Informativa privacy illeciti (whistleblowing)

La presente Informativa deve essere letta congiuntamente alla Policy sulla segnalazione illeciti (whistleblowing) di CheckSig (di seguito la “Policy”); in caso di eventuale contrasto in materia di protezione dei dati personali, prevalgono le disposizioni della presente Informativa, altrimenti la Policy. CheckSig può aggiornare la presente Informativa per riflettere evoluzioni normative, tecnologiche o operative dei canali di segnalazione; la versione vigente è pubblicata nella sezione “Trasparenza e reclami” del sito web di CheckSig.

1. Premessa

1. I termini con iniziale maiuscola non definiti nella presente Informativa hanno il significato attribuito nella Policy.
2. La presente Informativa descrive in modo specifico le modalità e le finalità del trattamento dei dati personali raccolti attraverso i canali di segnalazione delle violazioni istituiti da CheckSig, nonchè i diritti riconosciuti agli interessati ai sensi della normativa applicabile.
3. La presente Informativa è resa ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 (“GDPR”) e dell’art. 13 del decreto legislativo 10 marzo 2023, n. 24 (“Decreto Whistleblowing”), come esteso alle violazioni del Regolamento (UE) 2023/1114 (“MiCAR”) dall’articolo 41 del decreto legislativo 5 settembre 2024, n. 129, e tiene conto delle Linee guida ANAC n. 1/2025 sui canali interni di segnalazione.
4. La presente Informativa è rivolta a tutti gli interessati del processo di segnalazione: la Persona segnalante, il Facilitatore, la Persona coinvolta e le altre persone menzionate nella segnalazione o sentite nel corso dell’istruttoria. Per la Persona segnalante e per il Facilitatore l’Informativa è resa prima della segnalazione; per la Persona coinvolta e per le altre persone menzionate, i cui dati non sono raccolti presso di loro, l’Informativa è resa nei limiti e nei tempi compatibili con la tutela della riservatezza della Persona segnalante e con l’istruttoria, secondo quanto indicato al paragrafo 8.
5. In caso di modifiche rilevanti ai fini del trattamento dei dati personali, gli interessati saranno informati con modalità adeguate e nel rispetto degli articoli 13 e 14 del GDPR.

2. Titolare del trattamento

Il Titolare del trattamento dei dati personali è:

CheckSig S.r.l. Società Benefit\ C.F./P.IVA n. 11028330964\ Sede legale: Piazza del Liberty 8, 20121 Milano (MI)\ Email: [email protected]\ PEC: [email protected]

(di seguito anche “CheckSig” o il “Titolare”).

All’interno del Titolare, i dati personali contenuti nelle segnalazioni sono trattati dal Whistleblowing Officer, quale funzione responsabile della Policy, oppure, nei casi di conflitto di interesse previsti dalla Policy, dal Gestore alternativo designato dal Consiglio di amministrazione, e dai soggetti da questi espressamente delegati. Tali soggetti operano quali persone autorizzate al trattamento ai sensi dell’articolo 29 del GDPR, sono designati con atto scritto e sono vincolati all’obbligo di riservatezza di cui all’articolo 12 del Decreto Whistleblowing.

