GDPR σε εσωτερικές έρευνες: σωστή διαχείριση των δεδομένων του καταγγέλλοντος

Ο GDPR (Κανονισμός (ΕΕ) 2016/679) δεν σας εμποδίζει να διερευνήσετε μια αναφορά — καθορίζει το πώς πρέπει να το κάνετε. Επεξεργάζεστε τα δεδομένα προσωπικού χαρακτήρα του καταγγέλλοντος, του καταγγελλόμενου και τυχόν μαρτύρων βάσει νόμιμης βάσης (σχεδόν πάντα έννομο συμφέρον ή νομική υποχρέωση), συλλέγετε μόνο όσα πραγματικά χρειάζεται η έρευνα, τηρείτε εμπιστευτική την ταυτότητα του καταγγέλλοντος και διαγράφετε τα δεδομένα μόλις παύσουν να είναι απαραίτητα. Το λάθος εδώ δεν είναι τυπικότητα: μπορεί να μετατρέψει μια νόμιμη έρευνα σε παραβίαση δεδομένων από μόνη της.

Βασικά συμπεράσματα

• Ο GDPR επιτρέπει τις εσωτερικές έρευνες — η νομική βάση είναι συνήθως το έννομο συμφέρον (άρθρο 6 παράγραφος 1 στοιχείο στ)) ή μια νομική υποχρέωση (άρθρο 6 παράγραφος 1 στοιχείο γ)), όχι η συγκατάθεση του καταγγελλόμενου.
• Ο καταγγελλόμενος έχει δικαίωμα πρόσβασης (άρθρο 15), το οποίο όμως δεν του δίνει το δικαίωμα να μάθει την ταυτότητα του καταγγέλλοντος — το άρθρο 16 της Οδηγίας (ΕΕ) 2019/1937 και ο περιορισμός των "δικαιωμάτων και ελευθεριών τρίτων" προστατεύουν τον καταγγέλλοντα.
• Μπορείτε να αναβάλετε την ενημέρωση του καταγγελλόμενου για την επεξεργασία των δεδομένων του όταν αυτή θα έθετε σε κίνδυνο την έρευνα (άρθρο 14 παράγραφος 5).
• Εφαρμόστε την ελαχιστοποίηση των δεδομένων (άρθρο 5 παράγραφος 1 στοιχείο γ)) και τον περιορισμό της περιόδου αποθήκευσης (άρθρο 5 παράγραφος 1 στοιχείο ε)) — συλλέγετε μόνο συναφή δεδομένα και διαγράφετέ τα με το κλείσιμο της υπόθεσης.
• Ένας δίαυλος αναφορών σχεδόν πάντα απαιτεί εκτίμηση αντικτύπου σχετικά με την προστασία δεδομένων (άρθρο 35) πριν από τη θέση σε λειτουργία.

Η νομική βάση είναι το έννομο συμφέρον — όχι η συγκατάθεση

Το πρώτο λάθος των ομάδων συμμόρφωσης είναι να προσπαθούν να θεμελιώσουν μια έρευνα στη συγκατάθεση. Δεν γίνεται: το πρόσωπο που ερευνάται δεν πρόκειται να συγκατατεθεί ελεύθερα στο να ερευνηθεί, και μια συγκατάθεση που δεν μπορεί να απορριφθεί ελεύθερα είναι άκυρη βάσει του GDPR. Αντ' αυτού, η επεξεργασία στηρίζεται σε μία από δύο βάσεις:

• Έννομο συμφέρον (άρθρο 6 παράγραφος 1 στοιχείο στ)) — το πραγματικό συμφέρον του οργανισμού να εντοπίζει και να προλαμβάνει παρατυπίες, σταθμισμένο έναντι των δικαιωμάτων των προσώπων των οποίων επεξεργάζεστε τα δεδομένα. Αυτή η στάθμιση πρέπει να τεκμηριώνεται πριν τεθεί σε λειτουργία ο δίαυλος.
• Νομική υποχρέωση (άρθρο 6 παράγραφος 1 στοιχείο γ)) — όταν ένας νόμος σας υποχρεώνει να ενεργήσετε, όπως η υποχρέωση λειτουργίας διαύλου αναφορών και παρακολούθησής τους βάσει της Οδηγίας (ΕΕ) 2019/1937, ή οι τομεακοί κανόνες για τη νομιμοποίηση εσόδων και το χρηματοοικονομικό έγκλημα.

Αν μια αναφορά αφορά ειδικές κατηγορίες δεδομένων (υγεία, συμμετοχή σε συνδικάτο, πολιτικές απόψεις, δεδομένα για ποινικά αδικήματα), χρειάζεστε πρόσθετη προϋπόθεση βάσει του άρθρου 9 ή του άρθρου 10 — για παράδειγμα ότι η επεξεργασία είναι απαραίτητη για τη θεμελίωση, άσκηση ή υποστήριξη νομικών αξιώσεων. Ακριβώς σε αυτό το είδος αναφοράς — παρενόχληση, διάκριση — χρησιμοποιούνται περισσότερο οι δίαυλοι.

