Procedura Whistleblowing

 (In vigore dal 19 dicembre 2024, ultimo aggiornamento 19 dicembre 2024)

INDICE

1. Premessa
2. Destinatari della Procedura
3. Oggetto della Segnalazione
4. Contenuto delle Segnalazioni
5. Destinatario delle Segnalazioni (anche «Gestore delle Segnalazioni»)
6. Canali di comunicazione delle Segnalazioni
7. Gestione delle Segnalazioni
8. La tutela della riservatezza del Segnalante
9. Divieto di comportamenti discriminatori e ritorsivi
10. Segnalazioni vietate
11. Apparato sanzionatorio

 

1. Premessa

Nell’ambito del «Sistema 231», a tutela dell’integrità aziendale, DATAFLOW SECURITY SRL (di seguito anche «DATAFLOW») adotta la procedura Whistleblowing (di seguito anche «Procedura WB») ai sensi del D. Lgs. 10 marzo 2023 n. 24.

 

2. Destinatari della Procedura

Destinatari della Procedura sono:

• i soci e le persone che rivestono all’interno di DATAFLOW funzioni di amministrazione, gestione, controllo, vigilanza o rappresentanza;
• i lavoratori subordinati, gli ex dipendenti e i candidati a posizioni lavorative;
• i volontari e tirocinanti, retribuiti e non retribuiti;
• i lavoratori o i collaboratori alle dipendenze di organizzazioni che forniscono beni o servizi a DATAFLOW;
• i consulenti e i collaboratori nello svolgimento della propria attività lavorativa presso DATAFLOW;
• i lavoratori autonomi e i liberi professionisti,
  che sono in possesso di informazioni su violazioni, come definite nella presente Procedura, delle quali sono venuti a conoscenza nell’ambito del proprio contesto lavorativo.

 

Rientrano, altresì, tra i Destinatari, i soggetti fisici e giuridici, non ricompresi nelle precedenti categorie, ma ai quali si applicano le misure di protezione previste dalla presente Procedura. Quanto previsto in questo documento si applica anche alle Segnalazioni anonime, purché adeguatamente circostanziate, come di seguito definite.

 

3. Oggetto della Segnalazione

La procedura Whistleblowing consente di segnalare tempestivamente:

• qualsiasi condotta illecita rilevante ai sensi del D.Lgs. n. 231/2001;
• qualsiasi violazione del Modello di Organizzazione, Gestione e Controllo adottato dalla Società, di cui il Codice Etico costituisce parte integrante;
• qualsiasi violazione di procedure e regolamenti aziendali adottati da DATAFLOW;
• qualsiasi comportamento attivo od omissivo riferibili al contesto lavorativo e che possono ledere l’interesse pubblico, l’integrità o la reputazione della Società, delle quali si venga a conoscenza in ragione delle funzioni svolte (di seguito anche «Segnalazioni»).

 

4. Contenuto delle Segnalazioni

Le Segnalazioni Rilevanti devono essere adeguatamente circostanziate, risultare fondate su elementi di fatto, precisi e concordanti, in quanto devono essere utili a riscontrare, con le opportune verifiche, i fatti riportati. Non è indispensabile che il Segnalante disponga di prove sufficienti a dimostrare il fatto segnalato.

Una Segnalazione ben effettuata, circostanziata e dettagliata, può essere gestita senza ulteriore coinvolgimento del Segnalante.

La Segnalazione deve dunque contenere tutti gli elementi utili al fine di garantire la raccolta di quanto indispensabile alla ricostruzione del fatto e all’accertamento della fondatezza di quanto segnalato. In particolare, la Segnalazione dovrà contenere i seguenti elementi:

• descrizione dei fatti oggetto di segnalazione, comprese, se conosciute, le circostanze di tempo e luogo in cui sono stati commessi i fatti segnalati;
  se conosciute, generalità o comunque altri elementi (funzione/ruolo aziendale) che consentano un’agevole identificazione del presunto autore del comportamento illecito.

