La normativa vigente impone agli enti pubblici e privati l’obbligo di creare procedure specifiche e canali dedicati che consentano di garantire la riservatezza di coloro che intendano segnalare violazioni di cui siano venuti a conoscenza nell’ambito del rapporto di lavoro (c.d. istituto del “Whistleblowing”).
Maggiore riservatezza, anche per i “whistleblowers”
Uno dei temi di maggiore impatto relativi alla disciplina del whistleblowing riguarda la gestione e la protezione dei dati personali.
La gestione della segnalazione implica il trattamento di dati personali, pertanto, il titolare del trattamento è tenuto a rispettare i principi di “liceità, correttezza e trasparenza” nonché di “minimizzazione”, in base ai quali i dati personali devono essere “trattati in modo lecito, corretto e trasparente nei confronti dell’interessato” e devono essere “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati”.
Soggetto legittimato per legge a trattare i dati personali del segnalante, c.d. Whistleblower, e a conoscerne l’identità è il Responsabile della Prevenzione della Corruzione e della Trasparenza (RPCT)
Onere del Titolare è garantire la riservatezza non solo dell’identità del segnalante ma anche di tutti gli elementi della segnalazione, inclusa la documentazione ad essa allegata, nella misura in cui il loro disvelamento consenta l’identificazione, anche indiretta, del segnalante.
Al fine di garantire la riservatezza del segnalante, è prevista la sottrazione della segnalazione e della documentazione ad essa allegata al diritto di accesso agli atti amministrativi ovvero il soggetto segnalato, con riferimento ai propri dati personali, non può esercitare i diritti previsti dagli articoli 15-22 Regolamento (UE) 2016/679. La ratio di ciò è ricercare nel pregiudizio che potrebbe subire il segnalante. Da rilevare, però, che l’anonimato del segnalante non ha carattere assoluto: nel caso di esigenze di difesa nell’ambito di un processo penale l’identità può essere rivelata ove la sua conoscenza sia assolutamente indispensabile per la difesa dell’incolpato.
Dal punto di vista operativo, al fine di tutelare la riservatezza del segnalante, è preferibile la gestione in via informatizzata delle segnalazioni. In questo caso l’applicativo utilizzato per acquisire e gestire le segnalazioni opera in qualità di “Responsabile del trattamento” ai sensi dell’art. 28 Regolamento (UE) 2016/679. Ma attenzione! Di recente, il Garante ha sanzionato un’azienda ospedaliera e la società informatica che gestiva il servizio per denunciare presunte attività corruttive o altri comportamenti illeciti all’interno dell’ente. L’accesso all’applicazione web di whistleblowing, basata su un software open source, avveniva attraverso sistemi che, non essendo stati correttamente configurati, registravano e conservano i dati di navigazione degli utenti, tanto da consentire l’identificazione di chi la utilizzava, tra cui i potenziali segnalanti.
Nel caso in cui, a causa di difficoltà organizzative, non sia possibile attuare una gestione informatizzata delle segnalazioni il Titolare può utilizzare tecniche tradizionali. Ad esempio, può essere prevista la trasmissione cartacea della segnalazione in busta chiusa indirizzata al RPCT con la dicitura “riservata al RPCT”.
La violazione delle disposizioni che prevedono i principi, i presupposti di liceità del trattamento, nonché delle altre disposizioni che prevedono obblighi e adempimenti in capo al titolare o al responsabile dei dati, può comportare l’adozione di provvedimenti correttivi da parte del Garante per la protezione sui dati personali con conseguente applicazione delle sanzioni amministrative nonché rilevare sotto il profilo penale e dar luogo a responsabilità civile.
*I diritti delle immagini appartengono ai rispettivi proprietari.
Hai dubbi in merito? Noi saremo lieti di aiutarTi a trovare la soluzione per la Tua realtà aziendale.