ΕΑΠΔ για έναν δίαυλο αναφορών: Ο αναλυτικός οδηγός βήμα προς βήμα

Μια Εκτίμηση Αντικτύπου σχετικά με την Προστασία Δεδομένων (ΕΑΠΔ) απαιτείται για έναν δίαυλο αναφορών όποτε η επεξεργασία "ενδέχεται να επιφέρει υψηλό κίνδυνο" για τα φυσικά πρόσωπα σύμφωνα με το άρθρο 35 του GDPR — και σχεδόν κάθε σύστημα αναφορών φτάνει αυτό το όριο, επειδή αξιολογεί ταυτοποιήσιμα πρόσωπα σε μεγάλη κλίμακα, συχνά χρησιμοποιώντας δεδομένα ειδικών κατηγοριών, με περιορισμένη πρόσβαση και χωρίς ρεαλιστική δυνατότητα εξαίρεσης για τους εργαζομένους.

Βασικά συμπεράσματα

• Μια ΕΑΠΔ απαιτείται βάσει του άρθρου 35 του GDPR όποτε η επεξεργασία ενδέχεται να είναι υψηλού κινδύνου — οι περισσότεροι δίαυλοι αναφορών φτάνουν αυτό το όριο εξ ορισμού, όχι κατ' εξαίρεση.
• Πρέπει να ολοκληρώνεται πριν από την έναρξη λειτουργίας, όχι να συντάσσεται εκ των υστέρων μετά από ένα περιστατικό ή ερωτήματα ρυθμιστικής αρχής.
• Υπάρχουν επτά συγκεκριμένα βήματα: περιγραφή της επεξεργασίας, έλεγχος αναγκαιότητας και αναλογικότητας, εντοπισμός κινδύνων, ορισμός μέτρων μετριασμού, διαβούλευση με τον υπεύθυνο προστασίας δεδομένων, έγκριση και τεκμηρίωση, και καθορισμός μηχανισμού επανεξέτασης.
• Ο συνηθέστερος τρόπος με τον οποίο μια ΕΑΠΔ καθίσταται ανυπεράσπιστη είναι η παράλειψη της διαβούλευσης με τον υπεύθυνο προστασίας δεδομένων (DPO) ή η αντιμετώπισή της ως άτυπης συζήτησης αντί για τεκμηριωμένο βήμα.
• Επαναλάβετε τη ΕΑΠΔ όποτε συμβαίνει μια ουσιώδης αλλαγή: νέος προμηθευτής, νέα χώρα, νέες κατηγορίες δεδομένων ή νέο μέρος που αποκτά πρόσβαση στις αναφορές.

Τα 7 βήματα μιας ΕΑΠΔ για έναν δίαυλο αναφορών

1. Περιγράψτε συστηματικά την επεξεργασία. Τεκμηριώστε ποια δεδομένα συλλέγονται (στοιχεία του καταγγέλλοντος, εφόσον δεν είναι ανώνυμος· στοιχεία του καταγγελλόμενου· καταθέσεις μαρτύρων· συνημμένα), ποιος έχει πρόσβαση σε αυτά, πού φιλοξενούνται, για πόσο διάστημα διατηρούνται και αν κάποιο από αυτά εξέρχεται από την ΕΕ/ΕΟΧ. Η περιγραφή αυτή αποτελεί τη βάση στην οποία παραπέμπει το υπόλοιπο της ΕΑΠΔ.

2. Αξιολογήστε την αναγκαιότητα και την αναλογικότητα. Για κάθε κατηγορία δεδομένων που συλλέγεται, αιτιολογήστε γιατί είναι απαραίτητη για τον σκοπό — τη διερεύνηση και την επίλυση αναφορών βάσει της Οδηγίας (ΕΕ) 2019/1937 — και επιβεβαιώστε ότι δεν συλλέγετε περισσότερα δεδομένα από όσα απαιτεί αυτός ο σκοπός.

3. Εντοπίστε τους κινδύνους για τα φυσικά πρόσωπα. Οι κεντρικοί κίνδυνοι σε έναν δίαυλο αναφορών είναι η επανα-ταυτοποίηση ενός ανώνυμου καταγγέλλοντος, η μη εξουσιοδοτημένη πρόσβαση σε φακέλους υποθέσεων, τα αντίποινα που καθίστανται δυνατά από παραβίαση της εμπιστευτικότητας και οι ανακριβείς καταγγελίες που προκαλούν δυσανάλογη βλάβη στον καταγγελλόμενο. Κατονομάστε ρητά κάθε κίνδυνο, αντί να τον περιγράφετε αφηρημένα.