Το δικαίωμα πρόσβασης του καταγγελλόμενου δεν καταργεί την εμπιστευτικότητα του καταγγέλλοντος

Η οξύτερη σύγκρουση σε κάθε έρευνα είναι η εξής: ο καταγγελλόμενος είναι επίσης υποκείμενο των δεδομένων και, βάσει του άρθρου 15, μπορεί να ζητήσει πρόσβαση στα δεδομένα προσωπικού χαρακτήρα που τηρείτε γι' αυτόν — συμπεριλαμβανομένων των ισχυρισμών. Αν αντιμετωπιστεί αφελώς, ένα αίτημα πρόσβασης γίνεται τρόπος αποκάλυψης του καταγγέλλοντος.

Δεν χρειάζεται να είναι έτσι. Η εμπιστευτικότητα της ταυτότητας του καταγγέλλοντος προστατεύεται από το άρθρο 16 της Οδηγίας (ΕΕ) 2019/1937, ενώ ο ίδιος ο GDPR περιορίζει το δικαίωμα πρόσβασης όταν αυτό θα έθιγε τα "δικαιώματα και τις ελευθερίες τρίτων" — έναν περιορισμό που αντιμετωπίζουν άμεσα οι Κατευθυντήριες γραμμές 01/2022 του ΕΣΠΔ για το δικαίωμα πρόσβασης. Στην πράξη, αποκαλύπτετε στον καταγγελλόμενο την ουσία του ισχυρισμού όταν το απαιτεί η δικαιοσύνη, αλλά αποκρύπτετε ό,τι θα ταυτοποιούσε τον καταγγέλλοντα — ονόματα, ρόλο, ημερομηνίες ή λεπτομέρειες που μόνο ένα συγκεκριμένο πρόσωπο θα μπορούσε να γνωρίζει. Οι εθνικές μεταφορές και οι αρχές προστασίας δεδομένων το επιβεβαιώνουν: η ταυτότητα του καταγγέλλοντος δεν είναι κάτι που ο καταγγελλόμενος δικαιούται να αποκτήσει μέσω αιτήματος δεδομένων.

Μπορείτε επίσης να αναβάλετε την ενημέρωση του καταγγελλόμενου ότι τα δεδομένα του υφίστανται επεξεργασία, βάσει του άρθρου 14 παράγραφος 5, όταν η κοινοποίηση θα έβλαπτε σοβαρά την έρευνα — για παράδειγμα προειδοποιώντας τον ενδιαφερόμενο πριν εξασφαλιστούν αποδεικτικά στοιχεία. Πρόκειται για αναβολή, όχι για μόνιμη εξαίρεση: η υποχρέωση αναβιώνει μόλις παρέλθει ο κίνδυνος.

Ελαχιστοποίηση και διατήρηση: συλλέγετε και κρατάτε μόνο ό,τι χρειάζεται

Δύο αρχές διέπουν τον κύκλο ζωής των δεδομένων της έρευνας:

• Ελαχιστοποίηση των δεδομένων (άρθρο 5 παράγραφος 1 στοιχείο γ)) — συλλέγετε μόνο δεδομένα κατάλληλα, συναφή και περιορισμένα σε όσα απαιτεί η έρευνα. Η μαζική αντιγραφή ολόκληρου του γραμματοκιβωτίου ενός εργαζομένου "για κάθε ενδεχόμενο" είναι το αντίθετο της ελαχιστοποίησης.
• Περιορισμός της περιόδου αποθήκευσης (άρθρο 5 παράγραφος 1 στοιχείο ε)) — διατηρείτε τα δεδομένα μόνο για όσο είναι απαραίτητο. Το άρθρο 18 της Οδηγίας (ΕΕ) 2019/1937 επιβεβαιώνει ότι τα αρχεία των αναφορών δεν διατηρούνται περισσότερο από όσο είναι αναγκαίο και αναλογικό.

Ο πρακτικός κανόνας: οι αναφορές που αποδεικνύονται αβάσιμες ή προδήλως άσχετες πρέπει να διαγράφονται άμεσα, ενώ οι τεκμηριωμένες υποθέσεις διατηρούνται για την περίοδο που χρειάζεται για την υπεράσπιση έναντι νομικών αξιώσεων ή την εκπλήρωση νόμιμης υποχρέωσης διατήρησης — και έπειτα διαγράφονται. Ένα καθορισμένο χρονοδιάγραμμα διατήρησης, που εφαρμόζεται αυτόματα, είναι πολύ ασφαλέστερο από την περιστασιακή διαγραφή.

Πότε χρειάζεστε εκτίμηση αντικτύπου (ΕΑΠΔ)

Ένας δίαυλος αναφορών επεξεργάζεται ευαίσθητες πληροφορίες για ταυτοποιήσιμα πρόσωπα, συστηματικά και συχνά σε ολόκληρο το εργατικό δυναμικό. Αυτό το προφίλ συνήθως υπερβαίνει το όριο του άρθρου 35 για μια εκτίμηση αντικτύπου σχετικά με την προστασία δεδομένων — μια τεκμηριωμένη ανάλυση των κινδύνων για τα πρόσωπα και των μέτρων που τους μετριάζουν. Οι περισσότερες αρχές προστασίας δεδομένων θεωρούν την ΕΑΠΔ για ένα σύστημα αναφορών αναμενόμενη και όχι προαιρετική, οπότε εκπονήστε την πριν από την έναρξη, όχι μετά από ένα περιστατικό.

