ATTO DI INFORMAZIONE EX ART. 13 DEL REGOLAMENTO UE N. 2016/679
– WHISTLEBLOWING –
MONTECATINI PARCHEGGI & SERVIZI S.p.A., (C. f.: 01472990470) (infra “MONTECATINI PARCHEGGI”), in persona del suo legale rappresentante pro tempore, con sede legale in Montecatini Terme, via Toti, 10/14, in qualità di Titolare del trattamento ex artt. 4 n. 7) e 24 del Regolamento UE n. 2016/679 (GDPR), ti informa, ai sensi dell’art. 13 del GDPR, che le tue informazioni personali descritte all’art. 1 saranno trattate, da parte di MONTECATINI PARCHEGGI, per l’esecuzione della (macro) finalità di cui all’art. 2.
1. Categoria dei dati personali oggetto di trattamento.
1.1. MONTECATINI PARCHEGGI raccoglie e tratta, al fine di perseguire la (macro) finalità di trattamento descritta all’art. 2, soltanto quelle informazioni necessarie, indispensabili e rilevanti al fine di valutare e gestire, in modo compiuto ed efficace, una segnalazione[1] di una circostanziata[2] (presunta) violazione/condotta illecita[3] ex artt. 1 comma 1) e 2 comma 1) del D. Lgs. n. 24 del 10.3.2023[4], fatta eccezione delle segnalazioni/contestazioni ex art. 1 comma 2)[5] del D. Lgs. n. 24/2023 (infra “segnalazione” e/o “whistleblowing”).
Nello specifico, MONTECATINI PARCHEGGI precisa che la segnalazione è potenzialmente idonea a contenere, per natura, i dati personali ex art. 4 n. 1) del GDPR del “segnalante/whistleblower”[6] (a meno che la stessa venga effettuata in modalità anonima, nel rispetto dei provvedimenti di cd. soft law in materia), del “segnalato/persona coinvolta”[7] e, in via eventuale, di ulteriori “soggetti terzi” (es. “facilitatore”[8]; testimone; collega di lavoro del segnalante/segnalato), nonché può racchiudere i dati personali cd. particolari ex art. 9 paragrafo 1) del GDPR e/o i dati personali cd. giudiziari ex art. 10 del GDPR riferibili, direttamente o indirettamente, ad uno o più dei descritti soggetti: a tal riguardo, MONTECATINI PARCHEGGI evidenzia, ulteriormente, che tratterà solo quelle informazioni, contenute nella segnalazione, indispensabili ai fini dell’esecuzione della (macro) finalità di cui all’art. 2, provvedendo, pertanto, a cancellare e/o anonimizzare prontamente quelle informazioni a tal fine eccedenti e non necessarie, nel rispetto del principio di minimizzazione/di pertinenza/non eccedenza/indispensabilità ex art. 5 paragrafo 1) lettera c) del GDPR e art. 13 comma 2) del D. Lgs. n. 24/2023 (infra, per semplicità, solo “dati personali”).
In merito, MONTECATINI PARCHEGGI precisa, altresì, che il “segnalante/whistleblower”, il “segnalato/persona coinvolta” e/o il “soggetto/i terzo/i” rivestono, in modo singolare, la qualifica di soggetto interessato ex art. 4 n. 1) del GDPR.
2. Finalità del trattamento e base giuridica.
2.1. I dati personali del soggetto interessato sono trattati, da parte dell’MONTECATINI PARCHEGGI, per l’esecuzione della seguente (macro) finalità di trattamento:
- Ricezione, analisi, valutazione, verifica e gestione di una segnalazione, ivi incluse le conseguenti ed eventuali attività istruttorie/di accertamento e di protezione[9], ivi incluso l’eventuale esercizio del sistema disciplinare, nonché l’eventuale esercizio, tutela o difesa di un diritto, anche in sede giudiziale.
A tal riguardo, MONTECATINI PARCHEGGI precisa che la base giuridica della (macro) finalità di trattamento di cui all’art. 2.1. lettera a) si rinviene nelle seguenti disposizioni normative, oltre al citato D. Lgs. n. 24/2023: art. 6 paragrafo 1) lettera c) del GDPR, per i dati personali[10]; art. 9 paragrafo 2) lettera f) del GDPR, per gli eventuali dati personali cd. particolari; art. 10 del GDPR (da leggersi, assieme, all’art. 2 octies commi 1) e 3) lettera e) del novellato Codice Privacy), per i dati personali cd. giudiziari).
