GDPR fl-investigazzjonijiet interni: immaniġġja d-data tal-whistleblower sew

Il-GDPR (Regolament (UE) 2016/679) ma jwaqqfekx milli tinvestiga rapport — jiddefinixxi kif trid tagħmel dan. Tipproċessa d-data personali tar-rapportatur, tal-persuna akkużata u ta' kwalunkwe xhud fuq bażi legali (kważi dejjem interess leġittimu jew obbligu legali), tiġbor biss dak li l-investigazzjoni verament teħtieġ, iżżomm l-identità tar-rapportatur kunfidenzjali, u tħassar id-data ladarba ma tibqax meħtieġa. Li tiżbalja hawn mhuwiex teknikalità: jista' jibdel investigazzjoni leġittima fi ksur tad-data fih innifsu.

Punti ewlenin

• Il-GDPR jippermetti investigazzjonijiet interni — il-bażi legali normalment hija l-interess leġittimu (Artikolu 6(1)(f)) jew obbligu legali (Artikolu 6(1)(c)), mhux il-kunsens tal-persuna akkużata.
• Il-persuna akkużata għandha dritt ta' aċċess (Artikolu 15), iżda dan ma jagħtihiex id-dritt li tkun taf l-identità tar-rapportatur — l-Artikolu 16 tad-Direttiva (UE) 2019/1937 u l-limitu tad-"drittijiet u libertajiet ta' oħrajn" jipproteġu r-rapportatur.
• Tista' tipposponi l-informazzjoni lill-persuna akkużata dwar l-ipproċessar tad-data tagħha meta dan ipoġġi f'periklu l-investigazzjoni (Artikolu 14(5)).
• Applika l-minimizzazzjoni tad-data (Artikolu 5(1)(c)) u l-limitazzjoni tal-ħżin (Artikolu 5(1)(e)) — iġbor biss data rilevanti u ħassarha meta jingħalaq il-każ.
• Kanal ta' rappurtar kważi dejjem jeħtieġ valutazzjoni tal-impatt fuq il-protezzjoni tad-data (Artikolu 35) qabel it-tnedija.

Il-bażi legali hija l-interess leġittimu — mhux il-kunsens

L-ewwel żball tat-timijiet ta' konformità huwa li jippruvaw jibbażaw investigazzjoni fuq il-kunsens. Dan mhuwiex possibbli: il-persuna taħt investigazzjoni mhijiex se tagħti l-kunsens tagħha b'mod liberu biex tiġi investigata, u kunsens li ma jistax jiġi rifjutat b'mod liberu huwa invalidu skont il-GDPR. Minflok, l-ipproċessar jistrieħ fuq waħda minn żewġ bażijiet:

• Interess leġittimu (Artikolu 6(1)(f)) — l-interess ġenwin tal-organizzazzjoni li tikxef u tipprevjeni l-imġiba ħażina, ibbilanċjat mad-drittijiet tal-persuni li d-data tagħhom tipproċessa. Dan it-test tal-ibbilanċjar għandu jiġi dokumentat qabel ma l-kanal jibda jaħdem.
• Obbligu legali (Artikolu 6(1)(c)) — meta liġi tobbligak taġixxi, bħad-dmir li tħaddem kanal ta' rappurtar u ssegwi r-rapporti skont id-Direttiva (UE) 2019/1937, jew ir-regoli settorjali dwar il-ħasil tal-flus u l-kriminalità finanzjarja.

Jekk rapport imiss kategoriji speċjali ta' data (saħħa, sħubija f'trade union, opinjonijiet politiċi, data dwar reati kriminali), teħtieġ kundizzjoni addizzjonali skont l-Artikolu 9 jew l-Artikolu 10 — pereżempju li l-ipproċessar huwa meħtieġ biex jiġu stabbiliti, eżerċitati jew difiżi talbiet legali. Huwa proprju dan it-tip ta' rapport — fastidju, diskriminazzjoni — fejn il-kanali jintużaw l-aktar.

