Informativa sul trattamento dei dati personali ex art. 13 Reg. 679/16 UE

in relazione ai dati personali dei segnalanti, gestiti a seguito delle segnalazioni relative a presunte irregolarità o illeciti in conformità alla procedura whistleblowing adottata da VIGLIA S.r.l.

Ai sensi e per gli effetti di cui agli artt. 13 del Reg. 679/16/UE (da qui in poi, per brevità “GDPR”) e del Codice in materia di protezione dei dati personali (D.lgs. 196/2003) in quanto compatibile, nonché della normativa vigente in materia protezione dei segnalanti (c.d. whistleblowing – D.lgs. 24/2023 e L. 179/2017) Viglia S.r.l. in qualità di titolare del trattamento dei dati Le fornisce le seguenti informazioni relative al trattamento dei dati da Lei trasmessi mediante l’invio di una segnalazione relativa a irregolarità e/o illeciti posti in essere da dipendenti, dirigenti o altri soggetti che operano a favore di Viglia S.r.l.

A) IDENTITÀ E DATI DI CONTATTO DEL TITOLARE DEL TRATTAMENTO

Viglia S.r.l.

indirizzo sede legale: Corso G. Ferraris n. 105, 10128 Torino C.F./P.IVA 00562490011

E-mail: privacy@viglia.it PEC: viglia@pec.it

Le precisiamo che le segnalazioni vengono gestite attraverso il portale fornito dalla società Basis Information Technology

S.r.l. con sede a Prato, in Via Valentini n. 14, P.Iva 01151210497, E-mail: basis@basisgroup.com, PEC: basisit@pec.basisgroup.com, appositamente designata dal titolare del trattamento in qualità di “responsabile del trattamento” ai sensi dell’art. 28 del Reg. UE 679/2016 – GDPR.

Si comunica inoltre che sono stati individuati quali gestori delle segnalazioni:

- l’Organismo di Vigilanza nominato dal titolare del trattamento ai sensi del D.lgs. 231/01 ed individuato nella persona del Prof. Sorano Enrico (enrico.sorano@unito.it);

-  Exsel S.r.l., con sede in (10128) Torino (TO), Corso Galileo Ferraris n. 105, nella persona della Dott.ssa Susi Spigarolo.

B) DATI DI CONTATTO DEL RESPONSABILE DELLA PROTEZIONE DEI DATI

E-mail: dpo@viglia.it

Tel. 0536/1817817, Cell. 333/3810478

C) TIPI DI DATI TRATTATI

I dati personali in caso di segnalazioni effettuate in forma non anonima tramite il portale https://viglia.whistleflow.com sono dati di natura comune che possono consentire di identificarLa nonché di ricontattarLa ove si renda strettamente necessario. Nel caso in cui fornisse facoltativamente i dati di cui sopra, gli stessi possono avere ad oggetto nome e cognome, numero di telefono, indirizzo e-mail e qualsiasi altro dato da Lei volontariamente fornito nell’ambito della segnalazione.

In via generale, le segnalazioni possono avere i contenuti più ampi ed eterogenei, per cui i dati trattati sono quelli che il segnalante decide spontaneamente e liberamente di fornire per descrivere quanto oggetto di segnalazione. Per tale motivo, è difficile tipizzare a priori i dati oggetto di una segnalazione.

In tal senso, si precisa che Viglia S.r.l. non ha previsto l’acquisizione obbligatoria di Suoi dati personali che possano essere riconducibili alle categorie particolari di cui all’art. 9 par. 1 del Reg. UE 679/16 (dati personali che rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l’appartenenza sindacale, dati genetici, dati biometrici, dati relativi alla salute o alla vita sessuale o all’orientamento sessuale) né di dati che la riguardano relativamente a condanne penali, reati e/o misure di sicurezza (art. 10 Reg. 679/16 UE); tuttavia, ove Lei decida di trasmetterli spontaneamente, gli stessi saranno trattati nel rispetto della normativa vigente. In ogni caso, i dati personali di qualsiasi natura che manifestamente non sono utili al trattamento di una specifica segnalazione non sono raccolti o, se raccolti accidentalmente, sono cancellati immediatamente, in osservanza del principio di minimizzazione.

