Informativa in materia di protezione dei dati personali in relazione alle segnalazioni di whistleblowing ai sensi degli artt. 13 e 14 del Regolamento Europeo 2016/679 (GDPR) per il segnalante, facilitatore e persone diverse dal segnalato ma implicate in quanto menzionate nella segnalazione

Con la presente informativa, in osservanza di quanto previsto ai sensi e per gli effetti degli artt. 13 e 14 del Regolamento UE n. 2016/679, di seguito GDPR, la Gestione Rischi Holding di Partecipazione in breve e d’ora in avanti Ge.Ri. HDP S.r.l., con sede legale in via Lago di Nemi, 25, 20142, Milano (MI), nella sua qualità di “Titolare del trattamento dei dati personali”, fornisce al Segnalante, in qualità di “Interessato”, le informazioni di seguito riportate.

1.      Oggetto del trattamento

I dati personali ed eventualmente particolari, acquisiti attraverso la compilazione del form di segnalazione di violazioni/illeciti/irregolarità di cui al D. Lgs n. 24/2023, presente entrando sulla “piattaforma Whistleflow”, accessibile dal sito web https://www.gerihdp.com/ o acquisiti con segnalazioni effettuate nelle altre modalità consentite, o successivamente acquisiti dai destinatari delle segnalazioni nell’ambito dell’attività di gestione delle stesse, sono raccolti e trattati per dare seguito alla segnalazione medesima, nel completo rispetto dei principi di liceità, correttezza e trasparenza, ai sensi dell’art. 5 del GDPR, nonché delle altre disposizioni di legge applicabili in materia.

2.      Finalità del trattamento e base giuridica del trattamento

I dati personali sono raccolti e trattati per le finalità, strettamente connesse alla gestione delle segnalazioni di condotte illecite e comunque di violazioni, all’interno del contesto lavorativo, di disposizioni normative nazionali o dell’Unione Europea che ledono l’interesse pubblico o l’integrità dell’azienda medesima.

dati personali, quindi, sono acquisiti in quanto contenuti nella segnalazione e/o in atti e documenti alla stessa allegati e possono riferirsi alla persona che ha effettuato la segnalazione nonché a coloro che sono stati indicati come possibili responsabili delle condotte illecite oggetto di segnalazione, nonché a quei soggetti a vario titolo coinvolti nella vicenda segnalata.

La base giuridica del trattamento indicato è l’adempimento dell’obbligo legale di cui art. 6, par. 1, lett. c) del GDPR, nonché l’interesse legittimo del Titolare a prevenire e reprimere atti illeciti e se del caso a tutelare i diritti e gli interessi legittimi di terzi, anche in sede giudiziaria (art. 6, par. 1, lett. f) del GDPR).

La base giuridica è, altresì, rinvenibile, per ciò che riguarda il trattamento di categorie particolari di dati, nell’articolo 9, par. 2, lett. b del GDPR, in quanto il trattamento è necessario per assolvere agli obblighi ed esercitare i diritti specifici del Titolare del trattamento o dell'Interessato in materia di diritto del lavoro e della sicurezza sociale e protezione sociale, nonché nell’articolo 9, par. 2 lett. g) del GDPR, in quanto il trattamento è necessario per motivi di interesse pubblico.

Infine, la base giuridica è rinvenibile anche nella disciplina introdotta dal D. Lgs n. 24/2023 ed in particolare nell’art. 13.

3.      Natura obbligatoria o facoltativa del conferimento dei dati e conseguenze di un eventuale rifiuto al conferimento

Il conferimento dei dati personali del “segnalante” è facoltativo e volontario, la segnalazione può essere resa anche in forma anonima. Il mancato conferimento dei dati identificativi e di contatto del “segnalante” non comporta l'impossibilità per gli incaricati dal Titolare di prendere in carico la segnalazione e di procedere alla conseguente istruttoria.

Tuttavia, non potranno essere recapitate in alcun modo le eventuali richieste di chiarimento e/o di ulteriori dettagli che potrebbero essere utili per dare un seguito esaustivo alla segnalazione medesima.

