App whistleblowing e ispezione del Garante: cosa verificare

Risposta rapida. Un’app whistleblowing non va sostituita solo perché il Garante sta controllando le applicazioni più diffuse. Verificate prima obbligo e modalità del canale, ruoli e accessi, catena fornitore-hosting-subresponsabili, configurazione ed evidenze. Conservate ciò che funziona, riparate gli scarti dimostrabili e sostituite soltanto ciò che il fornitore non può correggere.

L'app whistleblowing acquistata dall'impresa è diventata un oggetto esplicito dell'attenzione ispettiva. Il programma del Garante per gennaio-luglio 2026 prosegue gli accertamenti sulle applicazioni più diffuse per ricevere e gestire le segnalazioni, anche con il possibile contributo della Guardia di Finanza ¹. Non significa che tutte le almeno quaranta ispezioni previste riguardino il whistleblowing, né che ogni lettore sarà controllato.

Per un'impresa italiana tra 50 e 500 dipendenti, la risposta utile non è una lista di nuove piattaforme. È una verifica documentata del canale già in uso: prima si stabilisce che cosa deve fare, poi si osserva che cosa fa davvero, infine si decide se conservarlo, ripararlo o sostituirlo.

Ultimo aggiornamento: 26 agosto 2026. Fonti normative, guida, strumenti ed enforcement verificati al 19 agosto 2026.

L'urgenza riguarda lo strumento già in uso

Il programma ispettivo trasforma una voce tecnica, spesso lasciata al fornitore, in una domanda di governo aziendale. L'area indicata dal Garante riguarda le applicazioni più diffuse, non tutte le piattaforme e non ogni impresa; il piano complessivo comprende più aree e almeno quaranta accertamenti distribuiti tra esse ¹. L'urgenza è quindi reale, ma va usata per organizzare prove, non per costruire una previsione di ispezione.

Una verifica efficace parte da una distinzione semplice. La dimostrazione commerciale mostra ciò che il prodotto potrebbe fare; l'evidenza aziendale mostra quali funzioni sono attive, chi le usa, quale contratto le governa e che cosa accade quando arriva una segnalazione. In un controllo conta la seconda rappresentazione.

Nominate un responsabile del riesame, una data di chiusura e i proprietari delle azioni. Il gruppo minimo comprende chi governa il canale, privacy o legale, sicurezza informatica, acquisti e una persona capace di accedere alla configurazione reale. Il fornitore partecipa come fonte di prove e di rimedi, non come unico autore della conclusione.

Prima domanda: l'impresa rientra nell'obbligo?

La soglia dei 50 lavoratori non esaurisce il perimetro. Per i soggetti del settore privato, il D.Lgs. 24/2023 include la media di almeno 50 lavoratori, ma contempla anche due vie che possono operare sotto soglia: i settori richiamati dalle parti I.B e II dell'allegato e gli enti che adottano modelli di organizzazione e gestione ai sensi del D.Lgs. 231/2001 ². Dire «sotto 50, nessun obbligo» è quindi sbagliato.

Il fascicolo di verifica deve contenere il calcolo o il dato organizzativo usato, la categoria applicabile e la fonte della conclusione. Non basta riportare il numero attuale nella schermata delle risorse umane: la norma parla di media e prevede criteri alternativi. Se l'impresa non rientra attraverso nessuna delle tre vie indicate, la conclusione corretta è che quella specifica regola del settore privato non la include automaticamente, non che ogni obbligo possibile sia escluso.

Quattro controlli, una sola decisione

Il riesame non deve perdersi in decine di funzioni. Quattro controlli collegano l'obbligo alla realtà e producono una decisione leggibile anche per la direzione.

Ogni riga deve chiudersi con un esito: conforme alle prove disponibili, riparabile con proprietario e termine, oppure priva di rimedio credibile. «Il fornitore dice che è conforme» non è un quarto esito. È soltanto un'affermazione da trasformare in documenti, schermate e prove ripetibili.

Il canale non coincide con il modulo web

L'articolo 4, comma 3, del D.Lgs. 24/2023 prevede che le segnalazioni siano effettuate in forma scritta, anche con modalità informatiche, oppure in forma orale; su richiesta, deve essere possibile un incontro diretto entro un termine ragionevole ². Il testo usa «oppure», ma da solo non va presentato come la frase che impone testualmente entrambe le vie nello stesso strumento.

