Sygnaliści a RODO - brak krajowych przepisów
Punktem wyjścia w rozważaniach dotyczących wdrożenia przepisów o ochronie sygnalistów jest… brak krajowych przepisów. Choć implementacja dyrektywy Parlamentu Europejskiego i Rady (UE) 2019/1937 z dnia 23 października 2019 r. w sprawie ochrony osób zgłaszających naruszania prawa Unii powinna nastąpić do 17 grudnia 2021 r., to do chwili obecnej stosowna ustawa nie została uchwalona. Najnowsza wersja projektu ustawy o ochronie osób zgłaszających naruszenia prawa jest datowana na dzień 6 kwietnia 2022 r., przy czym nadal jest to dokument, który nie został skierowany do prac w Sejmie.
Choć Polska nie jest osamotniona w opóźnieniu we wdrażaniu przepisów o sygnalistach, to sam fakt przekroczenia wyznaczonego terminu, jak i ciągłe prace nad brzmieniem poszczególnych przepisów ustawy pozostawiają organizacje (zarówno z sektora publicznego, jak i sfery biznesu) w stanie zawieszenia i niepewności.
Pewnym ułatwieniem dla podmiotów, do których adresowane są obowiązki wynikające z ustawy, jest wydłużenie w aktualnej wersji projektu ustawy czasu na wdrożenie przewidzianych w ustawie rozwiązań i spełnienie wymagań – podmioty prywatne, na rzecz których pracuje minimum 250 osób, podmioty publiczne, Rzecznik Praw Obywatelskich oraz organy publiczne będą miały 3 miesiące od ogłoszenia ustawy na podjęcie odpowiednich działań. W przypadku podmiotów prywatnych, na rzecz których pracę wykonuje co najmniej 50 i mniej niż 250 osób wdrożenie ustawy (ustalenie procedury wewnętrznej) powinno nastąpić do 17 grudnia 2023 r.
Dlaczego RODO ma zastosowanie do sygnalistów?
Nie ulega wątpliwości, że jedną z gwarancji skuteczności systemu zgłaszania naruszeń jest zapewnienie bezpieczeństwa danych sygnalisty przed dostępem osób nieuprawnionych. W związku z tym unijny prawodawca już w motywie 83 dyrektywy 2019/1937 poczynił zastrzeżenie, że przetwarzanie danych osobowych zgodnie z dyrektywą, w tym wymiana lub przekazywanie danych osobowych przez właściwe organy, powinno być dokonywane zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO, ogólne rozporządzenie o ochronie danych osobowych).
W związku z tym odesłaniem na potrzeby wdrożenia wszelkich rozwiązań dotyczących ochrony danych osobowych należy uwzględnić zwłaszcza zasady dotyczące przetwarzania danych osobowych określone w art. 5 RODO oraz obowiązek uwzględniania ochrony danych w fazie projektowania i założenie domyślnej ochrony danych, wynikające z art. 25 RODO.
Zgłaszanie naruszeń prawa a obowiązki w obszarze ochrony danych osobowych
Stosowanie przepisów ogólnego rozporządzenia o ochronie danych osobowych rodzi po stronie podmiotu wdrażającego system zgłaszania naruszeń szereg obowiązków. Poza wspomnianymi wyżej zapewnieniem zgodności z zasadami przetwarzania oraz stosowaniem podejścia data protection by design/data protection by default administrator jest zobowiązany do wdrożenia odpowiednich środków technicznych i organizacyjnych, które zagwarantują bezpieczeństwo przetwarzanych danych.
Ponadto, dla realizacji zasady rozliczalności, niezbędne jest prowadzenie odpowiedniej dokumentacji dotyczącej zaprojektowanych i stosowanych rozwiązań – począwszy od rejestru czynności przetwarzania (który musi uwzględniać proces przetwarzania danych w ramach whistleblowingu), przez dokumentowanie powierzeń i transferów danych osobowych do państw trzecich, aż po procedury wewnętrzne, polityki i upoważnienia związane z procesem zgłoszeń i przetwarzanych w jego ramach danych osobowych.
