INFORMATION CONFORMÉMENT AUX ARTICLES 13 ET 14 DU RÈGLEMENT (UE) 2016/679 (« RGPD ») RELATIVE AU TRAITEMENT DES DONNÉES PERSONNELLES DES PERSONNES CONCERNÉES PAR LA GESTION DES SIGNALEMENTS D’INFRACTIONS.

Lesepidado S.r.l., dont le siège social et administratif est situé à Castel San Pietro Terme Fraz. Osteria Grande – Bologne – amministrazione@lesepidado.it (ci-après, « Lesepidado » ou le « Responsable du traitement »), fournit ci-après l’information sur le traitement des données personnelles des lanceurs d’alerte, des personnes signalées et d’éventuels autres tiers concernés (ci-après tous « Personnes concernées » par le traitement) effectué par celle-ci dans le cadre de la gestion des signalements d’infractions régis par la « Politique de dénonciation » (ci-après, « Politique »).

1. Catégories de données faisant l’objet du traitement.

Seront traitées les données personnelles du lanceur d’alerte, de la personne signalée et d’éventuelles tierces personnes qui devraient être mentionnées dans le signalement effectué par le lanceur d’alerte, concernant uniquement les données nécessaires pour effectuer les activités d’instruction appropriées visant à vérifier le bien-fondé du fait objet du signalement et l’adoption des mesures qui en découlent, comme indiqué dans la Politique.

Pourront également faire l’objet d’un traitement, si elles sont fournies, les données révélant l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses et/ou philosophiques, l’appartenance syndicale, ainsi que les données génétiques, les données biométriques, les données relatives à la santé ou à la vie sexuelle ou à l’orientation sexuelle de la personne et les données relatives aux infractions et condamnations pénales.

2. Finalités et base juridique du traitement

Les données personnelles des personnes concernées par le traitement sont traitées aux fins suivantes :

1. Assurer la gestion correcte et complète des signalements de conduites illicites conformément au décret législatif. 24/2023
2. Effectuer les activités d’instruction nécessaires visant à vérifier le bien-fondé du fait objet du signalement et l’adoption des procédures qui en découlent
3. Protection en justice d’un droit du responsable du traitement
4. Répondre à une demande de l’autorité judiciaire ou d’une autorité assimilée à celle-ci

La base juridique est l’exécution d’une obligation légale.

Conformément à la réglementation, la confidentialité de l’identité du lanceur d’alerte est garantie, en gérant les données personnelles séparément du contenu du signalement effectué.

L’éventuel rapprochement ne peut être effectué que dans les cas exceptionnels selon les dispositions légales applicables (par exemple, pour exercer le droit de défense de la personne mise en cause, avec le consentement préalable du lanceur d’alerte ; dans les cas où la responsabilité pénale du lanceur d’alerte est établie, même par jugement de première instance, pour les délits de calomnie ou de diffamation ; dans les cas de signalements qui s’avèrent non fondés, effectués avec dol ou faute grave).

Dans des cas exceptionnels, lorsque le signalement a donné lieu à une procédure disciplinaire et se fonde uniquement sur la dénonciation du lanceur d’alerte, l’identité de ce dernier peut être communiquée à celui qui fait l’objet de la procédure disciplinaire, si cela est absolument indispensable pour exercer son droit de défense. Dans de tels cas, le signalement ne sera utilisable aux fins de la procédure disciplinaire qu’en présence du consentement du lanceur d’alerte à la révélation de son identité.

Les catégories particulières de données personnelles et les données judiciaires seront traitées à cette fin, respectivement, conformément à l’art. 9, al. 2, let. b) et à l’art. 10 du RGPD.

En ce qui concerne un éventuel traitement des données personnelles postérieur à la clôture de la procédure d’analyse du signalement, la base juridique est représentée par l’intérêt légitime du responsable du traitement à l’exercice de ses propres droits dans tous les cas où cela s’avère nécessaire (par exemple, réouverture de procédures judiciaires, demandes d’indemnisation de dommages liées au signalement), conformément à l’art. 6, al. 1, let. f) et à l’art. 9, al. 2, let. f) du RGPD.

