segnalante un riscontro sostanziale: quali misure sono state adottate o previste, e perché.

Mancare una di queste scadenze non è solo un difetto procedurale — nella maggior parte dei recepimenti è sanzionabile autonomamente, ed erode il fattore che più determina se i dipendenti usano davvero il canale interno invece di rivolgersi a un'autorità esterna o alla stampa: la fiducia che accada qualcosa.

Segnalazione anonima: cosa richiede davvero la Direttiva

La Direttiva protegge la riservatezza dell'identità del segnalante in ogni caso — questo non è negoziabile. Ciò che è lasciato alla discrezione degli Stati membri è se le organizzazioni debbano anche accettare segnalazioni completamente anonime (in cui l'identità non viene mai raccolta, nemmeno internamente).

• Portogallo (Lei n.º 93/2021) e Germania (HinSchG) richiedono alle organizzazioni di accettare e gestire segnalazioni anonime.
• Altri Stati membri lo lasciano facoltativo, ma lo consentono — e in pratica, offrire l'anonimato aumenta sensibilmente il volume delle segnalazioni, perché elimina il motivo principale del silenzio: la paura di essere identificati.

Un canale che supporta solo la segnalazione riservata (non anonima) è conforme in alcuni paesi e non conforme in altri — un aspetto immediatamente rilevante per qualsiasi azienda che operi in più paesi.

Sanzioni per la non conformità

L'articolo 23 della Direttiva impone agli Stati membri di stabilire sanzioni "effettive, proporzionate e dissuasive" contro:

• Persone fisiche o giuridiche che ostacolano o tentano di ostacolare una segnalazione.
• Chiunque adotti ritorsioni contro un segnalante.
• Chiunque violi l'obbligo di riservatezza dell'identità di un segnalante.
• Organizzazioni che non istituiscono o non mantengono il canale interno richiesto.

Gli importi esatti variano da Stato membro a Stato membro — alcuni fissano intervalli di sanzioni amministrative, altri le collegano al fatturato aziendale, e diversi prevedono responsabilità penale specificamente per ritorsioni contro i segnalanti. Ciò che resta costante ovunque: "non avevamo un canale" è trattato come aggravante, non come giustificazione.

Recepimenti nazionali a colpo d'occhio

Tutti gli Stati membri hanno recepito la Direttiva, ma i dettagli divergono — scadenze, requisiti di anonimato e strutture sanzionatorie non sono identici da Lisbona a Helsinki. Alcuni esempi: la Lei n.º 93/2021 (Portogallo), l'HinSchG (Germania), la Loi Waserman (Francia), la Ley 2/2023 (Spagna) e il D.Lgs. 24/2023 (Italia) aggiungono ciascuno specificità locali alla base europea. Un canale generico, pensato per una "conformità UE" astratta, spesso manca almeno uno di questi requisiti locali — esattamente il divario che colma una piattaforma multi-giurisdizione progettata per questo.

Come Vaelo ti aiuta a essere conforme in minuti, non in mesi

Vaelo è una piattaforma di segnalazione in hosting, costruita specificamente attorno a questa Direttiva e ai suoi recepimenti nazionali. Ti offre un canale di segnalazione personalizzabile e con capacità di anonimato attivo in pochi minuti — con le scadenze di 7 giorni e 3 mesi monitorate automaticamente, comunicazione anonima bidirezionale tra segnalante e investigatore, archiviazione cifrata delle prove, e una dashboard di gestione dei casi che il tuo team di compliance può davvero usare sotto pressione di scadenze, in tutte le 24 lingue ufficiali dell'UE.

Domande frequenti

Quali aziende devono rispettare la Direttiva UE sul whistleblowing? Qualsiasi organizzazione privata con 50 o più dipendenti, e tutti gli enti pubblici indipendentemente dalle dimensioni, devono istituire un canale di segnalazione interno ai sensi della Direttiva (UE) 2019/1937.

Qual è la scadenza per confermare la ricezione di una segnalazione? Le organizzazioni devono confermare la ricezione di una segnalazione entro 7 giorni e fornire un riscontro al segnalante entro un massimo di 3 mesi da tale conferma.

La Direttiva richiede segnalazioni anonime? La Direttiva stessa lascia facoltativa la segnalazione anonima a livello UE, ma diverse trasposizioni nazionali (tra cui Portogallo e Germania) impongono alle organizzazioni di accettare segnalazioni anonime e proteggere l'identità del segnalante end-to-end.

Cosa succede se un'azienda non si conforma alla Direttiva? L'articolo 23 impone agli Stati membri di prevedere sanzioni effettive, proporzionate e dissuasive; nella pratica ciò va dalle sanzioni amministrative alla responsabilità penale per ritorsioni contro i segnalanti, a seconda della legge nazionale.