GDPR în investigațiile interne: gestionarea corectă a datelor avertizorului

GDPR (Regulamentul (UE) 2016/679) nu vă interzice să investigați o raportare — stabilește cum trebuie să o faceți. Prelucrați datele cu caracter personal ale avertizorului, ale persoanei vizate și ale eventualilor martori pe un temei legal (aproape întotdeauna interes legitim sau obligație legală), colectați numai ceea ce are cu adevărat nevoie investigația, păstrați confidențială identitatea avertizorului și ștergeți datele îndată ce nu mai sunt necesare. A greși aici nu este un aspect tehnic: poate transforma o investigație legitimă într-o încălcare a securității datelor în sine.

Concluzii principale

• GDPR permite investigațiile interne — temeiul legal este de regulă interesul legitim (articolul 6 alineatul (1) litera (f)) sau o obligație legală (articolul 6 alineatul (1) litera (c)), nu consimțământul persoanei vizate.
• Persoana vizată are drept de acces (articolul 15), dar acesta nu îi dă dreptul de a afla identitatea avertizorului — articolul 16 din Directiva (UE) 2019/1937 și limita privind "drepturile și libertățile altora" protejează avertizorul.
• Puteți amâna informarea persoanei vizate cu privire la prelucrarea datelor sale atunci când aceasta ar periclita investigația (articolul 14 alineatul (5)).
• Aplicați reducerea la minimum a datelor (articolul 5 alineatul (1) litera (c)) și limitarea stocării (articolul 5 alineatul (1) litera (e)) — colectați doar date relevante și ștergeți-le la închiderea cazului.
• Un canal de raportare necesită aproape întotdeauna o evaluare a impactului asupra protecției datelor (articolul 35) înainte de punerea în funcțiune.

Temeiul legal este interesul legitim — nu consimțământul

Prima greșeală a echipelor de conformitate este să încerce să întemeieze o investigație pe consimțământ. Nu se poate: persoana investigată nu va consimți în mod liber să fie investigată, iar un consimțământ care nu poate fi refuzat în mod liber este nul conform GDPR. În schimb, prelucrarea se sprijină pe unul dintre două temeiuri:

• Interes legitim (articolul 6 alineatul (1) litera (f)) — interesul real al organizației de a depista și preveni abaterile, pus în balanță cu drepturile persoanelor ale căror date le prelucrați. Acest test de echilibrare ar trebui documentat înainte ca acest canal să intre în funcțiune.
• Obligație legală (articolul 6 alineatul (1) litera (c)) — atunci când o lege vă obligă să acționați, precum obligația de a opera un canal de raportare și de a da curs raportărilor conform Directivei (UE) 2019/1937, sau normele sectoriale privind spălarea banilor și criminalitatea financiară.

Dacă o raportare atinge categorii speciale de date (sănătate, apartenență sindicală, opinii politice, date privind infracțiuni), aveți nevoie de o condiție suplimentară conform articolului 9 sau articolului 10 — de exemplu că prelucrarea este necesară pentru constatarea, exercitarea sau apărarea unui drept în instanță. Tocmai la acest tip de raportare — hărțuire, discriminare — sunt folosite cel mai mult canalele.

Dreptul de acces al persoanei vizate nu anulează confidențialitatea avertizorului

Cel mai acut conflict din orice investigație este acesta: persoana vizată este și ea o persoană vizată de prelucrare și, conform articolului 15, poate cere acces la datele cu caracter personal pe care le dețineți despre ea — inclusiv la ceea ce s-a susținut. Gestionată naiv, o cerere de acces devine o cale de a demasca avertizorul.

Nu trebuie să fie așa. Confidențialitatea identității avertizorului este protejată de articolul 16 din Directiva (UE) 2019/1937, iar GDPR însuși limitează dreptul de acces atunci când acesta ar afecta negativ "drepturile și libertățile altora" — o limitare abordată direct de Orientările 01/2022 ale CEPD privind dreptul de acces. În practică, dezvăluiți persoanei vizate esența acuzației atunci când echitatea o cere, dar anonimizați tot ceea ce ar identifica avertizorul — nume, funcție, date sau detalii pe care doar o anumită persoană le-ar putea cunoaște. Transpunerile naționale și autoritățile de protecție a datelor confirmă acest lucru: identitatea avertizorului nu este ceva ce persoana vizată are dreptul să obțină printr-o cerere de date.

Puteți, de asemenea, amâna informarea persoanei vizate că datele sale sunt prelucrate, conform articolului 14 alineatul (5), atunci când notificarea ar afecta grav investigația — de exemplu, avertizând persoana înainte de securizarea probelor. Este o amânare, nu o scutire permanentă: obligația renaște de îndată ce riscul a trecut.