3. Finalità del trattamento, base giuridica e categorie di dati trattati

1. Il Titolare tratta i dati personali degli interessati per le seguenti finalità:

   Finalità del trattamento	Base giuridica	Categorie di dati trattati
   1. Ricezione, registrazione, verifica di plausibilità, esame e valutazione delle segnalazioni di violazioni; svolgimento dell’istruttoria; comunicazioni con la Persona segnalante (conferma di ricezione, richieste di integrazione, riscontro sull’esito)	Adempimento di obblighi di legge (art. 6, par. 1, lett. c) GDPR): Decreto Whistleblowing; art. 41 d.lgs. 129/2024; obblighi organizzativi previsti dal MiCAR	Dati identificativi e di contatto della Persona segnalante e del Facilitatore (salvo segnalazione anonima); dati relativi al rapporto di lavoro o di collaborazione; contenuto della segnalazione e documentazione allegata; dati identificativi e dati relativi ai fatti segnalati riferiti alla Persona coinvolta e alle altre persone menzionate; registrazioni o verbali delle segnalazioni orali e degli incontri
   2. Tutela della Persona segnalante, del Facilitatore e delle altre persone protette da ritorsioni, inclusa la verifica riservata delle decisioni che incidono sulla posizione del personale nei 24 mesi successivi alla segnalazione	Adempimento di obblighi di legge (art. 6, par. 1, lett. c) GDPR): artt. 17 e seguenti del Decreto Whistleblowing	Dati identificativi; dati relativi al rapporto di lavoro o di collaborazione (valutazioni, variazioni contrattuali, provvedimenti, mancati rinnovi) e relative motivazioni
   3. Adozione delle misure correttive e, ove ne ricorrano i presupposti, avvio dei procedimenti disciplinari o delle azioni a tutela dei diritti del Titolare	Adempimento di obblighi di legge (art. 6, par. 1, lett. c) GDPR) e, per le azioni a tutela dei diritti, legittimo interesse del Titolare (art. 6, par. 1, lett. f) GDPR) a far valere o difendere un diritto in sede giudiziaria	Dati identificativi; dati relativi ai fatti accertati; esiti dell’istruttoria
   4. Tenuta del Registro delle segnalazioni, conservazione della documentazione e rendicontazione agli organi aziendali, al Collegio Sindacale e alla funzione di Internal Audit, in forma pseudonimizzata o aggregata	Adempimento di obblighi di legge (art. 6, par. 1, lett. c) GDPR): art. 14 del Decreto Whistleblowing; obblighi di governance e controllo interno previsti dal MiCAR e dalla normativa di vigilanza	Codice identificativo della segnalazione; dati relativi allo stato e all’esito della trattazione; dati aggregati
   5. Riscontro a richieste e comunicazioni alle Autorità competenti (Autorità giudiziaria, ANAC, Consob, Banca d’Italia, Unità di Informazione Finanziaria, Garante per la protezione dei dati personali) nei casi previsti dalla legge	Adempimento di obblighi di legge (art. 6, par. 1, lett. c) GDPR)	Dati identificativi; contenuto della segnalazione e documentazione istruttoria, nei limiti di quanto richiesto
   6. Garanzia della sicurezza, dell’integrità e della tracciabilità dei canali e delle aree riservate (registrazioni degli accessi e controlli periodici)	Adempimento di obblighi di legge (art. 6, par. 1, lett. c) GDPR): art. 32 GDPR; art. 13 del Decreto Whistleblowing; Linee guida ANAC n. 1/2025	Dati tecnici di accesso ai sistemi (identificativo utente, data e ora, operazione eseguita) riferiti alle sole persone autorizzate

2. Le segnalazioni possono contenere, per loro natura, dati appartenenti a categorie particolari ai sensi dell’articolo 9 del GDPR (ad esempio, in caso di segnalazioni relative a molestie, discriminazioni o parità di genere) e dati relativi a condanne penali e reati ai sensi dell’articolo 10 del GDPR. Tali dati sono trattati esclusivamente ove necessari alla trattazione della segnalazione, sulla base dell’articolo 9, paragrafo 2, lettere b) e g), del GDPR e degli articoli 2-sexies e 2-octies del decreto legislativo 30 giugno 2003, n. 196 (“Codice Privacy”), in quanto il trattamento è imposto dal Decreto Whistleblowing e risponde a un interesse pubblico rilevante.

3. Il trattamento non richiede il consenso degli interessati. I dati personali che manifestamente non sono utili alla trattazione di una specifica segnalazione non sono raccolti o, se raccolti accidentalmente, sono cancellati immediatamente, ai sensi dell’articolo 13, comma 5, del Decreto Whistleblowing.

4. Il conferimento dei dati identificativi da parte della Persona segnalante non è obbligatorio: la segnalazione può essere presentata in forma anonima e, se adeguatamente circostanziata, è trattata come le altre. Il mancato conferimento dei dati di contatto comporta l’impossibilità per il Titolare di trasmettere la conferma di ricezione, le richieste di integrazione e il riscontro sull’esito, salvo che la Persona segnalante non indichi un diverso recapito. Il web form è configurato in modo da non raccogliere l’indirizzo email della persona che lo compila e da non richiedere l’accesso con un account.

5. I dati personali della Persona coinvolta e delle altre persone menzionate non sono raccolti presso gli interessati, ma sono forniti dalla Persona segnalante oppure acquisiti dal Titolare nel corso dell’istruttoria da documenti aziendali e da altre persone sentite, nei limiti di quanto strettamente necessario alla verifica dei fatti segnalati.

6. Il trattamento non comporta decisioni basate unicamente su processi automatizzati, compresa la profilazione, ai sensi dell’articolo 22 del GDPR.

4. Riservatezza dell’identità degli interessati

1. L’identità della Persona segnalante e qualsiasi altra informazione da cui tale identità possa evincersi, direttamente o indirettamente, non sono rivelate, senza il consenso espresso della stessa, a persone diverse da quelle autorizzate a ricevere e a dare seguito alle segnalazioni, ai sensi dell’articolo 12 del Decreto Whistleblowing. La medesima tutela è garantita all’identità del Facilitatore, della Persona coinvolta e delle altre persone menzionate nella segnalazione.
2. L’identità della Persona segnalante può essere rivelata soltanto nei seguenti casi: con il suo consenso espresso; nell’ambito di procedimenti dell’Autorità giudiziaria, contabile o di vigilanza, nei casi e con le garanzie previsti dall’articolo 12 del Decreto Whistleblowing, con comunicazione scritta alla Persona segnalante delle ragioni della rivelazione, salvo che ciò pregiudichi le indagini; nell’ambito del procedimento disciplinare a carico della Persona coinvolta, soltanto con il consenso espresso della Persona segnalante e ove la conoscenza della sua identità sia indispensabile alla difesa dell’incolpato.
3. A ciascuna segnalazione è attribuito un codice identificativo progressivo che sostituisce ogni riferimento nominativo in tutti i documenti diversi dal fascicolo riservato, incluse le relazioni agli organi aziendali.

