Documentaziun dl canal de segnalaziun sot al Decret legislatif n. 24/2023 : Regolamënt intern, DPIA, consultaziun sindicala y register de 5 agn

Le prinzip de accountability y la valüta probatoria dla documentaziun

Tl sistem giurìdich talian vëgn la regularitè de n prozedimënt intern valutada sön la basa di ac scric. Sce n dator de laur condüsc n'inrescida interna o dá sanzions disciplinares a n laurant sön la basa de informaziuns arjontes tres n canal de whistleblowing che n'ê nia formalisé te regolamënc aziendai aprová, le Tribunal dl Laur anuleia daprò les sanzions por difet de prozedöra y violaziun dl articul 7 dl Statut di Lauranc (Lege 300/1970).

Le Decret legislatif n. 24/2023 s'inserësc te n contest normatif articulé che colega trëi ciamps giurìdics prinzipai :

• Normativa anticorona y regoles ANAC : L'articul 4 y 5 dl decret y la Delibera ANAC n. 311/2023 scrij dant che vigni aministraziun y impresa mëss mëte a desposiziun informaziuns clares y azesibles sön le fonzionamënt di canai interns y sön les condiziuns por s'ademplí ad ANAC ;
• Normativa sön la proteziun di dac personai (GDPR y Codi de Privacy) : Le tratamënt de dac personai colegá a segnalaziuns de reat comporta n risch alt por i dirits fondamentai, deache al reverda informaziuns giudiziaries y relazions de laur delicades ;
• Dirit sindical talian y Statut di Lauranc : L'articul 4 dla Lege 300/1970 viëta l'instalaziun de implanc de control a distonza sön i dependënc zënza acord sindical o autorisaziun dl Ispetorat dl Laur. Le canal de whistleblowing ne pó mai gní adoré sciöche n strümënt de sorveglianza sön l'ativitè di colaboradús.

Por chisc motives mëss le dator de laur conzepí y tigní ajornada na serie de documënc formals dan da mëte a jí le canal.

Le Regolamënt intern de whistleblowing (Politica aziendala)

Le documënt fondamëntal de döt le sistem é le Regolamënt intern o Procedüra de segnalaziun. Tles sozietés de capital vëgn chësc regolamënt aprové con delibera formala dl Consëi de Aministraziun (CdA), tles impreses uniperdonales dal aministradú unich, y ti enc publics dal organ de indiris politich sön proposta dl RPCT.

Claufules obligatories de lege

L'articul 5 dl Decret legislatif n. 24/2023 stabilësc che le regolamënt mëss contëgner claufules detaiades che descrij :

• I ogec dles segnalaziuns amissibiles : Lësta di ilizits prevësc dala lege (reats soto al Model 231, froudes cuntra l'UE, violaziuns di apalc publics, danfats al ambiënt, coruziun) y esclujiun dles lites personals ;
• I sogec lezitimá da segnalé : Indicaziun de dötes les categories de colaboradús (dependënc, partìes IVA, stajisć, fornidús, aministradús) ;
• I canai de trasmasciun atifs : Descriziun dl portal crifré, dles lignies telefoniches o messajistica vocala y dla modalitè de audiziun de porsona ;
• La despartiziun y i poteri dl gestur : Atribuziun formala dles funziuns al gestur intern (OdV, auditor) o a n soget estern profescional, con poteri d'istrutoria autonoms ;
• I termins prozedurai zërc : Obligaziun de convalidaziun te 7 dis de calënder y comunicaziun dl riscontro final te 3 meisc ;
• Le rejim de segretesa y confidenzialitè : Diviet de revelaziun dl'identitè dl segnaladú zënza consëns scrit y sancions disciplinares por chi che viola le secret ;
• La gestiun dles segnalaziuns anonimes : Criteris de valutaziun dles segnalaziuns zënza inom circunstanzies y aplicaziun dla sconanza retroativa dl articul 16 ;
• Informaziuns sön le canal estern ANAC y revelaziun publica : Descriziun dles cuater condiziuns dl articul 6 por azede ad ANAC y dles condiziuns dl articul 15 por la revelaziun publica.

Modalitè de publicaziun y difujiun

L'articul 5, coma 1, lëtra e) scrij dant che le regolamënt mëss gní pübliche te manira visibla y fazilmënter azesibla a döts i colaboradús : al mëss gní metü sön la intranet aziendala, afiché te vigni lüch de laur (sön la tofla di avisi aziendai) y pübliche sön le sit web istituzional te na sezion dedicada al whistleblowing azesibla ince ai fornidús y colaboradús esterns.

