27 marzo 2018 19 novembre 2020 14 novembre 2023 Procedura Pagina 1 di 28 Procedura di gestione delle segnalazioni “ whistleblowing” PROCEDURA PER LA GESTIONE DELLE SEGNALAZIONI - WHISTLEBLOWING Servizi coinvolti: • Tutti i Destinatari del Modello Comitato Esecutivo Approvata da Revisione n. Data decorrenza Oggetto Effettuata da: Prima versione del documento Prima revisione del documento Seconda revisione del documento 0 1 2 Comitato Esecutivo Comitato Esecutivo Comitato Esecutivo

0. Reporting..............................................................................................................................................................22 1. Casi particolari....................................................................................................................................................22 2. Delibere dell’OdV................................................................................................................................................23 3. Divulgazione della procedura .........................................................................................................................23 Procedura Pagina 2 di 28 Procedura di gestione delle segnalazioni “ whistleblowing” INDICE 1 2 3 4 5 6 6 6 6 6 6 7 7 8 8 9 1 1 1 1 . Definizioni ..............................................................................................................................................................4 Premessa................................................................................................................................................................8 Scopo ......................................................................................................................................................................8 Le Segnalazioni oggetto della presente procedura.....................................................................................9 Ambito di applicazione .....................................................................................................................................11 Canali di Segnalazione......................................................................................................................................11 Segnalazione interna ...............................................................................................................................11 Segnalazione esterna ..............................................................................................................................12 Divulgazione pubblica.............................................................................................................................13 . . . . . .1.1. .1.2. .1.3. .2. Invio della Segnalazione interna ....................................................................................................................13 .3. Ricezione e analisi della Segnalazione interna ..........................................................................................14 . Sistema sanzionatorio e disciplinare............................................................................................................17 .1. Attivazione del Sistema Sanzionatorio e disciplinare ..............................................................................17 Tutele della Persona segnalante e applicazione delle misure di protezione......................................19 .1. Limitazioni della responsabilità......................................................................................................................20 Conservazione e Archiviazione......................................................................................................................21 . .

ALLEGATO 1 – MODULO DI SEGNALAZIONE .....................................................................................................23 ALLEGATO 2 – INFORMATIVA PRIVACY PER LA PERSONA SEGNALANTE .............................................23 Procedura Pagina 3 di 28 Procedura di gestione delle segnalazioni “ whistleblowing”

Ivi compresa qualsiasi persona con funzioni di amministrazione, direzione, controllo, vigilanza o rappresentanza, anche qualora tali funzioni siano esercitate in via di mero fatto. Procedura Pagina 4 di 28 Procedura di gestione delle segnalazioni “ whistleblowing” 1 . Definizioni Nel presente documento le seguenti espressioni hanno il significato di seguito indicato: ➢ “ANAC”: istituita con la legge n. 190/2012 è l’autorità amministrativa indipendente la cui missione istituzionale è individuata nella prevenzione della corruzione in tutti gli ambiti dell’attività amministrativa. ➢ ➢ “Associazione”: il CEI – Comitato Elettrotecnico Italiano; “Attività a rischio di reato”: il processo, l’operazione, l’atto, ovvero l’insieme di operazioni e atti, che possono esporre l’Associazione al rischio di sanzioni ai sensi del Decreto in funzione della commissione di un Reato. ➢ ➢ “CCNL”: il Contratto Collettivo Nazionale di Lavoro applicabile ai dipendenti e dirigenti dell’Associazione. “Codice Etico”: il documento, ufficialmente voluto e approvato dal vertice dell’Associazione quale esplicazione della politica dell’Associazione, che contiene i principi generali di comportamento - ovvero, raccomandazioni, obblighi e/o divieti - a cui i Destinatari devono attenersi e la cui violazione è sanzionata. ➢ “Contesto lavorativo”: le attività lavorative o professionali, presenti o passate, svolte nell'ambito dei rapporti di cui all'articolo 3, commi 3 o 4 del D. Lgs. 24/2023, attraverso le quali, indipendentemente dalla natura di tali attività, una persona acquisisce informazioni sulle violazioni e nel cui ambito potrebbe rischiare di subire ritorsioni in caso di segnalazione o di divulgazione pubblica o di denuncia all’autorità giudiziaria o contabile; ➢ ➢ “D. Lgs. 231/2001” o “Decreto”: il Decreto Legislativo 8 giugno 2001, n. 231, recante la “Disciplina della responsabilità amministrativa delle persone giuridiche, delle società e delle associazioni anche prive di personalità giuridica, a norma dell’art. 11 della legge 29 settembre 2000, n. 300”, pubblicato in Gazzetta Ufficiale n. 140 del 19 giugno 2001, e successive modificazioni ed integrazioni. “Destinatari”: Organi statutari (Assemblea, Consiglio, Comitato Esecutivo, Presidente Generale, Segretario Generale o Direttore Generale, Collegio dei Revisori dei Conti, Collegio dei Probiviri, Organi Tecnici.)1, Personale dell’Associazione, Fornitori e tutti coloro che operano nell’interesse o a vantaggio dell’Associazione, con o senza rappresentanza e a prescindere dalla natura e dal tipo di rapporto intrattenuto con il soggetto preponente. ➢ “Dipendenti”: tutte le persone fisiche che intrattengono con l’Associazione un rapporto di lavoro subordinato. 1

collaborazione non è ancora iniziato, se le informazioni sulle violazioni sono state acquisite durante il processo di Procedura Pagina 5 di 28 Procedura di gestione delle segnalazioni “ whistleblowing” ➢ “Divulgazione pubblica” o “divulgare pubblicamente”: rendere di pubblico dominio informazioni sulle violazioni tramite la stampa o mezzi elettronici o comunque tramite mezzi di diffusione in grado di raggiungere un numero elevato di persone. ➢ ➢ “Facilitatore”: soggetto che assiste una persona segnalante nel processo di segnalazione, operante all’interno del medesimo contesto lavorativo e la cui assistenza deve essere mantenuta riservata. “Informazioni sulle violazioni” informazioni, compresi i fondati sospetti, riguardanti violazioni commesse o che, sulla base di elementi concreti, potrebbero essere commesse nell’organizzazione con cui la persona segnalante o colui che sporge denuncia all’autorità giudiziaria o contabile intrattiene un rapporto giuridico ai sensi dell’articolo 3, comma 1 o 2 del d. Lgs. 24/2023 (ovvero settore pubblico e settore privato), nonché gli elementi riguardanti condotte volte ad occultare tali violazioni. “Linee Guida”: le Linee Guida per la costruzione dei modelli di organizzazione, gestione e controllo ex D. Lgs. 231/2001, pubblicate dalle associazioni di categoria, che sono state considerate ai fini della predisposizione ed adozione del Modello. Ai fini del presente Modello ci si è ispirati a quanto indicato dalle Linee Guida di Confindustria e quelle del Consiglio Nazionale dei Dottori Commercialisti ed Esperti contabili per gli Enti No profit. ➢ ➢ “Modello di organizzazione, gestione e controllo ai sensi del D. Lgs. 231/2001” o “Modello”: il Modello di organizzazione, gestione e controllo ritenuto dagli Organi Sociali idoneo a prevenire i Reati e, pertanto, adottato dall’Associazione, ai sensi degli articoli 6 e 7 del Decreto Legislativo, al fine di prevenire la realizzazione dei Reati stessi da parte del Personale apicale o subordinato, così come descritto dal presente documento e relativi allegati. ➢ ➢ ➢ ➢ “Organi Statutari”: l’Assemblea, il Consiglio, il Comitato Esecutivo, il Presidente Generale, il Segretario Generale (o Direttore Generale), il Collegio dei Revisori dei Conti, Collegio dei Probiviri, Organi Tecnici., in funzione del senso della frase di riferimento. “Organismo di Vigilanza” o “OdV”: l’Organismo previsto dall’art. 6 del Decreto Legislativo, avente il compito di vigilare sul funzionamento e l’osservanza del modello di organizzazione, gestione e controllo, nonché sull’aggiornamento dello stesso. “Personale”: tutte le persone fisiche che intrattengono con l’Associazione un rapporto di lavoro, inclusi i lavoratori dipendenti, interinali, i collaboratori, gli “stagisti”, tirocinanti e volontari (anche non retribuiti) ed i liberi professionisti che abbiano ricevuto un incarico da parte dell’Associazione2. “Personale Apicale”: i soggetti di cui all’articolo 5, comma 1, lett. a) del Decreto, ovvero i soggetti che rivestono funzioni di rappresentanza, di amministrazione o di direzione dell’Associazione; in particolare, i membri del Consiglio, del Comitato Esecutivo, il Presidente Generale, il Segretario Generale (o Direttore Generale), e gli eventuali institori e procuratori dell’Associazione. 2 Ai fini della normativa “whistleblowing” sono considerate anche le seguenti casistiche: quando il rapporto lavorativo o di

