GDPR sisäisissä tutkinnoissa: ilmoittajan tietojen oikea käsittely

GDPR (asetus (EU) 2016/679) ei estä sinua tutkimasta ilmoitusta — se määrittää, miten se on tehtävä. Käsittelet ilmoittajan, epäillyn ja mahdollisten todistajien henkilötietoja oikeusperusteella (lähes aina oikeutettu etu tai lakisääteinen velvoite), keräät vain sen, mitä tutkinta todella tarvitsee, pidät ilmoittajan henkilöllisyyden luottamuksellisena ja poistat tiedot heti, kun niitä ei enää tarvita. Virhe tässä ei ole muodollisuus: se voi tehdä laillisesta tutkinnasta itsessään tietosuojaloukkauksen.

Keskeiset huomiot

• GDPR sallii sisäiset tutkinnat — oikeusperuste on yleensä oikeutettu etu (6 artiklan 1 kohdan f alakohta) tai lakisääteinen velvoite (6 artiklan 1 kohdan c alakohta), ei epäillyn suostumus.
• Epäillyllä on tarkastusoikeus (15 artikla), mutta se ei anna hänelle oikeutta saada tietää ilmoittajan henkilöllisyyttä — direktiivin (EU) 2019/1937 16 artikla ja "muiden oikeuksia ja vapauksia" koskeva rajoitus suojaavat ilmoittajaa.
• Voit lykätä epäillyn informointia hänen tietojensa käsittelystä, kun se vaarantaisi tutkinnan (14 artiklan 5 kohta).
• Sovella tietojen minimointia (5 artiklan 1 kohdan c alakohta) ja säilytyksen rajoittamista (5 artiklan 1 kohdan e alakohta) — kerää vain olennaisia tietoja ja poista ne tapauksen päättyessä.
• Ilmoituskanava edellyttää lähes aina tietosuojaa koskevaa vaikutustenarviointia (35 artikla) ennen käyttöönottoa.

Oikeusperuste on oikeutettu etu — ei suostumus

Compliance-tiimien ensimmäinen virhe on yrittää perustaa tutkinta suostumukseen. Se ei käy: tutkinnan kohde ei anna vapaaehtoista suostumusta tutkittavaksi joutumiseen, ja suostumus, jota ei voi vapaasti kieltäytyä antamasta, on GDPR:n mukaan pätemätön. Sen sijaan käsittely nojaa yhteen kahdesta perusteesta:

• Oikeutettu etu (6 artiklan 1 kohdan f alakohta) — organisaation todellinen etu havaita ja estää väärinkäytöksiä, punnittuna niiden henkilöiden oikeuksia vastaan, joiden tietoja käsittelet. Tämä tasapainotesti tulisi dokumentoida ennen kanavan käyttöönottoa.
• Lakisääteinen velvoite (6 artiklan 1 kohdan c alakohta) — kun laki velvoittaa sinut toimimaan, kuten velvollisuus ylläpitää ilmoituskanavaa ja käsitellä ilmoituksia direktiivin (EU) 2019/1937 nojalla, tai rahanpesua ja talousrikollisuutta koskevat alakohtaiset säännöt.

Jos ilmoitus koskee erityisiä henkilötietoryhmiä (terveys, ammattiliiton jäsenyys, poliittiset mielipiteet, rikoksia koskevat tiedot), tarvitset lisäedellytyksen 9 artiklan tai 10 artiklan nojalla — esimerkiksi että käsittely on tarpeen oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi. Juuri tällaisissa ilmoituksissa — häirintä, syrjintä — kanavia käytetään eniten.

Epäillyn tarkastusoikeus ei kumoa ilmoittajan luottamuksellisuutta

Jokaisen tutkinnan terävin ristiriita on tämä: myös epäilty on rekisteröity ja voi 15 artiklan nojalla pyytää pääsyä häntä koskeviin henkilötietoihin — mukaan lukien väitteet. Naiivisti käsiteltynä tarkastuspyynnöstä tulee tapa paljastaa ilmoittaja.

Näin ei tarvitse olla. Ilmoittajan henkilöllisyyden luottamuksellisuutta suojaa direktiivin (EU) 2019/1937 16 artikla, ja GDPR itse rajoittaa tarkastusoikeutta silloin, kun se vaikuttaisi haitallisesti "muiden oikeuksiin ja vapauksiin". Käytännössä paljastat epäillylle väitteen ytimen, kun oikeudenmukaisuus sitä edellyttää, mutta peität kaiken, mikä tunnistaisi ilmoittajan — nimet, roolin, päivämäärät tai yksityiskohdat, jotka vain tietty henkilö voisi tietää. Kansalliset täytäntöönpanot ja tietosuojaviranomaiset vahvistavat tämän: ilmoittajan henkilöllisyys ei ole jotain, johon epäillyllä olisi oikeus tietopyynnön kautta.

Voit myös lykätä epäillyn informointia siitä, että hänen tietojaan käsitellään, 14 artiklan 5 kohdan nojalla, kun ilmoittaminen haittaisi vakavasti tutkintaa — esimerkiksi varoittamalla kohdetta ennen kuin todisteet on turvattu. Kyse on lykkäyksestä, ei pysyvästä poikkeuksesta: velvollisuus herää uudelleen heti, kun riski on ohi.

