INFORMATIVA PRIVACY AI SENSI DELL’ART. 13 DEL REGOLAMENTO (UE) 2016/679  (G.D.P.R.) IN RELAZIONE ALLE SEGNALAZIONI DI “WHISTLEBLOWING”

La presente informativa relativa al trattamento dei dati personali è resa, ai sensi dell’art. 13 del Regolamento (UE) 2016/679 (di seguito “Regolamento”) da “Methis Lab S.p.A..”, con sede legale in Largo Augusto 8 20122 Milano (di seguito, la“Società” o il “Titolare”),  in qualità di Titolare del trattamento.

In questa informativa Le illustreremo le finalità e le modalità con cui il Titolare raccoglie e tratta i Suoi dati personali, quali categorie di dati sono oggetto di trattamento, quali sono i diritti degli interessati al trattamento e come possono essere esercitati.

1. Categorie di dati personali

Il Titolare, a seguito della ricezione e nel corso della gestione delle segnalazioni, potrà acquisire e trattare le seguenti tipologie di dati personali:

1. dati anagrafici ed identificativi (nome, cognome, data di nascita, recapiti, informazioni relative al suo inquadramento all’interno della società e alle mansioni svolte etc.);
2. dati appartenenti a particolari categorie di cui all’art. 9 del Regolamento, come informazioni relative all’origine razziale o etnica, alle opinioni politiche, alle convinzioni religiose o filosofiche, all’appartenenza sindacale, ovvero dati relativi alla salute, alla vita sessuale o all’orientamento sessuale;
3. dati personali relativi a condanne penali o reati di cui all’art. 10 del Regolamento.

I dati personali possono, dunque, essere acquisiti in quanto contenuti nella segnalazione e/o in atti e documenti a questa allegati e possono riferirsi tanto al soggetto segnalante che ai soggetti indicati come possibili responsabili delle condotte illecite, nonché alle persone a vario titolo coinvolte nelle vicende segnalate.

I dati personali sopra indicati saranno trattati dal Titolare esclusivamente per le finalità e nei limiti indicati al paragrafo successivo.

*

2. Finalità del trattamento

I dati personali da Lei forniti per segnalare presunte condotte illecite delle quali sia venuto a conoscenza in ragione del proprio rapporto di lavoro, servizio o collaborazione con la Società commesse dai soggetti che a vario titolo interagiscono con la medesima, verranno utilizzati e trattati dalla Società stessa al fine di raccogliere e gestire tali segnalazioni.

In particolare, i dati personali vengono trattati allo scopo di effettuare le necessarie attività istruttorie volte a verificare la fondatezza del fatto oggetto di segnalazione, nonché, se del caso, al fine di adottare adeguate misure correttive e, quindi, le opportune azioni disciplinari e/o giudiziarie nei confronti dei responsabili delle condotte illecite e i conseguenti provvedimenti, ricorrendone i presupposti, delle competenti autorità indcate all’art. 11 d.lgs. n. 24/2023.

*

3. Base giuridica del trattamento

Tenuto conto della normativa di riferimento si precisa che:

- il trattamento dei dati c.d. “comuni” di cui al precedente punto a) si fonda sull’adempimento di obblighi di legge cui è soggetto il Titolare del trattamento, ai sensi dell’art. 6, par. 1, lett. c) del Regolamento;

- il trattamento dei dati c.d. “particolari” di cui al precedente punto b) si fonda sull’assolvimento di obblighi e sull’esercizio di diritti specifici del Titolare del trattamento e dell’Interessato in materia di diritto del lavoro ai sensi dell’art. 9, par. 2, lett. b) del Regolamento;

- il trattamento di dati c.d. “giudiziari” di cui al precedente punto c), tenuto conto di quanto disposto dall’art. 10 GDPR, si fonda sull’obbligo di legge a cui è soggetto il Titolare del trattamento ai sensi dell’art. 6, par. 1, lett. c) del Regolamento.

*

4. Modalità del trattamento

In relazione alle finalità di cui al paragrafo 2, per il trattamento dei dati personali il Titolare attua idonee misure per garantire che i dati forniti vengano trattati in modo adeguato e conforme alle finalità per cui vengono gestiti; la Società impiega idonee misure di sicurezza organizzative, tecniche e fisiche, per tutelare le informazioni dall’alterazione, dalla distruzione, dalla perdita, dal furto o dall’utilizzo improprio o illegittimo.

Il trattamento dei dati avviene mediante strumenti manuali, informatici e telematici, con logiche strettamente collegate alle finalità stesse e, comunque, nel rispetto delle previsioni di cui al Regolamento, della normativa italiana in materia di trattamento dei dati personali, ivi inclusi eventuali provvedimenti dell’Autorità garante per la protezione dei dati personali, in modo da garantire la sicurezza e riservatezza dei dati stessi.

I dati raccolti verrano trattati esclusivamente da un soggetto, formalmente autorizzato con atto di nomina ai sensi dell’art. 2-quaterdecies del d.lgs n. 101/2018, c.d. “Responsabile Whistleblowing”, l’unico in grado di associare le segnalazioni alle identità dei segnalanti.

