WHISTLEBLOWING POLICY
IBS TECHNOLOGY S.p.A.
Via Carlo Magni, 1/A
21049 Tradate (VA)
Summary
- Objective
- Normative and regulatory references
- Who can report
- What violations can be reported
- Who to report to
- Elements of reports
- Management of reports, reporting and archiving
- Safeguards and protective measures
- Privacy policy
- Annex 1: Report form
1. Objective
IBS Technology S.p.A. (hereinafter also “IBS Technology” or “the Company”), in compliance with the regulatory provisions introduced by Legislative Decree 24/2023, has established a process for reporting violations, ensuring adequate protection for the whistleblowers, also known as whistleblowers. through the preparation of specific protection measures.
Through this policy, the Company defines the rules for the communication, management and processing of such reports so that the legislative provisions are respected and the process followed for the management of reports and subsequent checks is made known.
2. Normative and regulatory references
On March 15th, 2023 Legislative Decree no. 24/2023 was published in the Official Journal (hereinafter also "the Decree"), implementing EU Directive 2019/1937, concerning «the protection of people who report violations of Union law and containing provisions regarding the protection of people who report violations of regulatory provisions national".
The Decree has, in fact, repealed and modified the previous legislation (L. 179/2017), strengthening the national legislation on whistleblowing by bringing together in a single regulatory text, valid for both the public sector and the private sector, the regime of protection of subjects who report illicit conduct in violation of European and national provisions.
Specifically, this legislation applies to private sector companies that employ at least fifty subordinate workers with permanent or fixed-term employment contracts, to companies that operate in sectors regulated at European level (e.g. financial markets and credit sector, security transport, environmental protection) even if they have not reached the average of at least fifty employed workers and, finally, to companies that adopt organisation, management and control models pursuant to Legislative Decree 231/01 even if in the last year they have not reached the average of at least fifty employed workers.
IBS Technology S.p.A. falls within the applicability of Legislative Decree 24/2023 and, therefore, this policy has been drawn up in compliance with the regulatory provisions introduced by the decree itself, by the Guidelines on the protection of people who report violations of Union law and protection of people who report violations of the national regulatory provisions approved with Resolution no. 311 of 12 July 2023 and published on 14 July 2023 by the ANAC - National Anti-Corruption Authority as well as by the Operational Guide for Private Entities - New "whistleblowing" discipline, published by Confindustria in October 2023.
3. Who can report
The subjects who can submit reports of violations, based on art. 3 of Legislative Decree 24/2023, are as follows:
-
employed workers, including:
workers whose employment relationship is governed by Legislative Decree no. 81/2015.
These are, for example, part-time, intermittent, fixed-term, agency, apprenticeship and accessory work relationships;workers who carry out occasional services (whose employment relationship is governed by art. 54-bis of Legislative Decree no. 50/2017, converted with mm.ii. by Law no. 96/2017);
self-employed workers who carry out their work at IBS Technology S.p.A.;
workers or collaborators who carry out their work at IBS Technology S.p.A.;
freelancers and consultants who work for IBS Technology S.p.A.;
volunteers and interns, paid and unpaid;
shareholders, i.e. natural persons who have become aware of the reported violations in the exercise of the rights they hold by virtue of their role as shareholders in the company;
people with administration, management, control, supervision or representation functions of the company.
4. What violations can be reported
The information on violations must concern behaviours, acts or omissions of which the reporting party became aware in the working context of IBS Technology S.p.A.
On the basis of the provisions of the art. 1 of Legislative Decree 24/2023, behaviors, acts or omissions that harm the public interest or the integrity of IBS Technology and which consist respectively of:
-
violations of national regulatory provisions, which include:
administrative, accounting, civil or criminal offences, other than those specifically identified as violations of EU law;
significant illicit conduct pursuant to Legislative Decree 231/2001, or violations of the organization and management models provided therein;
-
violations of European legislation, which include:
offenses that fall within the scope of application of European Union acts and all national provisions that implement them relating to the following sectors: public contracts; financial services, products and markets and prevention of money laundering and terrorist financing; product safety and compliance; transport safety; environmental protection (for example, so-called environmental crimes such as dumping, emission or other type of release of dangerous materials into the air, soil or water or illicit collection, transport, recovery or disposal of hazardous waste); radiation protection and nuclear safety; public health; consumer protection; protection of privacy and protection of personal data and security of networks and information systems;
acts or omissions detrimental to the financial interests of the Union (for example, fraud, corruption and any other illegal activity related to Union expenditure);
acts or omissions relating to the internal market, which undermine the free movement of goods, people, services and capital (for example, breaches of EU competition and state aid rules, corporate tax and mechanisms the purpose of which is to obtain a tax advantage which defeats the object or purpose of the applicable corporate tax legislation);
acts or behaviors that defeat the object or purpose of the provisions of Union acts (for example, abusive practices as defined by the jurisprudence of the Court of Justice of the European Union).
Furthermore, those elements that concern conduct aimed at concealing violations such as, for example, the concealment or destruction of evidence regarding the commission of the violation may also be subject to reporting.
However, the following are expressly excluded from the scope of application of the whistleblowing regulation and, therefore, to be treated as ordinary reports:
disputes or claims of a personal nature in individual employment relationships, or inherent to employment relationships with hierarchically superior figures. For example, reports regarding labor disputes, discrimination between colleagues, interpersonal conflicts between the reporting person and another worker or with hierarchical superiors, reports relating to data processing carried out in the context of the individual employment relationship in the absence of injuries to the public interest or the integrity of the Company: IBS Technology S.p.A. hopes that these cases will be resolved if possible through dialogue, even informally;
reports of violations already regulated by European Union or national acts in certain special sectors, to which the ad hoc reporting framework continues to apply. For examples Directive 2013/36/EU of the European Parliament and of the Council which provided for the protection of whistleblowers within the prudential framework applicable to credit institutions and investment firms; Articles 52-bis and 52-ter of the Consolidated Banking Act, which contain provisions on breach reporting in the banking sector; Articles 4-undecies "Internal Breach Reporting Systems" and 4-duodecies "Reporting Procedure to Supervisory Authorities", which introduce detailed provisions on the protection of whistleblowers in financial intermediation;
reports of violations relating to national security or procurement relating to aspects of defence or national security, unless such aspects are attributable to European Union law.
Clearly unfounded news, information that is already totally in the public domain, as well as information acquired only on the basis of unreliable indiscretions or rumours, are strictly excluded from the subject of the reports.
The reports, limited to the types provided for by Legislative Decree 24/2023 and reported above, must be made with a spirit of responsibility and have a character of interest for the common good and concern behaviours, acts or omissions of which the reporting party is learned about in the work context.
5. Who to report to
5.1 Reporting channels
IBS Technology S.p.A., in compliance with the regulatory provisions set out in articles. 4 and 5 of Legislative Decree 24/2023, has activated a specific internal reporting channel, as a tool and means of communicating the reports of violations presented by whistleblowers.
IBS Technology has entrusted the management of the reports to the members of the Supervisory Body, in the persons of the President Dr. Massimiliano Rigo, Dr. Claudio Gianoncelli, and Dr. Jean Francois Brignone, who were appointed by the Board of Directors of the Company and formally authorized to exclusively receive reports.
The Board of Directors of the Company has, in fact, carried out an assessment of the characteristics of the subjects indicated above to carry out this activity, who:
ensure autonomy, independence and impartiality in reporting management activities;
have received adequate professional training on the discipline of whistleblowing, also with reference to concrete cases;
are recipients of a specific training activity on privacy.
In particular, reports must be transmitted through the following internal reporting channels:
communication by completing the form available on the LegalTegrity whistle-blower platform at the following link: https://app.whistle-report.com/report/37202dde-1ed1-4625-8ef9-dbb49ec8d18b
alternatively, through the voice messaging system to the mobile number of the President of the Supervisory Body, Dr. Massimiliano Rigo: +393473411211;
upon request of the reporting person through a direct meeting with the members of the Supervisory Body, in the persons of the President Dr. Massimiliano Rigo, Dr. Claudio Gianoncelli, and Dr. Jean Francois Brignone, to be set within a reasonable time and upon reasoned request addressed to the President of the Supervisory Body, Dr. Massimiliano Rigo, at the email address: CH-IBS-ODV@hydac.com or by request through the whistleblowing platform indicated above.