selezione o in altre fasi precontrattuali; durante il periodo di prova; successivamente allo scioglimento del rapporto giuridico se le informazioni sulle violazioni sono state acquisite nel corso del rapporto stesso. Procedura Pagina 6 di 28 Procedura di gestione delle segnalazioni “ whistleblowing” ➢ “Personale sottoposto ad altrui direzione”: i soggetti di cui all’articolo 5, comma 1, lett. b) del Decreto, ovvero tutto il Personale che opera sotto la direzione o la vigilanza del Personale Apicale. “Persona segnalante”: la persona fisica che effettua la segnalazione o la divulgazione pubblica di informazioni sulle violazioni acquisite nell'ambito del proprio contesto lavorativo. ➢ ➢ “Persona coinvolta”: la persona fisica o giuridica menzionata nella segnalazione interna o esterna ovvero nella divulgazione pubblica come persona alla quale la violazione è attribuita o come persona comunque implicata nella violazione segnalata o divulgata pubblicamente. ➢ “Pubblica Amministrazione” o “P.A.”: Per Amministrazione Pubblica si deve intendere: • lo Stato (o Amministrazione Statale); • gli Enti Pubblici: si specifica che l’Ente Pubblico è individuato come tale dalla legge oppure è un Ente sottoposto ad un sistema di controlli pubblici, all’ingerenza dello Stato o di altra Amministrazione per ciò che concerne la nomina e la revoca dei suoi amministratori, nonché l’Amministrazione dell’Ente stesso. È caratterizzato dalla partecipazione dello Stato, o di altra Amministrazione Pubblica, alle spese di gestione; oppure dal potere di direttiva che lo Stato vanta nei confronti dei suoi organi; o dal finanziamento pubblico istituzionale; o dalla costituzione ad iniziativa pubblica. A titolo puramente esemplificativo e non esaustivo sono da considerarsi Pubbliche Amministrazioni in senso lato le seguenti Società: Ferrovie dello Stato, Autostrade S.p.A., AEM Milano, ecc. • • Pubblico Ufficiale: colui che esercita “una pubblica funzione legislativa, giudiziaria o amministrativa”. Agli effetti della legge penale “è pubblica la funzione amministrativa disciplinata da norme di diritto pubblico e da atti autoritativi e caratterizzata dalla formazione e dalla manifestazione della volontà della pubblica amministrazione o dal suo svolgersi per mezzo di poteri autoritativi o certificativi” (art. 357 c.p.); Incaricato di Pubblico Servizio: colui che “a qualunque titolo presta un pubblico servizio. Per pubblico servizio deve intendersi un’attività disciplinata nelle stesse forme della pubblica funzione, ma caratterizzata dalla mancanza dei poteri tipici di quest’ultima e con esclusione dello svolgimento di semplici mansioni di ordine e della prestazione di opera meramente materiale” (art. 358 c.p.). Si rappresenta che “a qualunque titolo” deve intendersi nel senso che un soggetto esercita una pubblica funzione, anche senza una formale o regolare investitura (incaricato di un pubblico servizio “ di fatto”). Non rileva, infatti, il rapporto tra la P.A. e il soggetto che esplica il servizio. ➢ ➢ “Protocollo”: la misura organizzativa, fisica e/o logica prevista dal Modello al fine di prevenire il rischio di commissione dei Reati. “Reati” o il “Reato”: l’insieme dei reati, o il singolo reato, richiamati dal D. Lgs. 231/2001 (per come eventualmente modificato e integrato in futuro).

) atti od omissioni riguardanti il mercato interno, di cui all’articolo 26, paragrafo 2, del Trattato sul funzionamento dell’Unione europea, comprese le violazioni delle norme dell’Unione europea in materia di concorrenza e di aiuti di Stato, nonché le violazioni riguardanti il mercato interno connesse ad atti che violano le norme in materia di imposta sulle società o i meccanismi il cui Procedura Pagina 7 di 28 Procedura di gestione delle segnalazioni “ whistleblowing” ➢ “Ritorsione”: qualsiasi comportamento, atto od omissione, anche solo tentato o minacciato, posto in essere in ragione della segnalazione, della denuncia all’autorità giudiziaria o contabile o della divulgazione pubblica e che provoca o può provocare alla persona segnalante o alla persona che ha sporto la denuncia, in via diretta o indiretta, un danno ingiusto. ➢ ➢ “Segnalazione”: la comunicazione scritta od orale di informazioni sulle violazioni; “Segnalazione esterna”: la comunicazione, scritta od orale, delle informazioni sulle violazioni, presentata tramite il canale di segnalazione esterna; ➢ ➢ ➢ ➢ “Segnalazione interna”: la comunicazione, scritta od orale, delle informazioni sulle violazioni, presentata tramite il canale di segnalazione interna; “Seguito”: l’azione intrapresa dal soggetto cui è affidata la gestione del canale di segnalazione per valutare la sussistenza dei fatti segnalati, l'esito delle indagini e le eventuali misure adottate; “Sistema Disciplinare”: l’insieme delle misure sanzionatorie applicabili in caso di violazione delle regole procedimentali e comportamentali previste dal Modello; “Violazioni”: comportamenti, atti od omissioni che ledono l’interesse pubblico o l’integrità dell’amministrazione pubblica o dell’ente privato e che consistono in: 1 2 3 ) illeciti amministrativi, contabili, civili o penali che non rientrano nei successivi numeri 3), 4), 5) e 6); ) condotte illecite rilevanti ai sensi del decreto legislativo 8 giugno 2001, n. 231, o violazioni dei modelli di organizzazione e gestione ivi previsti, che non rientrano nei numeri 3), 4), 5) e 6); ) illeciti che rientrano nell’ambito di applicazione degli atti dell’Unione europea o nazionali indicati nel relativo allegato al decreto legislativo n. 24/2023 ovvero degli atti nazionali che costituiscono attuazione degli atti dell’Unione europea indicati nell’allegato alla direttiva (UE) 2019/1937, seppur non indicati nel relativo allegato al decreto legislativo n. 24/2023, relativi ai seguenti settori: appalti pubblici; servizi, prodotti e mercati finanziari e prevenzione del riciclaggio e del finanziamento del terrorismo; sicurezza e conformità dei prodotti; sicurezza dei trasporti; tutela dell’ambiente; radioprotezione e sicurezza nucleare; sicurezza degli alimenti e dei mangimi e salute e benessere degli animali; salute pubblica; protezione dei consumatori; tutela della vita privata e protezione dei dati personali e sicurezza delle reti e dei sistemi informativi; ) atti od omissioni che ledono gli interessi finanziari dell’Unione di cui all’articolo 325 del Trattato sul funzionamento dell’Unione europea specificati nel diritto derivato pertinente dell’Unione europea; 4 5

