UPDATE: Ce verificări ar trebui să facă angajatorii, privind prelucrarea datelor personale, în contextul legii avertizorilor de integritate

Directiva europeană 1.937/2019 avea ca termen de transpune în legislația română decembrie 2021, însă un act normativ cu acest subiect a venit abia în decembrie anul precedent. Legea nr. 361/2022 privind protecţia avertizorilor în interes public este menită să înlesnească raportările avertizorilor cu privire la încălcarea legislației în cadrul entităților private, dar și încălcările din cadrul autorităților și instituțiilor publice sau altor persoane juridice de drept public. Între altele, vorbim și de o obligație pentru companiile private să creeze canale interne de raportare pentru avertizori și proceduri pentru gestionarea raportărilor, dar care se va aplica etapizat -  începând de la intrarea în vigoare a legii (22 decembrie 2022) pentru cei care au de la 250 de angajați în sus și începând din 17 decembrie 2023 cele care au între 50 - 249 de salariați.

Într-o analiză realizată de NNDKP în 2021, specialiștii atrageau atenția asupra faptului că există o serie de verificări care trebuie bifate în contextul prelucrării datelor personale ale avertizorilor.

Astfel, dacă angajatorii trebuie să aibă un canal intern, fie că el există deja sau este în curs de implementare, analiza realizată trebuie să răspundă următoarelor chestiuni:

• cum și când vor fi colectate date personale - de exemplu, dacă este posibil prin înregistrări ale convorbirilor, doar prin e-mail sau printr-o platformă dedicată;
• cine sunt sau cine pot fi persoanele ale căror date vor fi colectate: angajați, colaboratori, parteneri de afaceri;
• ce date personale trebuie colectate în ce tip de formular;
• dacă pot apărea cazuri în care se va ajunge la procesarea unor date personale cu caracter special;
• care sunt scopurile specifice pentru fiecare tip de date care vor ajunge să fie prelucrate;
• ce baza legală li se poate aplica acestor date;
• cât timp vor fi stocate acele date personale;
• cine va avea acces la respectivele date, atât la nivel intern, cât și extern, de unde (din ce țară și prin ce modalitate) și în ce circumstanțe;
• când, cum și dacă vor fi persoanele informate despre prelucrarea datelor sale personale.

În realizarea analizei și luând în considerare chestiunile menționate anterior nu trebuie să fie uitate aspectele legate de impactul asupra protecției datelor, de interesul legitim și transferul datelor.

Specialiștii NNDKP spuneau că, în situația în care angajatorul apelează la o companie care se ocupă în mod specific cu acest tip de sesizări, în locul canalului intern de sesizare, trebuie stabilite o serie de aspecte chiar înainte de semnarea contractului, respectiv în faza de negociere, cum ar fi:

• stabilirea rolurilor și responsabilităților din punctul de vedere al protecției datelor personale;
• verificarea antecedentelor terțului pentru asigurarea că oferă suficiente garanții legate de protecția datelor;
• verificarea în ce țară vor fi stocate datele personale de către terț sau din ce stat vor fi ele accesate;
• agrearea asupra mecanismului de verificare periodică a măsurilor de garantare a protecției datelor;
• identificarea/verificarea/implementarea măsurilor sau a controalelor necesare pentru asigurarea protecției datelor;
• accesul unui număr limitat de oameni la datele personale stocate;
• confidențialitatea, disponibilitatea și integritatea datelor personale încă de la începutul colectării lor până la ștergere;
• restricționarea prelucrării datelor personale, excepția fiind stocarea lor;
• raportarea sau învățarea de pe urma apariției unor incidente de securitate;
• posibilitatea de a genera o copie a datelor cu caracter personal pentru a respecta dreptul de acces și dreptul la portabilitate.

Pentru cei care pentru care obligația de a avea canal intern de raportare, procedură pusă la punct și un responsabil desemnat, termenul din 22 decembrie, de intrare în vigoare a Legii Whistleblower, e un semn de exclamare că lucrurile trebuie puse în mișcare cât mai curând posibil, pentru a nu risca impunerea unor amenzi, mai târziu (care ajung până la 40.000 de lei).