Ai sensi dell’art. 13 del Regolamento (UE) n° 2016/679 e del D. Lgs. 24/2023, Amiata Energia S.p.A. (“Titolare”) avente sede legale in Santa Fiora (Grosseto), Via Guglielmo Marconi 35, fornisce l’informativa nell’ambito del trattamento dei dati personali effettuati in relazione alla gestione delle Segnalazioni, disciplinate dalla Procedura Whistleblowing di Amiata Energia S.p.A. acquisite mediante gli strumenti informatici e/o tramite le ulteriori modalità indicate nella specifica documentazione. Tutti i dati personali verranno trattati ai sensi della vigente normativa in materia di protezione dei dati personali, per tale intendendosi il Regolamento (UE) 2016/679 del Parlamento Europeo e del Consiglio del 27 aprile 2016
relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (“GDPR”), il D. Lgs. n. 196/2003 come modificato dal D. Lgs. n. 101/2018 (“Codice Privacy”) nonché qualsiasi altra normativa sulla protezione dei dati personali applicabile in Italia, ivi compresi i provvedimenti del Garante (di seguito, congiuntamente al GDPR, “Disciplina Privacy”), nel pieno rispetto dei diritti e delle libertà fondamentali, con particolare riguardo per la riservatezza dell’identità dei soggetti coinvolti e per la sicurezza del trattamento.

Dati di contatto del Titolare, del DPO e dei Soggetti autorizzati al trattamento dei dati

Il Titolare è contattabile all’indirizzo di posta elettronica privacy@amiataenergia.it per l’esercizio dei diritti previsti dagli articoli 15 e seguenti del GDPR (v. paragrafo “Diritti dell’interessato” nel prosieguo della presente informativa) e/o per altre richieste relative al trattamento dei dati personali.

Il Titolare ha nominato un Data Protection Officer, contattabile inviando una e-mail all’indirizzo dpo@amiataenergia.com

Il Titolare ha istituito l’Organismo di Vigilanza ex D. Lgs. 231/2001 che è anche l’owner del processo di gestione delle segnalazioni disciplinato dalla Procedura Whistleblowing precedentemente richiamata, con sede presso la sede legale della Società, il cui componente è stato nominato come Persona autorizzata al trattamento dei dati personali.

Per dare seguito alle segnalazioni, l’Organismo di Vigilanza si avvale del supporto delle funzioni aziendali richiamate nella Procedura Whistleblowing, nominate Persone autorizzate al trattamento dei dati personali e che hanno, a tale scopo, ricevuto adeguate istruzioni operative.

Categorie di dati personali

I dati personali sono suddivisi in due categorie:

1. Dati personali comuni di cui all’art. 4, punto 1 del GDPR del Segnalante (se la segnalazione non è anonima) nonché Persone coinvolte o menzionate nella Segnalazione e Facilitatori, come indicati nella Procedura Whistleblowing e definiti “interessati” quali dati anagrafici (nome, cognome, data e luogo di nascita) e dati di contatto (numero telefonico fisso e/o mobile), indirizzo di posta/e-mail;
2. Dati personali particolari di cui all’art. 9 del GDPR, qualora inseriti nella segnalazione (ad esempio quelli che rivelano l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, l’appartenenza sindacale, dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica nonché dati relativi alla salute o alla vita sessuale o all’orientamento sessuale della persona)

Finalità e base giuridica del trattamento – Natura del conferimento

I dati personali sono raccolti e trattati per le finalità strettamente connesse alla gestione delle Segnalazioni effettuate ai sensi del d.lgs. n° 24/2023 di condotte illecite rilevanti ai sensi del decreto legislativo 6 giugno 2001 n° 231 o violazioni del modello di organizzazione e gestione che non rientrino nei numeri 3), 4), 5) e 6) dell’art.2, comma 1, lettera a) di cui siano venuti a conoscenza in un contesto lavorativo pubblico o privato, nonché, più in generale, le violazioni di norme di condotta professionale e/o principi di etica richiamati dalla normativa vigente e/o comportamenti illeciti o fraudolenti riferibili a dipendenti, membri degli organi sociali o terzi (fornitori, consulenti, collaboratori etc.).

I dati personali sono trattati dal Titolare, oltre che per le finalità in precedenza indicate, anche per la finalità connessa alla difesa o accertamento di un proprio diritto in contenziosi civili, amministrativi e penali.

