GDPR sisejuurdlustes: teavitaja andmete õige käitlemine

GDPR (määrus (EL) 2016/679) ei keela teil teadet uurida — see määrab, kuidas peate seda tegema. Töötlete teavitaja, süüdistatava ja võimalike tunnistajate isikuandmeid õiguslikul alusel (peaaegu alati õigustatud huvi või juriidiline kohustus), kogute vaid seda, mida juurdlus tegelikult vajab, hoiate teavitaja isiku konfidentsiaalsena ja kustutate andmed, kui neid enam ei vajata. Eksimus siin ei ole vormitäide: see võib muuta seadusliku juurdluse iseenesest andmekaitse rikkumiseks.

Peamised järeldused

• GDPR lubab sisejuurdlusi — õiguslik alus on tavaliselt õigustatud huvi (artikkel 6 lõige 1 punkt f) või juriidiline kohustus (artikkel 6 lõige 1 punkt c), mitte süüdistatava nõusolek.
• Süüdistataval on õigus tutvuda andmetega (artikkel 15), kuid see ei anna talle õigust teada teavitaja isikut — direktiivi (EL) 2019/1937 artikkel 16 ja "teiste isikute õiguste ja vabaduste" piirang kaitsevad teavitajat.
• Võite edasi lükata süüdistatava teavitamise tema andmete töötlemisest, kui see kahjustaks juurdlust (artikkel 14 lõige 5).
• Rakendage võimalikult väheste andmete kogumist (artikkel 5 lõige 1 punkt c) ja säilitamise piirangut (artikkel 5 lõige 1 punkt e) — koguge vaid asjakohaseid andmeid ja kustutage need juhtumi lõpetamisel.
• Teavituskanal nõuab peaaegu alati andmekaitsealast mõjuhinnangut (artikkel 35) enne kasutuselevõttu.

Õiguslik alus on õigustatud huvi — mitte nõusolek

Vastavusmeeskondade esimene viga on püüda rajada juurdlus nõusolekule. Seda ei saa: uuritav isik ei anna vabatahtlikult nõusolekut enda uurimiseks ning nõusolek, mida ei saa vabalt keelduda, on GDPR-i kohaselt kehtetu. Selle asemel tugineb töötlemine ühele kahest alusest:

• Õigustatud huvi (artikkel 6 lõige 1 punkt f) — organisatsiooni tõeline huvi avastada ja ennetada rikkumisi, kaalutud nende isikute õiguste vastu, kelle andmeid töötlete. See kaalumistest tuleks dokumenteerida enne kanali käivitamist.
• Juriidiline kohustus (artikkel 6 lõige 1 punkt c) — kui seadus kohustab teid tegutsema, näiteks kohustus pidada teavituskanalit ja teateid menetleda direktiivi (EL) 2019/1937 alusel, või rahapesu ja finantskuritegevust käsitlevad valdkondlikud reeglid.

Kui teade puudutab isikuandmete eriliike (tervis, ametiühingusse kuulumine, poliitilised vaated, süüteoandmed), vajate lisatingimust artikli 9 või artikli 10 alusel — näiteks et töötlemine on vajalik õigusnõude koostamiseks, esitamiseks või kaitsmiseks. Just seda liiki teadete — ahistamine, diskrimineerimine — puhul kasutatakse kanaleid kõige rohkem.

Süüdistatava juurdepääsuõigus ei tühista teavitaja konfidentsiaalsust

Iga juurdluse teravaim konflikt on see: süüdistatav on samuti andmesubjekt ja võib artikli 15 alusel taotleda juurdepääsu tema kohta hoitavatele isikuandmetele — sealhulgas väidetele. Naiivselt käsitletuna muutub juurdepääsutaotlus viisiks teavitaja paljastamiseks.

Nii ei pea olema. Teavitaja isiku konfidentsiaalsust kaitseb direktiivi (EL) 2019/1937 artikkel 16 ja GDPR ise piirab juurdepääsuõigust, kui see kahjustaks "teiste isikute õigusi ja vabadusi". Praktikas avaldate süüdistatavale väite sisu, kui õiglus seda nõuab, kuid varjate kõik, mis teavitajat tuvastaks — nimed, ametikoha, kuupäevad või üksikasjad, mida vaid konkreetne isik teada saaks. Riiklikud ülevõtmised ja andmekaitseasutused kinnitavad seda: teavitaja isik ei ole miski, mida süüdistataval oleks õigus andmetaotluse kaudu saada.

Võite ka edasi lükata süüdistatava teavitamise sellest, et tema andmeid töödeldakse, artikli 14 lõike 5 alusel, kui teavitamine kahjustaks juurdlust tõsiselt — näiteks hoiatades isikut enne tõendite kindlustamist. See on edasilükkamine, mitte alaline erand: kohustus taastub, kui risk on möödunud.

