VDAR iekšējās izmeklēšanās: pareiza ziņotāja datu apstrāde

VDAR (Regula (ES) 2016/679) neaizliedz jums izmeklēt ziņojumu — tā nosaka, kā jums tas jādara. Ziņotāja, apsūdzētās personas un iespējamo liecinieku personas datus jūs apstrādājat uz likumīga pamata (gandrīz vienmēr leģitīmas intereses vai juridisks pienākums), vācat tikai to, kas izmeklēšanai patiešām nepieciešams, saglabājat ziņotāja identitāti konfidenciālu un dzēšat datus, tiklīdz tie vairs nav vajadzīgi. Kļūda šeit nav formalitāte: tā var pārvērst likumīgu izmeklēšanu par datu aizsardzības pārkāpumu pašu par sevi.

Galvenās atziņas

• VDAR pieļauj iekšējas izmeklēšanas — juridiskais pamats parasti ir leģitīmas intereses (6. panta 1. punkta f) apakšpunkts) vai juridisks pienākums (6. panta 1. punkta c) apakšpunkts), nevis apsūdzētās personas piekrišana.
• Apsūdzētajai personai ir piekļuves tiesības (15. pants), taču tās nedod tai tiesības uzzināt ziņotāja identitāti — Direktīvas (ES) 2019/1937 16. pants un "citu personu tiesību un brīvību" ierobežojums aizsargā ziņotāju.
• Jūs varat atlikt apsūdzētās personas informēšanu par tās datu apstrādi, ja tas apdraudētu izmeklēšanu (14. panta 5. punkts).
• Piemērojiet datu minimizēšanu (5. panta 1. punkta c) apakšpunkts) un glabāšanas ierobežojumu (5. panta 1. punkta e) apakšpunkts) — vāciet tikai attiecīgus datus un dzēsiet tos, kad lieta ir slēgta.
• Ziņošanas kanālam gandrīz vienmēr ir nepieciešams novērtējums par ietekmi uz datu aizsardzību (35. pants) pirms darbības uzsākšanas.

Juridiskais pamats ir leģitīmas intereses — nevis piekrišana

Atbilstības komandu pirmā kļūda ir mēģināt izmeklēšanu balstīt uz piekrišanu. Tas nav iespējams: izmeklējamā persona brīvi nepiekritīs tam, ka to izmeklē, un piekrišana, ko nevar brīvi atteikt, saskaņā ar VDAR nav spēkā. Tā vietā apstrāde balstās uz vienu no diviem pamatiem:

• Leģitīmas intereses (6. panta 1. punkta f) apakšpunkts) — organizācijas patiesā interese atklāt un novērst pārkāpumus, līdzsvarota ar to personu tiesībām, kuru datus jūs apstrādājat. Šis līdzsvarošanas tests jādokumentē, pirms kanāls sāk darboties.
• Juridisks pienākums (6. panta 1. punkta c) apakšpunkts) — kad likums uzliek jums pienākumu rīkoties, piemēram, pienākums uzturēt ziņošanas kanālu un veikt ziņojumu izmeklēšanu saskaņā ar Direktīvu (ES) 2019/1937, vai nozares noteikumi par naudas atmazgāšanu un finanšu noziegumiem.

Ja ziņojums skar īpašu kategoriju datus (veselība, dalība arodbiedrībā, politiskie uzskati, dati par noziedzīgiem nodarījumiem), jums nepieciešams papildu nosacījums saskaņā ar 9. pantu vai 10. pantu — piemēram, ka apstrāde ir nepieciešama juridisku prasību celšanai, īstenošanai vai aizstāvībai. Tieši šāda veida ziņojumos — aizskaršana, diskriminācija — kanālus izmanto visvairāk.

Apsūdzētās personas piekļuves tiesības neatceļ ziņotāja konfidencialitāti

Asākais konflikts jebkurā izmeklēšanā ir šāds: apsūdzētā persona arī ir datu subjekts un saskaņā ar 15. pantu var pieprasīt piekļuvi personas datiem, kurus jūs par to glabājat — tostarp apgalvojumiem. Naivi apstrādāts piekļuves pieprasījums kļūst par veidu, kā atmaskot ziņotāju.

Tam tā nav jābūt. Ziņotāja identitātes konfidencialitāti aizsargā Direktīvas (ES) 2019/1937 16. pants, un pati VDAR ierobežo piekļuves tiesības, ja tās nelabvēlīgi ietekmētu "citu personu tiesības un brīvības" — ierobežojumu, ko tieši aplūko EDAK 01/2022. vadlīnijas par piekļuves tiesībām. Praksē apsūdzētajai personai atklājat apgalvojuma būtību, ja to prasa taisnīgums, taču aizklājat visu, kas identificētu ziņotāju — vārdus, amatu, datumus vai detaļas, ko varētu zināt tikai konkrēta persona. Nacionālās transponēšanas un datu aizsardzības iestādes to apstiprina: ziņotāja identitāte nav kaut kas, ko apsūdzētajai personai būtu tiesības iegūt ar datu pieprasījumu.

Jūs varat arī atlikt apsūdzētās personas informēšanu par to, ka tās dati tiek apstrādāti, saskaņā ar 14. panta 5. punktu, ja paziņojums nopietni kaitētu izmeklēšanai — piemēram, brīdinot attiecīgo personu, pirms ir nodrošināti pierādījumi. Tā ir atlikšana, nevis pastāvīgs izņēmums: pienākums atjaunojas, tiklīdz risks ir pagājis.

