Informativa privacy sul trattamento dei dati personali per segnalazioni di Whistleblowing

Il Titolare Humana Italia S.p.A. può essere contattato all’indirizzo mail dedicato dpo@humana.it oppure inviando una comunicazione presso la Sede Legale in Viale Liguria 22/A, Milano (MI), 20143. La Società si avvale di un responsabile per la protezione dei dati personali (anche noto come Data Protection Officer “DPO”). Il DPO può essere contattato sempre tramite il canale di comunicazione: dpo@humana.it.

Come si invia una Segnalazione

• Tramite la Piattaforma è possibile presentare Segnalazioni riguardanti illeciti civili, penali ed amministrativi rilevanti ai sensi del D. Lgs. n. 24/2023. A seguito dell’accesso è possibile compilare la Segnalazione per iscritto o in forma orale, e successivamente inviarla. L’invio può avvenire:

• In forma anonima, mantenendo sconosciuta la propria identità; in questo caso non verrà effettuato un trattamento di dati riferito al Segnalante;

• In forma non-anonima, dichiarando le proprie generalità e i dati di contatto; in questo caso i dati del Segnalante saranno noti e potranno essere utilizzati secondo le modalità sotto descritte.

Dopo l’invio, il Segnalante riceverà un codice identificativo univoco che potrà utilizzare per accedere alla sezione dedicata dalla Piattaforma e chattare con il Responsabile della gestione della Segnalazione (“Responsabile della Segnalazione”) e conoscere lo stato di lavorazione della Segnalazione stessa.

Il segnalante ha anche la possibilità di richiedere un incontro con il Responsabile della gestione della Segnalazione attraverso la Piattaforma o mediante ogni altro strumento idoneo.

Il soggetto Responsabile della gestione della Segnalazione è l’Organismo di Vigilanza della Società, appositamente designato e istruito tramite lettera specifica di istruzioni.

A chi viene comunicata l’identità del Segnalante

L’identità del Segnalante e delle persone coinvolte nella segnalazione sono riservate; L’identità del Segnalante è sconosciuta anche al Responsabile quando l’invio è realizzato in forma anonima. L’identità e la riservatezza del Segnalante e delle persone coinvolte nella segnalazione sono sempre tutelate, così come egli è sempre garantito contro ritorsioni e forme di responsabilità legale. Tuttavia, qualora la Segnalazione rappresenti fatti falsi o evidentemente distorti, il Segnalante potrà incorrere nella responsabilità penale per i reati di diffamazione (art. 595 c.p.) e calunnia (art. 368 c.p.). Il Responsabile accede unicamente all’identità del Segnalante se necessario al fine di processare la Segnalazione, ad esempio, nel caso di svolgimento di un’attività istruttoria. Il Segnalante potrebbe essere contattato per richiedergli ulteriori informazioni necessarie alla gestione della fase istruttoria.

L’identità del Segnalante non può essere rivelata se non previo consenso dello stesso. L’identità del Segnalante può essere comunicata, anche senza il consenso del Segnalante, all’Autorità Giudiziaria.

I dati personali trattati riconducibili al Segnalante e alle persone coinvolte nella segnalazione saranno quelli contenuti nella Segnalazione e negli eventuali documenti allegati. Se necessario, ulteriori informazioni potranno essere acquisite in sede di istruttoria dall’organismo preposto.

I dati oggetto di trattamento saranno:

• Dati identificativi e di contatto: nome, cognome, numero di telefono, indirizzo di posta elettronica (qualora comunicati in fase di indagine).

• Oggetto e contenuto della Segnalazione: ivi compresa qualsiasi altra informazione che possa emergere dalla lettura della Segnalazione stessa.

Il Titolare potrebbe trattare anche categorie particolari di dati personali che emergano dal contenuto della Segnalazione, quali quelli relativi all'origine razziale o etnica, alle opinioni politiche, alle convinzioni religiose o filosofiche, o all'appartenenza sindacale, dati relativi alla salute o alla vita sessuale o all'orientamento sessuale della persona oppure dati relativi a condanne penali o amministrative pregresse.