In relazione all’attività di analisi, valutazione, verifica e gestione di una segnalazione (ivi incluse le conseguenti ed eventuali attività istruttorie), MONTECATINI PARCHEGGI precisa che rispetterà, inter alia, le tutele di riservatezza previste dagli artt. 3 commi 4) e 5), e 12[11] del D. Lgs. n. 24/2023, nonché le misure di protezione di cui al relativo capo III).
3. Periodo di conservazione.
3.1. In ossequio all’art. 13 paragrafo 2) lettera a) del GDPR, MONTECATINI PARCHEGGI comunica i seguenti periodi/criteri di conservazione (tra loro alternativi, a seconda delle circostanze del caso), al termine del quale i dati personali, trattati per l’esecuzione della (macro) finalità di trattamento di cui all’art. 2.1. lettera a), del relativo soggetto interessato saranno soggetti a cancellazione, distruzione ovvero anonimizzazione: (i) di norma, non oltre il termine di n. 5 anni, a decorrere dalla data della comunicazione dell’esito finale della procedura di segnalazione, nel rispetto dell’art. 14 comma 1) del D. Lgs. n. 24/2023; (ii) invece, nel caso in cui alla segnalazione segua un’azione giudiziaria e/o disciplinare nei confronti del segnalante e/o del segnalato, sino alla conclusione del relativo procedimento e allo spirare dei relativi termini di una eventuale impugnazione, criterio temporale eventualmente prorogabile ai fine di rispettare un onere normativo (anche sopraggiunto) ovvero per far valere o difendere un diritto, anche in sede giudiziale.
4. Destinatari.
4.1. Nel rispetto dell’art. 13 paragrafo 1) lettera a) del GDPR, MONTECATINI PARCHEGGI precisa che i dati personali del relativo soggetto interessato possono essere oggetto di comunicazione, ove opportuno e necessario, a uno o più destinatari ex art. 4 n. 9) del GDPR, così individuati, in via generale, per categoria: (i) per l’esecuzione della (macro) finalità di trattamento di cui all’art. 2.1. lettera a): soggetti autorizzati ex artt. 4 n. 10), 29 e 32 paragrafo 4) del GDPR al trattamento da parte di MONTECATINI PARCHEGGI (in primis, Responsabile della prevenzione, della corruzione e della trasparenza, nel rispetto dell’art. 4 comma 5) del D. Lgs. n. 24/2023); ANAC; autorità giudiziaria ordinaria/contabile; consulenti o imprese di varia natura che forniscono, comunque, servizi e/o prestazioni, anche professionali, connesse, anche in via indiretta, all’espletamento della (macro) finalità di trattamento in questione (es. società IT; consulente legale), all’Organismo di Vigilanza designato ai sensi del D.Lgs 231/2001.
MONTECATINI PARCHEGGI precisa, altresì, che i dati personali del relativo soggetto interessato non saranno oggetto di alcuna diffusione ex art. 2 ter comma 4) lettera b) del Codice Privacy, ai fini dell’esecuzione della (macro) finalità di trattamento di cui all’art. 2.1. lettera a).
5. Trasferimento.
5.1. I dati personali del relativo soggetto interessato sono conservati all’interno di archivi automatizzati, parzialmente automatizzati e/o non automatizzati appartenenti o comunque riconducibili, anche in via indiretta, a MONTECATINI PARCHEGGI, ed ubicati all’interno dello Spazio Economico Europeo (SEE).
