Vnútorný systém preverovania oznámení (Slovensko)
Hľadáte bezpečný, etický vnútorný systém preverovania oznámení v súlade so smernicou EÚ?
Vyskúšajte GlobaLeaks, slobodný a bezplatný open-source softvér navrhnutý na to, aby:
- zaručil dôvernosť a ochranu oznamovateľov
- umožnil bezpečnú a štruktúrovanú správu oznámení
- zabezpečil transparentnosť, auditovateľnosť a kontrolu
- splnil požiadavky smernice (EÚ) 2019/1937
Viac informácií nájdete v oficiálnej dokumentácii.
Smernica EÚ o ochrane oznamovateľov
Smernica EÚ o ochrane osôb, ktoré nahlasujú porušenia ukladá organizáciám povinnosť zriadiť bezpečné, dôverné a právne vyhovujúce oznamovacie kanály.
Na Slovensku smernicu vykonáva zákon č. 54/2019 Z. z. o ochrane oznamovateľov protispoločenskej činnosti, novelizovaný v roku 2023. Vzťahuje sa na verejné subjekty a zamestnávateľov s najmenej 50 zamestnancami. Dozorným orgánom je Úrad na ochranu oznamovateľov.
Právne povinnosti a súlad
| Ustanovenie | Povinnosť | Ako to GlobaLeaks spĺňa |
|---|---|---|
| § 10 ods. 1 | Zamestnávateľ s najmenej 50 zamestnancami (orgán verejnej moci s najmenej 5 zamestnancami) je povinný zriadiť vnútorný systém preverovania oznámení a určiť zodpovednú osobu. | GlobaLeaks je vyhradený kanál prevádzkovaný vo vlastnej infraštruktúre, ktorý tvorí základ vnútorného systému preverovania oznámení o protispoločenskej činnosti. Ide o slobodný a otvorený softvér, ktorého fungovanie je overiteľné. Zodpovednej osobe umožňuje spravovať prípady s prístupom podľa zásady need-to-know, čím prispieva k ochrane oznamovateľov. |
| § 10 ods. 5 | Vnútorný systém musí byť pre oznamovateľov dostupný nepretržite a na základe žiadosti musí umožniť podanie oznámenia aj osobne, osobným stretnutím. | Webový kanál GlobaLeaks je dostupný nepretržite. Oznámenie možno podať písomne vrátane príloh a hlasovej správy, pričom systém umožňuje dohodnúť aj osobné stretnutie so zodpovednou osobou. |
| § 10 ods. 6 | Zodpovedná osoba je povinná potvrdiť oznamovateľovi prijatie oznámenia do siedmich dní od jeho prijatia. | Potvrdenie o prijatí sa vydáva okamžite. Vďaka obojsmernému asynchrónnemu kanálu, ktorý zachováva anonymitu, možno prijatie potvrdiť a dodržať sedemdňovú lehotu, ktorú sledujú časovače a pripomienky. |
| § 10 ods. 7 | Zodpovedná osoba je povinná zachovávať dôvernosť o totožnosti oznamovateľa; jeho totožnosť možno sprístupniť len s jeho súhlasom. | Totožnosť oznamovateľa je chránená; oznámenie možno podať anonymne alebo dôverne (podľa konfigurácie). Prístup k údajom je obmedzený podľa zásady need-to-know, takže ju nemožno odhaliť bez jeho súhlasu. |
| § 10 ods. 8 | Zodpovedná osoba je povinná oznámiť oznamovateľovi výsledok preverenia oznámenia do 90 dní od potvrdenia jeho prijatia. | Deväťdesiatdňovú lehotu sledujú časovače a pripomienky na prehľadovej nástenke. Obojsmerný asynchrónny kanál umožňuje oznámiť výsledok oznamovateľovi pri zachovaní jeho anonymity. |
| § 10 ods. 9 písm. f) | Spracúvanie osobných údajov v súlade s GDPR podľa zásady minimalizácie. | Self-hosting, žiadne komponenty ani služby tretích strán, žiadne zaznamenávanie IP adries, minimalizácia metaúdajov. |
| § 11 ods. 1 | Zodpovedná osoba je povinná viesť evidenciu oznámení a uchovávať ju po dobu troch rokov odo dňa prijatia oznámenia. | GlobaLeaks vedie štruktúrovanú evidenciu všetkých oznámení a súvisiacej dokumentácie prostredníctvom správy prípadov s lehotami a nástenkou, čo umožňuje uchovávanie po dobu troch rokov s prístupom podľa zásady need-to-know. |
| § 11 ods. 2 | Zamestnávateľ je povinný prijať technické a organizačné opatrenia na ochranu totožnosti oznamovateľa a dôvernosti oznámení. | Šifrovanie oznámení a príloh chráni ich obsah aj totožnosť oznamovateľa. K údajom majú prístup len oprávnené osoby podľa zásady need-to-know, čím sa napĺňajú technické a organizačné opatrenia. Úplná anonymita je možná vďaka integrácii technológie Tor. |
Nad rámec zákonných povinností: štandardy a uznania
GlobaLeaks je tiež navrhnutý na prevádzku v rámci systému manažérstva oznámení zosúladeného s usmerneniami ISO 37002:2021 a podporuje požiadavky certifikovateľných noriem na oznamovacie kanály, ako sú ISO 37001 (manažérstvo proti korupcii) a ISO 37301 (manažérstvo súladu).
Pokiaľ ide o informačnú bezpečnosť, platforma je navrhnutá na prevádzku v rámci systému manažérstva zosúladeného s normou ISO/IEC 27001:2022: oznámenia a ich prílohy sú chránené šifrovaním a prístup je vyhradený výlučne výslovne povereným osobám. Uplatňuje tiež zásady GDPR (nariadenie (EÚ) 2016/679) špecificky navrhnutej a štandardnej ochrany údajov: minimalizáciu údajov, žiadne zaznamenávanie IP adries a metadáta obmedzené na minimum.
Aj prístupnosť je súčasťou návrhu: platforma je navrhnutá tak, aby bola v súlade s pravidlami WCAG 2.1 AA a európskou normou EN 301 549 - technickým základom European Accessibility Act (smernice (EÚ) 2019/882) aj smernice (EÚ) 2016/2102 o prístupnosti webových sídiel verejného sektora - aby mohol oznamovateľ používať kanál bezpečne a samostatne. Na Slovensku sú referenčnými predpismi zákon č. 95/2019 Z. z. o informačných technológiách vo verejnej správe a zákon č. 351/2022 Z. z. o prístupnosti výrobkov a služieb pre osoby so zdravotným postihnutím, ktorý preberá European Accessibility Act.
Uznaný za Digital Public Good alianciou Digital Public Goods Alliance, je GlobaLeaks slobodným softvérom s otvoreným zdrojovým kódom v službách verejného záujmu.