Qualora esigenze istruttorie richiedano che altri soggetti, all’interno della Società debbano essere messi a conoscenza del contenuto della segnalazione o della documentazione ad essa allegata, non verrà mai rivelata l’identità del segnalante, né verranno rivelati elementi che possano, anche indirettamente, consentire l’identificazione dello stesso. Tali soggetti, poiché potrebbero comunque venire a conoscenza di altri dati personali, sono comunque tutti formalmente autorizzati al trattamento e a ciò appositamente istruiti e formati, nonché tenuti a mantenere il segreto su quanto appreso in ragione delle proprie mansioni, fatti salvi gli obblighi di segnalazione e di denuncia di cui all'art. 331 del Codice di procedura penale.

*

5. Categorie di soggetti terzi ai quali i dati personali possono essere comunicati e finalità della comunicazione

I Suoi dati personali e quelli delle persone indicate come possibili responsabili delle condotte illecite, nonché delle persone a vario titolo coinvolte nelle vicende segnalate, non saranno oggetto di diffusione indeterminata.

Ove necessario, ovvero su loro richiesta, possono essere trasmessi all’Autorità Giudiziaria, alla Corte dei conti e all’ANAC, Autorità nazionale anticorruzione. Tali soggetti sono, tutti, Titolari autonomi del trattamento.

Nell’ambito dei procedimenti penali eventualmente istaurati, l’identità del segnalante sarà coperta da segreto nei modi e nei limiti previsti dall’art. 329 c.p.p.; nell’ambito di procedimenti dinanzi alla Corte dei conti, l’identità del segnalante non sarà comunque rivelata sino alla chiusura della fase istruttoria; nell’ambito dei procedimenti disciplinari, l’identità del segnalante non sarà rivelata in tutti i casi in cui la contestazione dell’addebito disciplinare si fondi su accertamenti distinti e ulteriori rispetto alla segnalazione, anche se conseguenti alla stessa, mentre potrà essere rivelata laddove concorrano, insieme, tre presupposti, ovverosia (a) che la contestazione si fondi, in tutto o in parte, sulla segnalazione, (b) che la conoscenza dell’identità del segnalante sia indispensabile per la difesa dell’incolpato e che (c) il segnalante abbia espresso un apposito consenso alla rivelazione della propria identità.

*

6. Durata del trattamento e conservazione dei dati

Il “Responsabile Whistleblowing” effettua un’attività istruttoria preliminare della segnalazione. Se a seguito dell’attività svolta ravvisa elementi di manifesta infondatezza ne dispone l’archiviazione. Nel caso, invece, il “Responsabile Whistleblowing” ravvisi il fumus di fondatezza della segnalazione, trasmette la stessa, priva dei dati del segnalante, agli organi preposti interni o esterni alla Società, ognuno secondo le proprie competenze.

Con riferimento alla durata del trattamento dei dati raccolti a seguito delle segnalazioni, la Società tratta i dati per il tempo strettamente necessario allo scopo per cui detti dati sono stati raccolti e, quindi, ai fini della corretta gestione della segnalazione

Con riferimento ai termini della conservazione delle segnalazioni, la Società conserva i dati personali in suo possesso per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati e comunque per un periodo di 11 anni successivi al termine delle operazioni di trattamento, per esigenze di tutela dei diritti della Società e per l’adempimento di obblighi di legge.

*

7. Diritti dell’interessato

La informiamo che, in termini generali, nella sua qualità di Interessato potrà ottenere la conferma dell’esistenza o meno dei dati forniti. Ha inoltre il diritto di chiedere, nelle forme previste dall’ordinamento, la rettifica dei dati personali inesatti e l’integrazione di quelli incompleti e di esercitare ogni altro diritto ai sensi degli articoli da 18 a 22 del Regolamento laddove applicabili.

Nel caso abbia dato il consenso alla rivelazione della Sua identità nell’ambito di procedimenti disciplinari, ha il diritto di revocare tale consenso in qualsiasi momento, senza che però ciò pregiudichi la liceità del trattamento effettuato prima della revoca.

Tuttavia, in base all’art. 13, comma 3, d.lgs. n. 24/2023, i diritti di cui agli articoli da 15 a 22 del Regolametno possono essere esercitati nei limiti di quanto previsto dall'articolo 2-undecies, lett. f), del Codice, secondo il quale, nel testo modificato dall’art. 24, comma 4, d.lgs. n. 24/2023, “non possono essere esercitati con richiesta al titolare del trattamento ovvero con reclamo ai sensi dell'articolo 77 del Regolamento qualora dall'esercizio di tali diritti possa derivare un pregiudizio effettivo e concreto […] alla riservatezza dell’identità della persona che segnala violazioni di cui sia venuta a conoscenza in ragione del proprio rapporto di lavoro o delle funzioni svolte, ai sensi del decreto legislativo recante attuazione della direttiva (UE) 2019/1937 […], riguardante la protezione delle persone che segnalano violazioni del diritto dell'Unione […]”.

Sarà possibile esercitare i diritti inviando una comunicazione in una delle seguenti modalità:

• a mezzo e-mail, all’indirizzo dpo@methislab.it 

Qualora ritenga che il trattamento sia avvenuto in modo non conforme al Regolamento e al d.lgs. 196/2003, potrà rivolgersi al Garante per la Protezione dei dati Personali, ai sensi dell’art. 77 del medesimo Regolamento.