D) MODALITÀ DEL TRATTAMENTO

I dati personali saranno trattati con strumenti informatici e/o cartacei in modo da garantire idonee misure di sicurezza e riservatezza.

La documentazione in formato cartaceo è limitata al minimo indispensabile e archiviata e custodita in armadi e locali dotati di serrature di sicurezza ed accessibile solo ai soggetti autorizzati.

Con riferimento al portale accessibile all’indirizzo https://viglia.whistleflow.com, si precisa che i dati personali conferiti dal segnalante al momento della registrazione e le informazioni contenute nelle segnalazioni e negli eventuali documenti alle stesse allegati, nonché i dati eventualmente acquisiti in sede di istruttoria, saranno trattati secondo i principi di correttezza, liceità, trasparenza e tutela della riservatezza e dei diritti di tutti gli interessati (segnalante, segnalato ed eventuali soggetti terzi coinvolti), nel rispetto degli obblighi imposti dalla normativa sulla privacy (Reg. 679/16 UE e D.Lgs. 196/2003) e sulla tutela dei segnalanti (Legge n. 179/2017 e D.Lgs. 24/23). Il trattamento avverrà con logiche di organizzazione ed elaborazione strettamente correlate alle finalità sopra indicate e comunque in modo da garantire la sicurezza, l'integrità e la riservatezza dei dati stessi nel rispetto delle misure organizzative, fisiche e logiche previste dalle disposizioni vigenti. La Società adotta tutte le garanzie previste dalla legge al fine di tutelare la riservatezza dell’identità del segnalante, in modo che la stessa non sia rivelata a terzi senza l’espresso consenso di quest’ultimo, salvo il caso di segnalazioni in mala fede o diffamatorie e delle ipotesi in cui l'anonimato non sia opponibile per legge. In particolare, per quanto riguarda l’utilizzo della Piattaforma, si precisa che i dati personali identificativi del segnalante sono conservati in modo da garantire l’anonimato. L’associazione dell’identità del segnalante alla segnalazione può, infatti, essere effettuata esclusivamente dai soggetti preposti, autorizzati alla gestione delle segnalazioni. Sono, inoltre, applicate tecniche di cifratura, garantendo in questo modo la riservatezza delle informazioni trasmesse. Poiché le sospette violazioni possono essere segnalate tramite la Piattaforma anche in forma anonima, i soggetti che le inseriscono non sono tenuti a rendere noti i propri dati personali. Tuttavia, anche in relazione alle segnalazioni anonime non si può escludere che, nel corso dell’esame delle stesse, i soggetti autorizzati alla gestione della procedura ricevano informazioni contenenti dati identificativi, dati professionali, oppure dati finanziari riguardanti il segnalante stesso e le altre suddette categorie interessati (segnalato, terzi) che saranno trattate ai sensi della presente informativa.

E) FINALITÀ E BASE GIURIDICA DEL TRATTAMENTO

Finalità del trattamento: I dati vengono trattati allo scopo di effettuare le necessarie attività istruttorie volte a raccogliere e verificare la fondatezza del fatto oggetto di segnalazione e l’adozione dei conseguenti provvedimenti, sia in termini disciplinari, sia, ove rilevino, per l’accertamento delle responsabilità penali connesse a quanto oggetto di segnalazione.

Basi giuridiche del trattamento:

- art. 6 par. 1 lett. c) Reg. UE 679/16: il trattamento è necessario per adempiere un obbligo legale al quale è soggetto il titolare del Trattamento. In particolare, l’obbligo legale nel caso in esame deriva dal rispetto delle previsioni di cui all’art. 6 del d.lgs.

231/01 (Soggetti in posizione apicale e modelli di organizzazione dell'ente) e 7 (Soggetti sottoposti all'altrui direzione e modelli di organizzazione dell'ente, nonché di modelli di organizzazione e di gestione idonei a prevenire reati della specie di quello verificatosi), nonché della disciplina vigente in materia di protezione delle persone che segnalano violazioni (whistleblowing) di cui alla legge 179/2017 ed al D.lgs. 24/2023.

