GDPR v notranjih preiskavah: pravilno ravnanje s podatki prijavitelja

GDPR (Uredba (EU) 2016/679) vam ne prepoveduje preiskave prijave — določa, kako jo morate izvesti. Osebne podatke prijavitelja, obdolžene osebe in morebitnih prič obdelujete na pravni podlagi (skoraj vedno zakoniti interes ali pravna obveznost), zbirate le tisto, kar preiskava dejansko potrebuje, ohranjate zaupnost identitete prijavitelja in podatke izbrišete, ko niso več potrebni. Napaka tukaj ni formalnost: zakonito preiskavo lahko sama po sebi spremeni v kršitev varstva podatkov.

Ključne ugotovitve

• GDPR dovoljuje notranje preiskave — pravna podlaga je običajno zakoniti interes (člen 6(1)(f)) ali pravna obveznost (člen 6(1)(c)), ne privolitev obdolžene osebe.
• Obdolžena oseba ima pravico do dostopa (člen 15), ki ji ne daje pravice izvedeti identitete prijavitelja — člen 16 Direktive (EU) 2019/1937 in omejitev glede "pravic in svoboščin drugih" prijavitelja ščitita.
• Obveščanje obdolžene osebe o obdelavi njenih podatkov lahko odložite, če bi ogrozilo preiskavo (člen 14(5)).
• Uporabite najmanjši obseg podatkov (člen 5(1)(c)) in omejitev shranjevanja (člen 5(1)(e)) — zbirajte le ustrezne podatke in jih ob zaključku zadeve izbrišite.
• Prijavni kanal skoraj vedno zahteva oceno učinka v zvezi z varstvom podatkov (člen 35) pred začetkom delovanja.

Pravna podlaga je zakoniti interes — ne privolitev

Prva napaka ekip za skladnost je poskus, da bi preiskavo utemeljile na privolitvi. To ni mogoče: preiskovana oseba ne bo svobodno privolila v to, da jo preiskujejo, privolitev, ki je ni mogoče svobodno zavrniti, pa je po GDPR neveljavna. Namesto tega obdelava temelji na eni od dveh podlag:

• Zakoniti interes (člen 6(1)(f)) — resnični interes organizacije za odkrivanje in preprečevanje kršitev, pretehtan glede na pravice oseb, katerih podatke obdelujete. Ta test tehtanja je treba dokumentirati, preden kanal začne delovati.
• Pravna obveznost (člen 6(1)(c)) — kadar vas zakon zavezuje k ravnanju, na primer dolžnost upravljanja prijavnega kanala in obravnave prijav v skladu z Direktivo (EU) 2019/1937, ali sektorska pravila o pranju denarja in finančnem kriminalu.

Če prijava zadeva posebne vrste podatkov (zdravje, članstvo v sindikatu, politična mnenja, podatki o kaznivih dejanjih), potrebujete dodaten pogoj po členu 9 ali členu 10 — na primer, da je obdelava potrebna za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov. Prav pri tovrstnih prijavah — nadlegovanje, diskriminacija — se kanali uporabljajo največ.

Pravica obdolženca do dostopa ne razveljavi zaupnosti prijavitelja

Najostrejši spor v vsaki preiskavi je ta: obdolžena oseba je prav tako posameznik, na katerega se nanašajo osebni podatki, in lahko po členu 15 zahteva dostop do osebnih podatkov, ki jih hranite o njej — vključno z očitki. Naivno obravnavan zahtevek za dostop postane način za razkritje prijavitelja.

Ni nujno tako. Zaupnost identitete prijavitelja varuje člen 16 Direktive (EU) 2019/1937, sam GDPR pa omejuje pravico do dostopa, kadar bi ta negativno vplivala na "pravice in svoboščine drugih" — omejitev, ki jo neposredno obravnavajo Smernice 01/2022 EOVP o pravici do dostopa. V praksi obdolžencu razkrijete bistvo očitka, kadar to zahteva pravičnost, a prikrijete vse, kar bi identificiralo prijavitelja — imena, vlogo, datume ali podrobnosti, ki bi jih lahko poznala le določena oseba. Nacionalni prenosi in organi za varstvo podatkov to potrjujejo: identiteta prijavitelja ni nekaj, do česar bi bila obdolžena oseba upravičena prek zahtevka za podatke.

Obveščanje obdolžene osebe o tem, da se njeni podatki obdelujejo, lahko tudi odložite po členu 14(5), kadar bi obvestilo resno oškodovalo preiskavo — na primer z opozarjanjem osebe, preden so dokazi zavarovani. Gre za odlog, ne za trajno izjemo: obveznost oživi, ko tveganje mine.

