Le seguenti informazioni sono fornite agli interessati, ai sensi degli artt. 13 e 14 del Regolamento UE n. 679/2016 (di seguito "GDPR") e riguardano i trattamenti di dati personali relativi alla segnalazione di illeciti (Whistleblowing), secondo quanto disposto – in particolare – dal D.Lgs. 10 marzo 2023, n. 24 (Attuazione della direttiva (UE) 2019/1937 del Parlamento europeo e del Consiglio, del 23 ottobre 2019, riguardante la protezione delle persone che segnalano violazioni del diritto dell'Unione e recante disposizioni riguardanti la protezione delle persone che segnalano violazioni delle disposizioni normative nazionali). Ai sensi dell'articolo 14, paragrafo 5, lettera b), del Regolamento generale sulla protezione dei dati nell'Unione Europea (GDPR), al segnalato non sono comunicate le informazioni previste dall'articolo 14 dello stesso Regolamento, in quanto ciò potrebbe rendere impossibile o pregiudicare gravemente il conseguimento delle finalità del trattamento. È tuttavia garantito, a tutela del segnalato, il rispetto di tutti i principi stabiliti all'articolo 5 del GDPR.
Informativa Privacy relativa alla segnalazione di illeciti (Whistleblowing)
Titolare del trattamento
(chi
decide perché e come i tuoi dati sono trattati)
Camera di Commercio, Industria, Artigianato e Agricoltura di
Pistoia-Prato (di seguito indicata come "Camera di Commercio", "Titolare" o "Ente")
Sede principale: via del Romito, 71 – 59100 Prato
Sede secondaria: via Corso Silvano Fedi 36 – 51100 Pistoia
Tel. 0574 61261 / 0573 99141
PEC: cciaa@pec.ptpo.camcom.it
Responsabile della protezione dei dati
(chi coordina e
sorveglia il trattamento dei tuoi dati)
Dott.ssa Silvia Borri
e-mail: privacy@ptpo.camcom.it
Finalità, dati personali trattati e base giuridica del trattamento
(qual è lo scopo di trattamento dei tuoi dati)
I dati personali, acquisiti attraverso il "canale interno" tramite la piattaforma informatica https://cameradicommercioptpo.whistleblowing.it/#/, ovvero secondo la procedura prevista per le segnalazioni in forma orale, concernono presunte condotte illecite delle quali il segnalante sia venuto a conoscenza in ragione del proprio rapporto di lavoro, servizio o fornitura con la Camera di commercio.
I dati personali sono trattati per le seguenti finalità:
- acquisizione delle segnalazioni di illeciti riguardanti disposizioni normative nazionali o dell'Unione europea che ledono l'interesse pubblico o l'integrità dell'amministrazione pubblica (art. 1 e 2, comma 1, lett. a), del D.Lgs. n. 24/2023);
- istruttoria delle segnalazioni volta a verificare la fondatezza di quanto segnalato, nonché, se del caso, adottare adeguate misure correttive e intraprendere le opportune azioni disciplinari e/o giudiziarie nei confronti dei responsabili delle condotte illecite;
- effettuazione delle comunicazioni previste dalla legge (art. 5, comma 1, lett. da a) a d), del D.Lgs. n. 24/2023);
- protezione dei soggetti che presentano le segnalazioni e agli altri soggetti tutelati, secondo quanto disposto dal D.Lgs. n. 24/2023.
I dati personali trattati sono, di regola, dati personali "ordinari" (nome, cognome, ruolo lavorativo, ecc.), nonché dati personali c.d. "particolari" (dati relativi a condizioni di salute, orientamento sessuale o appartenenza sindacale, di cui all'art. 9 del GDPR) e di dati personali relativi a condanne penali e reati (di cui all'art. 10 del GDPR).
I dati personali sono contenuti nella segnalazione e negli eventuali atti e documenti a questa allegati e possono riferirsi:
- allo stesso interessato (segnalante) che presenta la segnalazione;
- alle persone fisiche cui si ascrive il presunto comportamento illecito oggetto della segnalazione e/o ulteriori persone fisiche comunque menzionate nella segnalazione o delle quali si possa evincere l'identità;
- ad altri soggetti quali il "facilitatore", ossia la persona fisica, operante all'interno del medesimo contesto lavorativo, che assiste il segnalante.