Le Verbale de consultaziun preventiva dles rapresentanzes sindicales (RSA / RSU)

Ön di obliis plü delicac prevësc dal decret talian reverda i raporc con i sindacac de lëur. L'articul 4, coma 1 stabilësc na condiziun prozedurala tassativa :

Natura dla consultaziun sindicala

Le decret pretënn na consultaziun preventiva (sentite le rappresentanze sindacali). Chësc ne ó nia dí che al mëss por forza gní sotscrit n acord coletif (accordo sindacale), mo le dator de laur mëss desmostré con documënc formals de avëi invié le confront con i sindacac, de ti avëi trasmetü l'osnüt de regolamënt y de avëi valuté sües osservaziuns dan da mëte a jí le sistem.

Sce te l'azienda ne dál nia rapresentanzes RSA o RSU atives, ANAC tla Delibera n. 311/2023 consiëia de consulté les organisaziuns sindicales comparativamënter plü rapresentatives sön livel teritorial o de categoria.

Cuntëgn dl verbale de consultaziun

Le documënt probatorie fondamentalisim é le Verbale de consultaziun sindicala, che mëss contëgner :

• La data, l'ora y la sede dl incunté (de porsona o te videoconferënza) ;
• L'identificaziun dles perts : delegá de l'azienda y rapresentanc di lauranc (CGIL, CISL, UIL o atres sigles) ;
• L'esposiziun dles carateristiches tecniches dla platafurma de whistleblowing, con la garanzia che ara ne permet nia le control a distonza di dependënc ;
• Les propostes y domandes desmotades dai sindacac sön la segurëza di dac y sön la formaziun di lauranc ;
• Les conclujiuns y la sotascriziun de vignuna dles perts presëntes.

La mancianza de chësc verbale espogn le dator de laur a n ricors sindical por condüta antisindacala aladô dl articul 28 dl Statut di Lauranc con anulamënt di ac aziendai y a sancions aministratives de ANAC.

La Valutaziun de impat sön la proteziun di dac (DPIA) ex art. 35 GDPR

Le Garante por la proteziun di dac personai te deplü provedimënc (Delibera n. 471/2023) à stabilí che l'ativaziun de n canal de whistleblowing comportëia n risch elevé por i dirits y les libertês dles porsones fesiches, rendon obligatoria la Valutaziun de impat sön la proteziun di dac (DPIA).

Strutura obligatoria dla DPIA

Le documënt de DPIA mëss gní redat dal Responsabl dla Proteziun di Dac (DPO) te colaboraziun con la direziun de l'azienda y mëss contëgner :

• Descriziun sistematica di tratamënc : Mappatura di flusc de dac dal momënt dl inserimënt tla platafurma, crifratura, custodia tl database cina ala desdrüziun finala ;
• Valutaziun de nezessitè y proporzionalitè : Desmostraziun che i dac tratá é streitamënter pertinënc y limitá a ci che é nezessare (data minimisation) ;
• Analisa di risć concrets : Valutaziun dles minazes d'aces nia autorisé, interzetaziun de rëi, revelaziun d'identitè o përdita de dac ;
• Mesures de mitigaziun tecniches y organisatives : Adoziun de crifratura AES-256 at rest y TLS 1.3 in transit, autenticaziun a dui faturi (MFA) por i gesturs, token criptografich zënza trace IP por i segnaladús ;
• Parere formal dl DPO : Valutaziun conclusiva dl DPO sön la conformitè y l'acetabilitè di risć residui.

La DPIA mëss gní tignida tla documentaziun de conformitè de l'azienda y mëss gní ajornada vigni outa che al vëgn mudé la platafurma software o le gestur dl canal.

Ati de designaziun di gesturs (Articul 2-quaterdecies Codi Privacy)

L'articul 12 dl Decret legislatif n. 24/2023 scrij dant che i gesturs dl canal mëss ester espressamënter autorisá al tratamënt di dac personai. Tl ordenamënt talian vëgn chësta autorisaziun fata tres l'at de designaziun prevëst dal articul 2-quaterdecies dl Decret legislatif 196/2003 (Codi de Privacy ajorné dal D.Lgs. 101/2018).