6. Diritti del soggetto interessato.
6.1. In relazione ai dati personali del relativo soggetto interessato, MONTECATINI PARCHEGGI informa il soggetto interessato della facoltà di esercitare i seguenti diritti eventualmente soggetti alle limitazioni previste dagli artt. 2 undecies (in particolare: comma 1) lettere e) ed f); comma 3)[12] del Codice Privacy e art. 2 duodecies del Codice Privacy: diritto di accesso ex art. 15 del GDPR: diritto di ottenere la conferma che sia o meno in corso un trattamento di dati personali, oltre che le informazioni di cui all’art. 15 del GDPR (es. finalità di trattamento, periodo di conservazione); diritto di rettifica ex art. 16 del GDPR: diritto di correggere, aggiornare o integrare i dati personali; diritto alla cancellazione ex art. 17 del GDPR: diritto di ottenere la cancellazione o distruzione o anonimizzazione dei dati personali, laddove tuttavia ricorrano i presupposti elencati nel medesimo articolo; diritto di limitazione del trattamento ex art. 18 del GDPR: diritto con connotazione marcatamente cautelare, teso ad ottenere la limitazione del trattamento laddove sussistano le ipotesi disciplinate dallo stesso art. 18; diritto alla portabilità dei dati ex art. 20 del GDPR: diritto di ottenere i dati personali, forniti a MONTECATINI PARCHEGGI, in un formato strutturato, di uso comune e leggibile da un sistema automatico (e, ove richiesto, di trasmetterli, in modo diretto, ad un altro Titolare del trattamento), laddove sussistano le specifiche condizioni indicate dal medesimo articolo (es. base giuridica del consenso e/o esecuzione di un contratto; dati personali forniti dall’interessato); diritto di opposizione ex art. 21 del GDPR: diritto di ottenere la cessazione, in via permanente, di un determinato trattamento di dati personali; diritto di proporre reclamo all’Autorità di Controllo (ossia, Garante Privacy italiano) ex art. 77 del GDPR: diritto di proporre reclamo laddove si ritiene che il trattamento oggetto d’analisi violi la normativa nazionale e comunitaria sulla protezione dei dati personali.
6.2. In aggiunta ai diritti descritti al precedente art. 6.1., MONTECATINI PARCHEGGI precisa che, in relazione ai dati personali del relativo soggetto interessato, sussiste, ove possibile e conferente, la facoltà di esercitare, da un lato, il (sotto) diritto previsto dall’art. 19 del GDPR (“Il titolare del trattamento comunica a ciascuno dei destinatari cui sono stati trasmessi i dati personali le eventuali rettifiche o cancellazioni o limitazioni del trattamento effettuate a norma dell’articolo 16, dell’articolo 17, paragrafo 1, e dell’articolo 18, salvo che ciò si riveli impossibile o implichi uno sforzo sproporzionato. Il titolare del trattamento comunica all’interessato tali destinatari qualora l’interessato lo richieda”), da considerarsi connesso e collegato all’esercizio di uno o più diritti regolamentati agli artt. 16, 17 e 18 del GDPR; dall’altro lato, MONTECATINI PARCHEGGI precisa che, in relazione ai dati personali del relativo soggetto interessato, sussiste, ove possibile e conferente, la facoltà di esercitare il diritto previsto dall’art. 22 paragrafo 1) del GDPR (“L’interessato ha il diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici che lo riguardano o che incida in modo analogo significativamente sulla sua persona”), fatte salve le eccezioni previste dal successivo paragrafo 2).
6.3. In ossequio all’art. 12 paragrafo 1) del GDPR, MONTECATINI PARCHEGGI si impegna a fornire le comunicazioni di cui agli artt. da 15 a 22 e 34 del GDPR in forma concisa, trasparente, intellegibile, facilmente accessibile e con un linguaggio semplice e chiaro: tali informazioni saranno fornite per iscritto o con altri mezzi eventualmente elettronici ovvero, su richiesta del soggetto interessato, saranno fornite oralmente purché sia comprovata, con altri mezzi, l’identità di quest’ultimo.
6.4. In ossequio all’art. 12 paragrafo 3) del GDPR, MONTECATINI PARCHEGGI informa che si impegna a fornire le informazioni relative all’azione intrapresa riguardo ad una richiesta ai sensi degli artt. da 15 a 22 del GDPR senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della richiesta stessa; tale termine può essere prorogato di n. 2 mesi se necessario, tenuto conto della complessità e del numero delle richieste (in tal caso, MONTECATINI PARCHEGGI si impegna ad informare di tale proroga e dei motivi del ritardo, entro un mese dal ricevimento della richiesta).
