RODO w zgłoszeniach sygnalistów: administrator, podmiot przetwarzający, retencja

Kto jest administratorem

Podmiot prawny, który prowadzi rejestr zgłoszeń wewnętrznych, jest administratorem danych osobowych zgromadzonych w tym rejestrze (art. 29 ust. 1). To organizacja, u której pracuje sygnalista, decyduje o celach i sposobach przetwarzania: ona przyjmuje zgłoszenie, prowadzi postępowanie i odpowiada przed sygnalistą, osobą, której zgłoszenie dotyczy, i przed Prezesem UODO.

Dostawca systemu do obsługi zgłoszeń działa w imieniu klienta i na jego polecenie, czyli jest podmiotem przetwarzającym w rozumieniu art. 28 RODO. Wymaga to umowy powierzenia, która określa przedmiot i czas przetwarzania, jego charakter i cel, rodzaj danych, kategorie osób oraz obowiązki i prawa administratora. Dostawca, który twierdzi, że umowa powierzenia nie jest potrzebna, bo „nie widzi danych”, ma rację tylko wtedy, gdy rzeczywiście nie ma do nich dostępu technicznego; w każdym innym przypadku umowa jest obowiązkowa.

Osobna sytuacja to podmiot zewnętrzny, któremu podmiot prawny powierzył przyjmowanie zgłoszeń, na przykład kancelaria (art. 28 ustawy o ochronie sygnalistów). Kancelaria przyjmująca zgłoszenia w imieniu klienta również jest podmiotem przetwarzającym, a umowa z nią musi obejmować poufność, terminy i zasady dostępu.

Podstawa prawna przetwarzania

Przetwarzanie danych sygnalisty, osoby, której zgłoszenie dotyczy, i osób trzecich wskazanych w zgłoszeniu odbywa się w celu wykonania obowiązku prawnego ciążącego na administratorze (art. 6 ust. 1 lit. c RODO w związku z ustawą o ochronie sygnalistów). W zakresie kategorii rozszerzonych przez procedurę (regulacje wewnętrzne, standardy etyczne) podstawą jest prawnie uzasadniony interes (art. 6 ust. 1 lit. f). Dane szczególnych kategorii, które pojawią się w zgłoszeniu, na przykład o stanie zdrowia, są przetwarzane na podstawie art. 9 ust. 2 lit. b lub f RODO, w zakresie niezbędnym do rozpatrzenia sprawy.

Zgoda nie jest właściwą podstawą: sygnalista nie może jej skutecznie wycofać w trakcie postępowania, a osoba, której zgłoszenie dotyczy, jej nie udziela.

Minimalizacja i 14 dni na usunięcie

Ustawa wprowadza własną regułę minimalizacji: dane osobowe, które nie mają znaczenia dla rozpatrywania zgłoszenia, nie są zbierane, a w razie przypadkowego zebrania podlegają usunięciu niezwłocznie, nie później niż w terminie 14 dni od ustalenia, że nie mają znaczenia (art. 8 ust. 4). Zgłoszenie, w którym sygnalista opisuje prywatne życie kilku osób, wymaga więc decyzji osoby prowadzącej i wpisu, co usunięto i kiedy. System, który pozwala redagować treść zgłoszenia z zachowaniem historii zmian w dzienniku, wykonuje ten obowiązek bez niszczenia dowodu.

Obowiązek informacyjny wobec osoby, której zgłoszenie dotyczy

Tu ustawa modyfikuje RODO. Co do zasady administrator informuje osobę, której dane pozyskał z innego źródła, o przetwarzaniu (art. 14 RODO), w tym o źródle danych. Ustawa o ochronie sygnalistów przewiduje, że art. 14 ust. 2 lit. f RODO, czyli obowiązek podania źródła, nie ma zastosowania, chyba że sygnalista wyraził zgodę na ujawnienie tożsamości (art. 8 ust. 5 w związku z art. 8 ust. 2). Osobę, której zgłoszenie dotyczy, informuje się więc o tym, że jest przetwarzana w związku ze zgłoszeniem, ale nie o tym, kto zgłosił.

Procedura może określać moment i sposób poinformowania osoby, której zgłoszenie dotyczy (art. 25 ust. 2 pkt 3). Rozsądna praktyka: nie wcześniej, niż pozwala na to postępowanie, żeby nie doszło do zniszczenia dowodów, ale nie później, niż wymaga tego prawo do obrony.

