INFORMATIVA SUL TRATTAMENTO DEI DATI PERSONALI – WHISTLEBLOWING

ai sensi degli Artt. 13 e 14 del Regolamento UE 679/2016 (GDPR) “Regolamento Generale sulla Protezione dei Dati”

SEZIONE 1 - PREMESSA

ai sensi e nel rispetto della normativa vigente in materia di protezione dei Dati personali ed in particolare ai sensi degli artt. 13 e 14 del Regolamento UE 679/2016, rubricato “Regolamento Generale sulla Protezione dei Dati” (di seguito per brevità “GDPR”), EXACTA LABCENTER SPA, in qualità di titolare del trattamento (di seguito per brevità “Titolare”), Le fornisce le seguenti informazioni riguardo al trattamento dei Suoi Dati personali o di soggetti terzi da Lei forniti; dati che saranno trattati, anche con l'ausilio di strumenti elettronici, direttamente dal Titolare e/o tramite terzi, per le finalità riportate di seguito (di seguito “Dati personali”).

Con Dati personali si intende qualsiasi informazione riguardante una persona fisica identificata o identificabile; si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale. La presente informativa privacy (di seguito “Informativa”) è relativa ai trattamenti di Dati personali effettuati dal Titolare per le finalità descritte alla successiva Sezione 5.

La presente informativa è redatta in conformità al D.Lgs. 10 marzo 2023, n. 24, attuativo della Direttiva (UE) 2019/1937, e alle Linee Guida ANAC vigenti in materia di whistleblowing.

SEZIONE 2 - IDENTITÀ E DATI DI CONTATTO DEL TITOLARE DEL TRATTAMENTO

Il Titolare del trattamento per le finalità di seguito riportate è EXACTA LABCENTER SPA, con sede in via Bosco n. 21 San Prospero (MO). Per ulteriori informazioni può contattare il Titolare al seguente indirizzo e-mail: amministrazione@exactalabcenter.it, oppure inviando una richiesta scritta a EXACTA LABCENTER SPA, via Bosco n. 21 San Prospero (MO).

SEZIONE 3 - IDENTITÀ E DATI DI CONTATTO DEL RESPONSABILE DELLA PROTEZIONE DEI DATI (Questa sezione sarà visualizzata solo in caso di nomina del DPO)

SEZIONE 4 – TIPOLOGIA E FONTE DEI DATI PERSONALI OGGETTO DI TRATTAMENTO.

I dati personali trattati dal Titolare in qualita' di Titolare possono comprendere, a titolo esemplificativo e non esaustivo:

1. Dati personali comuni ai sensi dell'art. 4, punto 1, del GDPR, riferibili alle seguenti categorie di Interessati:

   a. Segnalante: la persona fisica che effettua una segnalazione ai sensi del D.Lgs. 24/2023, nel caso di segnalazioni non anonime. Possono essere Segnalanti, tra gli altri, lavoratori dipendenti, collaboratori, liberi professionisti, volontari, tirocinanti, azionisti e persone con funzioni di amministrazione, direzione, controllo, vigilanza o rappresentanza dell'ente, anche qualora il rapporto giuridico non sia ancora iniziato o sia cessato;

   b. Facilitatore: la persona fisica che assiste il Segnalante nel processo di segnalazione, operante nel medesimo contesto lavorativo, la cui assistenza deve restare riservata (art. 2, par. 1, lett. d), D.Lgs. 24/2023);

   c. Persone coinvolte o menzionate nella segnalazione: soggetti terzi cui la segnalazione si riferisce o che vi vengono comunque citati.

   I dati comuni trattati possono includere: dati anagrafici (nome, cognome), dati di contatto (numero di telefono, indirizzo e-mail), dati relativi al ruolo professionale e al rapporto con l'ente.

2. Categorie particolari di dati ai sensi dell'art. 9 del GDPR, qualora presenti nel contenuto della segnalazione (ad esempio dati relativi alla salute, all'orientamento sessuale, alle opinioni politiche o alle convinzioni religiose).

