Informativa ai sensi della normativa sulla protezione dei dati personali - Whistleblowing
Ai sensi dell’art.13 e 14 del Regolamento (UE) n. 2016/679 (Regolamento Generale sulla Protezione dei Dati, di seguito GDPR) e del d.lgs. 24/2023 Peck S.p.A. (di seguito la Società o Titolare) fornisce, qui di seguito, l’informativa sui trattamenti dei Dati personali effettuati in relazione alla gestione delle Segnalazioni, disciplinate dalla Procedura Whistleblowing della Società.
1) Categorie di dati personali
Premesso che, il conferimento dei Dati personali da parte del segnalante è facoltativo, in quanto lo stesso dispone anche della possibilità di effettuare una segnalazione anonima, i Dati personali che possono essere conferiti dal segnalante sono:
a) Dati personali di cui all’art. 4, punto 1, del GDPR del Segnalante (nel caso di Segnalazioni non anonime) nonché di eventuali Persone coinvolte o menzionate nella Segnalazione e Facilitatori, come definiti dalla Procedura Whistleblowing (di seguito “Interessati”), quali: dati anagrafici (ad es. nome, cognome, data e luogo di nascita), dati di contatto ad es. numero telefonico fisso e/o mobile, indirizzo postale/e-mail).
b) Categorie particolari di dati di cui all’art. 9 del GDPR (a titolo esemplificativo e non esaustivo dati che rivelino l’origine razziale, etnica, opinioni politiche, convinzioni religiose o filosofiche, appartenenza sindacale, dati genetici, dati biometrici, dati relativi alla salute o alla vita sessuale o all’orientamento sessuale della persona e dati giudiziari, quali condanne penali e reati), qualora inserite nella segnalazione.
c) Dati relativi alle condanne penali e ai reati o a connesse misure di sicurezza, di cui all’art. 10 del GDPR, qualora inseriti nella segnalazione.
2) Finalità del trattamento e relativa base giuridica
I suddetti Dati personali sono trattati dal Titolare per le seguenti finalità:
a) corretta e completa gestione delle attività di indagine necessarie a valutare la fondatezza delle segnalazioni di reati o irregolarità di cui il segnalante sia venuto a conoscenza nell’ambito del rapporto di lavoro con il Titolare o nell’espletamento delle funzioni di amministrazione, controllo, vigilanza o rappresentanza ai sensi del d.lgs. n. 24/2023;
b) adempimento di obblighi previsti dalla legge o dalla normativa comunitaria;
c) difesa o accertamento di un di un proprio diritto in contenziosi civili, amministrativi o penali;
d) (trattamento che interessa i soli segnalanti e, in particolare, dei dati che permettano, direttamente o indirettamente, di desumerne l’identità) disvelamento della identità del segnalante ai fini di difesa del soggetto segnalato o della persona coinvolta nell’ambito di eventuali procedimenti disciplinari che abbiano quale fondamento la segnalazione del segnalante.
e) (trattamento che interessa i soli segnalanti che effettuano una segnalazione nel corso di un incontro orale, in particolare relativo a tutte le informazioni trasmesse nel corso della segnalazione, inclusi i dati che permettano, direttamente o indirettamente, di desumere l’identità del segnalante) trascrizione o registrazione su dispositivo idoneo alla registrazione e all’ascolto. In caso di verbalizzazione scritta il segnalante potrà comunque verificare, rettificare o confermare il verbale dell’incontro tramite la propria sottoscrizione;
La base giuridica del trattamento è costituita:
- per la finalità di cui alla lettera a), dall’adempimento di un obbligo legale a cui è soggetto il Titolare del trattamento (art. 6, par. 1, lett. c) del GDPR); inoltre, per le segnalazioni registrate raccolte telefonicamente o tramite sistemi di messaggistica vocale o comunque in forma orale, dal consenso del Segnalante (art. 6, par. 1, lett. a) del GDPR);
- per le finalità di cui alla lettera b), dall’adempimento di un obbligo legale a cui è soggetto il Titolare del trattamento (art. 6, par. 1, lett. c) del GDPR).
- per le finalità di cui alla lettera c), dal legittimo interesse del titolare (art. 6, par. 1, lett. f) del GDPR)
- per le finalità di cui alla lettera d) ed e),
Il conferimento dei dati è necessario per il conseguimento delle finalità di cui sopra; il loro mancato, parziale o inesatto conferimento potrebbe avere come conseguenza l’impossibilità di gestire la segnalazione.