-  art. 6 par. 1, lett. a) Reg. UE 679/16: l'interessato ha espresso il consenso al trattamento dei propri dati personali per una o più specifiche finalità; in particolare, il consenso è necessario per la comunicazione della sua identità e di qualsiasi altra informazione da cui può evincersi la stessa, direttamente o indirettamente a persone diverse da quelle espressamente autorizzate a trattare tali dati. Resta fermo che, nell’ambito del procedimento penale, l’identità della persona segnalante è coperta dal segreto nei modi e nei limiti stabiliti dall’art. 329 del codice di procedura penale. Se una contestazione disciplinare fosse fondata, in tutto o in parte, sulla Sua segnalazione, e la conoscenza della Sua identità fosse indispensabile per la difesa dell’incolpato, le chiederemo il consenso espresso alla rivelazione della Sua identità.

-  Per quanto concerne l’eventuale trattamento di dati appartenenti a particolari categorie di cui all’art. 9 del Reg. 679/16 UE, ovvero eventualmente di dati personali relativi a condanne penali e reati di cui all’art. 10 Reg. 679/16 UE, il trattamento è necessario per assolvere gli obblighi ed esercitare i diritti specifici del titolare del trattamento o dell’interessato secondo quanto previsto dalla normativa vigente in materia di gestione delle segnalazioni e protezione di coloro che segnalano violazioni, alla quale Viglia S.r.l. è soggetta (rif. art. 9 par. 2, lett. b e art. 10 Reg. 679/16 UE). Si ricorda che, ove venissero forniti dati di natura particolare o relativi a condanne penali e reati ritenuti non utili né pertinenti alla gestione della segnalazione, gli stessi saranno prontamente cancellati e stralciati dalla segnalazione stessa.

F) NECESSITÀ DEL CONFERIMENTO DEI DATI E CONSEGUENZE DELLA MANCATA COMUNICAZIONE DEI DATI

Il conferimento dei dati personali del segnalante è facoltativo e non obbligatorio. L’eventuale mancata comunicazione dei dati, ovvero la mancata risposta a richieste di informazioni potrebbe comportare l’impossibilità oggettiva di gestire compiutamente la Sua segnalazione. La mancata o carente trasmissione di dati e/o informazioni, infatti, potrebbe rendere impossibile o estremamente difficoltoso l’accertamento circa la fondatezza della segnalazione effettuata, laddove quest’ultima non sia circostanziata, fondata su elementi precisi e concordanti, non abbia ad oggetto fatti riscontrabili e/o non contenga tutti gli elementi utili per effettuare il già menzionato accertamento.

G)  DESTINATARI O EVENTUALI CATEGORIE DI DESTINATARI DEI DATI PERSONALI

I Suoi dati personali saranno trattati esclusivamente dalle persone competenti a ricevere o a dare seguito alle segnalazioni (e così dunque nell’ambito del processo di ricezione, analisi, istruttoria ed eventuali azioni conseguenti) espressamente autorizzate a trattare tali dati ai sensi degli articoli 29 e 32 par. 4 del Reg. 679/16 UE e dell’art. 2 quaterdecies del D.lgs. 196/2003, nonché da eventuali responsabili del trattamento dei dati deputati alla gestione e manutenzione tecnica della piattaforma e nominati specificamente responsabili del trattamento ai sensi dell’art. 28 Reg. 679/16 UE o comunque puntualmente autorizzati. Tali soggetti sono opportunamente istruiti al fine di evitare di pregiudicare le caratteristiche di confidenzialità, integrità e disponibilità dei dati e delle informazioni trasmesse con la segnalazione.

