GDPR pri interných vyšetrovaniach: správne zaobchádzanie s údajmi oznamovateľa

GDPR (nariadenie (EÚ) 2016/679) vám nebráni vyšetriť oznámenie — určuje, ako to musíte urobiť. Osobné údaje oznamovateľa, obvineného a prípadných svedkov spracúvate na právnom základe (takmer vždy oprávnený záujem alebo zákonná povinnosť), zhromažďujete len to, čo vyšetrovanie skutočne potrebuje, zachovávate dôvernosť totožnosti oznamovateľa a údaje vymažete, hneď ako už nie sú potrebné. Chyba na tomto mieste nie je formalita: dokáže z oprávneného vyšetrovania urobiť samostatné porušenie ochrany údajov.

Kľúčové poznatky

• GDPR interné vyšetrovania umožňuje — právnym základom je zvyčajne oprávnený záujem (čl. 6 ods. 1 písm. f)) alebo zákonná povinnosť (čl. 6 ods. 1 písm. c)), nie súhlas obvineného.
• Obvinený má právo na prístup (čl. 15), to mu však nedáva právo zistiť totožnosť oznamovateľa — článok 16 smernice (EÚ) 2019/1937 a obmedzenie "práv a slobôd iných osôb" oznamovateľa chránia.
• Informovanie obvineného o spracúvaní jeho údajov môžete odložiť, ak by ohrozilo vyšetrovanie (čl. 14 ods. 5).
• Uplatňujte minimalizáciu údajov (čl. 5 ods. 1 písm. c)) a obmedzenie uchovávania (čl. 5 ods. 1 písm. e)) — zhromažďujte len relevantné údaje a po uzavretí prípadu ich vymažte.
• Oznamovací kanál takmer vždy vyžaduje posúdenie vplyvu na ochranu údajov (čl. 35) pred spustením.

Právnym základom je oprávnený záujem — nie súhlas

Prvou chybou compliance tímov je snaha založiť vyšetrovanie na súhlase. To nejde: vyšetrovaná osoba slobodne nesúhlasí s tým, aby ju vyšetrovali, a súhlas, ktorý nemožno slobodne odmietnuť, je podľa GDPR neplatný. Spracúvanie sa namiesto toho opiera o jeden z dvoch základov:

• Oprávnený záujem (čl. 6 ods. 1 písm. f)) — skutočný záujem organizácie odhaľovať a predchádzať pochybeniam, vyvážený proti právam osôb, ktorých údaje spracúvate. Tento test vyváženia treba zdokumentovať pred spustením kanála.
• Zákonná povinnosť (čl. 6 ods. 1 písm. c)) — keď vám zákon ukladá konať, napríklad povinnosť prevádzkovať oznamovací kanál a oznámenia prešetrovať podľa smernice (EÚ) 2019/1937, alebo odvetvové pravidlá o praní špinavých peňazí a finančnej kriminalite.

Ak sa oznámenie dotýka osobitných kategórií údajov (zdravie, členstvo v odboroch, politické názory, údaje o trestných činoch), potrebujete ďalšiu podmienku podľa čl. 9 alebo čl. 10 — napríklad že spracúvanie je nevyhnutné na uplatnenie, výkon alebo obhajobu právnych nárokov. Práve pri tomto type oznámení — obťažovanie, diskriminácia — sa kanály využívajú najčastejšie.

Právo obvineného na prístup neruší dôvernosť oznamovateľa

Najostrejší konflikt v každom vyšetrovaní je tento: obvinený je tiež dotknutá osoba a podľa čl. 15 môže požiadať o prístup k osobným údajom, ktoré o ňom uchovávate — vrátane tvrdení. Naivne vybavená žiadosť o prístup sa stáva spôsobom, ako oznamovateľa odhaliť.

Nemusí to tak byť. Dôvernosť totožnosti oznamovateľa chráni článok 16 smernice (EÚ) 2019/1937 a samotné GDPR obmedzuje právo na prístup tam, kde by nepriaznivo zasiahlo "práva a slobody iných osôb" — obmedzenie, ktorým sa priamo zaoberajú usmernenia EDPB 01/2022 k právu na prístup. V praxi obvinenému oznámite podstatu tvrdenia, ak to vyžaduje spravodlivosť, ale začierníte všetko, čo by oznamovateľa identifikovalo — mená, funkciu, dátumy alebo podrobnosti, ktoré môže poznať len konkrétna osoba. Vnútroštátne transpozície a úrady na ochranu údajov to potvrdzujú: totožnosť oznamovateľa nie je nič, na čo by mal obvinený nárok prostredníctvom žiadosti o údaje.

Informovanie obvineného o tom, že sa jeho údaje spracúvajú, môžete tiež odložiť podľa čl. 14 ods. 5, ak by oznámenie vážne narušilo vyšetrovanie — napríklad varovaním dotknutej osoby skôr, než sa zaistia dôkazy. Ide o odklad, nie o trvalú výnimku: povinnosť ožíva, hneď ako riziko pominie.

