GDPR u internim istragama: pravilno postupanje s podacima prijavitelja

GDPR (Uredba (EU) 2016/679) ne zabranjuje vam istražiti prijavu — određuje kako to morate učiniti. Osobne podatke prijavitelja, prijavljene osobe i eventualnih svjedoka obrađujete na pravnoj osnovi (gotovo uvijek legitimni interes ili pravna obveza), prikupljate samo ono što istraga stvarno treba, čuvate povjerljivost identiteta prijavitelja i brišete podatke čim više nisu potrebni. Pogreška ovdje nije formalnost: ona može zakonitu istragu sama po sebi pretvoriti u povredu podataka.

Ključne poruke

• GDPR dopušta interne istrage — pravna je osnova obično legitimni interes (članak 6. stavak 1. točka (f)) ili pravna obveza (članak 6. stavak 1. točka (c)), a ne privola prijavljene osobe.
• Prijavljena osoba ima pravo pristupa (članak 15.), ali joj ono ne daje pravo da sazna identitet prijavitelja — članak 16. Direktive (EU) 2019/1937 i ograničenje "prava i sloboda drugih osoba" štite prijavitelja.
• Možete odgoditi obavještavanje prijavljene osobe o obradi njezinih podataka kada bi to ugrozilo istragu (članak 14. stavak 5.).
• Primijenite smanjenje količine podataka (članak 5. stavak 1. točka (c)) i ograničenje pohrane (članak 5. stavak 1. točka (e)) — prikupljajte samo relevantne podatke i izbrišite ih po zatvaranju predmeta.
• Kanal za prijave gotovo uvijek zahtijeva procjenu učinka na zaštitu podataka (članak 35.) prije puštanja u rad.

Pravna je osnova legitimni interes — ne privola

Prva pogreška timova za usklađenost jest pokušaj da se istraga temelji na privoli. To nije moguće: osoba koja se istražuje neće slobodno pristati na to da je se istražuje, a privola koja se ne može slobodno odbiti nevaljana je prema GDPR-u. Umjesto toga, obrada počiva na jednoj od dviju osnova:

• Legitimni interes (članak 6. stavak 1. točka (f)) — istinski interes organizacije da otkrije i spriječi nepravilnosti, uravnotežen s pravima osoba čije podatke obrađujete. Taj test odvagivanja treba dokumentirati prije nego što kanal počne raditi.
• Pravna obveza (članak 6. stavak 1. točka (c)) — kada vas zakon obvezuje na postupanje, poput obveze vođenja kanala za prijave i postupanja po prijavama prema Direktivi (EU) 2019/1937, ili sektorskih pravila o pranju novca i financijskom kriminalu.

Ako prijava dotiče posebne kategorije podataka (zdravlje, članstvo u sindikatu, politička mišljenja, podaci o kaznenim djelima), potreban vam je dodatni uvjet prema članku 9. ili članku 10. — primjerice da je obrada nužna za postavljanje, ostvarivanje ili obranu pravnih zahtjeva. Upravo je to vrsta prijave — uznemiravanje, diskriminacija — u kojoj se kanali najviše koriste.

Pravo pristupa prijavljene osobe ne poništava povjerljivost prijavitelja

Najoštriji sukob u svakoj istrazi jest ovaj: i prijavljena osoba ispitanik je te prema članku 15. može zatražiti pristup osobnim podacima koje o njoj čuvate — uključujući ono što se navodi. Ako se njome postupa naivno, zahtjev za pristup postaje način da se razotkrije prijavitelj.

Ne mora biti tako. Povjerljivost identiteta prijavitelja štiti članak 16. Direktive (EU) 2019/1937, a sam GDPR ograničava pravo pristupa kada bi ono negativno utjecalo na "prava i slobode drugih osoba" — ograničenje koje izravno obrađuju Smjernice 01/2022 EOZP-a o pravu na pristup. U praksi prijavljenoj osobi otkrivate bit navoda kada to zahtijeva pravičnost, ali prekrivate sve što bi identificiralo prijavitelja — imena, ulogu, datume ili pojedinosti koje bi mogla znati samo određena osoba. Nacionalne transpozicije i tijela za zaštitu podataka to potvrđuju: identitet prijavitelja nije nešto na što prijavljena osoba ima pravo putem zahtjeva za podatke.

Možete i odgoditi obavještavanje prijavljene osobe o tome da se njezini podaci obrađuju, prema članku 14. stavku 5., kada bi obavijest ozbiljno naštetila istrazi — primjerice upozorenjem ispitanika prije nego što se osiguraju dokazi. Riječ je o odgodi, a ne o trajnom izuzeću: obveza oživljava čim rizik prođe.

