Informativa Whistleblowing

INFORMATIVA PRIVACY

per i trattamenti afferenti alla procedura di segnalazione “Whistleblowing”

Resa ai sensi dell’art. 13 Regolamento UE 2016/679

Vi invitiamo a leggere attentamente la presente informativa sul trattamento dei dati personali (di seguito “Informativa”) resa ai sensi dell’art. 13 del Regolamento UE 2016/679 da Vem Sistemi S.p.A., in qualità di Titolare del trattamento, con specifico riferimento ai dati personali trattati nell’ambito dell’utilizzo dei canali interni predisposti dalla Società per inviare segnalazioni riguardanti violazioni del diritto nazionale (quali illeciti civili, amministrativi, penali, contabili, condotte rilevanti ai sensi del D. Lgs. 231/2001 e violazioni al modello di organizzazione e gestione adottato da VEM) e della normativa europea, nelle fattispecie tipizzate dalla normativa di riferimento D. Lgs. n. 24/2023 (di seguito, complessivamente, “Segnalazioni”).
Per ogni ulteriore informazione sulle violazioni segnalabili ai sensi del D. Lgs. 24/2023, sull’utilizzo dei canali interni di segnalazione predisposti da VEM, sui canali esterni con particolare riguardo ai presupposti per effettuare tali Segnalazioni, vi invitiamo a prendere visione dei documenti “Manuale operativo per il Whistleblower” e il “Regolamento per la gestione delle segnalazioni ricevute tramite canale interno“ (di seguito “Regolamento whistleblowing”), disponibili online e nelle cartelle di rete.

In generale, tutti i dati personali (di seguito, anche “Dati Personali” e/o “Dati”) acquisiti nel contesto dell’invio e della gestione delle Segnalazioni pervenute saranno trattati nel rispetto dei principi riconosciuti dalla normativa vigente in materia di protezione dei dati personali e dei criteri di riservatezza espressamente previsti dal D. Lgs. n. 24/2023.

1 TITOLARE DEL TRATTAMENTO

Il titolare del trattamento è la società VEM SISTEMI S.P.A., con sede a Forlì in Via Don Sebastiano Calderoni n. 12, P.IVA 01803850401, email privacy@vem.com, che ha provveduto alla nomina del Responsabile per la Protezione dei Dati (DPO) contattabile all’indirizzo email dpoprivacy@vem.com.

2 DATI PERSONALI TRATTATI

VEM, nell’adottare il proprio Modello di Organizzazione e Gestione e Controllo ai sensi del D. Lgs. 231/2001 nonché in ossequio a quanto previsto dal D. Lgs. n. 24/2023, ha implementato un apposito Regolamento whistleblowing e propri canali interni per l’invio di Segnalazioni riguardanti atti, comportamenti e/o omissioni che costituiscano violazioni del diritto nazionale (quali illeciti civili, amministrativi, penali, contabili, condotte rilevanti ai sensi del D. Lgs. 231/2001 e violazioni al modello di organizzazione e gestione adottato da VEM) e della normativa europea nelle fattispecie tipizzate dalla normativa di riferimento. Tali Segnalazioni verranno prese in carico e gestite dai soggetti designati dalla Società quali gestori delle Segnalazioni (di seguito anche “Gestore delle Segnalazioni”).

I canali di segnalazione interna, specificamente descritti nel Regolamento whistleblowing alla quale si rimanda, sono i seguenti:

a) Invio della Segnalazione mediante apposito portale (di seguito “Applicativo Whistleblowing”), accessibile online tramite apposito link (https://segnalazioni.vem.com/#/), presente e raggiungibile anche dall’apposita sezione sul sito internet https://vem.com/azienda/legal-and-compliance/whistleblowing/. Accendendo alla suddetta sezione, agli interessati sono inoltre sempre rese disponibili per la consultazione il Regolamento whistleblowing, il Manuale Operativo Whistleblower e la presente Informativa;

b) Segnalazione orale nel corso di un incontro diretto con i componenti dell’Organismo di Vigilanza (ODV) rientranti nel personale dipendente di VEM presenti in azienda. Il componente dell’ODV che riceverà la Segnalazione orale si occuperà di compilare il questionario presente nell’Applicativo Whistleblowing. Solo nel caso in cui il segnalante avanzi esplicita richiesta fornirà un numero telefonico al quale essere contattato dal Gestore della Segnalazione per ricevere gli aggiornamenti previsti dalla normativa di riferimento.

