WHISTLEBLOWING
Informativa Whistleblowing
INFORMATIVA RELATIVA AL TRATTAMENTO DEI DATI PERSONALI, AI SENSI DELL’ART. 13 E 14 DEL REGOLAMENTO (UE) 2016/679 (“GDPR”), EFFETTUATO IN RELAZIONE ALLA GESTIONE DELLE SEGNALAZIONI DI VIOLAZIONI DELLE NORME COMUNITARIE E NAZIONALI EX D.LGS. n. 24/2023, DISCIPLINATE DALLA WHISTLEBLOWING POLICY
TITOLARE DEL TRATTAMENTO
DG3 Dolciaria SRL, sede legale: Via Contra Campomarino n. 12, 83014, Ospedaletto D’Alpinolo (AV), di seguito per brevità definita “Società” o il “Titolare del trattamento” (o anche solo il “Titolare”) in relazione al trattamento di dati personali dei segnalanti, dei segnalati, dei facilitatori della segnalazione ed eventuali altri soggetti terzi coinvolti o menzionati nella segnalazione (nel seguito, “Interessati”) effettuato nella gestione delle segnalazioni di illeciti indirizzate alla Società rientranti nell’ambito di applicazione della “Whistleblowing Policy” – redatta in conformità a quanto previsto dalla legge 30 novembre 2017 n. 179 recante “Disposizioni per la tutela degli autori di segnalazioni di reati o irregolarità di cui siano venuti a conoscenza nell’ambito di un rapporto di lavoro pubblico o privato” e dal D.Lgs. 10 marzo 2023, n. 24, di attuazione della direttiva (UE) 2019/1937 e riguardante la protezione delle persone che segnalano violazioni del diritto dell’Unione e delle disposizioni normative nazionali.
RESPONSABILE DELLA PRIVACY
Il Titolare ha nominato un Responsabile della Privacy. Puoi contattare il Responsabile Privacy al seguente indirizzo e-mail: amministrazione@dg3dolciaria.it
CATEGORIE E FONTE DEI DATI OGGETTO DEL TRATTAMENTO
Sono raccolti e trattati i seguenti dati personali:
- Dati personali di natura comune (es. dati anagrafici, dati di contatto, etc.) del segnalante, del segnalato, dei facilitatori della segnalazione ed eventuali altri soggetti terzi coinvolti o menzionati nella segnalazione che dovessero essere riportati nella segnalazione.
- Qualora riportati nella segnalazione o, in seguito, acquisiti nell’ambito della gestione della segnalazione e nella conduzione della relativa istruttoria, potranno essere oggetto di trattamento anche dati che rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose e/o filosofiche, l’appartenenza sindacale, nonché dati genetici, dati biometrici, dati relativi alla salute o alla vita sessuale o all’orientamento sessuale degli interessati e dati giudiziari, relativi a reati e condanne penali.
I soggetti interessati sono (o possono essere): l’autore della segnalazione (il segnalante), la persona (o le persone) interessata dalla segnalazione (il segnalato/i segnalati), la persona fisica che assiste il segnalante nel processo di segnalazione, operante all’interno del medesimo contesto lavorativo del segnalante e la cui assistenza deve essere mantenuta riservata (il facilitatore della segnalazione), ed eventuali altri soggetti terzi coinvolti o menzionati nella segnalazione che dovessero essere riportati nella segnalazione o che dovessero venire in rilievo nel corso dell’istruttoria conseguente alla segnalazione.
Il Titolare raccoglie i dati attraverso le segnalazioni indirizzate alla Società e, successivamente, nel corso dell’istruttoria conseguente alla segnalazione. I dati degli interessati, contenuti nella segnalazione, sono forniti direttamente dal segnalante. Segnalanti possono essere dipendenti e/o collaboratori, tirocinanti, consulenti, azionisti, persone con funzioni di amministrazione, direzione, controllo, vigilanza o rappresentanza, e, in generale, tutti gli stakeholder del Titolare, o qualsiasi soggetto portatore di un interesse legittimo. Le segnalazioni possono essere nominative oppure anonime.
Per preservare le finalità investigative, nei casi previsti dalla legge, il segnalato, ai sensi dell’art. 14, co. 5, lett. d) del GDPR, può non essere immediatamente messo a conoscenza del trattamento dei propri dati effettuato da parte del Titolare, fintanto che sussista il rischio di compromettere la possibilità di verificare efficacemente la fondatezza della denuncia o di raccogliere le prove necessarie.
FINALITÀ DI TRATTAMENTO DEI DATI E BASE GIURIDICA
Il trattamento è diretto esclusivamente per la gestione delle segnalazioni ricevute, per la fruizione dei servizi di monitoraggio delle segnalazioni inviate e per effettuare le necessarie attività istruttorie volte a verificare la fondatezza del fatto oggetto di segnalazione e l’adozione di eventuali provvedimenti, nonché per la tutela in giudizio.
