GDPR i interne undersøgelser: håndtér whistleblowerdata korrekt

GDPR (forordning (EU) 2016/679) forhindrer dig ikke i at undersøge en indberetning — den fastlægger hvordan du skal gøre det. Du behandler personoplysninger om indberetteren, den anklagede og eventuelle vidner på et lovligt grundlag (næsten altid legitim interesse eller en retlig forpligtelse), du indsamler kun det, undersøgelsen faktisk har brug for, du holder indberetterens identitet fortrolig, og du sletter oplysningerne, så snart de ikke længere er nødvendige. At tage fejl her er ikke en formalitet: det kan gøre en lovlig undersøgelse til et databrud i sig selv.

Hovedpointer

• GDPR tillader interne undersøgelser — retsgrundlaget er normalt legitim interesse (artikel 6, stk. 1, litra f) eller en retlig forpligtelse (artikel 6, stk. 1, litra c), ikke den anklagedes samtykke.
• Den anklagede har en indsigtsret (artikel 15), men den giver ham ikke ret til at få indberetterens identitet at vide — artikel 16 i direktiv (EU) 2019/1937 og begrænsningen om "andres rettigheder og frihedsrettigheder" beskytter indberetteren.
• Du kan udskyde at informere den anklagede om behandlingen af hans oplysninger, når det ville skade undersøgelsen (artikel 14, stk. 5).
• Anvend dataminimering (artikel 5, stk. 1, litra c) og opbevaringsbegrænsning (artikel 5, stk. 1, litra e) — indsaml kun relevante oplysninger, og slet dem, når sagen lukkes.
• En indberetningskanal kræver næsten altid en konsekvensanalyse vedrørende databeskyttelse (artikel 35) inden idriftsættelse.

Retsgrundlaget er legitim interesse — ikke samtykke

Den første fejl, compliance-teams begår, er at forsøge at basere en undersøgelse på samtykke. Det kan man ikke: den undersøgte person vil ikke frit samtykke til at blive undersøgt, og et samtykke, der ikke frit kan nægtes, er ugyldigt efter GDPR. I stedet hviler behandlingen på et af to grundlag:

• Legitim interesse (artikel 6, stk. 1, litra f) — organisationens reelle interesse i at afdække og forebygge forseelser, afvejet mod rettighederne for de personer, hvis oplysninger du behandler. Denne afvejning bør dokumenteres, inden kanalen sættes i drift.
• Retlig forpligtelse (artikel 6, stk. 1, litra c) — når en lov pålægger dig at handle, såsom pligten til at drive en indberetningskanal og følge op på indberetninger efter direktiv (EU) 2019/1937, eller sektorregler om hvidvask og økonomisk kriminalitet.

Hvis en indberetning berører særlige kategorier af oplysninger (helbred, fagforeningsmedlemskab, politiske holdninger, oplysninger om strafbare forhold), skal du bruge en yderligere betingelse efter artikel 9 eller artikel 10 — for eksempel at behandlingen er nødvendig for at fastlægge, gøre gældende eller forsvare retskrav. Det er netop denne type indberetning — chikane, forskelsbehandling — hvor kanalerne bruges mest.

Den anklagedes indsigtsret ophæver ikke indberetterens fortrolighed

Den skarpeste konflikt i enhver undersøgelse er denne: den anklagede er også en registreret og kan efter artikel 15 anmode om indsigt i de personoplysninger, du opbevarer om ham — herunder det, der er blevet påstået. Håndteret naivt bliver en indsigtsbegæring en måde at afsløre indberetteren på.

Sådan behøver det ikke være. Fortroligheden om indberetterens identitet er beskyttet af artikel 16 i direktiv (EU) 2019/1937, og GDPR selv begrænser indsigtsretten, hvor den ville berøre "andres rettigheder og frihedsrettigheder" negativt — en begrænsning, som EDPB's retningslinjer 01/2022 om indsigtsretten behandler direkte. I praksis oplyser du den anklagede om substansen i påstanden, hvor retfærdighed kræver det, men redigerer alt, der ville identificere indberetteren — navne, rolle, datoer eller detaljer, som kun en bestemt person kunne kende. Nationale gennemførelser og datatilsyn bekræfter dette: indberetterens identitet er ikke noget, den anklagede har ret til at få via en dataanmodning.

Du kan også udskyde at informere den anklagede om, at hans oplysninger behandles, efter artikel 14, stk. 5, når underretningen alvorligt ville skade undersøgelsen — for eksempel ved at advare den pågældende, før beviser er sikret. Det er en udsættelse, ikke en permanent fritagelse: forpligtelsen genopstår, når risikoen er væk.