Il presente documento ha l’obiettivo di regolare il processo di gestione delle Segnalazioni, come definite al successivo capitolo 4, secondo modalità atte a garantire la tutela della riservatezza dell’identità della Persona segnalante. Procedura Pagina 8 di 28 Procedura di gestione delle segnalazioni “ whistleblowing” fine è ottenere un vantaggio fiscale che vanifica l’oggetto o la finalità della normativa applicabile in materia di imposta sulle società; 6) atti o comportamenti che vanificano l’oggetto o la finalità delle disposizioni di cui agli atti dell’Unione nei settori indicati nei numeri 3), 4) e 5). 2 . Premessa L’Associazione ha conformato la propria politica al rispetto dei principi di legalità e correttezza previsti dal Codice Etico, con ciò palesando la propria estraneità a politiche o comportamenti scorretti o illeciti. Tale politica è declinata nel Modello di organizzazione, gestione e controllo per la prevenzione del rischio di reato adottato ai sensi e per gli effetti indicati dagli articoli 6 e 7 del D. Lgs. 231/2001. Tutti i Destinatari del Modello sono incoraggiati a Segnalare Informazioni sulle violazioni di disposizioni normative nazionali o dell’Unione europea che ledono l’interesse pubblico o l’integrità dell’Associazione, nell’ambito delle Violazioni di cui alla presente procedura, di cui siano venuti a conoscenza nel Contesto lavorativo. Dette Segnalazioni devono essere il più possibile circostanziate, effettuate in buona fede, sulla base della ragionevole convinzione fondata su elementi di fatto precisi e concordanti. La presente procedura costituisce un’attuazione all’intero dell’Associazione delle più recenti previsioni normative in materia di protezione delle persone che segnalano violazioni del diritto dell’Unione e disposizioni riguardanti la protezione delle persone che segnalano violazioni delle disposizioni normative nazionali di cui al D. Lgs. n. 24/2023. Tale norma costituisce il riferimento prioritario per ogni attività di seguito contemplata. 3 . Scopo

soggetti, ex art. 2 bis comma 3 D. Lgs. 33/2013. Per il CEI si ritiene che l’attività di Pubblico Interesse svolta dall’Associazione sia quella relativa all’attività di normazione. Il CEI infatti produce, pubblica e distribuisce Norme Tecniche che hanno la finalità di stabilire, come più volte affermato in sede legislativa, quali requisiti debbano avere, nel settore elettrico (elettrotecnico ed elettronico) e delle telecomunicazioni, gli impianti, i materiali, gli apparecchi, i macchinari, i circuiti, i processi e i loro programmi, affinché possano considerarsi rispondenti alla “regola dell’arte”. Procedura Pagina 9 di 28 Procedura di gestione delle segnalazioni “ whistleblowing” L’Associazione, con la presente procedura definisce il proprio modello di ricevimento e di gestione delle segnalazioni interne, nonché il canale interno di segnalazione, individuando misure tecniche e organizzative idonee a garantire un livello di sicurezza adeguato agli specifici rischi derivanti anche dal trattamento di dati personali effettuatati per la gestione delle stesse, nel rispetto di quanto previsto dal Regolamento (UE) 2016/679 e dell’articolo 18 del decreto legislativo n. 51 del 2018. 4 . Le Segnalazioni oggetto della presente procedura La presente procedura riguarda le Segnalazioni (di seguito anche “whistleblowing”) delle seguenti Violazioni (come definite nella sezione dedicata del presente documento e individuate nell’art. 2 del D. Lgs. n. 24 del 10 marzo 2023): 1 ) illeciti amministrativi, contabili, civili o penali che non rientrano nei numeri 3), 4), 5) e )3; 6 2 ) condotte illecite rilevanti ai sensi del decreto legislativo 8 giugno 2001, n. 231, o violazioni del Modello di organizzazione e gestione previsti dallo stesso Decreto e adottato dall’Associazione, che non rientrano nei numeri 3), 4), 5) e 6); 3 ) illeciti che rientrano nell’ambito di applicazione degli atti dell’Unione europea o nazionali indicati nel relativo allegato al decreto legislativo n. 24/2023 ovvero degli atti nazionali che costituiscono attuazione degli atti dell’Unione europea indicati nell’allegato alla direttiva (UE) 2019/1937, seppur non indicati nel relativo allegato al decreto legislativo n. 24/2023 ovvero, relativi ai seguenti settori: appalti pubblici; servizi, prodotti e mercati finanziari e prevenzione del riciclaggio e del finanziamento del terrorismo; sicurezza e conformità dei prodotti; sicurezza dei trasporti; tutela dell’ambiente; radioprotezione e sicurezza nucleare; sicurezza degli alimenti e dei mangimi e salute e benessere degli animali; salute pubblica; protezione dei consumatori; tutela della vita privata e protezione dei dati personali e sicurezza delle reti e dei sistemi informativi; 3 Con riferimento alle attività esercitate dall’Associazione ad esso affidate dalla legge, che lo rendono riconducibile entro la nozione di

canale di Segnalazione interna (vedi cap. 6.1.1. “Segnalazione interna”). Procedura Pagina 10 di 28 Procedura di gestione delle segnalazioni “ whistleblowing” 4 ) atti od omissioni che ledono gli interessi finanziari dell’Unione di cui all’articolo 325 del Trattato sul funzionamento dell’Unione europea specificati nel diritto derivato pertinente dell’Unione europea; 5 ) atti od omissioni riguardanti il mercato interno, di cui all’articolo 26, paragrafo 2, del Trattato sul funzionamento dell’Unione europea, comprese le violazioni delle norme dell’Unione europea in materia di concorrenza e di aiuti di Stato, nonché le violazioni riguardanti il mercato interno connesse ad atti che violano le norme in materia di imposta sulle società o i meccanismi il cui fine è ottenere un vantaggio fiscale che vanifica l’oggetto o la finalità della normativa applicabile in materia di imposta sulle società; 6) atti o comportamenti che vanificano l’oggetto o la finalità delle disposizioni di cui agli atti dell’Unione nei settori indicati nei numeri 3), 4) e 5). Le Segnalazioni possono avere ad oggetto: • • informazioni, compresi i fondati sospetti, riguardanti Violazioni commesse; informazioni, compresi i fondati sospetti, riguardanti Violazioni che, sulla base di elementi concreti, potrebbero essere commesse; • elementi riguardanti condotte volte ad occultare tali violazioni. Con specifico riferimento alle condotte di cui al numero 2) si richiamano, a titolo esemplificativo, le seguenti fattispecie: • • condotte illecite, rilevanti ai sensi del Decreto Legislativo 231/01; violazioni del Modello, del Codice Etico o di Protocolli preventivi da cui possa derivare un rischio sanzionatorio per l’Associazione ai sensi del Decreto; • • sospetti di violazioni del Modello, del Codice Etico o di Protocolli preventivi da cui possa derivare un rischio sanzionatorio per l’Associazione ai sensi del Decreto; operazioni societarie o di business per cui si sospetta possa derivare un rischio sanzionatorio per l’Associazione ai sensi del Decreto. Le Segnalazioni di Violazioni di cui al numero 2), possono essere effettuate solo tramite il

L’autorizzazione si intende fornita ai sensi dell’art. 29 del Regolamento (UE) 2016/679 e dell’art. 2-quaterdecies del D.lgs. 196/03. Procedura Pagina 11 di 28 Procedura di gestione delle segnalazioni “ whistleblowing” 5 . Ambito di applicazione Il presente documento si applica ai Destinatari come sopra identificati nel capitolo “1. Definizioni”. Il processo di gestione della Segnalazione illustrato nel presente documento non fa riferimento a comunicazioni di carattere commerciale o a informazioni di carattere meramente delatorio che non afferiscono alle Violazioni di cui al D.lgs. 24/23, come sopra definite. La presente procedura non si applica altresì alle contestazioni, rivendicazioni o richieste legate ad un interesse di carattere personale della Persona segnalante o della persona che ha sporto una denuncia all’autorità giudiziaria o contabile che attengono esclusivamente ai propri rapporti individuali di lavoro, ovvero inerenti ai propri rapporti di lavoro con le figure gerarchicamente sovraordinate. In linea generale, l’Associazione esorta i propri dipendenti a risolvere eventuali controversie lavorative, ove possibile, attraverso il dialogo, anche informale, con i propri colleghi e/o con il proprio responsabile diretto. 6 . Canali di Segnalazione4 .1.1. Segnalazione interna 6 Ai sensi di legge, l’Associazione ha attivato un proprio canale di segnalazione interna di cui al D. Lgs. n. 24/2023, che garantisce, la riservatezza dell’identità della Persona Segnalante, della Persona coinvolta e della persona comunque menzionata nella Segnalazione, nonché’ del contenuto della Segnalazione e della relativa documentazione. La gestione di tale canale è affidata all’Organismo di Vigilanza dell’Associazione, con l’unica eccezione di cui si dirà di seguito (vedi par. 11 “Casi particolari”). I componenti dell’Organismo di Vigilanza sono stati debitamente autorizzati dall’Associazione al trattamento dei dati personali5 contenuti nelle Segnalazioni interne. Le Segnalazioni possono essere effettuate attraverso le seguenti modalità: 4 Il D.lgs. 24/23 oltre ai canali di segnalazione o divulgazione indicati dalla presente procedura prevede in ogni caso la possibilità per la Persona segnalante di effettuare una denuncia all’Autorità giudiziaria o contabile. 5