3. Dati relativi a condanne penali e reati ai sensi dell'art. 10 del GDPR, qualora emergenti dalla segnalazione.

Il trattamento di tali dati avviene nei limiti strettamente necessari alla gestione della segnalazione e in conformità a quanto consentito dalla normativa applicabile.

SEZIONE 5 – FINALITÀ E BASI GIURIDICHE DEL TRATTAMENTO.

I dati personali sono trattati dal Titolare per le seguenti finalità:

1. Gestione della segnalazione effettuata ai sensi del D.Lgs. 24/2023, attuativo della Direttiva (UE) 2019/1937, nonché' in conformità alle Linee Guida ANAC (Delibera n. 311 del 12 luglio 2023 per le segnalazioni esterne, come modificata con Delibera n. 479 del 26 novembre 2025; Linee Guida n. 1/2025 sui canali interni, adottate con Delibera n. 478 del 26 novembre 2025) e al Parere del Garante per la protezione dei dati personali n. 581 del 9 ottobre 2025. Base giuridica: adempimento di un obbligo legale ai sensi dell'art. 6, par. 1, lett. c), del GDPR. Per le segnalazioni registrate raccolte telefonicamente o tramite sistemi di messaggistica vocale, la base giuridica e' il consenso dell'interessato ai sensi dell'art. 6, par. 1, lett. a), del GDPR.

2. Adempimento di obblighi di legge previsti dalla normativa nazionale e dell'Unione Europea. Base giuridica: adempimento di un obbligo legale ai sensi dell'art. 6, par. 1, lett. c), del GDPR.

3. Accertamento, esercizio o difesa di un diritto in contenziosi civili, amministrativi o penali. Base giuridica: legittimo interesse del Titolare ai sensi dell'art. 6, par. 1, lett. f), del GDPR, consistente nell'esigenza di tutelare i propri diritti in sede giudiziaria o stragiudiziale. Gli interessi del Titolare sono stati valutati e ritenuti prevalenti rispetto agli interessi degli Interessati in ragione della finalità strettamente difensiva del trattamento. L'Interessato ha il diritto di opporsi a questo trattamento ai sensi dell'art. 21 del GDPR, fermo restando che potrebbero sussistere motivi legittimi cogenti che ne giustificano il proseguimento.

Il conferimento dei dati è necessario per il conseguimento delle finalità di cui sopra. Il mancato, parziale o inesatto conferimento potrebbe rendere impossibile la gestione della segnalazione.

SEZIONE 6 - MODALITÀ DI TRATTAMENTO

Il trattamento dei dati personali avviene con modalità sia automatizzate (su supporto elettronico o magnetico) sia non automatizzate (su supporto cartaceo), con logiche strettamente collegate alle finalità indicate, in modo da garantire sicurezza, protezione e riservatezza dei dati, nel rispetto del GDPR e della normativa applicabile.

Le segnalazioni vengono gestite tramite questa piattaforma informatica.

La piattaforma è idonea a garantire, ai sensi dell'art. 4 del D.Lgs. 24/2023 e in conformità al Parere Garante n. 581/2025, la riservatezza dell’identità del Segnalante mediante misure tecniche avanzate, tra cui la cifratura end-to-end dei dati. Il fornitore della piattaforma opera in qualità di Responsabile del trattamento ai sensi dell'art. 28 del GDPR, in base ad apposito contratto scritto che disciplina compiti, obblighi e misure di sicurezza applicabili.

Il sistema garantisce, in ogni fase del processo, la riservatezza dell’identità del Segnalante, dei Facilitatori, delle Persone coinvolte o menzionate nella segnalazione, del contenuto della segnalazione e della relativa documentazione, fatto salvo quanto previsto dall'art. 12 del D.Lgs. 24/2023 in materia di divulgazione dell’identità in sede penale, disciplinare o per la tutela in giudizio della persona segnalata.

SEZIONE 7 - COMUNICAZIONE DEI DATI

All'interno del Titolare, possono venire a conoscenza dei dati personali esclusivamente i soggetti formalmente autorizzati al trattamento, adeguatamente istruiti e formati, che agiscono sotto la diretta autorità del Titolare ai sensi dell'art. 4, comma 2, del D.Lgs. 24/2023. Tali soggetti sono tenuti al segreto su quanto appreso nell'esercizio delle proprie mansioni.

