Oznamování nekalých praktik a GDPR: Zkušenosti z naší práce v Řecku

Published by voiceguarddev on 19 října, 2026

Tags

Oznamování nekalých praktik a GDPR: Zkušenosti z naší práce v

Řecku

Autor: MD Brainnovation, Manos Dimogerontakis

Ve společnosti MD Brainnovation působíme především jako konzultanti v oblasti dodržování nařízení GDPR. Od přijetí řeckého zákona č. 4990/2022 se velká část naší práce soustředí na pomoc firmám při zavádění a revizi jejich systémů pro oznamování nekalých praktik. Brzy jsme zjistili, že většina složitých otázek se vůbec netýká samotného zákona o oznamování nekalých praktik. Týkají se osobních údajů. V tomto článku se podělíme o to, co jsme se při této práci naučili z našeho pohledu.

Výchozím bodem je směrnice (EU) 2019/1937 a řecký zákon, který ji transponoval; oba se opírají o GDPR. Identita oznamovatele musí zůstat pouze u osob oprávněných k vyřizování oznámení. Údaje, které jsou zjevně irelevantní, by neměly být uchovávány. Oznámení by měla být uchovávána pouze po dobu nezbytně nutnou. Zákon č. 4990/2022 dále stanoví, že společnosti s 50 a více zaměstnanci musí jmenovat úředníka pro přijímání a sledování oznámení (Υ.Π.Π.Α.), a umožňuje určitá omezení práv subjektů údajů v případech, kdy by tato práva ohrozila oznamovatele nebo vyšetřování. Na papíře je to jasné. V praxi se však stále znovu objevují čtyři problémy.

Poučení 1: Společnosti v rámci skupiny a předávání údajů

Mnoho našich klientů jsou řecké dceřiné společnosti mezinárodních skupin. Skupina obvykle již disponuje globální horkou linkou, často provozovanou externím poskytovatelem, přičemž oznámení jsou posuzována v centrále. Přirozenou reakcí je zapojit do tohoto systému řeckou společnost a pokračovat dál. To může fungovat, ale vyžaduje to více úvah, než většina očekává. Řecká společnost zůstává zodpovědná za svůj vlastní kanál, takže řešení skupiny musí splňovat řecké požadavky, včetně jmenování místního pověřeného pracovníka. Pokud hlášení směřují k mateřské společnosti, je třeba definovat roli každého subjektu: kdo je správcem, kdo je zpracovatelem a zda existuje společná kontrola. A pokud se centrála nebo poskytovatel platformy nachází mimo EHP, je vyžadován mechanismus předávání, jako jsou standardní smluvní doložky, a posouzení dopadu předávání. To, co klientům radíme, je jednoduché: zmapujte, kudy se hlášení skutečně pohybuje, od okamžiku jeho podání až po jeho uzavření. Velmi často to nikdo neudělal a samotná mapa odhalí mezery.

Poučení č. 2: Žádosti o přístup od osob zapojených do hlášení

Dříve či později někdo, kdo je v hlášení uveden, podá žádost o přístup podle GDPR. Někdy jde o upřímnou snahu zjistit, jaké údaje o něm jsou uchovávány. Jindy se jedná o pokus zjistit, kdo ho nahlásil. Řecký zákon umožňuje společnosti omezit práva za účelem ochrany oznamovatele a vyšetřování. Viděli jsme však, že některé společnosti to považují za povolení k úplnému zamítnutí žádosti, a to je chyba. Omezení je třeba posuzovat případ od případu a zdokumentovat. Dotčená osoba má stále nárok na údaje o sobě, pokud nic neprozrazuje totožnost oznamovatele ani neohrožuje vyšetřování. V praxi to znamená pečlivé redigování, jasné odůvodnění ve spisu a odpověď v lhůtách stanovených GDPR. Naším doporučením je připravit si krátký interní postup pro tyto žádosti ještě předtím, než dorazí první z nich. Právě při jejich vyřizování pod tlakem dochází k většině chyb.

Poučení 3: Anonymita a pseudonymizace

Anonymní podání stížnosti zní jako nejbezpečnější možnost a pro oznamovatele jí často i je. Pro organizaci však ztěžuje následné kroky, protože není koho požádat o další podrobnosti nebo komu poskytovat informace. Kvalitní platformy tento problém řeší pomocí anonymní schránky, takže tým pověřený případem může s oznamovatelem komunikovat, aniž by věděl, o koho se jedná. Pokud je oznamovatel znám, doporučujeme v rámci případu použít pseudonymizaci. Totožnost je uchovávána odděleně, přístupná pouze pověřenému pracovníkovi, a spis se vede pod referenčním číslem. To omezuje škody v případě sdílení nebo úniku spisu. Je však důležité mít na paměti, že pseudonymizované údaje jsou pro společnost, která drží klíč, stále osobními údaji, takže i nadále platí všechny povinnosti vyplývající z GDPR. Největším rizikem podle nás není jméno. Je to vše kolem něj: oddělení, data, detail, který by mohla znát pouze jedna osoba. Než jakékoli shrnutí opustí tým pracující na případu, měl by si ho někdo přečíst s jednou otázkou na mysli: mohlo by to identifikovat oznamovatele?

Poučení č. 4: Posouzení dopadu na ochranu osobních údajů (DPIA) není v Řecku volitelné

Často se nás ptají, zda je pro kanál pro oznamování podezření z protiprávního jednání skutečně nutné posouzení dopadu na ochranu osobních údajů. V Řecku je odpověď ano. Seznam operací zpracování, které vyžadují posouzení dopadu na ochranu osobních údajů (rozhodnutí č. 65/2018, zveřejněné ve Vládním věstníku č. 1622 ze dne 10. 5. 2019), vydaný Řeckým úřadem pro ochranu osobních údajů, výslovně uvádí zaznamenávání osob v systémech pro oznamování nekalých praktik jako příklad zpracování, které může bránit lidem ve výkonu jejich práv. Podle tohoto seznamu stačí splnění tohoto kritéria k tomu, aby bylo posouzení dopadu na ochranu osobních údajů povinné. Z naší zkušenosti je posouzení dopadu na ochranu osobních údajů také nejužitečnějším dokumentem v rámci celého projektu. Nutí společnost odpovědět na výše uvedené otázky: kam data směřují, kdo je vidí, jak dlouho jsou uchovávána a jak budou vyřizovány žádosti o uplatnění práv. Mělo by být provedeno před spuštěním kanálu a revidováno vždy, když dojde ke změně platformy, poskytovatele nebo struktury skupiny.

Závěrečné úvahy

Kanál pro podávání stížností funguje pouze tehdy, pokud mu lidé důvěřují. Pokud se zaměstnanci obávají, že se jejich jméno dostane na veřejnost, budou mlčet, ať už zákon říká cokoli. Z našeho pohledu jako konzultantů v oblasti ochrany osobních údajů je správné dodržování nařízení GDPR základem pro budování této důvěry a je to něco, s čím může každá organizace začít již nyní.

Zdroje