precedenti segnalazioni, si è ritenuto di mantenere il canale, già in essere, della PEC e di adottare misure di cifratura per la custodia dei dati ricevuti tramite lo stesso nonché regole operative che garantiscano un adeguato livello di riservatezza Procedura Pagina 12 di 28 Procedura di gestione delle segnalazioni “ whistleblowing” • • • in forma scritta, con modalità informatiche, tramite la casella PEC all’indirizzo whistleblowercei@pec.it6; in forma scritta, attraverso posta ordinaria, all’indirizzo Via Saccardo n. 9 - 20134 Milano (MI) all’attenzione dell’Organismo di Vigilanza con la dicitura “riservata personale”; in forma orale mediante richiesta di incontro diretto con l’Organismo di Vigilanza fissato entro un termine ragionevole. In tali casi, previo consenso della Persona segnalante, la Segnalazione interna potrà essere documentata a cura del personale autorizzato mediante registrazione su un dispositivo idoneo alla conservazione e all’ascolto oppure mediante verbale. In caso di verbale, la Persona segnalante può verificare, rettificare e confermare il verbale dell’incontro mediante la propria sottoscrizione. Per maggiori dettagli si rimanda al paragrafo 6.2. 6 .1.2. Segnalazione esterna La Persona segnalante può altresì presentare una segnalazione esterna all’Autorità Nazionale Anti Corruzione (ANAC) al ricorrere delle seguenti condizioni: a) la segnalazione interna presentata secondo i termini previsti dalla presente procedura non ha avuto alcun seguito; b) la Persona segnalante ha fondati e comprovati motivi per ritenere che, se effettuasse una segnalazione interna, alla stessa non sarebbe dato efficace seguito, ovvero la stessa possa determinare il rischio di ritorsione; c) la Persona segnalante ha fondato motivo di ritenere che la violazione possa costituire un pericolo imminente o palese per il pubblico interesse. 6 Occorre considerare che le Linee Guida ANAC, in materia, hanno disposto che “La posta elettronica ordinaria e la PEC si ritiene siano strumenti non adeguati a garantire la riservatezza”, tuttavia non può sottacersi che tale valutazione di inadeguatezza “prima facie” sia scevra dalle opportune valutazioni di dettaglio rispetto alle misure di sicurezza specifiche adottate dai fornitori dei servizi di posta elettronica certificata. In mancanza di motivazioni da parte di ANAC rispetto alla valutazione di inadeguatezza delle PEC, si è comunque valutato che i servizi PEC rispondono ai criteri di sicurezza stabiliti da AGID a norma di legge. Ipotizzando che la motivazione principale potesse essere quella della mancanza di cifratura dei dati (PEC) sui server di supporto del servizio gestito dai fornitori autorizzati a norma di legge, la società di consulenza che affianca il CEI ha richiesto ai DPO dei principali provider di posta elettronica certificata, tra cui Aruba e InfoCert, se i server in cui sono archiviate le PEC siano cifrati (il requisito della cifratura è richiamato dal D. Lgs. 24/2023). Questi hanno comunicato l’impegno di apportare le modifiche necessarie al server per essere compliant con quanto previsto dal D. Lgs. 24/2023 e, quindi, che sarebbero state introdotte dal 2024 la cifratura dei server di archiviazione delle PEC. Stante l’assenza di

europeo e del Consiglio, del 23 ottobre 2019, riguardante la protezione delle persone che segnalano violazioni del diritto dell'Unione e recante disposizioni riguardanti la protezione delle persone che segnalano violazioni delle disposizioni normative nazionali” Procedura Pagina 13 di 28 Procedura di gestione delle segnalazioni “ whistleblowing” Il canale di segnalazione esterno istituito dall’ANAC garantisce, alla stregua del canale interno sopramenzionato definito dall’Associazione, la riservatezza dell’identità del segnalante, del contenuto della segnalazione, del segnalato e di persone eventualmente coinvolte. Le segnalazioni esterne sono effettuate in forma scritta tramite la piattaforma informatica messa a disposizione da ANAC sul proprio sito web nella sezione dedicata al “Whistleblowing”. La segnalazione potrà essere realizzata anche in forma orale attraverso linee telefoniche o sistemi di messagistica vocale, ovvero su richiesta del Segnalante, mediante un incontro diretto fissato entro un termine ragionevole; le modalità di accesso a tali canali sono specificati dall’ANAC sul proprio sito web. 6 .1.3. Divulgazione pubblica Alla Persona segnalante è, altresì, garantita la possibilità di effettuare una divulgazione pubblica in presenza di una delle seguenti condizioni: a) aver previamente effettuato una segnalazione interna e/o esterna e non aver ricevuto riscontro nei termini previsti dalla presente procedura7 in merito alle misure previste o adottate per dare seguito alla segnalazione; b) avere fondato motivo per ritenere che la Violazione possa costituire un pericolo imminente o palese per il pubblico interesse; c) avere fondato motivo di ritenere che la Segnalazione esterna possa comportare il rischio di ritorsioni o possa non avere efficace seguito in ragione delle specifiche circostanze del caso concreto, come quelle in cui possano essere occultate o distrutte prove oppure in cui vi sia fondato timore che chi ha ricevuto la segnalazione possa essere colluso con l’autore della violazione o coinvolto nella violazione stessa. 6 .2.Invio della Segnalazione interna Colui che desidera effettuare una Segnalazione interna scritta può inoltrarla allegando l’apposito modulo di cui l’Allegato 1. 7 Nel rispetto di quanto previsto dagli artt. 5 e 8 del D.lgs. 24/2023 recante “Attuazione della direttiva (UE) 2019/1937 del Parlamento

ricevimento della Segnalazione interna. Procedura Pagina 14 di 28 Procedura di gestione delle segnalazioni “ whistleblowing” Il Modulo fornisce alla Persona segnalante un percorso guidato, strutturato attraverso una serie di domande e di richieste di elementi a supporto, volte a descrivere in maniera chiara, precisa e circostanziata la situazione oggetto della Segnalazione. Nel caso di invio mediante posta ordinaria, in vista della protocollazione riservata della segnalazione a cura dell’OdV, è necessario che la Segnalazione venga inserita in due buste chiuse: • la prima con i dati identificativi del segnalante unitamente alla fotocopia del documento di riconoscimento; • la seconda con la segnalazione, in modo da separare i dati identificativi della Persona segnalante dalla Segnalazione. Entrambe dovranno poi essere inserite in una terza busta chiusa che rechi all’esterno la dicitura “ riservata all’Organismo di Vigilanza”. Le Segnalazioni devono essere fondate su elementi di fatto precisi e concordanti. La Persona segnalante è invitata ad allegare tutta la documentazione comprovante i fatti segnalati, astenendosi dall’intraprendere autonome iniziative di analisi e approfondimento. 6 .3.Ricezione e analisi della Segnalazione interna Le Segnalazioni sono gestite, in primo luogo, dall’Organismo di Vigilanza, che tratta le Segnalazioni interne ricevute in maniera riservata, adottando modalità di verifica idonee a tutelare l’identità della Persona segnalante nonché quella delle Persone coinvolte. Verifica preliminare Tutte le Segnalazioni interne ricevute sono oggetto di una verifica da parte dell’Organismo di Vigilanza al fine di comprendere se la comunicazione ricevuta sia corredata dalle informazioni necessarie per verificarne preliminarmente la fondatezza e per poter avviare le successive attività di approfondimento. L’OdV si impegna a rilasciare alla Persona segnalante avviso di ricevimento entro 7 giorni dal