4.      Riservatezza e tutela del segnalante

1.    Le segnalazioni non possono essere utilizzate oltre quanto necessario per dare adeguato seguito alle stesse.

2.    L'identità della persona segnalante e qualsiasi altra informazione da cui può evincersi, direttamente o indirettamente, tale identità non possono essere rivelate, senza il consenso espresso della stessa persona segnalante, a persone diverse da quelle competenti a ricevere o a dare seguito alle segnalazioni, espressamente autorizzate a trattare tali dati.

3.     L'identità delle persone coinvolte e delle persone menzionate nella segnalazione è tutelata fino alla conclusione dei procedimenti avviati in ragione della segnalazione, nel rispetto delle medesime garanzie previste in favore della persona segnalante.

5.      Riservatezza e tutela degli altri soggetti

La riservatezza del facilitatore e/o della persona coinvolta e della persona menzionata nella segnalazione verrà garantita fino alla conclusione dei procedimenti avviati in ragione della segnalazione e nel rispetto delle medesime garanzie previste in favore della persona segnalante.

Fa eccezione al dovere di riservatezza delle persone coinvolte o menzionate nella segnalazione, il caso in cui siano oggetto di denuncia alle Autorità giudiziarie, in quanto la normativa in esame, nel prevedere la tutela della riservatezza nei procedimenti giudiziari, fa riferimento solo all’identità del segnalante.

6.      Modalità di trattamento e tempi di conservazione

Il trattamento dei dati è eseguito attraverso procedure informatiche ad opera di soggetti appositamente formati e nominati.

I dati saranno conservati in archivi informatici per il tempo necessario al trattamento della segnalazione e comunque per un periodo non superiore a 5 anni a decorrere dalla data della comunicazione dell’esito finale

della procedura di segnalazione, nel rispetto di quanto previsto dall’art. 14 del D. Lgs n. 24/2023, nonché nel rispetto degli obblighi di riservatezza di cui all’art. 12 del citato decreto, salvo il caso in cui vada ad instaurarsi

un procedimento disciplinare interno ovvero un contenzioso giudiziario, per il tempo necessario alla difesa ed in ogni caso per quanto ne consegue.

7.      Destinatari e comunicazione dei dati

I dati conferiti sono resi accessibili solo a soggetti formalmente nominati come Responsabili del trattamento dal Titolare (così come previsto dalla “Procedura di Gestione Segnalazioni in materia di Whistleblowing – Ex D. Lgs n. 24/2023” pubblicata sul sito https://www.gerihdp.com/) per l’espletamento delle finalità di cui al punto 2 della presente Informativa. Ai dati potrà avere accesso il soggetto esterno che garantisce il funzionamento informatico della “Piattaforma Whistleblowing”, anch’esso nominato quale Responsabile del trattamento.

I dati personali del segnalante potranno essere altresì comunicati a soggetti pubblici per l’adempimento di obblighi di legge o per soddisfare richieste dell’autorità giudiziaria o di pubblica sicurezza, il tutto sempre nel rispetto dei principi fondamentali in materia di protezione dei dati personali.

8.      Trasferimento dei dati in paesi extra UE

I dati personali non saranno diffusi a terzi che abbiano sede presso Paesi extra Unione Europea. Laddove ciò dovesse verificarsi, il Titolare provvederà a quanto necessario ai sensi della vigente normativa.

9.      Diritti dell’Interessato

L’Interessato potrà far valere i propri diritti come espressi negli artt. da 15 a 22 del GDPR 2016/679, rivolgendosi al Titolare del trattamento. In particolare, l’Interessato potrà:

a)   avere accesso ai dati personali;

b)   chiedere rettifica o cancellazione dei dati personali o limitazione del trattamento;

c)   richiedere comunicazione dei dati personali oggetto del trattamento;

d)   opporsi al trattamento;

e)   chiedere la portabilità dei dati;

f)   revocare il consenso, ove previsto (la revoca del consenso non pregiudica la liceità del trattamento basato sul consenso prima della revoca);

g)   sottoporre reclamo all’Autorità di controllo (Garante Privacy).

h)      richiedere di non essere sottoposto ad una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione.

Ai sensi dell’art. 23 del GDPR, si informa che i summenzionati diritti non possono essere esercitati da parte delle persone coinvolte nella segnalazione, qualora dall’esercizio di tali diritti possa derivare un pregiudizio effettivo e concreto alla riservatezza dell’identità della persona segnalante.