Informativa Whistleblowing

---

INFORMATIVA RESA AI SENSI DELL’ART. 13 DEL REGOLAMENTO UE 679/2016
RELATIVA AL TRATTAMENTO DEI DATI PERSONALI
DEI SOGGETTI CHE SEGNALANO ILLECITI
(C.D. WHISTLEBLOWING)

 

La presente informativa è resa dai Titolari del Trattamento delle Società appartenenti al Gruppo Editoriale San Paolo (di seguito, il Gruppo) che sono tenute - ai sensi del D.Lgs. n. 24/2023 - a gestire attraverso appositi canali le segnalazioni afferenti a possibili condotte illecite (c.d. Whistleblowing).
L’Apposito canale di segnalazione interno è raggiungibile al seguente link https://segnalazione.stpauls.it Tali segnalazioni di Whistleblowing sono gestite sulla base di procedure che garantiscono, in ogni fase del processo, la riservatezza dell’identità del soggetto segnalante, delle altre persone coinvolte e/o comunque menzionate nella segnalazione, del contenuto della segnalazione e della relativa documentazione, in applicazione delle norme vigenti. Se la segnalazione è effettuata da un soggetto legato da un rapporto di lavoro o collaborazione con la Società, tale informativa deve intendersi come integrativa e non sostitutiva di quella resa al personale per la gestione del rapporto di lavoro.

TITOLARE DEL TRATTAMENTO, RESPONSABILI DEL TRATTAMENTO E DATA PROTECTION OFFICER

Il Titolare del Trattamento dei dati personali è la Società del Gruppo verso la quale viene indirizzata la segnalazione di Whistleblowing Si specifica che, per i trattamenti di dati personali oggetto della presente informativa, il Gruppo ha provveduto alla nomina di SERNET S.p.A. come unico soggetto preposto allo svolgimento delle operazioni di gestione delle segnalazioni di Whistleblowing (es. presa in carico, analisi, istruttoria, ecc.), nel rispetto dei principi di riservatezza e confidenzialità richiesti dalle norme vigenti. SERNET S.p.A. - in qualità di Responsabile Esterno del Trattamento - si impegna a trattare i dati personali di titolarità dell’Azienza nel rispetto delle istruzioni impartite dal Titolare del Trattamento, in conformità con le norme vigenti, impiegando personale in possesso delle dovute competenze e adottando tutte le misure necessarie per garantire la tutela dei diritti e delle libertà dei soggetti interessati. Si segnala inoltre che il Gruppo ha nominato un Data Protection Officer, contattabile all’indirizzo e-mail dpo@stpauls.it.

CATEGORIE DI DATI PERSONALI

I dati personali trattati ai fini della gestione delle segnalazioni di Whistleblowing, possono riferirsi:
• al soggetto segnalante, nel caso di segnalazioni non anonime;
• alle persone fisiche indicate come possibili responsabili di condotte illecite;
• ad eventuali altre persone fisiche coinvolte o menzionate nella segnalazione.
Tali dati personali possono appartenente alle seguenti categorie:
• dati personali comuni di cui all’Art. 4 del GDPR con particolare riferimento a informazioni anagrafiche (es. nome, cognome, codice fiscale, ecc.) e di contatto (es. numero telefonico, indirizzo e-mail, ecc.);
• dati personali appartenenti a particolari categorie di cui all’Art. 9 del GDPR, qualora riportati all’interno della segnalazione;
• eventuali altri dati personali raccolti nelle fasi di analisi successive alla segnalazione.

FINALITÀ DEL TRATTAMENTO E BASI GIURIDICHE

Il trattamento dei dati personali avviene per le seguenti finalità:
a) gestione delle segnalazioni di Whistleblowing, in applicazione del D.Lgs. n. 24/2023 che disciplina la protezione delle persone che segnalano possibili condotte illecite;
b) difesa o accertamento dei diritti in capo all’Azienda, in caso di contenziosi di natura civilistica, amministrativa o penale.
La base giuridica del trattamento è costituita:

• per la finalità di cui alla lettera a):
• dall’adempimento di un obbligo legale a cui è soggetto il Titolare del Trattamento, ai sensi dell’Art. 6, Par. 1, Lett. C del GDPR);
• dal consenso del soggetto segnalante, ai sensi dell’Art. 6, Par. 1, Lett. A del GDPR per le sole segnalazioni raccolte tramite sistemi di messaggistica vocale o espresse in forma orale;
• per le finalità di cui alla lettera b), dal legittimo interesse del Titolare del Trattamento, ai sensi dell’Art. 6, Par. 1, Lett. F del GDPR.

Il conferimento dei dati personali citati precedentemente è necessario per il conseguimento delle finalità di cui sopra; il loro mancato, parziale o inesatto conferimento potrebbe avere come conseguenza l’impossibilità di gestire la segnalazione di Whistleblowing.