Minimizēšana un glabāšana: vāciet un glabājiet tikai nepieciešamo

Divi principi reglamentē izmeklēšanas datu dzīves ciklu:

• Datu minimizēšana (5. panta 1. punkta c) apakšpunkts) — vāciet tikai datus, kas ir adekvāti, attiecīgi un ierobežoti ar to, ko izmeklēšana prasa. Visas darbinieka pastkastes kopēšana "katram gadījumam" ir minimizēšanas pretstats.
• Glabāšanas ierobežojums (5. panta 1. punkta e) apakšpunkts) — glabājiet datus tikai tik ilgi, cik nepieciešams. Direktīvas (ES) 2019/1937 18. pants apstiprina, ka ziņojumu reģistrus neglabā ilgāk, nekā tas ir nepieciešams un samērīgi.

Praktiskais noteikums: ziņojumi, kas izrādās nepamatoti vai acīmredzami nebūtiski, jādzēš nekavējoties, savukārt pamatotas lietas glabā laika posmam, kas nepieciešams aizstāvībai pret juridiskām prasībām vai likumā noteikta glabāšanas pienākuma izpildei — un pēc tam dzēš. Noteikts, automātiski piemērots glabāšanas grafiks ir daudz drošāks nekā neregulāra dzēšana.

Kad jums nepieciešams novērtējums par ietekmi uz datu aizsardzību (NIPN)

Ziņošanas kanāls apstrādā sensitīvu informāciju par identificējamām personām sistemātiski un bieži visā darbaspēkā. Šis profils parasti sasniedz 35. panta slieksni novērtējumam par ietekmi uz datu aizsardzību — dokumentētai analīzei par riskiem personām un pasākumiem, kas tos mazina. Vairums datu aizsardzības iestāžu uzskata NIPN ziņošanas sistēmai par gaidāmu, nevis izvēles iespēju, tāpēc sagatavojiet to pirms palaišanas, nevis pēc incidenta.

Tas ir tas pats pamatdarbs, kas jums nepieciešams pašam kanālam. Ja joprojām kartējat, kam jāievēro prasības un kādi likumā noteiktie termiņi attiecas, mūsu ceļvedis par ES Trauksmes celšanas direktīvu aptver pienākumus, kas stāv līdzās šiem VDAR pienākumiem.

Kā Vaelo padara piekļuves pieprasījumu par nenozīmīgu notikumu

Brīdī, kad apsūdzētā persona izmanto savas 15. panta piekļuves tiesības, risks lielākajā daļā organizāciju ir manuāls: kādam ir jāatceras pirms lietas nosūtīšanas izņemt katru detaļu, kas norādītu uz ziņotāju. Vaelo lietu darbvieta padara šo soli strukturālu, nevis atmiņas pārbaudi — izmeklētāji eksportē rediģētu lietas kopiju, kurā ziņotāju identificējošie lauki tiek automātiski maskēti, tāpēc atbildēšana uz piekļuves pieprasījumu nekad nekļūst par brīdi, kad ziņotājs tiek atmaskots. Anonīma divvirzienu ziņojumapmaiņa no pirmā ziņojuma notur ziņotāja identitāti ārpus lietas piezīmēm, un uz lomām balstīta, reģistrēta piekļuve ierobežo, kas vispār var redzēt nerediģēto versiju. Rezultāts ir izmeklēšanas darbplūsma, kas ir aizstāvama saskaņā ar abiem likumiem vienlaikus — pieejama visās 24 ES oficiālajās valodās.

Biežāk uzdotie jautājumi

Kāds ir juridiskais pamats personas datu apstrādei iekšējā izmeklēšanā? Gandrīz vienmēr organizācijas leģitīmās intereses (VDAR 6. panta 1. punkta f) apakšpunkts) vai juridisks pienākums (6. panta 1. punkta c) apakšpunkts) — piemēram, pienākums uzturēt kanālu saskaņā ar Direktīvu (ES) 2019/1937. Ziņojuma izmeklēšana nedrīkstētu balstīties uz apsūdzētās personas piekrišanu.

Vai apsūdzētā persona var piekļūt ziņojumam saskaņā ar VDAR? Tai ir piekļuves tiesības saskaņā ar VDAR 15. pantu, taču tās neaptver ziņotāja identitātes atklāšanu. Direktīvas (ES) 2019/1937 16. pants un "citu personu tiesību un brīvību" ierobežojums ļauj aizklāt informāciju, kas viņu identificētu.

Vai mums vajadzīgs NIPN ziņošanas kanālam? Vairumā gadījumu jā. Ziņošanas sistēma apstrādā sensitīvus datus par identificējamām personām, bieži plašā mērogā, kas parasti sasniedz VDAR 35. panta slieksni — tāpēc pirms darbības uzsākšanas tiek gaidīts novērtējums par ietekmi uz datu aizsardzību.

Cik ilgi mēs varam glabāt iekšējās izmeklēšanas datus saskaņā ar VDAR? Tikai tik ilgi, cik nepieciešams un samērīgi (VDAR 5. panta 1. punkta e) apakšpunkts un Direktīvas (ES) 2019/1937 18. pants). Dati no ziņojumiem, kas izrādās nepamatoti vai acīmredzami nebūtiski, jādzēš nekavējoties, nevis jāglabā pēc noklusējuma.