The aforementioned channels were established with a view to guaranteeing the protection of the confidentiality of the reporting party, of the facilitator (natural person who assists the reporting party in the reporting process), of the people involved and in any case mentioned in the report, as well as the content of the same and of the related documentation also through the use of encryption tools.
The identity of the reporting person or any other information from which such identity can be deduced, directly or indirectly, will not be revealed to people other than those competent to receive or follow up on the reports without the express consent of the same (art. 12, Legislative Decree. Legislative Decree 24/2023).
In the event that the whistleblower proceeds to use the voice channel or direct meeting to present his/her whistleblowing report, the Supervisory Body of IBS Technology S.p.A. retains, with the consent of the reporter, the record of the report.
In case of impossibility, the subjects in charge of managing the reports proceed with the drafting of a detailed report whose contents must be countersigned by the reporting party, following verification and possible correction. A copy of the report must be delivered to the reporting party.
If the internal report has been submitted to a person other than those responsible for receiving the reports using other reporting channels or tools, other than those indicated in this policy, the person receiving the report must, within seven days of its receipt and without withholding copy, transmit it to the Supervisory Body of IBS Technology S.p.A., guaranteeing the confidentiality of the content as well as of the subjects involved and, at the same time, informing the whistleblower.
5.2 Other reporting channels
In addition to the internal reporting channel, Legislative Decree 24/2023 regulates other reporting channels, to be used on a residual basis and in the presence of certain circumstances:
the external channel (managed by ANAC);
public disclosure (through the press, electronic means or means of dissemination capable of reaching a large number of people);
the report to the Judicial Authority.
Pursuant to art. 7 of Legislative Decree 24/2023, the National Anti-Corruption Authority has activated an external reporting channel that can be used by the reporter in the presence of certain circumstances, specifically regulated in the art. 6 of the Decree itself, or when:
in the work context of the reporter, the activation of the internal reporting channel is not envisaged as mandatory or, if envisaged as such, it has not been activated or has been activated in a manner that does not comply with the requirements prescribed by the legislation;
an internal report has already been made, but it has not been followed up on.
This circumstance occurs when the person entrusted with the management of the internal channel has not undertaken any activity within the deadlines set by the Decree regarding the admissibility of the report, the verification of the existence of the facts reported or the communication of the outcome of the investigation carried out ;has reasonable grounds to believe that, if he/she made an internal report, it would not be followed up effectively or that the report itself could lead to the risk of retaliation.
For example, due to the risk that evidence of illicit conduct may be hidden or destroyed or if similar situations have already occurred such that the report could lead to the risk of retaliation;has reasonable grounds to believe that the reported violation may constitute an imminent or obvious danger to the public interest.
Reference is made, for example, to the case in which the violation clearly requires urgent intervention by a public authority to safeguard an interest belonging to the community such as health, safety or environmental protection.
On the basis of the provisions of the art. 15 of Legislative Decree 24/2023, the reporter can also make a public disclosure benefiting from the protection referred to in the aforementioned legislation, if:
it has previously made an internal and/or external report without having received feedback within the terms established by the decree;
it has reasonable grounds to believe that the violation may constitute an imminent or obvious danger to the public interest, understood as an emergency situation or risk of irreversible damage, including to the physical safety of one or more people;
it has reasonable grounds to believe that the external report may entail the risk of retaliation or not have an effective follow-up due to the specific circumstances of the specific case, such as those in which evidence may be hidden or destroyed or in which there is well-founded fear that those who have received the report may be colluding with the author of the violation or involved in the violation itself.
Finally, the Decree, in compliance with the previous regulation, also recognizes protected subjects the possibility of contacting the competent national judicial and accounting authorities to forward a report of illicit conduct of which they have become aware within their own context. working.
6. Elements of reports
The reports must be detailed and complete with all the elements useful for the reconstruction and verification of the reported fact.
To facilitate the reporting party in preparing the report, the platform used includes a series of questions aimed at acquiring the information needed to represent a comprehensive picture of the situation.
If the voice channel and/or direct meeting is used, it is recommended to use the form attached to this policy as a guide regarding the information to be communicated (Annex 1 - Report form).
Specifically, the reports must contain the following elements:
the reporting person's identification data (name - surname - place and date of birth - contact details to be kept updated).
These are essential elements for the report to be considered and managed as a whistleblowing report;a clear and complete description of the facts covered by the report;
the circumstances of time and place in which the reported facts were committed;
personal details or other elements that allow identifying the person to whom the reported facts can be attributed;
indication of the beneficiaries and those damaged by the violation (where possible);
the attachment of any documents that can confirm the validity of the facts reported;
any other information that can provide useful feedback regarding the existence of the facts reported.
Only reports that are appropriately detailed and supported by factual elements will be taken into consideration. In any case, the report in itself requires the reporting party to declare their commitment to reporting what they know according to the truth.
Reports from which it is not possible to derive the identity of the reporter are to be considered anonymous and, therefore, must be treated as ordinary reports as they cannot be considered whistleblowing reports.
Without prejudice to the possibility of submitting anonymous reports, the Company recommends, in any case, that reporters provide their name and contact details in order to benefit from the protections provided for by Legislative Decree 24/2023.
In cases of reporting, reporting to the judicial authority or anonymous public disclosure, if the reporting person has subsequently been identified and has suffered retaliation, the protection measures for retaliation, referred to in paragraph 8 of the following policy, apply.
7. Management of reports, reporting and archiving
7.1 Management of internal reports
The tasks and activities assigned by IBS Technology to the members of the Supervisory Body of IBS Technology S.p.A., i.e. the subjects responsible for managing reports, pursuant to art. 5 of Legislative Decree 24/2023, are as follows:
to examine the reports received;
to issue to the reporting person, within seven days from the date of receipt, acknowledgment of receipt of the report;
if deemed necessary, verify the contents of the reports or identify and activate other competent subjects internal or external to the Company;
to maintain discussions with the reporting person and, where necessary, can request additions via the dedicated channel, or even in person, where the whistleblower has requested a direct meeting;
diligently follow up with the reporting party regarding the reports received, providing feedback on the report within three months from the date of the acknowledgment of receipt or, in the absence of such notice, within three months of the expiry of the seven-day deadline from the submission of the report.
The feedback, even merely interlocutory, may consist in the communication of the dismissal, in the launch of an internal investigation and possibly in the related findings, in the measures adopted to address the issue raised, in the referral to a competent authority for any investigations.
Having received the report through the internal channel described above, the Supervisory Body of IBS Technology S.p.A. they must:
to record each report received (even anonymous ones) in a special archive/database with restricted and confidential access, which is managed and stored by them;
to verify the proceedability of the report in light of the subjective and objective application perimeter established by Legislative Decree 24/2023.
In particular, they must ensure that the whistleblower is a person entitled to make the report and that the subject of the report falls within the scope of application provided for by the whistleblowing regulations.to carry out an assessment of the existence of the essential requirements of the report by evaluating its admissibility using as criteria, for example, the manifest unfoundedness due to the absence of factual elements suitable to justify investigations, the ascertained generic content of the report of an offense such as not to allow the understanding of the facts or reporting of offenses accompanied by inappropriate or inconsistent documentation.
In consideration of the above, the report may be considered inadmissible for:
lack of data that constitute the essential elements of the report;
to manifest unfoundedness of the factual elements attributable to the violations typified by the legislator;
exposition of facts of generic content such that they cannot be understood;
production of documentation only without actual reporting of violations.
Once the report has been assessed, the members of the Supervisory Body of IBS Technology S.p.A. they will be able to:
to archive the report, if it is unproceeded or inadmissible, providing the reporting party with adequate justification for the reasons that led to this decision;
immediately to contact the relevant internal bodies or external bodies/institutions, according to their expertise, if they find that the report is justified;
to start the internal investigation according to the level of urgency deriving from the assessment of the risks that may emerge from the nature of the report, providing feedback on the outcome of the same, giving an account of the measures envisaged or adopted or to be adopted to follow up on the report and the reasons for the choice made. Furthermore, it is specified that the Supervisory Body of IBS Technology S.p.A. they may decide to start a dialogue with the whistleblower, asking the latter, through the internal channels described above, for clarifications, documents and further information and, where necessary, acquire documents and documents from other administration offices, make use of their support, involve third parties through hearings and other requests, always taking care not to compromise the protection of the confidentiality of the whistleblower and the reported party.
Once the report received has been declared valid, the members of the Supervisory Body of IBS Technology S.p.A. they will have to contact the competent internal bodies/functions for the relevant follow-up.
