Cosa troverai in questa guida
Un sito web aziendale oggi non è solo un biglietto da visita digitale: è un’infrastruttura che deve rispettare precisi obblighi normativi, dal GDPR alla gestione delle segnalazioni interne prevista dal D.Lgs. 24/2023. Se gestisci un’azienda strutturata, uno studio professionale o una società di consulenza, quello che trovi in questo articolo ti aiuterà a capire cosa devi fare, cosa rischi a non farlo e come progettare un sito che sia davvero conforme, non solo in apparenza.
Vuoi affidare il tuo progetto a dei professionisti?
Se hai le idee chiare ma ti serve un partner tecnico per l’esecuzione, ci siamo. Sviluppiamo Siti Web, Landing Page e strategie SEO orientate al ritorno sull’investimento. Niente chiacchiere, solo risultati misurabili.
Quali obblighi di legge deve rispettare oggi un sito web corporate in Italia?
Partiamo da un punto fermo: la compliance non è un’opzione. Non lo è per le grandi aziende, non lo è per i professionisti, non lo è per le PMI che operano in settori regolamentati. Il sito web è spesso il primo punto di contatto con clienti, fornitori, dipendenti e partner. Ed è proprio lì che la legge pretende di trovare determinate garanzie.
Negli ultimi anni il quadro normativo si è fatto più articolato. Il GDPR è entrato in vigore nel 2018 e le sanzioni sono ormai una realtà concreta. Il D.Lgs. 24/2023 ha introdotto l’obbligo del whistleblowing per una platea molto ampia di soggetti. Le norme sull’accessibilità digitale hanno esteso le loro maglie. Tutto questo converge sul sito web aziendale, che ne voglia o no.
Privacy, cookie, accessibilità e whistleblowing: gli adempimenti principali
Facciamo un riepilogo rapido, ma non banale.
Sul fronte privacy e GDPR, ogni sito che raccoglie dati personali (e praticamente ogni sito lo fa, anche solo tramite un form di contatto) deve avere una Privacy Policy aggiornata, un sistema di gestione del consenso per i cookie (il famoso banner), un Registro dei Trattamenti aggiornato e, se si utilizzano fornitori SaaS o strumenti cloud, i relativi accordi sul trattamento dei dati.
Sul fronte whistleblowing, il D.Lgs. 24/2023 ha recepito la Direttiva europea 2019/1937 e impone ad aziende sopra una certa soglia di attivare un canale interno per la gestione delle segnalazioni. Non è un dettaglio tecnico: è un obbligo con conseguenze concrete per chi non lo rispetta.
Sul fronte accessibilità, le indicazioni del WCAG 2.1 e la normativa italiana stanno diventando sempre più rilevanti, soprattutto per le organizzazioni che operano con la pubblica amministrazione o in settori con utenti vulnerabili.
Tutto questo, idealmente, dovrebbe convergere in un sito progettato per essere conforme, non rattoppato con aggiunte dell’ultimo minuto.
Cos’è una piattaforma whistleblowing e quando è obbligatoria per le aziende?
Il termine “whistleblowing” arriva dall’inglese e indica, nella sostanza, la segnalazione di illeciti o irregolarità da parte di chi ne viene a conoscenza all’interno di un’organizzazione. Dipendenti, collaboratori, fornitori: chiunque abbia avuto accesso a informazioni rilevanti nel contesto lavorativo.
Il D.Lgs. 24/2023 ha costruito attorno a questo principio un sistema preciso: chi segnala ha diritto a essere tutelato, l’azienda è obbligata ad attivare un canale di segnalazione interno conforme, e tutta la gestione deve avvenire nel rispetto della riservatezza e del GDPR. Non è più sufficiente mettere un’email in footer e sperare che nessuno la usi.
Una piattaforma whistleblowing è lo strumento — quasi sempre un software SaaS o un portale dedicato — che permette di ricevere, gestire e tracciare queste segnalazioni in modo sicuro, anonimo se richiesto, e conforme alle norme.
Quali aziende devono attivare un canale di segnalazione interno?
