Informativa ai soggetti segnalanti

ex art. 13 del Regolamento UE 2016/679 (GDPR)

GIFRAB Italia SpA, in qualità di Titolare del trattamento dei Suoi dati personali ai sensi e per gli effetti del Regolamento UE 2016/679 (GDPR), con la presente La informa che la citata normativa prevede la tutela degli interessati rispetto al trattamento dei dati personali e che tale trattamento sarà improntato ai principi di correttezza, liceità, trasparenza e di tutela della Sua riservatezza e dei Suoi diritti. I Suoi dati personali verranno trattati in accordo alle disposizioni legislative della normativa sopra richiamata e, in particolare, nel pieno rispetto degli specifici obblighi di riservatezza previsti dal D.lgs. 24/2023 in materia di protezione delle persone che segnalano violazioni del diritto dell’Unione e delle disposizioni normative nazionali.

Titolare del trattamento

La società GIFRAB Italia SpA sede legale presso via Marco D’Agrate 41, CAP 20139, Milano (MI), P.IVA 04836890824, è Titolare del trattamento dei dati.

E-mail: info@gifrab.it – PEC: gifrabitalia@legalmail.it

Responsabile della Protezione dei Dati: rpd@gifrab.it

Finalità del trattamento

I Suoi dati personali saranno trattati da GIFRAB Italia SpA. prioritariamente per finalità connesse all’adempimento degli obblighi legislativi derivanti dal D.lgs. 10 marzo 2023, n. 24, relativo alle attività di compliance e alla protezione dei segnalanti. In particolare, il trattamento è finalizzato alla ricezione, all’analisi e alla gestione della segnalazione trasmessa tramite i canali ufficiali (indirizzo e-mail dedicato o modulo web), nonché allo svolgimento delle attività istruttorie necessarie all’accertamento dei fatti e all’adozione degli eventuali provvedimenti conseguenti.

Oltre a queste finalità strettamente connesse agli obblighi di legge, i Suoi dati personali potranno essere trattati, esclusivamente previo Suo esplicito consenso, per la rivelazione della Sua identità a persone diverse dal Confidential Advisor o dai soggetti competenti a dare seguito alle segnalazioni. Tale consenso è altresì richiesto qualora, nell’ambito di un procedimento disciplinare in cui la contestazione sia fondata sulla segnalazione, la conoscenza della Sua identità risulti assolutamente indispensabile per la difesa dell’incolpato, secondo quanto previsto dall’art. 12 del D.lgs. 24/2023.

Base giuridica del trattamento

Il trattamento dei Suoi dati personali per le finalità di gestione delle segnalazioni trova la sua base giuridica principale nella necessità di adempiere a un obbligo legale al quale è soggetta la Società, ai sensi dell’articolo 6, paragrafo 1, lettera c) del GDPR, in combinato disposto con le previsioni del D.lgs. 24/2023. Tale normativa impone a GIFRAB Italia SpA l’adozione di canali di segnalazione sicuri e misure idonee a garantire la riservatezza dell’identità del segnalante.

Per quanto riguarda invece la specifica rivelazione dell’identità del segnalante a soggetti diversi dal Confidential Advisor, o in contesti di procedimenti disciplinari dove la conoscenza dell’identità sia indispensabile per la difesa dell’incolpato, la base giuridica risiede esclusivamente nel consenso espresso dell’interessato, ai sensi dell’articolo 6, paragrafo 1, lettera a) del GDPR e in conformità con le tutele rafforzate previste dall’articolo 12 della normativa nazionale sul Whistleblowing.

Tipologia di dato trattato

La Società tratterà i dati personali necessari alla gestione della segnalazione trasmessa ai sensi del D.lgs. 24/2023, che includono i dati identificativi del segnalante (nome, cognome, qualifica o ruolo professionale all’interno di GIFRAB Italia SpA) e i relativi dati di contatto. In relazione al contenuto della segnalazione, il Confidential Advisor potrà venire a conoscenza di ulteriori informazioni riguardanti le persone coinvolte o menzionate come testimoni, nonché di dati relativi a condanne penali o reati ai sensi dell’articolo 10 del GDPR.

Altresì, qualora i fatti esposti lo richiedano, il Titolare potrà trattare categorie particolari di dati personali ai sensi dell’articolo 9 del GDPR (quali opinioni politiche, appartenenza sindacale o dati relativi alla salute) eventualmente contenuti nella descrizione dell’illecito o nella documentazione allegata prodotta dal segnalante. Il trattamento di tali informazioni avviene garantendo l’assoluta riservatezza e l’immediato oscuramento dei dati che, a seguito di una prima analisi, risultino manifestamente non pertinenti o eccedenti rispetto alla finalità di accertamento dei fatti segnalati.

Natura obbligatoria o facoltativa del conferimento e consenso

Il conferimento dei dati personali nell’ambito di una segnalazione ha natura facoltativa, in quanto rientra nella libera scelta del segnalante denunciare condotte illecite o sospette irregolarità. Tuttavia, il conferimento dei dati identificativi è necessario qualora l’interessato intenda avvalersi della protezione dalle misure ritorsive e di tutte le tutele legali espressamente previste dal D.lgs. 24/2023 e dalla Policy aziendale. Per le finalità di ricezione e gestione della segnalazione da parte del Confidential Advisor, il trattamento non richiede il consenso dell’interessato, poiché si fonda sull’adempimento di un obbligo di legge.