The above, considering the fact that it is not up to the subjects in charge of managing the reports the task of ascertaining individual responsibilities whatever their nature, nor of carrying out checks on the legitimacy or merit of acts and measures adopted by the company, under penalty of trespassing on the competences of the subjects responsible for this within each body or administration or the judiciary.
7.2 Reporting and archiving
IBS Technology S.p.A., in compliance with the provisions of the art. 14 of Legislative Decree 24/2023, will record the reports received and keep the relevant documentation for the time necessary for processing and in any case no later than five years from the date of communication of the final outcome of the reporting policy in compliance with the confidentiality obligations established towards the reporting person.
It will also take steps to record the anonymous reports received and keep the relevant documentation no later than five years from the date of receipt of such reports, thus making it possible to trace them, in the event that the reporting person, or whoever has filed a complaint, informs ANAC of having suffered retaliatory measures as a result of that anonymous report or complaint.
The Supervisory Body of IBS Technology S.p.A. prepare and keep the following documents:
report of reports received: for statistical purposes, the report highlights all reports received and their progress;
investigation report: if the investigative powers are exercised, the relevant updates and outcomes are kept on file.
The personal data of the reporting party and the reported party will be processed in accordance with the applicable legislation on the protection of personal data and with the privacy information referred to in paragraph 9 of this policy.
8. Safeguards and protective measures
IBS Technology S.p.A. has implemented the innovations introduced in Chapter III of the Decree regarding protection measures. In particular, Legislative Decree 24/2023 is concerned with protecting the whistleblower through:
the obligation of confidentiality of her identity;
the prohibition of retaliatory acts against her;
the limitation of its responsibility for the detection or dissemination of certain types of protected information;
The aforementioned protection measures apply, with some exceptions, not only to the whistleblower but also to other subjects who could be the recipients of retaliation, due to the role assumed or the particular closeness or relationship with the whistleblower.
Specifically, these are the following subjects:
facilitator, i.e. the natural person who assists the whistleblower in the reporting process operating within the same working context and whose assistance must be kept confidential;
people from the same working context as the reporting person and who are linked to him or her by a stable legal relationship or relationship within the fourth degree;
work colleagues of the reporting person who work in the same work context as him and who have a usual and current relationship with him.
entities owned, exclusively or in majority ownership by third parties, by the reporting party;
entities where the reporting person works.
Confidentiality of the identity of the whistleblower
IBS Technology S.p.A. guarantees, through its internal reporting channels, the confidentiality of the identity of the whistleblower and of any other information, including any attached documentation, from which the identity of the whistleblower can be directly or indirectly traced.
This protection is also provided for the people involved and/or mentioned in the report, as well as the facilitators.
The prohibition and protection against retaliation
IBS Technology S.p.A., in compliance with the provisions of Legislative Decree 24/2023, prohibits any form of retaliation by the whistleblower (direct and indirect) understood as "any behaviour, act or omission, even if only attempted or threatened, carried out in reason for the report, the report to the judicial or accounting authority or the public disclosure and which causes or may cause the reporting person or the person who made the report, directly or indirectly, unfair damage".
This entails the nullity of any retaliatory act adopted in violation of this prohibition.
The aforementioned protection also applies to facilitators and other aforementioned subjects assimilated to the reporter.
Specifically, if the whistleblower believes he has suffered discrimination, he must give detailed information to the ANAC which will ensure the causal link between retaliation and reporting, also being able to make use of the collaboration of the National Labor Inspectorate but, remaining, in any case , responsible for the evaluation of the elements acquired and the possible application of the administrative pecuniary sanctions referred to in the art. 21 of the Decree. For the list of retaliations, please refer to art. 17, paragraph 4 of the Decree.
Finally, the inversion of the burden of proof remains, i.e. if the whistleblower demonstrates that he has made a report, complaint, or public disclosure and that he has suffered retaliation following it, the burden of proof shifts on the person who carried out the alleged retaliation.
It is the latter who therefore has the burden of demonstrating that their conduct was in no way connected to the report but motivated by reasons unrelated to it.
Only reporting subjects can benefit from the reversal of the burden of proof, with the exclusion of facilitators, people from the same working context with stable legal affection or kinship within the fourth degree with the person reporting, work colleagues who have a habitual and recurring relationship with the reporting party, on whom, however, in the case of retaliation, the burden of proof lies.
Limitations of liability for the whistleblower
The last protection provided for by Legislative Decree 24/2023 towards the whistleblower is the limitation of his responsibility with respect to the detection and dissemination of certain categories of information, which otherwise could expose him to consequences in terms of criminal, civil and administrative liability.
In particular, the reporting party cannot be held accountable for:
disclosure and use of official secrecy (art. 326 criminal code);
disclosure of professional secrecy (art. 622 c.p.);
disclosure of scientific and industrial secrets (art. 623 criminal code);
violation of the duty of fidelity and loyalty (art. 2105 c.c.);
violation of the provisions relating to copyright;
violation of the provisions relating to the protection of personal data;
revelation or dissemination of information about violations that offend the reputation of the person involved;
For further details, please refer to the legal provisions.
9. Privacy policy
The personal data, acquired following any reporting, are processed in compliance with current legislation on the protection of personal data.
In particular, IBS Technology S.p.A. guarantees that the processing of personal data is carried out in compliance with fundamental rights and freedoms, as well as the dignity of the interested parties with particular reference to data confidentiality and security.
DATA CONTROLLER
The data controller is the company IBS Technology S.p.A., with headquarters in Via Carlo Magni, 1/A, 21049, Tradate.
The processing of personal data is carried out manually and/or through the reporting platform LegalTegrity whistle-blower indicated in this policy with methods suitable to guarantee the necessary security in relation to the nature of the data processed and, in particular, by adopting the appropriate technical and organizational measures to the risk of processing pursuant to art. 32 GDPR.
The Company LegalTegrity GmbH, based in Platz der Einheit 2, 60323 Frankfurt am Main, Germany which provides the reporting platform LegalTegrity whistle-blower, has been appointed Data Controller.
If necessary, any personal data provided may be communicated to other external suppliers, appropriately appointed as Data Controllers, pursuant to art. 28 GDPR.
It is possible to contact the Data Controller to obtain the complete list of all Data Processors.
CATEGORY OF PERSONAL DATA
Pursuant to and for the purposes of the provisions of the art. 13 of Regulation (EU) 2016/679 on the protection of personal data (hereinafter also "GDPR"), the personal data processed on the basis of this policy will be, where provided, the personal data of the reporting party and the reported party strictly necessary for verify the validity of the report and to allow its management and data of any other third parties indicated.
PURPOSE OF THE TREATMENT
Personal data will be processed according to the principles of lawfulness, correctness, transparency, accuracy, integrity and confidentiality established by EU Regulation 2016/679 and solely for the purposes related to the management of the reports referred to in this policy.
LEGAL BASIS OF THE PROCESSING
The legal basis for the processing of personal data provided on the occasion of reports referred to in this policy is the legal obligation arising from the provisions of the Legislative Decree. 24/2023 implementing EU Directive 2019/1937 and concerning "the protection of people who report violations of Union law and containing provisions regarding the protection of people who report violations of national regulatory provisions".
The provision of the reporting person's personal data (e.g. contact details) is appropriate in order to follow up on the report and benefit from the protections referred to in Legislative Decree 24/2023. Failure to provide data or partial provision of data could in fact make it impossible for the Data Controller to follow up on the report.
CATEGORIES OF RECIPIENTS OF PERSONAL DATA
The recipient of the personal data is the Supervisory Body of IBS Technology S.p.A., in compliance with the provisions of current legislation on the matter and by this policy they are authorized to process and are required to guarantee the confidentiality of the identity of the whistleblower, the person reported and any subjects involved in the reporting.
In any case, personal data will not be disclosed.
TRANSFER OF DATA TO NON-EU COUNTRIES
There is no transfer of personal data collected to non-EU countries.
CONSERVATION PERIOD OF COLLECTED DATA
The personal data collected for the purposes set out above will be kept for the time necessary to ascertain the validity of the report and, in any case, no longer than five years from the date of final communication of the reporting policy.
Subsequently, such data will be destroyed or made anonymous if necessary for statistical or historicization purposes.
Personal data that is clearly not useful for processing a specific report is not collected, or if collected accidentally, is deleted immediately.