Tanto premesso, utilizzando i canali di Segnalazione sopra descritti, i Dati Personali oggetto di trattamento sono quelli di seguito indicati con riferimento alle diverse categorie di interessati potenzialmente coinvolte. In particolare, si segnala che il conferimento dei Dati contrassegnati dal simbolo asterisco (*) nei campi compilabili presenti nelle diverse sezioni della segnalazione tramite Applicativo è necessario al fine di concludere con successo l’invio di una Segnalazione.

Dati riferibili al soggetto segnalante: al segnalante sarà richiesto di indicare propri Dati Personali quali: nome, cognome, qualifica o mansione lavorativa all’epoca dei fatti segnalati e qualifica attuale, numero cellulare personale, indirizzo e-mail personale o altro recapito, nonché ogni altra informazione o dato, anche Personale, eventualmente contenuto nei campi di segnalazione e nella corrispondente descrizione in fatto dell’illecito. È, inoltre, possibile allegare documenti e/o file multimediali caricandoli sull’Applicativo, che potrebbero a loro volta contenere Dati Personali riferibili al segnalante o a terzi soggetti.
Il segnalante può, in caso di Segnalazione tramite l’Applicativo, decidere di inviare segnalazioni anonime, dunque, può scegliere di non indicare al momento della Segnalazione propri Dati idonei a identificarlo o renderlo identificabile. Tali Dati possono essere forniti successivamente tramite integrazioni della Segnalazione. Si rimanda al Regolamento whistleblowing per ogni ulteriore istruzione sulle segnalazioni anonime.
L’identità del segnalante è ad ogni modo sempre tutelata dal punto di vista della riservatezza: un eventuale disvelamento dell’identità della persona segnalante (nei casi previsti dalla legge all’art. 12 del D. Lgs. n. 24/2023) a persone diverse da quelle competenti a ricevere e dare seguito alle Segnalazioni (i membri dell’ODV per VEM) avvenga sempre con il consenso espresso della stessa.
Il segnalante, qualora presenti una Segnalazione orale, fornirà il proprio nome e cognome al componente dell’ODV facente parte dell’organico VEM e, qualora manifesti la propria volontà espressa di presentare una Segnalazione ad altro componente dell’ODV, fornirà anche a quest’ultimo i dati relativi alla propria identità. Inoltre, nel caso in cui il segnalante presenti una Segnalazione orale e avanzi esplicita richiesta di non essere aggiornato tramite l’Applicativo dovrà fornire al Gestore della Segnalazione anche un numero telefonico al quale essere contattato al fine di ricevere gli aggiornamenti previsti dalla normativa di riferimento.

Dati riferibili a soggetti terzi: il segnalante, nell’ambito della Segnalazione, potrebbe eventualmente comunicare anche Dati Personali riferibili a terzi soggetti qualora lo ritenga indispensabile, ad esempio persone a conoscenza dei fatti, facilitatori, esecutori della condotta ritenuta illecita, persone del medesimo contesto lavorativo e colleghi di lavoro. Pertanto, a discrezione del segnalante, potrebbero essere raccolti ad esempio Dati Personali di terzi quali nome, cognome, contatti di recapito, ente o azienda di appartenenza, mansione aziendale o ruolo rivestito.

Dati riferibili al Gestore della segnalazione: ai componenti dell’Organismo di Vigilanza ODV, incaricati da VEM per la gestione delle Segnalazioni, sono assegnate apposite credenziali di accesso all’Applicativo (account “amministratore della segnalazione”) per lo svolgimento delle relative attività di ricezione e seguito alle Segnalazioni.
Con riferimento a tali interessati sono trattati Dati quali: nome, cognome, indirizzo e-mail.