 

Il Segnalante potrà indicare i seguenti ulteriori elementi:

• eventuali altri soggetti che possono riferire sui fatti;
• ulteriori informazioni/documentazione a riscontro della Segnalazione.

 

Affinché una Segnalazione sia circostanziata, tali requisiti non devono necessariamente essere rispettati contemporaneamente, in considerazione del fatto che il Segnalante può non essere nella piena disponibilità di tutte le informazioni richieste.
Le Segnalazioni non possono riguardare meri sospetti o notizie meramente riferite da terzi o comunque che non abbiamo elementi di fatto o documenti univoci a supporto degli stessi. In ogni caso, non è necessario che il Segnalante sia certo dell’effettivo avvenimento dei fatti segnalati e dell’autore degli stessi, essendo sufficiente che, in base alle proprie conoscenze e in buona fede, ovvero sulla base di una ragionevole convinzione fondata su elementi di fatto e circostanziati, lo ritenga altamente probabile.

 

5. Destinatario delle Segnalazioni (anche «Gestore delle Segnalazioni»)

L’Organismo di Vigilanza costituisce l’organismo Destinatario delle Segnalazioni di cui al punto 3. Tutti i componenti dell’organismo hanno potere di gestione delle Segnalazioni. I canali di comunicazione delle Segnalazioni, come descritti nel paragrafo che segue, garantiscono la tracciabilità dell’attività svolta da ogni singolo membro dell’organismo Destinatario delle Segnalazioni.
Il Destinatario delle Segnalazioni, nominato dal Consiglio di Amministrazione, sovrintende alla formazione dei dipendenti e dei collaboratori sul tema del Whistleblowing.

 

6. Canali di comunicazione delle Segnalazioni

DATAFLOW attiva e mantiene aperti i seguenti canali di comunicazione interni (di seguito anche i «Canali di ricezione») verso il Destinatario delle Segnalazioni:

i. in forma scritta, attraverso la piattaforma informatica «My Whistleblowing» accessibile dalla pagina dedicata sul proprio sito internet. Il sistema garantisce la completa riservatezza dei dati del Segnalante e della Segnalazione, separando il contenuto della Segnalazione dall’identità del Segnalante e crittografando i dati e i documenti inseriti;
ii. in forma orale, a mezzo di un messaggio vocale che sarà possibile registrare accedendo alla piattaforma informatica «My Whistleblowing»; il sistema garantisce la riservatezza dell’identità del Segnalante, come sopra. Inoltre, il messaggio vocale, che dovrà avere una durata massima di 5 minuti, verrà processato dalle funzioni di sistema in modo tale da operare una trasformazione sulla voce registrata alterandone le caratteristiche, così da non renderla riconoscibile;
iii. in forma orale, mediante un incontro diretto con il Destinatario della Segnalazione su richiesta del Segnalante; tale richiesta dovrà essere preferibilmente trasmessa tramite il canale summenzionato. L’incontro è fissato entro un termine ragionevole (10/15 giorni). In tal caso, previo consenso del Segnalante, il colloquio è documentato mediante registrazione su un dispositivo idoneo alla conservazione e all’ascolto oppure mediante verbale, che il Segnalante può verificare e/o rettificare e che dovrà confermare mediante sottoscrizione.

I canali di ricezione garantiscono la riservatezza dell’identità del Segnalante, delle persone coinvolte, dei facilitatori (1), delle persone comunque menzionate nella Segnalazione, nonché del contenuto della Segnalazione e della relativa documentazione. Il canale informatico consente di effettuare Segnalazioni in forma anonima e garantisce l’anonimizzazione del dato (tecnica della crittografia).

Resta inteso che chiunque riceva una Segnalazione, in qualsiasi forma (orale o scritta), deve trasmetterla senza indugio (2), e comunque entro 7 giorni dal suo ricevimento, al Destinatario delle Segnalazioni attraverso i canali di segnalazione interni sopra descritti, dandone contestuale notizia al Segnalante. In tal caso è necessario che il Segnalante dichiari espressamente di voler beneficiare delle tutele in materia di Whistleblowing, o che la suddetta volontà sia desumibile dalla Segnalazione; diversamente, quest’ultima sarà trattata alla stregua di una Segnalazione ordinaria.