RIGHTS OF THE INTERESTED PARTY
In relation to the aforementioned processing, the reporting party and the reported party will be able to exercise the rights referred to in the articles. 13 et seq. of Regulation (EU) 2016/679 within the limits of their compatibility with the legislation on whistleblowing: in particular, the exercise of the right of access by the whistleblower or person reported to their personal data processed as part of the whistleblowing process may be limited, to guarantee the protection of the rights and freedoms of others, with the clarification that under no circumstances may the reported person be allowed to make use of his or her right of access to obtain information on the identity of the person reporting the report.
If interested parties believe that the processing of personal data relating to them occurs in violation of the provisions of the Regulation, they have the right to lodge a complaint with the Guarantor Authority for the Protection of Personal Data, as provided for by the art. 77 of the Regulation itself, or to take action in the appropriate judicial offices as provided for by the art. 79 of the Regulation.
This policy has been approved by the Board of Directors of IBS Technology S.p.A. on December 14, 2023 and was appropriately made public on the IBS Technology S.p.A. website. as well as uploaded to the platform LegalTegrity whistle-blower in such a way as to be easily accessible to those interested in submitting a whistleblowing report.
IBS Technology S.p.A. periodically trains both the individuals in charge of managing the reports in order to ensure adequate processing compliant with the applicable provisions, and all internal staff in such a way as to create appropriate awareness of the purposes and protections recognized by the Decree, as well as a culture of integrity and responsibility within the company.
ANNEX 1: REPORT FORM
In the case of reports submitted through the internal channels indicated above, we recommend using this form as a guide with respect to the information to be provided:
| Segnalazione Whistleblowing | |
|---|---|
| Requests | Answers |
1 - Provide your personal details as the person reporting (name - surname - place and date of birth - contact details to be kept updated): | |
2 - Which company does the event you want to report refer to? | |
3 - Indicate your relationship with the Company. | |
4 - Describe in detail the event being reported. | |
5 - Can you indicate which person/company function the fact/behaviour you want to report refers to? | |
6 - Describe how you became aware of the incident. | |
7 - Can you indicate when and where (place) the event occurred and the circumstances reported? | |
8 - Do you believe that the event or its effects have ended or are still continuing? | |
9 - Can you indicate who and how many people, internal or external to the Company, are involved in the event being reported? | |
10 - Do you think we can contact the person or people to whom the report refers? | |
11 - Do you think there are other people aware of the facts you reported? | |
12 - Have you already had the opportunity to report the fact you reported to other people? | |
13 - Do you think there are other people available to help us by providing further information on the event you reported? | |
14 - Could you provide us with further information or documents to support your report? | |
15 - Have you already reported through other channels other than this one? | |
16 - Please enter other comments that you consider useful for reporting purposes. | |
PROCEDURA WHISTLEBLOWING
IBS TECHNOLOGY S.p.A.
Via Carlo Magni, 1/A
21049 Tradate (VA)
Sommario
- Obiettivo
- Riferimenti normativi e regolamenti
- Chi può segnale
- Quali violazioni si possono segnalare
- A chi segnalare
- Elementi della segnalazione
- Gestione delle segnalazioni, reportistica ed archiviazioni
- Le tutele e le misure di protezione
- Informativa Privacy
- Allegato 1: Form di segnalazione
1. Obiettivo
IBS Technology S.p.A. (nel seguito anche “IBS Technology” o “la Società”), in ottemperanza alle disposizioni normative introdotte dal D. Lgs.24/2023, ha istituito un processo per la segnalazione di violazioni assicurando ai segnalanti, detti anche whistleblowers, un’adeguata tutela attraverso la predisposizione/approntamento di specifiche misure di protezione.
Attraverso la presente procedura, la Società definisce le regole per la comunicazione, gestione e il trattamento di tali segnalazioni affinché vengano rispettate le previsioni legislative e venga reso noto il processo seguito per la gestione delle segnalazioni e per le successive verifiche.
2. Riferimenti normativi e regolamentari
In data 15 marzo 2023 è stato pubblicato in Gazzetta Ufficiale il Decreto Legislativo n. 24/2023 (nel seguito anche “il Decreto”), in attuazione della Direttiva UE 2019/1937, riguardante «la protezione delle persone che segnalano violazioni del diritto dell'Unione e recante disposizioni riguardanti la protezione delle persone che segnalano violazioni delle disposizioni normative nazionali».
Il Decreto ha, di fatto, abrogato e modificato la normativa previgente (L. 179/2017), rafforzando la legislazione nazionale in materia di whistleblowing raccogliendo in un unico testo normativo, valido sia per il settore pubblico che per il settore privato, il regime di protezione dei soggetti che segnalano condotte illecite in violazione di disposizioni europee e nazionali.
Nello specifico, tale normativa si applica alle aziende del settore privato che impiegano almeno cinquanta lavoratori subordinati con contratti di lavoro a tempo indeterminato o determinato, alle aziende che operano nei settori regolamentati a livello europeo (es. settore dei mercati finanziari e del credito, sicurezza trasporti, tutela ambiente) anche se non hanno raggiunto la media di almeno cinquanta lavoratori subordinati e, infine, alle aziende che adottano modelli di organizzazione, gestione e controllo ai sensi del D. Lgs.231/01 anche se nell’ultimo anno non hanno raggiunto la media di almeno cinquanta lavoratori subordinati.
IBS Technology S.p.A. rientra nell’applicabilità del D. Lgs. 24/2023 e, pertanto, la presente procedura è stata redatta in conformità alle disposizioni normative introdotte dal decreto medesimo, dalle Linee guida in materia di protezione delle persone che segnalano violazioni del diritto dell’Unione e protezione delle persone che segnalano violazioni delle disposizioni normative nazionali approvate con Delibera n.311 del 12 luglio 2023 e pubblicate in data 14 luglio 2023 dall’ANAC – Autorità Nazionale Anticorruzione nonché dalla Guida Operativa per gli Enti Privati – Nuova disciplina “whistleblowing”, pubblicata da Confindustria ad ottobre 2023.
3. Chi può segnalare
I soggetti che possono presentare le segnalazioni di violazioni, in base all’art. 3 del D. Lgs. 24/2023, sono i seguenti:
-
lavoratori subordinati, ivi compresi:
lavoratori il cui rapporto di lavoro è disciplinato dal d.lgs. n. 81/2015.
Si tratta, ad esempio, di rapporti di lavoro a tempo parziale, intermittente, tempo determinato, somministrazione, apprendistato, lavoro accessorio;lavoratori che svolgono prestazioni occasionali (il cui rapporto di lavoro è disciplinato dall’art. 54-bis del d.l. n. 50/2017, conv. con mm.ii. dalla l. n. 96/2017);
lavoratori autonomi che svolgono la propria attività lavorativa presso IBS Technology S.p.A.;
lavoratori o collaboratori che svolgono la propria attività lavorativa presso IBS Technology S.p.A.;
liberi professionisti e consulenti che prestano la propria attività presso IBS Technology S.p.A.;
volontari e tirocinanti, retribuiti e non retribuiti;
azionisti, ossia persone fisiche che siano venute a conoscenza di violazioni oggetto di segnalazione nell’esercizio dei diritti di cui sono titolari in ragione del loro ruolo di azionisti rivestito nella società;
persone con funzioni di amministrazione, direzione, controllo, vigilanza o rappresentanza della società.
4. Quali violazioni si possono segnalare
Le informazioni sulle violazioni devono riguardare comportamenti, atti od omissioni di cui il segnalante o il denunciante sia venuto a conoscenza nel contesto lavorativo di IBS Technology S.p.A.