La base giuridica del trattamento è costituita:

• Per le finalità di cui alla gestione della Segnalazione effettuata ai sensi del d.lgs. n° 24/2023 e all’adempimento di obblighi previsti dalla legge e dalla normativa comunitaria, dall’adempimento di un obbligo legale a cui è soggetto il Titolare del trattamento (art. 6, par. 1, lett. c) del GDPR;
• Per le finalità di cui alla gestione della Segnalazione registrata effettuata ai sensi del d.lgs. n° 24/2023 e raccolta telefonicamente o tramite sistemi di messaggistica vocale o comunque in forma orale, dal consenso del Segnalante (art. 6, par. 1, lett. a) del GDPR;
• Per le finalità di cui alla difesa o accertamento di un proprio diritto in contenziosi civili, amministrativi e penali, dal legittimo interesse del Titolare (art. 6, par. 1, lett. f) del GDPR.

Il conferimento dei dati personali da parte dell’interessato è facoltativo, ma il loro mancato, parziale o inesatto conferimento potrebbe avere come conseguenza l’impossibilità di procedere alla gestione della segnalazione.

Altresì, si precisa che, qualora il contenuto della segnalazione esuli dall’ambito di applicazione della normativa richiesta, i relativi dati saranno trattati dal Titolare solo in presenza di un obbligo normativo e/o di un interesse legittimo alla tutela e/o esercizio nelle competenti sedi delle proprie ragioni di diritto.

Si precisa che il suddetto consenso e qualsiasi altro consenso richiesto ai fini della procedura di gestione delle segnalazioni potrà essere revocato nei limiti in cui la legge applicabile lo consente e, in particolare, la richiesta di revoca verrà analizzata dagli organismi preposti al fine di contemperare l’esigenza di tutela dei diritti degli individui in ambito privacy con la necessità di contrasto e prevenzione delle violazioni delle regole di buona gestione societaria ovvero delle normative applicabili in materia. La revoca del consenso non pregiudica, in ogni caso, la liceità del trattamento fino a quel momento effettuato.

Modalità del trattamento, tempi di conservazione e soggetti destinatari

Il Titolare si impegna a trattare, in modo lecito, corretto e trasparente, i dati necessari al raggiungimento delle finalità indispensabili per lo svolgimento delle attività oggetto della segnalazione.

Il trattamento è effettuato dal Titolare anche con l’ausilio di mezzi elettronici, ivi inclusi strumenti automatizzati.

Il trattamento verrà escluso e/o limitato nei casi in cui le finalità perseguite possano essere realizzate mediante anonimizzazione o attraverso modalità che permettano l’identificazione dell’interessato solo in caso di necessità.

Riservatezza e tutela del segnalante

Il Titolare garantisce la riservatezza dell’identità della Persona segnalante, delle Persone coinvolte e delle Persone comunque menzionate nella segnalazione, nonché del contenuto della segnalazione e della relativa documentazione, salvo quanto previsto dall’art. 12 del D. Lgs. n° 24/2023.

Pertanto, a eccezione dei casi in cui sia accertata, anche con sentenza di primo grado, la responsabilità penale della persona segnalante per i reati di diffamazione o di calunnia o comunque per i medesimi reati commessi con la denuncia all’autorità giudiziaria o contabile ovvero la sua responsabilità civile, per lo stesso titolo, nei casi di dolo o colpa grave, e ferme le altre eccezioni previste dalla legge (ad esempio, obbligo di comunicazione all’autorità giudiziaria) l’identità del segnalante verrà protetta sin dalla ricezione della segnalazione e in ogni fase successiva, in ossequio alle vigenti disposizioni della Disciplina Privacy.

Pertanto, ferme le suindicate eccezioni, il Titolare ha determinato, ai sensi dell’art. 12, comma 2 del D. Lgs. 24/2023, che la sua identità e qualsiasi altra informazione da cui può evincersi, direttamente o indirettamente la stessa, non possono essere rivelate a soggetti diversi da quelli competenti a ricevere o a dare seguito alle segnalazioni. Verrà acquisito il suo consenso espresso anche nel caso in cui occorra rivelare la sua identità ai sensi dell’art. 12 commi 5 e 6 del D. Lgs 24/2023, ovvero quando occorra decriptare i suoi dati al fine di consentire la difesa dell’incolpato in un procedimento disciplinare che si fonda solo sulla segnalazione e in cui la conoscenza del segnalante sia indispensabile alla difesa o per la
difesa della persona coinvolta.

