Si può usare Google Moduli come canale whistleblowing?

La risposta breve: un modulo Google o Microsoft può raccogliere segnalazioni, ma non può rispondere a chi le ha fatte. È questo il problema. Il D.Lgs. 24/2023 e la Direttiva UE si aspettano che inviate un avviso di ricevimento entro 7 giorni, poniate domande di approfondimento quando servono e diate riscontro entro 3 mesi. Un modulo si limita a raccogliere. Se il segnalante è rimasto anonimo, non c'è modo di ricontattarlo; se ha lasciato un indirizzo email, non è più anonimo. In più, alcune impostazioni facili da trascurare possono identificare il segnalante o escludere persone che la legge tutela. E in Italia c'è un ulteriore limite: le Linee guida ANAC chiedono agli enti di garantire sia la forma scritta sia quella orale, e un modulo copre solo la prima.

Se usate già un modulo, questo articolo vi aiuta a capire a che punto siete: cosa fa bene un modulo, la lacuna che nessuna impostazione colma, una verifica da fare sul vostro modulo con una soluzione per ogni problema, e cosa cambia con un canale dedicato.

Cosa fa bene un modulo

I moduli hanno vantaggi reali rispetto a una casella email:

• Nessun indirizzo email necessario. Il segnalante può inviare senza account e senza lasciare traccia nella posta, se il modulo è configurato così. È proprio il rischio che porta l'ANAC a considerare la posta elettronica di per sé non adeguata.
• Struttura. Le domande guidano il segnalante verso ciò che serve a chi gestisce il caso: cosa è successo, quando, chi era coinvolto, come lo sa.
• È gratuito e veloce da attivare. Per un'azienda che non è obbligata ad avere un canale, un modulo configurato con cura è un punto di partenza ragionevole.

La lacuna che nessuna impostazione risolve: nessuna via di ritorno

I termini della Direttiva presuppongono un dialogo, non un messaggio isolato:

• Avviso di ricevimento entro 7 giorni (art. 9(1)(b)).
• Un seguito diligente (art. 9(1)(d)). In pratica, di solito significa chiedere qualcosa al segnalante. Le segnalazioni raramente sono complete al primo invio.
• Riscontro entro 3 mesi (art. 9(1)(f)): cosa è stato fatto e perché.

Vedere il termine di 7 giorni/3 mesi per il riscontro, spiegato. Un modulo non ha una funzione di risposta. L'unica soluzione è chiedere un recapito, e allora il segnalante deve scegliere tra restare anonimo e ricevere una risposta. Molti sceglieranno di non segnalare affatto.

I canali dedicati colmano questa lacuna con un riferimento del caso: il segnalante riceve un codice al momento dell'invio e lo usa per leggere l'avviso di ricevimento, rispondere alle domande e vedere il riscontro, senza mai fornire un nome o un indirizzo email. Vedere segnalazione anonima o identificata, spiegata.

Cosa aggiungono l'Italia e gli altri Paesi

La Direttiva lascia diverse scelte al diritto nazionale, e alcune riguardano direttamente un modulo:

• Italia. Le Linee guida ANAC (par. 2.2) chiedono di garantire sia la forma scritta sia quella orale. Un modulo è solo scritto, quindi in Italia non può mai essere l'intero canale. L'art. 5 del D.Lgs. 24/2023 richiede l'avviso di ricevimento entro 7 giorni e il riscontro entro 3 mesi: anche qui serve una strada per tornare al segnalante. E le misure di sicurezza vanno definite sulla base di una valutazione d'impatto sulla protezione dei dati (art. 13, comma 6).
• La Spagna impone ai canali interni di accettare segnalazioni anonime. Un modulo lo permette più facilmente della posta elettronica, ma per la lacuna sopra non potrete poi dare avviso né riscontro.
• I Paesi Bassi richiedono per legge un canale orale, come in Italia fanno le Linee guida ANAC.

Per approfondire: Il D.Lgs. 24/2023 italiano, spiegato.

Verificate il vostro modulo

Dieci verifiche. Per ciascuna: come verificarla e come risolvere il problema con lo strumento che avete già. Cominciate dalla prima: vi mostra esattamente cosa registra il vostro modulo.

1. Una segnalazione di prova non registra nulla sul segnalante.

   Verificare: da un dispositivo personale, senza accesso a nessun account di lavoro, inviate una risposta di prova. Poi aprite le risposte e guardate cosa è stato registrato insieme.