6.5. I sopra descritti diritti (fatta eccezione per il diritto ex art. 77 del GDPR) possono essere esercitati, tenuto tuttavia conto delle limitazioni meglio descritte al precedente artt. 6.1. e 6.2., mediante i dati di contatto illustrati al successivo art. 7.
7. Dati di contatto.
7.1. MONTECATINI PARCHEGGI può essere contattat al seguente recapito: info@montecatiniparcheggi.com
7.2. Il Responsabile della protezione dei dati (RPD/DPO) ex art. 37 del GDPR, nominato da MONTECATINI PARCHEGGI, è l’avv. Gabriele Borghi, il quale può essere contattato al seguente recapito: dpo@montecatiniparcheggi.com
Montecatini Terme, lì 10.5.2023 (data di ultimo aggiornamento).
MONTECATINI PARCHEGGI & SERVIZI S.p.A.
(in persona del suo legale rappresentante pro tempore)
[1] Cfr. art. 2 comma 1) lettera c) del D. Lgs. n. 24/2023: “segnalazione” o “segnalare”: “la comunicazione scritta od orale di informazioni sulle violazioni”. Cfr. anche: art. 2 comma 1) lettera d) del D. Lgs. n. 24/2023: “segnalazione interna”: “la comunicazione, scritta od orale, delle informazioni sulle violazioni, presentata tramite il canale di segnalazione interna di cui all’articolo 4”; art. 2 comma 1) lettera e) del D. Lgs. n. 24/2023: “segnalazione esterna”: “la comunicazione, scritta od orale, delle informazioni sulle violazioni, presentata tramite il canale di segnalazione esterna di cui all’articolo 7”; art. 2 comma 1) lettera f) del D. Lgs. n. 24/2023: “divulgazione pubblica” o “divulgare pubblicamente”: “rendere di pubblico dominio informazioni sulle violazioni tramite la stampa o mezzi elettronici o comunque tramite mezzi di diffusione in grado di raggiungere un numero elevato di persone”.
[2] Cfr. art. 2 comma 1) lettera b) del D. Lgs. n. 23/2023: “informazioni sulle violazioni”: “informazioni, compresi i fondati sospetti, riguardanti violazioni commesse o che, sulla base degli elementi concreti, potrebbero essere commesse nell’organizzazione con cui la persona segnalante o colui che sporge denuncia all’autorità giudiziaria o contabile intrattiene un rapporto giuridico ai sensi dell’articolo 3, comma 1 o 2, nonché gli elementi riguardanti condotte volte ad occultare tali informazioni”. Anche solo in via analogica, cfr. il documento “Linee guida in materia di tutela degli autori di segnalazioni di reati o irregolarità di cui siano venuti a conoscenza in ragione di un rapporto di lavoro, ai sensi dell’art. 54-bis, del d.lgs. 165/2001 (cd. whistleblowing)” a firma dell’Autorità Nazionale Anticorruzione (ANAC), paragrafo 2.3.: “E’ necessario che la segnalazione sia il più possibile circostanziata […]. In particolare, è necessario risultino chiare: le circostanze di tempo e di luogo in cui si è verificato il fatto oggetto della segnalazione; la descrizione del fatto; le generalità o altri elementi che consentano di identificare il soggetto cui attribuire i fatti segnalati. È utile anche allegare documenti che possano fornire elementi di fondatezza dei fatti oggetto di segnalazione, nonché l’indicazione di altri soggetti potenzialmente a conoscenza dei fatti. Cfr., altresì, sul punto, in via analogica, il documento “La disciplina in materia di whistleblowing. Nota illustrativa”, Confindustria, gennaio 2018: “Tali denunce, inoltre, devono essere circostanziate e fondate su elementi di fatto precisi e concordanti, così da non disperdere l’efficacia della nuova misura e agevolare, invece, l’emersione di condotte che con molta probabilità risulteranno illecite”. Cfr. infine, sul punto in via analogica, il documento “Il whistleblowing” a firma dell’Associazione dei Componenti degli Organismi di Vigilanza ex D. Lgs. n. 231/2001 (AODV), 18.7.2019: “…le segnalazioni possono essere fatte solo agendo in buona fede e che, pertanto, non sono considerate meritevoli di tutela le segnalazioni fondate su meri sospetti o voci. Sul punto si ritiene condivisibile il criterio indicato dalle Linee guida ANAC per qualificare la segnalazione in base al quale non è “necessario che il dipendente sia certo dell’effettivo avvenimento dei fatti denunciati e dell’autore degli stessi. Si ritiene, invece, sufficiente che il dipendente, in base alle proprie conoscenze, ritenga altamente probabile l’essersi verificato un fatto illecito nel senso sopra indicato”.