Reducere la minimum și păstrare: colectați și păstrați doar ce este necesar

Două principii guvernează ciclul de viață al datelor de investigație:

• Reducerea la minimum a datelor (articolul 5 alineatul (1) litera (c)) — colectați numai date adecvate, relevante și limitate la ceea ce impune investigația. Copierea în bloc a întregii căsuțe de e-mail a unui angajat "pentru orice eventualitate" este opusul reducerii la minimum.
• Limitarea stocării (articolul 5 alineatul (1) litera (e)) — păstrați datele doar atât timp cât este necesar. Articolul 18 din Directiva (UE) 2019/1937 întărește că evidențele raportărilor nu se păstrează mai mult decât este necesar și proporțional.

Regula practică: raportările care se dovedesc nefondate sau vădit irelevante trebuie șterse prompt, în timp ce cazurile fondate sunt păstrate pe perioada necesară apărării împotriva unor pretenții juridice sau îndeplinirii unei obligații legale de păstrare — apoi șterse. Un calendar de păstrare definit, aplicat automat, este mult mai sigur decât ștergerea ad-hoc.

Când aveți nevoie de o evaluare a impactului (DPIA)

Un canal de raportare prelucrează informații sensibile despre persoane identificabile, în mod sistematic și adesea la nivelul întregii forțe de muncă. Acest profil atinge de regulă pragul articolului 35 pentru o evaluare a impactului asupra protecției datelor — o analiză documentată a riscurilor pentru persoane și a măsurilor care le atenuează. Majoritatea autorităților de protecție a datelor consideră DPIA pentru un sistem de raportare drept așteptată, nu opțională, așa că întocmiți-o înainte de lansare, nu după un incident.

Este aceeași muncă de bază de care aveți nevoie pentru canalul propriu-zis. Dacă încă stabiliți cine trebuie să se conformeze și ce termene legale se aplică, ghidul nostru despre Directiva UE privind avertizorii de integritate acoperă obligațiile care stau alături de aceste îndatoriri GDPR.

Cum transformă Vaelo o cerere de acces într-un non-eveniment

Din momentul în care persoana vizată își exercită dreptul de acces conform articolului 15, riscul în majoritatea organizațiilor este manual: cineva trebuie să își amintească să elimine fiecare detaliu care ar indica avertizorul înainte ca dosarul să fie trimis. Spațiul de lucru pentru cazuri al Vaelo transformă acest pas într-unul structural, nu într-un test de memorie — investigatorii exportă o copie anonimizată a dosarului, cu câmpurile care identifică avertizorul mascate automat, astfel încât răspunsul la o cerere de acces nu devine niciodată momentul în care un avertizor este demascat. Mesageria anonimă bidirecțională păstrează identitatea avertizorului în afara notelor de caz încă de la primul mesaj, iar accesul bazat pe roluri și înregistrat limitează cine poate vedea măcar versiunea neanonimizată. Rezultatul este un flux de investigație apărabil în temeiul ambelor legi simultan — disponibil în toate cele 24 de limbi oficiale ale UE.

Întrebări frecvente

Care este temeiul juridic pentru prelucrarea datelor cu caracter personal într-o investigație internă? Aproape întotdeauna interesul legitim al organizației (articolul 6 alineatul (1) litera (f) din GDPR) sau o obligație legală (articolul 6 alineatul (1) litera (c)) — de exemplu obligația de a opera un canal conform Directivei (UE) 2019/1937. O investigație a unei raportări nu ar trebui să se bazeze pe consimțământul persoanei vizate.

Poate persoana vizată să acceseze raportarea conform GDPR? Are drept de acces conform articolului 15 din GDPR, dar acesta nu se extinde la dezvăluirea identității avertizorului. Articolul 16 din Directiva (UE) 2019/1937 și limita privind "drepturile și libertățile altora" permit anonimizarea informațiilor care l-ar identifica.

Avem nevoie de o DPIA pentru un canal de raportare? În majoritatea cazurilor da. Un sistem de raportare prelucrează date sensibile despre persoane identificabile, adesea la scară largă, ceea ce atinge de regulă pragul articolului 35 din GDPR — de aceea se așteaptă o evaluare a impactului asupra protecției datelor înainte de punerea în funcțiune.

Cât timp putem păstra datele unei investigații interne conform GDPR? Doar atât cât este necesar și proporțional (articolul 5 alineatul (1) litera (e) din GDPR și articolul 18 din Directiva (UE) 2019/1937). Datele din raportări care se dovedesc nefondate sau vădit irelevante ar trebui șterse prompt, nu păstrate în mod implicit.