   Correggere: se qualcosa vi identifica (un nome, un indirizzo email, una richiesta di accesso che non potevate evitare), passate alle verifiche da 2 a 4.

2. Chiunque può rispondere, senza accedere.

   Verificare: in Google Workspace, un nuovo modulo accetta solo risposte da persone della vostra organizzazione, che devono accedere. In Microsoft Forms, le due impostazioni che limitano il modulo alla vostra organizzazione o a persone specifiche al suo interno richiedono l'accesso, e il proprietario può scegliere di registrare il nome di chi risponde.

   Correggere: disattivate la limitazione all'organizzazione in Google Moduli, o scegliete «Chiunque può rispondere» in Microsoft Forms. Oltre a proteggere l'anonimato, così entrano persone tutelate dalla Direttiva che non hanno un account di lavoro: collaboratori esterni, personale dei fornitori, candidati, ex dipendenti (art. 4; vedi chi è protetto).

3. Gli indirizzi email non vengono raccolti.

   Verificare: l'impostazione di Google per raccogliere gli indirizzi email registra l'indirizzo di ogni persona che risponde, verificato dal suo account Google o digitato da lei.

   Correggere: disattivatela. Se volete poter contattare i segnalanti, vedi la verifica 7.

4. Non ci sono domande di caricamento file.

   Verificare: secondo la guida di Google, per rispondere a una domanda di caricamento file bisogna accedere a un account Google, e i file finiscono nel Drive del proprietario. Secondo Microsoft, il caricamento funziona solo nei moduli limitati all'organizzazione, con i file nel OneDrive del proprietario.

   Correggere: eliminate la domanda. Spiegate ai segnalanti come condividere documenti per altra via, e che farlo può identificarli.

5. Solo i gestori designati vedono le risposte.

   Verificare: elencate tutte le persone aggiunte come collaboratori o comproprietari. Vengono aggiunte per aiutare a progettare il modulo e raramente rimosse. In Microsoft Forms, un modulo creato in un gruppo è leggibile da tutti i membri del gruppo. Controllate se è mai stato condiviso un link a un riepilogo delle risposte e, in Google Moduli, se chi risponde può vedere un riepilogo di tutte le risposte.

   Correggere: rimuovete tutti tranne i gestori designati, togliete il modulo da qualsiasi gruppo e disattivate ogni condivisione del riepilogo.

6. I fogli collegati sono altrettanto protetti.

   Verificare: se le risposte finiscono in un Foglio Google, Google dà automaticamente accesso ai collaboratori del modulo, e chiunque abbia accesso al foglio può leggere ogni segnalazione. Microsoft Forms può inviare le risposte a una cartella di lavoro Excel in OneDrive o SharePoint.

   Correggere: controllate con chi è condiviso il foglio, limitatelo ai gestori designati e ricontrollate ogni trimestre.

7. I segnalanti conoscono la scelta tra anonimato e riscontro.

   Verificare: il modulo spiega che senza recapiti non potete dare l'avviso di ricevimento, fare domande o dare riscontro?

   Correggere: aggiungete un campo di contatto facoltativo e spiegate la scelta con parole semplici accanto. Un segnalante che lascia un indirizzo personale può ancora essere trattato separatamente dal suo nome, ma non è più anonimo.

8. Termini e documentazione stanno in un posto affidabile.

   Verificare: una risposta è una riga in una tabella. Dove sono annotati stato, data dell'avviso, scadenza del riscontro ed esito di ogni segnalazione, e chi può vederli? L'art. 18 della Direttiva richiede la documentazione di ogni segnalazione.

   Correggere: tenete un registro con accesso limitato ai gestori, controllato ogni settimana da una persona designata. Vedi audit logging: mantenere un registro difendibile.

9. Il modulo non dipende dall'account di una sola persona.

   Verificare: il modulo è su un account Gmail personale, o sull'account di lavoro di un singolo dipendente? Un account personale è del tutto fuori dai contratti della vostra azienda. Su un account di lavoro, quando quella persona se ne va, qualcun altro eredita i suoi file, comprese tutte le segnalazioni.

   Correggere: spostate il modulo su un account aziendale della funzione che gestisce le segnalazioni. Decidete per quanto tempo conservare le risposte, entro i cinque anni dell'art. 14 del D.Lgs. 24/2023, poi cancellatele dal modulo, dal foglio e da ogni cartella. Vedi Scegliere una politica di conservazione.

10. Esiste un secondo canale, e un canale orale.

    Verificare: dove va una segnalazione su uno dei collaboratori del modulo? Qualcuno può segnalare senza scrivere nulla?

