GDPR i interna utredningar: hantera visselblåsarens data rätt

GDPR (förordning (EU) 2016/679) hindrar dig inte från att utreda en rapport — den anger hur du måste göra det. Du behandlar personuppgifter om rapportören, den anklagade och eventuella vittnen på en rättslig grund (nästan alltid berättigat intresse eller en rättslig förpliktelse), du samlar bara in det som utredningen faktiskt behöver, du håller rapportörens identitet konfidentiell och du raderar uppgifterna så snart de inte längre behövs. Att göra fel här är ingen formalitet: det kan förvandla en laglig utredning till en personuppgiftsincident i sig.

Viktiga slutsatser

• GDPR tillåter interna utredningar — den rättsliga grunden är normalt berättigat intresse (artikel 6.1 f) eller en rättslig förpliktelse (artikel 6.1 c), inte den anklagades samtycke.
• Den anklagade har en rätt till tillgång (artikel 15), men den ger honom inte rätt att få veta rapportörens identitet — artikel 16 i direktiv (EU) 2019/1937 och begränsningen om "andras rättigheter och friheter" skyddar rapportören.
• Du får skjuta upp informationen till den anklagade om behandlingen av hans uppgifter när det skulle äventyra utredningen (artikel 14.5).
• Tillämpa uppgiftsminimering (artikel 5.1 c) och lagringsminimering (artikel 5.1 e) — samla bara in relevanta uppgifter och radera dem när ärendet avslutas.
• En rapporteringskanal kräver nästan alltid en konsekvensbedömning avseende dataskydd (artikel 35) innan driftsättning.

Den rättsliga grunden är berättigat intresse — inte samtycke

Det första felet complianceteam gör är att försöka grunda en utredning på samtycke. Det går inte: den som utreds kommer inte att frivilligt samtycka till att bli utredd, och ett samtycke som inte fritt kan nekas är ogiltigt enligt GDPR. I stället vilar behandlingen på en av två grunder:

• Berättigat intresse (artikel 6.1 f) — organisationens verkliga intresse av att upptäcka och förebygga oegentligheter, vägt mot rättigheterna för de personer vars uppgifter du behandlar. Denna intresseavvägning bör dokumenteras innan kanalen tas i drift.
• Rättslig förpliktelse (artikel 6.1 c) — när en lag ålägger dig att agera, såsom skyldigheten att driva en rapporteringskanal och följa upp rapporter enligt direktiv (EU) 2019/1937, eller sektorsregler om penningtvätt och ekonomisk brottslighet.

Om en rapport berör särskilda kategorier av uppgifter (hälsa, fackligt medlemskap, politiska åsikter, uppgifter om brott) behöver du ett ytterligare villkor enligt artikel 9 eller artikel 10 — till exempel att behandlingen är nödvändig för att fastställa, göra gällande eller försvara rättsliga anspråk. Det är just denna typ av rapport — trakasserier, diskriminering — där kanalerna används mest.

Den anklagades rätt till tillgång upphäver inte rapportörens sekretess

Den skarpaste konflikten i varje utredning är denna: den anklagade är också en registrerad och kan enligt artikel 15 begära tillgång till de personuppgifter du har om honom — inklusive vad som har påståtts. Hanterad naivt blir en begäran om tillgång ett sätt att avslöja rapportören.

Så behöver det inte vara. Sekretessen kring rapportörens identitet skyddas av artikel 16 i direktiv (EU) 2019/1937, och GDPR själv begränsar rätten till tillgång där den skulle inverka menligt på "andras rättigheter och friheter". I praktiken lämnar du ut sakinnehållet i påståendet till den anklagade där rättvisan kräver det, men maskar allt som skulle identifiera rapportören — namn, roll, datum eller detaljer som bara en viss person kunde känna till. Nationella genomföranden och dataskyddsmyndigheter bekräftar detta: rapportörens identitet är inte något den anklagade har rätt att få genom en begäran om uppgifter.

Du får också skjuta upp informationen till den anklagade om att hans uppgifter behandlas, enligt artikel 14.5, när underrättelsen allvarligt skulle skada utredningen — till exempel genom att varna personen innan bevis säkrats. Det är ett uppskov, inte ett permanent undantag: skyldigheten återuppstår så snart risken är över.

