Informativa ai sensi degli artt. 13 e 14 del Regolamento Europeo 2016/679 sul Trattamento dei dati personali nell’ambito del Sistema di Segnalazione di presunti illeciti (“Whistleblowing”)
Autostrade per l’Italia S.p.A. ha introdotto lo strumento del “Whistleblowing”, quale Sistema di Segnalazione di presunti illeciti, nell’ambito del rapporto di lavoro, da parte di propri dipendenti, di dipendenti delle Società del “Gruppo ASPI” e di soggetti terzi (collaboratori/fornitori), nel rispetto della vigente normativa in materia (L. 231/2001, come modificata dalla L. 179/2017).
Autostrade per l’Italia S.p.A. gestisce le segnalazioni in materia di whistleblowing per conto di Società Italiana per Azioni per il Traforo del Monte Bianco Società
Autostrade per l’Italia S.p.A. ha adottato la “Procedura di gestione delle segnalazioni” recepita anche da Società Italiana per Azioni per il Traforo del Monte Bianco Società che consente, nell’ambito dello svolgimento del processo di ricezione e gestione delle Segnalazioni, di applicare le misure atte a tutelare tutti i soggetti coinvolti nel rispetto dei commi 2-bis, 2-ter e 2-quater dell’art. 6 della L. 231/2001, come introdotti dalla suindicata L. 179/2017 (“Disposizioni per la tutela degli autori di segnalazioni di reati o irregolarità di cui siano venuti a conoscenza nell’ambito di un rapporto di lavoro pubblico o privato”) e della normativa in materia di tutela dei dati personali [Regolamento Europeo 2016/679 (“GDPR”) e D.Lgs. 196/2003, come novellato dal D.Lgs. 101/2018 (“Codice Privacy”)].
Ai sensi degli artt.13 e 14 del Regolamento Europeo 2016/679 (in seguito “GDPR”), Società Italiana per Azioni per il Traforo del Monte Bianco Società rende di seguito l’informativa sul trattamento dei dati personali dei soggetti interessati dal processo di ricezione e gestione delle Segnalazioni (in seguito anche “Whistleblowing”).
1. Titolare del trattamento
Società Italiana per Azioni per il Traforo del Monte Bianco Società soggetta ad attività di direzione e coordinamento di Autostrade per l’Italia S.p.A., con sede legale in Piazza Vittorio Emanuele II, 14 – 11010 Prè-Saint-Didier (AO), Codice Fiscale e Partita IVA 00081600074– R.E.A. di Aosta 27131.
Il Data Protection Officer (DPO) è contattabile all’indirizzo di posta elettronica dpo.sitmb@pec.autostrade.it.
2. Tipologie di dati trattati
Nell’ambito del procedimento di “Whistleblowing”, i dati personali oggetto di trattamento sono i dati del “Segnalante”, del “Segnalato” e delle persone coinvolte e/o collegate ai fatti oggetto della Segnalazione” (in seguito “Interessati”).
I dati personali raccolti e trattati nell’ambito del procedimento includono:
- dati personali “comuni” degli Interessati (dati anagrafici, struttura aziendale di appartenenza, recapiti quali: indirizzo mail, indirizzo postale, numero telefonico),
- ove necessario, dati appartenenti a particolari categorie ex art. 9 GDPR,
- dati relativi all’ubicazione dell’interessato.
I dati possono essere raccolti sia direttamente presso l’Interessato sia per il tramite di altri soggetti coinvolti nella Segnalazione, mediante apposita piattaforma e/o i canali di comunicazione indicati al successivo punto 4.
I dati sono forniti volontariamente dall’Interessato o da soggetto terzo e sono trattati esclusivamente dati strettamente necessari alle finalità di cui al successivo punto 3.
3. Finalità e base giuridica del trattamento
I dati personali sono trattati, nell’ambito del procedimento di “Whistleblowing”, esclusivamente per le finalità di istruttoria ed accertamento dei fatti oggetto della Segnalazione e di adozione degli eventuali conseguenti provvedimenti.
In particolare, i dati personali raccolti sono solo quelli necessari e pertinenti per il raggiungimento delle finalità sopra indicate, sulla base del “principio di minimizzazione”, ai sensi dell’art. 5.1 lett. C) GDPR.
Rispetto a questi dati, il loro conferimento è volontario e l’Interessato è pregato di fornire soltanto i dati necessari a descrivere i fatti oggetto della Segnalazione senza comunicare dati personali ridondanti ed ulteriori a quelli necessari rispetto alle finalità sopra indicate. Nel caso siano forniti, tali dati non saranno utilizzati.
I dati personali sono trattati sulla base giuridica del legittimo interesse del Titolare, ex art. 6, co. 1, lett. f) del GDPR, a gestire le Segnalazioni di illeciti, di cui sia venuto a conoscenza il Segnalante per ragioni di lavoro e/o nell’ambito del rapporto di lavoro, nonché a tutelare gli Interessati interni ed esterni coinvolti nel procedimento di “Whistleblowing”.
I dati personali ex art. 9 GDPR, potranno essere trattati, ove necessario, sulla base giuridica del legittimo interesse del Titolare, ex art 6, co. 1, lett. f) del GDPR, per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria, nonché sulla base giuridica ex art 6, co. 1, lett. b) del GDPR (“esecuzione del contratto”) per determinati aspetti del rapporto di lavoro.