Id-dritt ta' aċċess tal-akkużat ma jħassarx il-kunfidenzjalità tar-rapportatur

L-aktar kunflitt qawwi f'kull investigazzjoni huwa dan: il-persuna akkużata hija wkoll suġġett tad-data u, skont l-Artikolu 15, tista' titlob aċċess għad-data personali li żżomm dwarha — inklużi l-allegazzjonijiet. Immaniġġjata b'mod inġenwu, talba għal aċċess issir mod kif jinkixef ir-rapportatur.

Ma hemmx għalfejn ikun hekk. Il-kunfidenzjalità tal-identità tar-rapportatur hija protetta mill-Artikolu 16 tad-Direttiva (UE) 2019/1937, u l-GDPR innifsu jillimita d-dritt ta' aċċess fejn dan jaffettwa ħażin id-"drittijiet u libertajiet ta' oħrajn" — limitazzjoni li Linji Gwida 01/2022 tal-EDPB dwar id-dritt ta' aċċess jindirizzaw direttament. Fil-prattika, tiżvela s-sustanza tal-allegazzjoni lill-persuna akkużata fejn ġustizzja teħtieġ dan, iżda tir(o)ċċulta kull ma jidentifika r-rapportatur — ismijiet, rwol, dati jew dettalji li persuna speċifika biss tista' tkun taf. It-traspożizzjonijiet nazzjonali u l-awtoritajiet tal-protezzjoni tad-data jikkonfermaw dan: l-identità tar-rapportatur mhijiex xi ħaġa li l-persuna akkużata għandha dritt tikseb permezz ta' talba għad-data.

Tista' wkoll tipposponi l-informazzjoni lill-persuna akkużata li d-data tagħha qed tiġi pproċessata, skont l-Artikolu 14(5), meta n-notifika tfixkel serjament l-investigazzjoni — pereżempju billi twissi lill-persuna qabel ma tiġi żgurata l-evidenza. Din hija posponiment, mhux eżenzjoni permanenti: l-obbligu jerġa' jqum ladarba jgħaddi r-riskju.

Minimizzazzjoni u ħżin: iġbor u żomm biss dak li teħtieġ

Żewġ prinċipji jirregolaw iċ-ċiklu tal-ħajja tad-data ta' investigazzjoni:

• Minimizzazzjoni tad-data (Artikolu 5(1)(c)) — iġbor biss data adegwata, rilevanti u limitata għal dak li l-investigazzjoni teħtieġ. Li tikkopja l-kaxxa postali sħiħa ta' impjegat "biex tkun fuq in-naħa sikura" huwa l-oppost tal-minimizzazzjoni.
• Limitazzjoni tal-ħżin (Artikolu 5(1)(e)) — żomm id-data biss sakemm ikun meħtieġ. L-Artikolu 18 tad-Direttiva (UE) 2019/1937 isaħħaħ li r-rekords tar-rapporti ma jinżammux aktar milli meħtieġ u proporzjonat.

Ir-regola prattika: ir-rapporti li jirriżultaw bla bażi jew manifestament irrilevanti għandhom jitħassru minnufih, filwaqt li l-każijiet sostanzjati jinżammu għall-perjodu meħtieġ biex tiddefendi ruħek minn talbiet legali jew tissodisfa dmir statutorju ta' żamma — u mbagħad jitħassru. Skeda ta' żamma definita, applikata awtomatikament, hija ħafna aktar sikura minn tħassir ad hoc.

Meta teħtieġ valutazzjoni tal-impatt (DPIA)

Kanal ta' rappurtar jipproċessa informazzjoni sensittiva dwar persuni identifikabbli, b'mod sistematiku u ħafna drabi fost il-forza tax-xogħol kollha. Dan il-profil normalment jilħaq il-limitu tal-Artikolu 35 għal valutazzjoni tal-impatt fuq il-protezzjoni tad-data — analiżi dokumentata tar-riskji għall-persuni u l-miżuri li jtaffuhom. Il-biċċa l-kbira tal-awtoritajiet tal-protezzjoni tad-data jqisu DPIA għal sistema ta' rappurtar bħala mistennija aktar milli fakultattiva, allura ħejjiha qabel it-tnedija, mhux wara inċident.

