WHISTLEBLOWING: QUALI RISCHI PER LA PRIVACY?

Il Garante per la Privacy, pubblicando sul proprio sito istituzionale la newsletter 488 del 11 maggio 2022, ricorda alle aziende che impostano sistemi di whistleblowing la necessità di operare sempre nel pieno rispetto della normativa per la protezione dei dati personali dei dipendenti.

CHE COS’È IL WHISTLEBLOWING?

Con l’espressione whistleblowing si intende la segnalazione di illeciti o irregolarità (per esempio casi di corruzione e frode oppure quando è in pericolo la salute e la sicurezza pubblica) che un individuo segnalante riscontra in un’azienda o in un ente pubblico.

In Italia la normativa vigente obbliga pubbliche amministrazioni ed aziende private dotate di modelli di gestione basati sul D. Lgs. 231/01 a dotarsi di un canale informatico, per consentire a chi viene a conoscenza di condotte illecite nel luogo di lavoro di segnalarle in modo assolutamente riservato.

COSA HA RILEVATO IL GARANTE PER LA PRIVACY?

La comunicazione pubblicata dal Garante per la Privacy fa riferimento a una sanzione comminata ad un’azienda ospedaliera e alla società informatica che gestiva il servizio di whistleblowing per denunciare presunte attività corruttive o altri comportamenti illeciti all’interno dell’ente sanitario.

L’istruttoria dell’Autorità Garante per la Privacy nasce nell’ambito di un ciclo di attività ispettive sulle modalità di trattamento dei dati acquisiti tramite i sistemi di whistleblowing, in particolare quelli più utilizzati in Italia dai datori di lavoro.

Dai controlli effettuati presso l’azienda ospedaliera sono emerse diverse violazioni del Regolamento Europeo UE/2016/679 (GDPR).

Nello specifico, l’accesso all’applicazione web di whistleblowing avveniva attraverso sistemi che, non essendo stati correttamente configurati, registravano e conservano i dati di navigazione degli utenti, tanto da consentire l’identificazione di chi la utilizzava, tra cui i potenziali segnalanti.

Inoltre la struttura sanitaria non aveva provveduto a informare preventivamente i lavoratori in merito al trattamento dei dati personali effettuato per finalità di segnalazione degli illeciti, non aveva effettuato una valutazione di impatto privacy e non aveva neppure inserito tali operazioni nel registro delle attività di trattamento, strumento utile per valutare i rischi per i diritti e le libertà degli interessati.

È infine emersa una non corretta gestione delle credenziali di autenticazione per l’accesso all’applicazione web di whistleblowing da parte del Responsabile della prevenzione della corruzione e della trasparenza (Rpct), durante la fase di transizione con il suo successore.

QUALI INDICAZIONI FORNISCE IL GARANTE PER LA PRIVACY?

Nella comunicazione apparsa nella newsletter 488 del 11 maggio 2022 il Garante per la Privacy ribadisce che pubbliche amministrazioni e imprese private devono prestare la massima attenzione nell’impostazione e gestione dei sistemi di whistleblowing, garantendo la corretta gestione della privacy dei dipendenti e delle altre persone che presentano segnalazioni di condotte illecite.

PER APPROFONDIRE…

Per approfondire gli argomenti whistleblowing e privacy, scopri i corsi di formazione organizzati da Vega Formazione.

Vai alla proposta formativa presente nelle aree:

• Sistemi di Gestione e Modelli Organizzativi D.Lgs. 231/01
• Privacy e GDPR