Nel rispetto del principio di minimizzazione, la Società provvederà a cancellare, distruggere o, se ciò non risultasse possibile, ad oscurare immediatamente i dati personali contenuti nelle Segnalazioni nel caso in cui gli stessi non risultino necessari per il perseguimento delle finalità del trattamento, fatti salvi i casi autorizzati dalla legge o da un provvedimento dell’Autorità Garante per la protezione dei dati personali

I dati forniti dal Segnalante vengono trattati al solo scopo di gestire e dare seguito alle Segnalazioni come effettuare le necessarie attività istruttorie volte a verificare la fondatezza dei fatti ivi dichiarati e l’adozione dei conseguenti provvedimenti.

Di seguito, le finalità del trattamento con la relativa base giuridica:

In aggiunta, i predetti dati sono utilizzati per compiere tutte le attività a queste strumentali e accessorie e comunque necessarie al perseguimento della finalità richiamata.

Il trattamento dei dati personali presenta rischi specifici per i diritti e le libertà e, pertanto, è preceduto da una valutazione d’impatto sulla protezione dei dati.

Il trattamento avviene tramite l’adozione di misure di sicurezza tecniche e organizzative, ai sensi dell’art. 32 del GDPR, idonee a garantire la confidenzialità, l’integrità e la sicurezza dei dati. In particolare, la Piattaforma opera secondo un sistema di crittografia, che garantisce la riservatezza delle informazioni contenute e scambiate attraverso la Piattaforma (https://digitalroom.bdo.it/humana). Sono altresì create copie di backup dei dati, in modo che essi siano sempre disponibili ed integri. In aggiunta, al fine di garantire la certezza delle operazioni svolte, viene svolta la registrazione dei log di sistema delle operazioni svolte dal Responsabile sulla Piattaforma. Nessun log è, invece, raccolto con riferimento alle attività svolte dal Segnalante; pertanto, le sue operazioni non saranno tracciate.

La Società raccoglie i dati personali attraverso la Piattaforma di Segnalazione degli illeciti e li elabora direttamente avvalendosi dell’opera di soggetti, opportunamente designati e istruiti, che agiranno in veste di Autorizzati al trattamento, solo per le finalità descritte nella presente informativa.

La Società ha inoltre dato specifica autorizzazione e istruzioni sul trattamento dei dati personali al Responsabile e agli altri soggetti preposti e si è dotata di una procedura dedicata alla gestione delle Segnalazioni, in modo da stabilire un processo operativo idoneo a garantire i diritti di legge. I dati personali saranno oggetto di trattamento esclusivamente da parte del personale autorizzato e competente per la gestione delle segnalazioni di whistleblowing. Il personale autorizzato agirà sotto vincolo di riservatezza, adottando appropriate misure di sicurezza.

La tutela dell’identità è garantita rispetto a soggetti non autorizzati al trattamento di tali dati personali.

Alcune informazioni potrebbero essere comunicate a titolari autonomi del trattamento come studi legali o l’Autorità Giudiziaria, esclusivamente al ricorrere dei presupposti di legge.

Il conferimento dei dati personali è facoltativo; è sempre possibile per il Segnalante ritirare la segnalazione mediante apposita comunicazione da trasmettere attraverso il canale originariamente prescelto per l’inoltro della stessa.

Nel caso in cui il Segnalante non intenda rivelare la propria identità, è possibile presentare una Segnalazione anonima.