Ecco la domanda che tutti si fanno, spesso sperando di rientrare nelle eccezioni.
L’obbligo riguarda, in sintesi:
Le aziende private con almeno 50 dipendenti, che devono obbligatoriamente adottare un canale interno. Le aziende con meno di 250 dipendenti hanno avuto una proroga, ma il termine è ormai superato. Le aziende con più di 250 dipendenti erano obbligate già da dicembre 2023.
Sono incluse anche le aziende che rientrano in specifici settori regolamentati — servizi finanziari, ambiente, sicurezza alimentare, appalti pubblici — indipendentemente dal numero di dipendenti.
Anche le pubbliche amministrazioni hanno i loro obblighi, ma questo articolo si concentra sul perimetro privato e professionale.
Fidati: sono più le aziende obbligate di quelle che pensano di non esserlo. Un primo confronto con un consulente legale o con l’ANAC (l’Autorità Nazionale Anticorruzione, che ha pubblicato linee guida specifiche) è sempre la mossa giusta prima di decidere di non fare nulla.
Come integrare una piattaforma whistleblowing nel sito web aziendale
Arriviamo alla parte pratica. Perché qui è dove la maggior parte delle aziende sbaglia, non per malafede, ma per superficialità. Si acquista una piattaforma, si genera un link e lo si nasconde in fondo al footer. Fine. Il risultato? Un sistema che esiste sulla carta ma che nessuno trova, nessuno usa e che — in caso di ispezione — dimostra scarsa serietà.
L’integrazione della piattaforma whistleblowing nel sito corporate va progettata, non improvvisata.
Link esterno, sottodominio o integrazione personalizzata?
Ci sono essenzialmente tre approcci, ognuno con i suoi pro e contro.
Il link esterno è la soluzione più semplice: si inserisce un link che porta l’utente direttamente al portale del provider SaaS. Funziona, è economica, ma ha una lacuna evidente: l’esperienza è discontinua. L’utente esce dal sito aziendale e si trova su un dominio che non riconosce, con un’interfaccia diversa. Non è ideale, soprattutto per chi pone attenzione alla fiducia e alla coerenza del brand.
Il sottodominio personalizzato (tipo segnalazioni.tuaazienda.it) è un passo avanti: la URL è riconducibile all’azienda, anche se sotto c’è comunque un software di terze parti. È un buon compromesso tra semplicità e professionalità.
L’integrazione personalizzata è la soluzione più completa: la piattaforma viene integrata visivamente e funzionalmente nel sito aziendale, con lo stesso design, gli stessi font, la stessa UX. Richiede più lavoro in fase di sviluppo, ma comunica un livello di serietà e cura che fa differenza.
Dove posizionare il collegamento nel sito corporate
Non basta avere la piattaforma: bisogna renderla accessibile e riconoscibile.
Il footer è il posto minimo: quasi tutti i siti lo fanno e chi sa cosa cercare lo trova. Ma non è sufficiente da solo, perché è la zona meno letta del sito.
Una sezione dedicata alla compliance o alla governance aziendale è la soluzione più professionale, soprattutto per studi legali, società di advisory e aziende B2B. Permette di raccogliere in un unico posto Privacy Policy, Cookie Policy, Modello 231, OdV e accesso al canale whistleblowing.
Il menu di navigazione (spesso nell’header o in un menu secondario) può ospitare un link diretto, soprattutto se l’azienda vuole comunicare proattivamente la propria trasparenza.
Infine, nelle comunicazioni interne — intranet, email aziendali, materiali HR — il link dovrebbe essere visibile e ricorrente, perché la maggior parte delle segnalazioni arriverà da dipendenti, non da utenti esterni.
Il whistleblowing deve essere presente sul sito web aziendale?
La risposta breve è: dipende, ma nella pratica conviene sempre che lo sia.
La norma impone che le aziende obbligate attivino un canale interno di segnalazione, ma non prescrive esplicitamente che debba essere visibile sul sito web pubblico. Tuttavia, rendere il canale accessibile dal sito aziendale è considerato una best practice dalle linee guida dell’ANAC ed è coerente con i principi di trasparenza che la stessa norma promuove.
