BDAR vidaus tyrimuose: teisingas pranešėjo duomenų tvarkymas

BDAR (Reglamentas (ES) 2016/679) nedraudžia jums tirti pranešimo — jis nustato, kaip tai turite daryti. Pranešėjo, kaltinamojo ir galimų liudytojų asmens duomenis tvarkote teisėtu pagrindu (beveik visada teisėtas interesas arba teisinė prievolė), renkate tik tai, ko tyrimui iš tikrųjų reikia, išsaugote pranešėjo tapatybės konfidencialumą ir ištrinate duomenis, kai jų nebereikia. Klaida čia nėra formalumas: ji gali paversti teisėtą tyrimą savarankišku duomenų apsaugos pažeidimu.

Pagrindinės išvados

• BDAR leidžia vidaus tyrimus — teisinis pagrindas paprastai yra teisėtas interesas (6 straipsnio 1 dalies f punktas) arba teisinė prievolė (6 straipsnio 1 dalies c punktas), o ne kaltinamojo sutikimas.
• Kaltinamasis turi teisę susipažinti (15 straipsnis), tačiau ji jam nesuteikia teisės sužinoti pranešėjo tapatybę — Direktyvos (ES) 2019/1937 16 straipsnis ir "kitų asmenų teisių ir laisvių" apribojimas saugo pranešėją.
• Galite atidėti kaltinamojo informavimą apie jo duomenų tvarkymą, kai tai keltų grėsmę tyrimui (14 straipsnio 5 dalis).
• Taikykite duomenų kiekio mažinimą (5 straipsnio 1 dalies c punktas) ir saugojimo trukmės ribojimą (5 straipsnio 1 dalies e punktas) — rinkite tik svarbius duomenis ir ištrinkite juos užbaigę bylą.
• Pranešimų kanalui beveik visada reikia poveikio duomenų apsaugai vertinimo (35 straipsnis) prieš pradedant veikti.

Teisinis pagrindas yra teisėtas interesas — ne sutikimas

Pirmoji atitikties komandų klaida — bandymas grįsti tyrimą sutikimu. To padaryti negalima: tiriamas asmuo laisvai nesutiks būti tiriamas, o sutikimas, kurio negalima laisvai atsisakyti, pagal BDAR negalioja. Vietoj to tvarkymas remiasi vienu iš dviejų pagrindų:

• Teisėtas interesas (6 straipsnio 1 dalies f punktas) — tikras organizacijos interesas nustatyti ir užkirsti kelią pažeidimams, palygintas su asmenų, kurių duomenis tvarkote, teisėmis. Šį pusiausvyros testą reikia dokumentuoti prieš pradedant veikti kanalui.
• Teisinė prievolė (6 straipsnio 1 dalies c punktas) — kai įstatymas įpareigoja jus veikti, pavyzdžiui, pareiga administruoti pranešimų kanalą ir imtis tolesnių veiksmų dėl pranešimų pagal Direktyvą (ES) 2019/1937, arba sektoriaus taisyklės dėl pinigų plovimo ir finansinių nusikaltimų.

Jei pranešimas susijęs su specialių kategorijų duomenimis (sveikata, narystė profesinėje sąjungoje, politinės pažiūros, duomenys apie nusikalstamas veikas), jums reikia papildomos sąlygos pagal 9 straipsnį arba 10 straipsnį — pavyzdžiui, kad tvarkymas būtinas teisiniams reikalavimams pareikšti, vykdyti ar apginti. Būtent tokio pobūdžio pranešimuose — priekabiavimas, diskriminacija — kanalai naudojami dažniausiai.

Kaltinamojo teisė susipažinti nepanaikina pranešėjo konfidencialumo

Aštriausias konfliktas bet kuriame tyrime yra toks: kaltinamasis taip pat yra duomenų subjektas ir pagal 15 straipsnį gali prašyti susipažinti su apie jį saugomais asmens duomenimis — įskaitant teiginius. Naiviai tvarkomas prašymas susipažinti tampa būdu demaskuoti pranešėją.

Taip būti neprivalo. Pranešėjo tapatybės konfidencialumą saugo Direktyvos (ES) 2019/1937 16 straipsnis, o pats BDAR riboja teisę susipažinti, kai ji nepalankiai paveiktų "kitų asmenų teises ir laisves". Praktiškai kaltinamajam atskleidžiate teiginio esmę, kai to reikalauja teisingumas, tačiau paslepiate viską, kas identifikuotų pranešėją — vardus, pareigas, datas ar detales, kurias galėtų žinoti tik konkretus asmuo. Nacionalinis perkėlimas ir duomenų apsaugos institucijos tai patvirtina: pranešėjo tapatybė nėra tai, ką kaltinamasis turėtų teisę gauti pateikdamas prašymą dėl duomenų.

Taip pat galite atidėti kaltinamojo informavimą, kad jo duomenys tvarkomi, pagal 14 straipsnio 5 dalį, kai pranešimas rimtai pakenktų tyrimui — pavyzdžiui, įspėjant asmenį prieš užtikrinant įrodymus. Tai atidėjimas, o ne nuolatinė išimtis: prievolė atgyja, kai rizika praeina.