Smanjenje količine i pohrana: prikupljajte i čuvajte samo nužno

Dva načela uređuju životni ciklus podataka istrage:

• Smanjenje količine podataka (članak 5. stavak 1. točka (c)) — prikupljajte samo podatke koji su primjereni, relevantni i ograničeni na ono što istraga zahtijeva. Skupno kopiranje cijelog poštanskog sandučića zaposlenika "za svaki slučaj" suprotno je smanjenju.
• Ograničenje pohrane (članak 5. stavak 1. točka (e)) — čuvajte podatke samo onoliko koliko je nužno. Članak 18. Direktive (EU) 2019/1937 potvrđuje da se evidencije prijava ne čuvaju dulje nego što je nužno i razmjerno.

Praktično pravilo: prijave koje se pokažu neosnovanima ili očito nevažnima treba pravodobno izbrisati, dok se potkrijepljeni predmeti čuvaju u razdoblju potrebnom za obranu od pravnih zahtjeva ili ispunjenje zakonske obveze čuvanja — a zatim brišu. Definiran raspored čuvanja, koji se primjenjuje automatski, mnogo je sigurniji od ad hoc brisanja.

Kada vam je potrebna procjena učinka (DPIA)

Kanal za prijave obrađuje osjetljive informacije o odredivim osobama, sustavno i često na razini cijele radne snage. Taj profil obično doseže prag iz članka 35. za procjenu učinka na zaštitu podataka — dokumentiranu analizu rizika za osobe i mjera koje ih ublažavaju. Većina tijela za zaštitu podataka DPIA-u za sustav prijava smatra očekivanom, a ne neobveznom, pa je izradite prije pokretanja, a ne nakon incidenta.

To je isti pripremni posao koji vam treba i za sam kanal. Ako još utvrđujete tko mora biti usklađen i koji zakonski rokovi vrijede, naš vodič o EU Direktivi o zaštiti prijavitelja obrađuje obveze koje idu uz ove dužnosti iz GDPR-a.

Kako Vaelo pretvara zahtjev za pristup u nevažan događaj

U trenutku kada prijavljena osoba ostvari svoje pravo pristupa prema članku 15., rizik je u većini organizacija ručni: netko se mora sjetiti ukloniti svaki detalj koji bi upućivao na prijavitelja prije nego što spis izađe. Radni prostor za predmete tvrtke Vaelo tu korak čini strukturnim umjesto testom pamćenja — istražitelji izvoze prekriženu kopiju spisa u kojoj su polja koja identificiraju prijavitelja automatski maskirana, tako da odgovaranje na zahtjev za pristup nikada ne postane trenutak u kojem se prijavitelj razotkrije. Anonimne dvosmjerne poruke drže identitet prijavitelja izvan bilješki predmeta od prve poruke, a pristup temeljen na ulogama i zabilježen ograničava tko uopće može vidjeti neprekriženu verziju. Rezultat je istražni tijek koji je obranjiv prema obama zakonima istodobno — dostupan na svih 24 službena jezika EU-a.

Često postavljana pitanja

Koja je pravna osnova za obradu osobnih podataka u internoj istrazi? Gotovo uvijek legitimni interes organizacije (članak 6. stavak 1. točka (f) GDPR-a) ili pravna obveza (članak 6. stavak 1. točka (c)) — primjerice obveza vođenja kanala prema Direktivi (EU) 2019/1937. Istraga prijave ne bi se smjela temeljiti na privoli prijavljene osobe.

Može li prijavljena osoba pristupiti prijavi prema GDPR-u? Ima pravo pristupa prema članku 15. GDPR-a, no ono ne obuhvaća otkrivanje identiteta prijavitelja. Članak 16. Direktive (EU) 2019/1937 i ograničenje "prava i sloboda drugih osoba" dopuštaju prekrivanje podataka koji bi ga identificirali.

Trebamo li DPIA za kanal za prijave? U većini slučajeva da. Sustav za prijave obrađuje osjetljive podatke o odredivim osobama, često u velikom opsegu, što obično dosiže prag članka 35. GDPR-a — stoga se prije puštanja u rad očekuje procjena učinka na zaštitu podataka.

Koliko dugo možemo čuvati podatke interne istrage prema GDPR-u? Samo onoliko koliko je nužno i razmjerno (članak 5. stavak 1. točka (e) GDPR-a i članak 18. Direktive (EU) 2019/1937). Podatke iz prijava koje se pokažu neosnovanima ili očito nevažnima treba pravodobno izbrisati, a ne zadano čuvati.