Le Segnalazioni interne che non superano la fase preliminare vengono archiviate a cura dell’OdV in un apposito spazio logico che garantisca con strumenti di crittografia, la riservatezza dell’identità Procedura Pagina 15 di 28 Procedura di gestione delle segnalazioni “ whistleblowing” L’OdV dà diligente seguito alle Segnalazioni ricevute, mantenendo interlocuzioni con la Persona segnalante, a cui richiede, se necessario, informazioni. Ferma restando la riservatezza delle informazioni ricevute, nelle attività di verifica preliminare, l’OdV potrà avvalersi del supporto di altre strutture dell’Associazione o di consulenti specializzati, in base alle specifiche competenze richieste in relazione al contenuto della Segnalazione oggetto di verifica. Al termine della verifica preliminare, l’OdV può archiviare le Segnalazioni interne: • • non circostanziate; quelle che, in base alla descrizione dei fatti e alle informazioni fornite dalla Persona segnalante, non consentano di ottenere un quadro sufficientemente dettagliato da poter avviare ulteriori approfondimenti per accertarne la fondatezza; quelle manifestamente infondate. • Nella fase di istruttoria e verifica, l’OdV: • • • garantisce l’imparzialità, l’equità e l’accuratezza dell’analisi e valutazione della Segnalazione interna; assicura la confidenzialità delle informazioni raccolte e la riservatezza del nominativo della Persona segnalante, ove fornito; si impegna a non utilizzare le Segnalazioni interne oltre quanto necessario per dare adeguato seguito alle stesse. L’OdV non potrà rivelare l’identità della Persona segnalante e qualsiasi altra informazione da cui possa evincersi, direttamente o indirettamente, tale identità, senza il consenso espresso della Persona segnalante, a persone diverse da quelle competenti a ricevere o a dare seguito alle Segnalazioni, espressamente autorizzate a trattare tali dati ai sensi degli articoli 29 e 32, paragrafo 4, del Regolamento (UE) 2016/679 e dell'articolo 2-quaterdecies del codice in materia di protezione dei dati personali di cui al D.lgs. 196/03. Segnalazioni che non superano la verifica preliminare

legge 300 del 1970 (Statuto dei Lavoratori) Procedura Pagina 16 di 28 Procedura di gestione delle segnalazioni “ whistleblowing” del segnalante, accessibile solo ai componenti dell’OdV o nella casella PEC ove è stata ricevuta e delle stesse viene dato conto nel reporting periodico successivamente descritto. In ogni caso l’OdV annota la Segnalazione interna e le attività effettuate a seguito della sua ricezione nel Libro Segnalazioni e Istruttorie sempre garantendo la riservatezza dell’identità del Persona segnalante e delle Persone coinvolte. Il Libro Segnalazioni e Istruttorie deve essere conservato a cura dell’OdV stesso e reso accessibile soltanto ai soggetti autorizzati dall’Associazione. Segnalazioni che superano la verifica preliminare Qualora la verifica preliminare eseguita dall’OdV abbia stabilito che la Segnalazione interna, adeguatamente circostanziata e corredata da evidenze, presenti aspetti di fondatezza e possa integrare una condotta da perseguire, anche solo disciplinarmente, l’OdV provvede a: a. dare immediata e motivata informativa alle funzioni/organi preposti all’applicazione del sistema sanzionatorio e disciplinare, di cui al capitolo 7 “Sistema sanzionatorio e disciplinare”, affinché questi possano autodeterminarsi in merito all’azione disciplinare da intraprendere anche nel rispetto dei principi di specificità8, immediatezza9 e immutabilità10 della contestazione qualora le Persone coinvolte siano lavoratori dell’Associazione11. Nell’ambito della propria autodeterminazione tali funzioni/organi possono svolgere ulteriori indagini e verifiche richiedendo il supporto dell’OdV che permane l’unico interlocutore della Persona segnalante e ne garantisce l’anonimato. Laddove, a seguito di ulteriori indagini e verifiche tali funzioni/organi: i. ritengano la condotta non contestabile, ne danno immediata comunicazione all’OdV affinché quest’ultimo possa archiviare la Segnalazione nei modi sopra descritti (si veda par. Segnalazioni che non superano la verifica preliminare) e informare la Persona segnalante circa lo stato della procedura; decidano di procedere con la contestazione, assieme a questa deve essere fornita alla Persona coinvolta idonea informativa privacy ai sensi dell’art. ii. 14 del GDPR e comunque entro un mese dall’avvio del trattamento. 8 9 Si cfr. Cass., 14 maggio 2014, n. 10662. Si cfr. Cass., 15 giugno 2015, n. 12337, Cass., S.U., 27 dicembre 2017, n. 30985, Cass. n. 19256 del 17 luglio 2019, Cass. n. 24605 del 4 novembre 2020, 1 0 Si cfr. Cass., 9 giugno 2016, n. 11868. 1 1 In tali circostanze i provvedimenti disciplinari sono applicati nel rispetto delle disposizioni di cui all’art. 7 “Sanzioni disciplinari” della

volta in volta applicabili (ad es. normativa giuslavoristica in caso di lavoratori dell’Associazione). Procedura Pagina 17 di 28 Procedura di gestione delle segnalazioni “ whistleblowing” b. informare l’organo di gestione e/o di controllo per le valutazioni di rispettiva competenza. c. formalizzare un report finale al termine delle attività di indagine il cui destinatario è l’organo o la funzione depositaria dell’azione disciplinare e/o delle azioni correttive finalizzate ad evitare in futuro situazioni analoghe (anche ai sensi dell’art. 7, comma 4, del D. Lgs. 231/2001). L’OdV si impegna a processare le Segnalazioni interne ricevute entro un tempo ragionevole ed a fornire un riscontro in merito alla Persona segnalante (attraverso la casella PEC o altro strumento indicato dalla Persona segnalante o con questa concordato) entro: • tre mesi dalla data dell’avviso di ricevimento, o, in mancanza di tale avviso, • entro tre mesi dalla scadenza del termine di sette giorni dalla presentazione della Segnalazione. 7 . Sistema sanzionatorio e disciplinare .1.Attivazione del Sistema Sanzionatorio e disciplinare 7 Nei casi in cui, dalle indagini realizzate le Violazioni oggetto della Segnalazione interna siano risultate fondate, l’organo/funzione preposto all’attivazione del Sistema sanzionatorio decide quale tipologia di sanzione comminare ai soggetti che hanno commesso. A seconda della qualificazione della Persona coinvolta e dell’inquadramento eventuale giuslavoristico, il Sistema Disciplinare è attivato da: • • Presidente generale qualora sia profilo con funzioni dirigenziali; Direttore Generale se si tratta di un dipendente o un soggetto terzo (fornitore, volontario, ecc.); • • Comitato Esecutivo qualora sia un componente del Collegio dei Revisori dei Conti; Collegio dei Revisori dei Conti, qualora sia il Presidente, il Direttore Generale o un Consigliere. La sanzione può essere graduata in funzione della gravità del fatto, nel rispetto delle normative di