Sulla base di quanto previsto dall’art. 1 del D. Lgs.24/2023, possono essere oggetto di segnalazione i comportamenti, gli atti o le omissioni che ledono l’interesse pubblico o l’integrità di IBS Technology e che consistono rispettivamente in:
-
violazioni delle disposizioni normative nazionali, in cui vi rientrano:
illeciti amministrativi, contabili, civili o penali, diversi rispetto a quelli specificatamente individuati come violazioni del diritto UE;
condotte illecite rilevanti ai sensi del decreto legislativo 231/2001, o violazioni dei modelli di organizzazione e gestione ivi previsti;
-
violazioni della normativa europea, in cui vi rientrano:
illeciti che rientrano nell’ambito di applicazione degli atti dell’Unione europea e di tutte le disposizioni nazionali che ne danno attuazione relativi ai seguenti settori: contratti pubblici; servizi, prodotti e mercati finanziari e prevenzione del riciclaggio e del finanziamento del terrorismo; sicurezza e conformità dei prodotti; sicurezza dei trasporti; tutela dell’ambiente (ad esempio, i cd. reati ambientali quali, scarico, emissione o altro tipo di rilascio di materiali pericolosi nell’aria, nel terreno o nell’acqua oppure raccolta, trasporto, recupero o smaltimento illecito di rifiuti pericolosi); radioprotezione e sicurezza nucleare; salute pubblica; protezione dei consumatori; tutela della vita privata e protezione dei dati personali e sicurezza delle reti e dei sistemi informativi;
atti od omissioni che ledono gli interessi finanziari dell’Unione (ad esempio, frodi, corruzione e qualsiasi altra attività illegale connessa alle spese dell’Unione);
atti od omissioni riguardanti il mercato interno, che compromettono la libera circolazione delle merci, delle persone, dei servizi e dei capitali (ad esempio, le violazioni delle norme dell'UE in materia di concorrenza e di aiuti di Stato, di imposta sulle società e i meccanismi il cui fine è ottenere un vantaggio fiscale che vanifica l'oggetto o la finalità della normativa applicabile in materia di imposta sulle società);
atti o comportamenti che vanificano l’oggetto o la finalità delle disposizioni di cui agli atti dell’Unione (ad esempio, le pratiche abusive quali definite dalla giurisprudenza della Corte di Giustizia dell’Unione europea).
Possono, inoltre, essere oggetto di segnalazione anche quegli elementi che riguardano condotte volte a celare le violazioni come, a titolo esemplificativo, l’occultamento o la distruzione di prove circa la commissione della violazione.
Sono, invece, espressamente escluse dall’ambito di applicazione della disciplina whistleblowing e, pertanto, da trattare come segnalazioni ordinarie:
le contestazioni o rivendicazioni di carattere personale nei rapporti individuali di lavoro, ovvero inerenti ai rapporti di lavoro con figure gerarchicamente sovraordinate. Ad esempio, le segnalazioni riguardanti vertenze di lavoro, discriminazioni tra colleghi, conflitti interpersonali tra la persona segnalante e un altro lavoratore o con i superiori gerarchici, segnalazioni relative a trattamenti di dati effettuati nel contesto del rapporto individuale di lavoro in assenza di lesioni dell’interesse pubblico o dell’integrità della Società: IBS Technology S.p.A. auspica che tali fattispecie vengano possibilmente risolte attraverso il dialogo, anche informale;
le segnalazioni di violazioni già disciplinate in via obbligatoria dagli atti dell’Unione europea o nazionali in alcuni settori speciali, alle quali continua ad applicarsi la disciplina di segnalazione ad hoc. Si pensi, a titolo esemplificativo, alla direttiva 2013/36/UE del Parlamento europeo e del Consiglio che ha previsto la protezione dei segnalanti nell’ambito del quadro prudenziale applicabile agli enti creditizi e alle imprese di investimento, agli art. 52-bis e 52 ter del Testo Unico Bancario che contengono disposizioni sulle segnalazioni di violazioni nel settore bancario, agli artt. 4-undecies “Sistemi interni di segnalazione delle violazioni” e 4 duodecies “Procedura di segnalazione alle Autorità di vigilanza” che introducono disposizioni dettagliate sulla protezione dei segnalanti in materia di intermediazione finanziaria;
le segnalazioni di violazioni in materia di sicurezza nazionale o di appalti relativi ad aspetti di difesa o sicurezza nazionale, salvo che tali aspetti siano riconducibili al diritto dell’Unione Europea.
Sono tassativamente escluse dall’oggetto delle segnalazioni le notizie palesemente prive di fondamento, le informazioni che sono già totalmente di dominio pubblico, nonché le informazioni acquisite solo sulla base di indiscrezioni o vociferazioni scarsamente attendibili.
Le segnalazioni, limitatamente alle tipologie previste dal D. Lgs. 24/2023 e sopra riportate, devono essere fatte con spirito di responsabilità e avere carattere di interesse per il bene comune e riguardare comportamenti, atti od omissioni di cui il segnalante o il denunciante sia venuto a conoscenza nell’ambito del contesto lavorativo.
5. A chi segnalare
5.1 Canali di segnalazione
IBS Technology S.p.A., in conformità alle disposizioni normative di cui agli artt. 4 e 5 del D. Lgs. 24/2023, ha provveduto all’attivazione di uno specifico canale di segnalazione interno, quale strumento e mezzo di comunicazione delle segnalazioni di violazioni presentate dai whistleblowers.
IBS Technology ha affidato la gestione delle segnalazioni all’Organismo di Vigilanza, nelle persone del Presidente Dott. Massimiliano Rigo, del Dott. Claudio Gianoncelli e del Dott. Jean Francois Brignone, i quali sono stati incaricati dal Consiglio di Amministrazione della Società e formalmente autorizzati alla ricezione esclusiva delle segnalazioni.
Il Consiglio di Amministrazione della Società ha, infatti, eseguito una valutazione delle caratteristiche dei soggetti sopra indicati per svolgere tale attività, i quali:
assicurano autonomia, indipendenza e imparzialità nelle attività di gestione delle segnalazioni;
hanno ricevuto un’adeguata formazione professionale sulla disciplina del whistleblowing, anche con riferimento a casi concreti;
sono destinatari di una specifica attività di formazione in materia di privacy.
In particolare, le segnalazioni devono essere trasmesse attraverso i seguenti canali di segnalazione interni:
comunicazione mediante compilazione del form disponibile sulla piattaforma LegalTegrity whistle-blower al seguente link: https://app.whistle-report.com/report/37202dde-1ed1-4625-8ef9-dbb49ec8d18b
in subordine, attraverso il sistema di messaggistica vocale al numero di cellulare del Presidente dell’Organismo di Vigilanza, Dott. Massimiliano Rigo: +393473411211;
su richiesta della persona segnalante mediante un incontro diretto con l’Organismo di Vigilanza, nelle persone del Presidente Dott. Massimiliano Rigo, del Dott. Claudio Gianoncelli e del Dott. Jean Francois Brignone, da fissarsi entro un tempo ragionevole e previa richiesta motivata indirizzata al Presidente dell’Organismo di Vigilanza, Dott. Massimiliano Rigo, all’indirizzo mail: whistleblowing@keyadvisory.it o tramite richiesta attraverso la piattaforma whistleblowing sopra indicata.
I suddetti canali sono stati istituiti nell’ottica di garantire la tutela della riservatezza del soggetto segnalante, del facilitatore (persona fisica che assiste il segnalante nel processo di segnalazione), delle persone coinvolte e comunque menzionate nella segnalazione, nonché del contenuto della stessa e della relativa documentazione anche tramite il ricorso a strumenti di crittografia.
L’identità della persona segnalante o qualsiasi altra informazione da cui possa evincersi, direttamente o indirettamente, tale identità non sarà rivelata a persone diverse da quelle competenti a ricevere o dare seguito alle segnalazioni senza il consenso espresso della stessa (art. 12, D. Lgs. 24/2023).
Nel caso in cui il segnalante proceda all’utilizzo del canale vocale o dell’incontro diretto per presentare la propria segnalazione whistleblowing, l’Organismo di Vigilanza di IBS Technology conserva, previo consenso del segnalante, la registrazione della segnalazione.
In caso di impossibilità, i soggetti incaricati di gestire le segnalazioni procedono alla redazione di un verbale dettagliato il cui contenuto dovrà essere controfirmato dal segnalante, previa verifica ed eventuale rettifica. Copia del verbale dovrà essere consegnata al segnalante.
Qualora la segnalazione interna sia stata presentata a un soggetto diverso da quelli incaricati alla ricezione delle segnalazioni utilizzando altri canali o strumenti di segnalazione, diversi da quelli indicati nella presente procedura, il soggetto ricevente la segnalazione deve, entro sette giorni dal suo ricevimento e senza trattenerne copia, trasmetterla all’Organismo di Vigilanza di IBS Technology S.p.A., garantendone la riservatezza del contenuto nonché dei soggetti coinvolti e provvedendo, contestualmente, a renderne edotto il segnalante (c.d. whistleblower).
5.2 Altri canali di segnalazione
In aggiunta al canale di segnalazione interno, il D. Lgs. 24/2023 disciplina altri canali di segnalazione, da utilizzare in via residuale ed in presenza di determinate circostanze:
il canale esterno (gestito dall’ANAC);
la divulgazione pubblica (tramite la stampa, mezzi elettronici o mezzi di diffusione in grado di raggiungere un numero elevato di persone);
la denuncia all’Autorità Giurisdizionale.