Conservazione della documentazione

Le segnalazioni, interne o esterne, e la relativa documentazione sono conservate per il tempo necessario al trattamento della segnalazione e comunque non oltre cinque anni a decorrere dalla data della comunicazione dell’esito finale della procedura di segnalazione, nel rispetto degli obblighi di riservatezza di cui all’art. 12 del D. Lgs. n° 24 del 10 marzo 2023 e del principio di cui agli articoli 5, paragrafo 1, lettera e) del regolamento (UE) 2016/679 e 3, comma 1, lettera e), del D. Lgs. n° 51 del 2018.

Se per la segnalazione si utilizza una linea telefonica registrata o un altro sistema di messaggistica vocale registrato, la segnalazione, previo consenso della persona segnalante, è documentata a cura del personale addetto mediante registrazione su un dispositivo idoneo alla conservazione e all’ascolto oppure mediante trascrizione integrale. In caso di trascrizione, la persona segnalante può verificare, rettificare o confermare il contenuto della trascrizione mediante la propria sottoscrizione.

Quando, su richiesta della persona segnalante, la segnalazione è effettuata oralmente nel corso di un incontro con il personale addetto, essa, previo consenso della persona segnalante, è documentata a cura del personale addetto mediante registrazione su un dispositivo idoneo alla conservazione e all’ascolto oppure mediante verbale. In caso di verbale, la persona segnalante può verificare, rettificare e confermare il verbale dell’incontro mediante la propria sottoscrizione.

Trattamento dei dati personali

Qualora, nel corso della gestione delle segnalazioni, siano accidentalmente acquisiti dati personali manifestamente non utili al trattamento di una specifica segnalazione, quest’ultimi non sono raccolti o, se raccolti accidentalmente, sono cancellati immediatamente, ai sensi di quanto previsto dall’art. 13, comma 2, del D. Lgs. 24/2023, ove applicabile.

I dati personali saranno trattati, ai sensi dell’art. 2-quaterdecies del Codice Privacy, unicamente da persone autorizzate al trattamento ai quali sono state espressamente conferite dal Titolare adeguate istruzioni in ordine alla necessità di garantire la protezione dei dati personali dei soggetti coinvolti nelle segnalazioni.

I dati personali potranno essere trattati altresì da fornitori di servizi di Amiata Energia Spa, strumentali al perseguimento delle finalità suindicate. Tali Soggetti opereranno in qualità di Titolari autonomi o saranno designati Responsabili del Trattamento.

I dati personali potranno, inoltre, essere trattati per l’attivazione della tutela giudiziaria e/o disciplinare connessa alla segnalazione, ovvero comunicati alle Autorità competenti in presenza di violazioni delle normative applicabili, nonché essere trasmessi a fronte di ordine cogente delle medesime Autorità.

Con riferimento, invece, alle Segnalazioni relative a fattispecie non contemplate dal D. Lgs 24/2023, i dati verranno conservati per tutto il tempo strettamente necessario al perseguimento delle finalità per cui sono stati raccolti e in conformità con quanto previsto dalle disposizioni a tutela dei diritti degli interessati e nel rispetto dei termini di prescrizione previsti per Legge.

Diritti dell’interessato

L’interessato, nelle persone del Segnalante o del Facilitatore, ha diritto di accedere in ogni momento ai dati che lo riguardano e di esercitare i diritti previsti dagli articoli da 15 a 22 del GDPR (di seguito riepilogati), per quanto applicabili. Tali diritti, riconosciuti nei confronti del Titolare, sono esercitabili inviando una mail all’indirizzo privacy@amiataenergia.it. Inoltre l’interessato ha diritto di proporre un reclamo al Garante della protezione dei dati personali. Tali diritti non sono esercitabili dalla persona coinvolta o dalla persona menzionata nella segnalazione per il tempo e nei limiti in cui ciò costituisca una misura necessaria e proporzionata, ai sensi dell’art. 2-undecies del Codice Privacy in quanto dall’esercizio di tali diritti potrebbe derivarne un pregiudizio effettivo e concreto alla tutela della riservatezza dell’identità della persona segnalante.

