Zgłoszenia anonimowe: czy trzeba je przyjmować i jak to zrobić bezpiecznie

Poufność jest obowiązkiem, anonimowość wyborem

Ustawa o ochronie sygnalistów nakłada na podmiot prawny obowiązek zapewnienia, by procedura i sposób przetwarzania danych uniemożliwiały uzyskanie dostępu do informacji objętych zgłoszeniem osobom nieupoważnionym oraz zapewniały ochronę poufności tożsamości sygnalisty, osoby, której zgłoszenie dotyczy, i osób trzecich wskazanych w zgłoszeniu (art. 8 ust. 1). Tożsamość sygnalisty nie może być ujawniona bez jego wyraźnej zgody, chyba że ujawnienie jest koniecznym i proporcjonalnym obowiązkiem wynikającym z przepisów prawa w związku z postępowaniem prowadzonym przez organy (art. 8 ust. 2 i 3).

To jest poufność: organizacja wie, kto zgłosił, ale wie to wąska grupa upoważnionych osób i nie wolno jej tej wiedzy przekazywać dalej.

Anonimowość to sytuacja, w której organizacja nie wie, kto zgłosił. Ustawa mówi o niej w jednym miejscu: procedura zgłoszeń wewnętrznych może określać tryb postępowania ze zgłoszeniami anonimowymi (art. 25 ust. 2 pkt 1). Decyzja należy do podmiotu prawnego i musi być zapisana w procedurze.

Co oznacza decyzja „nie przyjmujemy”

Jeśli procedura nie przewiduje zgłoszeń anonimowych, anonimowe zgłoszenie nie uruchamia obowiązków z ustawy: nie trzeba go potwierdzać, prowadzić działań następczych ani informować w 3 miesiące. Można je jednak, i zwykle warto, rozpatrzyć na zasadach ogólnych, bo informacja o naruszeniu nie staje się mniej prawdziwa przez to, że nie wiadomo, kto ją przekazał.

Ta decyzja ma jednak cenę, której nie widać w procedurze. Dane z badań kanałów zgłoszeń w Europie są zgodne: w organizacjach, które przyjmują zgłoszenia anonimowe, wpływa ich znacząco więcej, a udział zgłoszeń dotyczących osób na stanowiskach kierowniczych jest wyższy. Pracownik, który boi się przełożonego, nie zgłosi sprawy pod nazwiskiem niezależnie od tego, jak solidna jest klauzula poufności, bo w małej firmie i w małym oddziale „poufne” w praktyce oznacza „kilka osób wie”.

Co oznacza decyzja „przyjmujemy”

Przyjmowanie zgłoszeń anonimowych wymaga trzech rzeczy, których zwykła skrzynka e-mail nie zapewnia:

1. Kanału, który naprawdę nie zbiera tożsamości. Skrzynka e-mail zapisuje adres nadawcy. Formularz na firmowym intranecie zapisuje login. Strona, która ładuje skrypty analityczne, zapisuje identyfikator przeglądarki. Zgłoszenie jest anonimowe tylko wtedy, gdy strona zgłoszeń nie zapisuje adresu IP, nie używa narzędzi śledzących i nie wymaga konta, a z załączników usuwa metadane (autor pliku, model telefonu, współrzędne GPS zdjęcia), które potrafią zidentyfikować autora dokładniej niż podpis.
2. Sposobu komunikacji zwrotnej bez ujawnienia. Ustawa wymaga potwierdzenia i informacji zwrotnej, jeśli sygnalista podał adres do kontaktu. Anonimowy sygnalista adresu nie poda, ale może wrócić do sprawy przez numer zgłoszenia i kod dostępu, odczytać odpowiedź i odpowiedzieć na pytania osoby prowadzącej. Bez takiego mechanizmu anonimowe zgłoszenie jest jednorazowe i zwykle niekompletne.
3. Zapisu w procedurze, jak weryfikuje się anonimowe zgłoszenia. Anonimowość zwiększa ryzyko zgłoszeń złośliwych. Procedura powinna określać, że zgłoszenia anonimowe weryfikuje się z taką samą starannością, a działania wobec osoby, której dotyczą, podejmuje się dopiero po potwierdzeniu faktów z innych źródeł.

Ochrona sygnalisty anonimowego

Osoba, która zgłosiła anonimowo, a której tożsamość została później ustalona, podlega ochronie przed działaniami odwetowymi na tych samych zasadach co sygnalista jawny (art. 6 w związku z definicją zgłoszenia). Ustalenie tożsamości może nastąpić na przykład wskutek treści zgłoszenia, z której wynika, że tylko jedna osoba mogła je napisać. Organizacja, która w takiej sytuacji podejmie działania wobec domniemanego autora, odpowiada za odwet tak samo, jak gdyby sygnalista się podpisał.

Kiedy poufność się kończy: wniosek o ujawnienie

Nawet w kanale poufnym (nieanonimowym) dostęp do tożsamości sygnalisty powinien być wyjątkiem. Dobra praktyka, którą część organizacji zapisuje w procedurze, to rozdzielenie treści zgłoszenia od tożsamości: osoba prowadząca sprawę widzi treść, a tożsamość jest dostępna dopiero na wniosek zatwierdzony przez drugą upoważnioną osobę, z zapisem celu i daty. Ujawnienie na wezwanie organu jest wtedy udokumentowane, a przypadkowe „zerknięcie” z ciekawości niemożliwe.

Czym anonimowość nie jest

Anonimowość nie zwalnia sygnalisty z odpowiedzialności za świadomie fałszywe zgłoszenie. Kto dokonuje zgłoszenia, wiedząc, że do naruszenia nie doszło, podlega karze (art. 57), a osoba, która poniosła szkodę, może dochodzić odszkodowania lub zadośćuczynienia (art. 15). Anonimowość utrudnia egzekwowanie tej odpowiedzialności, ale jej nie znosi.

Anonimowość nie oznacza też, że zgłoszenie jest mniej wiarygodne. Ustawa nie różnicuje mocy dowodowej. Różnicuje ją co najwyżej treść: zgłoszenie z dokumentami i konkretami waży tyle samo bez podpisu, co z podpisem.

Jak to działa w sygnadesk

Strona zgłoszeń działa pod domeną klienta, nie zapisuje adresu IP, nie ładuje żadnych zasobów z zewnątrz i nie wymaga konta. Sygnalista dostaje numer sprawy i PIN, którymi wraca do rozmowy z osobą prowadzącą; potwierdzenie i informacja zwrotna czekają w sprawie. Z załączników automatycznie usuwane są metadane. Jeśli sygnalista podał tożsamość, jest ona przechowywana osobno od treści, a jej odkrycie wymaga wniosku zatwierdzonego przez drugą upoważnioną osobę i trafia do rejestru wniosków o ujawnienie. W trybie end-to-end treść i tożsamość są dodatkowo zaszyfrowane kluczem klienta, więc operator systemu nie ma do nich dostępu nawet technicznie.