Сигнализирането за нередности и Общият регламент за защита на данните (GDPR): Поуки от нашата работа в Гърция

Published by voiceguarddev on октомври 19, 2026

Tags

Сигнализирането за нередности и Общият регламент за защита на данните (GDPR): Поуки от нашата работа в

Гърция

От MD Brainnovation, Манос Димогеронтакис

В MD Brainnovation работим предимно като консултанти по съответствие с Общия регламент за защита на данните (GDPR). Откакто Гърция прие Закон 4990/2022, голяма част от тази работа се състои в подпомагане на компаниите при създаването и прегледа на техните канали за сигнализиране на нередности. Бързо разбрахме, че повечето от трудните въпроси изобщо не се отнасят до законодателството за сигнализиране на нередности. Те се отнасят до личните данни. В тази статия споделяме какво сме научили по пътя, от нашата гледна точка.

Изходната точка – Директива (ЕС) 2019/1937 и гръцкият закон, който я транспонира – и двете се основават на Общия регламент за защита на данните (GDPR). Идентичността на сигнализиращия трябва да остане известна само на лицата, упълномощени да обработват сигнала. Данните, които са явно нерелевантни, не трябва да се съхраняват. Сигналите трябва да се съхраняват само толкова дълго, колкото е необходимо. Закон 4990/2022 допълва, че компаниите с 50 или повече служители трябва да назначат длъжностно лице за приемане и мониторинг на сигнали (Υ.Π.Π.Α.), и допуска определени ограничения на правата на субектите на данни, когато те биха изложили на риск подателя на сигнала или разследването. На хартия това е ясно. На практика обаче четири проблема възникват отново и отново.

Урок 1: Дружества от групата и трансфер на данни

Много от нашите клиенти са гръцки дъщерни дружества на международни групи. Обикновено групата вече разполага с глобална гореща линия, често управлявана от външен доставчик, като сигналите се разглеждат в централата. Естествената реакция е гръцкото дружество да бъде включено в тази система и да се продължи напред. Това може да сработи, но изисква повече обмисляне, отколкото повечето очакват. Гръцкото дружество остава отговорно за собствения си канал, така че решението на групата трябва да отговаря на гръцките изисквания, включително да има назначен отговорник на местно ниво. Когато сигналите се изпращат към дружеството-майка, трябва да се определи ролята на всяко юридическо лице: кой е администратор, кой е обработващ лични данни и дали има съвместен контрол. А когато централата или доставчикът на платформата се намира извън ЕИП, се изисква механизъм за трансфер, като например стандартни договорни клаузи, както и оценка на въздействието от трансфера. Това, което казваме на клиентите, е просто: начертайте пътя, по който действително преминава даден сигнал, от момента на подаването му до приключването на случая. Много често никой не е направил това, а самата схема показва пропуските.

Урок 2: Искания за достъп от лица, свързани със сигнал

Рано или късно някой, чието име фигурира в сигнал, подава заявка за достъп съгласно GDPR. Понякога това е искрено желание да разбере какви данни се съхраняват за него. Понякога е опит да се разбере кой го е сигнализирал. Гръцкото законодателство позволява на компанията да ограничи правата, за да защити сигнализиращия и разследването. Но сме виждали компании, които третират това като разрешение да отказват всичко, а това е грешка. Ограничението трябва да се преценява за всеки отделен случай и да се документира. Засегнатото лице все пак има право на достъп до данните за себе си, стига нищо да не разкрива самоличността на подалия сигнала или да не навреди на разследването. На практика това означава внимателно редактиране, ясно обосноваване в досието и отговаряне в сроковете, предвидени в GDPR. Нашият съвет е да подготвите кратка вътрешна процедура за тези заявки, преди да постъпи първата. Най-често грешките се случват, когато се работи под натиск.

Урок 3: Анонимност и псевдонимизация

Анонимното подаване на сигнали звучи като най-безопасният вариант и за сигнализиращия често наистина е такъв. За организацията обаче това затруднява последващите действия, тъй като няма кого да се попита за повече подробности или да се държи в течение. Добрите платформи решават този проблем с анонимна пощенска кутия, така че екипът, работещ по случая, да може да общува със сигнализиращия, без да знае кой е той. Когато сигнализиращият е известен, препоръчваме псевдонимизация в рамките на делото. Самоличността се съхранява отделно, достъпна само за отговорния служител, а досието на случая се води с референтен номер. Това ограничава щетите, ако досието бъде споделено или изтече. Важно е обаче да се помни, че псевдонимизираните данни все пак са лични данни за компанията, която притежава ключа, така че всички задължения по Общия регламент за защита на данните (GDPR) продължават да важат. Най-големият риск, който виждаме, не е името. Той е всичко около него: отделът, датите, подробност, която само един човек би могъл да знае. Преди което и да е резюме да напусне екипа по случая, някой трябва да го прочете, като си задава един въпрос: би ли могло това да идентифицира докладващия?

Урок 4: Оценката на въздействието върху защитата на данните (DPIA) не е по избор в Гърция

Често ни питат дали оценката на въздействието върху защитата на данните (DPIA) е наистина необходима за канал за подаване на сигнали. В Гърция отговорът е „да“. Списъкът на Гръцката агенция за защита на данните с операции по обработка, които изискват ОВЗД (Решение 65/2018, публикувано в Държавен вестник № 1622 от 10.05.2019 г.), изрично посочва регистрирането на физически лица в системи за подаване на сигнали като пример за обработка, която може да попречи на хората да упражнят правата си. Съгласно списъка, изпълнението на такъв критерий е достатъчно, за да се превърне ОВЗД в задължителна. Според нашия опит ОВЗД е и най-полезният документ в целия проект. Тя принуждава компанията да отговори на въпросите по-горе: къде отиват данните, кой ги вижда, колко дълго се съхраняват и как ще се обработват исканията за упражняване на права. Тя трябва да бъде изготвена преди каналът да започне да функционира и да се преразглежда при всяка промяна в платформата, доставчика или структурата на групата.

Заключителни мисли

Каналът за сигнализиране функционира само ако хората му имат доверие. Ако служителите смятат, че името им ще бъде разкрито, те ще мълчат, независимо от това какво казва законът. От нашата гледна точка като консултанти по защита на данните, правилното прилагане на GDPR е начинът, по който се изгражда това доверие, и това е нещо, с което всяка организация може да започне още сега.

Източници