In più, c’è un aspetto pratico che spesso si trascura: i segnalanti non sono sempre dipendenti. Possono essere fornitori, consulenti, stakeholder esterni. Renderlo accessibile pubblicamente dal sito significa non escludere una categoria di potenziali segnalanti che la legge vuole tutelare.
In sintesi: non è obbligatorio che il link stia sul sito. Ma se non ci sta, stai rendendo il tuo sistema di compliance meno efficace e meno credibile.
GDPR e sito corporate: come evitare errori di compliance
Il GDPR non è una questione da risolvere con un banner di cookie e una Privacy Policy copiata da internet. Succede più spesso di quanto pensi, e il rischio non è solo la multa: è la perdita di credibilità con clienti e partner che valutano la tua affidabilità anche su questi aspetti.
Un sito corporate gestisce dati personali in molti punti: form di contatto, newsletter, area riservata, strumenti di analisi, chatbot, piattaforme di booking. Ogni punto di raccolta dati ha bisogno di una base giuridica, di un’informativa adeguata e di un sistema per gestire i diritti degli interessati (cancellazione, accesso, portabilità).
Informativa Privacy, Registro dei Trattamenti e fornitori SaaS
Un errore frequente è pensare che la Privacy Policy del sito sia sufficiente. Non lo è. La Privacy Policy informa gli utenti, ma il Registro dei Trattamenti è il documento interno — obbligatorio per quasi tutte le aziende — che descrive come, perché e per quanto tempo si trattano i dati.
Quando usi una piattaforma SaaS — per il whistleblowing, per la newsletter, per il CRM, per il booking — stai affidando il trattamento di dati personali a un soggetto terzo. Questo soggetto diventa un Responsabile del Trattamento ai sensi del GDPR. E tu hai l’obbligo di regolare questo rapporto con un accordo scritto.
Molte aziende usano piattaforme estere (spesso americane o con server fuori dall’UE) senza verificare se il trasferimento di dati sia conforme. Spoiler: spesso non lo è, e il fatto di non saperlo non è una difesa valida.
Ruolo del Responsabile del trattamento e Data Processing Agreement
Il Data Processing Agreement (DPA) è il contratto che devi stipulare con ogni fornitore che tratta dati per tuo conto. Non è un optional, è un obbligo del GDPR (articolo 28).
Nel DPA si definiscono: le finalità del trattamento, le misure di sicurezza adottate, le istruzioni che il fornitore deve seguire, le modalità di gestione delle violazioni e i diritti degli interessati. Quando scegli una piattaforma whistleblowing o un qualsiasi altro tool che gestisce dati sensibili, verificare l’esistenza e la completezza del DPA è il primo passo, non l’ultimo.
Alcune piattaforme lo propongono già in forma standardizzata. Altre lo richiedono su richiesta. Se un fornitore non sa di cosa stai parlando quando chiedi il DPA, cambia fornitore.
Perché un sito web può diventare un’infrastruttura di compliance B2B
Arriviamo al punto che mi preme di più, quello che i vendor di software whistleblowing non ti diranno mai perché non è il loro prodotto: il sito web aziendale è il luogo naturale dove la compliance prende forma davanti agli occhi di chi conta.
Clienti, investitori, partner commerciali, candidati: prima di firmare un contratto, fare un’offerta, avviare una partnership, vanno a guardare il sito. E quello che trovano — o non trovano — comunica molto di più di quanto tu pensi.
Dal semplice sito vetrina al portale aziendale integrato
Il sito vetrina è quello che presenta i servizi, i clienti, il team. Funziona per chi parte da zero. Ma per un’azienda strutturata, che opera in mercati regolamentati o che vuole posizionarsi come partner affidabile in ambito B2B, il sito deve fare di più.
Deve avere una sezione dedicata alla governance, con documenti scaricabili, codice etico, accesso al canale whistleblowing, riferimenti all’Organismo di Vigilanza (OdV) se esiste un Modello 231, informazioni sul trattamento dei dati. Non per obbligo formale, ma perché chi compra servizi professionali sceglie in base alla fiducia, e la fiducia si costruisce anche con questi elementi.