3) Conservazione dei dati personali
Peck S.p.A. conserva i dati personali secondo nei termini previsti dall’art. 14 del d.lgs. n. 24/2023, cioè per il tempo necessario al trattamento della segnalazione e comunque per non oltre 5 anni a decorrere dalla data di comunicazione dell’esito finale della procedura di Segnalazione. I dati personali che manifestamente non sono utili al trattamento di una specifica segnalazione non sono raccolti o, se raccolti accidentalmente, sono cancellati tempestivamente. Sono fatti salvi i casi in cui il trattamento è autorizzato dalla legge o da un provvedimento dell’Autorità Garante per la protezione dei dati personali (di seguito, il “Garante”) o comunque per ordine dell’Autorità Pubblica.
4) Modalità e logica del trattamento
I trattamenti dei dati sono effettuati manualmente e/o attraverso strumenti automatizzati informatici e telematici con logiche correlate alle finalità sopraindicate e, comunque, in modo da garantirne la sicurezza e la riservatezza.
Il sistema di gestione delle Segnalazioni garantisce, in ogni fase, la riservatezza dell’identità del Segnalante, delle Persone coinvolte e/o comunque menzionate nella Segnalazione, del contenuto della Segnalazione e della relativa documentazione, fatto salvo quanto previsto dall’art. 12 del d.lgs. n. 24/2023.
I dati personali degli interessati non saranno oggetto di trasferimento al di fuori dell’Unione Europea.
5) Titolare, Data Protection Officer e categorie di persone autorizzate al trattamento dei dati
Il Titolare del trattamento dei dati personali è Peck S.p.A., con sede in via Spadari 9 – 20123 Milano.
Il Titolare ha nominato un Data Protection Officer, contattabile al seguente indirizzo: privacy@peck.it.
6) Categorie di soggetti terzi ai quali i dati potrebbero essere comunicati
Alcuni trattamenti possono essere effettuati da ulteriori soggetti terzi, ai quali Peck S.p.A. affida talune attività (o parte di esse) per le finalità di cui al punto 2); tali soggetti opereranno in qualità di Titolari autonomi o saranno designati Responsabili del trattamento e sono essenzialmente ricompresi nelle seguenti categorie:
- Gestore delle segnalazioni
- Consulenti (Organizzazione, Contenzioso, Studi Legali, ecc.)
- Società incaricate dell’amministrazione e gestione del personale,
- Società di Revisione/auditing
- Agenzie investigative
- Istituzioni e/o Autorità Pubbliche, Autorità Giudiziaria, Organi di Polizia.
7) Diritti degli interessati
L’interessato, nelle persone del Segnalante o del Facilitatore, ha diritto di accedere in ogni momento ai dati che lo riguardano e di esercitare i diritti previsti dagli articoli da 15 al 22 del GDPR, per quanto applicabili (diritto di accesso ai dati personali, diritto a rettificarli, diritto di ottenerne la cancellazione o cd. diritto all’oblio, il diritto alla limitazione del trattamento, il diritto alla portabilità dei dati personali o quello di opposizione al trattamento), inviando una e-mail all’indirizzo: privacy@peck.it
Inoltre, qualora ritenesse che il trattamento che lo riguarda violi il Regolamento, l’interessato ha diritto di proporre un reclamo al Garante della protezione dei dati personali, con sede in Piazza Venezia n. 11, 00187 – Roma (http://www.garanteprivacy.it/).
I suddetti diritti non sono esercitabili dalla persona coinvolta o dalla persona menzionata nella segnalazione, per il tempo e nei limiti in cui ciò costituisca una misura necessaria e proporzionata, ai sensi dell’art. 2-undecies del d. lgs. 196/2003 e s.m.i. (di seguito, Codice Privacy) in quanto dall’esercizio di tali diritti potrebbe derivare un pregiudizio effettivo e concreto alla tutela della riservatezza dell’identità della persona segnalante.
Nei casi in cui non sia possibile esercitare direttamente tali diritti, gli interessati possono comunque esercitarli tramite il Garante, con le modalità di cui all'articolo 160 del Codice Privacy. In tale ipotesi, il Garante informa l'interessato di aver eseguito tutte le verifiche necessarie o di aver svolto un riesame, nonché del diritto dell'interessato di proporre ricorso giurisdizionale.