AVG bij interne onderzoeken: klokkenluidersgegevens correct verwerken

De AVG (Verordening (EU) 2016/679) verbiedt u niet om een melding te onderzoeken — ze bepaalt hoe u dat moet doen. U verwerkt de persoonsgegevens van de melder, de beschuldigde en eventuele getuigen op een rechtsgrond (vrijwel altijd gerechtvaardigd belang of een wettelijke verplichting), u verzamelt alleen wat het onderzoek werkelijk nodig heeft, u houdt de identiteit van de melder vertrouwelijk en u wist de gegevens zodra ze niet langer nodig zijn. Dit fout doen is geen formaliteit: het kan een rechtmatig onderzoek op zichzelf tot een datalek maken.

Belangrijkste punten

• De AVG staat interne onderzoeken toe — de rechtsgrond is doorgaans het gerechtvaardigd belang (artikel 6, lid 1, onder f) of een wettelijke verplichting (artikel 6, lid 1, onder c), niet de toestemming van de beschuldigde.
• De beschuldigde heeft een recht op inzage (artikel 15), maar dat geeft hem geen recht om de identiteit van de melder te kennen — artikel 16 van Richtlijn (EU) 2019/1937 en de grens van de "rechten en vrijheden van anderen" beschermen de melder.
• U mag het informeren van de beschuldigde over de verwerking van zijn gegevens uitstellen wanneer dit het onderzoek zou schaden (artikel 14, lid 5).
• Pas minimale gegevensverwerking (artikel 5, lid 1, onder c) en opslagbeperking (artikel 5, lid 1, onder e) toe — verzamel alleen relevante gegevens en wis ze bij afsluiting van de zaak.
• Een meldkanaal vereist vrijwel altijd een gegevensbeschermingseffectbeoordeling (artikel 35) vóór ingebruikname.

De rechtsgrond is gerechtvaardigd belang — niet toestemming

De eerste fout die compliance-teams maken, is een onderzoek op toestemming willen baseren. Dat kan niet: de onderzochte persoon zal niet vrijelijk instemmen met een onderzoek naar zichzelf, en toestemming die niet vrijelijk kan worden geweigerd is onder de AVG ongeldig. In plaats daarvan berust de verwerking op een van twee grondslagen:

• Gerechtvaardigd belang (artikel 6, lid 1, onder f) — het reële belang van de organisatie bij het opsporen en voorkomen van wangedrag, afgewogen tegen de rechten van de personen wier gegevens u verwerkt. Deze afwegingstoets moet worden gedocumenteerd voordat het kanaal in gebruik wordt genomen.
• Wettelijke verplichting (artikel 6, lid 1, onder c) — wanneer een wet u tot handelen verplicht, zoals de plicht om een meldkanaal te beheren en meldingen op te volgen op grond van Richtlijn (EU) 2019/1937, of sectorregels inzake witwassen en financiële criminaliteit.

Raakt een melding aan bijzondere categorieën van gegevens (gezondheid, vakbondslidmaatschap, politieke opvattingen, gegevens over strafbare feiten), dan hebt u een aanvullende voorwaarde nodig op grond van artikel 9 of artikel 10 — bijvoorbeeld dat de verwerking noodzakelijk is voor de instelling, uitoefening of onderbouwing van een rechtsvordering. Juist bij dit soort meldingen — pesten, discriminatie — worden meldkanalen het meest gebruikt.

Het inzagerecht van de beschuldigde doorbreekt de vertrouwelijkheid niet

Het scherpste conflict in elk onderzoek is dit: de beschuldigde is óók een betrokkene en kan op grond van artikel 15 inzage vragen in de persoonsgegevens die u over hem bewaart — inclusief wat er is gemeld. Naïef afgehandeld wordt een inzageverzoek een manier om de melder te ontmaskeren.

Dat hoeft niet. De vertrouwelijkheid van de identiteit van de melder wordt beschermd door artikel 16 van Richtlijn (EU) 2019/1937, en de AVG zelf beperkt het inzagerecht wanneer het de "rechten en vrijheden van anderen" nadelig zou beïnvloeden — een beperking die de EDPB-richtsnoeren 01/2022 over het inzagerecht rechtstreeks behandelen. In de praktijk deelt u de kern van de beschuldiging met de beschuldigde waar billijkheid dat vereist, maar lakt u alles weg wat de melder zou identificeren — namen, functie, data of details die slechts één specifieke persoon kan kennen. Nationale omzettingen en toezichthouders bevestigen dit: de identiteit van de melder is niets waarop de beschuldigde via een gegevensverzoek recht heeft.

U mag ook het informeren van de beschuldigde dat zijn gegevens worden verwerkt uitstellen op grond van artikel 14, lid 5, wanneer de kennisgeving het onderzoek ernstig zou schaden — bijvoorbeeld door de betrokkene te waarschuwen voordat bewijs is veiliggesteld. Dit is een uitstel, geen permanente uitzondering: de verplichting herleeft zodra het risico is geweken.

