Privacy Policy

Informativa sul trattamento dei dati personali

Premessa

La REA Ricerca Energia e Ambiente S.R.L. con sede legale Firenze in Via F. Baracca n.1/F, C.F. e P.IVA 01923240467 (“Società”), ha predisposto la presente informativa sul trattamento dei dati personali (“informativa”) ai sensi degli artt. 13 e 14 del Regolamento (UE) 679/2016 (“GDPR”), in conseguenza dell’adeguamento agli obblighi derivanti dal decreto legislativo 10 marzo 2023, n. 24, di attuazione della direttiva (UE) 2019/1937 del Parlamento europeo e del Consiglio, del 23 ottobre 2019 (“direttiva whistleblowing”), riguardante la protezione delle persone che segnalano violazioni del diritto dell’Unione e recante disposizioni riguardanti la protezione delle persone che segnalano violazioni delle disposizioni normative nazionali (“decreto whistleblowing”).

L’informativa è conforme alla raccomandazione n. 2/2001 che le Autorità Europee per la Protezione dei Dati Personali, riunite nel Gruppo istituito dall’art. 29 della direttiva 95/46/CE, hanno adottato il 17 maggio 2001 per individuare alcuni requisiti minimi per la raccolta di dati personali online e, in particolare, le modalità, i tempi e la natura delle informazioni che i titolari del trattamento devono fornire agli utenti quando questi si collegano a pagine web.

 

Scopo dell’informativa

L’informativa descrive le modalità attraverso le quali la Società tratta i dati personali acquisiti durante il processo di segnalazione di un atto, fatto o comportamento compresi nel perimetro applicativo del decreto whistleblowing (“segnalazione” o, al plurale, “segnalazioni”).

Il processo, in sintesi, è avviato dalla segnalazione, prosegue – previa verifica della sua ammissibilità – con l’istruttoria e si conclude, ove la segnalazione sia ritenuta fondata, con la trasmissione, da parte del responsabile della gestione dei canali di segnalazione (“Gestore”) di una relazione conclusiva all’organo competente all’adozione di eventuali provvedimenti, individuato dalla specifica procedura adottata dalla Società (“procedura whistleblowing”).

La Società ha previsto che le segnalazioni – in forma scritta od orale – siano inviate attraverso una piattaforma informatica (“piattaforma informatica”), che garantisce, attraverso il ricorso a strumenti di crittografia, la riservatezza della persona coinvolta e della persona comunque menzionata nella segnalazione, nonché del contenuto della segnalazione e della relativa documentazione. Attraverso lo stesso mezzo il segnalante può richiedere al Gestore un incontro diretto per formalizzare oralmente la segnalazione.

I dati personali trattati sono quelli inseriti dagli utenti che si collegano alla piattaforma informatica, ovvero quelli di coloro che effettuano una segnalazione in forma orale, nonché quelli dei soggetti coinvolti nella gestione della segnalazione.

 

Chi è il titolare del trattamento?

Il Titolare del trattamento è la REA Ricerca Energia e Ambiente S.R.L. con sede legale Firenze in Via F. Baracca n.1/F, C.F. e P.IVA 01923240467 (“Società).

 

 

Quali sono i soggetti interessati al trattamento?

I soggetti interessati al trattamento sono quelli coinvolti nel processo di segnalazione regolamentato dalla Procedura whistleblowing in conformità al decreto whistleblowing, ovverosia:

1. i lavoratori subordinati, ivi compresi quelli titolari di rapporti di collaborazione che si concretano in prestazioni di lavoro prevalentemente personali, continuative e le cui modalità di esecuzione siano organizzate dal committente, e i prestatori di lavoro occasionali;
2. i lavoratori autonomi e para-subordinati;
3. i lavoratori o collaboratori, che forniscono beni o servizi o che realizzano opere in favore di terzi;
4. i liberi professionisti e i consulenti;
5. i volontari e i tirocinanti, retribuiti e non retribuiti;
6. gli azionisti e le persone con funzione di amministrazione, direzione, controllo, vigilanza o rappresentanza, anche qualora tali funzioni siano esercitate in via di mero fatto;
7. i facilitatori, ovverosia alle persone fisiche che assistono una persona segnalante nel processo di segnalazione, operanti all’interno del medesimo contesto lavorativo e la cui assistenza debba essere mantenuta riservata;
8. le persone del medesimo contesto lavorativo della persona segnalante, di colui che ha sporto una denuncia all’autorità giudiziaria o contabile o di colui che ha effettuato una divulgazione pubblica e che sono legate ad essi da uno stabile legame affettivo o di parentela entro il quarto grado;
9. i colleghi di lavoro della persona segnalante o della persona che ha sporto una denuncia all’autorità giudiziaria o contabile o effettuato una divulgazione pubblica, che lavorano nel medesimo contesto lavorativo della stessa e che hanno con detta persona un rapporto abituale e corrente;
10. gli enti di proprietà della persona segnalante o della persona che ha sporto una denuncia all’autorità giudiziaria o contabile o che ha effettuato una divulgazione pubblica o per i quali le stesse persone lavorano, nonché agli enti che operano nel medesimo contesto lavorativo delle predette persone.
11. la persona coinvolta, cioè il soggetto menzionato dalla segnalazione a cui è attribuita la violazione;
12. i soggetti menzionati nella segnalazione;
13. ogni altro soggetto i cui dati personali sino necessari per la gestione della segnalazione.