Le Linee guida ANAC adottate con Delibera 478/2025 forniscono il passaggio applicativo: il segnalante deve poter scegliere tra modalità scritta e orale ³. Ne segue che un modulo web lasciato come unica porta non basta. L'applicazione può essere una parte del canale complessivo, purché la via orale e la gestione della richiesta di incontro siano reali, accessibili, riservate e descritte in modo coerente.

Il test non consiste nel trovare una voce «messaggio vocale» nel catalogo del prodotto. Una persona non coinvolta nella configurazione deve riuscire a individuare la via orale, usarla senza essere reindirizzata al modulo scritto e chiedere un incontro; il gestore deve ricevere l'evento nel flusso previsto senza esporlo a destinatari non autorizzati. Conservate l'esito, la data, l'ambiente provato e gli accessi osservati, evitando di inserire dati reali di segnalanti nel test.

La stessa prova deve attraversare notifiche, allegati, esportazioni e rivelazione dell'identità. Una notifica con oggetto troppo esplicito, un'esportazione leggibile da un amministratore generico o una funzione di rivelazione senza controllo possono contraddire la procedura anche se la pagina iniziale appare corretta. Il punto non è accumulare schermate: è seguire una segnalazione di prova lungo l'intero percorso.

La condivisione fino a 249 richiede una mappa

I soggetti del settore privato che hanno impiegato, nell'ultimo anno, una media non superiore a 249 lavoratori subordinati possono condividere il canale e la sua gestione ². La norma offre una possibilità utile a molte imprese della fascia 50-500, ma non crea da sola un unico titolare, non assegna tutte le decisioni alla capogruppo e non rende intercambiabili gli accessi.

Prima di condividere, disegnate il percorso per ciascuna entità: quale popolazione usa il canale, chi riceve la segnalazione, quando una pratica passa a un'altra società, chi informa gli interessati, chi risponde all'esercizio dei diritti e chi conserva l'evidenza della decisione. La qualifica privacy dipende dalle decisioni effettive su finalità e mezzi; il nome scritto sull'abbonamento non risolve la mappa.

Una matrice breve evita l'equivoco. Sulle righe inserite le società partecipanti; sulle colonne, ricezione, triage, istruttoria, accesso all'identità, conservazione, risposta e cancellazione. Ogni cella deve indicare una persona o una funzione e la base documentale del suo accesso. Le celle vuote sono scarti da risolvere, non spazi da affidare alla prassi.

Per le imprese da 250 lavoratori in su, la speciale facoltà dell'articolo 4, comma 4, non è disponibile. Questa conclusione non basta però a progettare da sola l'assetto di un gruppo: serve un'analisi separata delle entità e dei ruoli, senza trasformare la soglia in una regola generale che il testo non contiene.

Inventario di persone, sistemi e permessi

L'applicazione visibile è soltanto uno dei sistemi coinvolti. Il flusso può attraversare posta per le notifiche, servizio vocale, agenda per gli incontri, autenticazione, archivi, strumenti di esportazione e sistemi di ticketing. Inserite nell'inventario ogni passaggio che riceve contenuto, metadati o identità, anche quando il fornitore lo descrive come integrazione accessoria.

Il valore di conservazione non va scelto perché è il predefinito del prodotto. Deve corrispondere alla regola applicabile, alla procedura e all'informativa; lo stesso vale per copie locali ed esportazioni, che possono sopravvivere alla cancellazione dalla piattaforma. Se esiste una valutazione d'impatto, confrontatela con il flusso osservato. Se non esiste, registrate almeno la valutazione documentata della sua necessità rispetto ai rischi reali.

La catena dietro il fornitore è parte del sistema

Il titolare non acquista una scatola isolata. Deve ricostruire una catena di attività: chi decide finalità e mezzi, chi riceve e istruisce le segnalazioni, chi fornisce l'applicazione, chi la ospita e chi presta ulteriori servizi. «Gestore del canale» descrive una funzione operativa, non assegna da solo una qualifica GDPR; la qualifica dipende dalle decisioni e dalle istruzioni effettive, come spiegano le Linee guida EDPB ⁶.