Il trattamento dei dati per il perseguimento delle finalità di cui sopra è necessario per adempiere agli obblighi di legge, ad un regolamento o normativa comunitaria legate ai sensi dell’art. 6, comma 1, lett. c) del GDPR e rinvenibile nell’adempimento di obblighi di legge derivanti dal decreto legislativo n. 24 del 10/03/2023 di attuazione della direttiva (UE) 2019/1937 del Parlamento Europeo e del Consiglio del 23 ottobre 2019, riguardante la protezione delle persone che segnalano violazioni del diritto dell’Unione e recante disposizioni riguardanti la protezione delle persone che segnalano violazioni delle disposizioni normative nazionali (c.d. Whistleblowing).
In particolare, il trattamento ha ad oggetto segnalazioni che possono riguardare violazioni di norme, interne ed esterne, dei principi e delle regole di comportamento contenuti nel Codice Etico nonché delle previsioni contenute nel Modello 231 di DG3 Dolciaria SRL e/o di comportamenti illeciti o fraudolenti riferibili a dipendenti, membri degli organi sociali o a terzi (clienti, fornitori, consulenti, collaboratori e società del gruppo), che possano determinare, in modo diretto o indiretto, un danno economico-patrimoniale e/o di immagine del Titolare.
Con riguardo ad un eventuale trattamento dei dati personali successivo alla chiusura dell’istruttoria sulla segnalazione, la base giuridica è rappresentata dal legittimo interesse del Titolare all’esercizio dei propri diritti ed eventualmente alla difesa in giudizio in tutti i casi in cui si renda necessario (e.g., riapertura di procedimenti giudiziari, richieste di risarcimento danni correlate alla segnalazione), ai sensi dell’art. 6, co. 1, lett. f) e dell’art. 9, co. 2, lett. f) del GDPR.
Il consenso del segnalante, invece, sarà acquisito per rendere nota l’identità del segnalante nell’ipotesi prevista e disciplinata dall’art. 12, comma 5, d.lgs. 24/2023 da intendersi ivi integralmente richiamata.
MODALITÀ DI TRATTAMENTO DEI DATI:
Fatti salvi i princìpi di necessità, pertinenza e non eccedenza, i dati verranno trattati prevalentemente attraverso strumenti informatici e/o automatizzati nell’ambito della piattaforma Whistleblowing con logiche correlate alle finalità sopraindicate e, comunque, in modo da garantire la sicurezza e la riservatezza dei dati.
Il Titolare verifica:
- gli strumenti mediante i quali i dati vengono trattati e le misure di sicurezza per essi previste di cui prevede l’aggiornamento costante;
- anche per il tramite dei soggetti autorizzati al trattamento, che non siano raccolti, trattati, archiviati o conservati dati personali di cui non sia necessario il trattamento o le cui finalità siano esaurite e che siano utilizzati per le finalità dei trattamenti effettivamente svolti garantendo l’integrità e l’autenticità dei dati.
La piattaforma informatica, inoltre, protegge i dati personali mediante un sistema di crittografia, garantendo in questo modo la riservatezza delle informazioni trasmesse.
Il Titolare garantisce che i dati che, anche a seguito di verifiche, risultino eccedenti o non pertinenti o non indispensabili non saranno utilizzati e che non saranno raccolti dati eccedenti che saranno cancellati in caso di acquisizione accidentale.
DESTINATARI DEI DATI:
Le segnalazioni ed i dati personali degli interessati saranno comunicati ai soggetti esterni coinvolti nella gestione della segnalazione nel rispetto delle previsioni di legge in materia di tutela dei dati personali.
L’identità della persona segnalante e qualsiasi altra informazione da cui possa evincersi, direttamente o indirettamente, tale identità, non potranno essere rivelate, senza il consenso espresso della stessa, a soggetti diversi da quelli sopra indicati.
È fatta salva la comunicazione dei dati personali degli interessati ad enti pubblici ed alle pubbliche autorità (ivi incluse quelle amministrative, giudiziarie e di pubblica sicurezza), qualora ne ricorrano i presupposti o la comunicazione sia necessaria per adempiere ad un ordine dell’autorità stessa ovvero ad un obbligo di legge.
L’identità della persona segnalante non potrà essere rivelata nemmeno nell’ambito dei procedimenti disciplinari che dovessero scaturire dalla segnalazione, qualora la contestazione dell’addebito disciplinare sia fondata su accertamenti distinti e ulteriori rispetto alla segnalazione medesima, anche se conseguenti alla stessa. Ove, invece, la contestazione disciplinare sia fondata, in tutto o in parte, sulla segnalazione e la conoscenza dell’identità della persona segnalante sia indispensabile per la difesa dell’incolpato, la segnalazione sarà utilizzabile ai fini del procedimento disciplinare solo in presenza del consenso espresso della persona segnalante alla rivelazione della propria identità. In tale ultimo caso, alla persona segnalante verranno comunicate per iscritto le ragioni della rivelazione dei dati riservati, Nel caso abbia dato il consenso alla rivelazione della sua identità nell’ambito di procedimenti disciplinari, ha il diritto di revocare tale consenso in qualsiasi momento, senza che però ciò pregiudichi la liceità del trattamento, basato sul consenso, effettuato prima della revoca.