Un portale aziendale integrato non è più complicato di un sito vetrina. È lo stesso sito, progettato con una logica più ampia.
Compliance, fiducia e reputazione digitale
C’è una dinamica che si vede spesso nelle gare d’appalto, nelle due diligence e nelle selezioni di fornitori: la conformità normativa è diventata un criterio di valutazione, non solo un requisito minimo.
Avere un sito che mostra in modo chiaro e accessibile come l’azienda gestisce i dati, come tutela i segnalanti, come si governa internamente, non è solo compliance. È posizionamento competitivo. È il modo in cui un’azienda seria si distingue da chi ha fatto il minimo indispensabile.
E in un mercato dove la reputazione digitale si costruisce anche su quello che non si dice ma si mostra, questo conta più di qualsiasi slogan.
Quali pagine non dovrebbero mancare in un sito web corporate conforme?
Una domanda pratica, che merita una risposta altrettanto pratica.
Un sito web corporate conforme dovrebbe avere almeno queste sezioni:
Privacy Policy: documento aggiornato, scritto in linguaggio comprensibile, che copre tutti i trattamenti effettuati tramite il sito.
Cookie Policy: separata dalla Privacy Policy (o incorporata in modo chiaro), con descrizione dei cookie utilizzati e strumento per gestire il consenso.
Informativa per i segnalanti (se obbligati al whistleblowing): documento che spiega come funziona il canale, chi gestisce le segnalazioni, quali tutele sono garantite.
Accesso al canale di segnalazione: link visibile, facilmente raggiungibile, che porta alla piattaforma whistleblowing.
Note legali: termini di utilizzo del sito, limitazioni di responsabilità, indicazioni societarie (ragione sociale, sede, P.IVA, REA).
Sezione governance/compliance (per realtà strutturate): dove raccogliere Codice Etico, Modello 231, riferimenti all’OdV, DPS, certificazioni.
Area contatti strutturata: con indicazione del Titolare del Trattamento e, se presente, del DPO (Data Protection Officer).
Non si tratta di pagine decorative. Sono punti di accesso a informazioni che la legge richiede di rendere disponibili e che i tuoi interlocutori professionali si aspettano di trovare.
Checklist finale per un sito corporate conforme a GDPR e Whistleblowing
Ecco i punti principali da verificare, tratti direttamente da quanto abbiamo visto in questo articolo:
- Privacy Policy e Cookie Policy aggiornate e coerenti con i trattamenti realmente effettuati dal sito (form, analytics, newsletter, ecc.)
- Sistema di gestione del consenso ai cookie (cookie banner) conforme alle indicazioni del Garante, con possibilità di rifiutare o modificare le preferenze
- Piattaforma whistleblowing attiva (se obbligata) con accesso visibile dal sito, canale sicuro e informativa dedicata per i segnalanti
- Data Processing Agreement sottoscritto con ogni fornitore SaaS che tratta dati personali per conto dell’azienda (piattaforme di segnalazione, CRM, email marketing, ecc.)
- Registro dei Trattamenti aggiornato internamente, con indicazione di tutti i trattamenti attivi, le basi giuridiche e i tempi di conservazione
- Sezione compliance/governance nel sito con note legali, riferimenti societari, documenti scaricabili (Codice Etico, Modello 231 se presente) e contatto del DPO se nominato
Se vuoi capire come strutturare il tuo sito aziendale in modo che sia davvero conforme, professionale e utile per chi lo visita, possiamo aiutarti a progettarlo con questa logica. Il punto di partenza è sempre una consulenza: parliamo di quello che hai già e di quello che manca.
Vuoi affidare il tuo progetto a dei professionisti?
Se hai le idee chiare ma ti serve un partner tecnico per l’esecuzione, ci siamo. Sviluppiamo Siti Web, Landing Page e strategie SEO orientate al ritorno sull’investimento. Niente chiacchiere, solo risultati misurabili.