Cuntëgn dl at de designaziun individual

Vigni porsona fesica che azede ala platafurma sciöche gestur mëss receve n at formal scrit sotescrit dal dator de laur che delinëia :

• L'ambit dles ativitês d'istrutoria autorisades ;
• L'obligaziun tassativa de segretesa y secret profescional sön l'identitè dl segnaladú y dles porsones zitiades ;
• L'avertimënt che la violaziun dl secret costituësc reat penal (articul 326 o 622 c.p.) y comporta sancions disciplinares cina al licenziamënt ;
• L'obligaziun de custodí les credenziai de azes te manira streitamënter personala con diviet de condifijiun con atri colegs ;
• L'atestaziun de avëi frecuenté n cors de formaziun specifich sön la gestion dles segnalaziuns y sön la normativa de whistleblowing.

Le Contrat de tratamënt dac (DPA) con le fornidú de software (Articul 28 GDPR)

Canche l'azienda adora na platafurma SaaS te cloud sciöche UNOVOX, le fornidú tecnologich deventa n Responsabl dl Tratamënt aladô dl articul 28 dl GDPR. Le dator de laur mëss sotescrí n Data Processing Agreement (DPA) che garantësc :

• Che i server se ciafe esclusivamënter tl teritore de l'Uniun Europeica ;
• Che le fornidú de software n'à degun azes nia crifré ai cuntëgns dles segnalaziuns ;
• L'esecuziun periodica de penetration test y audits de segurëza con certificaziun ISO 27001 ;
• La desdrüziun complëta y ireversibla de vigni dat ala conclujiun dl contrat de fornitura.

Le Register dles segnalaziuns y la conservaziun quinquennala (Articul 14)

La fasa finala dla documentaziun é la gestion dl register dles segnalaziuns. L'articul 14, coma 1 dl Decret legislatif n. 24/2023 stabilësc la durada temporala d'archiviaziun :

Informaziuns da rejistré

Le register informatich crifré mëss contëgner por vigni segnalaziun :

• Le codif identificatif unich dl caje (token) ;
• La data y l'ora precisa de recepiamënt ;
• La tipologìa de canal dorada (scrit, messaje vocal, audiziun) ;
• La categoria dla violaziun contestada ;
• La data de convalidaziun de recevüda (te 7 dis) ;
• I pass d'inrescida documentara mená a fin ;
• Le provedimënt conclusif adoté (archiviaziun motivada, azion disciplinara, denunzia ala Procura) ;
• La data de comunicaziun dl riscontro final al segnaladú (te 3 meisc) ;
• La data stabilida por la desdrüziun definitiva dl fascicol (5 agn d'inares).

Desdrüziun zertificada do 5 agn

Do che i 5 agn dala comunicaziun dl riscontro é passá, le sistem mëss desdrüe te manira sigüda y ireversibla döta la documentaziun, scancelan les ciafs de crifratura y redijan n verbale de scancelaziun certificada. La conservaziun indefinda costituësc na violaziun dl prinzip de limitaziun dla conservaziun (articul 5 GDPR) sanzionada dal Garante.

Paritè linguistica y documentaziun te lingaz ladin te Südtirol y Trentin

Tles Provinzes Autonomes de Balsan y de Trënt mëss la ciadëna documentara tigní cont dl ordenamënt de tütela linguistica por la mendranza ladina aladô dl Statut d'Autonomia spezial (D.P.R. 670/1972) y dla Lege 482/1999 :

Adopero dl ladin ti ac di comuns y enc publics

Ti 32 comuns ladins y dles valades dolomitiches (Val Badia, Gherdëina, Val de Fascia) mëss la documentaziun de whistleblowing ester redata te manira paritetica :

• Le regolamënt intern de whistleblowing mëss ester pübliche te lingaz ladin dolomitan adöm con le talian y le todësch ;
• Les tofles informative y i avisi ti posć de laur mëss ester trilingues ;
• I formulari de segnalaziun y i modiei de ricevüda mëss conzede la letöra y la scritöra te lingaz ladin ;
• Le register dles segnalaziuns mëss permëte l'archiviaziun di ac te lingaz ladin zënza obligaziun de traduziun preventiva.