Dataminimering og opbevaring: indsaml og behold kun det nødvendige

To principper styrer livscyklussen for undersøgelsesdata:

• Dataminimering (artikel 5, stk. 1, litra c) — indsaml kun oplysninger, der er tilstrækkelige, relevante og begrænset til det, undersøgelsen kræver. At kopiere en medarbejders hele postkasse "for en sikkerheds skyld" er det modsatte af minimering.
• Opbevaringsbegrænsning (artikel 5, stk. 1, litra e) — behold kun oplysningerne, så længe det er nødvendigt. Artikel 18 i direktiv (EU) 2019/1937 understreger, at fortegnelser over indberetninger ikke opbevares længere end nødvendigt og forholdsmæssigt.

Den praktiske regel: indberetninger, der viser sig at være grundløse eller åbenbart irrelevante, bør slettes hurtigt, mens dokumenterede sager opbevares i den periode, der er nødvendig for at forsvare sig mod retskrav eller opfylde en lovbestemt opbevaringspligt — og derefter slettes. En defineret opbevaringsplan, der anvendes automatisk, er langt sikrere end ad hoc-sletning.

Hvornår du har brug for en konsekvensanalyse (DPIA)

En indberetningskanal behandler følsomme oplysninger om identificerbare personer, systematisk og ofte på tværs af hele arbejdsstyrken. Denne profil når typisk tærsklen i artikel 35 for en konsekvensanalyse vedrørende databeskyttelse — en dokumenteret analyse af risiciene for personer og de foranstaltninger, der mindsker dem. De fleste datatilsyn betragter en DPIA for et indberetningssystem som forventet snarere end valgfri, så lav den før lancering, ikke efter en hændelse.

Det er det samme grundarbejde, du har brug for til selve kanalen. Hvis du stadig kortlægger, hvem der skal overholde reglerne, og hvilke lovbestemte frister der gælder, dækker vores guide til EU's whistleblowerdirektiv de forpligtelser, der ligger ved siden af disse GDPR-pligter.

Sådan gør Vaelo en indsigtsbegæring til en ikke-begivenhed

I det øjeblik en anklaget udøver sin indsigtsret efter artikel 15, er risikoen i de fleste organisationer manuel: nogen skal huske at fjerne alle detaljer, der ville pege på indberetteren, før sagen sendes ud. Vaelos sagsarbejdsområde gør dette trin strukturelt i stedet for en hukommelsestest — efterforskere eksporterer en redigeret kopi af sagen, hvor felter, der identificerer indberetteren, maskeres automatisk, så besvarelse af en indsigtsbegæring aldrig bliver det øjeblik, hvor en indberetter afsløres. Anonym tovejskommunikation holder indberetterens identitet ude af sagsnotaterne fra den første besked, og rollebaseret, logget adgang begrænser, hvem der overhovedet kan se den uredigerede version. Resultatet er et undersøgelsesforløb, der er forsvarligt efter begge love på én gang — tilgængeligt på alle 24 officielle EU-sprog.

Ofte stillede spørgsmål

Hvad er retsgrundlaget for behandling af personoplysninger i en intern undersøgelse? Næsten altid organisationens legitime interesse (artikel 6, stk. 1, litra f, i GDPR) eller en retlig forpligtelse (artikel 6, stk. 1, litra c) — for eksempel pligten til at drive en kanal efter direktiv (EU) 2019/1937. En whistleblowerundersøgelse bør ikke bygge på den anklagedes samtykke.

Kan den anklagede få indsigt i indberetningen efter GDPR? Vedkommende har indsigtsret efter artikel 15 i GDPR, men den omfatter ikke afsløring af indberetterens identitet. Artikel 16 i direktiv (EU) 2019/1937 og begrænsningen om "andres rettigheder og frihedsrettigheder" gør det muligt at redigere oplysninger, der ville identificere indberetteren.

Skal vi lave en DPIA for en whistleblowerkanal? I de fleste tilfælde ja. Et whistleblowersystem behandler følsomme oplysninger om identificerbare personer, ofte i stor skala, hvilket typisk når tærsklen i artikel 35 i GDPR — derfor forventes en konsekvensanalyse vedrørende databeskyttelse inden idriftsættelse.

Hvor længe må vi opbevare data fra en intern undersøgelse efter GDPR? Kun så længe det er nødvendigt og proportionalt (artikel 5, stk. 1, litra e, i GDPR og artikel 18 i direktiv (EU) 2019/1937). Data fra indberetninger, der viser sig at være grundløse eller åbenbart irrelevante, bør slettes hurtigt og ikke opbevares som standard.