DPIA for en whistleblowerkanal: Trin-for-trin-tjeklisten

En konsekvensanalyse vedrørende databeskyttelse (DPIA) er påkrævet for en whistleblowerkanal, når behandlingen "sandsynligvis vil indebære en høj risiko" for fysiske personer efter artikel 35 i GDPR — og næsten alle whistleblowersystemer når den tærskel, fordi de vurderer identificerbare personer i stor skala, ofte med brug af følsomme oplysninger, med begrænset adgang og uden en reel fravalgsmulighed for medarbejderne.

Vigtigste pointer

• En DPIA er påkrævet efter artikel 35 i GDPR, når behandlingen sandsynligvis er højrisiko — de fleste whistleblowerkanaler når denne tærskel som standard, ikke som undtagelse.
• Den skal være færdig inden idriftsættelse og ikke laves bagefter som reaktion på en hændelse eller spørgsmål fra en tilsynsmyndighed.
• Der er syv konkrete trin: beskrive behandlingen, teste nødvendighed og proportionalitet, identificere risici, definere afhjælpende foranstaltninger, konsultere DPO'en, godkende og dokumentere samt fastsætte en udløser for revision.
• Den mest almindelige måde, en DPIA bliver uforsvarlig på, er ved at springe konsultationen med DPO'en over eller behandle den som en uformel snak i stedet for et dokumenteret trin.
• Lav DPIA'en om, når der sker en væsentlig ændring: ny leverandør, nyt land, nye datakategorier eller en ny part, der får adgang til indberetninger.

De 7 trin i en DPIA for en whistleblowerkanal

1. Beskriv behandlingen systematisk. Dokumentér hvilke data der indsamles (indberetterens oplysninger, hvis ikke anonym; den anklagedes oplysninger; vidneudsagn; bilag), hvem der kan tilgå dem, hvor de hostes, hvor længe de opbevares, og om nogen af dem forlader EU/EØS. Denne beskrivelse er fundamentet, som resten af DPIA'en henviser tilbage til.

2. Vurdér nødvendighed og proportionalitet. For hver kategori af indsamlede data skal du begrunde, hvorfor den er nødvendig for formålet — at undersøge og afslutte indberetninger efter direktiv (EU) 2019/1937 — og bekræfte, at du ikke indsamler mere, end formålet kræver.

3. Identificér risici for fysiske personer. De centrale risici i en whistleblowerkanal er genidentifikation af en anonym indberetter, uautoriseret adgang til sagsakter, repressalier muliggjort af et brud på fortroligheden samt unøjagtige påstande, der forårsager uforholdsmæssig skade for den anklagede. Navngiv hver risiko eksplicit i stedet for at beskrive dem abstrakt.

4. Definér foranstaltninger til at afhjælpe hver risiko. Knyt en konkret kontrolforanstaltning til hver risiko fra trin 3: kryptering i hvile og under transmission, rollebaseret adgang begrænset til navngivne sagsbehandlere, anonym tovejskommunikation, der aldrig afslører IP-adresse eller metadata, samt en fastlagt opbevaringsplan med automatisk sletning.

5. Konsultér din databeskyttelsesrådgiver (DPO) — og dokumentér det. En DPIA, som DPO'en aldrig har gennemgået, eller hvor DPO'ens input var mundtligt og udokumenteret, er et af de svageste punkter, en tilsynsmyndighed eller revisor vil undersøge. Notér DPO'ens rådgivning, og om den blev fulgt; hvis ikke, notér hvorfor.

6. Godkend og dokumentér resultatet. DPIA'en er et levende dokument, ikke en afkrydsningsopgave — den skal have en navngivet ejer, en godkendelsesdato og en klar erklæring om restrisikoen efter de afhjælpende foranstaltninger. Hvis restrisikoen fortsat er høj efter afhjælpning, kræver artikel 36 i GDPR forudgående konsultation med tilsynsmyndigheden, inden behandlingen påbegyndes.

7. Fastsæt en udløser for revision, ikke blot en revisionsdato. En årlig kalendererindring er et godt udgangspunkt, men DPIA'en bør også genåbnes, i det øjeblik der sker en væsentlig ændring — se udløserne nedenfor.