Najmanjši obseg in hramba: zbirajte in hranite le potrebno

Življenjski cikel podatkov preiskave urejata dve načeli:

• Najmanjši obseg podatkov (člen 5(1)(c)) — zbirajte le podatke, ki so ustrezni, relevantni in omejeni na to, kar preiskava zahteva. Množično kopiranje celotnega poštnega predala zaposlenega "za vsak primer" je nasprotje najmanjšega obsega.
• Omejitev shranjevanja (člen 5(1)(e)) — podatke hranite le tako dolgo, kot je potrebno. Člen 18 Direktive (EU) 2019/1937 potrjuje, da se evidence prijav ne hranijo dlje, kot je potrebno in sorazmerno.

Praktično pravilo: prijave, ki se izkažejo za neutemeljene ali očitno nepomembne, je treba nemudoma izbrisati, medtem ko se utemeljeni primeri hranijo za obdobje, potrebno za obrambo pred pravnimi zahtevki ali izpolnitev zakonske obveznosti hrambe — nato pa izbrišejo. Določen, samodejno uporabljen urnik hrambe je veliko varnejši od priložnostnega brisanja.

Kdaj potrebujete oceno učinka (DPIA)

Prijavni kanal obdeluje občutljive informacije o določljivih osebah, sistematično in pogosto po vsej delovni sili. Ta profil običajno doseže prag člena 35 za oceno učinka v zvezi z varstvom podatkov — dokumentirano analizo tveganj za posameznike in ukrepov, ki jih blažijo. Večina organov za varstvo podatkov DPIA za sistem prijav šteje za pričakovano in ne izbirno, zato jo pripravite pred zagonom, ne po incidentu.

To je isto temeljno delo, ki ga potrebujete za sam kanal. Če še ugotavljate, kdo mora biti skladen in kateri zakonski roki veljajo, naš vodnik o Direktivi EU o zaščiti prijaviteljev obravnava obveznosti, ki stojijo ob teh obveznostih iz GDPR.

Kako Vaelo spremeni zahtevo za dostop v nepomemben dogodek

V trenutku, ko obdolžena oseba uveljavlja svojo pravico do dostopa po členu 15, je tveganje v večini organizacij ročno: nekdo se mora spomniti odstraniti vsak podatek, ki bi kazal na prijavitelja, preden gre spis ven. Delovni prostor za primere podjetja Vaelo naredi ta korak strukturen namesto testa spomina — preiskovalci izvozijo prečrtano kopijo spisa, pri kateri so polja, ki identificirajo prijavitelja, samodejno prikrita, tako da odgovor na zahtevo za dostop nikoli ne postane trenutek, ko je prijavitelj razkrit. Anonimno dvosmerno sporočanje od prvega sporočila naprej ohranja identiteto prijavitelja zunaj zapiskov primera, dostop, ki temelji na vlogah in se beleži, pa omejuje, kdo sploh lahko vidi neprečrtano različico. Rezultat je preiskovalni potek, ki je zagovorljiv po obeh zakonih hkrati — na voljo v vseh 24 uradnih jezikih EU.

Pogosta vprašanja

Kaj je pravna podlaga za obdelavo osebnih podatkov v notranji preiskavi? Skoraj vedno zakoniti interes organizacije (člen 6(1)(f) GDPR) ali pravna obveznost (člen 6(1)(c)) — na primer obveznost upravljanja kanala v skladu z Direktivo (EU) 2019/1937. Preiskava prijave se ne bi smela opirati na privolitev obdolžene osebe.

Ali lahko obdolžena oseba dostopa do prijave po GDPR? Ima pravico do dostopa v skladu s členom 15 GDPR, ki pa ne obsega razkritja identitete prijavitelja. Člen 16 Direktive (EU) 2019/1937 in omejitev glede "pravic in svoboščin drugih" omogočata prikritje informacij, ki bi ga identificirale.

Ali potrebujemo DPIA za prijavni kanal? V večini primerov da. Sistem za prijave obdeluje občutljive podatke o določljivih osebah, pogosto v velikem obsegu, kar običajno doseže prag člena 35 GDPR — zato se pred začetkom delovanja pričakuje ocena učinka v zvezi z varstvom podatkov.

Kako dolgo lahko hranimo podatke notranje preiskave po GDPR? Le toliko časa, kolikor je nujno in sorazmerno (člen 5(1)(e) GDPR in člen 18 Direktive (EU) 2019/1937). Podatke iz prijav, ki se izkažejo za neutemeljene ali očitno nepomembne, je treba nemudoma izbrisati in ne privzeto hraniti.