L’Istituto Clinico Città Studi S.p.A. (ICCS) con sede in Milano, via Ampere n. 47, codice fiscale e partita IVA 09444340153, in qualità di Titolare del Trattamento intende fornire ai propri dipendenti, partner, clienti, fornitori, consulenti, collaboratori e, più in generale, a chiunque sia in relazione d’interessi con l’ICCS le specifiche informazioni sul trattamento dei dati personali che si rendono necessarie con riferimento alle segnalazioni trasmesse tramite la Piattaforma Whistleblowing (Piattaforma) raggiungibile mediante link rinvenibili sul sito web del Titolare, ai sensi dell’art. 13 del Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 (“GDPR”) e della normativa europea e nazionale che lo integra e/o lo modifica (“Normativa Privacy Applicabile”), ivi compresa la disciplina sulla protezione dei dati personali di cui al Decreto Legislativo n. 196/2003, come modificato dal Decreto Legislativo n. 101/2018 (di seguito, “Codice Privacy”).

 

1.  Dati personali oggetto del trattamento

Il Titolare tratterà i dati forniti dal segnalante al fine di rappresentare le presunte condotte illecite, delle quali sia venuto a conoscenza, commesse dai soggetti che a vario titolo interagiscono con l’ICCS, allo scopo di effettuare le necessarie attività istruttorie volte a verificare la fondatezza del fatto oggetto di segnalazione e l’adozione dei conseguenti provvedimenti.

 

I dati raccolti e trattati comprendono i dati anagrafici e i dati di contatto, nell’ipotesi in cui il segnalante decida di non rimanere anonimo registrandosi alla Piattaforma, dati relativi al rapporto di lavoro, la funzione svolta, ovvero gli elementi caratterizzanti la segnalazione (dati comuni).

 

Il Titolare tratterà dati appartenenti a categorie particolari, vale a dire i dati idonei a rivelare, tra l’altro, l’origine razziale ed etnica, i dati relativi allo stato di salute e alla vita sessuale (dati particolari), solamente qualora il segnalante decidesse liberamente di fornirli quali elementi caratterizzanti della segnalazione.

 

I dati comuni e i dati particolari, di seguito, congiuntamente, sono definiti dati personali.

I dati personali sono direttamente forniti tramite la compilazione degli appositi campi al momento dell’invio della segnalazione o, in seguito, se il segnalante decidesse di inserire ulteriori elementi per circostanziare la segnalazione tramite il sistema di messaggistica della Piattaforma che permette di instaurare un colloquio virtuale con l’organo deputato alla gestione della segnalazione.

2. Modalità del trattamento dei dati personali

Il trattamento è effettuato attraverso strumenti informatici atti a memorizzare, gestire o trasmettere i dati stessi, nel rispetto delle disposizioni del Regolamento, secondo i principi correttezza, liceità e trasparenza, con logiche strettamente correlate alle finalità del trattamento e comunque garantendo la riservatezza e sicurezza dei dati stessi e il rispetto degli obblighi specifici sanciti dalla legge.

3. Finalità del trattamento & Base Giuridica del Trattamento

I dati personali saranno trattati per gestire la segnalazione e per garantire la tutela del segnalante in caso di segnalazione di reati o irregolarità di cui lo stesso è venuto a conoscenza nell’ambito del suo rapporto con il Titolare.

Per le finalità sopra indicate, la base giuridica dei trattamenti dei dati personali forniti è:

• adempimento degli obblighi di legge fissati nella disciplina contenuta nel D. Lgs. 10 marzo 2023, n. 24, ai sensi e per gli effetti dell’art. 6, lett. (c) del GDPR e l’art.6, co. 2bis e ss. del D. Lgs. 8 giugno 2001, n. 231), volti a consentire la presentazione di segnalazioni inerenti a condotte illecite poste in essere nell’ambito di operato del Titolare o in violazione del diritto dell’Unione in tutti i settori indicati dalla direttiva UE 2019/1937.
• con particolare riferimento ad eventuali dati particolari trattati, la base giuridica è quella di cui all’art. 9, par. 2, lett. b, del GDPR, ossia il trattamento è necessario per assolvere gli obblighi ed esercitare i diritti specifici del titolare del trattamento o dell'interessato in materia di diritto del lavoro e della sicurezza sociale e protezione sociale (i.e. le disposizioni in materia di whistleblowing di cui al D. Lgs. 24/2023).
• la necessità di accertare, esercitare o difendere un diritto in sede giudiziaria, in caso fosse necessario.