5. Modalità di trattamento, misure di sicurezza e destinatari

1. Le misure di sicurezza sono adottate tenendo conto della particolare delicatezza del trattamento e dei rischi specifici connessi alla possibile identificazione degli interessati in un contesto lavorativo di dimensioni contenute, come documentato nella valutazione d’impatto sulla protezione dei dati effettuata dal Titolare ai sensi dell’articolo 35 del GDPR e dell’articolo 13, comma 6, del Decreto Whistleblowing.

2. I dati personali sono trattati con strumenti elettronici e, in casi limitati, cartacei, nel rispetto dei principi di liceità, correttezza, trasparenza, minimizzazione e integrità previsti dal GDPR. I canali di segnalazione, il Registro delle segnalazioni e i fascicoli sono ospitati in aree riservate ad accesso nominativo, protette da autenticazione a più fattori, prive di condivisioni di gruppo o tramite link, e separate dalle aree di lavoro ordinarie; il canale del Gestore alternativo è ospitato in un’area distinta, non accessibile al Whistleblowing Officer. Gli accessi sono tracciati e le registrazioni sono riesaminate con cadenza semestrale. L’amministratore di sistema non accede ai contenuti delle aree riservate se non su autorizzazione scritta del Whistleblowing Officer per una specifica esigenza tecnica, e sottoscrive un impegno di non accesso e non divulgazione rinnovato annualmente.

3. I dati possono essere trattati da soggetti autorizzati dal Titolare e adeguatamente istruiti, nonché da fornitori nominati Responsabili del trattamento ai sensi dell’articolo 28 del GDPR, nei limiti delle finalità sopra indicate. In particolare, i dati personali possono essere comunicati a:

   1. consulenti esterni di cui il Whistleblowing Officer o il Gestore alternativo si avvalgono per l’esame e la valutazione di una specifica segnalazione, nominati Responsabili del trattamento e vincolati, oltre che dall’obbligo di riservatezza, dal divieto di accedere a segnalazioni diverse da quella affidata;
   2. fornitori degli strumenti tecnologici utilizzati per i canali di segnalazione e per la conservazione dei dati, nominati Responsabili del trattamento sulla base di accordi che includono l’obbligo di riservatezza, il divieto di accesso ai contenuti se non su istruzione documentata e le misure di sicurezza adeguate;
   3. funzioni aziendali e organi del Titolare (Consiglio di amministrazione, Collegio Sindacale, Internal Audit, Comitato Guida per la parità di genere) esclusivamente nei limiti di quanto strettamente necessario alla trattazione della segnalazione o alla rendicontazione prevista dalla Policy, in forma pseudonimizzata o aggregata; i componenti coinvolti nella segnalazione non ricevono alcuna informazione;
   4. Autorità competenti (Autorità giudiziaria, ANAC, Consob, Banca d’Italia, Unità di Informazione Finanziaria, Garante per la protezione dei dati personali), che agiscono quali titolari autonomi del trattamento, nei casi previsti dalla legge.

4. L’elenco aggiornato dei Responsabili del trattamento può essere richiesto scrivendo a [email protected] o via PEC a [email protected].

5. In caso di violazione dei dati personali (data breach), inclusi l’accesso non autorizzato alle aree riservate e la divulgazione non autorizzata dell’identità degli interessati, il Titolare procederà agli adempimenti previsti dagli articoli 33 e 34 del GDPR, inclusa, ove necessario, la notifica al Garante per la protezione dei dati personali e la comunicazione agli interessati nei casi previsti dalla normativa applicabile.

6. Trasferimento dei dati verso Paesi terzi

1. I dati personali sono trattati e conservati all’interno dell’Unione Europea. Un trasferimento verso Paesi situati al di fuori dell’Unione Europea può avvenire esclusivamente per il tramite dei fornitori degli strumenti tecnologici utilizzati per i canali, nel rispetto degli articoli 44 e seguenti del GDPR, sulla base di decisioni di adeguatezza adottate dalla Commissione Europea oppure di Clausole Contrattuali Standard o di altre garanzie adeguate previste dalla normativa vigente, come documentato nella valutazione d’impatto sulla protezione dei dati.
2. L’interessato può ottenere copia delle garanzie adottate per il trasferimento scrivendo ai recapiti indicati.

