Važnost programa telefonske linije za zviždače i zaštite zaposlenika koji prijave nedolično ponašanje na radnom mjestu sve se više cijeni u cijelom svijetu. Uvedeno je zakonodavstvo za reguliranje ovog pitanja, ne samo u EU-u prema Direktivi EU-a o zviždačima (na snazi od 17. prosinca 2021.), već i prema zakonodavstvu koje se primjenjuje u drugim jurisdikcijama (uključujući Zakon o pravima iz UK-a o zapošljavanju iz 1996., s izmjenama i dopunama Zakon o javnom interesu iz 1998.).
Poduzeća u onim državama članicama EU-a koje su prenijele Direktivu o zviždačima moraju uspostaviti interne i vanjske kanale za prijavu za primanje i istraživanje pritužbi zviždača. Direktiva također utvrđuje opseg aktivnosti koje zviždači mogu prijaviti, na primjer kršenje zakona koji se odnose na javnu nabavu, sigurnost proizvoda ili financijske usluge, te daje zaštitu i prava zviždačima. Ono što je ključno, mora se zaštititi povjerljivost zviždača. Rok za prijenos Direktive bio je 17. prosinca 2021., no mnoge jurisdikcije još uvijek rade na zakonodavnom postupku i još nisu dovršile postupak provedbe. Očekujemo da će sve jurisdikcije implementirati Direktivu do kraja 2022. O tome na koji način je navedeno učinjeno u Republici Hrvatskoj pisat ćemo još detaljnije u jednom od sljedećih blogova.
Koncept Direktive EU-a odražava se u SAD-u sa Zakonom Sarbanes Oxley koji uvodi slična načela koja se primjenjuju na javna poduzeća. Revizorsko osoblje organizacije mora uspostaviti sustav obavijesti o pritužbama ili telefonsku liniju za zviždače za primanje internih pritužbi u vezi s računovodstvenim i revizijskim pitanjima. Ovo je dio cjelokupnog programa usklađenosti i antikorupcijskog programa javne tvrtke.
Kao rezultat ovog globalnog fokusa, mnoge multinacionalne tvrtke potiču zviždače uspostavljanjem posebne telefonske linije ili sličnog sustava za pritužbe koji zaposlenicima i drugim osobama iz tvrtke omogućuje prijavu nedoličnog ponašanja. Osim osiguravanja zakonske usklađenosti, ovo ima brojne poslovne prednosti. Omogućuje poduzećima da saznaju, istraže i što je najvažnije isprave ponašanje koje bi moglo, ako se ne ispravi, izložiti poduzeće kaznenoj ili građanskoj odgovornosti.
Vidimo da sve više i više multinacionalnih kompanija usvaja telefonske linije za prijavu zviždača, ne samo u svakoj zemlji u kojoj postoji zakonska obveza za to, već u svim podružnicama i podružnicama u kojima posluju.
Telefonske linije za prijavu zviždača i (UK) GDPR
Naravno, u cijelom EGP-u organizacije se moraju pridržavati zahtjeva za zaštitu podataka prema GDPR-u prilikom obrade osobnih podataka prikupljenih s telefonskih linija za prijavu zviždača. Slična pravila vrijede osim u EU i u Ujedinjenom Kraljevstvu prema UK GDPR-u.
Uobičajeni zahtjevi uključuju:
- Osiguravanje da organizacija ima zakonsku osnovu za prikupljanje i obradu osobnih podataka u relevantnoj jurisdikciji.
- Davanje obavijesti zaposlenicima o programu organizacije za prijavu zviždača i praksi prikupljanja podataka. Ovo se obično zadovoljava davanjem obavijesti o privatnosti prije ili kada se podaci prikupljaju. Najbolja je praksa primijeniti obavijest o privatnosti koja se odnosi na telefonsku liniju.
- Poduzimanje posebnih mjera opreza pri obradi podataka posebne kategorije, često poznatih kao osjetljivi osobni podaci. Osjetljivi osobni podaci općenito uključuju rasu ili etničko podrijetlo, politička mišljenja, vjerska uvjerenja, članstvo u sindikatu, podatke o fizičkom ili mentalnom zdravlju, biometrijske podatke i kaznene presude. U ovim okolnostima poslodavac mora imati vrlo jasne razloge za obradu podataka, uključujući utvrđivanje uvjeta iz članka 9. za obradu – najvjerojatnije da je to potrebno za izvršavanje prava ili obveza organizacije. Podaci također moraju biti posebno zaštićeni s obzirom na njihovu osjetljivost.