3. Source des données personnelles

Le responsable du traitement collecte les données par le biais des signalements effectués via le canal Whistleblowing présent sur le site de l’entreprise. Les données des personnes concernées par le traitement, contenues dans le signalement, sont fournies directement par le lanceur d’alerte. Les lanceurs d’alerte peuvent être des employés et/ou collaborateurs, des administrateurs, des consultants et, en général, toutes les parties prenantes du responsable du traitement, de sociétés du groupe ou tout sujet porteur d’un intérêt légitime.

Pour préserver les finalités d’enquête, dans les cas prévus par la loi, la personne signalée, conformément à l’art. 14, al. 5, let. d) du RGPD, peut ne pas être immédiatement informée du traitement de ses propres données effectué par le responsable du traitement, tant qu’il existe un risque de compromettre la possibilité de vérifier efficacement le bien-fondé de la dénonciation ou de recueillir les preuves nécessaires.

4. Modalités de traitement des données

Lesepidado collecte les données personnelles de la personne concernée dans des archives, tant informatiques que télématiques, et les traite selon les modalités strictement nécessaires aux finalités indiquées et, en tout état de cause, en recourant à des mesures techniques et organisationnelles appropriées pour garantir la sécurité du traitement et donc la confidentialité des données.

Les données seront traitées dans le respect du principe de licéité, de loyauté, de pertinence et de non-excès, conformément aux dispositions de la réglementation en matière de protection des données personnelles.

Le traitement sera effectué par le personnel interne formellement autorisé par le responsable du traitement, tenu à l’obligation de confidentialité et dûment formé en la matière.

5. Période de conservation des données

Les données sont conservées pendant le temps nécessaire au traitement du signalement ainsi que pendant toute la période nécessaire au déroulement des éventuelles procédures découlant de la gestion du signalement (disciplinaire, pénale, comptable) et en tout état de cause pas au-delà de cinq ans à compter de la date de la communication de l’issue finale de la procédure de signalement.

Est réservée la conservation pour une période plus longue en relation avec des demandes de l’autorité publique ou de l’Autorité de contrôle pour la protection des données personnelles ainsi que pour une période supérieure mais dans les limites du délai de prescription des droits, en relation avec des exigences liées à l’exercice du droit de défense en cas de litiges.

6. Nature de la communication et conséquences d’un éventuel refus

La communication des données du lanceur d’alerte est obligatoire. Un éventuel refus de communiquer les données rend impossible le suivi de la procédure conformément au décret législatif. 24/2023.

Le signalement anonyme est toutefois possible. Cependant, l’application de la procédure de signalement ne sera possible que si les signalements sont adéquatement circonstanciés et rendus avec une profusion de détails, c’est-à-dire s’ils sont en mesure de faire émerger des faits et des situations en les reliant à des contextes déterminés.

7. Destinataires des données

La communication des données personnelles collectées s’effectue principalement auprès de tiers et/ou destinataires dont l’activité est nécessaire pour l’accomplissement des activités inhérentes à la gestion du signalement, ainsi que pour répondre à certaines obligations légales.

En particulier, la transmission pourra avoir lieu auprès de :

1. Responsables de la fonction concernée par le signalement
2. Société chargée de la gestion de la plateforme Web, en sa qualité de sous-traitant externe conformément à l’art. 28 du Règlement UE 679/2016.
3. Institutions et/ou autorités publiques, autorité judiciaire, organes de police, avocats externes mandatés, sociétés d’enquêtes privées, qui agiront en tant que responsables autonomes du traitement.

Les données personnelles ne seront en aucun cas diffusées ou divulguées à des sujets autres que ceux identifiés ci-dessus.

En outre, elles ne seront pas transférées à l’étranger vers des pays tiers.

8. Droits des personnes concernées

Les personnes concernées par le traitement peuvent demander au responsable du traitement, par demande par courriel à l’adresse amministrazione@lesepidado.it, l’accès aux données les concernant, leur rectification, leur complément ou leur suppression, ainsi que la limitation du traitement ou l’opposition (droits visés aux articles 15 à 22 du RGPD) lorsque les conditions sont remplies. Les personnes concernées par le traitement ont également le droit de déposer une réclamation auprès de l’Autorité de contrôle pour la protection des données personnelles en cas de traitement illégitime ou illicite de leurs données par le responsable du traitement.

Osteria Grande, 27.01.2023