GDPR a belső vizsgálatokban: a bejelentő adatainak helyes kezelése

A GDPR ((EU) 2016/679 rendelet) nem tiltja meg, hogy kivizsgáljon egy bejelentést — azt határozza meg, hogyan kell tennie. A bejelentő, a bejelentett személy és az esetleges tanúk személyes adatait jogalapon kezeli (szinte mindig jogos érdek vagy jogi kötelezettség), csak azt gyűjti, amire a vizsgálatnak ténylegesen szüksége van, a bejelentő kilétét bizalmasan kezeli, és törli az adatokat, amint már nincs rájuk szükség. Az itteni hiba nem formaság: önmagában adatvédelmi incidenssé teheti a jogszerű vizsgálatot.

Legfontosabb tudnivalók

• A GDPR megengedi a belső vizsgálatokat — a jogalap rendszerint a jogos érdek (6. cikk (1) bekezdés f) pont) vagy egy jogi kötelezettség (6. cikk (1) bekezdés c) pont), nem a bejelentett személy hozzájárulása.
• A bejelentett személynek van hozzáférési joga (15. cikk), de ez nem jogosítja fel arra, hogy megtudja a bejelentő kilétét — az (EU) 2019/1937 irányelv 16. cikke és a "mások jogai és szabadságai" korlátozás védi a bejelentőt.
• Elhalaszthatja a bejelentett személy tájékoztatását adatai kezeléséről, ha az veszélyeztetné a vizsgálatot (14. cikk (5) bekezdés).
• Alkalmazza az adattakarékosságot (5. cikk (1) bekezdés c) pont) és a korlátozott tárolhatóságot (5. cikk (1) bekezdés e) pont) — csak releváns adatot gyűjtsön, és az ügy lezárásakor törölje.
• Egy bejelentési csatorna szinte mindig adatvédelmi hatásvizsgálatot (35. cikk) igényel az éles indulás előtt.

A jogalap a jogos érdek — nem a hozzájárulás

A megfelelési csapatok első hibája, hogy a vizsgálatot hozzájárulásra próbálják alapozni. Ez nem lehetséges: a vizsgált személy nem fog szabadon hozzájárulni ahhoz, hogy vizsgálják, és az a hozzájárulás, amelyet nem lehet szabadon megtagadni, a GDPR szerint érvénytelen. Az adatkezelés ehelyett két jogalap egyikén nyugszik:

• Jogos érdek (6. cikk (1) bekezdés f) pont) — a szervezet valódi érdeke a visszaélések feltárásában és megelőzésében, mérlegelve azon személyek jogaival, akiknek az adatait kezeli. Ezt az érdekmérlegelési tesztet a csatorna elindítása előtt dokumentálni kell.
• Jogi kötelezettség (6. cikk (1) bekezdés c) pont) — amikor egy jogszabály cselekvésre kötelezi, például a csatorna működtetésének és a bejelentések nyomon követésének kötelezettsége az (EU) 2019/1937 irányelv alapján, vagy a pénzmosásra és a pénzügyi bűnözésre vonatkozó ágazati szabályok.

Ha egy bejelentés különleges adatkategóriákat érint (egészség, szakszervezeti tagság, politikai vélemény, bűncselekményekre vonatkozó adatok), további feltételre van szüksége a 9. cikk vagy a 10. cikk alapján — például hogy az adatkezelés jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez szükséges. Éppen az ilyen bejelentéseknél — zaklatás, hátrányos megkülönböztetés — használják legtöbbet a csatornákat.

A bejelentett hozzáférési joga nem írja felül a bejelentő bizalmasságát

A legélesebb konfliktus minden vizsgálatban ez: a bejelentett személy is érintett, és a 15. cikk alapján hozzáférést kérhet a róla tárolt személyes adatokhoz — beleértve az állításokat is. Naivan kezelve egy hozzáférési kérelem a bejelentő leleplezésének eszközévé válik.

Ennek nem kell így lennie. A bejelentő kilétének bizalmasságát az (EU) 2019/1937 irányelv 16. cikke védi, és maga a GDPR is korlátozza a hozzáférési jogot, ha az hátrányosan érintené "mások jogait és szabadságait" — ezt a korlátozást közvetlenül tárgyalja az EAB 01/2022. sz. iránymutatása a hozzáférési jogról. A gyakorlatban a bejelentett személlyel közli az állítás lényegét, ahol a méltányosság megköveteli, de kitakar mindent, ami azonosítaná a bejelentőt — neveket, beosztást, dátumokat vagy olyan részleteket, amelyeket csak egy konkrét személy tudhat. A nemzeti átültetések és az adatvédelmi hatóságok ezt megerősítik: a bejelentő kiléte nem olyasmi, amelyhez a bejelentett személynek adatkérelem útján joga lenne.

Ezenkívül a 14. cikk (5) bekezdése alapján elhalaszthatja a bejelentett személy tájékoztatását arról, hogy adatait kezelik, ha az értesítés súlyosan hátráltatná a vizsgálatot — például az érintett figyelmeztetésével, mielőtt a bizonyítékokat biztosítanák. Ez halasztás, nem állandó mentesség: a kötelezettség újraéled, amint a kockázat megszűnt.