4. Modalità del trattamento
I dati sono raccolti, nel rispetto delle norme vigenti, a mezzo di strumenti elettronici, telematici e manuali, in modalità cartacea e/o elettronica e/o in forma orale, con logiche strettamente connesse alle finalità sopra indicate, in modo da garantire la sicurezza e la riservatezza dei dati stessi.
In particolare, sono raccolti tramite i seguenti canali:
- piattaforma on line “Whistleblowing” resa disponibile sul sito della controllante Autostrade per l’Italia S.p.A.;
- posta elettronica all’indirizzo: segnalazioni@autostrade.it;
- posta ordinaria, all’indirizzo: Ethics Officer del Gruppo ASPI, via Bergamini, 50 Roma;
- casella vocale, al numero 06/43634213.
I dati raccolti a mezzo degli strumenti elettronici/telematici non saranno oggetto di trattamento completamente automatizzato così come specificato all’art. 22 GDPR.
Specifiche misure di sicurezza sono osservate per prevenire la perdita dei dati, usi illeciti o non corretti e accessi non autorizzati.
Inoltre, specifiche misure tecnico-organizzative sono adottate, ai sensi dell’art. 32 GDPR, per garantire la tutela dell’identità degli Interessati, nonché l’eventuale anonimia del Segnalante ed il completo anonimato nell’accesso alla piattaforma (no log).
5. Tempi di conservazione dei dati
I dati personali saranno conservati solo per il tempo necessario alle finalità per le quali vengono raccolti nel rispetto del principio di minimizzazione ex art. 5.1.c) GDPR e, in particolare, alle finalità di gestione dell’istruttoria, di conclusione dell’attività di definizione della Segnalazione e di adozione dei relativi provvedimenti, in caso di accertamento.
6. Destinatari dei dati
Per lo svolgimento delle attività relative al procedimento di “Whistleblowing”, e sempre per le finalità di cui al punto 3, la controllante Autostrade per l’Italia S.p.A. gestisce le segnalazioni per conto di Società Italiana per Azioni per il Traforo del Monte Bianco Società.
All’interno di Autostrade per l’Italia S.p.A., possono venire a conoscenza dei dati personali forniti esclusivamente i soggetti incaricati del trattamento dal Titolare e autorizzati a compiere le operazioni di trattamento nell’ambito delle suddette attività.
L’elenco completo dei soggetti nominati Responsabili è disponibile presso il DPO. In nessun caso i dati personali saranno oggetto di diffusione.
7. Diritti degli interessati
Gli artt. 15-22 GDPR conferiscono agli Interessati la possibilità di esercitare specifici diritti, quali, per esempio, il diritto di accesso, di rettifica, di cancellazione, di limitazione del trattamento.
I diritti di cui sopra potranno essere esercitati con richiesta rivolta senza formalità al Data Protection Officer (DPO) al seguente indirizzo PEC: dpo.sitmb@pec.autostrade.it.
L’Interessato potrà proporre reclamo ai sensi dell’art. 57 lett. f) GDPR all’Autorità Garante per la Protezione dei Dati Personali.
Nel caso in cui l’esercizio dei diritti di cui sopra da parte del Segnalato possa comportare un pregiudizio effettivo e concreto alla protezione e riservatezza dei dati personali del Segnalante, il Titolare potrà limitare, ritardare ovvero escludere tale esercizio, ai sensi dell’art. 2-undecies, co. 1, lett. f) del Codice Privacy, e non dare seguito all’istanza.
In tali casi, i diritti dell’Interessato, ai sensi dell’art. 2-undecies, co. 3 del Codice Privacy, possono essere esercitati tramite il Garante con le modalità di cui all’art. 160 del Codice Privacy.
8. Eventuale trasferimento all’estero dei dati personali
Possono venire a conoscenza dei predetti dati anche società terze (quali i fornitori di servizi informatici) che consentono l’operatività, nonché la manutenzione degli strumenti informatici su cui è possibile inserire la Segnalazione, tenuti a trattare i dati per le medesime finalità di cui al precedente punto 3, che sono, all’uopo, nominati “Responsabili del trattamento”, ai sensi dell’art. 28 GDPR.
La gestione e la conservazione dei dati avvengono su server di società terze nominate Responsabili del trattamento, come indicato al precedente punto 6, ubicati in Italia e all’interno dell’Unione Europea.
I dati personali non sono oggetto di trasferimento al di fuori dell’Unione Europea.
Ove si rendesse necessario, il Titolare avrà facoltà di spostare l’ubicazione degli archivi e dei server in Italia e/o nell’Unione Europea e/o in Paesi extra-UE. In tal ultimo caso, si assicura, sin d’ora, che il trasferimento dei dati extra-UE avverrà in conformità alle disposizioni di legge applicabili, stipulando, ove necessario, accordi che garantiscano un livello di protezione adeguato e/o adottando le Clausole Contrattuali Standard previste dalla Commissione Europea.
Versione 2.1 del 20 febbraio 2023
Moduli per l’esercizio dei diritti di privacy
Contatto Data Protection Officer : dpo.sitmb@pec.autostrade.it