Minimointi ja säilytys: kerää ja säilytä vain tarpeellinen

Kaksi periaatetta ohjaa tutkintatietojen elinkaarta:

• Tietojen minimointi (5 artiklan 1 kohdan c alakohta) — kerää vain tietoja, jotka ovat asianmukaisia, olennaisia ja rajoitettuja siihen, mitä tutkinta edellyttää. Työntekijän koko postilaatikon kopioiminen "varmuuden vuoksi" on minimoinnin vastakohta.
• Säilytyksen rajoittaminen (5 artiklan 1 kohdan e alakohta) — säilytä tiedot vain niin kauan kuin on tarpeen. Direktiivin (EU) 2019/1937 18 artikla vahvistaa, että ilmoituksia koskevia tietoja ei säilytetä pidempään kuin on tarpeen ja oikeasuhtaista.

Käytännön sääntö: ilmoitukset, jotka osoittautuvat perusteettomiksi tai selvästi merkityksettömiksi, on poistettava viipymättä, kun taas todennetut tapaukset säilytetään sen ajan, joka tarvitaan puolustautumiseen oikeusvaateita vastaan tai lakisääteisen säilytysvelvoitteen täyttämiseen — ja poistetaan sen jälkeen. Määritelty, automaattisesti sovellettava säilytysaikataulu on paljon turvallisempi kuin satunnainen poistaminen.

Milloin tarvitset tietosuojaa koskevan vaikutustenarvioinnin (DPIA)

Ilmoituskanava käsittelee arkaluonteista tietoa tunnistettavista henkilöistä järjestelmällisesti ja usein koko henkilöstön laajuudelta. Tämä profiili ylittää tyypillisesti 35 artiklan kynnyksen tietosuojaa koskevalle vaikutustenarvioinnille — dokumentoidulle analyysille henkilöihin kohdistuvista riskeistä ja niitä lieventävistä toimenpiteistä. Useimmat tietosuojaviranomaiset pitävät ilmoitusjärjestelmän DPIA:ta odotettuna eikä valinnaisena, joten laadi se ennen käyttöönottoa, ei tapahtuman jälkeen.

Se on samaa pohjatyötä, jota tarvitset itse kanavaa varten. Jos vielä kartoitat, kenen on noudatettava sääntöjä ja mitä lakisääteisiä määräaikoja sovelletaan, oppaamme EU:n ilmoittajansuojeludirektiivistä kattaa velvoitteet, jotka ovat näiden GDPR-velvoitteiden rinnalla.

Miten Vaelo rakentaa GDPR-vaatimustenmukaisuuden jokaiseen tutkintaan

Vaelo on isännöity ilmoituskanava-alusta, joka on suunniteltu sekä direktiivin että GDPR:n ympärille. Ilmoittajan henkilöllisyys on suojattu päästä päähän anonyymillä kaksisuuntaisella viestinnällä, joten tutkijat voivat esittää jatkokysymyksiä paljastamatta koskaan lähdettä. Pääsy kuhunkin tapaukseen on roolipohjaista ja lokitettua, todisteet on salattu, ja määritettävät säilytyssäännöt poistavat tiedot määräajassa, joten säilytyksen rajoittaminen pannaan täytäntöön automaattisesti eikä jätetä muistin varaan. Tuloksena on tutkintaprosessi, joka on puolustettavissa molempien lakien nojalla yhtä aikaa — saatavilla kaikilla 24 EU:n virallisella kielellä.

Usein kysytyt kysymykset

Mikä on oikeusperuste henkilötietojen käsittelylle sisäisessä tutkinnassa? Lähes aina organisaation oikeutettu etu (GDPR:n 6 artiklan 1 kohdan f alakohta) tai lakisääteinen velvoite (6 artiklan 1 kohdan c alakohta) — esimerkiksi velvollisuus ylläpitää kanavaa direktiivin (EU) 2019/1937 nojalla. Ilmoitustutkinta ei saisi perustua epäillyn suostumukseen.

Voiko epäilty saada pääsyn ilmoitukseen GDPR:n nojalla? Hänellä on tarkastusoikeus GDPR:n 15 artiklan nojalla, mutta se ei ulotu ilmoittajan henkilöllisyyden paljastamiseen. Direktiivin (EU) 2019/1937 16 artikla ja "muiden oikeuksia ja vapauksia" koskeva rajoitus sallivat peittää tiedot, jotka tunnistaisivat ilmoittajan.

Tarvitsemmeko DPIA:n ilmoituskanavalle? Useimmissa tapauksissa kyllä. Ilmoitusjärjestelmä käsittelee arkaluonteisia tietoja tunnistettavista henkilöistä, usein laajassa mittakaavassa, mikä yleensä ylittää GDPR:n 35 artiklan kynnyksen — siksi tietosuojaa koskeva vaikutustenarviointi odotetaan ennen käyttöönottoa.

Kuinka kauan saamme säilyttää tutkinnan tietoja GDPR:n mukaan? Vain niin kauan kuin on tarpeen ja oikeasuhtaista (GDPR:n 5 artiklan 1 kohdan e alakohta ja direktiivin (EU) 2019/1937 18 artikla). Tiedot ilmoituksista, jotka osoittautuvat perusteettomiksi tai selvästi merkityksettömiksi, on poistettava viipymättä eikä säilytettävä oletuksena.