    Correggere: indicate nella vostra procedura un contatto alternativo, per esempio un membro dell'organo amministrativo o un consulente esterno. Pubblicate una linea telefonica o un sistema di messaggistica vocale: in Italia è richiesto. Vedi Segnalazioni vocali e anonimizzazione.

Quello che nessuna impostazione può correggere

• Nessuna strada per tornare a un segnalante anonimo. Vedi sopra. Ogni scorciatoia costa l'anonimato al segnalante.
• Anonimato e prove non stanno insieme. Per allegare un documento bisogna accedere, sia in Google Moduli sia in Microsoft Forms.
• Niente canale orale. In Italia il modulo va sempre affiancato da un'altra soluzione.
• La documentazione vive fuori dal modulo. Registro, termini e traccia di chi ha fatto cosa sono un foglio separato da aggiornare a mano.
• Gli accessi si gestiscono in uno strumento generico. Collaboratori, fogli collegati, appartenenza ai gruppi e link condivisi cambiano ciascuno per conto proprio. Nessuno vi avvisa quando uno di essi cambia.

Cosa richiede gestire un modulo nel tempo

Anche se ogni verifica è superata, il modulo è al massimo una parte scritta del canale: utilizzabile per le segnalazioni identificate, a senso unico per quelle anonime. Tenerlo così richiede:

• una revisione di collaboratori, fogli collegati e condivisioni ogni trimestre, e dopo ogni uscita
• un registro aggiornato a mano per ogni segnalazione, confrontato con i termini ogni settimana
• un canale separato per domande e riscontri con ogni segnalante che lascia un recapito
• una linea telefonica o messaggistica vocale separata
• cancellazioni secondo il calendario nel modulo, nel foglio e nell'archiviazione collegata

Perché le aziende passano a Provoxis

Provoxis mantiene ciò che un modulo fa bene (una pagina pubblica e strutturata, senza accesso) e chiude le lacune che un modulo non può chiudere:

L'attivazione è in autonomia con una checklist guidata, il prezzo è un canone mensile fisso (vedi prezzi) e c'è una prova gratuita di 30 giorni.

Lasciare il modulo

1. Pubblicate il nuovo canale ovunque compariva il link al modulo.
2. Chiudete il modulo alle nuove risposte e sostituite la sua descrizione con un link alla nuova pagina di segnalazione. Google Moduli e Microsoft Forms possono mostrare un messaggio a chi apre un modulo chiuso.
3. Chiudete i casi aperti con i segnalanti che riuscite a raggiungere. Dove non è possibile, annotatelo nel fascicolo.
4. Cancellate le risposte dal modulo, dal foglio e da ogni cartella alla scadenza del periodo di conservazione, poi eliminate il modulo.

Base giuridica

• Linee guida ANAC n. 1/2025 sui canali interni di segnalazione, delibera n. 478 del 26 novembre 2025 (ANAC) — obbligo di garantire sia la forma scritta sia quella orale (par. 2.2).
• Art. 4, D.Lgs. 24/2023 — canali interni che garantiscono la riservatezza anche tramite crittografia.
• Art. 5, D.Lgs. 24/2023 — avviso di ricevimento entro 7 giorni e riscontro entro 3 mesi.
• Art. 13, comma 6, D.Lgs. 24/2023 — misure di sicurezza definite sulla base di una valutazione d'impatto sulla protezione dei dati.
• Art. 14, D.Lgs. 24/2023 — conservazione per non oltre cinque anni dalla comunicazione dell'esito finale.
• Art. 4, Direttiva (UE) 2019/1937 — le persone tutelate, anche al di fuori del personale del datore di lavoro.
• Art. 6(2) — l'obbligo di accettare segnalazioni anonime è lasciato agli Stati membri.
• Art. 9(1)(a) — canali progettati e gestiti in modo sicuro, senza accesso per il personale non autorizzato.
• Art. 9(1)(b), (d) e (f) — avviso di ricevimento entro 7 giorni, seguito diligente, riscontro entro 3 mesi.
• Art. 9(2) — segnalazione scritta, orale o entrambe, e un incontro diretto su richiesta.
• Art. 18 — documentazione di ogni segnalazione ricevuta.
• Assistenza Google Moduli, aggiungere una domanda di caricamento file e impostazioni di condivisione dei moduli in Google Workspace; supporto Microsoft, scegliere chi può compilare un modulo e domande di caricamento file.