Sono fonte di responsabilità, in sede disciplinare e nelle altre competenti sedi, eventuali forme di abuso della presente procedura, quali le Segnalazioni interne manifestamente opportunistiche e/o effettuate al solo scopo di danneggiare il denunciato o altri soggetti e ogni altra ipotesi di utilizzo improprio o di intenzionale strumentalizzazione della presente procedura. Procedura Pagina 18 di 28 Procedura di gestione delle segnalazioni “ whistleblowing” Nel caso in cui la Persona segnalante sia corresponsabile delle Violazioni, è previsto un trattamento privilegiato per quest’ultimo rispetto agli altri corresponsabili, compatibilmente con la Violazione commessa e con la disciplina applicabile. L’identità della persona segnalante e qualsiasi altra informazione da cui può evincersi, direttamente o indirettamente, tale identità non può essere rivelata senza il suo consenso espresso. Il consenso libero, specifico, inequivocabile e informato della Persona segnalante deve essere raccolto in forma scritta e conservato a cura dell’OdV nella documentazione relativa alla Segnalazione. Nell’ambito del procedimento disciplinare, l’identità della Persona segnalante, in assenza di consenso, non può essere comunque rivelata ove la contestazione dell’addebito disciplinare sia fondata su accertamenti distinti e ulteriori rispetto alla Segnalazione, anche se conseguenti alla stessa. Qualora invece la contestazione sia fondata in tutto o in parte sulla Segnalazione e la conoscenza dell’identità della Persona segnalante sia indispensabile per la difesa della Persona coinvolta, l’OdV, laddove non abbia già raccolto il consenso dalla Persona segnalante, informa quest’ultima, mediante comunicazione scritta, delle ragioni su cui si fonda la necessità di rivelare la su identità o altre informazioni dalle quali possa potenzialmente evincersi, al fine di per dare completo seguito alla gestione della Segnalazione, ovvero ai fini del procedimento disciplinare. In caso di diniego del consenso da parte della Persona segnalante alla comunicazione della sua identità, l’OdV archivia la Segnalazione interna senza darvi ulteriore seguito. La presente procedura lascia impregiudicata la responsabilità penale e disciplinare della Persona segnalante nell’ipotesi di Segnalazione calunniosa o diffamatoria ai sensi del codice penale e dell’art. 2043 del codice civile. È altresì sanzionato il comportamento di chi effettua con dolo o colpa grave Segnalazioni che si rivelano infondate.

ha effettuato la Segnalazione (interna e/o esterna) o Divulgazione pubblica secondo quanto previsto dalla normativa alle stesse applicabile ai sensi del D. Lgs. 24/2023. Procedura Pagina 19 di 28 Procedura di gestione delle segnalazioni “ whistleblowing” Pertanto, quando è accertata, anche con sentenza di primo grado, la responsabilità penale della Persona segnalante per i reati di diffamazione o di calunnia, ovvero la responsabilità civile, nei casi di dolo o colpa grave, le tutele previste nella presente procedura non sono garantite e alla Persona segnalante è irrogata una sanzione disciplinare cui al presente capitolo. 8 . Tutele della Persona segnalante e applicazione delle misure di protezione È vietata nei confronti della Persona segnalante qualsiasi forma di Ritorsione. Ai sensi di legge, il divieto di Ritorsione e, comunque, le misure di protezione normativamente previste nei confronti della Persona segnalante, si applicano anche: a) ai Facilitatori; b) alle persone del medesimo Contesto lavorativo della Persona segnalante, di colui che ha sporto una denuncia all’autorità giudiziaria o contabile o di colui che ha effettuato una Divulgazione pubblica e che sono legate ad essi da uno stabile legame affettivo o di parentela entro il quarto grado; c) ai colleghi di lavoro della Persona segnalante o della persona che ha sporto una denuncia all’autorità giudiziaria o contabile o effettuato una Divulgazione pubblica, che lavorano nel medesimo Contesto lavorativo della stessa e che hanno con detta persona un rapporto abituale e corrente; d) agli enti di proprietà della Persona segnalante o della persona che ha sporto una denuncia all’autorità giudiziaria o contabile o che ha effettuato una divulgazione pubblica o per i quali le stesse persone lavorano, nonché agli enti che operano nel medesimo Contesto lavorativo delle predette persone. Le misure di protezione trovano applicazione quando al momento della Segnalazione (interna e/o esterna), o della denuncia all’autorità giudiziaria o contabile o della Divulgazione pubblica, la Persona segnalante: • aveva fondato motivo di ritenere che le informazioni sulle Violazioni fossero vere e afferissero a violazioni di disposizioni normative nazionali o dell’Unione Europea che ledono l’integrità dell’Associazione, di cui siano venute a conoscenza nel Contesto lavorativo; •

Ai sensi di legge, non è punibile la Persona segnalante che riveli o diffonda informazioni sulle Procedura Pagina 20 di 28 Procedura di gestione delle segnalazioni “ whistleblowing” I motivi che hanno indotto la persona a Segnalare o denunciare o divulgare pubblicamente sono irrilevanti ai fini della sua protezione. Le condizioni previste per la protezione si applicano anche nei casi di Segnalazione (interna e/o esterna) o denuncia all’autorità giudiziaria o contabile o Divulgazione pubblica anonime, se la Persona segnalante è stata successivamente identificata e ha subito ritorsioni, nonché nei casi di segnalazione presentata alle istituzioni, agli organi e agli organismi competenti dell’Unione Europea, in conformità alle condizioni di cui alla presente procedura (nonché dell’articolo 6 del D. lgs. 24/2023). L’adozione di Ritorsioni nei confronti delle Persone segnalanti può essere comunicata all’ANAC, che a sua volta informerà l’Ispettorato nazionale del lavoro per i provvedimenti di propria competenza. Gli atti assunti in violazione del divieto di Ritorsione sono nulli e la Persona segnalante che sia stata licenziata a causa della Segnalazione (interna e/o esterna) di Divulgazione pubblica o di denuncia ha diritto a essere reintegrata sul posto di lavoro. Nell’ambito di procedimenti giudiziari o amministrativi o comunque di controversie stragiudiziali aventi ad oggetto l’accertamento dei comportamenti, atti o omissioni vietati nei confronti della Persona segnalante si presume che gli stessi siano stati posti in essere a causa della Segnalazione (interna e/o esterna), della Divulgazione pubblica o della denuncia. A norma di legge, l’onere di provare che tali condotte o atti sono motivati da ragioni estranee alla Segnalazione (interna e/o esterna), alla Divulgazione pubblica o alla denuncia è a carico del soggetto che li ha posti in essere (es. Datore di Lavoro). Inoltre, in caso di domanda risarcitoria presentata all’autorità giudiziaria dalla Persona segnalante se questa dimostra di aver effettuato una Segnalazione (interna e/o esterne), una Divulgazione pubblica o una denuncia all’autorità giudiziaria o contabile e di aver subito un danno, si presume, salvo prova contraria, che il danno ne sia conseguenza. 8 .1.Limitazioni della responsabilità12

materia di: a) informazioni classificate; b) segreto professionale forense e medico; c) segretezza delle deliberazioni degli organi giurisdizionali.” Procedura Pagina 21 di 28 Procedura di gestione delle segnalazioni “ whistleblowing” Violazioni coperte dall’obbligo di segreto, diverso da quello di cui all’articolo 1, comma 3 del D. lgs. 4/202313, o relative alla tutela del diritto d’autore o alla protezione dei dati personali ovvero riveli o 2 diffonda informazioni sulle Violazioni che offendono la reputazione della Persona coinvolta o denunciata, quando, al momento della rivelazione o diffusione, vi fossero fondati motivi per ritenere che la rivelazione o diffusione delle stesse informazioni fosse necessaria per svelare la Violazione, e la Segnalazione (interna e/o esterna), la Divulgazione pubblica o la denuncia all’autorità giudiziaria o contabile sia stata effettuata nel rispetto di quanto previsto dal D. Lgs. 24/2023. In tali casi, è esclusa altresì ogni ulteriore responsabilità, anche di natura civile o amministrativa. Salvo che il fatto costituisca reato, l’Associazione o la Persona segnalante non incorrono in alcuna responsabilità, anche di natura civile o amministrativa, per l’acquisizione delle Informazioni sulle Violazioni o per l’accesso alle stesse. In ogni caso, la responsabilità penale e ogni altra responsabilità, anche di natura civile o amministrativa, non è esclusa per i comportamenti, gli atti o le omissioni non collegati alla Segnalazione (interna e/o esterna), alla denuncia all’autorità giudiziaria o contabile o alla Divulgazione pubblica o che non sono strettamente necessari a rivelare la Violazione. 9 . Conservazione e Archiviazione L’OdV è informato delle eventuali sanzioni irrogate a fronte delle Segnalazioni interne ed esterne. Le funzioni aziendali competenti archiviano la documentazione inerente al processo sanzionatorio e disciplinare. L’OdV provvede pertanto ad archiviare la documentazione relativa alla Segnalazione interna, ricevuta tramite canale informatico, e alla sua istruttoria in un apposito spazio logico che garantisca con strumenti di crittografia, la riservatezza dell’identità del segnalante, accessibile solo ai componenti OdV. 1 2 Vedasi art. 20 del D. lgs. 24/2023 1 3 L’articolo 1, comma 3 del D. lgs. 24/2023 prevede: “Resta ferma l'applicazione delle disposizioni nazionali o dell'Unione europea in

