A seguito dell’entrata in vigore del D.lgs. 10 marzo 2023, n. 24 di attuazione della direttiva (UE) 2019/1937 del Parlamento europeo e del Consiglio del 23 ottobre 2019, riguardante la protezione delle persone che segnalano violazioni del diritto dell’Unione Europea e delle disposizioni normative nazionali (c.d. “Decreto Whistleblowing”), la Società L.F.I. S.p.A. ha adottato un modello di gestione delle segnalazioni che è parte integrante del Modello di Organizzazione, Gestione e Controllo ex D.lgs. n. 231/2001 adottato dalla Società stessa. In particolare, il Decreto tutela coloro che segnalano violazioni del diritto dell’Unione Europea e delle disposizioni normative nazionali che ledono l’interesse pubblico o l’integrità dell’amministrazione pubblica o dell’ente privato e di cui siano venuti a conoscenza in un contesto lavorativo pubblico o privato.

Legittimati a segnalare sono le seguenti categorie di soggetti, in qualità di:

• dipendenti, lavoratori autonomi, titolari di un rapporto di collaborazione, volontari e tirocinanti anche non retribuiti che svolgono la propria attività lavorativa presso L.F.I. S.p.A.;
• lavoratori o collaboratori, che svolgono la propria attività lavorativa presso enti che forniscono beni o servizi o che realizzano opere in favore di terzi; liberi professionisti e consulenti che prestano la propria attività presso L.F.I. S.p.A.; gli azionisti e le persone di L.F.I. S.p.A. con funzioni di amministrazione, direzione, controllo, vigilanza o rappresentanza.

Le segnalazioni possono essere effettuate anche quando il rapporto giuridico non è ancora iniziato, se le informazioni sulle violazioni sono state acquisite durante il processo di selezione o in altre fasi precontrattuali, durante il periodo di prova o successivamente allo scioglimento del rapporto giuridico se le informazioni sulle violazioni sono state acquisite nel corso del rapporto stesso.

Le violazioni che possono essere segnalate consistono in:

• illeciti amministrativi, contabili, civili o penali;
• condotte illecite rilevanti ai sensi del D.Lgs. 8 giugno 2001, n. 231, o violazione del Modello di organizzazione e gestione adottato dalla Società;
• illeciti che rientrano nell’ambito di applicazione degli atti dell’Unione Europea e delle disposizioni nazionali che ne danno attuazione;
• atti od omissioni che ledono gli interessi finanziari dell’Unione Europea;
• atti od omissioni riguardanti il mercato interno (a titolo esemplificativo: violazioni in materia di concorrenza e di aiuti di Stato);
• atti o comportamenti che vanificano l’oggetto o la finalità delle disposizioni di cui agli atti dell’Unione Europea.

Non rientrano nell’ambito di applicazione del D.lgs. 10 marzo 2023, n. 24 le contestazioni, rivendicazioni o richieste legate ad un interesse di carattere personale della persona segnalante che attengono esclusivamente al proprio rapporto individuale di lavoro, ovvero inerenti al proprio rapporto con le figure gerarchicamente sovraordinate; le comunicazioni o i reclami relativi ad attività di natura commerciale o di servizi al pubblico.

Per l’invio e la gestione delle segnalazioni L.F.I. S.p.A. ha attivato il seguente canale interno di comunicazione

https://tiemmespa.whistleblowing.net.

Tale canale garantisce la riservatezza dell’identità della persona segnalante, della persona coinvolta e della persona comunque menzionata nella segnalazione, nonché del contenuto della segnalazione e della relativa documentazione. In ogni caso, l’identità della persona segnalante non potrà essere rivelata, senza il consenso espresso della stessa persona segnalante, a persone diverse da quelle competenti a ricevere o a dare seguito alle segnalazioni.

L.F.I. S.p.A. garantisce altresì il soggetto segnalante da qualsiasi forma di ritorsione anche solo tentata o minacciata in ragione della segnalazione delle violazioni.

L.F.I. S.p.A., in qualità di Titolare del Trattamento dei dati, tratta i dati personali relativi al ricevimento ed alla gestione delle segnalazioni nel rispetto dei principi europei e nazionali in materia di protezione dei dati personali, fornendo idonee informazioni alle persone segnalanti e alle persone coinvolte nelle segnalazioni, nonché adottando misure appropriate a tutela dei diritti e delle libertà degli interessati.