Almindelige fejl, der gør en DPIA uholdbar

• At behandle den som papirarbejde, der udfyldes efter lancering, når kanalen allerede er i drift, og en tilsynsmyndighed eller et samarbejdsudvalg allerede er begyndt at stille spørgsmål.
• Manglende dokumenteret interesseafvejning mellem organisationens legitime interesse i at afsløre uregelmæssigheder og de registreredes rettigheder — en DPIA, der fastslår en konklusion uden at vise begrundelsen, holder ikke ved en gennemgang.
• DPO'en er ikke formelt konsulteret, eller er blevet konsulteret, efter DPIA'en allerede var færdiggjort i stedet for under udarbejdelsen.
• Ingen omtale af internationale overførsler — hvis en leverandør, underdatabehandler eller backup-lokation befinder sig uden for EU/EØS, skal DPIA'en tage stilling til den anvendte overførselsmekanisme.
• Opbevaringsperioder, der ikke matcher det, systemet reelt er konfigureret til — en DPIA, der lover sletning efter 90 dage, mens platformen opbevarer data på ubestemt tid, er værre end slet ingen DPIA, hvis den nogensinde bliver revideret.

Hvornår skal DPIA'en genudarbejdes

En DPIA er ikke et engangsdokument. Genåbn og genvurdér den, når:

• Du skifter leverandør eller hostingudbyder for indberetningskanalen.
• Du udvider til et nyt land med andre krav til anonymitet, opbevaring eller samarbejdsudvalg.
• Du begynder at indsamle nye datakategorier — for eksempel helbredsoplysninger, der bliver relevante i indberetninger om chikane eller sikkerhed.
• En ny tredjepart får adgang til sagsdata, f.eks. en ekstern undersøger eller ekstern advokat.
• Omfanget af indberetninger stiger væsentligt, hvilket ændrer den skala af behandling, som den oprindelige risikovurdering var baseret på.

Sådan hjælper Vaelo dig med at holde din DPIA forsvarlig

Vaelo er bygget til at gøre den DPIA, du allerede har, lettere at forsvare — ikke sværere. Oplysninger om hosting og underdatabehandlere er dokumenteret og tilgængelige efter anmodning, adgangen til hver sag er rollebaseret og logges, anonym tovejskommunikation afslører aldrig identificerende metadata, og opbevaringsregler kan konfigureres og håndhæves automatisk — så det, din DPIA anfører på papiret, er det, platformen rent faktisk gør, og ikke en politik, der driver væk fra praksis. Hvis du stadig er ved at kortlægge de underliggende GDPR-forpligtelser, en undersøgelse udløser, dækker vores guide til GDPR i interne undersøgelser de pligter, der findes ved siden af selve DPIA'en.

Ofte stillede spørgsmål

Hvad er en DPIA, og hvorfor skal en whistleblowerkanal have en? En konsekvensanalyse vedrørende databeskyttelse er en dokumenteret analyse af de risici, en behandlingsaktivitet udgør for fysiske personer, og de foranstaltninger, der afhjælper dem, som kræves efter artikel 35 i GDPR, når behandlingen sandsynligvis er højrisiko. En whistleblowerkanal behandler følsomme oplysninger om identificerbare personer i stor skala, hvilket typisk når denne tærskel.

Hvem har ansvaret for at godkende DPIA'en? Der bør være en navngivet forretningsansvarlig (ofte DPO'en eller en senior compliancefunktion), som godkender det endelige dokument, registrerer DPO'ens rådgivning og påtager sig ansvaret for restrisikoen. Det bør aldrig være en uformel og ugodkendt øvelse.

Skal vi konsultere tilsynsmyndigheden for en whistleblower-DPIA? Kun hvis restrisikoen fortsat er høj, efter at der er anvendt afhjælpende foranstaltninger. Artikel 36 i GDPR kræver forudgående konsultation med tilsynsmyndigheden i dette specifikke tilfælde — de fleste velafhjulpne whistleblowerkanaler når ikke denne tærskel, men vurderingen skal vise begrundelsen i begge tilfælde.

Hvor ofte bør vi gennemgå en whistleblowerkanals DPIA? Mindst årligt samt straks, når der sker en væsentlig ændring: en ny leverandør, et nyt driftsland, nye kategorier af indsamlede data, eller en ny part, der får adgang til sagsdata.