dati personali e rispetta quanto previsto dall’art. 5, paragrafo 1, lettera e), del Regolamento (UE) 2016/679. Procedura Pagina 22 di 28 Procedura di gestione delle segnalazioni “ whistleblowing” L’eventuale documentazione cartacea, nonché il Libro Segnalazioni e Istruttorie tenuto dall’OdV deve essere conservato a cura dello stesso. Le Segnalazioni interne ricevute sono conservate per il tempo necessario al trattamento delle stesse e, comunque, non oltre cinque anni a decorrere dalla data della comunicazione dell’esito finale della procedura di segnalazione, nel rispetto degli obblighi di riservatezza di cui all’articolo 12 del d.lgs. 24/2023 e del principio di cui agli articoli 5, paragrafo 1, lettera e), del Regolamento (UE) 2016/679 e 3, comma 1, lettera e), del decreto legislativo n. 51 del 2018. A valle di tali termini, l’OdV può mantenere un Registro delle Segnalazioni nel quale devono essere anonimizzati i dati personali relativi alla Persona segnalante, alle Persone coinvolte, indicate come possibili responsabili delle condotte illecite, nonché a coloro che sono a vario titolo coinvolti nella Segnalazione interna14, al fine di dare in futuro prova dell’adeguata gestione delle Segnalazioni di Violazioni, quale requisito di un efficace attuazione del Modello di prevenzione del rischio di reato ai sensi dell’art. 6 D. Lgs. 231/2001 e conseguente assenza di colpa organizzativa. 1 0.Reporting L’OdV rende conto annualmente del corretto funzionamento dei sistemi interni di Segnalazione, riportando, nella propria relazione, le informazioni aggregate sulle risultanze dell’attività svolta e sul seguito dato alle Segnalazioni interne ricevute. Nella redazione di tale documento, l’OdV è tenuto a rispettare quanto previsto dalla disciplina sulla tutela dell’identità della Persona segnalante e dalla normativa applicabile in materia di protezione dei dati personali. 11. Casi particolari Laddove la Segnalazione interna riguardi un componente dell’Organismo di Vigilanza, questa deve essere trasmessa al Comitato Esecutivo, tramite consegna al Presidente del Comitato Esecutivo dell’eventuale documentazione a supporto, che valuterà l’eventuale coinvolgimento dell’altro componente che non sia stato oggetto di Segnalazione. 1 4 La conservazione di dati anonimizzati non viola quanto prescritto dall’art. 12 D.lgs. 24/23 con riferimento ai tempi di conservazione dei

ALLEGATO 2 – INFORMATIVA PRIVACY PER LA PERSONA SEGNALANTE Procedura Pagina 23 di 28 Procedura di gestione delle segnalazioni “ whistleblowing” Il Comitato Esecutivo, sentito il Collegio dei Revisori dei Conti, dopo aver valutato collegialmente se la Segnalazione interna sia corredata dalle informazioni necessarie per verificarne preliminarmente la fondatezza e poter avviare le successive attività di approfondimento, dà seguito alla stessa eseguendo l’istruttoria anche avvalendosi delle competenze aziendali e, se del caso, di consulenti specializzati, sempre nel rispetto della riservatezza normativamente prevista in materia nonché dal presente documento. L’istruttoria segue l’iter descritto nella presente procedura. La decisione in ogni caso spetta al Consiglio/Comitato Esecutivo che la formalizza attraverso delibera scritta. 12. Delibere dell’OdV Il funzionamento dell’OdV è disciplinato all’interno del Regolamento dallo stesso adottato. In caso di ricezione di una Segnalazione, la convocazione dell’OdV deve avvenire tempestivamente, indicativamente entro 3 giorni dalla notizia del ricevimento della Segnalazione e comunque in un termine utile per garantire il riscontro al Persona segnalante entro 7 giorni. 13. Divulgazione della procedura La presente procedura è esposta e resa facilmente visibile nei luoghi di lavoro e conoscibile, nonché accessibile, anche ai Destinatari che non frequentano i luoghi di lavoro dell’Associazione, anche per il tramite della sua pubblicazione in una sezione dedicata del sito internet dell’Associazione. ALLEGATO 1 – MODULO DI SEGNALAZIONE

Firma (non obbligatoria) _____________________________ Procedura Pagina 24 di 28 Allegato 1 MODULO DI SEGNALAZIONE Si raccomanda di allegare tutta la documentazione che si ritenga possa essere utile a corroborare la Segnalazione; qualora la Segnalazione avvenga verbalmente, tale documentazione può essere consegnata direttamente. SEZIONE 1) DATI DELLA PERSONA SEGNALANTE (foglio 1 di 1) Nome e Cognome (dati non obbligatori) _______________________________________________________________ Struttura di appartenenza e qualifica (dati non obbligatori) ________________________________________________ Canali di contatto prescelti (p.e. indirizzo mail privato, numero di telefono, etc) ________________________________________________________________________________________________ La Persona segnalante ha un interesse privato collegato alla Segnalazione? Si No Specificare la natura dell’interesse privato collegato alla Segnalazione La Persona segnalante è corresponsabile delle violazioni che segnala? Si No Documentazione allegata: documento di riconoscimento _______________________________________________________________________ ________________________________________________________________________________________________ Note e/o osservazioni: ________________________________________________________________________________________________ ________________________________________________________________________________________________ ________________________________________________________________________________________________ ________________________________________________________________________________________________ ________________________________________________________________________________________________ ________________________________________________________________________________________________ Data _________________________

No Procedura Pagina 25 di 28 Allegato 1 MODULO DI SEGNALAZIONE SEZIONE 2) ILLECITO SEGNALATO (foglio 1 di 2) Periodo/data in cui il fatto si è verificato _______________________________________________________________ Area di operatività aziendale a cui può essere riferito il fatto_______________________________________________ Soggetti coinvolti: Interni Esterni Descrizione del fatto oggetto di Segnalazione Altri soggetti che possono riferire sui fatti oggetto di Segnalazione Interni Esterni Altri soggetti ai quali è stata inoltrata la Segnalazione del fatto? Specificare quali soggetti e quando Si

Firma (non obbligatoria) _____________________________ Procedura Pagina 26 di 28 Allegato 1 MODULO DI SEGNALAZIONE SEZIONE 2) ILLECITO SEGNALATO (foglio 2 di 2) Documentazione allegata: ________________________________________________________________________________________________ ________________________________________________________________________________________________ ________________________________________________________________________________________________ ________________________________________________________________________________________________ ________________________________________________________________________________________________ ________________________________________________________________________________________________ ________________________________________________________________________________________________ Data _________________________