L'articolo 28 del GDPR impone che il ricorso a un altro responsabile sia coperto da un'autorizzazione scritta specifica o generale del titolare. Nel caso di autorizzazione generale, il responsabile informa il titolare delle modifiche previste, così che possa opporsi; gli stessi obblighi pertinenti devono essere imposti al subresponsabile mediante un atto ⁶.

Perciò «usiamo un cloud europeo» non chiude il controllo, e neppure l'etichetta contrattuale basta se le attività raccontano altro. Per ogni riga servono il nome giuridico del soggetto, la funzione svolta, l'atto che la governa, la prova dell'autorizzazione richiesta e la procedura applicata quando la catena cambia. La localizzazione può essere un dato rilevante, ma non sostituisce nessuno di questi documenti.

Il supporto tecnico merita una riga propria. Stabilite se il personale del fornitore può accedere ai contenuti, in quali circostanze, con quale approvazione, per quanto tempo e con quali log. Una possibilità teorica non equivale a un accesso avvenuto, ma va governata prima che un incidente o un ticket urgente la renda concreta.

Il caso ISWEB/Seeweb: cifrare non bastava

Il 7 aprile 2022 il Garante ha imposto a ISWEB S.p.A. una sanzione di 40.000 euro per violazioni dell'articolo 28 connesse a una piattaforma whistleblowing ⁵. Il punto decisivo non fu una fuga di dati, una cifratura debole o l'esposizione dell'identità del segnalante: l'ordinanza non accerta questi eventi. La contestazione riguardava il governo del provider di hosting Seeweb come subresponsabile.

Seeweb era indicata nel materiale tecnico e i dati risultavano cifrati. Mancavano tuttavia un atto idoneo a disciplinare il subresponsabile e la preventiva autorizzazione scritta del cliente titolare ⁵. La lezione pratica è precisa: conoscere il nome dell'host e adottare una misura di sicurezza non sostituiscono gli obblighi organizzativi e contrattuali degli articoli 28, paragrafi 2 e 4.

Questo caso permette un controllo gratuito e immediato. Chiedete al fornitore chi ospita oggi il sistema, non chi lo ospitava alla firma; ottenete la lista completa dei subresponsabili; collegate ciascun soggetto a un atto; individuate dove l'impresa ha autorizzato per iscritto la catena. Se l'autorizzazione è generale, provate anche come ricevete le modifiche e come potete formulare un'obiezione.

Non concludete che l'hosting cifrato sia fuori dal trattamento. Un soggetto può trattare dati per conto altrui attraverso infrastrutture e operazioni anche quando le misure tecniche limitano la lettura ordinaria del contenuto. La qualifica nasce dal servizio effettivo e dalle istruzioni, mentre la cifratura incide sulla sicurezza e sul rischio; sono domande collegate, non intercambiabili.

La richiesta da inviare oggi al fornitore

Una richiesta breve produce più valore di un questionario generico. Indicate il servizio e il contratto, chiedete documenti riferiti alla configurazione attuale e fissate una risposta che distingua tra prova disponibile, azione pianificata e informazione mancante.

Oggetto: evidenze sul servizio whistleblowing in uso
Per la verifica del nostro canale, chiediamo: (1) ragione sociale e ruolo dell'hosting provider attuale; (2) elenco completo dei subresponsabili, funzione e atto applicabile; (3) prova della nostra autorizzazione scritta, specifica o generale; (4) in caso di autorizzazione generale, procedura di preavviso sulle modifiche e modalità di opposizione; (5) esportazione o attestazione della configurazione attiva per via scritta, via orale, incontro, ruoli, accessi, log, notifiche, conservazione, esportazioni e rivelazione dell'identità. Indicate per ogni punto il documento allegato, la data di validità e l'eventuale rimedio con responsabile e termine.

La risposta «i subfornitori sono pubblicati sul sito» non prova da sola l'autorizzazione dell'impresa né l'atto tra responsabile e subresponsabile. Salvate la versione ricevuta, la data e l'eventuale pagina richiamata; poi riconciliate nomi e funzioni con il contratto. Un elenco senza versionamento non consente di dimostrare quale catena fosse attiva quando avete preso la decisione.