Είναι η ίδια προεργασία που χρειάζεστε για τον ίδιο τον δίαυλο. Αν ακόμη χαρτογραφείτε ποιος υποχρεούται να συμμορφωθεί και ποιες νόμιμες προθεσμίες ισχύουν, ο οδηγός μας για την Οδηγία της ΕΕ για την προστασία των καταγγελλόντων καλύπτει τις υποχρεώσεις που συνοδεύουν αυτά τα καθήκοντα του GDPR.

Πώς η Vaelo μετατρέπει ένα αίτημα πρόσβασης σε μη γεγονός

Τη στιγμή που ο καταγγελλόμενος ασκεί το δικαίωμα πρόσβασης του άρθρου 15, ο κίνδυνος στις περισσότερες οργανώσεις είναι χειροκίνητος: κάποιος πρέπει να θυμηθεί να αφαιρέσει κάθε στοιχείο που θα υποδείκνυε τον καταγγέλλοντα πριν βγει ο φάκελος. Ο χώρος εργασίας υποθέσεων της Vaelo καθιστά αυτό το βήμα διαρθρωτικό αντί για δοκιμασία μνήμης — οι ερευνητές εξάγουν ένα επεξεργασμένο αντίγραφο του φακέλου με τα πεδία που ταυτοποιούν τον καταγγέλλοντα να αποκρύπτονται αυτόματα, ώστε η απάντηση σε ένα αίτημα πρόσβασης να μη γίνεται ποτέ η στιγμή αποκάλυψης ενός καταγγέλλοντος. Η ανώνυμη αμφίδρομη ανταλλαγή μηνυμάτων κρατά την ταυτότητα του καταγγέλλοντος έξω από τις σημειώσεις της υπόθεσης από το πρώτο μήνυμα, και η πρόσβαση βάσει ρόλων και καταγραφής περιορίζει ποιος μπορεί καν να δει τη μη επεξεργασμένη έκδοση. Το αποτέλεσμα είναι μια ροή έρευνας υπερασπίσιμη και υπό τους δύο νόμους ταυτόχρονα — διαθέσιμη σε όλες τις 24 επίσημες γλώσσες της ΕΕ.

Συχνές ερωτήσεις

Ποια είναι η νομική βάση για την επεξεργασία δεδομένων σε εσωτερική έρευνα; Σχεδόν πάντα το έννομο συμφέρον του οργανισμού (άρθρο 6 παράγραφος 1 στοιχείο στ) του GDPR) ή μια νομική υποχρέωση (άρθρο 6 παράγραφος 1 στοιχείο γ)) — για παράδειγμα η υποχρέωση λειτουργίας διαύλου βάσει της Οδηγίας (ΕΕ) 2019/1937. Η έρευνα μιας αναφοράς δεν πρέπει να στηρίζεται στη συγκατάθεση του καταγγελλόμενου.

Μπορεί ο καταγγελλόμενος να αποκτήσει πρόσβαση στην αναφορά βάσει του GDPR; Έχει δικαίωμα πρόσβασης βάσει του άρθρου 15 του GDPR, το οποίο όμως δεν εκτείνεται στην αποκάλυψη της ταυτότητας του καταγγέλλοντος. Το άρθρο 16 της Οδηγίας (ΕΕ) 2019/1937 και ο περιορισμός των "δικαιωμάτων και ελευθεριών τρίτων" επιτρέπουν την απόκρυψη πληροφοριών που θα τον ταυτοποιούσαν.

Χρειαζόμαστε ΕΑΠΔ για έναν δίαυλο αναφορών; Στις περισσότερες περιπτώσεις ναι. Ένα σύστημα αναφορών επεξεργάζεται ευαίσθητα δεδομένα ταυτοποιήσιμων προσώπων, συχνά σε μεγάλη κλίμακα, γεγονός που συνήθως υπερβαίνει το όριο του άρθρου 35 του GDPR — επομένως αναμένεται εκτίμηση αντικτύπου σχετικά με την προστασία δεδομένων πριν από τη θέση σε λειτουργία.

Για πόσο χρόνο μπορούμε να διατηρούμε δεδομένα εσωτερικής έρευνας βάσει του GDPR; Μόνο για όσο είναι αναγκαίο και αναλογικό (άρθρο 5 παράγραφος 1 στοιχείο ε) του GDPR και άρθρο 18 της Οδηγίας (ΕΕ) 2019/1937). Τα δεδομένα από αναφορές που αποδεικνύονται αβάσιμες ή προδήλως άσχετες πρέπει να διαγράφονται άμεσα και όχι να διατηρούνται εξ ορισμού.