Ai sensi dell’art. 7 del D. Lgs. 24/2023, l’Autorità Nazionale Anticorruzione ha provveduto ad attivare un canale di segnalazione esterna che può essere utilizzato dal segnalante in presenza di determinate circostanze, specificatamente disciplinate nell’art. 6 del Decreto stesso, ovvero quando:
nel contesto lavorativo del segnalante, l’attivazione del canale di segnalazione interna non è prevista come obbligatoria o, se prevista come tale, non è stata attivata o, è stato attivato in maniera non conforme ai requisiti prescritti dalla normativa;
è già stata fatta una segnalazione interna, ma la stessa non ha avuto seguito.
Tale circostanza si verifica quando il soggetto cui è affidata la gestione del canale interno non abbia intrapreso entro i termini previsti dal Decreto alcuna attività circa l’ammissibilità della segnalazione, la verifica della sussistenza dei fatti segnalati o la comunicazione dell’esito dell’istruttoria svolta;ha fondato motivo di ritenere che, se effettuasse una segnalazione interna, alla stessa non sarebbe dato efficace seguito o che la stessa segnalazione possa determinare il rischio di ritorsione.
Ad esempio, per il rischio che le prove di condotte illecite possano essere occultate o distrutte o qualora si siano già verificate situazioni analoghe tali da far ritenere che la segnalazione potrebbe determinare il rischio di ritorsioni;ha fondato motivo di ritenere che la violazione segnalata possa costituire un pericolo imminente o palese per il pubblico interesse.
Si fa riferimento, ad esempio, al caso in cui la violazione richieda in modo evidente un intervento urgente da parte di un’autorità pubblica per salvaguardare un interesse che fa capo alla collettività come la salute, la sicurezza o la protezione dell’ambiente.
Sulla base di quanto previsto dall’art. 15 del D. Lgs. 24/2023, il segnalante può, inoltre, effettuare una divulgazione pubblica beneficiando della protezione di cui alla citata normativa, qualora:
ha previamente effettuato una segnalazione interna e/o esterna senza aver ricevuto riscontro nei termini previsti dal decreto;
ha fondato motivo di ritenere che la violazione possa costituire un pericolo imminente o palese per il pubblico interesse, inteso come una situazione di emergenza o di rischio di danno irreversibile, anche all’incolumità fisica di una o più persone;
ha fondato motivo di ritenere che la segnalazione esterna possa comportare il rischio di ritorsioni o non avere efficace seguito in ragione delle specifiche circostanze del caso concreto, come quelle in cui possano essere occultate o distrutte prove oppure in cui vi sia fondato timore che chi ha ricevuto la segnalazione possa essere colluso con l’autore della violazione o coinvolto nella violazione stessa.
Infine, il Decreto, in conformità alla precedente disciplina, riconosce, altresì, ai soggetti tutelati la possibilità di rivolgersi alle Autorità nazionali competenti, giudiziarie e contabili, per inoltrare una denuncia di condotte illecite di cui siano venuti a conoscenza nell’ambito del proprio contesto lavorativo.
6. Elementi delle segnalazioni
Le segnalazioni devono essere circostanziate e complete di tutti gli elementi utili alla ricostruzione e all’accertamento del fatto segnalato.
Per facilitare il segnalante nella predisposizione della segnalazione, la piattaforma utilizzata contempla una serie di domande finalizzate ad acquisire le informazioni utili a rappresentare un quadro esaustivo della situazione.
In caso di utilizzo del canale vocale e/o dell’incontro diretto, si raccomanda di utilizzare il form allegato alla presente procedura come guida rispetto alle informazioni da comunicare (Allegato 1 - Form di segnalazione).
Nello specifico, le segnalazioni devono contenere i seguenti elementi:
i dati identificativi del segnalante (nome - cognome - luogo e data di nascita - recapito per essere tenuto aggiornato).
Trattasi di elementi essenziali affinché la segnalazione venga considerata e gestita come segnalazione di whistleblowing;una chiara e completa descrizione dei fatti oggetto della segnalazione;
le circostanze di tempo e di luogo in cui sono stati commessi i fatti segnalati;
le generalità o altri elementi che consentano di identificare il soggetto cui attribuire i fatti segnalati;
l’indicazione dei beneficiari e dei danneggiati dalla violazione (ove possibile);
l’allegazione di eventuali documenti che possano confermare la fondatezza dei fatti riportati;
ogni altra informazione che possa fornire un utile riscontro in merito alla sussistenza dei fatti segnalati.
Saranno prese in considerazione soltanto le segnalazioni opportunamente circostanziate e supportate da elementi fattuali. In ogni caso, la segnalazione prevede di per sé la necessità da parte del segnalante di dichiarare l’impegno a riferire quanto di sua conoscenza secondo verità.
Le segnalazioni da cui non è possibile ricavare l’identità del segnalante sono da ritenere anonime e, pertanto, devono essere trattate come segnalazioni ordinarie non potendo essere considerate segnalazioni whistleblowing.
Ferma la possibilità di presentare segnalazioni anonime, la Società raccomanda, in ogni caso, ai segnalanti di fornire il proprio nome e i propri recapiti al fine di poter beneficiare delle tutele previste dal D. Lgs. 24/2023.
Nei casi di segnalazione, denuncia all'autorità giudiziaria o divulgazione pubblica anonime, se la persona segnalante è stata successivamente identificata e ha subito ritorsioni si applicano le misure di protezione per le ritorsioni, di cui al paragrafo 8 della seguente procedura.
7. Gestione delle segnalazioni, reportistica ed archivia-zione
7.1 Gestione delle segnalazioni interne
I compiti e le attività assegnate da IBS Technology all’Organismo di Vigilanza di IBS Technology S.p.A., ossia i soggetti responsabili della gestione delle segnalazioni, ai sensi dell’art. 5 del D. Lgs. 24/2023, sono i seguenti:
esaminare le segnalazioni ricevute;
rilasciare alla persona segnalante, entro sette giorni dalla data di ricezione, avviso di ricevimento della segnalazione;
se ritenuto necessario, eseguire la verifica dei contenuti delle segnalazioni o individuano e attivano altri soggetti competenti interni o esterni alla Società;
mantenere le interlocuzioni con la persona segnalante e, ove necessario, possono richiedere integrazioni tramite il canale a ciò dedicato, o anche di persona, ove il whistleblower abbia richiesto un incontro diretto;
dare diligente seguito al segnalante in merito alle segnalazioni ricevute, fornendo un riscontro della segnalazione entro tre mesi dalla data dell’avviso di ricevimento o, in assenza di tale avviso, entro tre mesi dalla scadenza del termine di sette giorni dalla presentazione della segnalazione.
Il riscontro, anche meramente interlocutorio, può consistere nella comunicazione dell’archiviazione, nell’avvio di un’inchiesta interna ed eventualmente nelle relative risultanze, nei provvedimenti adottati per affrontare la questione sollevata, nel rinvio a un’autorità competente per eventuali indagini.
Ricevuta la segnalazione attraverso il canale interno sopradescritto, l’Organismo di Vigilanza di IBS Technology S.p.A. devono:
registrare ciascuna segnalazione ricevuta (anche quelle anonime) in un apposito archivio/database ad accesso ristretto e riservato, che viene da essi gestito e conservato;
verificare la procedibilità della segnalazione alla luce del perimetro applicativo soggettivo e oggettivo fissato dal D. Lgs. 24/2023.
In particolare, devono accertarsi che il segnalante sia un soggetto legittimato a effettuare la segnalazione e che l’oggetto della segnalazione rientri tra gli ambiti di applicazione previsti dalla disciplina whistleblowing.effettuare una valutazione sulla sussistenza dei requisiti essenziali della segnalazione valutandone l’ammissibilità utilizzando come criteri, ad esempio, la manifesta infondatezza per l’assenza di elementi di fatto idonei a giustificare accertamenti, l’accertato contenuto generico della segnalazione di illecito tale da non consentire la comprensione dei fatti ovvero segnalazione di illeciti corredata da documentazione non appropriata o incoerente.
