Informativa Privacy sul trattamento dei dati relativi al Wistleblowing

ai sensi dell’art. 13 del Regolamento Generale sulla Protezione dei Dati UE 2016/679 - “GDPR”

Gentile interessato,

ai sensi dell’articolo 13 del Regolamento (UE) 2016/679 (General Data Protection Regulation, di seguito “GDPR”) e della normativa applicabile in materia di protezione dei dati personali, Vi informiamo che i dati personali trattati dalla nostra Società nell’ambito della gestione delle segnalazioni di violazioni di disposizioni normative nazionali o dell’Unione europea che ledono l’interesse pubblico o l’integrità dell’ente privato, ricevute tramite gli appositi canali di segnalazione interni messi a disposizione dalla Società ai sensi del D.lgs. 24/2023, saranno trattati, nel rispetto della normativa sopra richiamata e conformemente ai principi di correttezza, liceità e trasparenza da personale autorizzato dalla Società ai sensi dell’articolo 29 del GDPR e dell’articolo 2-quaterdecies del codice in materia di protezione dei dati personali (D.lgs. 196/2003) o da soggetti nominati Responsabili del trattamento ai sensi dell’art 28 del GDPR. Pertanto, La informiamo in merito a:

1.  IDENTITÀ E DATI DI CONTATTO DEL TITOLARE

Il Titolare del trattamento è Cartiere Modesto Cardella S.p.A. (di seguito anche “Titolare” e/o “Società”) con Sede e Stabilimento in Lucca, Via dell’Acquacalda Trav II n. 20 55100 San Pietro a Vico; P.Iva 00258770460, nella persona del suo Legale Rappresentante pro tempore contattabile, oltre che c/o la sede legale predetta, ai seguenti recapiti:

mail: info@cartierecardella.it

Pec: certificata@pec.cartierecardella.it

2.  TIPOLOGIA DEI DATI SOGGETTI A TRATTAMENTO

Potranno essere trattati i seguenti dati personali:

• dati identificativi e di contatto del segnalante (nei casi di segnalazione non anonima);
• dati identificativi del segnalato e informazioni relative alla segnalazione; dati personali anche relative a categorie particolari o riferiti a condanne penali e reati, necessari per lo svolgimento dell’istruttoria;
• ogni altra informazione riferita al segnalante, al segnalato, a eventuali altri soggetti terzi, che il segnalante decide di condividere per meglio descrivere la sospetta violazione.

3.  DEFINIZIONE DI TRATTAMENTO

Ai sensi dell’art. 4 (2) del GDPR per “Trattamento” si intende “qualsiasi operazione o insieme di operazioni, compiute con o senza l'ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali, come la raccolta, la registrazione, l'organizzazione, la strutturazione, la conservazione, l'adattamento o la modifica, l'estrazione, la consultazione, l'uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l'interconnessione, la limitazione, la cancellazione o la distruzione”.

4.  FINALITÀ DEL TRATTAMENTO DEI DATI E BASE GIURIDICA

I dati personali sono trattati per la gestione delle segnalazioni interne di presunte violazioni, ovvero di comportamenti, atti od omissioni che ledono l'interesse pubblico o l’integrità dell'ente privato, definiti dall’art. 2 co. 1 lett. a) del D.lgs. 24/23, delle quali la Persona Segnalante sia venuta a conoscenza in ragione del proprio rapporto di lavoro/collaborazione con il Titolare.

I dati personali trattati sono quelli contenuti nella segnalazione interna, e/o in atti e documenti a questa allegati, e possono riferirsi sia alla Persona Segnalante sia alle Persone coinvolte, indicate come possibili responsabili delle condotte illecite, nonché a coloro che sono a vario titolo coinvolti nelle segnalazioni.

I dati personali possono essere altresì trattati per lo svolgimento delle necessarie attività istruttorie volte a verificare la fondatezza di quanto segnalato, nonché, se del caso, per l’adozione di adeguate misure correttive e l’introduzione di opportune azioni disciplinari e/o giudiziarie nei confronti dei responsabili delle violazioni. La base giuridica che legittima il trattamento dei dati personali è rappresentata dall’adempimento di un obbligo legale al quale è soggetto il Titolare (Art. 6 comma 1, lett. c) del GDPR), nello specifico, previsto dal D.lgs. 231/2001, dalla L. 179/2017 e dal D.lgs. 24/2023; il trattamento potrà eventualmente riguardare anche dati particolari e dati relativi a condanne penali e reati inclusi nelle segnalazioni secondo quanto disposto dagli agli articoli 9 e 10 del GDPR.

5.  MODALITÀ DEL TRATTAMENTO DEI DATI

Il trattamento dei dati personali verrà effettuato esclusivamente da personale espressamente autorizzato, con modalità tali da garantire la riservatezza dell’identità della Persona Segnalante e del contenuto delle segnalazioni interne e della relativa documentazione, adottando misure tecniche e organizzative adeguate a proteggerli da accessi non autorizzati o illeciti, dalla distruzione, dalla perdita d’integrità e riservatezza, anche accidentali. Al fine di garantire la riservatezza della Persona Segnalante per tutta la durata della gestione della segnalazione interna, l’identità della stessa sarà conosciuta dai soggetti espressamente autorizzati alla gestione alle segnalazioni. Ad eccezione dei casi in cui sia configurabile una responsabilità a titolo di calunnia e di diffamazione ai sensi delle disposizioni del codice penale o dell’art. 2043 del c.c ovvero, ove applicabile, nell’ambito del procedimento penale e nei modi e limiti di quanto previsto dall’art. 329 c.p.p., l’identità della Persona Segnalante viene protetta in ogni contesto successivo alla segnalazione. Pertanto, fatte salve le citate eccezioni, l’identità della Persona Segnalante non può essere rivelata senza il suo espresso consenso, e tutti coloro che ricevono o sono coinvolti nella gestione della segnalazione sono tenuti a tutelare la riservatezza di tale informazione.