Dati di navigazione e cookie tecnici presenti sull’Applicativo: visto il particolare contesto, l’Applicativo non memorizza alcun tipo di log tecnico, né alcun dato personale dell’utente, rimuovendo l’indirizzo IP e le caratteristiche dell’user agent utilizzato per le richieste. Vengono pertanto conservate esclusivamente informazioni tecniche di servizio quali: orario, tipo e protocollo di richiesta, risorsa della richiesta, tempo e codice della risposta. L’Applicativo utilizza esclusivamente cookie tecnici di sessione e non utilizza alcun tipo di cookie di profilazione e/o di terze parti. La crittografia del protocollo di comunicazione implica inoltre l’impossibilità, attraverso il contenuto dei dati in transito, di associare l’indirizzo IP degli utenti segnalanti con altre informazioni utili a renderli identificabili. Quanto alle credenziali di amministratore della segnalazione vengono raccolti log c.d. offuscati, ossia non direttamente riconducibili all’utente amministratore.

3 FINALITÀ DEL TRATTAMENTO E BASE GIURIDICA DI RIFERIMENTO

Nei limiti stabiliti dalla normativa vigente, i Dati saranno trattati da VEM per le seguenti finalità:

a) per permettere lo svolgimento delle operazioni strettamente connesse e strumentali alla corretta ricezione e gestione delle Segnalazioni inviate attraverso i canali interni predisposti dalla Società (Gestione delle Segnalazioni). I Dati e le informazioni forniti dal segnalante al fine di rappresentare le presunte condotte illecite, anche omissive, delle quali sia venuto a conoscenza nell’ambito del proprio contesto lavorativo vengono trattati allo scopo di dar corso alle necessarie attività istruttorie volte a verificare la fondatezza del fatto oggetto di segnalazione nonché, ove fondate, per l’adozione dei conseguenti provvedimenti. Pertanto, il mancato conferimento dei Dati Personali richiesti al tal fine e contrassegnati nelle sezioni di segnalazione dell’Applicativo con asterisco (*), ovvero l’accertata erroneità dei Dati forniti, potrebbero comportare l’impossibilità di concludere con successo la procedura di segnalazione.
La base giuridica del trattamento è costituita dall’adempimento di obblighi normativi, con riferimento in particolare al D. Lgs. n. 231/2001 recante disciplina della responsabilità amministrativa delle persone giuridiche, delle società e delle associazioni anche prive di personalità giuridica e al D. Lgs. n. 24/2023 di attuazione della direttiva (UE) 2019/1937 del Parlamento europeo e del Consiglio recante disposizioni riguardanti la protezione delle persone che segnalano violazioni delle disposizioni normative nazionali.

b) per permettere l’adempimento di obblighi eventualmente previsti da ulteriori fonti normative cogenti ovvero a disposizioni impartite dalle Autorità alle quali VEM sia soggetta (Obblighi di legge). Il conferimento dei Dati Personali e il relativo trattamento per tale finalità sono necessari per poter adempiere agli obblighi di legge posti in capo a VEM in conformità alle leggi applicabili, che possono includere la conservazione e la comunicazione dei Dati alle autorità competenti.

4 DESTINATARI E TRASFERIMENTO DEI DATI PERSONALI

I Dati Personali verranno posti a conoscenza dei Gestori della Segnalazione designati da VEM (componenti dell’ODV), debitamente autorizzati al trattamento e che si sono impegnati alla riservatezza o hanno ricevuto un adeguato obbligo legale di riservatezza. Al fine di assolvere al dovere di riservatezza previsto dal D. Lgs. n. 24/2023, il Titolare ha adottato una serie di misure specifiche, tra le quali la garanzia che l’Applicativo e i canali di Segnalazione interni consentano l’accesso selettivo alle Segnalazioni pervenute esclusivamente al personale autorizzato. Inoltre, l’identità del segnalante e qualsiasi altra informazione dalla quale possa evincersi, direttamente o indirettamente, tale identità non saranno rivelate a persone diverse da quelle competenti a ricevere e dare seguito alla Segnalazione se non con il consenso espresso del segnalante e, nei casi previsti dalla legge, anche previa condivisione delle ragioni del disvelamento.
Il trattamento dei Dati Personali è inoltre, in parte, per quanto concerne l’Applicativo, affidato a soggetti terzi debitamente designati Responsabili del trattamento in quanto trattano Dati per conto di VEM (ad esempio, il fornitore dell’applicativo Whistleblowing, la società ISWEB S.p.A).
Infine, i Dati Personali verranno comunicati, ove richiesto o necessario, alle competenti Autorità in base a quanto disposto dalle leggi vigenti.
Nel caso in cui sussistano i requisiti previsti dalla normativa di riferimento e il segnalante intenda rivolgersi ai canali esterni di segnalazione ANAC o si renda necessario trasmettere la Segnalazione alle altre Autorità competenti, questi agiranno come autonomi e distinti Titolari del trattamento e, pertanto, si invita a fare riferimento alle procedure e alle informative privacy messe a disposizione da questi.
I dati non saranno oggetto di diffusione e non è prevista la loro trasmissione in paesi diversi da quelli dell’Unione Europea o dallo Spazio Economico Europeo.

