RODO w postępowaniach wewnętrznych: właściwe traktowanie danych sygnalisty

RODO (rozporządzenie (UE) 2016/679) nie zabrania zbadania zgłoszenia — określa, jak należy to zrobić. Dane osobowe zgłaszającego, osoby, której dotyczy zgłoszenie, oraz ewentualnych świadków przetwarzasz na podstawie prawnej (niemal zawsze prawnie uzasadniony interes lub obowiązek prawny), zbierasz tylko to, czego postępowanie rzeczywiście wymaga, zachowujesz poufność tożsamości zgłaszającego i usuwasz dane, gdy przestają być potrzebne. Błąd na tym etapie nie jest formalnością: może zamienić legalne postępowanie w samodzielne naruszenie ochrony danych.

Najważniejsze wnioski

• RODO dopuszcza postępowania wewnętrzne — podstawą prawną jest zwykle prawnie uzasadniony interes (art. 6 ust. 1 lit. f) lub obowiązek prawny (art. 6 ust. 1 lit. c), a nie zgoda osoby obwinionej.
• Osoba obwiniona ma prawo dostępu (art. 15), ale nie daje jej ono prawa do poznania tożsamości zgłaszającego — art. 16 dyrektywy (UE) 2019/1937 oraz ograniczenie "praw i wolności innych osób" chronią zgłaszającego.
• Możesz odroczyć poinformowanie osoby obwinionej o przetwarzaniu jej danych, gdy zagroziłoby to postępowaniu (art. 14 ust. 5).
• Stosuj minimalizację danych (art. 5 ust. 1 lit. c) i ograniczenie przechowywania (art. 5 ust. 1 lit. e) — zbieraj tylko istotne dane i usuwaj je po zamknięciu sprawy.
• Kanał zgłoszeń niemal zawsze wymaga oceny skutków dla ochrony danych (art. 35) przed uruchomieniem.

Podstawą prawną jest prawnie uzasadniony interes — nie zgoda

Pierwszym błędem zespołów compliance jest próba oparcia postępowania na zgodzie. Nie jest to możliwe: osoba objęta postępowaniem nie wyrazi dobrowolnie zgody na to, by ją badano, a zgoda, której nie można swobodnie odmówić, jest w świetle RODO nieważna. Zamiast tego przetwarzanie opiera się na jednej z dwóch podstaw:

• Prawnie uzasadniony interes (art. 6 ust. 1 lit. f) — rzeczywisty interes organizacji w wykrywaniu i zapobieganiu nieprawidłowościom, wyważony wobec praw osób, których dane przetwarzasz. Ten test równowagi należy udokumentować przed uruchomieniem kanału.
• Obowiązek prawny (art. 6 ust. 1 lit. c) — gdy prawo nakazuje ci działać, jak obowiązek prowadzenia kanału zgłoszeń i podejmowania działań następczych na podstawie dyrektywy (UE) 2019/1937, lub przepisy sektorowe dotyczące prania pieniędzy i przestępczości finansowej.

Jeśli zgłoszenie dotyczy szczególnych kategorii danych (zdrowie, przynależność do związku zawodowego, poglądy polityczne, dane o czynach zabronionych), potrzebujesz dodatkowej przesłanki z art. 9 lub art. 10 — na przykład że przetwarzanie jest niezbędne do ustalenia, dochodzenia lub obrony roszczeń. To właśnie przy takich zgłoszeniach — mobbing, dyskryminacja — kanały wykorzystywane są najczęściej.

Prawo dostępu obwinionego nie uchyla poufności zgłaszającego

Najostrzejszy konflikt w każdym postępowaniu jest taki: osoba obwiniona również jest osobą, której dane dotyczą, i na podstawie art. 15 może zażądać dostępu do danych osobowych, które o niej przechowujesz — w tym do zarzutów. Obsłużone naiwnie żądanie dostępu staje się sposobem na zdemaskowanie zgłaszającego.

Nie musi tak być. Poufność tożsamości zgłaszającego chroni art. 16 dyrektywy (UE) 2019/1937, a samo RODO ogranicza prawo dostępu tam, gdzie niekorzystnie wpłynęłoby ono na "prawa i wolności innych osób" — ograniczenie, którym bezpośrednio zajmują się Wytyczne 01/2022 EROD dotyczące prawa dostępu. W praktyce ujawniasz obwinionemu istotę zarzutu tam, gdzie wymaga tego rzetelność, ale usuwasz wszystko, co identyfikowałoby zgłaszającego — nazwiska, stanowisko, daty lub szczegóły, które mogłaby znać tylko konkretna osoba. Krajowe implementacje i organy ochrony danych to potwierdzają: tożsamość zgłaszającego nie jest czymś, co obwiniony ma prawo uzyskać poprzez wniosek o dane.

Możesz również odroczyć poinformowanie obwinionego, że jego dane są przetwarzane, na podstawie art. 14 ust. 5, gdy powiadomienie poważnie zaszkodziłoby postępowaniu — na przykład ostrzegając daną osobę, zanim zabezpieczono dowody. To odroczenie, a nie trwałe wyłączenie: obowiązek odżywa, gdy ryzyko ustanie.