Huwa l-istess xogħol ta' bażi li teħtieġ għall-kanal innifsu. Jekk għadek qed timmappja min irid jikkonforma u l-iskadenzi legali involuti, il-gwida tagħna dwar id-Direttiva tal-UE dwar il-Whistleblowers tkopri l-obbligi li joqogħdu maġenb dawn id-dmirijiet tal-GDPR.

Kif Vaelo tibdel talba għal aċċess f'avveniment insinifikanti

Fil-mument li persuna akkużata teżerċita d-dritt ta' aċċess tagħha skont l-Artikolu 15, ir-riskju fil-biċċa l-kbira tal-organizzazzjonijiet huwa manwali: xi ħadd irid jiftakar li jneħħi kull dettall li jindika lir-rapportatur qabel ma l-fajl joħroġ. L-ispazju tax-xogħol tal-każijiet ta' Vaelo jagħmel dan il-pass strutturali minflok test tal-memorja — l-investigaturi jesportaw kopja editjata tal-fajl bil-kampi li jidentifikaw ir-rapportatur moħbija awtomatikament, biex it-tweġiba għal talba għal aċċess qatt ma ssir il-mument li fih jinkixef rapportatur. Il-messaġġi anonimi f'żewġ direzzjonijiet iżommu l-identità tar-rapportatur 'il bogħod min-noti tal-każ mill-ewwel messaġġ, u l-aċċess ibbażat fuq ir-rwoli u rreġistrat jillimita min jista' anke jara l-verżjoni mhux editjata. Ir-riżultat huwa fluss ta' investigazzjoni difendibbli taħt iż-żewġ liġijiet fl-istess ħin — disponibbli fl-24 lingwa uffiċjali kollha tal-UE.

Mistoqsijiet frekwenti

X'inhi l-bażi legali biex tipproċessa data personali f'investigazzjoni interna? Kważi dejjem l-interess leġittimu tal-organizzazzjoni (Artikolu 6(1)(f) tal-GDPR) jew obbligu legali (Artikolu 6(1)(c)) — pereżempju d-dmir li tħaddem kanal skont id-Direttiva (UE) 2019/1937. Investigazzjoni ta' rapport m'għandhiex tiddependi fuq il-kunsens tal-akkużat.

Jista' l-akkużat jaċċessa r-rapport skont il-GDPR? Għandu dritt ta' aċċess skont l-Artikolu 15 tal-GDPR, iżda dan ma jestendix biex tiġi żvelata l-identità tar-rapportatur. L-Artikolu 16 tad-Direttiva (UE) 2019/1937 u l-limitu tad-"drittijiet u libertajiet ta' oħrajn" jippermettu li tinħeba informazzjoni li tidentifikah.

Neħtieġu DPIA għal kanal ta' rappurtar? Fil-biċċa l-kbira tal-każijiet iva. Sistema ta' rappurtar tipproċessa data sensittiva dwar persuni identifikabbli, ħafna drabi fuq skala kbira, li normalment tilħaq il-limitu tal-Artikolu 35 tal-GDPR — għalhekk hija mistennija valutazzjoni tal-impatt fuq il-protezzjoni tad-data qabel it-tnedija.

Kemm żmien nistgħu nżommu d-data ta' investigazzjoni interna skont il-GDPR? Biss sakemm ikun meħtieġ u proporzjonat (Artikolu 5(1)(e) tal-GDPR u Artikolu 18 tad-Direttiva (UE) 2019/1937). Id-data minn rapporti li jirriżultaw bla bażi jew manifestament irrilevanti għandha titħassar minnufih, mhux tinżamm b'mod awtomatiku.