Procedura di segnalazione

Una volta ricevuta la segnalazione, la persona segnalante riceverà un avviso di ricevimento della segnalazione entro sette giorni dalla data di ricezione ed entro tre mesi dalla data dell’avviso di ricevimento della segnalazione riceverà riscontro alla segnalazione medesima. La procedura Whisleblowing è consultabile al seguente link:

Procedura whistleblower segnalazione illeciti

Per le modalità di presentazione della segnalazione, il Segnalante potrà consultare il relativo manuale al seguente link:

Manuale del segnalante

INFORMATIVA IN MATERIA DI TRATTAMENTO DEI DATI PERSONALI ai sensi degli

articoli 13 e 14 del Regolamento (UE) 2016/679

IN RELAZIONE ALLE SEGNALAZIONI DI “WHISTLEBLOWING”

Con questa informativa La Ferroviaria Italiana S.p.A. (in forma abbreviata L.F.I. S.p.A.), in persona del legale rappresentante pro tempore, con sede legale in Arezzo, Via Guido Monaco n. 37, C.F. e P.iva 00092220516 spiega come tratta i dati raccolti e quali sono i diritti riconosciuti all’interessato ai sensi del Regolamento (UE) 2016/679, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, del d.lgs. 196/2003, in materia di protezione dei dati personali, così come modificato dal d.lgs. 101/2018 e del d.lgs 24/2023 in materia di gestione delle segnalazioni disciplinate dalla procedura c.d. di whistleblowing.

1. Titolare del trattamento

Titolare del trattamento dei dati personali è L.F.I. S.p.A., in persona del legale rappresentante pro tempore, con sede legale in Arezzo, Via Guido Monaco n. 37, C.F. e P.iva 00092220516

Pec: lfi@certificazioneposta.it

2. Responsabile della protezione dati

Il dato di contatto del Responsabile della protezione dati è: lucadipaola@pec.ordineavvocatigrosseto.com

3. Tipologia di dati trattati

Laddove il Titolare riceva una segnalazione nell’ambito della procedura c.d. whistleblowing disciplinata dal d.lgs 24/2023, la ricezione e la gestione delle segnalazioni darà luogo a trattamenti di dati personali c.d. “comuni” (nome, cognome, ruolo lavorativo, ecc.), nonché può dar luogo, a seconda del contenuto delle segnalazioni e degli atti e documenti a queste allegati, a trattamenti di dati personali c.d. “particolari” (dati relativi a condizioni di salute, orientamento sessuale o appartenenza sindacale, di cui all’art. 9 GDPR) e di dati personali relativi a condanne penali e reati (di cui all’art. 10 GDPR).

4. Finalità del trattamento e basi giuridiche del trattamento

I suddetti dati personali sono trattati dal Titolare per le seguenti finalità:

1. a) gestione della Segnalazione effettuata ai sensi del d.lgs. 24/2023;
2. b) adempimento di obblighi previsti dalla legge o dalla normativa comunitaria;
3. c) difesa o accertamento di un di un proprio diritto in contenziosi civili, amministrativi o penali.

La base giuridica del trattamento è costituita:

• per la finalità di cui alla lettera a), dall’adempimento di un obbligo legale a cui è soggetto il Titolare del trattamento (art. 6, 1, lett. c) del GDPR); inoltre, per le segnalazioni raccolte in forma orale, dal consenso del Segnalante (art. 6, par. 1, lett. a) del GDPR);
• per le finalità di cui alla lettera b), dall’adempimento di un obbligo legale a cui è soggetto il Titolare del trattamento (art. 6, par. 1, lett. c) del GDPR).
• per le finalità di cui alla lettera c), dal legittimo interesse del titolare (art. 6, 1, lett. f) del GDPR)

Il conferimento dei dati è necessario per il conseguimento delle finalità di cui sopra; il loro mancato, parziale

o inesatto conferimento potrebbe avere come conseguenza l’impossibilità di gestire la segnalazione.

5. Titolare, Data Protection Officer e categorie di persone autorizzate al trattamento dei dati in L.F.I. s.p.a.

Il Titolare del trattamento dei dati personali è L.F.I. S.p.A., in persona del legale rappresentante pro tempore, con sede legale in Arezzo, Via Guido Monaco n. 37, C.F. e P.iva 00092220516. Il Titolare ha nominato un Data Protection Officer, contattabile al seguente indirizzo: Avv. Luca Di Paola, Corso Carducci n. 73, 58100 Grosseto; oppure inviando una pec a: lucadipaola@pec.ordineavvocatigrosseto.com.

Il Titolare ha istituito l’Organismo di Vigilanza, nominato ai sensi dell’art. 6, punto 1, lett.b) d.lgs. n. 231/2001, dotato di autonomi poteri di iniziativa e di controllo. L’organismo di vigilanza è stato nominato dal Titolare quale persona autorizzata al trattamento dei dati.

Il Titolare ha istituito un Comitato per le Segnalazioni  a cui è affidata la gestione del canale delle segnalazioni, dotato della necessaria autonomia i cui membri sono stati nominati persone autorizzate al trattamento dei dati personali e che hanno ricevuto, al riguardo, adeguate istruzioni operative.