• Diritto di accesso – il diritto di ottenere senza ingiustificato ritardo informazioni inerenti a: (i) le finalità del trattamento; (ii) le categorie dei dati personali trattati; (iii) i destinatari o le categorie degli stessi ai quali i dati possono essere comunicati, in particolare se collocati in paesi extra-UE, ed i mezzi per esercitare i suoi diritti verso tali soggetti; (iv) quando possibile il periodo di conservazione o i criteri per determinarlo; (v) l’aggiornamento, la rettificazione ovvero, qualora vi abbia interesse, l’integrazione dei dati personali nonché l’origine dei dati raccolti presso terzi;
• Diritto di rettifica – diritto di ottenere senza ingiustificato ritardo la rettifica dei dati personali inesatti e, tenuto conto delle finalità del trattamento, di ottenere l’integrazione dei dati personali incompleti, anche fornendo una dichiarazione integrativa;
• Diritto di cancellazione – diritto di ottenere, senza ingiustificato ritardo, la cancellazione dei dati personali ove sussista uno dei motivi elencati nell’articolo 17, par. 1 del GDPR – come nel caso in cui i dati personali non siano più necessari rispetto alle finalità per le quali sono stati raccolti o altrimenti trattati – salvo che il trattamento sia necessario in base alle previsioni di cui al paragrafo 3 del medesimo articolo, tra cui (a) l’adempimento di un obbligo legale che richieda il trattamento previsto dal diritto dell’Unione o dello Stato membro cui sia soggetto il Titolare, o (b) l’esecuzione di un compito svolto nel pubblico interesse oppure nell’esercizio di pubblici poteri di cui sia investito il Titolare, o (c)
  l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria;
• Diritto di limitazione – diritto di ottenere la limitazione del trattamento ove ricorra una delle ipotesi di cui all’articolo 18, par. 1 del GDPR: se il trattamento è limitato, i dati personali verranno trattati – salvo che per la conservazione – soltanto con il consenso dell’interessato o per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria oppure per tutelare i diritti di un’altra persona fisica o giuridica o per motivi di interesse pubblico rilevante dell’Unione o di uno Stato membro.
• Obbligo di notifica in caso di rettifica o cancellazione dei dati personali o limitazione del trattamento – diritto dell’interessato di ricevere dal titolare del trattamento indicazione dei destinatari cui sono stati trasmessi i dati personali, le eventuali rettifiche o cancellazioni o limitazioni del trattamento effettuate a norma dell’articolo 16, dell’articolo 17, paragrafo 1, e dell’articolo 18, salvo che ciò si riveli impossibile o implichi uno sforzo sproporzionato.
• Diritto alla portabilità dei dati – diritto di ricevere in un formato strutturato, di uso comune e leggibile da dispositivo automatico i dati personali che lo riguardano forniti a un titolare del trattamento e diritto di trasmettere tali dati a un altro titolare del trattamento senza impedimenti da parte del titolare del trattamento cui li ha forniti qualora:
  1. il trattamento si basi sul consenso ai sensi dell’articolo 6, paragrafo 1, lettera a), o dell’articolo 9, paragrafo 2, lettera a), o su un contratto ai sensi dell’articolo 6, paragrafo 1, lettera b);
  2.  il trattamento sia effettuato con mezzi automatizzati.
• Diritto di opposizione – diritto di opporsi in qualsiasi momento:
  1. per motivi connessi alla sua situazione particolare, al trattamento dei dati personali che lo riguardano ai sensi dell’articolo 6, paragrafo 1, lettere e) o f), compresa la profilazione sulla base di tali disposizioni. Il titolare del trattamento si astiene dal trattare ulteriormente i dati personali salvo che egli dimostri l’esistenza di motivi legittimi cogenti per procedere al trattamento che prevalgono sugli interessi, sui diritti e sulle libertà dell’interessato oppure per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria;
  2. qualora i dati personali siano trattati per finalità di marketing diretto;
  3. qualora i dati personali siano trattati nel contesto dell’utilizzo di servizi della società dell’informazione e fatta salva la direttiva 2002/58/CE;

Qualora i dati personali siano trattati a fini di ricerca scientifica o storica o a fini statistici a norma dell’articolo 89, paragrafo 1, salvo se il trattamento sia necessario per l’esecuzione di un compito di interesse pubblico.

• Processo decisionale automatizzato relativo alle persone fisiche, compresa la profilazione – diritto, in assenza di determinate condizioni definite dall’art. 22, paragrafo 2, di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici che lo riguardano o che incida in modo analogo significativamente sulla sua persona.