GDPR nelle indagini interne: trattare correttamente i dati della segnalazione

Il GDPR (Regolamento (UE) 2016/679) non ti vieta di indagare su una segnalazione — ne definisce le modalità. Tratti i dati personali del segnalante, del segnalato e di eventuali testimoni su una base giuridica (quasi sempre il legittimo interesse o un obbligo legale), raccogli solo ciò di cui l'indagine ha realmente bisogno, mantieni riservata l'identità del segnalante ed elimini i dati non appena non sono più necessari. Sbagliare qui non è un dettaglio: può trasformare un'indagine legittima in una violazione dei dati a sé stante.

Punti chiave

• Il GDPR consente le indagini interne — la base giuridica è di norma il legittimo interesse (articolo 6, paragrafo 1, lettera f) o un obbligo legale (articolo 6, paragrafo 1, lettera c), non il consenso del segnalato.
• Il segnalato ha un diritto di accesso (articolo 15), che però non gli dà il diritto di conoscere l'identità del segnalante — l'articolo 16 della Direttiva (UE) 2019/1937 e il limite dei "diritti e delle libertà altrui" tutelano il segnalante.
• Puoi posticipare l'informazione al segnalato sul trattamento dei suoi dati quando ciò comprometterebbe l'indagine (articolo 14, paragrafo 5).
• Applica la minimizzazione dei dati (articolo 5, paragrafo 1, lettera c) e la limitazione della conservazione (articolo 5, paragrafo 1, lettera e) — raccogli solo dati pertinenti ed eliminali alla chiusura del caso.
• Un canale di segnalazione richiede quasi sempre una valutazione d'impatto sulla protezione dei dati (articolo 35) prima dell'avvio.

La base giuridica è il legittimo interesse — non il consenso

Il primo errore dei team di compliance è cercare di fondare un'indagine sul consenso. Non è possibile: la persona indagata non presterà liberamente il consenso a essere indagata, e un consenso che non può essere liberamente rifiutato è invalido ai sensi del GDPR. Il trattamento si fonda invece su una di due basi:

• Legittimo interesse (articolo 6, paragrafo 1, lettera f) — l'interesse genuino dell'organizzazione a individuare e prevenire illeciti, bilanciato con i diritti delle persone di cui tratti i dati. Questo test di bilanciamento va documentato prima che il canale entri in funzione.
• Obbligo legale (articolo 6, paragrafo 1, lettera c) — quando una legge ti impone di agire, come l'obbligo di gestire un canale di segnalazione e di darvi seguito ai sensi della Direttiva (UE) 2019/1937, o le regole settoriali su antiriciclaggio e criminalità finanziaria.

Se una segnalazione riguarda categorie particolari di dati (salute, appartenenza sindacale, opinioni politiche, dati relativi a reati), ti serve una condizione aggiuntiva ai sensi dell'articolo 9 o dell'articolo 10 — ad esempio che il trattamento sia necessario per accertare, esercitare o difendere un diritto in sede giudiziaria. È proprio questo il tipo di segnalazione — molestie, discriminazioni — in cui i canali sono più utilizzati.

Il diritto di accesso del segnalato non annulla la riservatezza del segnalante

Il conflitto più netto in ogni indagine è questo: anche il segnalato è un interessato e, ai sensi dell'articolo 15, può chiedere l'accesso ai dati personali che conservi su di lui — comprese le accuse. Gestita con ingenuità, una richiesta di accesso diventa un modo per smascherare il segnalante.

Non deve andare così. La riservatezza dell'identità del segnalante è tutelata dall'articolo 16 della Direttiva (UE) 2019/1937, e lo stesso GDPR limita il diritto di accesso ove ledesse i "diritti e le libertà altrui" — una limitazione che le Linee guida 01/2022 dell'EDPB sul diritto di accesso affrontano direttamente. In pratica, comunichi al segnalato la sostanza dell'accusa quando l'equità lo richiede, ma oscuri tutto ciò che identificherebbe il segnalante — nomi, ruolo, date o dettagli che solo una persona specifica potrebbe conoscere. Le trasposizioni nazionali e le autorità per la protezione dei dati lo confermano: l'identità del segnalante non è qualcosa che il segnalato abbia diritto di ottenere tramite una richiesta di dati.

Puoi anche posticipare l'informazione al segnalato sul trattamento dei suoi dati, ai sensi dell'articolo 14, paragrafo 5, quando la notifica comprometterebbe gravemente l'indagine — ad esempio allertando l'interessato prima che le prove siano acquisite. Si tratta di un rinvio, non di un'esenzione permanente: l'obbligo rivive una volta cessato il rischio.