4. Ορίστε μέτρα για τον μετριασμό κάθε κινδύνου. Αντιστοιχίστε ένα συγκεκριμένο μέτρο ελέγχου σε κάθε κίνδυνο του βήματος 3: κρυπτογράφηση κατά την αποθήκευση και κατά τη μετάδοση, πρόσβαση βάσει ρόλων περιορισμένη σε ονομαστικά ορισμένους διαχειριστές υποθέσεων, ανώνυμη αμφίδρομη επικοινωνία που δεν αποκαλύπτει ποτέ διεύθυνση IP ή μεταδεδομένα, και καθορισμένο πρόγραμμα διατήρησης με αυτόματη διαγραφή.

5. Συμβουλευτείτε τον υπεύθυνο προστασίας δεδομένων (DPO) σας — και τεκμηριώστε το. Μια ΕΑΠΔ που δεν έχει ποτέ ελεγχθεί από τον DPO, ή στην οποία η συμβολή του DPO ήταν προφορική και ατεκμηρίωτη, αποτελεί ένα από τα πιο αδύναμα σημεία που θα εξετάσει μια ρυθμιστική αρχή ή ελεγκτής. Καταγράψτε τη γνώμη του DPO και το αν ακολουθήθηκε· εάν όχι, καταγράψτε τον λόγο.

6. Εγκρίνετε και τεκμηριώστε το αποτέλεσμα. Η ΕΑΠΔ είναι ζωντανό έγγραφο, όχι ένα τετραγωνάκι προς επιβεβαίωση — χρειάζεται έναν ονομαστικά ορισμένο υπεύθυνο, μια ημερομηνία έγκρισης και μια σαφή δήλωση του εναπομείναντος κινδύνου μετά τα μέτρα μετριασμού. Εάν ο εναπομείναν κίνδυνος παραμένει υψηλός μετά τον μετριασμό, το άρθρο 36 του GDPR απαιτεί προηγούμενη διαβούλευση με την εποπτική αρχή πριν από την έναρξη της επεξεργασίας.

7. Καθορίστε έναν μηχανισμό επανεξέτασης, όχι απλώς μια ημερομηνία επανεξέτασης. Μια ετήσια υπενθύμιση στο ημερολόγιο αποτελεί καλή αφετηρία, αλλά η ΕΑΠΔ θα πρέπει επίσης να ανοίγει εκ νέου τη στιγμή που συμβαίνει μια ουσιώδης αλλαγή — δείτε τους μηχανισμούς ενεργοποίησης παρακάτω.

Συνήθη λάθη που καθιστούν μια ΕΑΠΔ ανυπεράσπιστη

• Η αντιμετώπισή της ως γραφειοκρατία που συμπληρώνεται μετά την έναρξη λειτουργίας, όταν ο δίαυλος βρίσκεται ήδη σε παραγωγική λειτουργία και μια ρυθμιστική αρχή ή συμβούλιο εργαζομένων έχει ήδη αρχίσει να θέτει ερωτήματα.
• Απουσία τεκμηριωμένης δοκιμής στάθμισης μεταξύ του έννομου συμφέροντος του οργανισμού για τον εντοπισμό παραβάσεων και των δικαιωμάτων των φυσικών προσώπων — μια ΕΑΠΔ που διατυπώνει ένα συμπέρασμα χωρίς να παρουσιάζει τη συλλογιστική δεν αντέχει σε έλεγχο.
• Ο DPO δεν έχει κληθεί επίσημα σε διαβούλευση, ή κλήθηκε αφότου η ΕΑΠΔ είχε ήδη οριστικοποιηθεί, αντί κατά τη σύνταξή της.
• Σιωπή για τις διεθνείς διαβιβάσεις — εάν οποιοσδήποτε προμηθευτής, εκτελών την επεξεργασία υπεργολάβος ή τοποθεσία αντιγράφων ασφαλείας βρίσκεται εκτός ΕΕ/ΕΟΧ, η ΕΑΠΔ πρέπει να εξετάζει τον μηχανισμό διαβίβασης που χρησιμοποιείται.
• Περίοδοι διατήρησης που δεν αντιστοιχούν σε αυτό που έχει πράγματι ρυθμιστεί στο σύστημα — μια ΕΑΠΔ που υπόσχεται διαγραφή σε 90 ημέρες, ενώ η πλατφόρμα διατηρεί τα δεδομένα επ' αόριστον, είναι χειρότερη από την απουσία ΕΑΠΔ, αν ελεγχθεί ποτέ.

