A quali obblighi è soggetta la tua azienda?

Il D.Lgs. 24/2023 obbliga al canale di segnalazione interno: tutti gli enti del settore pubblico; le aziende private con una media di almeno 50 lavoratori subordinati nell'ultimo anno; le aziende che adottano un Modello Organizzativo 231 (anche sotto i 50 dipendenti); e le imprese che operano in settori regolamentati come servizi finanziari, assicurativi, antiriciclaggio, sicurezza dei trasporti e tutela dell'ambiente, a prescindere dal numero di dipendenti.

Non sempre. Un'azienda privata con meno di 50 dipendenti, senza Modello 231 e non operante in settori sensibili, non è obbligata ad attivare il canale interno. I suoi lavoratori possono però segnalare tramite il canale esterno gestito da ANAC, e le tutele contro le ritorsioni si applicano comunque. Attivare un canale interno resta consigliato ed è obbligatorio non appena si adotta un Modello 231.

È la novità introdotta dal Decreto-Legge 159/2025, convertito con la Legge 198/2025 ed efficace dal 31 dicembre 2025. Inserisce tra le misure generali di tutela del Testo Unico sicurezza «la programmazione di misure di prevenzione di condotte violente o moleste nei confronti dei lavoratori». Tradotto: molestie, violenze e aggressioni diventano a tutti gli effetti un rischio professionale, da valutare nel DVR e da gestire come qualsiasi altro rischio — con misure organizzative, procedure di segnalazione riservate, formazione e monitoraggio. È l'attuazione interna della Convenzione OIL n. 190, ratificata dall'Italia con la Legge 4/2021.

Sì. A differenza del whistleblowing, qui non esistono soglie dimensionali: l'art. 15 si applica a ogni datore di lavoro con almeno un lavoratore, indipendentemente da settore, dimensione o forma giuridica. Studi professionali, artigiani e micro-imprese sono inclusi. Cambia la proporzionalità delle misure, non l'esistenza dell'obbligo.

La valutazione dei rischi è un obbligo non delegabile del datore di lavoro (art. 17 D.Lgs. 81/08). Se il DVR omette un rischio che la legge impone di considerare, si ricade nelle sanzioni penali dell'art. 55: arresto o ammenda a carico del datore di lavoro, con possibile sospensione dell'attività. A questo si aggiungono la responsabilità civile ex art. 2087 c.c. verso il lavoratore danneggiato e, in caso di carenza organizzativa, i profili di responsabilità dell'ente ex D.Lgs. 231/01.

No, l'adozione del Modello Organizzativo ex D.Lgs. 231/01 è facoltativa, ma è fortemente raccomandata: costituisce l'esimente che può escludere la responsabilità amministrativa dell'ente in caso di reato commesso nel suo interesse. Chi adotta un Modello 231 deve però prevedere un canale di whistleblowing interno conforme al D.Lgs. 24/2023.

Il GDPR (Reg. UE 2016/679) impone la nomina del DPO quando il trattamento è svolto da un'autorità o ente pubblico, quando l'attività principale richiede un monitoraggio regolare e sistematico su larga scala degli interessati, oppure quando si trattano su larga scala categorie particolari di dati (salute, biometrici, giudiziari). Negli altri casi la nomina è facoltativa ma spesso opportuna.

ANAC può applicare sanzioni amministrative fino a 50.000 € per la mancata attivazione del canale di segnalazione, per l'assenza di procedure di gestione, o per atti ritorsivi verso i segnalanti. Le sanzioni GDPR possono arrivare fino a 20 milioni di euro o al 4% del fatturato mondiale annuo.

Il referto è uno strumento indicativo di auto-valutazione basato sulle risposte fornite e sui riferimenti normativi vigenti (D.Lgs. 24/2023, D.Lgs. 231/01, Reg. UE 2016/679, D.Lgs. 81/08 come modificato dalla Legge 198/2025). Offre una prima fotografia degli obblighi ma non sostituisce un parere legale personalizzato. Per una valutazione puntuale puoi richiedere una consulenza.