Whistleblowing · Ley 2/2023

Un canale di segnalazione che tutela chi segnala

Il sistema interno di segnalazione richiesto dalla Ley 2/2023 spagnola, nello stesso portale in cui il personale lavora già: ricezione riservata, termini di conferma e di risposta sotto controllo e ogni pratica tracciata fino alla chiusura.

Che cos’è e chi deve averlo

Un canale di segnalazione è il sistema interno che la Ley 2/2023 spagnola impone alle aziende private con cinquanta o più lavoratori e a tutto il settore pubblico: deve accettare anche segnalazioni anonime, confermarne la ricezione entro sette giorni di calendario, rispondere entro un massimo di tre mesi e tutelare chi segnala. Kimobox lo ospita nello stesso portale che il personale usa già, con ricezione riservata e ogni pratica tracciata fino alla chiusura.

Contenuto revisionato il 17 ottobre 2026

Norma: Ley 2/2023, del 20 febbraio Recepisce in Spagna la Direttiva (UE) 2019/1937; in vigore dal 13 marzo 2023
Aziende obbligate: 50 o più lavoratori Art. 10.1.a); con qualsiasi organico nei casi dell’art. 10.1.b) e c), e tutto il settore pubblico (art. 13)
Conferma di ricezione: 7 giorni di calendario Art. 9.2.c) della Ley 2/2023
Risposta: 3 mesi Prorogabili di altri tre nei casi di particolare complessità (art. 9.2.d)
Segnalazioni anonime: Vanno accettate Art. 7.3: presentazione e successiva gestione
Conservazione: Massimo 10 anni Art. 26.2; cancellazione dopo tre mesi se non è stata avviata un’indagine (art. 32.4)
Sanzione massima: 1.000.000 € Infrazione molto grave di una persona giuridica (art. 65.1.b)
Autorità statale: Autoridad Independiente de Protección del Informante Autorità indipendente per la tutela del segnalante, operativa dal 1° settembre 2025 (Orden PJC/908/2025)

Ricezione riservata

Solo il Responsabile del Sistema e le persone da lui autorizzate accedono alle segnalazioni e al loro contenuto.

Termini sotto controllo

Avviso prima che scadano i sette giorni per la conferma di ricezione e i tre mesi per la risposta.

Pratica tracciabile

Ogni segnalazione con gli accertamenti svolti, l’esito e l’azione che ne deriva, fino alla chiusura.

Registro delle segnalazioni

Le informazioni ricevute e le indagini che ne scaturiscono restano annotate per il registro obbligatorio.

Cosa copre

Ciò che la legge chiede al sistema interno

Canale ospitato nel portale che il personale usa già
Ricezione riservata al Responsabile del Sistema e al suo team
Conferma di ricezione entro sette giorni di calendario
Risposta entro tre mesi, prorogabili nei casi di particolare complessità
Politica e procedura di gestione come documenti controllati
Registro delle informazioni ricevute e delle indagini avviate

Esempi reali

Dalla casella improvvisata al sistema che si può dimostrare

Industria · tra 50 e 249 persone

Un indirizzo e-mail come canale

Prima Le segnalazioni arrivano a una casella generica letta dalle risorse umane. Nessuno controlla quando scade la conferma di ricezione né resta traccia di cosa si è fatto con ciascuna segnalazione.

Dopo Canale nel portale con ricezione riservata al Responsabile del Sistema. Conferma e risposta hanno la scadenza calcolata e ogni accertamento resta nella pratica.

Gruppo societario · più società

Un canale diverso in ogni controllata

Prima Ogni società ha allestito il proprio canale con criteri differenti e nessuno ha una visione d’insieme di ciò che viene segnalato nel gruppo.

Dopo Politica generale approvata dalla capogruppo e un unico Responsabile del Sistema, come consente l’art. 11, con permessi per società perché ogni pratica la veda solo chi deve.

Distribuzione · compliance tributaria

Segnalazioni che non arrivano al sistema di compliance

Prima Una segnalazione su un’irregolarità fiscale viene istruita per e-mail e la mappa dei rischi fiscali non viene mai a sapere che è esistita.

Dopo La pratica si collega al rischio interessato del sistema UNE 19602 e all’azione correttiva che genera, così il riesame della direzione parte da casi reali.

Lessico

Il lessico della tutela del segnalante

Segnalante: Persona che comunica una violazione normativa di cui è venuta a conoscenza in un contesto lavorativo o professionale. La Ley 2/2023 la tutela e impone di preservare la riservatezza della sua identità.
Sistema interno di segnalazione: Insieme formato dal canale, dal Responsabile del Sistema, dalla politica e dalla procedura di gestione. Lo istituisce l’organo di amministrazione, previa consultazione delle rappresentanze dei lavoratori (art. 5 della Ley 2/2023).
Responsabile del Sistema: Persona designata dall’organo di amministrazione per gestire il sistema interno di segnalazione. La nomina e la revoca vanno comunicate all’autorità competente entro i dieci giorni lavorativi successivi.
Autoridad Independiente de Protección del Informante: Autorità amministrativa indipendente spagnola per la tutela del segnalante, istituita dalla Ley 2/2023, che gestisce il canale esterno di segnalazione. Il suo Statuto è stato approvato dal Real Decreto 1101/2024 ed è operativa dal 1° settembre 2025.
Canale esterno: Via per segnalare una violazione al di fuori dell’organizzazione, rivolgendosi all’Autoridad Independiente de Protección del Informante o all’autorità regionale equivalente.
Registro delle segnalazioni: Registro delle informazioni ricevute e delle indagini interne a cui hanno dato luogo. I suoi dati non possono essere conservati per più di dieci anni.

