GDPR při interních vyšetřováních: správné nakládání s údaji oznamovatele

GDPR (nařízení (EU) 2016/679) vám nebrání vyšetřit oznámení — určuje, jak to musíte udělat. Osobní údaje oznamovatele, obviněného a případných svědků zpracováváte na právním základě (téměř vždy oprávněný zájem nebo právní povinnost), shromažďujete jen to, co vyšetřování skutečně potřebuje, zachováváte důvěrnost totožnosti oznamovatele a údaje vymažete, jakmile již nejsou potřebné. Chyba zde není formalita: může z oprávněného vyšetřování udělat samostatné porušení ochrany údajů.

Klíčové poznatky

• GDPR interní vyšetřování umožňuje — právním základem je obvykle oprávněný zájem (čl. 6 odst. 1 písm. f)) nebo právní povinnost (čl. 6 odst. 1 písm. c)), nikoli souhlas obviněného.
• Obviněný má právo na přístup (čl. 15), to mu však nedává právo zjistit totožnost oznamovatele — článek 16 směrnice (EU) 2019/1937 a omezení "práv a svobod jiných osob" oznamovatele chrání.
• Informování obviněného o zpracování jeho údajů můžete odložit, pokud by ohrozilo vyšetřování (čl. 14 odst. 5).
• Uplatňujte minimalizaci údajů (čl. 5 odst. 1 písm. c)) a omezení uložení (čl. 5 odst. 1 písm. e)) — shromažďujte jen relevantní údaje a po uzavření případu je vymažte.
• Oznamovací kanál téměř vždy vyžaduje posouzení vlivu na ochranu osobních údajů (čl. 35) před spuštěním.

Právním základem je oprávněný zájem — nikoli souhlas

První chybou compliance týmů je snaha založit vyšetřování na souhlasu. To nelze: vyšetřovaná osoba svobodně nesouhlasí s tím, aby byla vyšetřována, a souhlas, který nelze svobodně odmítnout, je podle GDPR neplatný. Zpracování se místo toho opírá o jeden ze dvou základů:

• Oprávněný zájem (čl. 6 odst. 1 písm. f)) — skutečný zájem organizace odhalovat a předcházet pochybením, vyvážený proti právům osob, jejichž údaje zpracováváte. Tento test vyvážení je třeba zdokumentovat před spuštěním kanálu.
• Právní povinnost (čl. 6 odst. 1 písm. c)) — pokud vám zákon ukládá jednat, například povinnost provozovat oznamovací kanál a oznámení prošetřovat podle směrnice (EU) 2019/1937, nebo odvětvová pravidla pro praní peněz a finanční kriminalitu.

Pokud se oznámení dotýká zvláštních kategorií údajů (zdraví, členství v odborech, politické názory, údaje o trestných činech), potřebujete další podmínku podle čl. 9 nebo čl. 10 — například že zpracování je nezbytné pro určení, výkon nebo obhajobu právních nároků. Právě u tohoto typu oznámení — obtěžování, diskriminace — se kanály využívají nejčastěji.

Právo obviněného na přístup neruší důvěrnost oznamovatele

Nejostřejší konflikt v každém vyšetřování je tento: obviněný je také subjekt údajů a podle čl. 15 může požádat o přístup k osobním údajům, které o něm uchováváte — včetně toho, co bylo tvrzeno. Naivně vyřízená žádost o přístup se stává způsobem, jak oznamovatele odhalit.

Nemusí tomu tak být. Důvěrnost totožnosti oznamovatele chrání článek 16 směrnice (EU) 2019/1937 a samotné GDPR omezuje právo na přístup tam, kde by nepříznivě zasáhlo "práva a svobody jiných osob" — omezení, kterým se přímo zabývají pokyny EDPB 01/2022 k právu na přístup. V praxi obviněnému sdělíte podstatu tvrzení, pokud to vyžaduje spravedlnost, ale začerníte vše, co by oznamovatele identifikovalo — jména, funkci, data nebo podrobnosti, které může znát jen konkrétní osoba. Vnitrostátní transpozice a úřady pro ochranu údajů to potvrzují: totožnost oznamovatele není nic, na co by měl obviněný nárok prostřednictvím žádosti o údaje.

Informování obviněného o tom, že se jeho údaje zpracovávají, můžete rovněž odložit podle čl. 14 odst. 5, pokud by oznámení vážně narušilo vyšetřování — například varováním dotyčného dříve, než jsou zajištěny důkazy. Jde o odklad, nikoli o trvalou výjimku: povinnost obživne, jakmile riziko pomine.