Valüta por les impreses privates de Südtirol

Por les sozietés privates dles valades ladines con passa 50 dependënc (hotiei, impreses de artejanat, impianc portanc de lifc), la desponibilitè dl regolamënt intern y dla platafurma te lingaz ladin rapresentëia na garanzia de transparenza y aumentëia la fidüza di lauranc, evitan conblic prozedurai dan al Tribunal dl Laur de Balsan.

Tabella de comparaziun : Ciadëna documentara de whistleblowing

Cuadar sintetich dles obligaziuns documentares aladô dl Decret legislatif n. 24/2023 :

Rocoes por la creaziun dla ciadëna documentara

Por mëte en pe n sistem de whistleblowing conform zënza fali, consiëiese chisc pesć :

• No adoré modiei generici cassa-in-man : Vigni documënt (regolamënt, DPIA, ati de designaziun) mëss gní personalisé sön la realtè organisativa y informatica de l'azienda ;
• Formaisé daprò le confront con i sindacac : Menëde la comunicaziun ales rapresentanzes RSA/RSU y redijëde le verbale con dötes les perts sotescrites dan da ativé le software ;
• Cumpëdé i tëmps de conservaziun te software : Ativëde la fonziun de scancelaziun automatica do 5 agn dala data dl riscontro final por respeté l'articul 14 dl decret ;
• Integré le lingaz ladin ti modiei : Assegurëde che la documentaziun tles valades ladines sides azesibla y püblicheda ince te süa uma-lingaz.

Domandes che vëgn suënz fates (FAQ)

Bastel n regolamënt intern de aziënda zënza consultaziun con i sindacac?

Nò. L'articul 4, coma 1 dl decret scrij dant l'obligaziun de consultaziun preventiva con les rapresentanzes sindicales (RSA/RSU). La mancianza dl confront con i sindacac espogn l'impresa a ricors por condüta antisindacala.

Ésel obligatör da redije na DPIA por le canal de whistleblowing?

Ojé. Le Garante Privacy tla Delibera n. 471/2023 à confermé che le whistleblowing comporta n risch alt por i dac personai, rendon la DPIA aladô dl articul 35 GDPR obligatoria dan l'ativaziun.

Chi mëss pa sotescrí l'at de designaziun di gesturs dl canal?

L'at de designaziun ex art. 2-quaterdecies Codi Privacy mëss gní sotescrit dal dator de laur o dal legal rapresentant de l'azienda, che conferësc i poteri d'istrutoria y l'obligaziun de segretesa.

Co pó l'impresa desmostré la desdrüziun di dac do 5 agn?

Le gestur o le DPO mëss redije n verbale de desdrüziun o scancelaziun certificada con l'atestaziun tecnologica che les chiafs de crifratura é stades desdrüdes y i dac eliminá dal database.

Mëssele la documentaziun de whistleblowing ester püblicheda sön internet?

Le regolamënt intern con les informaziuns sön i canai mëss gní pübliche sön le sit internet de l'azienda te na sezion azesibla a döts. Les DPIA, i verbali sindacai y le register dles segnalaziuns resta documënc interns riservá.

Cie caratertich mëss pa avëi le contrat DPA con le fornidú de software?

Al mëss respeté l'articul 28 GDPR, garantin che i dac resta te l'UE, che al vëgn fata crifratura AES-256 y che le fornidú n'à degun azes ai cuntëgns dles segnalaziuns.

Pó n comun ladin con 2.000 abitanc redije le regolamënt ma te lingaz talian?

Nò. Tl teritore de Südtirol mëss les aministraziuns comunales ladines garantí la paritè linguistica aladô dl Statut spezial de Autonomia, redijan i ac ince te lingaz ladin.

Cie suzedel sce le register dles segnalaziuns vëgn tigní sön n fei Excel ordinär?

N fei Excel ne garantësc nia la segretesa, la traciabilitè di ac y la crifratura. Chësc costituësc na violaziun dles normes de segurëza dl GDPR con risch de sanzions da pert dl Garante.

Pó le dator de laur conservé les segnalaziuns por plü de 5 agn por motivi de archiv?

Nò. L'articul 14 dl decret viëta la conservaziun por plü de 5 agn dala data dl riscontro final. Do chësc tëmp mëss i dac gní desdrüs ireversiblamënter.

Val la documentaziun de whistleblowing ince por i colaboradús esterns?

Ojé. L'articul 3 dl decret slria fora l'ambit ai fornidús, colaboradús autonoms y consulënc, che mëss gní informá sön le regolamënt intern dan da scomenzé la colaboraziun.