Πότε πρέπει να επαναλάβετε τη ΕΑΠΔ

Η ΕΑΠΔ δεν είναι έγγραφο εφάπαξ σύνταξης. Ανοίξτε την εκ νέου και επαναξιολογήστε την όποτε:

• Αλλάζετε προμηθευτή ή πάροχο φιλοξενίας για τον δίαυλο αναφορών.
• Επεκτείνεστε σε νέα χώρα με διαφορετικές απαιτήσεις ανωνυμίας, διατήρησης ή συμβουλίου εργαζομένων.
• Αρχίζετε να συλλέγετε νέες κατηγορίες δεδομένων — για παράδειγμα, δεδομένα υγείας που καθίστανται σχετικά σε αναφορές παρενόχλησης ή ασφάλειας.
• Ένα νέο τρίτο μέρος αποκτά πρόσβαση στα δεδομένα της υπόθεσης, όπως ένας εξωτερικός ερευνητής ή εξωτερικός νομικός σύμβουλος.
• Ο όγκος ή το εύρος των αναφορών αυξάνεται ουσιωδώς, μεταβάλλοντας την κλίμακα επεξεργασίας στην οποία στηριζόταν η αρχική εκτίμηση κινδύνου.

Πώς η Vaelo σάς βοηθά να διατηρείτε μια υπερασπίσιμη ΕΑΠΔ

Η Vaelo έχει σχεδιαστεί ώστε η ΕΑΠΔ που ήδη διαθέτετε να είναι ευκολότερο, όχι δυσκολότερο, να υπερασπιστείτε. Οι λεπτομέρειες φιλοξενίας και των εκτελούντων την επεξεργασία υπεργολάβων είναι τεκμηριωμένες και διαθέσιμες κατόπιν αιτήματος, η πρόσβαση σε κάθε υπόθεση βασίζεται σε ρόλους και καταγράφεται, η ανώνυμη αμφίδρομη επικοινωνία δεν αποκαλύπτει ποτέ μεταδεδομένα που οδηγούν σε ταυτοποίηση, και οι κανόνες διατήρησης είναι διαμορφώσιμοι και επιβάλλονται αυτόματα — έτσι ώστε αυτό που δηλώνει η ΕΑΠΔ σας στα χαρτιά να είναι ακριβώς αυτό που κάνει στην πράξη η πλατφόρμα, και όχι μια πολιτική που αποκλίνει από την πράξη. Εάν εξακολουθείτε να χαρτογραφείτε τις βασικές υποχρεώσεις του GDPR που ενεργοποιεί μια έρευνα, ο οδηγός μας για τον GDPR σε εσωτερικές έρευνες καλύπτει τις υποχρεώσεις που συνυπάρχουν με την ίδια τη ΕΑΠΔ.

Συχνές ερωτήσεις

Τι είναι η ΕΑΠΔ και γιατί ένας δίαυλος αναφορών τη χρειάζεται; Η Εκτίμηση Αντικτύπου σχετικά με την Προστασία Δεδομένων είναι μια τεκμηριωμένη ανάλυση των κινδύνων που μια δραστηριότητα επεξεργασίας συνεπάγεται για τα φυσικά πρόσωπα και των μέτρων που τους μετριάζουν, η οποία απαιτείται βάσει του άρθρου 35 του GDPR όποτε η επεξεργασία ενδέχεται να είναι υψηλού κινδύνου. Ένας δίαυλος αναφορών επεξεργάζεται ευαίσθητα δεδομένα ταυτοποιήσιμων προσώπων σε μεγάλη κλίμακα, γεγονός που συνήθως πληροί αυτό το όριο.

Ποιος είναι υπεύθυνος για την έγκριση της ΕΑΠΔ; Θα πρέπει να υπάρχει ένας ονομαστικά ορισμένος υπεύθυνος από την επιχείρηση (συχνά ο DPO ή ένα ανώτερο στέλεχος συμμόρφωσης) που εγκρίνει το τελικό έγγραφο, καταγράφει τη γνώμη του DPO και αναλαμβάνει την ευθύνη για τον εναπομείναντα κίνδυνο. Δεν θα πρέπει ποτέ να είναι μια άτυπη και ανυπόγραφη διαδικασία.

Χρειάζεται να συμβουλευτούμε την εποπτική αρχή για τη ΕΑΠΔ ενός διαύλου αναφορών; Μόνο εάν, μετά την εφαρμογή των μέτρων μετριασμού, ο εναπομείναν κίνδυνος παραμένει υψηλός. Το άρθρο 36 του GDPR απαιτεί προηγούμενη διαβούλευση με την εποπτική αρχή σε αυτή τη συγκεκριμένη περίπτωση — οι περισσότεροι επαρκώς μετριασμένοι δίαυλοι αναφορών δεν φτάνουν σε αυτό το όριο, αλλά η εκτίμηση πρέπει να παρουσιάζει τη συλλογιστική και στις δύο περιπτώσεις.

Πόσο συχνά πρέπει να επανεξετάζουμε τη ΕΑΠΔ ενός διαύλου αναφορών; Τουλάχιστον ετησίως, καθώς και αμέσως όποτε συμβαίνει μια ουσιώδης αλλαγή: νέος προμηθευτής, νέα χώρα λειτουργίας, νέες κατηγορίες δεδομένων που συλλέγονται, ή νέο μέρος που αποκτά πρόσβαση στα δεδομένα των υποθέσεων.