GDPR при вътрешни разследвания: правилно обработване на данните от сигнала

GDPR (Регламент (ЕС) 2016/679) не ви забранява да разследвате сигнал — той определя как трябва да го направите. Обработвате личните данни на подателя, на посоченото в сигнала лице и на евентуални свидетели на правно основание (почти винаги легитимен интерес или правно задължение), събирате само това, от което разследването наистина се нуждае, пазите поверителна самоличността на подателя и изтривате данните, щом вече не са необходими. Грешката тук не е формалност: тя може да превърне едно законно разследване в нарушение на защитата на данните само по себе си.

Основни изводи

• GDPR допуска вътрешни разследвания — правното основание обикновено е легитимен интерес (член 6, параграф 1, буква е) или правно задължение (член 6, параграф 1, буква в), а не съгласието на посоченото лице.
• Посоченото лице има право на достъп (член 15), но то не му дава право да узнае самоличността на подателя — член 16 от Директива (ЕС) 2019/1937 и ограничението за "правата и свободите на други лица" защитават подателя.
• Може да отложите информирането на посоченото лице за обработването на данните му, когато това би застрашило разследването (член 14, параграф 5).
• Прилагайте свеждане на данните до минимум (член 5, параграф 1, буква в) и ограничение на съхранението (член 5, параграф 1, буква д) — събирайте само относими данни и ги изтривайте при приключване на случая.
• Каналът за сигнали почти винаги изисква оценка на въздействието върху защитата на данните (член 35) преди пускането в експлоатация.

Правното основание е легитимният интерес — не съгласието

Първата грешка на екипите по съответствие е да опитат да основат разследването на съгласие. Това е невъзможно: разследваното лице няма да даде свободно съгласие да бъде разследвано, а съгласие, което не може да бъде свободно отказано, е недействително по GDPR. Вместо това обработването се основава на едно от две основания:

• Легитимен интерес (член 6, параграф 1, буква е) — реалният интерес на организацията да разкрива и предотвратява нарушения, претеглен спрямо правата на лицата, чиито данни обработвате. Този тест за претегляне следва да се документира преди каналът да заработи.
• Правно задължение (член 6, параграф 1, буква в) — когато закон ви задължава да действате, като задължението да поддържате канал за сигнали и да предприемате последващи действия по Директива (ЕС) 2019/1937, или секторните правила за изпиране на пари и финансова престъпност.

Ако сигнал засяга специални категории данни (здраве, членство в синдикат, политически възгледи, данни за престъпления), нужно е допълнително условие по член 9 или член 10 — например че обработването е необходимо за установяване, упражняване или защита на правни претенции. Именно при такива сигнали — тормоз, дискриминация — каналите се използват най-често.

Правото на достъп на посоченото лице не отменя поверителността на подателя

Най-острият конфликт във всяко разследване е този: посоченото лице също е субект на данни и по член 15 може да поиска достъп до личните данни, които съхранявате за него — включително твърденията. Обработена наивно, заявката за достъп се превръща в начин да се разкрие подателят.

Не е задължително да е така. Поверителността на самоличността на подателя е защитена от член 16 от Директива (ЕС) 2019/1937, а самият GDPR ограничава правото на достъп, когато то би засегнало неблагоприятно "правата и свободите на други лица" — ограничение, което пряко разглеждат Насоки 01/2022 на ЕКЗД относно правото на достъп. На практика разкривате на посоченото лице същината на твърдението, когато справедливостта го изисква, но заличавате всичко, което би идентифицирало подателя — имена, длъжност, дати или подробности, които само конкретно лице би могло да знае. Националните транспозиции и органите по защита на данните го потвърждават: самоличността на подателя не е нещо, което посоченото лице има право да получи чрез заявка за данни.

Може също да отложите информирането на посоченото лице, че данните му се обработват, по член 14, параграф 5, когато уведомлението би навредило сериозно на разследването — например като предупреди засегнатия, преди доказателствата да са осигурени. Това е отлагане, а не постоянно освобождаване: задължението възниква отново, щом рискът отпадне.

