GDPR и каналы для сообщений о нарушениях

Понятие персональных данных — Содержание сообщения, метаданные, контактные данные, журналы и информация, собранная в ходе рассмотрения, являются персональными данными, если позволяют идентифицировать человека.

Правовое основание (art 6) — Обработка должна иметь правовое основание, например обязанность по закону, исполнение договора или законный интерес. Организация должна документировать, на каком основании обрабатываются данные уведомлений.

Особо конфиденциальные данные (art 9) — Некоторые сообщения могут касаться данных о здоровье, политических взглядов или других особых категорий данных. В таком случае действуют более строгие условия.

Минимизация данных и ограничение цели (art 5) — Собирать можно только то, что необходимо для рассмотрения, и использовать данные только для обработки сообщения.

Защита по умолчанию (privacy by design) (art 25) — Privacy by design: технические и организационные меры должны по умолчанию защищать конфиденциальные данные, а не добавляться позже.

Безопасность (art 32) — Шифрование, контроль доступа, журналирование и другие меры должны быть соразмерны риску.

Контролёр и обработчик (art 28) — Организация обычно является контролёром (controller). Внешний поставщик платформы — обработчик (processor) и требует договора об обработке данных (DPA).

Права субъекта данных (art 12–22) — Доступ, исправление, удаление, ограничение и возражение — если применимо и без нарушения конфиденциальности рассмотрения.

Утечки данных (art 33–34) — При утечке её нужно выявить, задокументировать и при необходимости уведомить надзорный орган и субъектов данных.

Хранение и удаление (art 5) — Данные можно хранить только столько, сколько необходимо, после чего их нужно безопасно удалить.

Конфиденциальность и защита личности — TÕRTKS требует конфиденциальности факта сообщения; личность заявителя можно раскрыть только с письменного согласия. Закон не обязывает принимать анонимные сообщения. С точки зрения GDPR конфиденциальность должна быть обеспечена технически, в том числе в отношении метаданных. Внутренняя почта обычно этого не даёт. Техническая анонимность — способ реализовать конфиденциальность и меры GDPR.

Конфиденциальность при рассмотрении — Содержание сообщения могут знать только назначенные ответственные за рассмотрение. Это согласуется с принципом «need-to-know» GDPR и ограничениями доступа.

Задокументированное рассмотрение — Письменный порядок и ответственные лица — требование к процедуре, но на практике это также означает чёткое распределение ролей при обработке данных.

Журналы действий и возможность аудита — Закон не использует слово «auditlogi», но достоверность рассмотрения и доказательство предполагают возможность увидеть, кто получал доступ к данным.

Внешний или независимый канал — Внешний канал снижает конфликт интересов. С точки зрения GDPR это помогает обеспечить ограниченный и контролируемый доступ к данным.

Запрет на репрессии — Защита информатора — процессуальное правовое требование. Разглашение данных не тем лицам может нарушить принципы конфиденциальности как TÕRTKS, так и GDPR.

метаданные электронной почты, пересылка и общие почтовые ящики могут раскрыть личность информатора;

IT-администраторы, резервные копии и функции поиска могут дать доступ людям, которым это не нужно для рассмотрения дела;

типовые формы могут не обеспечить хранение данных в ЕС/ЕЭЗ и договор об обработке данных;

неструктурированное рассмотрение создаёт риски хранения и удаления данных.

Чётко определите роли контролёра (controller) и при необходимости обработчика (processor).

Задокументируйте правовое основание, сроки хранения и права доступа.

Используйте решение, которое поддерживает анонимные сообщения, ролевой доступ, шифрование и журналы действий.

Заключите DPA с внешними поставщиками услуг и проверяйте субобработчиков.

Обучайте ответственных за рассмотрение и проводите периодический аудит соответствия.