Lo scorso 9 marzo è stato approvato dal Consiglio dei Ministri il decreto legislativo che recepisce la direttiva (UE) 2019/1937 (la cd. direttiva “whistleblowing”). Più precisamente, il D. Lgs. n. 24/2023 (di seguito “Decreto”) disciplina la protezione delle persone (informatori/segnalanti o “whistleblowers”) che segnalano violazioni di disposizioni normative nazionali e dell’UE che ledono l’interesse pubblico o l’integrità dell’Ente privato apprese nel contesto di lavoro e impone alle aziende di istituire specifici canali di segnalazione interna oltre che una procedura per la gestione delle segnalazioni.
Le disposizioni in materia di whistleblowing sono diventate obbligatorie lo scorso 15 luglio per i soggetti operanti nel settore privato e che nel corso dell’ultimo anno hanno impiegato più di 250 dipendenti. Diversamente, per le aziende che occupano fino a 249 dipendenti, la nuova normativa entrerà in vigore il 17 dicembre 2023.
Come si vedrà nel prosieguo del presente contributo, il D. Lgs. n. 24/2023 introduce una specifica disciplina (in particolare, le previsioni contenute nell’art. 13 cit.) che illustra nel dettaglio gli adempimenti “data protection” che devono essere adottati dalle imprese (in veste di titolari del trattamento dei dati personali) in conformità al GDPR e al D. Lgs. n. 196/2003 come novellato dal D. Lgs. n. 101/2018
Whistleblowing e adempimenti Gdpr: gli obblighi di compliance degli intermediari assicurativi
Sotto un profilo squisitamente pratico, dalla disamina del D. Lgs. n. 24/2023 (in particolare, delle previsioni cui all’art. 13 cit.) possono così delinearsi gli adempimenti di compliance GDPR che i distributori assicurativi dovranno mettere in atto entro il prossimo 17 dicembre nel contesto dell’adeguamento del proprio modello organizzativo “data protection” alla nuova disciplina.
”Privacy by design”: anzitutto, l’intermediario dovrà applicare una serie di misure di sicurezza, sia organizzative, che tecniche, al fine di tutelare la riservatezza del segnalante (ad esempio, crittografia dei canali di segnalazione; profili di autorizzazione ad hoc; sistemi di strong authentication, etc.).
Minimizzazione: in ossequio al suddetto principio, il distributore dovrà astenersi dal raccogliere dati manifestamente non utili al trattamento di una specifica segnalazione e, se raccolti accidentalmente, procedere alla cancellazione immediata.
Tutela della riservatezza del segnalante e nomina dei soggetti autorizzati: gli intermediari dovranno garantire la riservatezza dell’identità, del contenuto della segnalazione e della relativa documentazione. In particolare, l’identità del segnalante non dovrà essere rivelata senza il consenso espresso della stessa persona segnalante, a persone diverse da quelle competenti a ricevere o a dare seguito alle segnalazioni, espressamente autorizzate a trattare tali dati (art. 29 del GDPR e art. 2-quaterdecies del Codice Privacy). Sarà, quindi, necessario istruire (formare) ed autorizzare al trattamento i dipendenti preposti alla gestione del canale di segnalazione.
Valutazione di impatto sulla protezione dei dati: l’intermediario dovrà svolgere una valutazione di impatto sulla protezione dei dati preventiva al trattamento (art. 35 del GDPR) sul canale informatico utilizzato per le segnalazioni.
Registro dei trattamenti: altro punto fondamentale da tenere in considerazione riguarda l’attività di aggiornamento e review del registro mediante l’indicazione delle attività di trattamento per le finalità di whistleblowing (art. 30 cit.).
Informative sul trattamento dei dati: contestualmente si renderà necessario fornire una specifica informativa preventiva in relazione ai trattamenti derivanti dall’acquisizione di segnalazioni di presunti illeciti (ad esempio, mediante pubblicazione in un’apposita sezione dell’applicativo informatico utilizzato per l’acquisizione e gestione delle segnalazioni, o nei contratti individuali di lavoro).
Designazione responsabili: ulteriormente occorrerà designare quali responsabili ex art. 28 del Regolamento gli eventuali fornitori esterni della piattaforma informatica indicando anche l’eventuale presenza di sub-responsabili.