Минимизиране и съхранение: събирайте и пазете само необходимото

Два принципа управляват жизнения цикъл на данните от разследването:

• Свеждане на данните до минимум (член 5, параграф 1, буква в) — събирайте само данни, които са подходящи, относими и ограничени до необходимото за разследването. Копирането наведнъж на цялата пощенска кутия на служител "за всеки случай" е обратното на минимизирането.
• Ограничение на съхранението (член 5, параграф 1, буква д) — пазете данните само толкова, колкото е необходимо. Член 18 от Директива (ЕС) 2019/1937 потвърждава, че записите за сигнали не се пазят по-дълго от необходимото и пропорционалното.

Практическото правило: сигналите, които се окажат неоснователни или явно неотносими, следва да се изтриват своевременно, докато доказаните случаи се пазят за периода, необходим за защита срещу правни претенции или за изпълнение на законово задължение за съхранение — и след това се изтриват. Определен график за съхранение, прилаган автоматично, е далеч по-сигурен от произволно изтриване.

Кога ви е нужна оценка на въздействието (ОВЗД)

Каналът за сигнали обработва чувствителна информация за подлежащи на идентифициране лица, систематично и често в цялата организация. Този профил обикновено достига прага на член 35 за оценка на въздействието върху защитата на данните — документиран анализ на рисковете за лицата и мерките за тяхното намаляване. Повечето органи по защита на данните разглеждат ОВЗД за система за сигнали като очаквана, а не по избор, затова я изгответе преди старта, а не след инцидент.

Това е същата подготвителна работа, която ви е нужна за самия канал. Ако все още картографирате кой е задължен и какви законови срокове важат, нашето ръководство за Директивата на ЕС за защита на лицата, подаващи сигнали обхваща задълженията, които съпътстват тези задължения по GDPR.

Как Vaelo превръща заявка за достъп в незначително събитие

В момента, в който посоченото лице упражни правото си на достъп по член 15, рискът в повечето организации е ръчен: някой трябва да се сети да премахне всеки детайл, който би посочил подателя, преди преписката да излезе. Работното пространство за случаи на Vaelo превръща тази стъпка в структурна, а не в тест на паметта — разследващите изнасят редактирано копие на преписката с автоматично заличени полета, идентифициращи подателя, така че отговарянето на заявка за достъп никога не се превръща в момента, в който подателят бива разкрит. Анонимните двупосочни съобщения държат самоличността на подателя извън бележките по случая от първото съобщение, а ролевият, регистриран достъп ограничава кой изобщо може да види нередактираната версия. Резултатът е работен процес за разследване, защитим и по двата закона едновременно — достъпен на всички 24 официални езика на ЕС.

Често задавани въпроси

Какво е правното основание за обработване на лични данни при вътрешно разследване? Почти винаги легитимният интерес на организацията (член 6, параграф 1, буква е) от GDPR) или правно задължение (член 6, параграф 1, буква в)) — например задължението да се поддържа канал съгласно Директива (ЕС) 2019/1937. Разследване по сигнал не бива да се основава на съгласието на посоченото лице.

Може ли посоченото в сигнала лице да получи достъп до сигнала съгласно GDPR? То има право на достъп съгласно член 15 от GDPR, но то не се разпростира до разкриване на самоличността на подателя. Член 16 от Директива (ЕС) 2019/1937 и ограничението за "правата и свободите на други лица" позволяват да се заличи информацията, която би го идентифицирала.

Нужна ли ни е ОВЗД за канал за подаване на сигнали? В повечето случаи да. Системата за подаване на сигнали обработва чувствителни данни за подлежащи на идентифициране лица, често в голям мащаб, което обикновено достига прага на член 35 от GDPR — затова се очаква оценка на въздействието върху защитата на данните преди пускането в експлоатация.

Колко дълго може да съхраняваме данните от вътрешно разследване съгласно GDPR? Само толкова, колкото е необходимо и пропорционално (член 5, параграф 1, буква д) от GDPR и член 18 от Директива (ЕС) 2019/1937). Данните от сигнали, които се окажат неоснователни или явно неотносими, следва да се изтриват своевременно, а не да се съхраняват по подразбиране.