Andmete minimeerimine ja säilitamine: koguge ja hoidke vaid vajalikku

Juurdlusandmete elutsüklit juhib kaks põhimõtet:

• Võimalikult väheste andmete kogumine (artikkel 5 lõige 1 punkt c) — koguge vaid andmeid, mis on piisavad, asjakohased ja piiratud juurdluse jaoks vajalikuga. Töötaja kogu postkasti kopeerimine "igaks juhuks" on minimeerimise vastand.
• Säilitamise piirang (artikkel 5 lõige 1 punkt e) — hoidke andmeid vaid nii kaua, kui vaja. Direktiivi (EL) 2019/1937 artikkel 18 kinnitab, et teadete andmeid ei säilitata kauem, kui on vajalik ja proportsionaalne.

Praktiline reegel: teated, mis osutuvad põhjendamatuks või ilmselgelt asjakohatuks, tuleks kiiresti kustutada, samas kui tõendatud juhtumeid säilitatakse ajavahemikuks, mis on vajalik õigusnõuete eest kaitsmiseks või seadusjärgse säilituskohustuse täitmiseks — ja seejärel kustutatakse. Kindel, automaatselt rakendatav säilitusgraafik on palju turvalisem kui juhuslik kustutamine.

Millal vajate andmekaitsealast mõjuhinnangut (DPIA)

Teavituskanal töötleb tundlikku teavet tuvastatavate isikute kohta süstemaatiliselt ja sageli kogu tööjõu ulatuses. See profiil ületab tavaliselt artikli 35 künnise andmekaitsealase mõjuhinnangu jaoks — dokumenteeritud analüüsi isikutele avalduvatest riskidest ja neid leevendavatest meetmetest. Enamik andmekaitseasutusi peab teavitussüsteemi DPIA-d oodatuks, mitte valikuliseks, seega koostage see enne käivitamist, mitte pärast intsidenti.

See on sama alustöö, mida vajate kanali enda jaoks. Kui alles kaardistate, kes peab nõudeid täitma ja millised seadusjärgsed tähtajad kehtivad, käsitleb meie juhend ELi rikkumisest teavitajate kaitse direktiivi kohta kohustusi, mis seisavad nende GDPR-i kohustuste kõrval.

Kuidas Vaelo integreerib GDPR-i vastavuse igasse juurdlusse

Vaelo on hallatav rikkumisest teavitamise platvorm, mis on kavandatud nii direktiivi kui ka GDPR-i ümber. Teavitaja isik on kaitstud algusest lõpuni anonüümse kahesuunalise sõnumsidega, nii et uurijad saavad esitada täpsustavaid küsimusi allikat kunagi paljastamata. Juurdepääs igale juhtumile on rollipõhine ja logitud, tõendid on krüpteeritud ning konfigureeritavad säilitusreeglid kustutavad andmed määratud tähtajaks, nii et säilitamise piirangut jõustatakse automaatselt, mitte ei jäeta mälu hooleks. Tulemuseks on juurdlusprotsess, mis on kaitstav mõlema seaduse alusel korraga — saadaval kõigis 24 ELi ametlikus keeles.

Korduma kippuvad küsimused

Mis on õiguslik alus isikuandmete töötlemiseks sisejuurdluses? Peaaegu alati organisatsiooni õigustatud huvi (GDPR artikkel 6 lõige 1 punkt f) või juriidiline kohustus (artikkel 6 lõige 1 punkt c) — näiteks kohustus pidada kanalit direktiivi (EL) 2019/1937 alusel. Teate uurimine ei tohiks tugineda süüdistatava nõusolekule.

Kas süüdistatav pääseb teatele ligi GDPR-i alusel? Tal on juurdepääsuõigus GDPR-i artikli 15 alusel, kuid see ei laiene teavitaja isiku avaldamisele. Direktiivi (EL) 2019/1937 artikkel 16 ja "teiste isikute õiguste ja vabaduste" piirang lubavad varjata teavet, mis teda tuvastaks.

Kas vajame teavituskanali jaoks DPIA-d? Enamikul juhtudel jah. Teavitussüsteem töötleb tundlikke andmeid tuvastatavate isikute kohta, sageli suures mahus, mis tavaliselt ületab GDPR-i artikli 35 künnise — seega on enne kasutuselevõttu oodatud andmekaitsealane mõjuhinnang.

Kui kaua tohime sisejuurdluse andmeid GDPR-i alusel säilitada? Ainult nii kaua, kui see on vajalik ja proportsionaalne (GDPR artikkel 5 lõige 1 punkt e ja direktiivi (EL) 2019/1937 artikkel 18). Teated, mis osutuvad põhjendamatuks või ilmselgelt asjakohatuks, tuleks kiiresti kustutada, mitte vaikimisi säilitada.