Il canale condiviso fra più enti sotto i 249.

È una delle poche norme del D.Lgs. 24/2023 pensate per abbassare i costi, e quasi nessuno la conosce: gli enti privati fino a 249 dipendenti possono condividere il canale di segnalazione e la relativa gestione. Riguarda gruppi societari, consorzi, cooperative con più sedi, reti d’impresa e fondazioni che gestiscono più strutture. Funziona, ma non nel modo in cui la maggior parte delle persone immagina, e ha un effetto collaterale che conviene mettere in conto prima.

Che cosa dice esattamente l’art. 4, comma 4

La norma individua due categorie di soggetti.

• I comuni diversi dai capoluoghi di provincia, che possono condividere il canale di segnalazione interna e la relativa gestione.
• I soggetti del settore privato che hanno impiegato, nell’ultimo anno, una media di lavoratori subordinati, con contratti di lavoro a tempo indeterminato o determinato, non superiore a duecentoquarantanove.

La fonte europea è l’art. 8, paragrafo 6 della direttiva UE 2019/1937, che consente ai soggetti privati con 50-249 lavoratori di condividere risorse per il ricevimento delle segnalazioni e per le eventuali indagini, e che aggiunge una precisazione decisiva: la condivisione non pregiudica l’obbligo di mantenere la riservatezza, di fornire un riscontro e di affrontare la violazione segnalata. Tutto quello che segue discende da questa frase.

C’è poi un’apertura interpretativa che ANAC formula nelle Linee Guida: oltre ai comuni non capoluogo, possono condividere il canale anche gli enti pubblici di piccole dimensioni, individuati con riferimento alla soglia di meno di cinquanta dipendenti prevista dal legislatore per il PIAO semplificato. È una lettura estensiva dichiarata come tale, motivata dalla logica di semplificazione degli oneri; va usata sapendo che è un’interpretazione dell’Autorità e non il testo della norma.

Come si conta la soglia dei 249

Il decreto dice «media di lavoratori subordinati, con contratti di lavoro a tempo indeterminato o determinato» nell’ultimo anno, e si ferma lì. La domanda operativa — media di che cosa, calcolata come — la risolvono le Linee guida ANAC, con un’indicazione insolitamente concreta.

È un’indicazione utile perché sposta la verifica da una stima interna a un documento verificabile da chiunque, compresa ANAC. Chi deve decidere se può condividere il canale ha una risposta in trenta secondi: apre la visura.

Due limiti da dichiarare, perché la norma non li affronta. Il primo: il decreto non disciplina che cosa accade se un ente supera i 249 nel corso dell’anno mentre è parte di un accordo di condivisione. La lettura ragionevole è che l’accordo vada rivisto a partire dalla verifica dell’anno successivo, coerentemente con il criterio di calcolo, ma è una lettura. Il secondo: la soglia si misura ente per ente, non sulla somma degli enti che condividono; nulla nel testo autorizza a sommare, e la logica della norma — alleggerire i piccoli — va nella direzione opposta.

Che cosa la condivisione non cambia

Qui sta l’equivoco più frequente. Condividere il canale non significa avere un canale solo. Ogni ente resta titolare del proprio obbligo, e le Linee Guida ANAC lo scandiscono punto per punto: ciascun ente deve dotarsi di un proprio canale interno, nominare un proprio gestore per trattare e istruire le segnalazioni ricevute, mettere a disposizione informazioni chiare sull’esistenza del canale anche tramite sito internet, assicurare la formazione sul whistleblowing, conservare la documentazione nei termini del decreto.

La realizzazione tecnica che ANAC descrive è precisa: una piattaforma unica ma ramificata, che si articola in tanti sottocanali autonomi quanti sono gli enti coinvolti. In questo modo si condivide la spesa per acquistare e mantenere un’unica infrastruttura, ma ogni gestore accede soltanto alle segnalazioni del proprio ente. La segregazione degli accessi non è un’opzione di configurazione: è ciò che rende la condivisione compatibile con l’obbligo di riservatezza.

Oltre all’infrastruttura si può condividere anche la capacità investigativa: l’accordo può individuare l’ente che mette a disposizione risorse e competenze per le istruttorie. Anche in quel caso, però, resta responsabilità del singolo ente mantenere le interlocuzioni con il segnalante e dare diligente seguito.