[3] Cfr. art. 2 comma 1) lettera a) del D. Lgs. n. 24/2023: “violazioni”: “comportamenti, atti od omissioni che ledono l’interesse pubblico o l’integrità dell’amministrazione pubblica […] e che consistono in: 1) illeciti amministrativi, contabili, civili o penali che non rientrano nei numeri 3), 4), 5) e 6); 2) condotte illecite rilevanti ai sensi del decreto legislativo 8 giugno 2001, n. 231, o violazioni dei modelli di organizzazione e gestione ivi previsti, che non rientrano nei numeri 3), 4), 5) e 6); 3) illeciti che rientrano nell’ambito di applicazione degli atti dell’Unione europea o nazionali indicati nell’allegato al presente decreto ovvero degli atti nazionali che costituiscono attuazione degli atti dell’Unione europea indicati nell’allegato al presente decreto, relativi ai seguenti settori: appalti pubblici; servizi, prodotti e mercati finanziari e prevenzione del riciclaggio e del finanziamento del terrorismo; sicurezza e conformità dei prodotti; sicurezza dei trasporti; tutela dell’ambiente; radioprotezione e sicurezza nucleare; sicurezza degli alimenti e dei mangimi e salute e benessere degli animali; salute pubblica; protezione dei consumatori; tutela della vita privata e protezione dei dati personali e sicurezza delle reti e dei sistemi informativi; 4) atti od omissioni che ledono gli interessi finanziari dell’Unione di cui all’articolo 325 del Trattato sul funzionamento dell’Unione europea specificati nel diritto derivato pertinenti dell’Unione europea; 5) atti od omissioni riguardanti il mercato interno, di cui all’articolo 26, paragrafo 2, del Trattato sul funzionamento dell’Unione europea, comprese le violazioni delle norme dell’Unione europea in materia di concorrenza e di aiuti di Stato, nonché le violazioni riguardanti il mercato interno connesse ad atti che violano le norme in materia di imposta sulle società o i meccanismi il cui fine è ottenere un vantaggio fiscale che vanifica l’oggetto o la finalità della normativa applicabile in materia di imposta sulle società; 6) atti o comportamenti che vanificano l’oggetto o la finalità delle disposizioni di cui agli atti dell’Unione nei settori indicati nei numeri 3), 4) e 5)”. Cfr., anche, art. 3 comma 1) del D. Lgs. n. 24/2023: “1. Per i soggetti del settore pubblico, le disposizioni del presente decreto si applicano alle persone di cui ai commi 3 o 4 che effettuano segnalazioni interne o esterne, divulgazioni pubbliche o denunce all’autorità giudiziaria o contabile delle informazioni sulle violazioni di cui all’articolo 2, comma 1), lettera a)”.
[4] Intitolato: “Attuazione della direttiva (UE) 2019/1937 del Parlamento europeo e del Consiglio, del 23 ottobre 2019, riguardante la protezione delle persone che segnalano violazioni del diritto dell’Unione e recante disposizioni riguardanti la protezione delle persone che segnalano violazioni delle disposizioni normative nazionali”.
[5] Art. 1 comma 2) del D. Lgs. n. 24/2023: “Le disposizioni del presente decreto non si applicano: a) alle contestazioni, rivendicazioni o richieste legate ad un interesse di carattere personale della persona segnalante o della persona che ha sporto una denuncia all’autorità giudiziaria o contabile che attengono esclusivamente ai propri rapporti individuali di lavoro o di impiego pubblico, ovvero inerenti ai propri rapporti di lavoro o di impiego pubblico con le figure gerarchicamente sovraordinate; b) alle segnalazioni di violazioni laddove già disciplinate in via obbligatoria dagli atti dell’Unione europea o nazionali indicati nella parte II dell’allegato al presente decreto ovvero da quelli nazionali che costituiscono attuazione degli atti dell’Unione europea indicati nella parte II dell’allegato alla direttiva (UE) 2019/1937, seppur non indicati nella parte II dell’allegato al presente decreto; c) alle segnalazioni di violazioni in materia di sicurezza nazionale, nonché di appalti relativi ad aspetti di difesa o di sicurezza nazionale, a meno che tali aspetti rientrino nel diritto derivato pertinente dell’Unione europea”.