Se il fornitore dichiara che una funzione è disponibile, chiedete evidenza che sia attiva sul vostro ambiente. La distanza tra catalogo e configurazione è uno dei punti che la verifica deve rendere visibili, soprattutto per via orale, permessi di supporto, log e cancellazione.

Conservare, riparare o sostituire

La decisione arriva dopo le prove. La maggior parte delle imprese non ha bisogno di un nuovo sistema: se modalità, ruoli, catena e configurazione sono governati, la scelta più prudente è conservare il prodotto e mantenere il fascicolo. Se esiste uno scarto circoscritto, la risposta proporzionata è ripararlo e verificare nuovamente il percorso.

Una via orale disattivata ma disponibile, un permesso eccessivo correggibile o un'informativa non allineata indicano normalmente una riparazione, non un acquisto. Al contrario, l'impossibilità persistente di conoscere e autorizzare la catena, di limitare accessi essenziali o di offrire le modalità richieste può rendere la sostituzione una conclusione razionale. È la lacuna provata a guidare il requisito del nuovo sistema, non una lista astratta di funzioni.

Anche il ramo «conservare» richiede una decisione scritta. Registrate chi ha esaminato le evidenze, quali limiti restano, perché non richiedono una modifica e quale evento farà riaprire il controllo. Senza questa pagina, l'assenza di azioni può sembrare inerzia anziché una conclusione fondata.

Il percorso senza un nuovo acquisto

Il primo ciclo può essere svolto con documenti e funzioni già disponibili. Raccogliete contratto, nomine, autorizzazioni, procedura, informativa, eventuale valutazione d'impatto, elenco utenti, impostazioni, log e formazione. Create una cartella di riesame separata dai fascicoli delle segnalazioni: le prove di sistema non devono replicare contenuti o identità reali.

Usate una segnalazione di prova con dati inventati e una persona che non ha configurato l'ambiente. Attraversate via scritta, via orale, richiesta di incontro, notifiche, accessi, esportazione e cancellazione; annotate il risultato atteso e quello osservato. Dove il test non è sicuro nell'ambiente attivo, fate predisporre al fornitore un ambiente o una procedura controllata senza trasferire dati reali.

Gli scarti documentali possono essere chiusi aggiornando procedura, informativa, matrice e contratto; quelli di configurazione richiedono una modifica e un nuovo test; quelli di competenza richiedono formazione o sostituzione degli accessi. Nessuna di queste tre categorie implica automaticamente un nuovo software.

L'acquisto entra nel processo soltanto quando il proprietario dello scarto ha raccolto la risposta del fornitore, verificato il rimedio proposto e spiegato perché contratto, impostazione o processo non possono chiuderlo. In quel momento il fascicolo diventa anche un capitolato concreto: descrive la capacità mancante e la prova che il futuro sistema dovrà superare.

Il fascicolo che rende la verifica dimostrabile

Una verifica finisce quando un'altra persona può ricostruire la decisione. Il fascicolo dovrebbe contenere almeno perimetro, mappa dei ruoli, inventario dei sistemi, contratto e catena dei subresponsabili, autorizzazioni scritte, configurazione esportata, risultati dei test, scarti, rimedi e decisione finale. Le copie devono essere datate e collegate alla versione del servizio osservata.

Separate il fascicolo di governo dai fascicoli delle segnalazioni. Il primo dimostra come funziona il sistema e usa prove oscurate o dati di test; i secondi contengono fatti e identità che non servono al riesame generale. Questa separazione riduce accessi non necessari e rende il pacchetto presentabile senza aprire pratiche individuali.

Il calendario periodico è utile, ma non sostituisce questi trigger. Una verifica annuale può arrivare troppo tardi se il fornitore cambia host il mese successivo; un controllo basato solo sugli eventi può invece essere dimenticato quando nulla viene segnalato. Usate entrambi: una data di revisione gestionale e una lista di eventi che riapre subito le righe interessate.

Chiudete con un verbale breve: sistema conservato, riparato o da sostituire; scarti ancora aperti; responsabili; prove mancanti; prossimo riesame. La direzione non deve leggere ogni log per assumere una decisione, ma deve poter vedere che il risultato deriva dai quattro controlli e non dalla fiducia nel marchio del fornitore.