 

 

Quali dati personali sono trattati?

A seconda dell’oggetto e del contenuto della segnalazione e degli eventuali allegati, e delle necessità conseguenti alla sua gestione, il titolare può trattare sia i dati comuni (ad esempio dati identificativi, mansione svolta, di natura professionale, oppure dati di contatto, di natura professionale o corrispondenti ad altri elementi di identificazione personale conferiti dal segnalante riguardo lui stesso o relativi a terzi) che quelli di natura particolare (art. 9 GDPR) e/o relativi a condanne penali e reati (art. 10 GDPR) dei soggetti indicati al precedente paragrafo.

Nell’ambito della gestione della segnalazione, la Società potrebbe trattare alcune categorie particolari di dati personali forniti sulla piattaforma informatica, ossia – a titolo meramente esemplificativo – dati che rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l’appartenenza sindacale, nonché dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all’orientamento sessuale della persona.

 

Per quale finalità sono raccolti i dati?

I dati personali forniti dal segnalante sono trattati per svolgere le necessarie attività istruttorie volte a verificare la fondatezza della segnalazione e consentire l’eventuale adozione dei conseguenti provvedimenti, ed in particolare per:

• la gestione della segnalazione ricevuta ed accertamento dei fatti oggetto della stessa;
• per la gestione dei procedimenti conseguenti alla segnalazione (ad esempio di natura disciplinare);
• la programmazione degli incontri con il Gestore;
• l’adempimento degli obblighi legali derivanti dal decreto whistleblowing;
• la comunicazione dei dati del segnalante nei casi in cui questi abbia acconsentito;
• l’accertamento, esercizio o difesa di un diritto nelle sedi competenti.

 

Quali sono le basi giuridiche del trattamento e le condizioni di esenzione?

Il trattamento dei dati personali può essere validamente effettato quando è presente una delle basi giuridiche previste dal GDPR.

Nello specifico, il trattamento dei dati personali comuni è fondato sull’art. 6, paragrafo 1, GDPR, ed in particolare sulle lettere:

• a (consenso),
• b (esecuzione di un contratto),
• c (adempimento di un obbligo legale cui è soggetto il titolare).

 

Il trattamento dei dati particolari (origine razziale o etnica, opinioni politiche, convinzioni religiose o filosofiche, appartenenza sindacale, dati genetici o biometrici, dati relativi alla salute, alla vita o all’orientamento sessuale) si basa sulle condizioni di esenzione previste dall’art. 9, paragrafo 2, GDPR, lettere:

• f (trattamento necessario per accertare, esercitare o difendere un diritto in sede giudiziaria o ogniqualvolta le autorità giurisdizionali esercitino le loro funzioni giurisdizionali) e
• g (trattamento necessario per l’assolvimento di un interesse pubblico rilevante secondo il diritto dell’Unione europea o dello Stato membro, interesse che l’art. 2-sexies, comma 2, lettera d, del Codice privacy individua nelle attività di accertamento della responsabilità civile, disciplinare e contabile e nelle attività ispettive).

 

FINALITA’ DEL TRATTAMENTO	BASE GIURIDICA
Gestione delle segnalazioni e accertamento dei fatti oggetto della segnalazione	Obbligo legale (decreto whistleblowing) art 6, par. 1, lett. c), GDPR art. 9, par. 2, lett. g) ed f) GDPR
Gestione di eventuali procedimenti disciplinari conseguenti	Esecuzione di un contratto art. 6, par. 1, lett. b), GDPR art. 9, par. 2, lett. g) ed f) GDPR
Esercizio in giudizio dei diritti della Società	Tutela di un diritto art. 9, par. 2, lett. g) ed f) GDPR
Utilizzo dell’identità del segnalante ai fini di un procedimento disciplinare che ne richiede la divulgazione	Consenso del segnalante art. 6, par. 1, lett. a), GDPR art. 9, par. 2, lett. g) ed f) GDPR

 

Il rilascio del consenso è facoltativo e specifico rispetto ai casi indicati nel decreto whistleblowing: pertanto la sua mancanza non pregiudica, a seconda della forma di segnalazione prescelta (scritta od orale), l’effettuazione della segnalazione.