Minimalizácia a uchovávanie: zhromažďovať a uchovávať len nevyhnutné

Životný cyklus údajov z vyšetrovania riadia dve zásady:

• Minimalizácia údajov (čl. 5 ods. 1 písm. c)) — zhromažďujte len údaje primerané, relevantné a obmedzené na to, čo vyšetrovanie vyžaduje. Hromadné kopírovanie celej schránky zamestnanca "pre istotu" je opakom minimalizácie.
• Obmedzenie uchovávania (čl. 5 ods. 1 písm. e)) — uchovávajte údaje len tak dlho, ako je potrebné. Článok 18 smernice (EÚ) 2019/1937 potvrdzuje, že záznamy o oznámeniach sa neuchovávajú dlhšie, než je nevyhnutné a primerané.

Praktické pravidlo: oznámenia, ktoré sa ukážu ako neopodstatnené alebo zjavne irelevantné, treba bezodkladne vymazať, zatiaľ čo doložené prípady sa uchovávajú počas obdobia potrebného na obranu proti právnym nárokom alebo splnenie zákonnej povinnosti uchovávania — a potom sa vymažú. Stanovený, automaticky uplatňovaný plán uchovávania je oveľa bezpečnejší než náhodné mazanie.

Kedy potrebujete posúdenie vplyvu (DPIA)

Oznamovací kanál spracúva citlivé informácie o identifikovateľných osobách, systematicky a často naprieč celou pracovnou silou. Tento profil zvyčajne dosahuje prah čl. 35 pre posúdenie vplyvu na ochranu údajov — zdokumentovanú analýzu rizík pre osoby a opatrení, ktoré ich zmierňujú. Väčšina úradov na ochranu údajov považuje DPIA pre oznamovací systém za očakávanú, nie voliteľnú, preto ju pripravte pred spustením, nie až po incidente.

Je to tá istá prípravná práca, ktorú potrebujete pre samotný kanál. Ak ešte mapujete, kto musí požiadavky spĺňať a aké zákonné lehoty platia, náš sprievodca smernicou EÚ o whistleblowingu pokrýva povinnosti, ktoré stoja popri týchto povinnostiach podľa GDPR.

Ako Vaelo mení žiadosť o prístup na bezvýznamnú udalosť

V okamihu, keď obvinený uplatní svoje právo na prístup podľa čl. 15, je riziko vo väčšine organizácií manuálne: niekto si musí pamätať, že pred odoslaním spisu odstráni každý detail, ktorý by ukazoval na oznamovateľa. Pracovný priestor prípadov Vaelo robí z tohto kroku štrukturálnu záležitosť, nie test pamäti — vyšetrovatelia exportujú začiernenú kópiu spisu, v ktorej sú polia identifikujúce oznamovateľa automaticky zamaskované, takže odpoveď na žiadosť o prístup sa nikdy nestane okamihom, keď je oznamovateľ odhalený. Anonymné obojsmerné správy udržiavajú totožnosť oznamovateľa mimo poznámok prípadu od prvej správy a prístup založený na rolách a zaznamenávaný obmedzuje, kto vôbec môže vidieť nezačiernenú verziu. Výsledkom je vyšetrovací postup obhájiteľný podľa oboch zákonov naraz — dostupný vo všetkých 24 úradných jazykoch EÚ.

Časté otázky

Aký je právny základ na spracúvanie osobných údajov pri internom vyšetrovaní? Takmer vždy oprávnený záujem organizácie (článok 6 ods. 1 písm. f) GDPR) alebo zákonná povinnosť (článok 6 ods. 1 písm. c)) — napríklad povinnosť prevádzkovať kanál podľa smernice (EÚ) 2019/1937. Vyšetrovanie oznámenia by sa nemalo opierať o súhlas obvineného.

Môže obvinený získať prístup k oznámeniu podľa GDPR? Má právo na prístup podľa článku 15 GDPR, to sa však nevzťahuje na odhalenie totožnosti oznamovateľa. Článok 16 smernice (EÚ) 2019/1937 a obmedzenie "práv a slobôd iných osôb" umožňujú začierniť informácie, ktoré by ho identifikovali.

Potrebujeme DPIA pre oznamovací kanál? Vo väčšine prípadov áno. Systém na oznamovanie spracúva citlivé údaje o identifikovateľných osobách, často vo veľkom rozsahu, čo zvyčajne dosahuje prah článku 35 GDPR — pred spustením sa preto očakáva posúdenie vplyvu na ochranu údajov.

Ako dlho môžeme uchovávať údaje z interného vyšetrovania podľa GDPR? Iba tak dlho, ako je to nevyhnutné a primerané (článok 5 ods. 1 písm. e) GDPR a článok 18 smernice (EÚ) 2019/1937). Údaje z oznámení, ktoré sa ukážu ako neopodstatnené alebo zjavne irelevantné, treba bezodkladne vymazať, nie ich štandardne uchovávať.