Whistleblowing EU

Avoimen lähdekoodin ilmoituskanava (Suomi)

Etsitkö turvallista, eettistä ilmoituskanavaa, joka täyttää EU-direktiivin vaatimukset?

Kokeile GlobaLeaks ilmaista avoimen lähdekoodin ohjelmistoa, joka on suunniteltu:

Lue lisää virallisesta dokumentaatiosta.

Dokumentaatio Demo

EU:n ilmoittajansuojeludirektiivi

EU:n direktiivi unionin oikeuden rikkomisesta ilmoittavien henkilöiden suojelusta velvoittaa organisaatioita perustamaan turvalliset, luottamukselliset ja lainsäädännön mukaiset ilmoituskanavat.

Suomessa direktiivi pannaan täytäntöön ilmoittajansuojelulailla (1171/2022). Vähintään 50 työntekijän julkisten ja yksityisten organisaatioiden on perustettava sisäinen ilmoituskanava. Oikeuskanslerinvirasto toimii ulkoisena ilmoituskanavana.

Lakisääteiset velvoitteet ja vaatimustenmukaisuus

Säännös Velvoite Miten GlobaLeaks täyttää vaatimuksen
15 § (1 mom.) Ilmoittajansuojelulain mukaan organisaation on perustettava sisäinen ilmoituskanava, jonka kautta väärinkäytösten ilmoittaminen voidaan tehdä turvallisesti ja luottamuksellisesti sekä kirjallisesti että suullisesti. GlobaLeaks tarjoaa oman sisäisen whistleblowing-kanavan, joka on itse ylläpidettävä ja perustuu vapaaseen, avoimen lähdekoodin ohjelmistoon, jonka voi todentaa. Ilmoitukset ja liitteet salataan ja ilmoittajan henkilöllisyys on suojattu kaikissa vaiheissa. Ilmoituksen voi tehdä kirjallisesti liitteineen tai suullisesti ääniviestillä. Täydellinen anonymiteetti on mahdollista Tor-teknologian integroinnin ansiosta.
15 § (3 mom.) Suullinen ilmoittaminen on mahdollistettava puhelimitse tai muun ääniviestijärjestelmän kautta, ja ilmoittajan pyynnöstä on järjestettävä henkilökohtainen tapaaminen kohtuullisen ajan kuluessa. GlobaLeaks mahdollistaa suullisen ilmoituksen ääniviestillä ja tukee henkilökohtaisen tapaamisen pyytämistä suoraan kanavan kautta ilmoittajan anonymiteetin säilyttäen.
15 § (2 mom.) Ilmoituksen vastaanottamisesta on ilmoitettava ilmoittajalle seitsemän päivän kuluessa ilmoituksen vastaanottamisesta. Vastaanottoilmoitus annetaan välittömästi. Strukturoitu tapaustenhallinta määräaikoineen, ajastimineen ja muistutuksineen varmistaa vastaanottoilmoituksen antamisen seitsemän päivän kuluessa.
16 § (2 mom.) Ilmoittajalle on annettava palaute ilmoituksen johdosta toteutetuista tai suunnitelluista toimenpiteistä kolmen kuukauden kuluessa vastaanottoilmoituksesta. Kaksisuuntainen, asynkroninen ja anonymiteetin säilyttävä viestikanava sekä tapaustenhallinnan ajastimet, muistutukset ja koontinäyttö varmistavat palautteen antamisen kolmen kuukauden kuluessa.
17 § Organisaatio voi ottaa vastaan ja käsitellä myös nimettöminä tehtyjä ilmoituksia. GlobaLeaks tukee konfiguroitavasti sekä nimettömiä että luottamuksellisia ilmoituksia. Nimetön ilmoittaminen ei edellytä IP-osoitteiden kirjaamista, ja metatiedot minimoidaan GDPR:n mukaisesti.
14 § Organisaation on nimettävä puolueeton henkilö tai yksikkö, joka on toimivaltainen käsittelemään ilmoituksia; ilmoituksiin pääsy on rajattava vain nimetyille henkilöille. Rakeinen, tietämistarpeeseen perustuva pääsynhallinta rajaa ilmoitusten käsittelyn vain nimetyille, puolueettomille vastuuhenkilöille.
32 § Ilmoituksia käsittelevät henkilöt ovat velvollisia pitämään salassa ilmoittajan henkilöllisyyden ja muut ilmoituksesta ilmenevät tiedot. Ilmoittajan henkilöllisyys on suojattu jokaisessa vaiheessa. Rakeinen pääsynhallinta rajaa tietoihin pääsyn ja takaa salassapitovelvollisuuden noudattamisen; kaikki toiminta kirjataan yksityisyyttä suojaavaan tapahtumalokiin.
29 §-31 § Henkilötietojen käsittely GDPR:n mukaisesti tietojen minimoinnin periaatetta noudattaen. Self-hosting, ei kolmansien osapuolten komponentteja tai palveluita, ei IP-osoitteiden kirjaamista, metatietojen minimointi.
37 § Vastaanotetut ilmoitukset on kirjattava tai rekisteröitävä; henkilökohtaisessa tapaamisessa tehdystä ilmoituksesta on laadittava pöytäkirja ja suullinen ilmoitus voidaan tallentaa ilmoittajan suostumuksella. Kirjalliset ilmoitukset liitteineen ja suulliset ääniviestit tallennetaan järjestelmään. Suullisesta ilmoituksesta voidaan ilmoittajan suostumuksella säilyttää äänitallenne tai laatia pöytäkirja. Kaikki tapahtumat kirjataan yksityisyyttä suojaavaan tapahtumalokiin.

Lain vaatimuksia pidemmälle: standardit ja tunnustukset

GlobaLeaks on suunniteltu toimimaan myös osana ISO 37002:2021 -ohjeistuksen mukaista ilmoituskanavan hallintajärjestelmää ja tukemaan sertifioitavien standardien, kuten ISO 37001 (lahjonnan torjunta) ja ISO 37301 (compliance-hallinta), ilmoituskanavavaatimuksia.

Tietoturvan osalta alusta on suunniteltu toimimaan osana ISO/IEC 27001:2022 -standardin mukaista hallintajärjestelmää: ilmoitukset ja niiden liitteet suojataan salauksella, ja pääsy on varattu ainoastaan nimenomaisesti valtuutetuille käsittelijöille. Se noudattaa myös GDPR:n (asetus (EU) 2016/679) sisäänrakennetun ja oletusarvoisen tietosuojan periaatteita: tietojen minimointi, ei IP-osoitteiden tallennusta ja mahdollisimman vähän metatietoja.

Myös saavutettavuus on suunnitteluperiaate: alusta on suunniteltu yhteensopivaksi WCAG 2.1 AA -ohjeiden ja eurooppalaisen EN 301 549 -standardin kanssa - jotka muodostavat European Accessibility Actin (esteettömyysdirektiivi (EU) 2019/882) ja julkisen sektorin verkkosivustojen saavutettavuutta koskevan direktiivin (EU) 2016/2102 teknisen perustan - jotta jokainen ilmoittaja voi käyttää kanavaa turvallisesti ja itsenäisesti. Suomessa viitesäädöksiä ovat digipalvelulaki (306/2019) sekä laki eräiden tuotteiden esteettömyysvaatimuksista (102/2023), joilla esteettömyysdirektiivi (European Accessibility Act) pannaan täytäntöön.

Digital Public Good -tunnustuksen Digital Public Goods Alliancelta saanut GlobaLeaks on vapaa ja avoimen lähdekoodin ohjelmisto yleisen edun palveluksessa.