Minimizzazione e conservazione: raccogliere e conservare solo il necessario

Due principi governano il ciclo di vita dei dati di un'indagine:

• Minimizzazione dei dati (articolo 5, paragrafo 1, lettera c) — raccogli solo dati adeguati, pertinenti e limitati a quanto l'indagine richiede. Copiare in blocco l'intera casella di posta di un dipendente "per sicurezza" è l'opposto della minimizzazione.
• Limitazione della conservazione (articolo 5, paragrafo 1, lettera e) — conserva i dati solo per il tempo necessario. L'articolo 18 della Direttiva (UE) 2019/1937 ribadisce che le registrazioni delle segnalazioni non sono conservate più a lungo del necessario e proporzionato.

La regola pratica: le segnalazioni che si rivelano infondate o manifestamente irrilevanti vanno eliminate tempestivamente, mentre i casi comprovati sono conservati per il periodo necessario a difendersi in giudizio o ad adempiere un obbligo legale di conservazione — e poi eliminati. Un calendario di conservazione definito e applicato automaticamente è molto più sicuro di una cancellazione estemporanea.

Quando serve una valutazione d'impatto (DPIA)

Un canale di segnalazione tratta informazioni sensibili su persone identificabili, in modo sistematico e spesso sull'intera forza lavoro. Questo profilo raggiunge di norma la soglia dell'articolo 35 per una valutazione d'impatto sulla protezione dei dati — un'analisi documentata dei rischi per le persone e delle misure che li mitigano. La maggior parte delle autorità per la protezione dei dati considera la DPIA per un sistema di whistleblowing come attesa e non facoltativa, quindi predisponila prima del lancio, non dopo un incidente.

È lo stesso lavoro preliminare che ti serve per il canale stesso. Se stai ancora mappando chi deve conformarsi e le scadenze legali coinvolte, la nostra guida alla Direttiva UE sul whistleblowing illustra gli obblighi che accompagnano questi doveri del GDPR.

Come Vaelo trasforma una richiesta di accesso in un non-evento

Nel momento in cui il segnalato esercita il proprio diritto di accesso ai sensi dell'articolo 15, il rischio nella maggior parte delle organizzazioni è manuale: qualcuno deve ricordarsi di rimuovere ogni dettaglio che potrebbe indicare il segnalante prima che il fascicolo esca. Lo spazio di lavoro dei casi di Vaelo rende questo passaggio strutturale anziché un test di memoria — gli investigatori esportano una copia oscurata del fascicolo con i campi identificativi del segnalante mascherati automaticamente, così rispondere a una richiesta di accesso non diventa mai il momento in cui un segnalante viene smascherato. La messaggistica anonima bidirezionale tiene l'identità del segnalante fuori dalle note del caso fin dal primo messaggio, e l'accesso basato sui ruoli e registrato limita chi può persino vedere la versione non oscurata. Il risultato è un flusso di indagine difendibile davanti a entrambe le leggi contemporaneamente — disponibile in tutte le 24 lingue ufficiali dell'UE.

Domande frequenti

Qual è la base giuridica per trattare dati personali in un'indagine interna? Quasi sempre il legittimo interesse dell'organizzazione (articolo 6, paragrafo 1, lettera f, del GDPR) o un obbligo legale (articolo 6, paragrafo 1, lettera c) — ad esempio l'obbligo di gestire un canale ai sensi della Direttiva (UE) 2019/1937. Un'indagine su una segnalazione non dovrebbe basarsi sul consenso del segnalato.

Il segnalato può accedere alla segnalazione secondo il GDPR? Ha un diritto di accesso ai sensi dell'articolo 15 del GDPR, che però non si estende a rivelare l'identità del segnalante. L'articolo 16 della Direttiva (UE) 2019/1937 e il limite dei "diritti e delle libertà altrui" consentono di oscurare le informazioni che lo identificherebbero.

Serve una DPIA per un canale di segnalazione? Nella maggior parte dei casi sì. Un sistema di whistleblowing tratta dati sensibili su persone identificabili, spesso su larga scala, superando di norma la soglia dell'articolo 35 del GDPR — per cui è attesa una valutazione d'impatto sulla protezione dei dati prima dell'avvio.

Per quanto tempo possiamo conservare i dati di un'indagine interna secondo il GDPR? Solo per il tempo necessario e proporzionato (articolo 5, paragrafo 1, lettera e, del GDPR e articolo 18 della Direttiva (UE) 2019/1937). I dati di segnalazioni infondate o manifestamente irrilevanti vanno cancellati tempestivamente, non conservati per impostazione predefinita.