Informativa sul trattamento dei dati personali ai sensi degli artt. 13 e 14 del Regolamento UE 2016/679

Informativa sul trattamento dei dati personali ai sensi degli artt. 13 e 14 del Regolamento UE 2016/679

Le seguenti informazioni sono fornite agli interessati, ai sensi degli artt. 13 e 14 del Regolamento UE 2016/679 (“GDPR”) e riguardano i trattamenti di dati personali relativi alla segnalazione di illeciti (Whistleblowing), secondo quanto disposto dal D.Lgs. 10 marzo 2023, n. 24 (Attuazione della direttiva (UE) 2019/1937 del Parlamento europeo e del Consiglio, del 23 ottobre 2019, riguardante la protezione delle persone che segnalano violazioni del diritto dell'Unione e recante disposizioni riguardanti la protezione delle persone che segnalano violazioni delle disposizioni normative nazionali).

 

1. Titolare del trattamento

Il Titolare del trattamento dei dati personali (“Titolare”) oggetto della presente informativa, è Uniacque S.p.A., C.F. e P. IVA 03299640163, avente sede legale in via delle Canovine, 21 - 24126 Bergamo e contattabile ai seguenti recapiti:

2. Responsabile della protezione dei dati

Il Responsabile della Protezione dei dati (“DPO”) è contattabile al seguente indirizzo E-mail: dpo@uniacque.bg.it.

3. Tipologie di dati personali trattati e relative fonti di origine

I dati personali acquisiti attraverso la piattaforma informatica di Whistleblowing, ovvero secondo le modalità previste dalla “Policy Segnalazioni di illeciti e irregolarità – whistleblowing” (“Policy”) per le segnalazioni in forma orale, concernono presunte condotte illecite delle quali il segnalante sia venuto a conoscenza in ragione del proprio rapporto di lavoro, servizio o fornitura con Uniacque S.p.A.

In particolare, nell’ambito delle segnalazioni di Whistleblowing potranno essere trattati i seguenti dati personali:

  • dati anagrafici e di contatto del segnalante, qualora da questi volontariamente rivelati;
  • dati relativi al segnalato e ad altre persone coinvolte nella segnalazione, inclusi potenzialmente dati relativi alla commissione di illeciti;
  • dati relativi all'attività lavorativa svolta nell'ambito dell'organizzazione aziendale;
  • eventuali altri dati (potenzialmente anche particolari, se pertinenti alla segnalazione) contenuti nella segnalazione o acquisiti nella fase istruttoria.

I dati del segnalante, quelli del segnalato e/o di terzi sono forniti direttamente dal segnalante stesso e/o acquisiti nel corso delle conseguenti attività istruttorie.

4.Finalità e basi giuridiche del trattamento

I dati personali saranno trattati per le finalità e secondo le basi giuridiche di seguito indicate:

 

 

Finalità

Base giuridica

·       Gestione delle segnalazioni di whistleblowing, incluse le attività istruttorie conseguenti alla segnalazione.

·       Adempimento di un obbligo di legge al quale è soggetto il Titolare (in applicazione del D.lgs. 24/2023) come previsto dall’art. 6, comma 1, lett. c) del GDPR.

·       Se necessario, adozione dei provvedimenti conseguenti alla segnalazione e, in generale, per la tutela dei diritti del Titolare.

·       Legittimo interesse del Titolare di cui all’art. 6 co.1 lett. f) del GDPR.

·       Rivelazione dell’identità del segnalante (se conosciuta) nei soli casi previsti dalla legge, ad es. per consentire al segnalato di difendersi nell’ambito di un procedimento disciplinare (art. 12 co. 5 e 6 del D.lgs. 24/2023) o nel caso ricorra l’ipotesi di comunicazione dell’identità del segnalante a persone diverse da quelle designate dal Titolare a gestire le segnalazioni (art. 12 co. 2 del D.lgs. 24/2023).

·       Consenso dell’interessato di cui all’art. 6 co. 1 lettera a) del GDPR

·       Documentazione di una segnalazione effettuata mediante incontro con il Responsabile della prevenzione della corruzione e trasparenza (RPCT) o tramite sistema di messaggistica vocale, provvedendo alla registrazione su un dispositivo idoneo alla conservazione e all'ascolto oppure attraverso trascrizione integrale (art. 14 co. 2 del D.lgs. 24/2023).

·       Consenso dell’interessato di cui all’art. 6 co. 1 lettera a) del GDPR

·       Gestione di eventuali dati, inclusi nella segnalazione o emersi nell’ambito dell’istruttoria, relativi a condanne penali e ai reati o a connesse misure di sicurezza.

·       Il trattamento è autorizzato dal diritto dell'Unione o degli Stati membri (nello specifico, dal D.lgs. 24/2023), come previsto dall’art. 10 del GDPR.

·       Gestione di dati particolari (ovvero dati relativi all’origine razziale o etnica, alle opinioni politiche, alle convinzioni religiose o filosofiche, all’appartenenza sindacale e dati riguardanti la salute o la vita sessuale) rilevanti per la fattispecie di segnalazione.

·       Il trattamento è consentito per motivi di interesse pubblico rilevante (nello specifico, per adempiere alle previsioni del D.lgs. 24/2023) e/o il trattamento è necessario per accertare, esercitare o difendere un diritto in sede giudiziaria, ai sensi dell’art. 9 co. 2 lettere f) e g) del GDPR

5. Natura del conferimento dei dati e conseguenze del mancato conferimento

Nella fase di segnalazione il conferimento dei dati è facoltativo, a discrezione del segnalante.