La mancata comunicazione di una Segnalazione ricevuta nei termini suddetti costituisce violazione della Procedura e potrà comportare l’adozione di provvedimenti disciplinari.

(1) Trattasi delle persone che operano nel medesimo contesto lavorativo del Segnalante e che assistono il Segnalante nel processo di segnalazione.

(2) È altresì, tenuto a trasmettere l’originale della Segnalazione, inclusa eventuale documentazione di supporto, nonché l’evidenza della comunicazione al Segnalante dell’avvenuto inoltro della Segnalazione. Non può trattenere copia dell’originale e deve eliminare eventuali copie, anche in formato digitale, astenendosi dall’intraprendere qualsiasi iniziativa autonoma di analisi e/o approfondimento.

 

7. Gestione delle Segnalazioni

Il Destinatario delle Segnalazioni svolge le seguenti attività:

a. rilascia al Segnalante avviso di ricevimento della Segnalazione non oltre 7 giorni dalla data di ricezione;
b. mantiene le interlocuzioni con il Segnalante e può richiedere a quest’ultimo, se necessario, integrazioni;
c. dà diligente seguito alle Segnalazioni ricevute;
d. fornisce riscontro alla Segnalazione entro 3 mesi dalla data dell’avviso di ricevimento o, in mancanza di tale avviso, entro 3 mesi dalla scadenza del termine di 7 giorni dalla presentazione della Segnalazione.

 

7.1 I compiti di chi riceve la Segnalazione

Una volta ricevuta la Segnalazione, la gestione della stessa è articolata in tre fasi:

a. protocollazione e custodia;
b. istruttoria e comunicazione degli esiti;
c. archiviazione.

 

7.1.1 Protocollazione e custodia

Nel caso la Segnalazione avvenga tramite «My Whistleblowing», sarà la piattaforma informatica a prevedere una protocollazione completa e riservata in conformità con la normativa di riferimento.
Nel caso di comunicazioni ricevute con le altre modalità previste dalla procedura (modalità iii, paragrafo 6), il Destinatario della Segnalazione provvede con tempestività ad inserire la Segnalazione nella piattaforma riportando:

• i dati identificativi del Segnalante;
• la data di ricezione;
• il canale di ricezione utilizzato.
  Il Destinatario delle Segnalazioni aggiorna la piattaforma, che funge da «Registro delle Segnalazioni», con l’indicazione dello stato di lavorazione della pratica.

 

7.1.2 Istruttoria e comunicazione degli esiti

Il Destinatario che riceve la Segnalazione effettua un primo screening di ammissibilità, poiché è importante distinguere una Segnalazione aderente a determinati criteri soggettivi (proveniente dai «Destinatari della procedura Whistleblowing») ed oggettivi (così come identificati al paragrafo 3), da una mera lamentela.
Il Destinatario della Segnalazione valuterà:

a. se l’oggetto della Segnalazione è già stato valutato in passato dall’organizzazione, o dall’Autorità competente, o se sia qualificabile come mera lamentela;
b. se la Segnalazione contenga sufficienti elementi per poter essere verificata o se, al contrario, risulti troppo generica e priva degli elementi necessari per una successiva indagine.

 

7.1.2.1 Segnalazione «Irrilevante»

Qualora il Destinatario della Segnalazione valuti la Segnalazione alla stregua di una mera lamentela, o verifichi il fatto che l’oggetto della Segnalazione è già stato riscontrato in passato dall’organizzazione o dall’Autorità competente procederà all’archiviazione della Segnalazione, informando il Segnalante. Il Destinatario della Segnalazione ne darà atto nel «Registro delle Segnalazioni» (mediante la piattaforma «My Whistleblowing»), e trasmetterà la Segnalazione alle funzioni aziendali competenti al suo trattamento.