Il Gestore delle Segnalazioni designato dal Titolare è l'unico soggetto in grado di associare la segnalazione all’identità del Segnalante, nei casi in cui questa sia stata comunicata. Qualora esigenze istruttorie richiedano il coinvolgimento di altri soggetti interni, il contenuto della segnalazione potrà essere loro comunicato esclusivamente nei limiti necessari e senza mai rivelare l’identità del Segnalante ne' elementi che, anche indirettamente, possano consentirne l'identificazione.

Il fornitore della piattaforma informatica e' nominato Responsabile del trattamento ai sensi dell'art. 28 del GDPR, con apposito atto contrattuale, e tratta i dati esclusivamente su istruzione del Titolare.

Possono altresì venire a conoscenza dei dati, nella misura strettamente necessaria e per i rispettivi fini istituzionali, i seguenti soggetti che agiscono come Titolari autonomi del trattamento:

• ANAC (Autorità Nazionale Anticorruzione), esclusivamente nell'ambito del canale esterno di segnalazione di cui agli artt. 7 e seguenti del D.Lgs. 24/2023. Nel caso in cui l'Interessato scelga di effettuare una segnalazione esterna tramite ANAC, il trattamento dei dati da parte di quest'ultima e' disciplinato dalla propria informativa privacy, indipendente dalla presente;
• Autorità giudiziaria e altri enti o organismi competenti in relazione alla fattispecie segnalata, nei casi previsti dalla legge.

In nessun caso i dati personali saranno oggetto di diffusione indiscriminata.

SEZIONE 8 - TRASFERIMENTO DEI DATI ALL’ESTERO

La gestione e la conservazione dei dati avvengono su server ubicati in Italia e comunque all'interno del territorio dell'Unione Europea. I dati personali non sono trasferiti verso paesi terzi né verso organizzazioni internazionali.

Qualora in futuro si rendesse necessario un trasferimento di dati al di fuori dello Spazio Economico Europeo, esso avverrà nel rispetto delle garanzie previste dagli artt. 44 e seguenti del GDPR, con preventiva informativa agli Interessati.

SEZIONE 9 – TEMPI DI CONSERVAZIONE DEI DATI

Il Titolare conserva i dati personali per il tempo necessario alla gestione della segnalazione e, in conformità all'art. 14 del D.Lgs. 24/2023, per un periodo non superiore a cinque anni decorrenti dalla data di comunicazione dell'esito finale della procedura da parte del Gestore delle Segnalazioni.

I dati personali che si rivelino manifestamente non pertinenti o non utili alla gestione della specifica segnalazione non vengono raccolti. Qualora siano stati acquisiti accidentalmente, vengono cancellati tempestivamente, previa annotazione delle ragioni che ne giustificano la cancellazione ai fini di accountability.

Alla scadenza del termine di conservazione, i dati sono cancellati o resi anonimi in modo irreversibile, salvo obblighi di conservazione superiori derivanti da prescrizioni normative o provvedimenti giudiziari.

SEZIONE 10 – DIRITTI DELL’INTERESSATO

L’interessato potrà in ogni momento esercitare nei confronti del Titolare i diritti previsti dalla Legge di seguito elencati, che gli sono riconosciuti dalla normativa in materia di protezione dei Dati personali, inviando un’apposita richiesta per iscritto al Titolare ai contatti di cui alle Sezione 2.