MODALITÀ DI TRATTAMENTO E TERMINI DI CANCELLAZIONE

I dati personali necessari per il raggiungimento delle finalità indicate in precedenza:
• saranno conservati secondo i termini previsti dall’Art. 14 del D.Lgs. n. 24/2023, ovvero per il tempo necessario alla gestione della segnalazione e comunque per non oltre n. 5 anni a decorrere dalla data di comunicazione dell’esito finale della segnalazione stessa;
• saranno tempestivamente cancellati quando ritenuti non utili alla gestione di una specifica segnalazione o raccolti accidentalmente;
• non saranno oggetto di trasferimento Vs. Paesi terzi non appartenenti all’Unione Europea o verso organizzazioni internazionali.
I dati personali potranno essere trattati manualmente e/o automaticamente, mediante supporti cartacei e/o con l’ausilio di strumenti informatici dotati di misure di sicurezza idonee a garantire i diritti e le libertà dell’interessato, così come la riservatezza, l’integrità e la disponibilità delle informazioni gestite. Lo scopo di tali misure di sicurezza è proteggere i dati personali dalla divulgazione, dall’alterazione o dalla distruzione (accidentale o illecita), dalla perdita, dell’accesso non autorizzato e dalle altre forme di elaborazione illecita.
In tal senso, il processo di gestione delle segnalazioni di Whistleblowing è stato progettato in modo da:
• raccogliere ed elaborare solo i dati personali che sono adeguati, pertinenti e non eccessivi, come richiesto per soddisfare le finalità di cui sopra;
• evitare il trattamento di dati personali non utili alla gestione della specifica segnalazione di Whistleblowing, assicurandone la cancellazione in caso di conferimento di dati personali in eccesso;
• assicurare l’accuratezza dei dati personali trattati.

DESTINATARI DEI DATI PERSONALI

I dati personali oggetto della presente informativa sono trattati solo ed esclusivamente dai Responsabili Esterni del Trattamento a cui è affidata la gestione delle segnalazioni di Whistleblowing (es. presa in carico, analisi, istruttoria, ecc.), ovvero alle funzioni aziendali preposte alla gestione di eventuali azioni conseguenti. Si specifica che i Responsabili Esterni del Trattamento;

• operano nel rispetto dei principi di liceità, correttezza, trasparenza, esattezza, minimizzazione dei dati raccolti e trattati e limitazione della conservazione richiesti dalle norme vigenti;
• sono designati mediante specifici atti di nomina che:
• disciplinano in modo puntuale i trattamenti di dati personali a loro affidati e gli obblighi previsti dall’Art. 28 del GDPR;
• vincolano tali soggetti a trattare i dati personali nel piano rispetto delle norme vigenti e delle istruzioni fornite dal Titolare del Trattamento.

Ai fini della presente informativa si sottolinea che l’identità del soggetto segnalante e qualsiasi altra informazione da cui può evincersi (direttamente o indirettamente) tale identità potranno essere rivelate a persone diverse da quelle competenti a gestire le segnalazioni solo previo consenso espresso del soggetto segnalante, conformemente a quanto previsto dal D. Lgs. n. 24/2023.
Si specifica, inoltre, che i dati personali conferiti non saranno in alcun modo diffusi, con tale termine intendendosi il darne conoscenza a soggetti indeterminati, anche mediante la loro messa a disposizione o consultazione.

DIRITTI DEGLI INTERESSATI

L’interessato, nella persona del soggetto segnalante, ha diritto di accedere in ogni momento ai dati che lo riguardano e di esercitare i diritti previsti dagli articoli dagli Artt. 15-22 del GDPR (es. accesso, rettifica, cancellazione, limitazione del trattamento, opposizione al trattamento, ecc.) per quanto applicabili, inviando una e-mail all’indirizzo dpo@stpauls.it. Inoltre, l’interessato ha diritto di proporre un reclamo al Garante della Protezione dei Dati Personali. Si specifica che tali diritti non sono esercitabili dalla persona coinvolta o dalla persona menzionata nella segnalazione, per il tempo e nei limiti in cui ciò costituisca una misura necessaria e proporzionata, ai sensi dell’Art. 2-Undecies del Codice Privacy in quanto dall’esercizio di tali diritti potrebbe derivare un pregiudizio effettivo e concreto alla tutela della riservatezza dell’identità della persona segnalante.

MODIFICHE DELLA PRESENTE INFORMATIVA

Eventuali modifiche o integrazioni future al trattamento dei dati personali come descritto nella presente informativa verranno notificate in anticipo ai soggetti interessati tramite i consueti canali di comunicazione utilizzati dal Titolare del Trattamento (es. e-mail, pubblicazione sul sito Internet aziendale, ecc.).

 

Versione del 25 gennaio 2024