 

7.1.2.2 Segnalazione «Carente»

Qualora il Destinatario della Segnalazione valuti la Segnalazione eccessivamente generica e necessiti di ulteriori elementi utili all’indagine, dovrà contattare il Segnalante, nella tutela della riservatezza dell’identità dello stesso. Nel caso in cui non siano forniti ulteriori elementi o siano forniti elementi insufficienti all’indagine, il Destinatario valuterà le eventuali ragioni sottese, qualora indicate, nonché procederà a verificare la possibilità di ottenere le informazioni necessarie contattando gli ulteriori soggetti eventualmente coinvolti nella Segnalazione.

In base all’esito di questi ulteriori approfondimenti, il Destinatario delle Segnalazioni riqualificherà la stessa quale Segnalazione «Rilevante», da trattare ai sensi del paragrafo successivo, o, diversamente, procederà alla sua archiviazione. Come sopra, di tali valutazioni sarà tenuta traccia nel «Registro delle Segnalazioni».

 

7.1.2.3. Segnalazione «Rilevante»

Per le Segnalazioni «Rilevanti», cioè sufficientemente circostanziate e pertinenti da consentire l’avvio delle indagini di riscontro, il Destinatario delle Segnalazioni svolge gli opportuni accertamenti interni, anche coinvolgendo altre strutture aziendali, per verificare la fondatezza dei fatti denunciati. Nel caso lo ritenga necessario, può avvalersi di consulenti esterni, tenuti all’obbligo di riservatezza sui fatti dei quali vengono a conoscenza nell’espletamento dell’attività di consulenza e sull’identità delle persone coinvolte.

Qualora la Segnalazione risulti «fondata», il Destinatario delle Segnalazioni è tenuto a contestare tempestivamente e formalmente le violazioni denunciate alla Persona Segnalata, la quale può, entro 30 giorni dalla ricezione della contestazione, chiedere di essere sentita ovvero presentare osservazioni scritte e documenti.

Al termine degli accertamenti il Destinatario delle Segnalazioni predispone una apposita relazione per il Consiglio di Amministrazione, in cui è formalizzato il contesto, il quadro normativo e procedurale di riferimento, le attività di verifica svolte, i relativi risultati emersi, i documenti e/o altri elementi comprovanti la condotta illecita o la violazione commessa. Il Consiglio di Amministrazione assumerà le decisioni del caso.

Qualora, invece, dall’analisi svolta la Segnalazione, se non anonima, risulti infondata e ragionevolmente effettuata con dolo o colpa grave dal Segnalante, il Destinatario della Segnalazione attiva le funzioni aziendali competenti per l’avvio del procedimento disciplinare nei confronti del Segnalante. In tale caso il Destinatario della Segnalazione ne dà comunicazione al Soggetto Segnalato, per consentirgli l’esercizio dei diritti di difesa.

In tutti questi casi è necessaria la verbalizzazione dell’attività svolta.

In caso di Segnalazioni che riguardino i componenti del Consiglio di Amministrazione, il Destinatario delle Segnalazioni dà comunicazione immediata all’Organo di controllo, così come definito nella Parte Generale del MOGC 231 adottato dalla Società.

 

7.1.3 Archiviazione

Il Destinatario delle Segnalazioni provvede alla archiviazione di tutta la documentazione correlata, con modalità che tutelino la riservatezza dell’identità del Segnalante, e in modo idoneo ad evitare l’accesso di terzi alle informazioni e documenti. L’attività di privacy compliance di DATAFLOW ha portato alla implementazione di specifiche cautele volte a garantire che sia tutelata la riservatezza dei dati del Segnalante e delle attività di analisi e trattamento della Segnalazione a fronte di qualsiasi accesso, per motivi di lavoro (Amministratori di sistema, autorizzati dal titolare del trattamento, …) ai predetti documenti, informazioni o sistemi informatici. Le Segnalazioni sono conservate per il tempo necessario al trattamento della Segnalazione e comunque non oltre 5 anni a decorrere dalla data della comunicazione dell’esito finale della Procedura di segnalazione. I dati personali che manifestamente non sono utili al trattamento di una specifica Segnalazione non sono raccolti o, se raccolti accidentalmente, sono cancellati tempestivamente. Gli originali delle Segnalazioni pervenute con le modalità di cui al paragrafo 6, numero iii, così come ogni altro documento cartaceo, sono conservati in apposito ambiente protetto (armadi chiusi a chiave), a cura e sotto la responsabilità del Destinatario delle Segnalazioni, secondo modalità che ne precludano l’accesso da parte di terzi.