Il consenso espresso e specifico dell’interessato diventa invece un requisito obbligatorio e indispensabile esclusivamente nei casi previsti dall’art. 12 del decreto e richiamati dalla procedura di GIFRAB Italia SpA: per rivelare l’identità del segnalante a persone diverse da quelle competenti a ricevere la segnalazione, oppure qualora tale rivelazione sia assolutamente indispensabile per la difesa dell’incolpato nell’ambito di un procedimento disciplinare fondato sulla segnalazione stessa. In assenza di tale consenso esplicito, l’identità del segnalante rimarrà riservata e non potrà essere rivelata a terzi, garantendo la massima protezione prescritta dalla normativa vigente.

Modalità del trattamento

I Suoi dati personali saranno trattati attraverso l’impiego di mezzi elettronici e sistemi software, inclusi applicativi web dedicati come il modulo “Google Forms” indicato nella procedura aziendale, che garantiscono elevati standard di sicurezza e riservatezza. Il trattamento può avvenire altresì in forma orale o in forma anonima, qualora il segnalante scelga di non rivelare la propria identità fin dall’origine. Ogni operazione è eseguita nel rigoroso rispetto dei principi di liceità e sicurezza sanciti dagli articoli 6 e 32 del GDPR, adottando misure tecniche e organizzative adeguate a prevenire l’accesso di soggetti non autorizzati.

L’accesso alle informazioni e l’identità del segnalante sono strettamente limitati al Confidential Advisor, ovvero il soggetto designato dall’Amministratore di GIFRAB Italia SpA quale responsabile della ricezione e della gestione delle segnalazioni in piena conformità al D.lgs. 24/2023. I dati potranno essere condivisi esclusivamente con eventuali organi di investigazione interna o consulenti incaricati di accertare i fatti segnalati, i quali operano sempre sotto vincolo di assoluta riservatezza e con l’obbligo di non rivelare l’identità del segnalante senza il suo espresso consenso. GIFRAB Italia SpA assicura che l’identità rimarrà segreta anche nei confronti della persona oggetto della segnalazione, alla quale verrà comunicata solo la natura degli addebiti contestati.

Destinatari dei dati personali

I Suoi dati personali non saranno oggetto di diffusione in alcun modo. La comunicazione a soggetti esterni avverrà esclusivamente per garantire la corretta gestione della segnalazione e l’accertamento dei fatti, nel pieno rispetto delle tutele di riservatezza previste dal D.lgs. 24/2023. I dati potranno essere trasmessi alle autorità competenti, quali l’Autorità Giudiziaria, l’ANAC (Autorità Nazionale Anticorruzione) e gli altri enti pubblici obbligatori per legge, nonché a eventuali organi esterni preposti alle investigazioni. Per la gestione tecnica e informatica delle segnalazioni, GIFRAB Italia SpA può avvalersi di fornitori di piattaforme digitali specializzate che operano in qualità di Responsabili del trattamento ai sensi dell’articolo 28 del GDPR, garantendo la sicurezza e la segregazione dei dati.

Luogo di trattamento e trasferimento dei dati

Il trattamento dei Suoi dati personali avviene presso le sedi di GIFRAB Italia SpA e attraverso server ubicati all’interno dell’Unione Europea, gestiti direttamente dal Titolare o da fornitori terzi nominati Responsabili del trattamento. Per quanto concerne la navigazione sul sito, i dati personali potranno essere trasferiti esclusivamente verso paesi membri dell’Unione Europea, garantendo il pieno rispetto delle tutele previste dal GDPR. Qualora in futuro si rendesse necessario il trasferimento verso paesi extra-UE, l’organizzazione assicura sin d’ora che tale operazione avverrà solo in presenza di clausole contrattuali standard approvate dalla Commissione Europea o altre garanzie adeguate previste dalla normativa vigente.

Periodo di conservazione dei dati personali

Nel rispetto dei principi di liceità, limitazione delle finalità e minimizzazione dei dati ai sensi dell’articolo 5 del GDPR, il periodo di conservazione dei Suoi dati personali è stabilito in funzione delle specifiche finalità del trattamento. In particolare, in conformità all’articolo 14 del D.lgs. 24/2023 e a quanto previsto dalle regole interne della Società, le segnalazioni e la relativa documentazione saranno conservate per il tempo strettamente necessario al completamento dell’attività istruttoria e alla gestione della pratica. In ogni caso, i dati saranno conservati per un arco temporale non superiore a cinque anni a decorrere dalla data della comunicazione dell’esito finale della procedura di segnalazione. Decorso tale termine, i dati personali e i documenti allegati saranno definitivamente cancellati o anonimizzati, salvo nei casi in cui la loro ulteriore conservazione sia richiesta per ottemperare a specifici obblighi di legge o per la tutela di diritti in sede giudiziaria.

Quali sono i Suoi diritti?

In conformità agli articoli 15 e seguenti del GDPR, i soggetti segnalanti possono esercitare in qualsiasi momento il diritto di accesso ai propri dati personali, di rettifica, di cancellazione o di limitazione del trattamento, nonché il diritto di opporsi al trattamento per motivi legittimi. Tuttavia, in ambito Whistleblowing, l’esercizio di tali diritti incontra i limiti previsti dall’art. 2-undecies del Codice Privacy e dal D.lgs. 24/2023: l’accesso o la portabilità dei dati non possono essere esercitati qualora ciò possa derivare un pregiudizio effettivo e concreto alla riservatezza dell’identità del segnalante o compromettere la conduzione delle attività istruttorie. Eventuali istanze possono essere inoltrate al Confidential Advisor all’indirizzo confidential.advisor@gifrab.it o al Responsabile della Protezione dei Dati (DPO) all’indirizzo rpd@gifrab.it. Resta fermo il diritto di proporre reclamo all’Autorità Garante per la Protezione dei Dati Personali qualora si ritenga che il trattamento violi la normativa vigente.