Il 9 marzo scorso, il Consiglio dei Ministri ha approvato il decreto legislativo per recepire la direttiva (UE) 2019/1937, comunemente conosciuta come la direttiva “whistleblowing“. Il Decreto Legislativo n. 24/2023, di seguito denominato “Decreto”, regola la protezione delle persone che segnalano violazioni di leggi nazionali ed europee che danneggiano l’interesse pubblico o l’integrità delle imprese private, in particolare nel contesto lavorativo. Il Decreto impone alle aziende l’obbligo di istituire canali interni di segnalazione e una procedura per gestire tali segnalazioni.
Le disposizioni relative al whistleblowing sono entrate in vigore il 15 luglio per le aziende private con più di 250 dipendenti. Per le aziende con meno di 249 dipendenti, la normativa entrerà in vigore il 17 dicembre 2023.
Il Decreto Legislativo n. 24/2023 introduce una serie di obblighi di conformità al GDPR (Regolamento Generale sulla Protezione dei Dati) che i distributori assicurativi devono rispettare entro il 17 dicembre per adeguare il proprio modello organizzativo in materia di protezione dei dati alla nuova disciplina.
Ecco un riepilogo degli obblighi di conformità al GDPR:
- Privacy by design: Occorre applicare misure di sicurezza, organizzative e tecniche, per garantire la riservatezza delle segnalazioni, come la crittografia dei canali di segnalazione e l’autenticazione forte.
- Minimizzazione: Occorre raccogliere solo i dati strettamente necessari per il trattamento delle segnalazioni e cancellare immediatamente i dati raccolti accidentalmente.
- Tutela della riservatezza del segnalante e nomina dei soggetti autorizzati: Devono garantire la riservatezza dell’identità del segnalante e dell’intero contenuto della segnalazione. L’identità del segnalante non deve essere rivelata senza il suo consenso esplicito, salvo che a persone autorizzate a trattare tali dati.
- Valutazione di impatto sulla protezione dei dati: Prima di trattare i dati relativi alle segnalazioni, bisogna condurre una valutazione preventiva degli impatti sulla protezione dei dati.
- Registro dei trattamenti: E’ necessario aggiornare e revisionare il registro delle attività di trattamento dei dati relativi alle segnalazioni.
- Informative sul trattamento dei dati: Occorre fornire un’informativa preventiva in relazione al trattamento dei dati derivanti dalle segnalazioni, ad esempio attraverso la pubblicazione in un’apposita sezione dell’applicativo informatico o nei contratti individuali di lavoro.
- Designazione responsabili: Occorre designare i fornitori esterni della piattaforma informatica come responsabili del trattamento.
- Contitolarità: Se i titolari condividono i sistemi di ricevimento e gestione delle segnalazioni, devono definire chiaramente le rispettive responsabilità in merito alla protezione dei dati personali.
- Gestione dei diritti degli interessati: Devono gestire le richieste di esercizio dei diritti degli interessati, tenendo conto dei limiti previsti dalla legge.
- Conservazione: Devono conservare le segnalazioni e la documentazione associata per un periodo necessario al trattamento delle segnalazioni, ma non oltre cinque anni dalla comunicazione dell’esito finale della procedura di segnalazione.
Inoltre, è importante notare che il Decreto “Whistleblowing” prevede severe sanzioni, compresa una sanzione amministrativa pecuniaria da 10.000 a 50.000 euro, qualora venga violato l’obbligo di riservatezza del segnalante. Quindi è necessario allineare i propri processi al nuovo quadro normativo entro il 17 dicembre 2023 e applicare adeguate misure di sicurezza per proteggere i dati personali legati alle segnalazioni, rispettando il principio di responsabilizzazione.
Per consulenza o ulteriori approfondimenti siete invitati a contattare Ufficio Ambiente al seguente numero 051.6487659 o tramite mail a ambiente@ascom.bo.it