Contitolarità: qualora i titolari condividano le risorse del sistema di ricevimento e gestione delle segnalazioni interne, dovranno determinare in modo trasparente, mediante un accordo interno, le rispettive responsabilità in merito all’osservanza degli obblighi in materia di protezione dei dati personali, ai sensi dell’art. 26 del GDPR.
Gestione diritti degli interessati: le istanze di esercizio dei diritti degli interessati (artt. 15-22 del GDPR) dovranno essere gestite dal distributore tenendo conto dei limiti di cui all’art. 2-undecies del Codice della privacy novellato. Il suddetto articolo stabilisce, infatti, che tali diritti non possono essere esercitati qualora sia ipotizzabile un pregiudizio effettivo e concreto alla riservatezza dell’identità della persona che segnala l’illecito (comma 1, lett. f), cit.).
Conservazione: l’art. 14 del Decreto prevede espressamente che le segnalazioni, interne ed esterne, e la relativa documentazione devono essere conservate per il tempo necessario al trattamento della segnalazione e comunque non oltre cinque anni a decorrere dalla data della comunicazione dell’esito finale della procedura di segnalazione.
Whistleblowing: le indicazioni del garante e gli errori da evitare
Sul punto, occorre notare come i titolari del trattamento dovranno tenere conto degli “insegnamenti” forniti dal nostro Garante in materia (v. provv.ti 10 giugno 2021, n. 235, doc. web n. 9685922, e n. 236, doc. web n. 9685947; cfr. newsletter n. 480 del 2 agosto 2021, doc. web n. 9687860, provv. 23 gennaio 2020, n. 17, doc. web n. 9269618; newsletter n. 462 del 18 febbraio 2020, doc. web n. 9266789). Si segnala, in particolare, il provvedimento n. 134 del 7 aprile 2022 (doc. web n. 9768363) con il quale l’Authority ha irrogato ad una struttura ospedaliera una sanzione pecuniaria di 40.000 euro in quanto erano state ravvisate diverse criticità rispetto al framework normativo e, in specie:
a) mancava un’informativa dedicata ai trattamenti connessi all’acquisizione e gestione delle segnalazioni di condotte illecite;
b) non era stato aggiornato il registro con la puntuale indicazione dei trattamenti per finalità di whistleblowing;
c) non era stata condotta una preliminare valutazione di impatto sulla protezione dei dati in relazione al trattamento dei dati personali effettuati mediante i sistemi di acquisizione gestione delle segnalazioni ai sensi dell’art. 35 del GDPR;
d) era stata omessa la designazione del fornitore della piattaforma per il whistleblowing quale responsabile del trattamento ai sensi dell’art. 28 del Regolamento;
e) veniva adoperato un applicativo web di whistleblowing che registrava e conservava i dati di navigazione degli utenti, tanto da consentire la tracciabilità dei soggetti che la utilizzavano, tra i quali i segnalanti in violazione degli artt. 5, par. 1, lett. f), 25 e 32 del GDPR.
Conclusioni
Alla luce della severa nuova disciplina sanzionatoria prevista dal Decreto “Whistleblowing” (l’art. 21, comma 1, lett. a), infatti, prevede espressamente il potere dell’ANAC di applicare una sanzione amministrativa pecuniaria da 10.000 a 50.000 euro qualora accerti che sia stato violato l’obbligo di riservatezza del segnalante ) e dal quadro normativo in materia di protezione dati (come si evince dalle numerose decisioni adottate dalla nostra Autorità sul tema), entro il prossimo 17 dicembre 2023 i player della distribuzione assicurativa dovranno necessariamente allineare gli adempimenti GDPR alle nuove regole e applicare adeguate misure di sicurezza (tecniche e organizzative) al fine di proteggere i dati personali relativi alle segnalazioni nel rispetto del principio di responsabilizzazione.
Rudi Floreani, avvocato, Founder Floreani Studio Legale Associato
Stefano Petrussi, avvocato, Partner Floreani Studio Legale Associato
Seguici sui nostri canali social: Facebook e Twitter
Leggi tutte le nostre notizie cliccando QUI