In considerazione di quanto sopra esposto, la segnalazione può essere ritenuta inammissibile per:
mancanza dei dati che costituiscono gli elementi essenziali della segnalazione;
manifesta infondatezza degli elementi di fatto riconducibili alle violazioni tipizzate dal legislatore;
esposizione di fatti di contenuto generico tali da non consentirne la comprensione;
produzione di sola documentazione senza la segnalazione vera e propria di violazioni.
Una volta valutata la segnalazione, l’Organismo di Vigilanza di IBS Technology S.p.A. potranno:
archiviare la segnalazione, qualora la stessa risulti improcedibile o inammissibile fornendo al soggetto segnalante un’adeguata motivazione sulle ragioni che hanno portato a tale decisione;
rivolgersi immediatamente agli organi preposti interni o enti/istituzioni esterne, secondo le proprie competenze, qualora ravvisino il fumus di fondatezza della segnalazione;
avviare l’istruttoria interna secondo il livello di urgenza derivante dalla valutazione dei rischi che possono emergere dalla natura della segnalazione, fornendo all’esito della stessa un riscontro alla segnalazione, dando conto delle misure previste o adottate o da adottare per dare seguito alla segnalazione e dei motivi della scelta effettuata. Inoltre, si precisa che l’Organismo di Vigilanza di IBS Technology S.p.A. potrà decidere di avviare un dialogo con il whistleblower, chiedendo a quest’ultimo, per il tramite dei canali interni sopra descritti, chiarimenti, documenti e informazioni ulteriori e, ove necessario, acquisire atti e documenti da altri uffici dell’amministrazione, avvalersi del loro supporto, coinvolgere terze persone tramite audizioni e altre richieste, avendo sempre cura di non compromettere la tutela della riservatezza del segnalante e del segnalato.
Una volta dichiarata fondata la segnalazione ricevuta, l’Organismo di Vigilanza di IBS Technology S.p.A. dovrà rivolgersi agli organi/funzioni interne competenti per i relativi seguiti.
Quanto sopra, considerato il fatto che non spetta ai soggetti incaricati di gestire le segnalazioni il compito di accertare le responsabilità individuali qualunque natura esse abbiano, né di svolgere controlli di legittimità o di merito su atti e provvedimenti adottati dalla società, a pena di sconfinare nelle competenze dei soggetti a ciò preposti all’interno di ogni ente o amministrazione ovvero della magistratura.
7.2 Reportistica ed archiviazione
IBS Technology S.p.A., in conformità a quanto disposto dall’art. 14 del D. Lgs. 24/2023, provvederà a registrare le segnalazioni ricevute e a conservare la relativa documentazione per il tempo necessario al trattamento e comunque non oltre cinque anni a decorrere dalla data della comunicazione dell’esito finale della procedura di segnalazione nel rispetto degli obblighi di riservatezza previsti nei confronti della persona segnalante.
Provvederà, inoltre, a registrare le segnalazioni anonime ricevute e conservare la relativa documentazione non oltre cinque anni decorrenti dalla data di ricezione di tali segnalazioni, rendendo così possibile rintracciarle, nel caso in cui il segnalante, o chi abbia sporto denuncia, comunichi ad ANAC di aver subito misure ritorsive a causa di quella segnalazione o denuncia anonima.
L’Organismo di Vigilanza di IBS Technology S.p.A., predispone e conserva i seguenti documenti:
report delle segnalazioni ricevute: con finalità statistica, il report evidenzia tutte le segnalazioni ricevute e il relativo stato di avanzamento;
relazione d’istruttoria: qualora vengano esercitati i poteri istruttori, i relativi aggiornamenti ed esiti sono mantenuti agli atti.
I dati personali del segnalante e del segnalato saranno trattati in conformità con la normativa applicabile in materia di protezione dei dati personali e con l’informativa privacy di cui al paragrafo 9 della presente procedura.
8. Le tutele e le misure di protezione
IBS Technology S.p.A. ha recepito le novità introdotte nel Capo III del Decreto in tema di misure di protezione. In particolare, il D. Lgs. 24/2023 si preoccupa di proteggere il segnalante attraverso:
l’obbligo di riservatezza della sua identità;
il divieto di atti ritorsivi nei suoi confronti;
la limitazione della sua responsabilità per la rilevazione o diffusione di alcune tipologie di informazioni protette;
Le predette misure di protezione, si applicano, con alcune eccezioni, non solo al whistleblower ma anche ad altri soggetti che potrebbero essere destinatari di ritorsioni, in ragione del ruolo assunto o della particolare vicinanza o rapporto con il segnalante.
Si tratta, nello specifico, dei seguenti soggetti:
facilitatore, cioè la persona fisica che assiste il segnalante nel processo di segnalazione operante all’interno del medesimo contesto lavorativo e la cui assistenza deve essere mantenuta riservata;
persone del medesimo contesto lavorativo del segnalante e che sono legate ad esso da uno stabile legale affettivo o di parentela entro il quarto grado;
colleghi di lavoro del segnalante che lavorano nel medesimo contesto lavorativo dello stesso e che hanno con quest’ultimo un rapporto abituale e corrente.
enti di proprietà, in via esclusiva o in compartecipazione maggioritaria di terzi, del segnalante;
enti presso i quali il segnalante lavora.
La riservatezza dell’identità del segnalante
IBS Technology S.p.A. garantisce, attraverso i propri canali interni di segnalazione, la riservatezza dell’identità del segnalante e di ogni altra informazione, inclusa l’eventuale documentazione allegata, dalla quale si possa direttamente o indirettamente risalire all’identità del whistleblower.
Tale tutela è prevista anche in favore delle persone coinvolte e/o menzionate della segnalazione, nonché ai facilitatori.
Il divieto e la protezione contro le ritorsioni
IBS Technology S.p.A., in conformità alle previsioni di cui al D. Lgs. 24/2023, vieta qualsiasi forma di ritorsione del segnalante (diretta e indiretta) intesa come “qualsiasi comportamento, atto od omissione, anche solo tentato o minacciato, posto in essere in ragione della segnalazione, della denuncia all'autorità giudiziaria o contabile o della divulgazione pubblica e che provoca o può provocare alla persona segnalante o alla persona che ha sporto la denuncia, in via diretta o indiretta, un danno ingiusto”.
Ciò comporta la nullità di qualunque atto ritorsivo adottato in violazione di tale divieto.
La predetta tutela si applica anche nei confronti dei facilitatori e degli altri soggetti sopracitati assimilati al segnalante.
Nello specifico, qualora il segnalante ritenga di aver subito una discriminazione deve darne notizia circostanziata all’ANAC che provvederà ad accertare il nesso di causalità tra ritorsione e segnalazione, potendo, altresì, avvalersi della collaborazione dell’Ispettorato Nazionale del Lavoro ma, rimanendo, comunque, responsabile in ordine alla valutazione degli elementi acquisiti e all’eventuale applicazione delle sanzioni amministrative pecuniarie di cui all’art. 21 del Decreto. Per l’elenco delle ritorsioni si rimanda all’art. 17, comma 4 del Decreto.
Rimane, infine, l’inversione dell’onere della prova, ossia qualora il whistleblower dimostri di avere effettuato una segnalazione, denuncia, o una divulgazione pubblica e di aver subito, a seguito della stessa, una ritorsione, l’onere della prova si sposta sulla persona che ha posto in essere la presunta ritorsione.
È quest’ultima che ha quindi l’onere di dimostrare che la propria condotta non era in alcun modo connessa alla segnalazione ma motivata da ragioni estranee alla stessa.
Possono beneficare dell’inversione dell’onere della prova solo i soggetti segnalanti con esclusione di facilitatori, persone del medesimo contesto lavorativo con stabile legale affettivo o di parentela entro il quarto grado con chi segnala, colleghi di lavoro che hanno un rapporto abituale e ricorrente con il segnalante, sui quali, invece, in caso in ritorsione, incombe l’onere della prova.
Le limitazioni di responsabilità per il segnalante
Ultima tutela prevista dal D. Lgs. 24/2023 nei confronti del segnalante è la limitazione della sua responsabilità rispetto alla rilevazione e alla diffusione di alcune categorie di informazioni, che altrimenti lo potrebbero esporre a conseguenze in termini di responsabilità penale, civile ed amministrativa.