Analoga comunicazione verrà fornita alla persona segnalante qualora la rivelazione della sua identità e le informazioni da cui la stessa possa evincersi, direttamente o indirettamente, risulti indispensabile anche ai fini della difesa di qualsiasi persona coinvolta.
I dati vengono trattati dalla società che gestisce la piattaforma Proteo SRL che garantisce la piattaforma di Whistleblowing e lo storage dei dati personali trattati e dalla SogecDT Compliance Srl che si occupa della gestione del canale di segnalazione, entrambi nominati Responsabile del Trattamento ai sensi dell’art 28 Reg. UE 2016/679.
Il Titolare, ai sensi degli articoli 28 e 29 del GDPR, fornisce al Responsabile del trattamento istruzioni operative per assicurare la riservatezza e la sicurezza del trattamento dei dati personali, garantire la conformità alla normativa applicabile e la tutela degli Interessati al trattamento.
I dati personali del soggetto segnalante non saranno in alcun modo diffusi o divulgati verso soggetti diversi da quelli sopra individuati.
TRASFERIMENTO DEI DATI VERSO PAESI TERZI:
I dati trattati non vengono trasferiti dal Titolare verso Paesi terzi. Tuttavia, in caso di eventuale trasferimento di dati verso Paesi Terzi il trasferimento stesso avverrà nel rispetto della normativa di volta in volta vigente in tema di trasferimento di dati verso Paesi Terzi.
PERIODO DI CONSERVAZIONE:
I dati raccolti saranno conservati, nel rispetto degli obblighi di riservatezza, per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati (“principio di limitazione della conservazione”, art. 5, GDPR), e comunque non oltre ai 5 anni a decorrere dalla data della comunicazione dell’esito finale della procedura di segnalazione, salvo il caso in cui, durante il periodo di 5 anni dovesse sorgere un procedimento disciplinare o giudiziario derivante dalla Segnalazione. In quest’ultimo caso il periodo di conservazione dei dati seguirà il percorso di detto procedimento giudiziario o disciplinare.
In caso di segnalazione anonima il Titolare provvede a registrarla e conservare la relativa documentazione non oltre cinque anni decorrenti dalla data di ricezione di tale segnalazione anonima, rendendo così possibile rintracciarla nel caso in cui il segnalante, o chi abbia sporto denuncia, comunichi all’Autorità Nazionale Anticorruzione (ANAC) di aver subito misure ritorsive a causa di quella segnalazione o denuncia anonima.
La verifica sulla obsolescenza dei dati conservati in relazione alle finalità per cui sono stati raccolti viene effettuata periodicamente.
DIRITTI DELL’INTERESSATO:
Gli interessati al trattamento possono chiedere al Titolare l’accesso ai dati che li riguardano, la loro rettifica, l’integrazione o la loro cancellazione, nonché la limitazione del trattamento o qualsiasi altro diritto di cui agli articoli da 15 a 22 del GDPR, ricorrendone i presupposti, che dovranno essere evidenziati nella richiesta nei limiti dell’art. 2-undecies d.lgs 196/2003. L’esercizio di tali diritti potrà, comunque, essere limitato qualora esistano interessi legittimi prevalenti sugli interessi, diritti e libertà dell’interessato, anche connessi all’accertamento, all’esercizio o alla difesa di un diritto in sede giudiziaria o ad altri obblighi di legge che il Titolare deve assolvere o ad eventuali disposizioni delle Autorità Pubbliche o dell’Autorità Giudiziaria o degli Organi di Polizia.
Al fine di esercitare i propri diritti, l’interessato potrà indirizzare una propria richiesta rivolgendosi
a DG3 Dolciaria SRL, mediante comunicazione da inviarsi all’indirizzo email: amministrazione@dg3dolciaria.it L’esercizio dei diritti di cui agli artt. 15 e ss. da parte dell’Interessato Segnalato sarà garantito compatibilmente con le esigenze di riservatezza dell’identità del Segnalante, ai sensi della legge 30.11.2017 n. 179, nonché dell’art. 2-undecies lett. f) del D.lgs. 101/2018, che prevede, “i diritti di cui agli articoli da 15 a 22 del Regolamento non possono essere esercitati con richiesta al titolare del trattamento ovvero con reclamo ai sensi dell’articolo 77 del Regolamento qualora dall’esercizio di tali diritti possa derivare un pregiudizio effettivo e concreto (…) alla riservatezza dell’identità del dipendente che segnala, ai sensi della legge 30 novembre 2017 n.179, l’illecito di cui sia venuto a conoscenza in ragione del proprio ufficio”
L’interessato, nel caso in cui ritenga che il trattamento dei dati personali effettuato dal Titolare avvenga di violazione di quanto previsto dal GDPR, ha diritto di proporre reclamo anche all’Autorità Garante per la protezione dei dati personali (https://www.garanteprivacy.it/).
Eventuali diritti dell’interessato (art. 2 undecies, comma 3 Codice Privacy) potranno essere esercitati tramite l’Autorità Garante nelle modalità previste dall’art. 160 del Codice Privacy.