[6] Cfr. art. 2 comma 1) lettera g) del D. Lgs. n. 24/2023: “persona segnalante”: “la persona fisica che effettua la segnalazione o la divulgazione pubblica di informazioni sulle violazioni acquisite nell’ambito del proprio contesto lavorativo”. Per la definizione di “contesto lavorativo”, cfr. art. 2 comma 1) lettera i) del D. Lgs. n. 24/2023: “contesto lavorativo”: “le attività lavorative o professionali, presenti o passate, svolte nell’ambito dei rapporti di cui all’articolo 3, commi 3 o 4, attraverso le quali, indipendentemente dalla natura di tali attività, una persona acquisisce informazioni sulle violazioni e nel cui ambito potrebbe rischiare di subire ritorsioni in caso di segnalazione o di divulgazione pubblica o di denuncia all’autorità giudiziaria o contabile”. Cfr., anche, art. 3 comma 3) del D. Lgs. n. 24/2023: “3. Salvo quanto previsto nei commi 1 e 2, le disposizioni del presente decreto si applicano alle seguenti persone che segnalano, denunciano all’autorità giudiziaria o contabile o divulgano pubblicamente informazioni sulle violazioni di cui sono venute a conoscenza nell’ambito del proprio contesto lavorativo: a) i dipendenti delle amministrazioni pubbliche […]; b) i dipendenti degli enti pubblici economici, degli enti di diritto privato sottoposti a controllo pubblico ai sensi dell’articolo 2359 del codice civile, delle società in house, degli organismi di diritto pubblico o dei concessionari di pubblico servizio; c) i lavoratori subordinati di soggetti del settore privato, ivi compresi i lavoratori il cui rapporto di lavoro è disciplinato dal decreto legislativo 15 giugno 2015, n. 81, o dall’articolo 54-bis del decreto legge 24 aprile 2017, n. 50, convertito, con modificazioni, dalla legge 21 giugno 2017, n.96; d) i lavoratori autonomi […] i titolari di un rapporto di collaborazione […] che svolgono la propria attività lavorativa presso soggetti del settore pubblico; e) i lavoratori o i collaboratori, che svolgono la propria attività lavorativa presso soggetti del settore pubblico […] che forniscono beni o servizi o che realizzano opere in favore di terzi; f) i liberi professionisti e i consulenti che prestano la propria attività presso soggetti del settore pubblico; g) i volontari e i tirocinanti, retribuiti e non retribuiti, che forniscono la propria attività presso soggetti del settore pubblico; h) gli azionisti e le persone con funzioni di amministrazione, direzione, controllo, vigilanza o rappresentanza, anche qualora tali funzioni siano esercitate in via di mero fatto, presso soggetti del settore pubblico”.
[7] Cfr. art. 2 comma 1) lettera l) del D. Lgs. n. 24/2023: “persona coinvolta”: “la persona fisica o giuridica menzionata nella segnalazione interna o esterna ovvero nella divulgazione pubblica come persona alla quale la violazione è attribuita o come persona comunque implicata nella violazione segnalata o divulgata pubblicamente”.
[8] Cfr. art. 2 comma 1) lettera h) del D. Lgs. n. 24/2023: “facilitatore”: “una persona fisica che assiste una persona segnalante nel processo di segnalazione, operante all’interno del medesimo contesto lavorativo e la cui assistenza deve essere mantenuta riservata”.
[9] Cfr. Capo III) del D. Lgs. n. 24/2023 (da leggersi, in combinato disposto, con i relativi artt. 3 comma 5) e 12).
[10] Ed art. 6 paragrafo 1) lettera a) del GDPR, al ricorrere delle ipotesi ex art. 12 commi 2) e 5) del D. Lgs. n. 24/2023.