In particolare, il segnalante non potrà essere chiamato a rispondere di:
rivelazione e utilizzazione del segreto d’ufficio (art. 326 c.p.);
rivelazione del segreto professionale (art. 622 c.p.);
rivelazione dei segreti scientifici e industriali (art. 623 c.p.);
violazione del dovere di fedeltà e di lealtà (art. 2105 c.c.);
violazione delle disposizioni relative al diritto d’autore;
violazione delle disposizioni relative alla protezione dei dati personali;
rivelazione o diffusione di informazioni sulle violazioni che offendono la reputazione della persona coinvolta;
Per maggiori dettagli si rinvia alle disposizioni di legge.
9. Informativa Privacy
I dati personali, acquisiti a seguito della eventuale segnalazione, sono trattati nel rispetto della vigente normativa sulla protezione dei dati personali.
In particolare, IBS Technology S.p.A. garantisce che il trattamento dei dati personali si svolga nel rispetto dei diritti e delle libertà fondamentali, nonché della dignità degli interessati con particolare riferimento alla riservatezza e alla sicurezza dei dati.
TITOLARE DEL TRATTAMENTO
Il Titolare del trattamento è la Società IBS Technology S.p.A., con sede in Via Carlo Magni, 1/A, 21049, Tradate.
Il trattamento dei dati personali è effettuato manualmente e/o attraverso la piattaforma di segnalazione LegalTegrity whistle-blower indicata nella presente procedura con modalità idonee a garantire la sicurezza necessaria in relazione alla natura dei dati trattati e, in particolare, adottando le misure di tipo tecnico ed organizzativo adeguate al rischio del trattamento ex art. 32 GDPR.
La Società LegalTegrity GmbH, con sede in Platz der Einheit 2, 60323 Francoforte, Germania che fornisce la piattaforma di segnalazione LegalTegrity whistle-blower è stata nominata Responsabile del Trattamento.
Se necessario, i dati personali eventualmente forniti potranno essere comunicati ad altri fornitori esterni, opportunamente nominati come Responsabili del Trattamento, ai sensi dell’art. 28 GDPR.
È possibile rivolgersi al Titolare del Trattamento per avere la lista completa di tutti i Responsabili del trattamento.
CATEGORIA DI DATI PERSONALI
Ai sensi e per gli effetti di quanto disposto dall'art. 13 del Regolamento (UE) 2016/679 in materia di protezione dei dati personali (di seguito anche “GDPR”), i dati personali trattati in base alla presente procedura saranno, ove conferiti, i dati personali del segnalante e del segnalato strettamente necessari per verificare la fondatezza della segnalazione e per consentirne la relativa gestione e dati di eventuali altri terzi indicati.
FINALITÀ DEL TRATTAMENTO
I dati personali saranno trattati secondo i principi di liceità, correttezza, trasparenza, esattezza, integrità e riservatezza stabiliti dal Regolamento UE 2016/679 e unicamente per le finalità connesse alla gestione delle segnalazioni di cui alla presente procedura.
BASE GIURIDICA DEL TRATTAMENTO
La base giuridica del trattamento dei dati personali conferiti in occasione di segnalazioni di cui alla presente procedura è l’obbligo giuridico discendente dalle previsioni di cui al D.lgs. 24/2023 in attuazione della Direttiva UE 2019/1937 e riguardante “la protezione delle persone che segnalano violazioni del diritto dell'Unione e recante disposizioni riguardanti la protezione delle persone che segnalano violazioni delle disposizioni normative nazionali”.
Il conferimento dei dati personali del segnalante (es. dati di contatto) è opportuno al fine di dar seguito alla segnalazione e poter beneficiare delle tutele di cui al D.Lgs. 24/2023. Il mancato o parziale conferimento dei dati potrebbe infatti comportare l’impossibilità per il Titolare di dar seguito alla segnalazione.
CATEGORIE DI DESTINATARI DEI DATI PERSONALI
Destinatario dei dati personali è l’Organismo di Vigilanza di IBS Technology S.p.A., in conformità a quanto previsto dalla vigente normativa in materia e dalla presente procedura sono autorizzati al trattamento e tenuti a garantire la riservatezza dell’identità del segnalante, del segnalato e di eventuali soggetti coinvolti nella segnalazione.
In ogni caso, i dati personali non saranno oggetto di diffusione.
TRASFERIMENTO DEI DATI IN PAESI EXTRA-UE
Non è previsto alcun trasferimento dei dati personali raccolti in paesi Extra-Ue.
PERIODO DI CONSERVAZIONE DEI DATI RACCOLTI
I dati personali raccolti per le finalità sopra esposte saranno conservati per il tempo necessario all’accertamento della fondatezza della segnalazione e, comunque non oltre cinque anni a decorrere dalla data di comunicazione finale della procedura di segnalazione.
Successivamente, tali dati saranno distrutti o resi in forma anonima se necessari per finalità statistiche o di storicizzazione.
I dati personali che manifestamente non sono utili al trattamento di una specifica segnalazione non sono raccolti, o se raccolti accidentalmente, sono cancellati immediatamente.
DIRITTI DELL’INTERESSATO
In relazione al predetto trattamento, il segnalante ed il segnalato potranno esercitare i diritti di cui agli artt. 13 e ss. del Regolamento (UE) 2016/679 nei limiti della loro compatibilità con la normativa in materia di whistleblowing: in particolare, l’esercizio del diritto di accesso da parte del segnalante o del segnalato ai propri dati personali trattati nell’ambito del processo di whistleblowing può essere limitato, per garantire la tutela dei diritti e delle libertà altrui, con la precisazione che in nessuna circostanza può essere permesso al segnalato di avvalersi del suo diritto di accesso per ottenere informazioni sull’identità del segnalante.
Qualora gli interessati ritengano che il trattamento dei dati personali a loro riferiti avvenga in violazione di quanto previsto dal Regolamento, hanno il diritto di proporre reclamo all’Autorità Garante per la Protezione dei dati personali, come previsto dall'art. 77 del Regolamento stesso, o di adire le opportune sedi giudiziarie come previsto dall’art. 79 del Regolamento.
La presente procedura è stata approvata dal Consiglio di Amministrazione di IBS Technology S.p.A. in data 14 dicembre ed è stata opportunamente resa pubblica sul sito internet di IBS Technology S.p.A. nonché caricata sulla piattaforma LegalTegrity whistle-blower in modo tale da essere facilmente accessibile ai soggetti interessati a presentare una segnalazione whistleblowing.
IBS Technology S.p.A. provvede a formare periodicamente sia i soggetti incaricati di gestire le segnalazioni al fine di assicurare un trattamento adeguato e conforme alle disposizioni applicabili, sia tutto il personale interno in modo tale da creare un’opportuna consapevolezza circa le finalità e le tutele riconosciute dal Decreto, nonché una cultura di integrità e responsabilità all’interno dell’impresa.
ALLEGATO 1: FORM DI SEGNALAZIONE
In caso di segnalazioni presentate tramite i canali interni sopra indicati, raccomandiamo di utilizzare il presente form come guida rispetto alle informazioni da fornire:
| Segnalazione Whistleblowing | |
|---|---|
| Domande | Risposte |
1 - Fornisci le tue generalità come segnalante (nome - cognome - luogo e data di nascita - recapito per essere tenuto aggiornato): | |
2 - A quale Società si riferisce l’evento che vuoi segnalare? | |
3 - Indica il tuo rapporto con la Società. | |
4 - Descrivi dettagliatamente l’evento oggetto di segnalazione. | |
5 - Sai indicare a quale persona/Funzione Aziendale si riferisce il fatto/comportamento che vuoi segnalare? | |
6 - Descrivi come sei venuto a conoscenza dell’accaduto. | |
7 - Sapresti indicare quando e dove (luogo) si è verificato il fatto e le circostanze segnalate? | |
8 - Ritieni che il fatto o i suoi effetti siano terminati o continuino tuttora? | |
9 - Sapresti indicare chi e quante persone, interne o esterne alla Società sono coinvolte nell’evento oggetto di segnalazione? | |
10 - Ritieni che possiamo contattare il soggetto o i soggetti cui è riferita la segnalazione? | |
11 - Credi ci siano altre persone a conoscenza dei fatti da te segnalati? | |
12 - Hai già avuto modo di riferire ad altre personeil fatto che hai segnalato? | |
13 - Credi che ci siano altre persone disponibili ad aiutarci fornendoci ulteriori informazioni sull’evento che hai segnalato? | |
14 - Potresti fornirci ulteriori informazioni o documenti a supporto della tua segnalazione? | |
15 - Hai già effettuato la segnalazione attraversoaltri canali differenti da questo? | |
16 - Inserisci altri commenti che ritieni utili ai fini della segnalazione. | |