Vale la pena notare che ANAC ha detto anche come vigilerà: sul singolo canale che fa capo a ciascun ente, considerato «un’articolazione della piattaforma centralizzata»; sul fatto che alle segnalazioni ricevute sia stato dato adeguato seguito; sul rispetto degli adempimenti relativi alle interlocuzioni con il segnalante da parte di quell’ente. La condivisione non diluisce la responsabilità: la lascia dov’era.

Che cosa deve regolare l’accordo fra gli enti

La condivisione richiede un contratto fra gli enti che scelgono di condividere. ANAC elenca, a titolo esemplificativo, che cosa deve disciplinare.

Oltre al contratto, ciascun ente deve dare conto della scelta nel proprio atto organizzativo o Modello 231, disciplinando: compiti e poteri del soggetto destinatario delle segnalazioni; modalità di ricevimento; modalità per chiedere supporto istruttorio e ambiti di collaborazione (risorse umane, competenze, strumentazione, documentazione che può essere resa visibile); processo di gestione delle segnalazioni.

Quest’ultimo punto merita attenzione: «la documentazione che può essere resa visibile» va decisa prima, non nel momento in cui serve. È l’unico modo per chiedere aiuto istruttorio a un altro ente senza esporre più di quanto necessario.

Contitolari o responsabile? Dipende se siete un gruppo

È il punto tecnicamente più delicato, ed è anche quello dove ANAC ha preso una posizione che sorprende chi legge solo il decreto.

Regola generale. L’art. 13, comma 5 del decreto stabilisce che i soggetti che condividono risorse per il ricevimento e la gestione delle segnalazioni determinano in modo trasparente, con un accordo interno, le rispettive responsabilità in materia di protezione dei dati ai sensi dell’art. 26 del GDPR. Gli enti coinvolti sono cioè contitolari del trattamento.

Eccezione per i gruppi di imprese. Le Linee Guida n. 1/2025 chiariscono che, nei gruppi, l’art. 13, comma 5 non trova applicazione: «vista la specificità dei gruppi di imprese, deve trovare applicazione l’art. 28 del medesimo Regolamento UE con conseguente qualifica della capogruppo quale responsabile del trattamento dei dati».

La differenza non è nominalistica. Contitolarità significa accordo ex art. 26, responsabilità condivise e un punto di contatto comune verso gli interessati; rapporto titolare-responsabile significa contratto ex art. 28, istruzioni documentate e una gerarchia chiara. Impostare i documenti sul modello sbagliato produce un impianto privacy che non regge alla prima verifica, e la scelta dipende da un fatto semplice: siete un gruppo societario oppure enti distinti che si mettono d’accordo?

Una precisazione utile, sempre dalle Linee Guida: nei gruppi esiste anche una strada alternativa alla condivisione, cioè l’affidamento della gestione a un terzo che può essere una società del gruppo, capogruppo inclusa. In quel caso l’intera attività di gestione è devoluta al terzo, che mantiene le interlocuzioni con il segnalante e se ne assume le responsabilità; nella condivisione, invece, ogni società resta responsabile del diligente seguito. Sono due modelli diversi e vanno scelti consapevolmente, non usati come sinonimi. E se più imprese affidano la gestione allo stesso soggetto esterno, ANAC richiede comunque che ciascun ente abbia contezza esclusivamente delle segnalazioni di propria spettanza, con misure di segregazione e le misure di sicurezza dell’art. 32 GDPR.

La segnalazione che riguarda l’ente A e arriva da chi lavora in B

È la domanda pratica che ferma i progetti di condivisione, e la risposta di ANAC è articolata.

Il punto di partenza è che la persona segnalante si rivolge alla società presso cui presta attività lavorativa: nella piattaforma unica seleziona da un elenco l’ente a cui intende segnalare, e la segnalazione entra nel sottocanale autonomo di quell’ente. Il gestore di quell’ente la prende in carico; gli altri gestori non la vedono.

Se la violazione ha carattere trasversale, cioè riguarda anche l’attività di un altro ente, ANAC ammette il ricorso al supporto altrui con una cautela precisa: la società che ha ricevuto la segnalazione può avvalersi della capacità investigativa della capogruppo — o dell’ente individuato nell’accordo — previa informativa alla persona segnalante. Non è un passaggio formale: il segnalante ha diritto di sapere che il perimetro di chi conosce il caso si sta allargando.

