System dla sygnalistów w instytucji finansowej: dane, których nie zobaczy dostawca

Co mówi ustawa w tej sytuacji

Podmioty działające w zakresie usług, produktów i rynków finansowych oraz przeciwdziałania praniu pieniędzy mają obowiązek procedury zgłoszeń wewnętrznych niezależnie od liczby osób (art. 23 ust. 3 ustawy o ochronie sygnalistów). Ustawa nakłada się tu na wcześniejsze obowiązki sektorowe: procedury anonimowego zgłaszania naruszeń z Prawa bankowego, ustawy o obrocie instrumentami finansowymi, ustawy o AML i rozporządzeń unijnych. Jeden kanał powinien obsłużyć wszystkie te reżimy, z kwalifikacją zgłoszenia przez osobę prowadzącą.

Instytucja finansowa jest też pod nadzorem KNF, który w ramach kontroli ocenia procedury zgłaszania naruszeń, a jako administrator danych szczególnego ryzyka podlega wymogom outsourcingu i DORA w zakresie usług ICT.

Na co zwrócić uwagę przy wdrożeniu

1. Scenariusz włamania u dostawcy. Jeśli treść zgłoszeń i tożsamość sygnalistów są zaszyfrowane kluczem, który ma wyłącznie instytucja, wyciek z bazy dostawcy oznacza wyciek szyfrogramu. To zmienia klasyfikację incydentu i obowiązki notyfikacyjne.
2. Scenariusz wezwania. Dostawca, który nie ma klucza, nie ma czego wydać. Wezwanie trafia do instytucji, która decyduje z własnym działem prawnym.
3. Dostęp awaryjny. Utrata klucza nie może oznaczać utraty rejestru. Mechanizm odzyskania powinien wymagać jednocześnie dwóch stron, operatora i instytucji, żeby żadna nie mogła go użyć sama.
4. Lokalizacja i podprocesorzy. Dane wyłącznie w Unii Europejskiej, wykaz podprocesorów z lokalizacją i podstawą transferu, umowa powierzenia gotowa do załączenia do DPIA i do dokumentacji outsourcingu.
5. Dziennik audytu jako dowód, nie jako log serwera: kto, kiedy, co, z niemodyfikowalnością, którą da się wykazać audytorowi.

Funkcje, które robią różnicę

• Szyfrowanie end-to-end kluczem klienta, z dostępem awaryjnym wymagającym dwóch stron (poufność); tryb opisany w umowie powierzenia, pkt 3.
• Dane wyłącznie w UE: Warszawa i Frankfurt, kopie zapasowe w EOG (bezpieczeństwo).
• Niemodyfikowalny dziennik audytu i eksport na kontrolę (zgodność).
• RBAC per formularz i sprawa: compliance, audyt wewnętrzny i HR widzą tylko swoje kategorie.
• Integracje: webhooki i API wyłącznie z metadanymi do systemów GRC, bez treści zgłoszeń (wdrożenie i integracje).
• Wykaz podprocesorów publiczny, z powiadomieniem o zmianie z 14-dniowym wyprzedzeniem (podprocesorzy).

Najczęstsze pytania

Czy operator systemu jest podmiotem przetwarzającym, skoro nie może odczytać danych?

Tak. Przetwarza szyfrogram i metadane w imieniu instytucji, więc umowa powierzenia jest obowiązkowa. Różnica polega na tym, że ryzyko po stronie operatora ogranicza się do danych, których nie potrafi odczytać, co ma znaczenie w ocenie skutków i w klasyfikacji ewentualnego incydentu.

Jak kanał obsługuje zgłoszenia z Prawa bankowego i z ustawy o AML?

Jako osobne kategorie w tym samym rejestrze, z uprawnieniami dla właściwych osób. Kwalifikacja zgłoszenia następuje po wpływie, a terminy i dziennik działają tak samo niezależnie od podstawy prawnej.

Więcej w artykule RODO w zgłoszeniach sygnalistów.