Nell’ambito del procedimento disciplinare, la Sua identità, previo Suo consenso, potrà essere rivelata se la contestazione sia fondata, in tutto o in parte, sulla segnalazione e la conoscenza della Sua identità sia indispensabile per la difesa dell’incolpato. Il Titolare del trattamento potrà avvalersi inoltre, per il supporto nella gestione della segnalazione, di eventuali consulenti (a titolo esemplificativo e non esaustivo, in materia legale, fiscale, contabile e tributaria), tenuti alla riservatezza o comunque debitamente informati ed istruiti dal Titolare in ordine agli obblighi di riservatezza circa il trattamento dei dati.

Sussistendone gli estremi, i Suoi dati personali potranno essere comunicati altresì ad Enti pubblici (ad es. Autorità giudiziarie, organi di polizia, ecc.). Ad esempio, i Suoi dati potranno essere conosciuti dall’Autorità giudiziaria ove dalla Sua segnalazione consegua un procedimento penale, ove l’identità della persona segnalante è coperta dal segreto nei modi e nei limiti previsti dall’art. 329 c.p.p.

In ogni caso, i Suoi dati personali non saranno oggetto di diffusione.

H) TRASFERIMENTO DI DATI A PAESI TERZI O ORGANIZZAZIONI INTERNAZIONALI

Il trattamento potrebbe comportare il trasferimento di dati verso Paesi terzi, in particolare gli Stati Uniti, in quanto il servizio di hosting dell’applicativo Whistleflow è fornito da Microsoft. Microsoft Corporation è iscritta al Data Privacy Framework Program

-    DPF (Covered Data: HR e Non-HR). Per maggiori informazioni sul DPF, si invita a consultare il sito https://www.dataprivacyframework.gov/s/

I)  PERIODO DI CONSERVAZIONE

Non è possibile determinare preliminarmente il periodo di conservazione dei dati in modo univoco in quanto strettamente correlato alla gestione dell’istruttoria e, pertanto, alla complessità della stessa; tuttavia, si precisa che gli stessi saranno trattati per il tempo strettamente necessario allo svolgimento dell’istruttoria per la gestione della segnalazione e degli eventuali procedimenti scaturenti dalla gestione della segnalazione (disciplinare, penale, contabile). Il termine massimo di conservazione, ai sensi dell’art. 14 D.Lgs. 24/23 è fissato nel limite di cinque anni a decorrere dalla data della comunicazione dell’esito finale della procedura di segnalazione, nel rispetto del principio di riservatezza di cui all’art. 12 del medesimo D.lgs. 24/23 e del principio di limitazione della conservazione di cui all’art. 5 par. 1 lett. e) Reg. 679/16 UE. Per quanto riguarda la conservazione dei dati da parte delle Autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, si ricorda che la stessa esula da qualsivoglia potere di disposizione e/o comunque decisione del Titolare del trattamento, applicandosi in ogni caso alle stesse gi obblighi di cui al D.lgs. 51/2018 ed in particolare, con riferimento alla conservazione, l’art. 3 comma 1, lett. e) del citato decreto, i quale prevede che tali Autorità conserveranno i dati con modalità che consentano l'identificazione degli interessati per il tempo necessario al conseguimento delle finalità per le quali sono trattati, sottoposti a esame periodico per verificarne la persistente necessità di conservazione, cancellati o anonimizzati una volta decorso tale termine.

Si rappresenta che, ove dalla conclusione del procedimento derivi un accordo, una transazione, ovvero intervenga altro documento o atto da cui derivi un flusso economico, ovvero un altro titolo (es. sentenza) i dati saranno conservati per 10 anni per finalità amministrative e contabili unitamente al solo accordo o transazione o atto o documento che è causa del flusso in considerazione.

Al fine di assicurare il costante monitoraggio in ordine all’efficacia del Modello di Organizzazione, Gestione e Controllo adottato ai sensi del D.lgs. 231/01, al termine del procedimento scaturente dalla segnalazione, la stessa ed i provvedimenti conseguenti potranno essere inoltre conservati per un periodo ulteriore, previa anonimizzazione (ossia cancellazione dei Suoi dati personali), al fine di registrare storicamente e per ragioni statistiche gli eventi rilevanti in relazione all’organizzazione di Viglia S.r.l.