5 CONSERVAZIONE DEI DATI PERSONALI

I Dati Personali trattati per la Gestione delle Segnalazioni saranno conservati tenendo conto del termine definito per l’obbligo di riscontro da parte dell’ODV (90 giorni) e per i successivi cinque (5) anni. Ove la segnalazione venga archiviata per infondatezza o per insufficienza degli elementi di fatto per procedere, viene disposta la cancellazione definitiva della segnalazione improcedibile nei successivi trenta (30) giorni.
I Dati Personali trattati per la finalità di Obblighi di legge saranno conservati da VEM per il periodo previsto dalla norma cogente applicabile.

6 DIRITTI DELL’INTERESSATO

L’interessato potrà chiedere, nei limiti di quanto previsto dagli articoli 15 – 22 del Regolamento, di accedere ai Dati e al trattamento e, nei casi previsti, di rettificare e cancellare i Dati, chiederne la portabilità presso altro titolare nonché la limitazione del trattamento od opporsi allo stesso. Nei casi in cui, dietro espressa richiesta del Titolare, l’interessato presti il consenso alla rivelazione della sua identità a persone diverse da quelle competenti a ricevere e dare seguito alle Segnalazioni (i membri dell’ODV per VEM), potrà revocare in ogni momento tale consenso, a patto che il Titolare non abbia già provveduto a rendere nota la sua identità sulla base del consenso previamente e legittimamente prestato.
Si segnala che, in considerazione della natura intrinseca dei dati trattati e delle finalità del trattamento, in caso di ricezione di istanze di esercizio dei diritti VEM terrà conto di quanto previsto dall’art. 2 undecies Codice Privacy rubricato “Limitazioni ai diritti dell’interessato” che, alla lettera f), prevede che i diritti riconosciuti dal Regolamento non possono essere esercitati qualora dall’esercizio di tali diritti possa derivare un pregiudizio effettivo e concreto alla riservatezza dell’identità del dipendente che segnala l’illecito di cui sia venuto a conoscenza in ragione del proprio ufficio.
Ove VEM si avvalga di tale limitazione verrà comunicato senza ritardo e per iscritto all’Interessato. In tali casi, i diritti dell’interessato, ai sensi dell’art. 2 undecies, comma 3, Codice Privacy, possono essere esercitati anche tramite il Garante per la protezione dei dati personali con le modalità di cui all’art. 160 del Codice Privacy.
Per l’esercizio di tali diritti l’interessato può rivolgersi al Responsabile della Protezione dei Dati, scrivendo all’indirizzo dpoprivacy@vem.com. L’interessato ha inoltre diritto di proporre reclamo all’autorità di controllo dello Stato dell’UE in cui risiede, in cui lavora o in cui è avvenuta la violazione che, per l’Italia, è il Garante per la protezione dei dati personali (per proporre il reclamo dinanzi il Garante potrà seguire le istruzioni reperibili al seguente link https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/4535524).
Per maggiori informazioni, si invita a consultare la sezione del sito web del Garante “I miei diritti” www.gpdp.it/i-miei-diritti, dove è possibile conoscere i diritti riconosciuti alle persone in materia di protezione dei dati, scoprire le tutele previste dalla normativa vigente e come attivarle.