 

8. La tutela della riservatezza del Segnalante

I canali di Segnalazione interna garantiscono la riservatezza dell’identità del Segnalante nelle attività di gestione delle Segnalazioni (a partire dal ricevimento della Segnalazione, e in tutte le fasi del processo).

L’utilizzo della piattaforma informatica «My Whistleblowing» garantisce la completa riservatezza del Segnalante, in quanto solo il Destinatario delle Segnalazioni può accedere alla Segnalazione stessa.

In caso di Segnalazioni effettuate tramite altra modalità, il Destinatario della Segnalazione, una volta ricevuta la Segnalazione, la carica nella piattaforma.

Chiunque riceva una Segnalazione Rilevante è tenuto alla riservatezza dell’identità del Segnalante, dei facilitatori, delle persone coinvolte e/o comunque menzionate nella Segnalazione, del contenuto della Segnalazione e della relativa documentazione.

La tutela del Segnalante è estesa anche ai seguenti casi:

• quando il rapporto giuridico non è ancora iniziato, se le informazioni sulle violazioni sono state acquisite durante il processo di selezione o in altre fasi precontrattuali;
• durante il periodo di prova;
• dopo lo scioglimento del rapporto se le informazioni sulle violazioni sono state acquisite nel corso del rapporto stesso.

 

Le misure di protezione si applicano anche nei confronti dei facilitatori e degli altri soggetti coinvolti e/o menzionati nella Segnalazione.
Sono fatti salvi gli obblighi di legge in merito alle comunicazioni all’Autorità.

L’identità del Segnalante e qualsiasi altra informazione da cui può evincersi, direttamente o indirettamente, tale identità non possono essere rivelate, senza il consenso espresso dello stesso, a persone diverse da quelle competenti a ricevere o a dare seguito alle

Segnalazioni, espressamente autorizzate a trattare tali dati ai sensi del Regolamento (UE) 2016/679 e del decreto legislativo 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali).

Nell’ambito del procedimento disciplinare, l’identità del Segnalante non può essere rivelata, ove la contestazione dell’addebito disciplinare sia fondata su accertamenti distinti e ulteriori rispetto alla Segnalazione, anche se conseguenti alla stessa.

Qualora la contestazione sia fondata, in tutto o in parte, sulla Segnalazione, e la conoscenza dell’identità del Segnalante sia indispensabile per la difesa dell’incolpato, la Segnalazione sarà utilizzabile ai fini del procedimento disciplinare solo in presenza del consenso espresso del Segnalante alla rivelazione della propria identità.
Può, inoltre, non essere rispettata la riservatezza del Segnalante nei casi in cui:

• il Segnalante dia il consenso espresso alla rivelazione della sua identità;
• venga accertata con sentenza di primo grado la responsabilità penale del Segnalante per reati di calunnia o diffamazione o comunque per reati commessi con la Segnalazione, ovvero la sua responsabilità civile per lo stesso titolo nei casi di dolo o colpa grave;
• l’anonimato non sia opponibile per legge e l’identità del Segnalante sia richiesta dall’Autorità Giudiziaria.

 

La violazione dell’obbligo di riservatezza è fonte di responsabilità disciplinare, fermo restando le ulteriori forme di responsabilità previste dall’Ordinamento. Il Segnalante è tenuto indenne da atti discriminatori o di ritorsione, diretti o indiretti, per motivi collegati, direttamente o indirettamente, alla Segnalazione. Nel merito, si rinvia al paragrafo 9.