L’interessato potrà, in ogni momento, revocare il consenso prestato comunicando la volontà al soggetto nominato Gestore della segnalazione, ferma restando la liceità del trattamento avvenuto sulla sua base fino al momento della revoca.

 

È obbligatorio conferire i dati? Quali sono le conseguenze di un eventuale rifiuto?

Poiché le sospette violazioni possono essere segnalate anche in forma anonima, i soggetti che le trasmettono non sono tenuti al rilascio dei propri dati identificativi.

L’indicazione dei dati personali degli altri soggetti coinvolti nella segnalazione (responsabile della violazione, persone informate sui fatti, ecc.), potrebbe essere necessaria al fine di poter dare diligente seguito e riscontro alla segnalazione, ed in mancanza l’istruttoria potrebbe non aver seguito.

Tali dati, sia di natura comune che particolare, saranno trattati conformemente ai principi del GDPR per poter verificare il contenuto della segnalazione.

 

Quali sono i casi in cui è richiesto il rilascio del consenso?

Il decreto whistleblowing richiede il consenso facoltativo del segnalante nei seguenti casi:

1. per comunicare i dati del segnalante a soggetti diversi dal Gestore e dall’organo della Società competente a ricevere la relazione all’esito dell’istruttoria, previa indicazione di valide ragioni;
2. nel procedimento disciplinare e nelle procedure di segnalazione interne o esterne, quando l’identità del segnalante sia indispensabile all’incolpato per difendersi;
3. per verbalizzare o registrare il contenuto della segnalazione esposta oralmente.

La revoca del consenso lascia impregiudicata la liceità del trattamento avvenuto sulla sua base fino al momento della revoca stessa.

 

Come sono trattati i dati personali?

I dati saranno trattati sia con strumenti informatici/elettronici (la piattaforma e i supporti di memorizzazione dei messaggi vocali e delle segnalazioni orali) che mediante supporti cartacei, nel rispetto dei principi di correttezza, liceità, trasparenza, pertinenza, completezza, esattezza e minimizzazione.

Al fine di garantirne la sicurezza, la riservatezza e ad evitare accessi non autorizzati, diffusione, modifiche e sottrazioni, sono utilizzate adeguate misure di sicurezza tecniche, fisiche ed organizzative.

I dati personali non saranno soggetti ad alcun processo decisionale interamente automatizzato, ivi compresa la profilazione.

 

Come sono protetti i dati?

Al fine di garantire un adeguato livello di protezione dei dati, minimizzando il rischio di un utilizzo improprio o illecito, sono state adottate misure tecniche ed organizzative di sicurezza che rispettano i parametri stabiliti dall’art. 32 del GDPR. In particolare, sono utilizzate misure e controlli tecnici e organizzativi commercialmente ragionevoli per proteggere le informazioni personali degli interessati da perdite, abusi e da accessi non autorizzati.

 

A chi vengono comunicati i dati?

I dati personali non sono oggetto di diffusione, ovverosia non vengono portati a conoscenza di soggetti indeterminati.

Alcuni dati potranno essere invece portati a conoscenza di uno o più soggetti determinati per le finalità sopra indicate ed in particolare a:

1. al Gestore nonché ai soggetti che, all’interno della sua organizzazione, sono stati indicati come responsabili del trattamento, sub responsabili del trattamento, designati e/o autorizzati;
2. agli organi della Società indicati nella Procedura whistleblowing come competenti a ricevere la relazione del Gestore all’esito dell’istruttoria effettuata;
3. ai soggetti che, agendo in qualità di responsabili del trattamento o amministratori di sistema, si occupano della manutenzione della struttura tecnologica della piattaforma, operano al fine di rendere effettiva l’erogazione del servizio, fornitori di servizi in outsourcing, professionisti e consulenti;
4. ai soggetti che possono accedere ai dati in forza di disposizione di legge, di regolamento o di normativa comunitaria, nei limiti previsti da tali norme;
5. ai soggetti ai quali vanno comunicati in base a specifiche disposizioni di legge.

 

I dati possono essere trasferiti fuori dallo Spazio Economico Europeo (SEE)?