Tuttavia il mancato conferimento dei dati o segnalazioni eccessivamente generiche, non circostanziate, non basate su elementi concreti o non rese con dovizia di particolari, potranno comportare una gestione meno efficace delle segnalazioni stesse. Nella fase di istruttoria il Titolare potrà acquisire ulteriori dati, chiedendoli agli interessati o effettuando indagini in proprio.

6. Ambito di comunicazione e diffusione

I dati personali relativi alla gestione delle segnalazioni saranno trattati dai seguenti soggetti:

  • Responsabile della prevenzione della corruzione e trasparenza (RPCT) di Uniacque S.p.A. e le persone del suo staff, in qualità di gestori delle segnalazioni, designati come autorizzati al trattamento;
  • società fornitrice della piattaforma software di whistleblowing adottata da Uniacque S.p.A., designata come Responsabile del Trattamento.

L’eventuale condivisione della segnalazione e della documentazione prodotta dal segnalante con altre funzioni aziendali o con professionisti esterni a scopo di indagine verrà svolta nel rispetto della “Policy” e del D.lgs. 24/2023, con la massima attenzione a tutelare la riservatezza del segnalante e del segnalato, omettendo qualsiasi comunicazione di dati che non sia strettamente necessaria.

Resta fermo che l’identità del segnalante (e qualsiasi altra informazione da cui la si possa evincere, direttamente o indirettamente) non sarà rivelata, senza il consenso dello stesso, a soggetti diversi dai gestori delle segnalazioni e (quando necessario) ai professionisti che li assisteranno nell’attività istruttoria, fatto salvo quanto prescritto dalla normativa applicabile.

Nell'ambito di un eventuale procedimento penale, l’identità della persona segnalante sarà coperta dal segreto nei modi e nei limiti previsti dall'articolo 329 del codice di procedura penale; nell'ambito di un eventuale procedimento dinanzi alla Corte dei conti, l’identità della persona segnalante non potrà essere rivelata fino alla chiusura della fase istruttoria.

I dati personali non saranno in alcun modo oggetto di diffusione.

7. Modalità di trattamento dei dati

Il trattamento dei dati verrà svolto con l’ausilio di mezzi elettronici, attraverso modalità volte a garantire la massima sicurezza e riservatezza, nel rispetto delle disposizioni vigenti.

8. Processo decisionale automatizzato

Uniacque S.p.A. non adotta alcun processo decisionale automatizzato, compresa la profilazione, di cui all'art. 22 del GDPR.

9. Periodo di conservazione dei dati

I dati saranno conservati per un periodo massimo di 5 anni dalla data della comunicazione dell’esito finale della procedura di gestione della segnalazione, salvo l’instaurazione di procedimento giudiziario o disciplinare conseguente alla segnalazione stessa. In tal caso, i dati saranno conservati per tutta la durata del procedimento, fino alla sua conclusione e al decorso dei termini per eventuali impugnazioni.

I dati personali che manifestamente non saranno utili alla gestione di una specifica segnalazione non saranno raccolti o, se raccolti accidentalmente, verranno cancellati immediatamente.

Decorsi i termini di conservazione sopra indicati, i dati saranno distrutti, cancellati o resi anonimi, compatibilmente con le tempistiche dovute alle modalità tecniche di cancellazione e di backup.

10. Trasferimenti di dati in paesi non appartenenti all’Unione Europea o a organizzazioni internazionali

I dati personali trattati non verranno trasferiti in paesi terzi o organizzazioni internazionali al di fuori dello spazio dell'Unione Europea.

11. Diritti degli interessati

È possibile esercitare, in relazione ai trattamenti dei dati sopra descritti, i diritti riconosciuti dal GDPR agli interessati, ivi incluso il diritto di:

  • chiedere l’accesso ai dati e alle informazioni di cui all’art. 15 (finalità del trattamento, categorie di dati personali, etc.);
  • ottenere la rettifica dei dati inesatti o l’integrazione dei dati incompleti ai sensi dell’art. 16;
  • chiedere la cancellazione dei dati personali nelle ipotesi previste dall’art. 17, se il Titolare non ha più diritto di trattarli;
  • ottenere la limitazione del trattamento (cioè la temporanea sottoposizione dei dati alla sola operazione di conservazione), nei casi previsti dall’art. 18 GDPR;
  • opporsi in qualsiasi momento, per motivi connessi a situazioni particolari, al trattamento dei propri dati personali sulla base del legittimo interesse ai sensi dell'articolo 6.1 lett. f) del GDPR.

Gli interessati hanno altresì il diritto di proporre reclamo al Garante per la Protezione dei Dati Personali o di adire le competenti sedi giudiziarie qualora ritengano che il trattamento dei propri dati personali sia contrario alla normativa vigente.

Si segnala che, ai sensi dell’art. 2-undecies del D. Lgs. n. 196/2003 (“Codice Privacy”) richiamato dall’art. 13 co. 3 del D.lgs. 24/2023, i diritti di cui agli articoli da 15 a 22 del GDPR non possono essere esercitati qualora dall'esercizio degli stessi possa derivare un pregiudizio effettivo e concreto alla riservatezza dell’identità del segnalante. In tale ipotesi i diritti in questione possono essere esercitati per il tramite del Garante per la Protezione dei Dati Personali, con le modalità di cui all’art. 160 del Codice Privacy.

Per esercitare i propri diritti è possibile rivolgersi al DPO via e-mail, all'indirizzo dpo@uniacque.bg.it oppure via posta ordinaria, indirizzando la busta al Data Protection Officer (DPO) via delle Canovine, 21–24126 Bergamo.

In alternativa l’interessato potrà rivolgersi al RPCT tramite la piattaforma informatica di Whistleblowing: per la gestione della richiesta lo stesso RPCT coinvolgerà il DPO senza rivelare l‘identità dell’interessato, a meno che ciò non si renda indispensabile.