Minimalizacja i przechowywanie: zbieraj i przechowuj tylko to, co niezbędne

Cyklem życia danych postępowania rządzą dwie zasady:

• Minimalizacja danych (art. 5 ust. 1 lit. c) — zbieraj wyłącznie dane adekwatne, stosowne i ograniczone do tego, czego wymaga postępowanie. Masowe kopiowanie całej skrzynki pracownika "na wszelki wypadek" jest przeciwieństwem minimalizacji.
• Ograniczenie przechowywania (art. 5 ust. 1 lit. e) — przechowuj dane tylko tak długo, jak to konieczne. Art. 18 dyrektywy (UE) 2019/1937 podkreśla, że rejestry zgłoszeń nie są przechowywane dłużej, niż jest to konieczne i proporcjonalne.

Zasada praktyczna: zgłoszenia, które okazują się bezpodstawne lub oczywiście nieistotne, należy niezwłocznie usunąć, natomiast sprawy potwierdzone przechowuje się przez okres niezbędny do obrony przed roszczeniami lub wypełnienia ustawowego obowiązku przechowywania — a następnie usuwa. Zdefiniowany, stosowany automatycznie harmonogram przechowywania jest znacznie bezpieczniejszy niż doraźne usuwanie.

Kiedy potrzebujesz oceny skutków (OSOD)

Kanał zgłoszeń przetwarza dane wrażliwe o osobach możliwych do zidentyfikowania, systematycznie i często w skali całej załogi. Taki profil zwykle osiąga próg z art. 35 dla oceny skutków dla ochrony danych — udokumentowanej analizy ryzyk dla osób i środków, które je ograniczają. Większość organów ochrony danych traktuje OSOD dla systemu zgłoszeń jako oczekiwaną, a nie opcjonalną, dlatego przeprowadź ją przed uruchomieniem, a nie po incydencie.

To ta sama praca podstawowa, której potrzebujesz dla samego kanału. Jeśli wciąż mapujesz, kto musi przestrzegać przepisów i jakie terminy ustawowe obowiązują, nasz przewodnik po unijnej dyrektywie o sygnalistach omawia obowiązki, które stoją obok tych obowiązków wynikających z RODO.

Jak Vaelo zamienia wniosek o dostęp w nieistotne wydarzenie

W chwili, gdy obwiniony korzysta ze swojego prawa dostępu na podstawie art. 15, ryzyko w większości organizacji jest ręczne: ktoś musi pamiętać, aby przed wysłaniem akt usunąć każdy szczegół wskazujący na zgłaszającego. Przestrzeń robocza spraw Vaelo czyni ten krok strukturalnym, a nie testem pamięci — prowadzący eksportują zredagowaną kopię akt, w której pola identyfikujące zgłaszającego są automatycznie maskowane, dzięki czemu odpowiedź na wniosek o dostęp nigdy nie staje się chwilą, w której zgłaszający zostaje zdemaskowany. Anonimowa, dwukierunkowa wymiana wiadomości utrzymuje tożsamość zgłaszającego poza notatkami sprawy od pierwszej wiadomości, a dostęp oparty na rolach i rejestrowany ogranicza, kto w ogóle może zobaczyć niezredagowaną wersję. Efektem jest przebieg postępowania możliwy do obrony na gruncie obu aktów jednocześnie — dostępny we wszystkich 24 językach urzędowych UE.

Najczęściej zadawane pytania

Jaka jest podstawa prawna przetwarzania danych osobowych w postępowaniu wewnętrznym? Prawie zawsze prawnie uzasadniony interes organizacji (art. 6 ust. 1 lit. f RODO) lub obowiązek prawny (art. 6 ust. 1 lit. c) — na przykład obowiązek prowadzenia kanału na podstawie dyrektywy (UE) 2019/1937. Postępowanie w sprawie zgłoszenia nie powinno opierać się na zgodzie osoby obwinionej.

Czy osoba obwiniona może uzyskać dostęp do zgłoszenia na podstawie RODO? Ma prawo dostępu na podstawie art. 15 RODO, ale nie obejmuje ono ujawnienia tożsamości sygnalisty. Art. 16 dyrektywy (UE) 2019/1937 oraz ograniczenie "praw i wolności innych osób" pozwalają zredagować informacje, które by go identyfikowały.

Czy potrzebujemy OSOD dla kanału zgłoszeń? W większości przypadków tak. System zgłoszeń przetwarza dane wrażliwe dotyczące osób możliwych do zidentyfikowania, często na dużą skalę, co zwykle osiąga próg z art. 35 RODO — dlatego przed uruchomieniem oczekiwana jest ocena skutków dla ochrony danych.

Jak długo możemy przechowywać dane z postępowania wewnętrznego zgodnie z RODO? Tylko tak długo, jak to konieczne i proporcjonalne (art. 5 ust. 1 lit. e RODO oraz art. 18 dyrektywy (UE) 2019/1937). Dane ze zgłoszeń, które okażą się bezpodstawne lub oczywiście nieistotne, należy niezwłocznie usunąć, a nie przechowywać domyślnie.