1. Diritto di accesso

   Lei potrà ottenere dal Titolare la conferma che sia o meno in corso un trattamento dei Suoi Dati Personali e, in tal caso, ottenere l’accesso ai propri Dati Personali ed alle informazioni previste dall’Art. 15 del GDPR ottenendo evidenza, a titolo esemplificativo, delle finalità perseguite da parte del Titolare, delle categorie di dati coinvolti, dei destinatari a cui gli stessi possono essere trasmessi, del periodo di conservazione applicabile e dell’esistenza di processi decisionali automatizzati. Nel contesto del whistleblowing, l'esercizio del diritto di accesso da parte delle Persone coinvolte o menzionate nella segnalazione può essere differito o limitato, per il tempo e nella misura necessari, qualora ciò possa pregiudicare la riservatezza dell’identità del Segnalante o il regolare svolgimento dell'istruttoria, ai sensi dell'art. 2-undecies del D.Lgs. 196/2003 e dell'art. 12, comma 5, del D.Lgs. 24/2023.

2. Diritto di rettifica

   Lei potrà ottenere dal Titolare, senza ritardo, la rettifica dei Suoi Dati Personali che risultano inesatti come pure, tenuto conto delle finalità del trattamento, l’integrazione degli stessi, qualora risultino incompleti, fornendo una dichiarazione integrativa.

3. Diritto alla cancellazione

   Lei potrà chiedere al Titolare la cancellazione dei Suoi Dati Personali, se sussiste uno dei motivi previsti dall’Art. 17 del GDPR, tra cui, a titolo esemplificativo, qualora i Dati Personali non siano più necessari rispetto alle finalità per le quali sono stati raccolti o altrimenti trattati o qualora il consenso su cui si basa il trattamento dei Suoi Dati Personali sia stato da Lei revocato e non sussiste altro fondamento giuridico per il trattamento. Resta inteso che la revoca del consenso non pregiudicherà la liceità dei trattamenti effettuati fino a quel momento. La informiamo che il Titolare non potrà procedere alla cancellazione dei Suoi Dati Personali: qualora il loro trattamento sia necessario, ad esempio, per l'adempimento di un obbligo di legge, per motivi di interesse pubblico, per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria.

4. Diritto di limitazione di trattamento

   Lei potrà ottenere la limitazione del trattamento dei Suoi Dati Personali qualora ricorra una delle ipotesi previste dall’Art. 18 del GDPR, tra le quali, ad esempio: a fronte di una Sua contestazione circa l'esattezza dei Suoi Dati Personali oggetto di trattamento o qualora i Suoi Dati Personali le siano necessari per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria, benché Titolare non ne abbia più bisogno ai fini del trattamento.

5. Diritto di opposizione

   Lei potrà opporsi in qualsiasi momento al trattamento dei Suoi Dati Personali qualora il trattamento venga effettuato per l’esecuzione di un’attività di interesse pubblico o per il perseguimento di un interesse legittimo del Titolare (compresa l’attività di profilazione), nei limiti di cui all’art. 21 del GDPR. Qualora Lei decidesse di esercitare il diritto di opposizione qui descritto, il Titolare si asterrà dal trattare ulteriormente i Suoi Dati Personali, a meno che non vi siano motivi legittimi cogenti per procedere al trattamento che prevalgono sugli interessi, sui diritti e sulle libertà dell’interessato oppure per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria.

6. Diritto alla portabilità dei dati

   Il diritto alla portabilità si applica esclusivamente ai trattamenti basati sul consenso o sull'esecuzione di un contratto e effettuati con mezzi automatizzati. Nel contesto della presente Informativa, tale diritto è applicabile in modo limitato, poiché' la base giuridica prevalente è l'adempimento di un obbligo legale, per il quale la portabilità non è esercitabile.

   Nei soli casi in cui il consenso sia la base giuridica applicabile (segnalazioni registrate in forma orale), l'Interessato può richiedere di ricevere i propri dati in formato strutturato, di uso comune e leggibile da dispositivo automatico, ovvero richiederne la trasmissione diretta a un altro Titolare, ove tecnicamente fattibile.

7. Diritto di proporre un reclamo all’Autorità Garante per la protezione dei Dati Personali

   Fatto salvo il Suo diritto di ricorrere in ogni altra sede amministrativa o giurisdizionale, qualora ritenesse che il trattamento dei Suoi Dati Personali da parte del Titolare avvenga in violazione della Legge e/o della normativa applicabile potrà proporre reclamo all’Autorità Garante per la Protezione dei Dati Personali competente.