Kiekio mažinimas ir saugojimas: rinkite ir saugokite tik tai, ko reikia

Tyrimo duomenų gyvavimo ciklą valdo du principai:

• Duomenų kiekio mažinimas (5 straipsnio 1 dalies c punktas) — rinkite tik duomenis, kurie yra adekvatūs, svarbūs ir apriboti tuo, ko reikalauja tyrimas. Visos darbuotojo pašto dėžutės kopijavimas "dėl viso pikto" yra kiekio mažinimo priešingybė.
• Saugojimo trukmės ribojimas (5 straipsnio 1 dalies e punktas) — saugokite duomenis tik tiek, kiek reikia. Direktyvos (ES) 2019/1937 18 straipsnis patvirtina, kad pranešimų įrašai saugomi ne ilgiau, nei būtina ir proporcinga.

Praktinė taisyklė: pranešimus, kurie pasirodo esą nepagrįsti ar akivaizdžiai nereikšmingi, reikia nedelsiant ištrinti, o pagrįstos bylos saugomos tiek, kiek reikia gynybai nuo teisinių reikalavimų ar teisės aktų nustatytos saugojimo pareigos vykdymui — ir tada ištrinamos. Nustatytas, automatiškai taikomas saugojimo grafikas yra kur kas saugesnis nei atsitiktinis trynimas.

Kada jums reikia poveikio duomenų apsaugai vertinimo (PDAV)

Pranešimų kanalas sistemingai ir dažnai visos darbo jėgos mastu tvarko neskelbtiną informaciją apie identifikuojamus asmenis. Šis profilis paprastai pasiekia 35 straipsnio ribą poveikio duomenų apsaugai vertinimui — dokumentuotai rizikos asmenims ir ją mažinančių priemonių analizei. Dauguma duomenų apsaugos institucijų PDAV pranešimų sistemai laiko tikėtinu, o ne pasirenkamu, todėl parenkite jį prieš paleidimą, o ne po incidento.

Tai tas pats parengiamasis darbas, kurio reikia pačiam kanalui. Jei vis dar nustatote, kas privalo laikytis reikalavimų ir kokie teisiniai terminai galioja, mūsų vadovas apie ES pranešėjų apsaugos direktyvą apima pareigas, kurios stovi šalia šių BDAR pareigų.

Kaip Vaelo įdiegia BDAR atitiktį į kiekvieną tyrimą

Vaelo yra prižiūrima pranešimų platforma, sukurta remiantis ir Direktyva, ir BDAR. Pranešėjo tapatybė apsaugota nuo pradžios iki pabaigos anoniminiais dvipusiais pranešimais, todėl tyrėjai gali užduoti papildomus klausimus niekada neatskleisdami šaltinio. Prieiga prie kiekvienos bylos grindžiama vaidmenimis ir registruojama, įrodymai užšifruoti, o konfigūruojamos saugojimo taisyklės ištrina duomenis nustatytu terminu, todėl saugojimo trukmės ribojimas taikomas automatiškai, o ne paliekamas atminčiai. Rezultatas — tyrimo darbo eiga, kurią galima apginti pagal abu įstatymus vienu metu — prieinama visomis 24 oficialiomis ES kalbomis.

Dažnai užduodami klausimai

Koks yra teisinis pagrindas tvarkyti asmens duomenis vidaus tyrime? Beveik visada teisėtas organizacijos interesas (BDAR 6 straipsnio 1 dalies f punktas) arba teisinė prievolė (6 straipsnio 1 dalies c punktas) — pavyzdžiui, pareiga administruoti kanalą pagal Direktyvą (ES) 2019/1937. Pranešimo tyrimas neturėtų remtis kaltinamojo sutikimu.

Ar kaltinamasis gali susipažinti su pranešimu pagal BDAR? Jis turi teisę susipažinti pagal BDAR 15 straipsnį, tačiau ji neapima pranešėjo tapatybės atskleidimo. Direktyvos (ES) 2019/1937 16 straipsnis ir "kitų asmenų teisių ir laisvių" apribojimas leidžia paslėpti informaciją, kuri jį identifikuotų.

Ar mums reikia PDAV pranešimų kanalui? Daugeliu atvejų taip. Pranešimų sistema tvarko neskelbtinus identifikuojamų asmenų duomenis, dažnai dideliu mastu, o tai paprastai pasiekia BDAR 35 straipsnio ribą — todėl prieš pradedant veikti tikimasi poveikio duomenų apsaugai vertinimo.

Kiek laiko galime saugoti vidaus tyrimo duomenis pagal BDAR? Tik tiek, kiek būtina ir proporcinga (BDAR 5 straipsnio 1 dalies e punktas ir Direktyvos (ES) 2019/1937 18 straipsnis). Duomenys iš pranešimų, kurie pasirodo esą nepagrįsti ar akivaizdžiai nereikšmingi, turėtų būti nedelsiant ištrinti, o ne saugomi pagal numatytuosius nustatymus.