Denunțarea neregulilor și RGPD: Lecții învățate din activitatea noastră în 

Grecia 

De MD Brainnovation, Manos Dimogerontakis 

La MD Brainnovation activăm în principal ca consultanți în materie de conformitate cu RGPD. De când Grecia a adoptat Legea 4990/2022, o mare parte din activitatea noastră a constat în sprijinirea companiilor în configurarea și revizuirea canalelor lor de denunțare. Am constatat rapid că majoritatea problemelor dificile nu țin deloc de legislația privind denunțarea neregulilor. Ele se referă la datele cu caracter personal. Acest articol prezintă ceea ce am învățat pe parcurs, din perspectiva noastră. 

Atât Directiva (UE) 2019/1937, cât și legea greacă care a transpus-o se bazează pe GDPR. Identitatea denunțătorului trebuie să rămână la cunoștința persoanelor autorizate să gestioneze sesizarea. Datele care sunt în mod evident irelevante nu trebuie păstrate. Sesizările trebuie stocate doar atât timp cât este necesar. Legea 4990/2022 adaugă faptul că întreprinderile cu 50 sau mai mulți angajați trebuie să numească un responsabil cu primirea și monitorizarea sesizărilor (Υ.Π.Π.Α.) și permite anumite limitări ale drepturilor persoanelor vizate în cazul în care acestea ar pune în pericol persoana care a făcut sesizarea sau ancheta. Pe hârtie, acest lucru este clar. În practică, patru probleme apar în mod repetat. 

Lecția 1: Societățile din cadrul grupului și transferurile de date  

Mulți dintre clienții noștri sunt filiale grecești ale unor grupuri internaționale. De obicei, grupul dispune deja de o linie telefonică de asistență globală, adesea gestionată de un furnizor extern, iar sesizările sunt analizate la sediul central. Reacția firească este să se conecteze compania greacă la acest sistem și să se treacă mai departe. Această abordare poate funcționa, dar necesită o analiză mai aprofundată decât se așteaptă majoritatea. Compania din Grecia rămâne responsabilă pentru propriul canal, astfel încât soluția la nivel de grup trebuie să respecte cerințele din Grecia, inclusiv desemnarea unui responsabil local. Atunci când sesizările sunt transmise către societatea-mamă, trebuie definit rolul fiecărei entități: cine este operatorul, cine este persoana împuternicită de operator și dacă există un control în comun. Iar atunci când sediul central sau furnizorul platformei se află în afara SEE, sunt necesare un mecanism de transfer, cum ar fi clauzele contractuale standard, și o evaluare a impactului transferului. Ceea ce le spunem clienților este simplu: cartografiați traseul pe care îl parcurge efectiv o sesizare, din momentul în care este depusă până la închiderea cazului. Foarte adesea, nimeni nu a făcut acest lucru, iar harta în sine evidențiază lacunele. 

Lecția 2: Cererile de acces din partea persoanelor implicate într-un raport  

Mai devreme sau mai târziu, o persoană menționată într-un raport depune o cerere de acces în temeiul RGPD. Uneori, este vorba de o dorință sinceră de a afla ce informații se dețin despre ea. Alteori, este o încercare de a afla cine a făcut sesizarea. Legislația greacă permite companiei să restricționeze drepturile pentru a proteja persoana care a făcut sesizarea și ancheta. Am observat însă că unele companii interpretează acest lucru ca pe o permisiune de a refuza orice cerere, iar aceasta este o greșeală. Restricția trebuie evaluată de la caz la caz și documentată. Persoana în cauză are în continuare dreptul la datele care o privesc, atâta timp cât nimic nu dezvăluie identitatea persoanei care a făcut sesizarea și nu prejudiciază ancheta. În practică, acest lucru înseamnă o redactare atentă, o motivare clară în dosar și un răspuns în termenele prevăzute de GDPR. Sfatul nostru este să pregătiți o procedură internă succintă pentru aceste cereri înainte de sosirea primei dintre ele. Gestionarea lor sub presiune este momentul în care se produc cele mai multe erori. 

Lecția 3: Anonimatul și pseudonimizarea 

Raportarea anonimă pare cea mai sigură opțiune și, pentru denunțător, adesea chiar este. Pentru organizație, aceasta îngreunează urmărirea cazului, deoarece nu există nimeni căruia să i se poată solicita mai multe detalii sau care să fie ținut la curent. Platformele bune rezolvă această problemă cu o căsuță poștală anonimă, astfel încât echipa care se ocupă de caz să poată comunica cu denunțătorul fără a ști cine este acesta. În cazul în care denunțătorul este cunoscut, recomandăm pseudonimizarea în cadrul dosarului. Identitatea este păstrată separat, accesibilă doar responsabilului, iar dosarul cazului funcționează cu un număr de referință. Acest lucru limitează prejudiciul în cazul în care dosarul este partajat sau se produce o scurgere de informații. Este important să reținem, totuși, că datele pseudonimizate rămân date cu caracter personal pentru compania care deține cheia, astfel încât toate obligațiile prevăzute de RGPD continuă să se aplice. Cel mai mare risc pe care îl observăm nu este numele. Este tot ceea ce îl înconjoară: departamentul, datele, un detaliu pe care doar o singură persoană l-ar putea cunoaște. Înainte ca orice rezumat să părăsească echipa de caz, cineva ar trebui să îl citească având în minte o singură întrebare: ar putea acest lucru să identifice autorul raportului? 

Lecția 4: Evaluarea impactului asupra protecției datelor (DPIA) nu este opțională în Grecia 

Ni se pune adesea întrebarea dacă o evaluare a impactului asupra protecției datelor este cu adevărat necesară pentru un canal de denunțare. În Grecia, răspunsul este da. Lista operațiunilor de prelucrare care necesită o DPIA, întocmită de Autoritatea Elenă pentru Protecția Datelor (Decizia 65/2018, publicată în Monitorul Oficial 1622/10.05.2019), menționează în mod expres înregistrarea persoanelor fizice în sistemele de denunțare ca exemplu de prelucrare care ar putea împiedica persoanele să-și exercite drepturile. Conform listei, îndeplinirea unui astfel de criteriu este suficientă pentru ca DPIA să devină obligatorie. Din experiența noastră, DPIA este, de asemenea, cel mai util document din întregul proiect. Acesta obligă compania să răspundă la întrebările de mai sus: unde ajung datele, cine le vede, cât timp sunt păstrate și cum vor fi gestionate cererile privind drepturile. Aceasta trebuie realizată înainte ca canalul să devină operațional și revizuită ori de câte ori se modifică platforma, furnizorul sau structura grupului. 

Concluzii 

Un canal de raportare funcționează numai dacă oamenii au încredere în el. Dacă angajații cred că numele lor va fi făcut public, vor păstra tăcerea, indiferent de ce prevede legea. Din perspectiva noastră, ca consultanți în protecția datelor, respectarea prevederilor GDPR este modul în care se construiește această încredere, iar fiecare organizație poate începe să facă acest lucru chiar de acum. 

Surse 

• Directiva (UE) 2019/1937 privind protecția persoanelor care semnalează 

• încălcări ale dreptului Uniunii 

• Regulamentul (UE) 2016/679 (GDPR) 

• Autoritatea elenă pentru protecția datelor, Decizia 65/2018, lista evaluărilor de impact privind protecția datelor (DPIA) în temeiul articolului 35 alineatul (4) din RGPD 

• EY Grecia, Alertă juridică privind Legea 4990/2022 

• Zepos & Yannopoulos, notă privind Legea 4990/2022