Ai sensi dell’art.13 del Regolamento (UE) n. 2016/679 (Regolamento Generale sulla Protezione dei Dati, di seguito GDPR) e del d.lgs. 24/2023 Dedem S.p.a. (di seguito Dedem o Titolare) fornisce, qui di seguito, l’informativa sui trattamenti dei dati personali effettuati in relazione alla gestione delle Segnalazioni, disciplinate dalla Procedura Whistleblowing della Dedem, che si applica a Dedem e alle Società del Gruppo.
- Categorie di dati personali
Dati personali comuni di cui all’art. 4, punto 1, del GDPR del Segnalante (nel caso di Segnalazioni non anonime) nonché di eventuali Persone coinvolte o menzionate nella Segnalazione e Facilitatori, come definiti dalla Procedura Whistleblowing (di seguito “Interessati”), quali: dati anagrafici (ad es. nome, cognome, data e luogo di nascita), dati di contatto (es. numero telefonico fisso e/o mobile, indirizzo postale/e-mail). Categorie particolari di dati di cui all’art. 9) del GDPR, qualora inserite nella segnalazione
- Finalità del trattamento e relativa base giuridica
I suddetti dati personali sono trattati dal Titolare:
- In fase di gestione della Segnalazione effettuata ai sensi del d.lgs. n. 24/2023, per le finalità derivanti dall’adempimento di un obbligo legale a cui è soggetto il Titolare del trattamento (art. 6, par. 1, lett. c) del GDPR); inoltre, per le segnalazioni registrate raccolte telefonicamente o tramite sistemi di messaggistica vocale o comunque in forma orale, dal consenso del Segnalante (art. 6, par. 1, lett. a) del GDPR);
- in fase di adempimento di obblighi previsti dalla legge o dalla normativa comunitaria; per le finalità derivanti dall’adempimento di un obbligo legale a cui è soggetto il Titolare del trattamento (art. 6, par. 1, lett. c) del GDPR);
- in fase di difesa o accertamento di un proprio diritto in contenziosi civili, amministrativi o penali. La base giuridica del trattamento è costituita, per le finalità derivanti dal legittimo interesse del titolare (art. 6, par. 1, lett. f) del GDPR).
- Natura del conferimento:
Il conferimento dei dati è necessario per il conseguimento delle finalità di cui sopra; il loro mancato, parziale o inesatto conferimento potrebbe avere come conseguenza l’impossibilità di gestire la segnalazione.
- Periodo di conservazione dei dati e modalità del trattamento
Dedem conserva i dati personali nei termini previsti dall’art. 14 del d.lgs. n. 24/2023, cioè per il tempo necessario al trattamento della segnalazione e comunque per non oltre 5 anni a decorrere dalla data di comunicazione dell’esito finale della Segnalazione all’Organismo di Vigilanza 231. I dati personali che manifestamente non sono utili al trattamento di una specifica segnalazione non sono raccolti o, se raccolti accidentalmente, sono cancellati tempestivamente. In caso di azione giudiziaria o disciplinare nei confronti del denunciato o del denunciante che avesse reso dichiarazioni false o diffamatorie, la documentazione sarà conservata fino alla conclusione del procedimento ed allo spirare dei termini per proporre impugnazione.
- Modalità e logica del trattamento
I trattamenti dei dati sono effettuati manualmente e/o attraverso strumenti automatizzati informatici e telematici con logiche correlate alle finalità sopraindicate e, comunque, in modo da garantirne la sicurezza e la riservatezza. Il sistema di gestione delle Segnalazioni garantisce, in ogni fase, la riservatezza dell’identità del Segnalante, delle Persone coinvolte e/o comunque menzionate nella Segnalazione, del contenuto della Segnalazione e della relativa documentazione, fatto salvo quanto previsto dall’art. 12 del d.lgs. n. 24/2023.
- Ambito di conoscibilità e soggetti destinatari
Alcuni trattamenti possono essere effettuati da ulteriori soggetti terzi, ai quali Dedem affida talune attività (o parte di esse) per le finalità di cui al punto 2); tali soggetti opereranno in qualità di Titolari autonomi o saranno designati Responsabili del trattamento e sono essenzialmente ricompresi nelle seguenti categorie:
- Consulenti (Organizzazione, Contenzioso, Studi Legali, ecc.)
- Società incaricate dell’amministrazione e gestione del personale,
- Società di Revisione/auditing
- Agenzie investigative
- Istituzioni e/o Autorità Pubbliche, Autorità Giudiziaria, Organi di Polizia.
- Trasferimenti verso paesi terzi ed organizzazioni internazionali
La gestione e la conservazione dei dati personali avverrà presso le sedi del Titolare del trattamento, ed in relazione ai dati elettronici, su server, ubicati in Italia o all’interno dell’Unione Europea, del Titolare del trattamento e/o di società terze incaricate e debitamente nominate quali Responsabili del trattamento.
Tuttavia, per motivi organizzativi, l’archiviazione elettronica dei dati, la gestione delle comunicazioni elettroniche (email) e la gestione del sito web aziendale potranno essere utilizzati anche servizi di Internet service provider ubicati sia in paesi UE che extra UE. Il trasferimento dei dati extra-UE, avverrà in conformità alle disposizioni di legge, verso paesi che garantiscano un livello di protezione adeguato, che abbiano adottato le clausole contrattuali standard previste dalla Commissione Europea, o che aderiscano, nel caso di società statunitensi, al Privacy Shield adottato dalla Commissione Europea in data 12/07/2016.