Minimalizace a uchovávání: shromažďovat a uchovávat jen nezbytné

Životní cyklus údajů z vyšetřování řídí dvě zásady:

• Minimalizace údajů (čl. 5 odst. 1 písm. c)) — shromažďujte jen údaje přiměřené, relevantní a omezené na to, co vyšetřování vyžaduje. Hromadné kopírování celé schránky zaměstnance "pro jistotu" je opakem minimalizace.
• Omezení uložení (čl. 5 odst. 1 písm. e)) — uchovávejte údaje jen po dobu nezbytnou. Článek 18 směrnice (EU) 2019/1937 potvrzuje, že záznamy o oznámeních se neuchovávají déle, než je nezbytné a přiměřené.

Praktické pravidlo: oznámení, která se ukážou jako nedůvodná nebo zjevně irelevantní, je třeba neprodleně vymazat, zatímco doložené případy se uchovávají po dobu potřebnou k obraně proti právním nárokům nebo ke splnění zákonné povinnosti uchovávání — a poté se vymažou. Stanovený plán uchovávání uplatňovaný automaticky je mnohem bezpečnější než nahodilé mazání.

Kdy potřebujete posouzení vlivu (DPIA)

Oznamovací kanál zpracovává citlivé informace o identifikovatelných osobách, systematicky a často napříč celou pracovní silou. Tento profil obvykle dosahuje prahu čl. 35 pro posouzení vlivu na ochranu osobních údajů — zdokumentovanou analýzu rizik pro osoby a opatření, která je zmírňují. Většina úřadů pro ochranu údajů považuje DPIA pro oznamovací systém za očekávanou, nikoli volitelnou, proto ji připravte před spuštěním, ne až po incidentu.

Je to táž přípravná práce, kterou potřebujete pro samotný kanál. Pokud teprve mapujete, kdo musí požadavky splňovat a jaké zákonné lhůty platí, náš průvodce po směrnici EU o whistleblowingu pokrývá povinnosti, které stojí vedle těchto povinností podle GDPR.

Jak Vaelo mění žádost o přístup v bezvýznamnou událost

Ve chvíli, kdy obviněný uplatní své právo na přístup podle čl. 15, je riziko ve většině organizací ruční: někdo si musí vzpomenout, že má před odesláním spisu odstranit každý detail, který by ukazoval na oznamovatele. Pracovní prostor případů Vaelo dělá z tohoto kroku strukturální záležitost, nikoli test paměti — vyšetřovatelé exportují začerněnou kopii spisu, ve které jsou pole identifikující oznamovatele automaticky zamaskována, takže odpověď na žádost o přístup se nikdy nestane okamžikem, kdy je oznamovatel odhalen. Anonymní obousměrné zprávy drží totožnost oznamovatele mimo poznámky případu od první zprávy a přístup založený na rolích a zaznamenávaný omezuje, kdo vůbec může vidět nezačerněnou verzi. Výsledkem je vyšetřovací postup obhajitelný podle obou zákonů zároveň — dostupný ve všech 24 úředních jazycích EU.

Časté dotazy

Jaký je právní základ pro zpracování osobních údajů při interním vyšetřování? Téměř vždy oprávněný zájem organizace (čl. 6 odst. 1 písm. f) GDPR) nebo právní povinnost (čl. 6 odst. 1 písm. c)) — například povinnost provozovat kanál podle směrnice (EU) 2019/1937. Vyšetřování oznámení by se nemělo opírat o souhlas obviněného.

Může obviněný získat přístup k oznámení podle GDPR? Má právo na přístup podle čl. 15 GDPR, to se však nevztahuje na prozrazení totožnosti oznamovatele. Článek 16 směrnice (EU) 2019/1937 a omezení "práv a svobod jiných osob" umožňují začernit informace, které by ho identifikovaly.

Potřebujeme DPIA pro oznamovací kanál? Ve většině případů ano. Systém pro oznamování zpracovává citlivé údaje o identifikovatelných osobách, často ve velkém rozsahu, což obvykle dosahuje prahu čl. 35 GDPR — před spuštěním se proto očekává posouzení vlivu na ochranu osobních údajů.

Jak dlouho můžeme uchovávat údaje z interního vyšetřování podle GDPR? Pouze po dobu nezbytnou a přiměřenou (čl. 5 odst. 1 písm. e) GDPR a čl. 18 směrnice (EU) 2019/1937). Údaje z oznámení, která se ukážou jako nedůvodná nebo zjevně irelevantní, je třeba neprodleně vymazat, nikoli je uchovávat automaticky.