La piattaforma informatica è ospitata su un server del provider di servizi di cloud computing ubicato in unione Europea. Alcuni dei dati personali potranno essere trasferiti a soggetti che si trovano al di fuori dello Spazio Economico Europeo. È pertanto possibile che le informazioni possano essere trasferite in un Paese non appartenente all’Unione Europea.

I fornitori di servizi sono stati nominati espressamente quali responsabili o sub responsabili del Trattamento dei dati personali, con obbligo di garantire il rispetto della normativa prevista dal GDPR (es. decisione di adeguatezza da parte della Commissione Europea o Standard Contract Clauses).

 

Per quanto tempo sono conservati i dati?

Le segnalazioni e la relativa documentazione sono conservate per il tempo necessario al trattamento della segnalazione e comunque non oltre cinque anni a decorrere dalla data della comunicazione dell’esito finale del procedimento di segnalazione, nel rispetto degli obblighi di riservatezza, sottoposti a esame periodico per verificarne la persistente necessità di conservazione e cancellati, o anonimizzati, una volta decorso tale termine.

La conservazione è finalizzata al solo scopo di consentire alla Società di difendersi (ad esempio da una denuncia di applicazione di misura ritorsiva) o per dare seguito all’eventuale richiesta di un’autorità legittimata ad ottenerli.

 

Quali sono i diritti riconosciuti e come possono essere esercitati?

Il GDPR prevede che l’interessato, in ogni momento ed in maniera gratuita, possa esercitare nei confronti del titolare del trattamento.

Il decreto whistleblowing prevede tuttavia che i diritti previsti dagli articoli da 15 a 22 del GDPR possono essere esercitati nei limiti di quanto previsto dall’art. 2-undecies del Codice privacy, ovvero nella misura in cui dalla richiesta o dal reclamo non derivi un pregiudizio effettivo e concreto alla riservatezza dell’identità della persona segnalante

I diritti esercitabili dall’interessato e riconosciuti, entro i limiti summenzionati, dall’ordinamento sono i seguenti:

1. diritto di accesso: l’interessato può ottenere la conferma dell’esistenza o meno di dati personali che lo riguardano ed essere informato in relazione alle operazioni di trattamento eseguite dai contitolari (art. 15 GDPR);
2. diritto di rettifica: l’interessato può richiedere che i propri dati personali siano rettificati laddove ritenga che non siano accurati o incompleti (art. 16 GDPR);
3. diritto alla cancellazione: l’interessato può ottenere la cancellazione dei propri dati, entro i limiti consentiti dalla legge (art. 17 GDPR);
4. diritto di Limitazione: l’interessato può ottenere la limitazione del trattamento dei propri dati personali (art. 18 GDPR);
5. diritto di notifica in caso di rettifica o cancellazione dei dati personali o limitazione del trattamento: l’interessato può chiedere di essere informato delle eventuali rettifiche o cancellazioni o limitazioni al trattamento relativamente ai dati personali che lo riguardano (art. 19 GDPR);
6. diritto alla portabilità: l’interessato, nei casi previsti dalla legge, può ottenere la restituzione dei dati che ha fornito, e ove fattibile tecnicamente, di ottenere il trasferimento verso una terza parte (art. 20 GDPR).
7. diritto di opposizione: l’interessato può opporsi in qualsiasi momento, per motivi connessi alla propria situazione particolare, al trattamento dei dati personali che lo riguardano (art. 21 GDPR).
8. diritto di revocare il consenso: l’interessato può in qualsiasi momento revocare il consenso eventualmente fornito in merito ad uno o più trattamenti.

Per l’esercizio dei diritti dovranno essere utilizzati i contatti privacy. Nel caso in cui l’interessato dovesse ritenere che il trattamento dei dati personali avvenga in violazione delle disposizioni normative ha facoltà di proporre reclamo all’Autorità Garante per la Protezione dei Dati Personali.

 

Come può contattarci?

Per qualunque domanda o questione relativa al trattamento dei dati personali o per l’esercizio dei diritti riconosciuti l’interessato potrà utilizzare i seguenti dati di contatto:

 

Posta ordinaria	Via F. Baracca n.1/F – Firenze, 50127
e-mail	amministrazione@rea-italia.it

 

 

Come gestiamo le modifiche apportate alla presente informativa?

La presente informativa potrà essere modificata e/o aggiornata in qualunque momento da parte della società.

Le eventuali modifiche e gli aggiornamenti saranno rese note agli interessati non appena adottate e saranno vincolanti non appena pubblicati sulla piattaforma di segnalazione e sul sito web. L’interessato è pregato di accedere con regolarità a questa sezione per verificare la pubblicazione della Informativa Privacy più recente ed aggiornata.