- Zaštita osobnih podataka od neovlaštenog ili slučajnog pristupa.
- Čuvanje podataka ne dulje nego što je potrebno. Nema posebnih razdoblja zadržavanja, ali se očekuje da se podaci čuvaju onoliko dugo koliko je potrebno da se ispune svrhe prikupljanja podataka organizacije.
- Usklađenost s ograničenjima prekograničnog prijenosa. GDPR, ali i njegov ekvivalent u Ujedinjenom Kraljevstvu dopuštaju prekogranične prijenose podataka samo pod ograničenim okolnostima, uključujući tamo gdje se smatra da država pruža odgovarajuću zaštitu podataka ili kada se koristi ovlašteni mehanizam prijenosa podataka.
- Registriranje aktivnosti obrade podataka kod lokalnih tijela za zaštitu podataka kada se to zahtijeva zakonski. Posebni zahtjevi za registraciju razlikuju se ovisno o nadležnosti i svako tijelo za zaštitu podataka nameće vlastite formalnosti.
- Savjetovanje s radničkim vijećima ili drugim predstavničkim tijelima zaposlenika prije uključivanja u obradu podataka obično je potrebno u državama članicama EU-a.
Ugovori s pružateljima usluga trećih strana
Poslodavci često angažiraju treće strane da vode telefonsku liniju za zviždače. Ovo ne poništava zahtjev za usklađivanjem s ovim pravnim okvirom. Dakle i dalje obveza postoji u odnosu na poslodavca. Umjesto toga, važno je uključiti klauzule u ugovor s pružateljem usluga treće strane koje poslodavcima pružaju odgovarajuću zaštitu. Ugovori bi trebali biti u skladu sa zahtjevima prema članku 28, uključujući osiguravanje da se osobni podaci obrađuju u skladu s uputama poslodavca, da se podaci koriste samo u određene svrhe i da su provedene sigurnosne mjere.
Privatnost prema dizajnu
Prilikom implementacije sustava telefonskih linija početna točka trebala bi biti pristup privatnosti po dizajnu.
To će se ojačati osiguravanjem neovisnosti i integriteta onih koji upravljaju telefonskim linijama; ako se koristi treća strana, ovo načelo vrijedi i za njih.
Drugi način da se osigura da je privatnost ugrađena je informiranje zaposlenika o svrsi sustava i ugradnja odgovarajućih koraka za zaštitu privatnosti prema načelu minimiziranja podataka GDPR-a, na primjer, prikupljanje samo minimalne količine podataka koji su relevantni za istragu ili cjelokupan postupak. Također se mora postupiti po svakom zahtjevu zaposlenika za pristup, brisanje ili ispravak podataka prikupljenih putem telefonske linije. Korištenje definiranih razdoblja čuvanja i kriterija za prikupljanje osobnih podataka, tehnologije šifriranja u svakom slučaju se primjenjuju.
Snažno vodstvo
Kako bi bilo koji sustav telefonske linije bio uspješan, organizacije moraju raditi na izbjegavanju sukoba i osigurati da kultura radnog mjesta podržava i potiče važnost prijavljivanja zviždača i zaštite anonimnosti i povjerljivosti zviždača. Kako bi to postigli, viši menadžeri i direktori moraju voditi program, razumjeti ga i prihvatiti. Samo uz snažnu podršku vodstva moguće je osnažiti važnost postojanja kulture koja cijeni interno izvješćivanje.
Što učiniti sada
Razdoblje u kojem se od poduzeća traži da uvedu otvorene telefonske linije u skladu s Direktivom o prijavljivanju zviždača je odgođeno, ali to ne znači da poduzeća ne bi trebala učiniti ništa.
Sada je vrijeme za dizajniranje internih kanala za izvješćivanje koji su u skladu sa složenim zakonskim zahtjevima, uključujući zahtjeve privatnosti koji će se razlikovati od jurisdikcije pojedine zemlje. Što se prije procesi implementiraju, to će se stvoriti više povjerenja među zaposlenicima i sustav će biti uspješniji. Zaposlenici bi trebali biti sigurni da rade u tvrtki koja im je pružila najbolju dostupnu platformu za izražavanje zabrinutosti o procesima u njihovim/ svojim organizacijama te da će oni i njihovi osobni podaci biti zaštićeni.