7. Periodo di conservazione

1. I dati personali sono conservati per il tempo necessario alla trattazione della specifica segnalazione e, comunque, non oltre cinque anni a decorrere dalla data della comunicazione dell’esito finale della procedura di segnalazione, ai sensi dell’articolo 14 del Decreto Whistleblowing, oppure per il diverso termine più lungo imposto da un contenzioso o da un procedimento giudiziario, disciplinare o di vigilanza in corso. In particolare:

   1. le segnalazioni archiviate come non pertinenti o non sufficientemente circostanziate e le comunicazioni ricevute per errore sono cancellate senza indugio, con annotazione sintetica e priva di dati identificativi nel Registro delle segnalazioni;
   2. i dati personali manifestamente non utili alla trattazione della segnalazione sono cancellati immediatamente;
   3. le registrazioni delle segnalazioni orali e degli incontri sono conservate nel fascicolo della segnalazione e seguono il termine di conservazione del fascicolo;
   4. i dati relativi alla verifica anti-ritorsione sono conservati per il tempo necessario ai controlli previsti dalla Policy e comunque non oltre il termine di conservazione del fascicolo cui si riferiscono;
   5. le registrazioni degli accessi alle aree riservate sono conservate per il tempo necessario ai controlli periodici previsti dalla Policy e comunque non oltre il termine di conservazione dei fascicoli cui si riferiscono.

2. Al termine dei periodi di conservazione, i dati sono cancellati in modo sicuro o resi anonimi in forma irreversibile, con annotazione della cancellazione nel Registro delle segnalazioni.

8. Diritti dell’interessato

1. L’interessato può esercitare in ogni momento i diritti previsti dagli artt. 15–22 GDPR, tra cui:

   1. ottenere la conferma dell’esistenza o meno di dati personali che lo riguardano;
   2. ottenere l’accesso ai dati e alle informazioni relative al trattamento;
   3. richiedere la rettifica dei dati inesatti o l’integrazione di quelli incompleti;
   4. richiedere la cancellazione dei dati nei casi previsti dall’art. 17 GDPR;
   5. richiedere la limitazione del trattamento;
   6. opporsi al trattamento nei casi previsti dall’art. 21 GDPR;
   7. proporre reclamo al Garante per la Protezione dei Dati Personali ai sensi dell’art. 77 GDPR.

2. Il diritto alla portabilità e il diritto di revoca del consenso non trovano applicazione, poiché il trattamento è fondato su un obbligo di legge e non sul consenso.

3. Ai sensi dell’articolo 13, comma 3, del Decreto Whistleblowing e dell’articolo 2-undecies, comma 1, lettera f), del Codice Privacy, i diritti dell’interessato non possono essere esercitati, oppure il loro esercizio può essere ritardato o limitato, qualora dal loro esercizio possa derivare un pregiudizio effettivo e concreto alla riservatezza dell’identità della Persona segnalante. In particolare, il diritto di accesso della Persona coinvolta e delle altre persone menzionate non comprende in alcun caso l’identità della Persona segnalante e del Facilitatore, né le informazioni da cui essa possa evincersi. Nei casi in cui l’esercizio dei diritti sia limitato o ritardato, il Titolare ne dà comunicazione motivata all’interessato senza ritardo, salvo che la comunicazione possa compromettere la finalità della limitazione; l’interessato può in ogni caso rivolgersi al Garante per la protezione dei dati personali ai sensi dell’articolo 2-undecies, comma 3, del Codice Privacy.

4. Per le stesse ragioni, la Persona coinvolta è informata dell’esistenza di una segnalazione che la riguarda e del suo esito nei limiti e nei tempi compatibili con la tutela della riservatezza della Persona segnalante e con le esigenze dell’istruttoria, fermo il diritto di essere sentita e di far valere le proprie ragioni prima dell’adozione di qualsiasi provvedimento nei suoi confronti.

5. Le richieste di esercizio dei diritti sono valutate dal Whistleblowing Officer o, se riguardano una segnalazione in conflitto di interesse, dal Gestore alternativo, con il coinvolgimento del referente per la protezione dei dati personali, e ricevono riscontro entro un mese dal ricevimento, prorogabile di due mesi nei casi previsti dall’articolo 12 del GDPR.

9. Contatti per l’esercizio dei diritti

Per l’esercizio dei diritti o per qualsiasi informazione relativa al trattamento dei dati personali, il Cliente può contattare il Titolare del trattamento di cui all’art. 2.

Le comunicazioni relative al contenuto di una segnalazione, alle ritorsioni e alle richieste di incontro con il Whistleblowing Officer devono invece essere inviate esclusivamente attraverso i canali di segnalazione indicati nella Policy (web form nella sezione “Whistleblowing” del sito, email [email protected]), e non all’indirizzo [email protected].