Vzpostavitev internega orodja za podajanje anonimnih prijav vezano na neskladja/nepravilnosti v podjetju (»whistleblowing«) - IPRS

Vzpostavitev internega orodja za podajanje anonimnih prijav vezano na neskladja/nepravilnosti v podjetju (»whistleblowing«) + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 19.08.2021 Številka: 07121-1/2021/1443 Kategorije: --> Kategorije: Delovna razmerja, Informiranje posameznika, Razno Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje in sicer ste pojasnili, da želite v vašem podjetju na interni spletni strani vzpostaviti interno orodje za podajanje anonimnih prijav vezano na neskladja/nepravilnosti v podjetju. V nastavitvah orodja bo zagotovljena anonimnost pri podaji prijave, kakor tudi pri podaji odgovora podjetja pošiljatelju prijave skladno z GDPR. Zanima vas, ali je zakonsko gledano to kakorkoli v neskladju v povezavi z varstvom osebnih podatkov. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi
3. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
4. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba),
5. točke prvega odstavka
6. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
7. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Informacijski pooblaščenec (v nadaljevanju IP) uvodoma pojasnjuje, da postopki in orodja, ki omogočajo opozarjanje na nepravilnost in neskladnosti (t.i. »whistleblowing schemes«) v osnovi niso sporni z vidika zakonodaje o varstvu osebnih podatkov, vsekakor pa je pomembna njihova konkretna izvedba in pri tem upoštevanje pravil zakonodaje o varstvu osebnih podatkov, kolikor sama shema ni dejansko popolnoma anonimna. Tudi člen 11 Splošne uredbe (Obdelava, ki ne zahteva identifikacije) določa, da če upravljavec za namene, za katere obdeluje osebne podatke, ne potrebuje ali ne potrebuje več identifikacije posameznika, na katerega se nanašajo osebni podatki, upravljavec ni zavezan ohraniti, pridobiti ali obdelati dodatnih informacij, da bi identificiral posameznika, na katerega se nanašajo osebni podatki, samo zaradi zagotavljanja skladnosti s to uredbo. Kadar lahko upravljavec v primerih iz
8. odstavka člena 11 Splošne uredbe dokaže, da ne more identificirati posameznika, na katerega se nanašajo osebni podatki, upravljavec o tem po možnosti ustrezno obvesti posameznika, na katerega se nanašajo osebni podatki. V takih primerih se členi 15 do 20 ne uporabljajo, razen kadar posameznik, na katerega se nanašajo osebni podatki, za uresničevanje svojih pravic na podlagi teh členov zagotovi dodatne informacije, s katerimi ga je mogoče identificirati. Če želi upravljavec vzpostaviti shemo, ki bi bila dejansko anonimna, potem mora paziti na več elementov in sicer je ključna določenost oziroma določljivost posameznika – če je iz katerih koli podatkov mogoče sklepati ali kar neposredno ugotoviti identiteto posameznika, potem gre za obdelavo osebnih podatkov, kar zahteva spoštovanje pravil in temeljnih načel varstva osebnih podatkov, od zakonitosti, preglednosti itd. Glede na to, da gre za interno spletno stran podjetja je posebno pozornost treba nameniti možnosti določljivosti posameznika pri uporabi spletne strani. Kakršnakoli registracija uporabnikov bi že lahko omogočila njihovo določljivost, prav tako pa je potrebno onemogočiti beleženje revizijskih sledi v dnevniških datotekah za dotično spletno strani, saj bi se iz teh podatkov (podatki o IP naslovu, datumu in času seje, podatki o brskalnem okolju itd.) dalo identificirati prijavitelja, bodisi jih v realnem času anonimizirati, tako da se ti podatki, iz katerih je možna določljivost posameznika ne hranijo. Podobno velja glede morebitne namestitve piškotkov ali drugih sledilnih tehnologij na napravo uporabnika. V luči upoštevanja načela preglednosti obdelave menimo, da je primerno in potrebno posameznike obvestiti o načinu delovanja spletne strani za podajo prijav, predvsem s pojasnili na kakšen način se zagotavlja njihova anonimnost, kakor tudi da anonimnosti posameznika v primeru, da posameznik sam vnese takšne okoliščine prijave, iz katerih bi bilo mogoče posredno ugotoviti njegovo identiteto, ni mogoče zagotoviti in mora biti prijavitelj (»žvižgač«, angl. whistleblower) pozoren na vsebino prijave – nosilec sheme namreč tega ne more preprečiti ne glede na način podaje prijave (elektronsko, osebno ali papirno). Posebno pozornost je treba nameniti tudi varstvu pravic oseb, ki so (lahko) predmet prijave – samo zbirko prejetih prijav – kljub možnosti anonimne podaje prijave - bo treba obravnavati kot zbirko osebnih podatkov, saj je verjetno, da se bodo med prijavami nahajali tudi osebni podatki (domnvenih kršiteljev, tretjih oseb ipd.). Navedeno pomeni, da morate izpolniti dolžnosti, kot veljajo sicer za zbirke osebnih podatkov (pravna podlaga, informiranje posameznikov, evidentiranje zbirke, varnost podatkov itd.). V pomoč so vam lahko tudi naslednje smernice Evropskega odbora za varstvo osebnih podatkov (EDPB) oziroma Evropskega nadzornika za varstvo osebnih podatkov (EDPS): Mnenje št. 5/2014 o anonimizacijskih tehnikah (https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2014/wp216_sl.pdf; EDPB); Guidelines on processing personal information within a whistleblowing procedure (https://edps.europa.eu/data-protection/our-work/publications/guidelines/guidelines-processing-personal-information-within_en; EDPS). Opozarjamo še, da je v smernicah EDPS v točki 3.14 navedeno, da naj t.i. sheme za prijavljanje nepravilnosti načeloma ne bi bile anonimne. Žvižgačem bi moralo biti ponujeno, da se identificirajo ne le zaradi preprečitve zlorabe postopka, temveč tudi da se jim omogoči učinkovito zaščito proti vsem oblikam povračilnih ukrepov. Slednje naj bi omogočalo tudi boljše upravljanje zadev, če oz. ko je potrebno pridobiti dodatne informacije. V vednost vam posredujemo še povezavo o urejanju problematike žvižgačev na EU zakonodajni ravni – evropsko direktivo morajo države članice prenesti v svojo zakonodajo do
9. decembra 2021: https://www.consilium.europa.eu/sl/press/press-releases/2019/10/07/better-protection-of-whistle-blowers-new-eu-wide-rules-to-kick-in-in-2021/ Po poročanju medijev naj bi bil slovenski predlog zakona o zaščiti žvižgačev za medresorsko obravnavo predvidoma pripravljen jeseni
10. S spoštovanjem, Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka Pripravil: mag. Andrej Tomšič, namestnik informacijske pooblaščenke O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026