Domande frequenti

Cosa ci chiedono prima di iniziare

Quali aziende devono avere un canale di segnalazione?

In Spagna, quelle del settore privato con cinquanta o più lavoratori, secondo l’art. 10.1.a) della Ley 2/2023. A prescindere dall’organico, anche quelle soggette alla normativa europea su servizi e mercati finanziari, prevenzione del riciclaggio, sicurezza dei trasporti o ambiente, oltre ai partiti politici, ai sindacati e alle organizzazioni datoriali che gestiscono fondi pubblici. L’intero settore pubblico è obbligato dall’art. 13.

Quali termini fissa la legge per gestire una segnalazione?

Conferma di ricezione entro sette giorni di calendario dal ricevimento e risposta entro un massimo di tre mesi, prorogabili di altri tre nei casi di particolare complessità, secondo l’art. 9.2 della Ley 2/2023.

Bisogna accettare le segnalazioni anonime?

Sì. L’art. 7.3 richiede che il canale consenta anche la presentazione e la successiva gestione di segnalazioni anonime. È uno degli aspetti che si verificano in fase di configurazione del canale.

Chi è il Responsabile del Sistema?

La persona designata dall’organo di amministrazione per gestire il sistema interno di segnalazione. La nomina e la revoca vanno comunicate all’Autoridad Independiente de Protección del Informante, o all’autorità regionale competente, entro i dieci giorni lavorativi successivi (art. 8.3).

Si può affidare la gestione a un soggetto esterno?

Sì. L’art. 6 consente di affidare la gestione a un terzo esterno che offra garanzie di indipendenza, ma la responsabilità resta in capo al Responsabile del Sistema designato dall’azienda.

Più aziende possono condividere lo stesso canale?

Gli enti privati da 50 a 249 lavoratori possono condividere tra loro il sistema e le relative risorse (art. 12). In un gruppo societario, la capogruppo approva una politica generale e può esserci un unico Responsabile del Sistema (art. 11).

Per quanto tempo si conservano i dati di una segnalazione?

Se entro tre mesi non sono state avviate indagini, i dati vengono cancellati, salvo quanto serve a dimostrare il funzionamento del sistema (art. 32.4). Ciò che figura nel registro non può essere conservato per più di dieci anni (art. 26.2).

Quali sanzioni prevede la legge?

Per una persona giuridica, fino a 100.000 euro per un’infrazione lieve, da 100.001 a 600.000 per una grave e da 600.001 a 1.000.000 per una molto grave (art. 65.1.b). Quelle molto gravi possono comportare anche l’ammonimento pubblico, il divieto di ottenere sovvenzioni fino a quattro anni e il divieto di contrattare con la pubblica amministrazione fino a tre.

Che cos’è il canale esterno?

Quello gestito dall’Autoridad Independiente de Protección del Informante, operativa dal 1° settembre 2025, insieme a quelli delle autorità regionali equivalenti. È una via esterna all’organizzazione, distinta dal canale interno di cui l’azienda deve dotarsi.

Ti mostriamo una segnalazione dall’inizio alla fine

Ti mostriamo il modulo in funzione con dati simili ai tuoi.

Richiedi una demo

Continua a esplorare

Pagine correlate

Fonti

Da dove arriva ogni dato

Riferimenti al testo ufficiale in vigore. Se una norma viene revisionata, questa pagina si aggiorna e la data di revisione lo indica.

Ley 2/2023, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción (tutela delle persone che segnalano violazioni) BOE-A-2023-4513 · 21 febbraio 2023
Direttiva (UE) 2019/1937, riguardante la protezione delle persone che segnalano violazioni del diritto dell’Unione EUR-Lex · 23 ottobre 2019
Real Decreto 1101/2024, por el que se aprueba el Estatuto de la Autoridad Independiente de Protección del Informante (statuto dell’autorità) BOE-A-2024-22298 · 30 ottobre 2024
Orden PJC/908/2025, che fissa l’entrata in funzione dell’Autoridad Independiente de Protección del Informante BOE-A-2025-16764 · 12 agosto 2025
Sede elettronica dell’Autoridad Independiente de Protección del Informante A.A.I. Protección del Informante · Istituita con Resolución del 5 novembre 2025

Canale di segnalazione conforme alla Ley 2/2023

Il canale di segnalazione di Kimobox è il sistema interno di segnalazione che la Ley 2/2023 spagnola impone alle aziende con cinquanta o più lavoratori: ricezione riservata, conferma di ricezione entro sette giorni di calendario e risposta entro un massimo di tre mesi, con ogni pratica tracciata fino alla chiusura.

Poiché risiede nella stessa piattaforma del sistema di compliance, ogni segnalazione può essere collegata al rischio interessato, alla non conformità o all’azione correttiva che genera: è l’evidenza che chiedono ISO 37301, UNE 19602 e SGE 21.