Le basi giuridiche del trattamento, per le finalità sopra indicate, sono rappresentate:
- per i dati personali ordinari, dall'art. 6, par. 1, lett. c) ed e), ovvero l'adempimento di un obbligo legale al quale è soggetto il Titolare del trattamento, nonché l'esecuzione di un compito di interesse pubblico assegnato dalla legge alle Camere di commercio;
- per i dati particolari, dall'art. 9, par. 2, lett. b) e g), del GDPR, in connessione con l'art. 2-sexies, comma 2, lett. dd), del D.Lgs. n. 196/2003;
- per i dati personali relativi a condanne penali e misure di sicurezza, dall'art. 10 del GDPR, in connessione con l'art. 2-octies, comma 3, lett. a), del D.Lgs. n. 196/2003;
- dal consenso espresso del segnalante, esclusivamente ai fini della conoscibilità della segnalazione ove la stessa sia necessaria alla difesa dell'incolpato, anche nel procedimento disciplinare (art. 12, commi 2 e 5 del D.Lgs. n. 24/2023).
I dati non saranno utilizzati per finalità diverse da quelle sopra indicate. I dati personali che manifestamente non sono utili al trattamento di una specifica segnalazione non sono raccolti o, se raccolti accidentalmente, sono cancellati immediatamente.
Fonte di origine dei dati personali
I dati personali trattati sono quelli forniti dall'interessato nella segnalazione e negli eventuali allegati alla medesima.
Ulteriori dati personali potranno essere acquisiti dalla Camera di commercio a seguito dell'istruttoria che potrà avvalersi anche di banche dati di soggetti pubblici (es: Casellario giudiziario, Agenzia delle Entrate, INPS, INAIL, etc.).
Natura del conferimento dei dati e conseguenze del mancato conferimento
Il conferimento dei dati personali del segnalante non è obbligatorio ma è richiesto se si voglia usufruire delle tutele previste dalla legge.
Le segnalazioni anonime sono valutate, secondo la procedura definita dall'Ente, unicamente se adeguatamente circostanziate e in grado di far emergere fatti e situazioni relazionandoli a contesti determinati.
Le segnalazioni, anche se inviate in forma anonima in prima istanza, potranno essere successivamente integrate con le generalità del segnalante ai fini di acquisire l'eventuale tutela legale.
Soggetti autorizzati a trattare i dati e modalità del trattamento
Il trattamento dei dati personali e delle informazioni fornite dal segnalante da parte del Titolare sarà effettuato solo:
- dal Responsabile della Prevenzione della Corruzione e Trasparenza (RPCT), o dal suo sostituto in caso di assenza o impedimento del RPCT, ove nominato;
- da Whistleblowing Solutions Impresa Sociale S.r.l. quale fornitore del servizio di erogazione e gestione operativa della piattaforma tecnologica di digital whistleblowing in qualità di Responsabile del trattamento ai sensi dell'art. 28 del GDPR.
Il contenuto della segnalazione (escluso il nominativo del segnalante e ogni altra informazione che possa identificarlo) potrà, inoltre, essere condiviso con ulteriore personale interno all'Ente che dovesse essere coinvolto nell'istruttoria (task force “prevenzione corruzione e trasparenza”).Tali soggetti, sono autorizzati al trattamento e appositamente istruiti e formati, nonché tenuti a mantenere il segreto su quanto appreso in ragione delle proprie mansioni, fatti salvi gli obblighi di segnalazione e di denuncia di cui all'art. 331 c.p.p.
La Piattaforma di digital whistleblowing garantisce l'impiego di adeguate misure di sicurezza (es: la cifratura dei dati identificativi dei soggetti coinvolti nonché dei documenti inerenti la segnalazione), organizzative e tecniche per tutelare le informazioni dalla loro conoscibilità, dall'alterazione, dalla distruzione, dalla perdita, dal furto o dall'utilizzo improprio o illegittimo.
Comunicazione e diffusione dei dati
Oltre a quanto indicato al precedente punto i dati personali potranno essere comunicati:
- ai soggetti segnalati, solo in caso di consenso espresso del segnalante, nelle ipotesi previste dal D.Lgs. n. 24/2023;
- all'Autorità Giudiziaria, amministrativa o ad altro soggetto pubblico legittimato a richiederli nei casi previsti esplicitamente dalla legge che operano quali titolari autonomi del trattamento.
Si fa presente che, laddove dalla segnalazione emergessero profili di rilievo penale e di danno erariale, la Camera di commercio sarà tenuta a trasmettere la segnalazione alle competenti Autorità giudiziarie, senza indicare i dati identificativi del segnalante. Qualora questi dati fossero richiesti, la Camera di commercio è tenuta a fornirli.
Per espressa previsione di legge la segnalazione è sottratta all'accesso agli atti amministrativi e al diritto di accesso civico generalizzato (art. 12, comma 8, del D.Lgs. n. 24/2023).