- Processi decisionali automatizzati
Non sono previsti processi decisionali automatizzati per la procedura di whistelblowing.
- Reclamo all'Autorità di Controllo
l'interessato che ritenga che il trattamento che lo riguarda violi il Regolamento UE 2016/679 (GDPR), ha il diritto di proporre reclamo al Garante per la protezione dei dati personali - Piazza di Monte Citorio n. 121 - 00186 Roma.
- Diritti dell'interessato
All’interessato sono riconosciuti i seguenti diritti:
● Ottenere la conferma che sia o meno in corso un trattamento di dati personali che la riguardano e, in tal caso, di ottenere l'accesso ai dati personali e a tutte le informazioni previste dell’art. 15 del GDPR.
● Ottenere la rettifica dei dati personali inesatti che la riguardano senza ingiustificato ritardo. Tenuto conto delle finalità del trattamento lei ha il diritto di ottenere l’integrazione dei dati personali incompleti, anche fornendo una dichiarazione integrativa.
● Ottenere la cancellazione dei dati personali che la riguardano senza ingiustificato ritardo.
● Esercitare il diritto all’oblio (In questa ipotesi l’art. 17 paragrafo 2 impone al titolare non solo di cancellare i dati - sempre ovviamente che ritenga la richiesta legittima per quanto lo riguarda - ma anche, “tenuto conto della tecnologia disponibile e dei costi di attuazione”, di adottare “misure ragionevoli, anche tecniche” per informare della richiesta che gli è pervenuta anche gli altri eventuali titolari che stanno utilizzando i dati a lui resi pubblici).
● Ottenere la limitazione del trattamento quando ricorra una delle ipotesi previste dall’art. 18 del GDPR.
● Ricevere in un formato strutturato, di uso comune e leggibile da dispositivo automatico i dati personali che la riguardano forniti al Titolare del trattamento, nei casi previsti dall’art. 20 del GDPR. Nell’esercitare i propri diritti relativamente alla portabilità dei dati, l’interessato ha inoltre il diritto di ottenere la trasmissione diretta dei dati personali da un titolare del trattamento all’altro, se tecnicamente fattibile.
● Opporsi in qualsiasi momento, per motivi connessi alla sua situazione particolare, al trattamento dei dati personali che la riguardano ai sensi dell’articolo 6, paragrafo 1, lettere e) o f) del GDPR. In questo caso il Titolare del trattamento si asterrà dal trattare ulteriormente i dati personali salvo l'esistenza di motivi legittimi cogenti per procedere al trattamento che prevalgono sugli interessi, sui diritti e sulle libertà dell’interessato oppure per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria.
● Non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato, che produca effetti giuridici che la riguardano o che incida in modo analogo significativamente sulla sua persona. Questo diritto non si applica nei casi disciplinati dall’art. 22, paragrafo 2 del GDPR.
● Esercitare il diritto di reclamo all’Autorità di controllo.
L’interessato, nelle persone del Segnalante o del Facilitatore, ha diritto di accedere in ogni momento ai dati che lo riguardano e di esercitare i diritti previsti dagli articoli da 15 al 22 del GDPR, per quanto applicabili (diritto di accesso ai dati personali, diritto a rettificarli, diritto di ottenerne la cancellazione o cd. diritto all’oblio, il diritto alla limitazione del trattamento, il diritto alla portabilità dei dati personali o quello di opposizione al trattamento), inviando una e-mail all’indirizzo: whistleblowing@dedem.it. Inoltre, l’interessato ha diritto di proporre un reclamo al Garante della protezione dei dati personali. I suddetti diritti non sono esercitabili dalla persona coinvolta o dalla persona menzionata nella segnalazione, per il tempo e nei limiti in cui ciò costituisca una misura necessaria e proporzionata, ai sensi dell’art. 2- undecies del Codice Privacy in quanto dall’esercizio di tali diritti potrebbe derivare un pregiudizio effettivo e concreto alla tutela della riservatezza dell’identità della persona segnalante.
- Il Titolare del trattamento è Dedem S.p.A. Via Cancelliera, 59 - 00072 Ariccia (RM), Tel. 06/930261, E-mail info@dedem.it. E’ possibile rivolgersi al Responsabile della protezione dei dati per avere informazioni e segnalare eventuali disguidi e problemi. I dati di contatto del Responsabile della protezione dati sono e-mail dpo@dedem.it.
Il Titolare ha istituito l’Organismo di Vigilanza, nominato ai sensi dell’art. 6, punto 1, lett. b) del d.lgs. n. 231/2001, dotato di autonomi poteri d’iniziativa e controllo, che è anche l’owner del processo di gestione delle segnalazioni disciplinato dalla Procedura Whistleblowing, con sede presso la sede legale della Società, i cui membri sono stati nominati persone autorizzate al trattamento dei dati personali e che hanno ricevuto, al riguardo, adeguate istruzioni operative.
Al fine di dare seguito alle Segnalazioni, l’Organismo di Vigilanza si avvale del supporto del personale della Funzione Audit di TIM, nominato persona autorizzata al trattamento dei dati personali e che ha ricevuto, al riguardo, adeguate istruzioni operative.
Ariccia, 10 luglio 2023