[11] “1. Le segnalazioni non possono essere utilizzate oltre quanto necessario per dare adeguato seguito alle stesse. 2. L’identità della persona segnalante e qualsiasi altra informazione da cui può evincersi, direttamente o indirettamente, tale identità non possono essere rivelate, senza il consenso espresso della stessa persona segnalante, a persone diverse da quelle competenti a ricevere o a dare seguito alle segnalazioni, espressamente autorizzate a trattare tali dati ai sensi degli articoli 29 e 32, paragrafo 4, del regolamento (UE) 2016/679 e dell’articolo 2 quaterdecies del codice in materia di protezione dei dati personali di cui al decreto legislativo 30 giugno 2003, n. 196. 3. Nell’ambito del procedimento penale, l’identità della persona segnalante è coperta dal segreto nei modi e nei limiti previsti dall’articolo 329 del codice di procedura penale. 4. Nell’ambito del procedimento dinanzi alla Corte dei conti, l’identità della persona segnalante non può essere rivelata fino alla chiusura della fase istruttoria. 5. Nell’ambito del procedimento disciplinare, l’identità della persona segnalante non può essere rivelata, ove la contestazione dell’addebito disciplinare sia fondata su accertamenti distinti e ulteriori rispetto alla segnalazione, anche se conseguenti alla stessa. Qualora la contestazione sia fondata, in tutto o in parte, sulla segnalazione e la conoscenza dell’identità della persona segnalante sia indispensabile per la difesa dell’incolpato, la segnalazione sarà utilizzabile ai fini del procedimento disciplinare solo in presenza del consenso espresso della persona segnalante alla rivelazione della propria identità. 6. È dato avviso alla persona segnalante mediante comunicazione scritta delle ragioni della rivelazione dei dati riservati, nella ipotesi di cui al comma 5, secondo periodo, nonché nelle procedure di segnalazione interna ed esterna di cui al presente capo quando la rivelazione della identità della persona segnalante e delle informazioni di cui al comma 2 è indispensabile anche ai fini della difesa della persona coinvolta. 7. I soggetti del settore pubblico e del settore privato, l’ANAC, nonché le autorità amministrative di cui l’ANAC trasmette le segnalazioni esterne di loro competenza, tutela l’identità delle persone coinvolte e delle persone menzionate nella segnalazione fino alla conclusione dei procedimenti avviati in ragione della segnalazione nel rispetto delle medesime garanzie previste in favore della persona segnalante. 8. La segnalazione è sottratta all’accesso previsto dagli articoli 22 e seguenti della legge 7 agosto 1990, n. 241, nonché dagli articoli 5 e seguenti del decreto legislativo 14 marzo 2013, n. 33. 9. Ferma la previsione dei commi da 1 a 8, nelle procedure di segnalazione interna ed esterna di cui al presente capo, la persona coinvolta può essere sentita, ovvero, su sua richiesta, è sentita, anche mediante procedimento cartolare attraverso l’acquisizione di osservazioni scritte e documenti”.
[12] Art. 2 undecies comma 3) del Codice Privacy: “Nei casi di cui al comma 1, lettere a), b), d), e), f) e f-bis) i diritti di cui al medesimo comma sono esercitati conformemente alle disposizioni di legge o di regolamento che regolano il settore, che devono almeno recare misure dirette a disciplinare gli ambiti di cui all’articolo 23, paragrafo 2, del Regolamento. L’esercizio dei medesimi diritti può, in ogni caso, essere ritardato, limitato o escluso con comunicazione motivata e resa senza ritardo all’interessato, a meno che la comunicazione possa compromettere la finalità della limitazione, per il tempo e nei limiti in cui ciò costituisca una misura necessaria e proporzionata, tenuto conto dei diritti fondamentali e dei legittimi interessi dell’interessato, al fine di salvaguardare gli interessi di cui al comma 1, lettere a), b), d), e), f) e f-bis). In tali casi, i diritti dell’interessato possono essere esercitati anche tramite il Garante con le modalità di cui all’articolo 160. In tale ipotesi, il Garante informa l’interessato di aver eseguito tutte le verifiche necessarie o di aver svolto un riesame, nonché del diritto dell’interessato di proporre ricorso giurisdizionale. Il titolare del trattamento informa l’interessato delle facoltà di cui al presente comma”.
