D.Lgs. 24 del 10 marzo 2023

Attuazione della direttiva (UE) 2019/1937 del Parlamento europeo e del Consiglio, del 23 ottobre 2019, riguardante la protezione delle persone che segnalano violazioni del diritto dell’Unione e recante disposizioni riguardanti la protezione delle persone che segnalano violazioni delle disposizioni normative nazionali.

Le novità rispetto alla precedente formulazione sono tante, si riportano di seguito le principali:

• Riguarda tutti gli enti pubblici e i soggetti privati che hanno almeno 50 dipendenti;
• Obbligo di individuare dei canali predefiniti interni o esterni che consentano le segnalazioni in forma scritta o in forma verbale;
• Obbligo di individuare un Responsabile Whistleblowing e/o dei soggetti incaricati;
• Necessità di predisporre una Policy e una informativa whistleblowing;
• Obbligo di effettuare una “comunicazione “alle rappresentanze sindacali che devono essere informati della procedura attivata;
• Necessità di un atto organizzativo ad HOC formalizzato dall’Organo ammnistrativo;
• Pubblicazione di informative e segnalazioni sul sito aziendale;
• Definizione di una nuova procedura aziendale che integri il Modello 231/01 attualmente adottato;
• Programmi di formazione e Informazione al personale interno.

Le novità sono molte e impegnative, sarà necessario mettere a punto una “strategia aziendale” (se volete chiamiamola “procedura”) per rispondere a quest’obbligo e mettere la società in regola con la normativa.

Alleghiamo la principale documentazione di riferimento, che consente una presa di conoscenza dell’argomento:

• Decreto legislativo 10 marzo 2023 n°24: https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:decreto.legislativo:2023;024
• Linee guida Anac: https://www.anticorruzione.it/documents/91439/146849359/Delibera+n.+311+del+12+luglio+2023+LLGG+WB+versione+unitaria_.pdf/c87e8c07-86d0-baf9-685d-274e2eb6c93e?t=1690552947183
• Guida operativa di Confindustria per l’applicazione del D.L. 24: https://www.confindustria.it/wcm/connect/764634fd-46ef-42cc-adce-999e16ea4485/Guida+Operativa+Whistleblowing.pdf?MOD=AJPERES&CONVERT_TO=url&CACHEID=ROOTWORKSPACE-764634fd-46ef-42cc-adce-999e16ea4485-oJNmhSD

L'articolo Nuova normativa in tema di Whistleblowing- Segnalazione di condotte illecite proviene da Compliance Consulenza Selezione del Personale a Milano.

COSA È UNA VIOLAZIONE DEI DATI PERSONALI (DATA BREACH)?* 

Una violazione di sicurezza che comporta – accidentalmente o in modo illecito – la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati. 

Una violazione dei dati personali può compromettere la riservatezza, l’integrità o la disponibilità di dati personali. 

Alcuni possibili esempi: 

– l’accesso o l’acquisizione dei dati da parte di terzi non autorizzati;

– il furto o la perdita di dispositivi informatici contenenti dati personali;

– la deliberata alterazione di dati personali;

– l’impossibilità di accedere ai dati per cause accidentali o per attacchi esterni, virus, malware, ecc.; 

– la perdita o la distruzione di dati personali a causa di incidenti, eventi avversi, incendi o altre calamità;

– la divulgazione non autorizzata dei dati personali.

COSA FARE IN CASO DI VIOLAZIONE DEI DATI PERSONALI?

Il titolare del trattamento (soggetto pubblico, impresa, associazione, partito, professionista, ecc.) senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, deve notificare la violazione al Garante per la protezione dei dati personali a meno che sia improbabile che la violazione dei dati personali comporti un rischio per i diritti e le libertà delle persone fisiche.

Il responsabile del trattamento che viene a conoscenza di una eventuale violazione è tenuto a informare tempestivamente il titolare in modo che possa attivarsi. 

Le notifiche al Garante effettuate oltre il termine delle 72 ore devono essere accompagnate dai motivi del ritardo. 

Inoltre, se la violazione comporta un rischio elevato per i diritti delle persone, il titolare deve comunicarla a tutti gli interessati, utilizzando i canali più idonei, a meno che abbia già preso misure tali da ridurne l’impatto. 

Il titolare del trattamento, a prescindere dalla notifica al Garante, documenta tutte le violazioni dei dati personali, ad esempio predisponendo un apposito registro. Tale documentazione consente all’Autorità di effettuare eventuali verifiche sul rispetto della normativa.

CHE TIPO DI VIOLAZIONI  DI DATI PERSONALI VANNO NOTIFICATE?

Vanno notificate unicamente le violazioni di dati personali che possono avere effetti avversi significativi sugli individui, causando danni fisici, materiali  o immateriali. 

Ciò può includere, ad esempio, la perdita del controllo sui propri dati personali, la limitazione di alcuni diritti, la discriminazione, il furto d’identità o il rischio di frode, la perdita di riservatezza dei dati personali protetti dal segreto professionale, una perdita finanziaria, un danno alla reputazione  e qualsiasi altro significativo svantaggio economico o sociale.

CHE INFORMAZIONI DEVE CONTENERE LA NOTIFICA AL GARANTE?**
 

La notifica deve contenere le informazioni previste all’art. 33, par. 3 del Regolamento (UE) 2016/679 e indicate nell’allegato al Provvedimento del Garante del 30 luglio 2019 sulla notifica delle violazioni dei dati personali (doc. web n. 9126951).

Qualora si utilizzi per la notifica il modello allegato al provvedimento, è necessario scaricarlo sul proprio dispositivo e successivamente procedere alla sua compilazione.

COME INVIARE LA NOTIFICA AL GARANTE?

La notifica deve essere inviata al Garante tramite posta elettronica all’indirizzo protocollo@pec.gpdp.it e deve essere sottoscritta digitalmente (con firma elettronica qualificata/firma digitale) ovvero con firma autografa. In quest’ultimo caso la notifica deve essere presentata unitamente alla copia del documento d’identità del firmatario.

L’oggetto del messaggio deve contenere obbligatoriamente la dicitura “NOTIFICA VIOLAZIONE DATI PERSONALI” e opzionalmente la denominazione del titolare del trattamento.

LE AZIONI DEL GARANTE

Il Garante può prescrivere misure correttive (v. art. 58, paragrafo 2, del Regolamento UE 2016/679) nel caso sia rilevata una violazione delle disposizioni del Regolamento stesso, anche per quanto riguarda l’adeguatezza delle misure di sicurezza tecniche e organizzative applicate ai dati oggetto di violazione. Sono previste sanzioni pecuniarie che possono arrivare fino a 10 milioni di Euro o, nel caso di imprese, fino al 2% del fatturato totale annuo mondiale. 

* La scheda ha mero valore divulgativo ed è in continuo aggiornamento in base all’evoluzione delle indicazioni applicative del Regolamento (UE) 2016/679.

** Il Garante renderà prossimamente disponibile una procedura online.

L'articolo Violazioni di Dati Personali in Base al Reg. UE 2016/679 proviene da Compliance Consulenza Selezione del Personale a Milano.