Il trattamento dei dati personali verrà effettuato esclusivamente da personale espressamente autorizzato, con modalità tali da garantire la riservatezza dell’identità della Persona Segnalante e del contenuto delle segnalazioni interne e della Procedura ALLEGATO 2 INFORMATIVA PRIVACY PER LA Pagina 27 di 28 PERSONA SEGNALANTE INFORMATIVA PRIVACY - PERSONA SEGNALANTE ai sensi dell’art. 13 del Regolamento (UE) 2016/679 relativa al trattamento di dati personali nell’ambito della segnalazione di violazioni di cui al d.lgs.24/23 Ai sensi dell’articolo 13 del Regolamento (UE) 2016/679 (General Data Protection Regulation, di seguito “GDPR”) e della normativa applicabile in materia di protezione dei dati personali La informiamo che i dati personali forniti in qualità di Persona Segnalante (di seguito anche “Interessato”) attraverso il presente “Modulo di Segnalazione” o comunque forniti in caso di segnalazione interna di una violazione ai sensi del D.lgs. 24/2023, saranno trattati, nel rispetto della normativa sopra richiamata e conformemente ai principi di correttezza, liceità e trasparenza da personale autorizzato da CEI – Comitato Elettrotecnico Italiano ai sensi dell’articolo 29 del GDPR e dell’articolo 2-quaterdecies del codice in materia di protezione dei dati personali (D.lgs. 196/2003) 1 . Titolare del trattamento e Responsabile della protezione dei dati Titolare del trattamento dei dati personali è CEI -Comitato Elettrotecnico Italiano (di seguito anche “Associazione” o “ Titolare”, in persona del Legale Rappresentante pro tempore, con sede legale Via Saccardo n. 9- Milano. Finalità del trattamento e base giuridica 2 . I dati personali sono trattati per la gestione delle segnalazioni interne di presunte violazioni, ovvero di comportamenti, atti od omissioni che ledono l'interesse pubblico o l’integrità dell’amministrazione pubblica o dell'ente privato, definiti dall’art. 2 co. 1 lett. a) del d.lgs. 24/23, delle quali la Persona Segnalante sia venuta a conoscenza in ragione del proprio rapporto di collaborazione con il Titolare. I dati personali trattati sono quelli contenuti nella segnalazione interna, e/o in atti e documenti a questa allegati che si riferiscono alla Persona Segnalante. I dati personali possono essere altresì trattati per lo svolgimento delle necessarie attività istruttorie volte a verificare la fondatezza di quanto segnalato, nonché, se del caso, per l’adozione di adeguate misure correttive e l’introduzione di opportune azioni disciplinari e/o giudiziarie nei confronti dei responsabili delle violazioni. La base giuridica che legittima il trattamento dei dati personali è rappresentata dall’adempimento di un obbligo legale al quale è soggetto il Titolare (Art. 6 comma 1, lett. c) del GDPR), e nello specifico, previsto dal D.lgs. 165/2001, dal D.lgs. 231/2001, dalla L. 1 79/2017 e dal D.lgs. 24/2023. Il trattamento potrà eventualmente riguardare anche dati particolari e dati relativi a condanne penali e reati qualora inclusi nella segnalazione secondo quanto disposto dagli articoli 9 e 10 del GDPR. 3 . Categorie di destinatari dei dati I dati personali forniti saranno trattati dai componenti dell’Organismo di Vigilanza (OdV), in qualità di soggetti autorizzati al trattamento dal Titolare, al fine di dare seguito e riscontro alle segnalazioni ricevute, in ottemperanza a quanto previsto dal D. Lgs 24/2023 e dal Modello di Organizzazione, Gestione e Controllo ai sensi dell’art. 6 del D. Lgs. 2 31/01. Nel caso in cui l’Associazione affidi ad un soggetto terzo l’incarico di gestione del canale di segnalazione, i suddetti dati personali saranno tratti da tale soggetto in qualità di Responsabile del trattamento designato dal Titolare ai sensi dell’art. 2 8 del GDPR. Tali dati saranno trattati esclusivamente per il tramite di personale espressamente autorizzato e nel rispetto di quanto previsto dal D.lgs. n. 24/2023. I dati personali non saranno soggetti a diffusione ma potranno essere trasmessi all’Autorità Giudiziaria Nessuno dei dati raccolti sarà trasferito verso Paesi Terzi, intesi quali Paesi non appartenenti allo Spazio Economico Europeo (SEE). Qualora la segnalazione sia esterna e venga presentata, come previsto dagli artt. 6 e 7 del d.lgs. 24/2023, all’Autorità Nazionale Anticorruzione (ANAC), le informazioni relative al trattamento dei dati personali verranno fornite dall’Autorità stessa mediante gli appositi canali. 4 . Criteri dei tempi di conservazione Le segnalazioni interne e la relativa documentazione saranno conservate per il tempo necessario al trattamento della segnalazione e comunque non oltre cinque anni a decorrere dalla data della comunicazione dell’esito finale della procedura di segnalazione, nel rispetto degli obblighi di riservatezza di cui all’articolo 12 del presente d.lgs. 24/2023 e del principio di cui agli articoli 5, paragrafo 1, lettera e), del GDPR e 3, comma 1, lettera e), del decreto legislativo n. 51 del 2018. Decorso il periodo massimo di cinque anni le informazioni riferite alla segnalazione potranno essere conservate dall’Associazione al fine di garantire e preservare il proprio diritto di difesa e dare prova, ove richiesto, della corretta gestione delle segnalazioni ricevute. In tal caso i dati personali della Persona segnalante saranno anonimizzati. 5 . Modalità di trattamento dei dati

I diritti di cui agli articoli 15-22 del GDPR possono essere esercitati, nei limiti di quanto previsto dall’art. 2-undecies, co. 3, del d.lgs. n. 196/2003, rivolgendosi al Titolare o al DPO mediante i contatti sopra indicati. In particolare, i diritti sopra individuati non possono essere esercitati con richiesta al Titolare o al DPO, ovvero con reclamo ai sensi dell'articolo 77 del GDPR all’Autorità Garante, qualora dall'esercizio di tali diritti possa derivare un pregiudizio effettivo e concreto alla riservatezza dell’identità della persona che segnala violazioni di cui sia venuta a conoscenza in ragione del proprio rapporto di lavoro o delle funzioni svolte. L‘esercizio dei suddetti diritti può, in ogni caso, essere ritardato, limitato o escluso con comunicazione motivata e resa senza ritardo dal Titolare, a meno che la comunicazione possa compromettere la finalità della limitazione, per il tempo e nei limiti in cui ciò costituisca una misura necessaria e proporzionata, tenuto conto dei diritti fondamentali e dei legittimi interessi della Persona Segnalante, della Persona coinvolta o delle persone a vario titolo coinvolti nelle segnalazioni. In tali casi, ai sensi dell’art. 2-undecies, co. 3, del decreto legislativo n. 196/2003 l’Interessato ha facoltà di esercitare i succitati diritti tramite l’Autorità Garante con le modalità di cui all’art. 160 del predetto decreto legislativo. Nei casi in cui si ritenga che il trattamento dei dati personali avvenga in violazione di quanto previsto dal GDPR, è possibile proporre reclamo all’Autorità Garante, come previsto dall'art. 77 del GDPR stesso (con esclusione delle limitazioni all’esercizio dei diritti sopra riportate e previste dall’art. 2- undecies, co. 3, del d.lgs. n. 196/2003), o di adire le opportune sedi giudiziarie (art. 79 del GDPR). Procedura ALLEGATO 2 INFORMATIVA PRIVACY PER LA Pagina 28 di 28 PERSONA SEGNALANTE relativa documentazione, adottando misure tecniche e organizzative adeguate a proteggerli da accessi non autorizzati o illeciti, dalla distruzione, dalla perdita d’integrità e riservatezza, anche accidentali. Al fine di garantire la riservatezza della Persona Segnalante per tutta la durata della gestione della segnalazione interna, l’identità della stessa sarà conosciuta dai soggetti espressamente autorizzati alla gestione delle segnalazioni. Ad eccezione dei casi in cui sia configurabile una responsabilità a titolo di calunnia e di diffamazione ai sensi delle disposizioni del codice penale o dell’art. 2043 del c.c. ovvero, ove applicabile, nell’ambito del procedimento penale e nei modi e limiti di quanto previsto dall’art. 329 c.p.p., l’identità della Persona Segnalante viene protetta in ogni contesto successivo alla segnalazione. Pertanto, fatte salve le citate eccezioni, l’identità della Persona Segnalante non può essere rivelata senza il suo espresso consenso, e tutti coloro che ricevono o sono coinvolti nella gestione della segnalazione sono tenuti a tutelare la riservatezza di tale informazione. 6 . Conferimento dei dati Il conferimento dei dati personali è facoltativo. Il mancato conferimento potrebbe tuttavia pregiudicare l’istruttoria della segnalazione: le segnalazioni anonime, infatti, verranno prese in considerazione solo ove si presentino adeguatamente circostanziate e rese con dovizia di particolari, in modo da far emergere fatti e situazioni connessi a contesti determinati. 7 . Diritti degli interessati