 

4. Natura del Trattamento

 

Il conferimento dei dati ha natura facoltativa e, sulla base della procedura aziendale adottata dal Titolare in materia di whistleblowing, il soggetto segnalante ha la facoltà di effettuare una segnalazione non nominativa.

Si precisa tuttavia che le segnalazioni anonime non sono considerate whistleblowing e saranno trattate come ordinarie e, quindi, gestite secondo le procedure adottate dall’ente per tali violazioni, dandone comunicazione al segnalante tramite piattaforma.

 

5. Durata del trattamento e conservazione dei dati personali

La segnalazione, anche se rigettata, e la relativa documentazione sono conservate, nel rispetto degli obblighi di riservatezza, per il tempo necessario al trattamento della segnalazione stessa, e comunque non oltre 5 anni dalla data della comunicazione dell’esito della procedura, salvo diversa valutazione in considerazione della situazione specifica (in base al principio di accountability del Titolare del trattamento).

Nel caso di contenzioso giudiziale, i dati personali saranno conservati per tutta la durata dello stesso, fino all’esaurimento dei termini di esperibilità delle azioni di impugnazione.

6. Ambito di conoscibilità & Comunicazione dei dati personali

Il trattamento è svolto ad opera di soggetti appositamente autorizzati dal Titolare,  in ottemperanza a quanto previsto dall’art. 29 del GDPR.

La comunicazione dei dati personali raccolti avviene principalmente nei confronti di terzi e/o destinatari la cui attività è necessaria per l’espletamento delle attività inerenti la gestione della segnalazione, nonché per rispondere a determinati obblighi di legge.

In particolare, la trasmissione potrà avvenire nei confronti di:

• società incaricata per la gestione della Piattaforma, nella sua qualità di responsabile del trattamento ai sensi e per gli effetti di cui all’art. 28 del Regolamento;
• consulenti esterni (per es. studi legali) eventualmente coinvolti nella fase istruttoria della segnalazione;
• Organismo di Vigilanza nell’ambito delle funzioni assunte ai sensi del D.lgs. 231/2001;
• funzioni aziendali coinvolte nell’attività di ricezione, esame e valutazione delle segnalazioni;
• responsabile/i della/e funzione/i interessata/e dalla segnalazione;
• posizioni organizzative incaricate di svolgere accertamenti sulla segnalazione nei casi in cui la loro conoscenza sia indispensabile per la comprensione dei fatti segnalati e/o per la conduzione delle relative attività di istruzione e/o trattazione;
• istituzioni e/o Autorità Pubbliche, Autorità Giudiziaria, Organi di Polizia, Agenzie investigative.

 

Non è possibile accedere alla segnalazione e all’identità del segnalante né a mezzo accesso documentale, né a mezzo accesso civico generalizzato.

I dati personali del segnalante non sono oggetto di diffusione, fatta salva l'ipotesi in cui la comunicazione o diffusione sia richiesta, in conformità alla legge, da soggetti pubblici per finalità di difesa o di sicurezza o di prevenzione, accertamento o repressione di reati.

 

L’elenco completo ed aggiornato dei destinatari dei dati potrà essere richiesto al Titolare ovvero al DPO, ai recapiti sotto indicati.

7. Trasferimento dei dati all’estero

I dati personali del segnalante non saranno oggetto di trasferimento verso Paesi Terzi rispetto all’Unione Europea od organizzazioni internazionali.

8. Titolare del trattamento e Data Protection Officer

Il soggetto titolare del trattamento dei dati è la società Istituto Clinico Città Studi S.p.A., con sede in via Ampere n. 47, 20131 Milano, codice fiscale e partita IVA 9444340153 (indirizzo mail: privacy@ic-cittastudi.it).