Nel caso di un procedimento disciplinare che ne richieda la divulgazione, la Società potrà utilizzare l’identità del Segnalante e qualsiasi altra informazione da cui può evincersi, direttamente o indirettamente, tale identità, solo dietro consenso espresso del Segnalante al trattamento dei dati personali, previa comunicazione scritta a quest’ultimo delle ragioni che rendono necessaria la rivelazione dei dati riservati. Un eventuale disvelamento dell’identità del Segnalante a persone diverse da quelle competenti a ricevere o a dare seguito alle Segnalazioni avviene sempre con il consenso espresso dello stesso Segnalante.

Qualora il Segnalante neghi il proprio consenso, la Segnalazione non potrà essere utilizzata nel procedimento disciplinare che, quindi, non potrà essere avviato o proseguito in assenza di elementi ulteriori sui quali fondare la contestazione.

Resta ferma in ogni caso, sussistendone i presupposti, la facoltà della Società di procedere con la denuncia all’Autorità giudiziaria.

Il consenso è revocabile in qualsiasi momento seguendo le modalità indicate al paragrafo “Esercizio dei diritti”. La revoca del consenso non pregiudica la liceità del trattamento basato sullo stesso prima della revoca.

I dati non saranno oggetto di diffusione a soggetti indeterminati.

I Dati sono conservati e comunque trattati all’interno dell’Unione Europea e non saranno trasferiti in paesi extra UE.

La Segnalazione e la relativa documentazione sono conservate per il tempo necessario al completamento dell’istruttoria e per la gestione dei conseguenti procedimenti o esercizi in giudizio, entro 5 anni a decorrere dalla data di comunicazione dell’esito finale della procedura di Segnalazione. È possibile una conservazione per un periodo di tempo maggiore nel caso in cui i dati vengano utilizzati dalla Società per la gestione di un procedimento giudiziario che si protragga oltre tale termine.

In caso di Segnalazioni ritenute infondate alle quali non verrà dato seguito, i dati verranno cancellati al termine dell’istruttoria interna alla Società.

In ogni momento il Segnalante potrà ottenere dal Titolare del trattamento, ricorrendone i presupposti, l'accesso ai dati personali che lo riguardano, la loro rettifica, la cancellazione degli stessi o la limitazione del trattamento (artt.15 e ss. GDPR).

L’esercizio dei diritti degli interessati (es. accesso, rettifica, aggiornamento, cancellazione, limitazione del trattamento, portabilità, opposizione) può essere limitato qualora dall'esercizio di tali diritti possa derivare un pregiudizio effettivo e concreto alla riservatezza dell’identità del Segnalante. Tale limitazione può essere attuata per il tempo e nei limiti in cui ciò costituisca una misura necessaria e proporzionata, tenuto conto dei diritti fondamentali e dei legittimi interessi dell'interessato.

Il soggetto segnalato ha diritto di essere informato della Segnalazione che lo riguarda nell’ambito del procedimento eventualmente avviato nei suoi confronti a seguito della conclusione dell’attività di verifica e di analisi della Segnalazione e nel caso in cui tale procedimento sia fondato in tutto o in parte sulla Segnalazione.

In aggiunta, è garantita la riservatezza dell’identità del facilitatore e della persona menzionata nella Segnalazione fino alla conclusione dei procedimenti avviati in ragione della Segnalazione.

L'apposita istanza di esercizio di diritti può essere presentata direttamente al Responsabile tramite la piattaforma. Questa modalità garantisce la riservatezza dell’interessato. In alternativa, è possibile rivolgere la richiesta all’indirizzo dpo@humana.it, oppure inviando una comunicazione presso la sede legale della Società.

Il Segnalante e/o le persone coinvolte nella segnalazione che ritengano che il trattamento dei dati personali ad esso riferibili così effettuato avvenga in violazione di quanto previsto dalla disciplina in materia di protezione dei dati personali ha il diritto di proporre reclamo al Garante ex art 77 GDPR (https://www.garanteprivacy.it/reclamo) o ricorso dinanzi all’autorità giudiziaria (art. 79 del GDPR e art. 140-bis, D. Lgs. 196/2003 – Codice della privacy).