Minimering och lagring: samla in och behåll bara det nödvändiga

Två principer styr livscykeln för utredningsuppgifter:

• Uppgiftsminimering (artikel 5.1 c) — samla bara in uppgifter som är adekvata, relevanta och begränsade till vad utredningen kräver. Att bulkkopiera en anställds hela brevlåda "för säkerhets skull" är motsatsen till minimering.
• Lagringsminimering (artikel 5.1 e) — behåll uppgifterna bara så länge det behövs. Artikel 18 i direktiv (EU) 2019/1937 understryker att register över rapporter inte bevaras längre än vad som är nödvändigt och proportionerligt.

Den praktiska regeln: rapporter som visar sig vara ogrundade eller uppenbart irrelevanta bör raderas skyndsamt, medan styrkta ärenden bevaras under den tid som behövs för att försvara sig mot rättsliga anspråk eller uppfylla en lagstadgad lagringsskyldighet — och därefter raderas. Ett fastställt lagringsschema som tillämpas automatiskt är långt säkrare än ad hoc-radering.

När du behöver en konsekvensbedömning (DPIA)

En rapporteringskanal behandlar känslig information om identifierbara personer, systematiskt och ofta över hela personalstyrkan. Den profilen når vanligtvis tröskeln i artikel 35 för en konsekvensbedömning avseende dataskydd — en dokumenterad analys av riskerna för individer och de åtgärder som minskar dem. De flesta dataskyddsmyndigheter betraktar en DPIA för ett rapporteringssystem som förväntad snarare än frivillig, så gör den före lansering, inte efter en incident.

Det är samma grundarbete du behöver för själva kanalen. Om du fortfarande kartlägger vem som måste följa reglerna och vilka lagstadgade tidsfrister som gäller, täcker vår guide till EU:s visselblåsardirektiv de skyldigheter som står vid sidan av dessa GDPR-plikter.

Så bygger Vaelo in GDPR-efterlevnad i varje utredning

Vaelo är en värdbaserad visselblåsarplattform utformad kring både direktivet och GDPR. Rapportörens identitet skyddas hela vägen med anonym tvåvägskommunikation, så att utredare kan ställa följdfrågor utan att någonsin avslöja källan. Åtkomst till varje ärende är rollbaserad och loggad, bevis är krypterade, och konfigurerbara lagringsregler raderar uppgifter vid den fastställda tidpunkten, så att lagringsminimering upprätthålls automatiskt i stället för att överlåtas åt minnet. Resultatet är ett utredningsflöde som är försvarbart enligt båda lagarna samtidigt — tillgängligt på alla 24 officiella EU-språk.

Vanliga frågor

Vad är den rättsliga grunden för att behandla personuppgifter i en intern utredning? Nästan alltid organisationens berättigade intresse (artikel 6.1 f i GDPR) eller en rättslig förpliktelse (artikel 6.1 c) — till exempel skyldigheten att driva en kanal enligt direktiv (EU) 2019/1937. En utredning av en rapport bör inte bygga på den anklagades samtycke.

Kan den anklagade få tillgång till rapporten enligt GDPR? Personen har en rätt till tillgång enligt artikel 15 i GDPR, men den omfattar inte att avslöja rapportörens identitet. Artikel 16 i direktiv (EU) 2019/1937 och begränsningen om "andras rättigheter och friheter" gör att uppgifter som skulle identifiera rapportören kan maskas.

Behöver vi en DPIA för en visselblåsarkanal? I de flesta fall ja. Ett visselblåsarsystem behandlar känsliga uppgifter om identifierbara personer, ofta i stor skala, vilket vanligtvis når tröskeln i artikel 35 i GDPR — därför förväntas en konsekvensbedömning avseende dataskydd innan driftsättning.

Hur länge får vi lagra uppgifter från en intern utredning enligt GDPR? Endast så länge det är nödvändigt och proportionerligt (artikel 5.1 e i GDPR och artikel 18 i direktiv (EU) 2019/1937). Uppgifter från rapporter som visar sig vara ogrundade eller uppenbart irrelevanta bör raderas skyndsamt, inte lagras som standard.