Adattakarékosság és megőrzés: csak a szükségeset gyűjtse és tartsa meg

Két elv szabályozza a vizsgálati adatok életciklusát:

• Adattakarékosság (5. cikk (1) bekezdés c) pont) — csak olyan adatot gyűjtsön, amely megfelelő, releváns és a vizsgálathoz szükségesre korlátozódik. Egy munkavállaló teljes postafiókjának "biztos, ami biztos" alapon való lemásolása az adattakarékosság ellentéte.
• Korlátozott tárolhatóság (5. cikk (1) bekezdés e) pont) — az adatokat csak a szükséges ideig őrizze. Az (EU) 2019/1937 irányelv 18. cikke megerősíti, hogy a bejelentések nyilvántartásait nem őrzik a szükségesnél és arányosnál hosszabb ideig.

A gyakorlati szabály: az alaptalannak vagy nyilvánvalóan irrelevánsnak bizonyuló bejelentéseket haladéktalanul törölni kell, míg a megalapozott ügyeket a jogi igényekkel szembeni védekezéshez vagy a törvényes megőrzési kötelezettség teljesítéséhez szükséges ideig őrzik meg — majd törlik. Egy meghatározott, automatikusan alkalmazott megőrzési ütemterv sokkal biztonságosabb, mint az eseti törlés.

Mikor van szüksége adatvédelmi hatásvizsgálatra (DPIA)

Egy bejelentési csatorna érzékeny információt kezel azonosítható személyekről, rendszerszinten és gyakran az egész munkaerő vonatkozásában. Ez a profil rendszerint eléri a 35. cikk szerinti küszöböt az adatvédelmi hatásvizsgálathoz — a személyeket érintő kockázatok és az azokat mérséklő intézkedések dokumentált elemzéséhez. A legtöbb adatvédelmi hatóság a bejelentési rendszer DPIA-ját elvártnak, nem pedig opcionálisnak tekinti, ezért az indulás előtt készítse el, ne egy incidens után.

Ez ugyanaz az alapozó munka, amelyre magához a csatornához szüksége van. Ha még azt térképezi fel, kinek kell megfelelnie és milyen törvényes határidők vonatkoznak rá, az EU visszaélés-bejelentési irányelvéről szóló útmutatónk lefedi azokat a kötelezettségeket, amelyek e GDPR-kötelezettségek mellett állnak.

Hogyan teszi a Vaelo jelentéktelen eseménnyé az adatkérelmet

Attól a pillanattól kezdve, hogy a bejelentett személy él a 15. cikk szerinti hozzáférési jogával, a legtöbb szervezetnél a kockázat manuális: valakinek emlékeznie kell arra, hogy az anyag kiküldése előtt eltávolítson minden olyan részletet, amely a bejelentőre utalna. A Vaelo ügykezelő felülete strukturálissá teszi ezt a lépést ahelyett, hogy memóriatesztté válna — a vizsgálók az ügyanyag kitakart másolatát exportálják, amelyben a bejelentőt azonosító mezők automatikusan el vannak takarva, így az adatkérelemre adott válasz sosem válik azzá a pillanattá, amikor egy bejelentő lelepleződik. Az anonim, kétirányú üzenetküldés az első üzenettől kezdve távol tartja a bejelentő kilétét az ügyfeljegyzésektől, a szerepköralapú és naplózott hozzáférés pedig korlátozza, ki láthatja egyáltalán a kitakaratlan verziót. Az eredmény egy olyan vizsgálati folyamat, amely mindkét jogszabály szerint egyszerre megvédhető — az EU mind a 24 hivatalos nyelvén elérhető.

Gyakran ismételt kérdések

Mi a jogalap a személyes adatok kezeléséhez egy belső vizsgálatban? Szinte mindig a szervezet jogos érdeke (a GDPR 6. cikk (1) bekezdés f) pontja) vagy jogi kötelezettség (6. cikk (1) bekezdés c) pontja) — például a csatorna működtetésének kötelezettsége az (EU) 2019/1937 irányelv alapján. A bejelentés kivizsgálása nem alapulhat a bejelentett személy hozzájárulásán.

Hozzáférhet a bejelentett személy a bejelentéshez a GDPR alapján? Van hozzáférési joga a GDPR 15. cikke alapján, de ez nem terjed ki a bejelentő kilétének felfedésére. Az (EU) 2019/1937 irányelv 16. cikke és a "mások jogai és szabadságai" korlátozás lehetővé teszi az őt azonosító információk kitakarását.

Szükségünk van hatásvizsgálatra egy bejelentési csatornához? A legtöbb esetben igen. A bejelentési rendszer érzékeny adatokat kezel azonosítható személyekről, gyakran nagy léptékben, ami rendszerint eléri a GDPR 35. cikke szerinti küszöböt — ezért adatvédelmi hatásvizsgálat várható az éles indulás előtt.

Meddig őrizhetjük meg a belső vizsgálat adatait a GDPR szerint? Csak a szükséges és arányos ideig (a GDPR 5. cikk (1) bekezdés e) pontja és az (EU) 2019/1937 irányelv 18. cikke). Az alaptalannak vagy nyilvánvalóan irrelevánsnak bizonyuló bejelentések adatait haladéktalanul törölni kell, nem pedig alapértelmezésként megőrizni.