Resta un caso che nessuna fonte risolve espressamente: la segnalazione che riguarda l’ente A ma proviene da chi lavora nell’ente B, ad esempio un dipendente di una struttura che segnala condotte osservate in un’altra struttura della stessa fondazione. Il decreto tutela chi segnala violazioni apprese «nel contesto lavorativo», formula ampia; la procedura interna dovrebbe quindi prevedere come si instrada un caso di questo tipo, chi lo istruisce e come si preserva la riservatezza verso l’ente di appartenenza del segnalante. La prassi non è consolidata e conviene scriverne le regole nell’accordo invece di scoprirlo al primo caso.

Il rischio da dichiarare: costi giù, riconoscibilità percepita su

La condivisione ha un beneficio economico evidente: un’unica infrastruttura, un unico contratto di fornitura, competenze istruttorie messe in comune. Per tre cooperative da settanta dipendenti l’alternativa è spesso fra un canale condiviso decente e tre canali improvvisati.

Ma c’è un effetto opposto che va messo sul tavolo, perché nessun fornitore lo dice: condividere alza il rischio percepito di riconoscibilità. In realtà piccole e collegate fra loro, in cui le persone si conoscono da anni e si incontrano nelle riunioni di coordinamento, l’idea che la propria segnalazione entri in un sistema comune — anche se tecnicamente segregato — scoraggia. La segregazione degli accessi è reale e verificabile; la percezione, che è ciò che determina se una persona segnala, non si risolve con un’architettura.

Due contromisure concrete, entrambe imperfette:

1. Rendere visibile la segregazione. Scrivere nell’informativa, in linguaggio comprensibile, chi vede che cosa e chi non vede niente. La maggior parte delle persone non lo sa e assume il peggio.
2. Non condividere il gestore. La norma consente di condividere canale e gestione, ma nulla obbliga a farlo: si può condividere l’infrastruttura e tenere gestori distinti. Costa un po’ di più, e su questo punto specifico compra fiducia.

Il caso concreto: le fondazioni con più strutture

È la situazione tipo, e in Italia è frequentissima: una fondazione sociosanitaria che gestisce due o tre strutture — una RSA, un centro diurno, un servizio domiciliare — ciascuna con il proprio organico, spesso sotto i cinquanta dipendenti, talvolta riunite in un unico ente giuridico e talvolta no.

La prima domanda da farsi non è sulla condivisione, ma sull’obbligo: se le strutture fanno capo a un unico soggetto giuridico, l’ente è uno solo e la soglia si calcola sul totale; se sono soggetti distinti, ciascuno si misura da sé. Nel primo caso non c’è nulla da condividere, c’è un canale unico da organizzare bene. Nel secondo la condivisione è disponibile, purché ciascun ente resti sotto i 249.

Attenzione a un secondo profilo che riguarda molte realtà del terzo settore: l’obbligo può scattare anche sotto i cinquanta dipendenti se l’ente adotta un Modello 231, oppure se opera nei settori indicati nell’allegato al decreto. Nel sociosanitario la presenza di un Modello è comune, e in quel caso la soglia dimensionale non protegge nessuno. Il perimetro esatto per le strutture sanitarie è trattato nella guida dedicata.

Terzo profilo, spesso trascurato: nelle strutture sociosanitarie convive con il whistleblowing l’obbligo di prevenzione delle violenze e delle molestie introdotto nell’art. 15 del D.Lgs. 81/2008, che non ha soglie e riguarda anche le aggressioni da parte di terzi — utenti e familiari — che in quel settore sono la casistica principale. Un canale condiviso progettato solo sul whistleblowing lascia scoperto proprio il rischio più frequente.

Questo articolo ha scopo informativo e non costituisce parere legale. Riferimenti: D.Lgs. 24/2023, artt. 2, 4 e 13; direttiva UE 2019/1937, art. 8; Linee Guida ANAC n. 1/2025 (delibera n. 478 del 26 novembre 2025); Linee guida ANAC di cui alla delibera n. 311 del 12 luglio 2023; artt. 26, 28 e 32 del Regolamento (UE) 2016/679; D.Lgs. 81/2008 art. 15. Limiti dichiarati: il decreto non disciplina il superamento della soglia in corso d’anno né l’instradamento delle segnalazioni che riguardano un ente diverso da quello di appartenenza del segnalante; su questi punti non esiste prassi consolidata e le soluzioni proposte sono letture. Per la valutazione di un assetto concreto rivolgiti a un legale.