SEGNALAZIONE WHISTLEBLOWING – PIATTAFORMA PER LA RICEZIONE E GESTIONE DELLE SEGNALAZIONI IN MATERIA DI WHISTLEBLOWING - INFORMATIVA SUL TRATTAMENTO DEI DATI PERSONALI
Ai sensi degli artt. 13 e 14 del Regolamento UE n. 2016/679 (d’ora in poi GDPR), di seguito MIA s.r.l. (di seguito MIA) riporta le informazioni relative al trattamento dei dati personali delle persone segnalanti e delle persone coinvolte nella segnalazione.
Per maggiori dettagli sulla procedura whistleblowing si rinvia all’apposita Whistleblowing Policy pubblicata sulla wiki aziendale.
1. Definizioni:
I termini utilizzati nella presente Informativa, ma non altrimenti definiti qui di seguito, hanno i significati loro assegnati dal GDPR.
Persona segnalante: in base al D.Lgs. 24/2023 (di seguito Decreto Whsitleblowing), si intende la persona fisica che effettua la segnalazione o la divulgazione pubblica di informazioni sulle violazioni acquisite nell'ambito del proprio contesto lavorativo. La persona del segnalante può decidere di rimanere anonima; in ogni caso, la sua identità, anche se identificabile direttamente o indirettamente dal contenuto della segnalazione, non può essere resa nota senza il consenso della persona segnalante.
Persona coinvolta nella segnalazione : in base al Decreto Whistleblowing si intede la persona fisica menzionata nella segnalazione interna ovvero nella divulgazione pubblica come persona alla quale la violazione è attribuita o come persona comunque implicata nella violazione segnalata o divulgata pubblicamente.
Incaricato : si intende far qui riferimento alla singola persona fisica autorizzata da MIA a compiere le attività di trattamento di seguito descritte necessarie per la gestione delle segnalazioni ricevute.
2. Chi gestisce i dati
MIA s.r.l., P.I. 08045100966, con sede legale in Milano, Via Giacomo Leopardi 8, in qualità di Titolare del Trattamento dei dati personali.
3. Schema delle attività di trattamento eseguite da MIA
Nella ricezione e gestione delle segnalazioni, MIA tratta dei dati personali secondo lo schema di seguito riportato:
DATI TRATTATI | Dati personali di qualsiasi tipologia (comuni, particolari o giudiziari) contenuti nella segnalazione. |
CATEGORIA DI INTERESSATI |
|
BASE GIURIDICA E FINALITA’ DEL TRATTAMENTO | Art 6 par. 2 lett a) GDPR = consenso della persona segnalante Art 6 par. 2 lett c) GDPR = obbligo di legge nel trattamento dei dati relativi alle persone fisiche coinvolte nella segnalazione, quando questa sia fondata. I dati sono utilizzati solo al fine precipuo di gestire l’eventuale segnalazione di fatti ritenuti illeciti in base al Decreto Whistleblowing di cui la persona segnalante sia venuta a conoscenza in ragione del proprio rapporto di lavoro con MIA. |
ATTIVITA’ DI TRATTAMENTO | I dati personali forniti mediante comunicazione scritta per il tramite della piattaforma whistleblowing sono trattati nel rispetto del principio di minimizzazione, pertinenza e non eccedenza, allo scopo di effettuare le necessarie attività istruttorie volte a verificare la fondatezza dei fatti oggetto di segnalazione nonché per l’adozione dei conseguenti provvedimenti da parte delle competenti autorità indicate per legge. Questo significa, in ossequio al Decreto Whistleblowing, che:
Le attività di trattamento sono svolte con l’ausilio di strumenti informatici solo da parte degli Incaricati che gestirà le informazioni contenute nelle segnalazioni in base a quanto stabilito dalla Whistleblowing Policy. Il canale di Whistleblowing attivato garantisce il massimo della riservatezza attraverso un sistema di crittografia delle informazioni e di anonimizzazione di tutte le informazioni ritenuti infondate. |
DESTINATARI DEI DATI CONTENUTI NELLE SEGNALAZIONI | In quanto previsto dalla legge, i dati personali contenute nelle segnalazioni che costituiscono un illecito possono essere comunicati all’Autorità Giudiziaria competente e all’Autorità Nazionale Anticorruzione – ANAC – Nei casi previsti dal Decreto Whistleblowing e previo consenso della Persona segnalante, potrebbe essere altresì necessario svelare l’identità della Persona segnalante stessa rimasta anonima. |
TEMPI DI CONSERVAZIONE | Come previsto dall’art. 14, Decreto Whistleblowing, i dati personali sono trattati e conservati per il tempo necessario alla trattazione della segnalazione e comunque non oltre cinque anni a decorrere dalla data della comunicazione dell'esito finale della procedura di segnalazione. I dati personali contenuti in una segnalazione che non sia ritenuta fondata e a cui non venga dato seguito verranno anonimizzati. I dati personali contenuti in una segnalazione e che non siano ritenuti utli ai fini della trattazione della medesima vengono cancellati. |
LUOGO DI CONSERVAZIONE DEI DATI | I dati contenuti nella segnalazione sono conservati all’interno del territorio dell’Unione Europea (vedi tabella sotto Sub Responsabili del Trattamento) |
4. Elenco dei Responsabili del Trattamento
Quale canale di segnalazione interno, MIA ha scelto una piattaforma whistleblowing SaaS nominando come Responsabile del Trattamento, ex art 28 n. 4 del GDPR:
RESPONSABILE DEL TRATTAMENTO | ATTIVITA’ ESTERNALIZZATA | LUOGO DI TRATTAMENTO |
Digital Products Development SL | Erogazione della piattaforma per la ricezione e la gestione delle segnalazioni Ithikios | I server sono ubicati in Olanda e Spagna. |
5. I diritti delle persone segnalanti e delle persone coinvolte nella segnalazione ai sensi del GDPR e le limitazioni al loro esercizio in ambito whistleblowing
I diritti di cui agli artt. 15-22 (accesso ai propri dati; rettifica; cancellazione dei propri dati ecc..) non possono essere esercitati con richiesta al Titolare del trattamento o tramite reclamo ai sensi dell'articolo 77 GDPR qualora dall'esercizio di tali diritti possa derivare un pregiudizio effettivo e concreto:
a) agli interessi tutelati in base alle disposizioni in materia di riciclaggio;
b) agli interessi tutelati in base alle disposizioni in materia di sostegno alle vittime di richieste estorsive;
c) all'attivita' di Commissioni parlamentari d'inchiesta istituite ai sensi dell'articolo 82 della Costituzione;
d) alle attivita' svolte da un soggetto pubblico, diverso dagli enti pubblici economici, in base ad espressa disposizione di legge, per esclusive finalita' inerenti alla politica monetaria e valutaria, al sistema dei pagamenti, al controllo degli intermediari e dei mercati creditizi e finanziari, nonche' alla tutela della loro stabilita';
e) allo svolgimento delle investigazioni difensive o all'esercizio di un diritto in sede giudiziaria;
f) alla riservatezza dell'identita' del dipendente che segnala ai sensi della legge 30 novembre 2017, n. 179, l'illecito di cui sia venuto a conoscenza in ragione del proprio ufficio.
6. Data Protection Officer e contatti
Per maggiori delucidazioni in merito alle informazioni rilasciate con il presente documento, è possibile contattare il Data Protection Officer nominato da MIA scrivendo a [email protected].