6.  PERIODO DI CONSERVAZIONE

Le segnalazioni interne e la relativa documentazione saranno conservate per il tempo necessario al trattamento della segnalazione e comunque non oltre cinque anni a decorrere dalla data della comunicazione dell’esito finale della procedura di segnalazione, nel rispetto degli obblighi di riservatezza di cui all’articolo 12 del presente D.lgs. 24/2023 e del principio di cui agli articoli 5, paragrafo 1, lettera e), del GDPR e 3, comma 1, lettera e), del decreto legislativo n. 51 del 2018. Decorso il periodo massimo di cinque anni le informazioni riferite alla segnalazione potranno essere conservate dalla Società al fine di garantire e preservare il proprio diritto di difesa e dare prova, ove richiesto, della corretta gestione delle segnalazioni ricevute. In tal caso i dati personali riferiti sia alla Persona Segnalante sia alle Persone coinvolte, indicate come possibili responsabili delle condotte illecite, nonché a coloro che sono a vario titolo coinvolti nelle segnalazioni saranno cancellati o anonimizzati.

7.  DESTINATARI DEI DATI PERSONALI

I dati personali forniti saranno trattati dai Gestori delle Segnalazioni in qualità di soggetti Autorizzati al trattamento o Responsabili del Trattamento, per dare seguito e riscontro alle segnalazioni ricevute, in ottemperanza a quanto previsto dal D.lgs. 24/2023.

Nella fase di accertamento della fondatezza della segnalazione, laddove si renda necessario per esigenze connesse alle attività istruttorie, i dati personali potranno essere trattati, senza rilevare l’identità del segnalante, da:

• altri soggetti, altre funzioni della Società alle quali sono state fornite specifiche istruzioni;
• società esterne che svolgono servizi strumentali alle finalità sopra indicate (es. servizi informatici e tecnologici, attività di consulenza) o altri soggetti ai quali la Società ha dato specifico mandato.

Tali dati saranno trattati esclusivamente per il tramite di personale espressamente autorizzato e nel rispetto di quanto previsto dal D.lgs. n. 24/2023.

Nessuno dei dati raccolti sarà trasferito verso Paesi Terzi, intesi quali Paesi non appartenenti allo Spazio Economico Europeo (SEE).

8.  CONFERIMENTO DEI DATI

Sebbene il conferimento dei dati personali della persona Segnalante sia facoltativo, il mancato conferimento potrebbe tuttavia pregiudicare l’istruttoria della segnalazione: le segnalazioni dalle quali non è possibile ricavare l’identità del segnalante sono considerate anonime e la Società non si ritiene obbligata a prendere in considerazione tali segnalazioni. Ad ogni modo, CARTIERE MODESTO CARDELLA S.p.A. si riserva la facoltà di acquisire e gestire segnalazioni anonime in conformità al presente regolamento qualora si presentino adeguatamente circostanziate e rese con dovizia di particolari; siano tali cioè da far emergere fatti di particolare gravità e con un contenuto che risulti adeguatamente dettagliato, circostanziato e relazionato a contesti determinati (es.: indicazione di nominativi o qualifiche particolari, menzione di uffici specifici, procedimenti o eventi particolari, ecc.)

9.  DIRITTI DELL’INTERESSATO

I diritti di cui agli articoli 15-22 del GDPR possono essere esercitati, nei limiti di quanto previsto dall’art. 2-undecies, co. 3, del D.lgs. n. 196/2003, rivolgendosi al Titolare mediante i contatti sopra indicati. In particolare, i diritti sopra individuati non possono essere esercitati con richiesta al Titolare, ovvero con reclamo ai sensi dell'articolo 77 del GDPR all’Autorità Garante, qualora dall'esercizio di tali diritti possa derivare un pregiudizio effettivo e concreto alla riservatezza dell’identità della persona che segnala violazioni di cui sia venuta a conoscenza in ragione del proprio rapporto di lavoro o delle funzioni svolte. L‘esercizio dei suddetti diritti può, in ogni caso, essere ritardato, limitato o escluso con comunicazione motivata e resa senza ritardo dal Titolare, a meno che la comunicazione possa compromettere la finalità della limitazione, per il tempo e nei limiti in cui ciò costituisca una misura necessaria e proporzionata, tenuto conto dei diritti fondamentali e dei legittimi interessi della Persona Segnalante, della Persona coinvolta o delle persone a vario titolo coinvolti nelle segnalazioni. In tali casi, ai sensi dell’art. 2-undecies, co. 3, del decreto legislativo n. 196/2003 l’Interessato ha facoltà di esercitare i succitati diritti tramite l’Autorità Garante con le modalità di cui all’art. 160 del predetto decreto legislativo. Nei casi in cui si ritenga che il trattamento dei dati personali avvenga in violazione di quanto previsto dal GDPR, è possibile proporre reclamo all’Autorità Garante, come previsto dall'art. 77 del GDPR stesso (con esclusione delle limitazioni all’esercizio dei diritti sopra riportate e previste dall’art. 2-undecies, co. 3, del D.lgs. n. 196/2003), o di adire le opportune sedi giudiziarie (art. 79 del GDPR).

Ultimo aggiornamento: 29/12/2023