 

9. Divieto di comportamenti discriminatori e ritorsivi nei confronti del Segnalante

Non è consentita, né tollerata, alcuna forma di ritorsione o azione discriminatoria, diretta o indiretta, aventi effetti sulle condizioni di lavoro del Segnalante per motivi collegati, direttamente o indirettamente, alla Segnalazione.
In particolare, la legge prevede la nullità del licenziamento ritorsivo o discriminatorio del Segnalante, del mutamento di mansioni ai sensi dell’art. 2103 del Codice civile (demansionamento, trasferimento ingiustificato, …), nonché di qualsiasi altra misura ritorsiva o discriminatoria adottata nei confronti del Segnalante (mobbing, molestie sul lavoro, qualsiasi altro comportamento che determini condizioni di lavoro intolleranti).

Il Destinatario delle Segnalazioni vigila sul rispetto del divieto di “atti di ritorsione o azione discriminatoria, diretta o indiretta, aventi effetti sulle condizioni di lavoro del Segnalante per motivi collegati, direttamente o indirettamente, alla segnalazione”.

La violazione del suddetto divieto è sanzionabile sul piano disciplinare in conformità al Sistema Disciplinare aziendale adottato dalla Società nell’ambito del Modello di Organizzazione, Gestione e Controllo. Resta fermo il potere sanzionatorio degli Organi competenti previsto dalla normativa. La protezione è garantita anche al Segnalante anonimo, che ritiene di aver subito ritorsioni ed è stato successivamente identificato.

Le misure di protezione si applicano nei limiti e alle condizioni previste dal capo III del D.lgs. n. 24/2023 e sono estese anche a:

• i facilitatori;
• le persone del medesimo contesto lavorativo del Segnalante, che sono legate ad esso da uno stabile legame affettivo o di parentela entro il quarto grado;
• i colleghi di lavoro del Segnalante che lavorano nel medesimo contesto lavorativo e che hanno con esso un rapporto abituale e corrente;
• gli enti di proprietà del Segnalante o per i quali lo stesso lavora, nonché gli enti che operano nel medesimo contesto lavorativo del Segnalante.

 

10. Segnalazioni vietate

DATAFLOW non ammette che la presente Procedura di segnalazione di illeciti e violazioni possa rappresentare lo strumento per dare sfogo a dissapori o contrasti tra il personale dell’organizzazione. In particolare, sono vietati:

• l’inoltro di Segnalazioni con finalità puramente diffamatorie o calunniose;
• il ricorso a espressioni ingiuriose;
• l’inoltro di Segnalazioni che attengono esclusivamente ad aspetti della vita privata, senza alcun collegamento diretto o indiretto con l’attività aziendale.

DATAFLOW riterrà ancor più gravi tali Segnalazioni quando riferite ad abitudini e orientamenti sessuali, religiosi, politici e filosofici.

 

11. Apparato sanzionatorio

Costituiscono illecito disciplinare, sanzionabile con i provvedimenti previsti dal Sistema Disciplinare aziendale adottato dalla Società nell’ambito del Modello di Organizzazione, Gestione e Controllo, al quale si rinvia:

a. la violazione delle misure di tutela del Segnalante (che in buona fede ha effettuato la Segnalazione) e degli altri soggetti di cui al paragrafo 9, quali l’adozione di atti ritorsivi o discriminatori per motivi collegati, direttamente o indirettamente, alla Segnalazione;
b. la violazione degli obblighi di riservatezza;
c. le segnalazioni vietate, come anticipato al punto che precede;
d. l’effettuazione con dolo o colpa grave di segnalazioni che si rivelino infondate;
e. la mancata comunicazione al Destinatario delle Segnalazioni di una Segnalazione ricevuta, nei termini indicati in questa procedura.

Nel caso ciò avvenga da parte del Destinatario delle Segnalazioni (o da un membro dello stesso), unitamente al caso di mancata verifica di quanto riportato dal Segnalante, la Società potrà decidere di infliggere sanzioni.
Resta inteso che qualsiasi violazione della presente Procedura sarà sanzionata in proporzione alla sua gravità e in conformità con le leggi applicabili, le previsioni contrattuali e i regolamenti aziendali in vigore.