Nell'ambito dei procedimenti penali eventualmente istaurati, l'identità del segnalante sarà coperta da segreto nei modi e nei limiti previsti dall'art. 329 c.p.p.; nell'ambito di procedimenti dinanzi alla Corte dei conti, l'identità del segnalante non sarà comunque rivelata sino alla chiusura della fase istruttoria; nell'ambito dei procedimenti disciplinari, l'identità del segnalante non sarà rivelata in tutti i casi in cui la contestazione dell'addebito disciplinare si fondi su accertamenti distinti e ulteriori rispetto alla segnalazione, anche se conseguenti alla stessa, mentre potrà essere rivelata laddove concorrano, insieme, i seguenti tre presupposti: (1) che la contestazione si fondi, in tutto o in parte, sulla segnalazione, (2) che la conoscenza dell'identità del segnalante sia indispensabile per la difesa dell'incolpato e che (3) il segnalante abbia espresso un apposito consenso alla rivelazione della propria identità.
Non viene effettuata alcuna diffusione di dati personali.
Assenza di un processo decisionale automatizzato
La Camera di commercio non adotta alcun processo decisionale automatizzato, compresa la profilazione, di cui all'art. 22, parr. 1 e 4, del GDPR.
Trasferimento dei dati in paesi non appartenenti all'Unione Europea o a organizzazioni internazionali
I dati personali trattati non vengono trasferiti in paesi terzi o organizzazioni internazionali al di fuori dello spazio dell'Unione europea.
Durata del trattamento e periodo di conservazione dei dati personali
I dati raccolti saranno conservati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati, e comunque non oltre cinque anni a decorrere dalla data della comunicazione dell'esito finale della procedura di segnalazione.
Nel caso di contenzioso o di segnalazione all'Autorità giudiziaria, ad ANAC e/o alla Corte dei Conti, il trattamento potrà essere protratto anche oltre i termini sopra indicati, fino al termine di decadenza di eventuali ricorsi e fino alla scadenza dei termini di prescrizione per l'esercizio dei diritti e/o per l'adempimento di altri obblighi di legge.
Diritti dell'interessato e modalità del loro esercizio
(quali sono i diritti che
puoi esercitare)
All'interessato, ex artt. 13 e 14, è garantito l'esercizio dei diritti riconosciuti dagli artt. 15 ss. del GDPR.
In particolare, è garantito, secondo le modalità e nei limiti previsti dalla vigente normativa, l'esercizio dei seguenti diritti:
- richiedere la conferma dell'esistenza di dati personali che lo riguardino;
- conoscere la fonte e l'origine dei propri dati;
- riceverne comunicazione intelligibile;
- ricevere informazioni circa la logica, le modalità e le finalità del trattamento;
- richiedere l'aggiornamento, la rettifica, l'integrazione, la cancellazione e/o la limitazione dei dati trattati in violazione di legge, ivi compresi quelli non più necessari al perseguimento degli scopi per i quali sono stati raccolti;
- opporsi al trattamento, per motivi connessi alla propria situazione particolare;
- revocare il consenso, ove previsto come base giuridica del trattamento. La revoca non pregiudica la legittimità del trattamento precedentemente effettuato;
- nei casi di trattamento basato sul consenso, ricevere - al solo costo dell'eventuale supporto utilizzato - i propri dati, forniti al Titolare, in forma strutturata e leggibile da un elaboratore di dati e in un formato comunemente usato da un dispositivo elettronico, qualora ciò sia tecnicamente ed economicamente possibile.
Se a voler esercitare i diritti è un soggetto diverso dal segnalante, si precisa che ai sensi dell'art. 2-undecies, comma 1 lettera f) del D.Lgs. n. 196/2003 i diritti di cui sopra non possono essere esercitati – per il tempo e nei limiti in cui ciò costituisca una misura necessaria e proporzionata – con richiesta al Titolare del trattamento o con Reclamo all'Autorità garante qualora dal loro esercizio possa derivare un pregiudizio alla riservatezza dell'identità del segnalante. In tali casi, l'Interessato ha comunque facoltà di rivolgersi all'Autorità garante, affinché quest'ultima valuti se ricorrono i presupposti per agire con le modalità previste dall'articolo 160 del D.Lgs. 196/2003.
Per l'esercizio dei suoi diritti l'interessato può rivolgersi direttamente al Titolare, ovvero al Responsabile della protezione dei dati ai recapiti indicati al precedente punto "Titolare del trattamento", utilizzando preferibilmente il modello pubblicato sul sito della Camera di commercio nella sezione "Informativa Privacy e Cookie - Quali sono i tuoi diritti? Chi devi contattare per esercitarli? - Chi devi contattare per esercitare i tuoi diritti?".
All'interessato è inoltre riconosciuto il diritto di presentare un reclamo al Garante per la protezione dei dati personali, ex art. 77 del GDPR, secondo le modalità previste dall'Autorità stessa (nel sito del Garante per la Protezione dei dati personali).