6. Categorie di soggetti terzi ai quali i dati potrebbero essere comunicati

Alcuni trattamenti possono essere effettuati da ulteriori soggetti terzi, ai quali L.F.I. S.p.A. affida talune attività (o parte di esse) per le finalità di cui al punto 4); tali soggetti opereranno in qualità di Titolari autonomi o saranno designati Responsabili del trattamento e sono essenzialmente ricompresi nelle seguenti categorie:

• Consulenti (Organizzazione, Contenzioso, Studi Legali, );
• Società incaricate dell’amministrazione e gestione del personale;
• Società di Revisione/auditing;
• Istituzioni e/o Autorità Pubbliche, Autorità Giudiziaria, Organi di
• In ogni caso, qualora esigenze istruttorie richiedano che altri soggetti debbano essere messi a conoscenza del contenuto della segnalazione o della documentazione ad essa allegata, non verrà mai rivelata l’identità del segnalante, né verranno rivelati elementi che possano, anche indirettamente, consentire l’identificazione dello stesso. Tali soggetti, poiché potrebbero comunque venire a conoscenza di altri dati personali, sono comunque tutti formalmente autorizzati al trattamento e a ciò appositamente istruiti e formati, nonché tenuti a mantenere il segreto su quanto appreso in ragione delle proprie mansioni, fatti salvi gli obblighi di segnalazione e di denuncia di cui all’art. 331 del Codice di procedura penale.

7. Diritti degli interessati

L’interessato, nelle persone del Segnalante o del Facilitatore, ha diritto di accedere in ogni momento ai dati che lo riguardano e di esercitare i diritti previsti dagli articoli da 15 al 22 del GDPR, per quanto applicabili (diritto di accesso ai dati personali, diritto a rettificarli, diritto di ottenerne la cancellazione o cd. diritto all’oblio, il diritto alla limitazione del trattamento, il diritto alla portabilità dei dati personali o quello di opposizione al trattamento), inviando una e-mail all’indirizzo pec: lfi@certificazioneposta.it. Inoltre, l’interessato ha diritto di proporre un reclamo al Garante della protezione dei dati personali.

I suddetti diritti non sono esercitabili dalla persona coinvolta o dalla persona menzionata nella segnalazione, per il tempo e nei limiti in cui ciò costituisca una misura necessaria e proporzionata, ai sensi dell’art. 2- undecies del Codice Privacy in quanto dall’esercizio di tali diritti potrebbe derivare un pregiudizio effettivo e concreto alla tutela della riservatezza dell’identità della persona segnalante.

8. Responsabile del trattamento

L.F.I. s.p.a. si avvale di GS Sistemi s.r.l., in qualità di partner tecnologico, il quale fornisce al Titolare la piattaforma informatica necessaria per la gestione del processo di segnalazione. GS Sistemi s.r.l. è stato designato per questo Responsabile del trattamento dei dati ai sensi dell’art. 28 del Regolamento (UE) 2016/679 dalla società capogruppo Tiemme s.p.a..

9. Modalità del trattamento

I dati personali saranno trattati anche con strumenti automatizzati per il tempo strettamente necessario a conseguire gli scopi per cui sono stati raccolti. L.F.I. s.p.a. attua idonee misure per garantire che i dati forniti vengano trattati in modo adeguato e conforme alle finalità per cui vengono gestiti; L.F.I. s.p.a. impiega idonee misure di sicurezza (crittografia dei file), organizzative, tecniche e fisiche, per tutelare le informazioni dall’alterazione, dalla distruzione, dalla perdita, dal furto o dall’utilizzo improprio o illegittimo.

10. Periodo di conservazione dei dati

L.F.I. S.p.A. conserva i dati personali secondo nei termini previsti dall’art. 14 del d.lgs. n. 24/2023, cioè per il tempo necessario al trattamento della segnalazione e comunque per non oltre 5 anni a decorrere dalla data di comunicazione dell’esito finale della Segnalazione all’Organismo di Vigilanza 231. I dati personali che manifestamente non sono utili al trattamento di una specifica segnalazione non sono raccolti o, se raccolti accidentalmente, sono cancellati tempestivamente.

11. Natura del conferimento dei dati e conseguenze dell’eventuale mancato conferimento

Al fine di classificare la segnalazione come whistleblowing i suoi dati identificativi (nome, cognome) devono essere forniti obbligatoriamente in quanto, come precisato da ANAC (Autorità Nazionale Anticorruzione) con Determinazione n° 6 del 28 aprile 2015, le segnalazioni anonime “non rientrano, per espressa volontà del legislatore, direttamente nel campo di applicazione dell’art. 54 bis del d.lgs. 165/2001”. Nel caso in cui il segnalante volesse comunque procedere con segnalazione anonima, tale segnalazione verrà presa in considerazione esclusivamente laddove adeguatamente circostanziata, resa con dovizia di particolari e dunque in grado di far emergere fatti e situazioni relazionandoli a contesti determinati.

E’ rimessa invece a ciascun segnalante la decisione circa quali ulteriori dati personali conferire. Maggiori sono i dettagli presenti nella segnalazione, maggiori saranno le possibilità per L.F.I. s.p.a. di intervenire nell’interesse dell’integrità della Pubblica Amministrazione.