Podmioty zaangażowane w przetwarzanie danych sygnalistów
Projektowana ustawa dopuszcza możliwość obsługi sytemu zgłaszania naruszeń przez podmiot zewnętrzny. W takim wypadku usługodawca będzie uprawiony do obsługi przyjmowanych zgłoszeń, potwierdzenia przyjęcia zgłoszenia przekazania informacji zwrotnej czy zapewnienia informacji dotyczących procedury wewnętrznej. W kontekście przepisów RODO skorzystanie z tej możliwości przez organizację będzie wiązało się z powierzeniem przetwarzania danych osobowych. Z tego faktu wynika szereg obowiązków – weryfikacja dostawcy (podmiotu przetwarzającego), zawarcie umowy powierzenia przetwarzania, analiza potencjalnych transferów danych poza Europejski Obszar Gospodarczy czy uwzględnienie procesora w prowadzonych rejestrach i analizie ryzyka. W pewnych wypadkach, szczegółowo opisanych w projektowanym art. 28 ustawy, w grę wchodzi także kwalifikacja podmiotów zaangażowanych w obsługę systemu zgłoszeń jako współadministratorów.
Obowiązkowa ocena skutków przetwarzania dla ochrony danych
Systemy służące do zgłaszania nieprawidłowości (w szczególności gdy przetwarzane są w nim dane pracowników) zostały uwzględnione w Komunikacie Prezesa Urzędu Ochrony Danych Osobowych z dnia 17 czerwca 2019 r. w sprawie wykazu rodzajów operacji przetwarzania danych osobowych wymagających oceny skutków przetwarzania dla ich ochrony wpisane na listę operacji wymagających oceny skutków przetwarzania. W efekcie przeprowadzenie poszerzonej analizy ryzyka, uwzględniającej ochronę praw i wolności osób, których dane dotyczą, jest obligatoryjną czynnością po stronie administratora. Ocenę skutków dla ochrony danych należy wykonać przed wdrożeniem systemu zgłaszania naruszeń, a także gdy jest dokonywana jakakolwiek modyfikacja systemu. Należy podkreślić, że ocena skutków nie jest procesem jednorazowym – wymaga ona regularnego przeglądu i powtarzania w razie zmieniających się warunków. Powinna być także udokumentowana, aby móc wykazać przestrzeganie przepisów RODO. Prawidłowo przeprowadzona ocena zawiera co najmniej:
- systematyczny opis planowanych operacji przetwarzania i celów przetwarzania, w tym, gdy ma to zastosowanie – prawnie uzasadnionych interesów realizowanych przez administratora;
- ocenę, czy operacje przetwarzania są niezbędne oraz proporcjonalne w stosunku do celów;
- ocenę ryzyka naruszenia praw lub wolności osób, których dane dotyczą
- oraz środki planowane w celu zaradzenia ryzyku, w tym zabezpieczenia oraz środki i mechanizmy bezpieczeństwa mające zapewnić ochronę danych osobowych i wykazać przestrzeganie RODO, z uwzględnieniem praw i prawnie uzasadnionych interesów osób, których dane dotyczą, i innych osób, których sprawa dotyczy.
Podsumowanie
Wdrożenie regulacji dotyczącej zgłaszania naruszeń jest bez wątpienia znaczącym wyzwaniem organizacyjnym, logistycznym, technicznym czy dokumentacyjnym dla wszystkich adresatów ustawy. Ta uwaga dotyczy przy tym nie tylko opracowania samej procedury zgłaszania i jej technicznych aspektów, ale obejmuje również zagadnienia bezpieczeństwa i ochrony danych osobowych przetwarzanych w tym procesie. Dla wielu organizacji może jest to dobra okazja do dokonania przeglądu podjętych dotychczas działań i odpowiedniego ich dostosowania do wymogów RODO.
Adam Szkurłat – adwokat, lider specjalizacji Ochrona danych osobowych, Lubasz i Wspólnicy – Kancelaria Radców Prawnych