Prawa osób a poufność sygnalisty

Osoba, której zgłoszenie dotyczy, ma prawo dostępu do swoich danych (art. 15 RODO), ale nie do tożsamości sygnalisty i nie do danych osób trzecich. Realizacja wniosku o dostęp wymaga wyodrębnienia z akt sprawy tego, co dotyczy wnioskodawcy, z anonimizacją reszty. Prawo do sprzeciwu i do usunięcia jest ograniczone przez obowiązek prawny administratora i przez potrzebę ustalenia, dochodzenia lub obrony roszczeń: nie można żądać usunięcia zgłoszenia, bo się z nim nie zgadza.

Sygnalista również ma prawo dostępu do danych, które sam podał, i do informacji o działaniach następczych, ale wynika to głównie z ustawy (informacja zwrotna), a nie z RODO.

Retencja: 3 lata liczone per sprawa

Dane w rejestrze zgłoszeń przechowuje się przez 3 lata po zakończeniu roku kalendarzowego, w którym zakończono działania następcze lub postępowania zainicjowane tymi działaniami (art. 29 ust. 5). Dłuższe przechowywanie wymaga innej podstawy, na przykład toczącego się sporu; krótsze narusza ustawę. Retencja liczy się osobno dla każdej sprawy, więc mechanizm powinien przypominać o upływie i wymagać świadomego usunięcia, z wpisem w dzienniku.

Upoważnienia i tajemnica

Do przyjmowania i weryfikacji zgłoszeń oraz podejmowania działań następczych mogą być dopuszczone wyłącznie osoby posiadające pisemne upoważnienie podmiotu prawnego, zobowiązane do zachowania tajemnicy (art. 8 ust. 6). To ta sama konstrukcja, co upoważnienie do przetwarzania danych z art. 29 RODO, tylko ustawa czyni ją obowiązkową i pisemną. Rejestr upoważnień z potwierdzeniem odbioru przez pracownika jest dokumentem, o który kontrola pyta w pierwszej kolejności.

Przekazywanie danych i podprocesorzy

Administrator odpowiada za to, gdzie dane fizycznie są. Dostawca, który hostuje system poza Europejskim Obszarem Gospodarczym albo korzysta z podwykonawców spoza EOG, musi mieć podstawę transferu (decyzja o adekwatności, standardowe klauzule umowne) i wskazać to w wykazie podprocesorów. Umowa powierzenia powinna zobowiązywać dostawcę do informowania o zmianie podprocesorów z wyprzedzeniem, z prawem sprzeciwu.

Osobną kategorią jest szyfrowanie end-to-end: jeśli treść zgłoszenia i tożsamość sygnalisty są szyfrowane kluczem, który ma wyłącznie klient, dostawca przetwarza wyłącznie szyfrogram i metadane. Z punktu widzenia RODO nadal jest podmiotem przetwarzającym, ale ryzyko naruszenia po jego stronie ogranicza się do danych, których nie potrafi odczytać. To argument, który inspektor ochrony danych rozumie bez tłumaczenia.

Ocena skutków (DPIA)

Przetwarzanie zgłoszeń sygnalistów spełnia kryteria wysokiego ryzyka: dotyczy osób w relacji zależności, obejmuje dane o naruszeniach prawa i może prowadzić do poważnych skutków dla osób. Prezes UODO wymienia zgłaszanie nieprawidłowości na liście operacji wymagających oceny skutków dla ochrony danych. DPIA powinna być gotowa przed uruchomieniem kanału i aktualizowana przy zmianie dostawcy albo zakresu procedury. Dokumentacja dostawcy (opis zabezpieczeń, lokalizacja danych, wykaz podprocesorów, umowa powierzenia) jest jej załącznikiem.

Jak to wygląda w sygnadesk

Klient jest administratorem, operator podmiotem przetwarzającym na podstawie umowy powierzenia dostępnej publicznie, z wykazem podprocesorów i lokalizacją danych wyłącznie w Unii Europejskiej. Repozytorium upoważnień wystawia i ewidencjonuje pisemne upoważnienia z potwierdzeniem odbioru. Retencja jest liczona per sprawa, z przypomnieniem i usuwaniem potwierdzanym przez człowieka. W trybie end-to-end treść i tożsamość są zaszyfrowane kluczem klienta, więc operator technicznie nie ma dostępu do danych, które chroni.