Minimale verwerking en bewaring: alleen verzamelen en bewaren wat nodig is

Twee beginselen bepalen de levenscyclus van onderzoeksgegevens:

• Minimale gegevensverwerking (artikel 5, lid 1, onder c) — verzamel alleen gegevens die toereikend, ter zake dienend en beperkt zijn tot wat het onderzoek vereist. De volledige mailbox van een werknemer "voor de zekerheid" kopiëren is het tegendeel van minimalisatie.
• Opslagbeperking (artikel 5, lid 1, onder e) — bewaar de gegevens niet langer dan nodig. Artikel 18 van Richtlijn (EU) 2019/1937 bevestigt dat registers van meldingen niet langer worden bewaard dan noodzakelijk en evenredig is.

De praktische regel: meldingen die ongegrond of kennelijk irrelevant blijken, moeten snel worden gewist, terwijl onderbouwde zaken worden bewaard voor de periode die nodig is om zich tegen rechtsvorderingen te verweren of aan een wettelijke bewaarplicht te voldoen — en daarna worden gewist. Een vastgesteld bewaarschema dat automatisch wordt toegepast, is veel veiliger dan ad-hocverwijdering.

Wanneer u een gegevensbeschermingseffectbeoordeling (DPIA) nodig hebt

Een meldkanaal verwerkt gevoelige informatie over identificeerbare personen, systematisch en vaak binnen de hele organisatie. Dat profiel haalt doorgaans de drempel van artikel 35 voor een gegevensbeschermingseffectbeoordeling — een gedocumenteerde analyse van de risico's voor personen en de maatregelen die deze beperken. De meeste toezichthouders zien een DPIA voor een meldsysteem als verwacht in plaats van optioneel; stel deze dus op vóór de lancering, niet na een incident.

Dit is hetzelfde voorwerk dat u nodig hebt voor het meldkanaal zelf. Brengt u nog in kaart wie moet voldoen en welke wettelijke termijnen gelden, dan behandelt onze gids over de EU-klokkenluidersrichtlijn de verplichtingen die naast deze AVG-plichten staan.

Hoe Vaelo van een inzageverzoek een non-event maakt

Op het moment dat een beschuldigde zijn inzagerecht op grond van artikel 15 uitoefent, is het risico bij de meeste organisaties handmatig: iemand moet eraan denken om elk detail dat naar de melder zou wijzen te verwijderen voordat het dossier de deur uitgaat. De casusomgeving van Vaelo maakt die stap structureel in plaats van een geheugentest — onderzoekers exporteren een geredigeerde kopie van het dossier waarbij velden die de melder identificeren automatisch worden gemaskeerd, zodat het beantwoorden van een inzageverzoek nooit het moment wordt waarop een melder wordt ontmaskerd. Anonieme tweerichtingsberichten houden de identiteit van de melder vanaf het eerste bericht buiten de dossiernotities, en rolgebaseerde, gelogde toegang beperkt wie de ongeredigeerde versie überhaupt kan zien. Het resultaat is een onderzoeksproces dat onder beide wetten tegelijk verdedigbaar is — beschikbaar in alle 24 officiële EU-talen.

Veelgestelde vragen

Wat is de rechtsgrond voor het verwerken van persoonsgegevens bij een intern onderzoek? Bijna altijd het gerechtvaardigd belang van de organisatie (artikel 6, lid 1, onder f, AVG) of een wettelijke verplichting (artikel 6, lid 1, onder c) — bijvoorbeeld de plicht om een meldkanaal te beheren op grond van Richtlijn (EU) 2019/1937. Een klokkenluidersonderzoek mag niet steunen op de toestemming van de beschuldigde.

Mag de beschuldigde de melding inzien op grond van de AVG? Hij heeft een inzagerecht op grond van artikel 15 AVG, maar dat strekt zich niet uit tot het onthullen van de identiteit van de melder. Artikel 16 van Richtlijn (EU) 2019/1937 en de beperking van de "rechten en vrijheden van anderen" laten toe identificerende informatie weg te lakken.

Hebben we een DPIA nodig voor een meldkanaal? In de meeste gevallen wel. Een klokkenluiderssysteem verwerkt gevoelige gegevens over identificeerbare personen, vaak op grote schaal, wat doorgaans de drempel van artikel 35 AVG haalt — een gegevensbeschermingseffectbeoordeling wordt daarom vóór ingebruikname verwacht.

Hoe lang mogen we onderzoeksgegevens bewaren onder de AVG? Alleen zo lang als noodzakelijk en evenredig (artikel 5, lid 1, onder e, AVG en artikel 18 van Richtlijn (EU) 2019/1937). Gegevens uit meldingen die ongegrond of kennelijk irrelevant blijken, moeten snel worden gewist en niet standaard bewaard.