In tale veste, è responsabile di garantire l’applicazione delle misure organizzative e tecniche necessarie e adeguate alla protezione dei dati.

L’Istituto Clinico Città Studi ha nominato il Data Protection Officer (Responsabile della Protezione dei Dati) ai sensi dell’Articolo 37 del sovra citato Regolamento, incaricato di garantire il rispetto delle norme per la tutela della Sua Privacy; tale soggetto potrà essere contattato per questioni inerenti il trattamento dei Suoi dati, ai seguenti recapiti (tel: 02.2393.4413;dpo@ic-cittastudi.it).

9. Diritti dell’interessato

In relazione ai predetti trattamenti, l’Istituto Clinico garantisce la possibilità di esercizio dei diritti di cui agli Articoli 15, 16, 17, 18, 20, 21 del Regolamento.

In particolare:

(a) il segnalante ha la possibilità di ottenere dal Titolare la conferma dell’esistenza o meno dei dati personali che lo riguardano, ed in questo caso, l’accesso alle seguenti informazioni:

• Finalità del trattamento,
• Categorie di dati personali trattati,
• Destinatari o le categorie di destinatari a cui i dati personali sono stati o saranno comunicati, in particolare se destinatari di paesi terzi o organizzazioni internazionali;
• Periodo di conservazione dei dati personali previsto oppure, se non è possibile, i criteri utilizzati per determinare tale periodo;
• Qualora i dati non siano raccolti presso l'interessato, tutte le informazioni disponibili sulla loro origine;
• L'esistenza di un processo decisionale automatizzato ed, in tali casi, informazioni significative sulla logica utilizzata, nonché l'importanza e le conseguenze previste di tale trattamento per l'interessato;
• L'esistenza di garanzie adeguate ai sensi dell'articolo 46 relative al trasferimento verso paesi terzi o organizzazioni internazionali.

(b) In aggiunta, il segnalante ha il diritto di:

• Ottenere l’aggiornamento, la rettifica o l’integrazione dei propri dati, la cancellazione, nei termini consentiti dalla normativa, oppure chiedere che siano anonimizzati, la limitazione del trattamento, ed ha diritto di opporsi, in tutto o in parte, per motivi legittimi, al trattamento dei dati personali che La riguardano;
• Ottenere la portabilità dei dati trattati elettronicamente, forniti sulla base di consenso o contratto;
• Revocare il proprio consenso, qualora previsto.

L’esercizio dei diritti è possibile inoltrando una richiesta tramite e-mail al seguente indirizzo: privacy@ic-cittastudi.it, allegando un documento in corso di validità.

Il Titolare si impegna a comunicare a ciascuno dei destinatari cui sono stati trasmessi i dati personali le eventuali rettifiche o cancellazioni o limitazioni del trattamento effettuate, salvo che ciò si riveli impossibile o implichi uno sforzo sproporzionato.

Si segnala inoltre che l’interessato ha il diritto di revocare il consenso in qualsiasi momento senza pregiudicare la liceità del trattamento basata sul consenso prestato prima della revoca, fermo restando le conseguenze sovra indicate in merito ad un eventuale rifiuto a fornire tali dati personali, ed ha diritto di proporre un reclamo ad un’Autorità di Controllo.

L’Istituto Clinico Città Studi si impegna a rispondere alle richieste dell’interessato entro il termine di un mese, salvo caso di particolare complessità, per cui potrebbe impiegare al massimo tre mesi. In ogni caso, l’Istituto provvederà a dare evidenza all’interessato del motivo dell’attesa entro un mese dalla sua richiesta.

L’esito della richiesta sarà fornito per iscritto o su formato elettronico.

L’Istituto Clinico specifica che potrà essere richiesto all’interessato un eventuale contributo qualora le domande risultino manifestamente infondate, eccessive o ripetitive, a tal proposito l’Istituto si è dotata di un registro per tracciare le richieste di intervento.