Preslikava pokritosti Direktive 2019/1937 #
EthicsPortal je zgrajen tako, da vaša organizacija ostane skladna z Direktivo (EU) 2019/1937, njenim nacionalnim prenosom v vaši državi in GDPR. Vsaka funkcija je neposredno preslikana v pravno zahtevo.
Ta stran je preslikava funkcije v zahtevo: vsak člen direktive je povezan s tisto zmožnostjo EthicsPortala, ki ga naslavlja. Za to, kako EthicsPortal razlaga dvoumne določbe teh členov — prag 50 zaposlenih, kaj šteje za »skrbno ukrepanje«, utemeljitve hrambe, pravno podlago po GDPR, prevlado nacionalnega prava — glejte ločene razlage .
Vseh 27 držav članic EU je direktivo preneslo v nacionalno pravo. Vaša organizacija mora izpolnjevati nacionalni predpis v državi delovanja — za natančne nazive predpisov, sankcije in izvršilne organe glejte referenco zakoni o zaščiti prijaviteljev po državah . Med ključne nacionalne predpise sodijo Loi Waserman (Francija), HinSchG (Nemčija), D.Lgs. 24/2023 (Italija), Ley 2/2023 (Španija), ZZPri (Slovenija) in zakon z dne 14. junija 2024 (Poljska).
Zadnja posodobitev: 2026-05-17.
§1. Poti za prijavo (člen 8) #
Organizacije s 50 ali več zaposlenimi morajo vzpostaviti varne notranje poti za prijavo.
| Zahteva | Kako jo obravnava EthicsPortal |
|---|---|
| Varna pot za prijavo | Šifriran spletni portal z enoličnim naslovom URL za vsako organizacijo |
| Zaupnost identitete prijavitelja | Šifriranje vseh osebnih podatkov, brez beleženja naslovov IP, samodejno odstranjevanje metapodatkov z naloženih datotek |
| Dostopnost vsem zaposlenim | Spletni portal deluje na kateri koli napravi, brez namestitve aplikacije ali računa |
| Prilagodljivost organizaciji | Nastavljive kategorije, logotip in pozdravno sporočilo |
§2. Postopki prijave (člen 9) #
| Zahteva | Člen | Kako jo obravnava EthicsPortal |
|---|---|---|
| Imenovanje nepristranske osebe ali oddelka | Art. 9(1)(c) | Sistem dodeljevanja zadev z dostopom na podlagi vlog — prijave vidijo samo pooblaščeni obravnavalci |
| Potrditev prejema v 7 dneh | Art. 9(1)(b) | Samodejno spremljanje roka z e-poštnimi obvestili obravnavalcem, ko se 7-dnevni rok bliža ali je zamujen |
| Skrbno ukrepanje imenovane osebe | Art. 9(1)(d) | Vodenje zadev s potekom stanj (prejeto, prejem potrjen, v preiskavi, zaključeno), interni zaznamki za sodelovanje obravnavalcev in popolna revizijska sled |
| Povratna informacija v treh mesecih | Art. 9(1)(f) | Samodejno spremljanje 3-mesečnega roka z opozorili o prekoračitvi vsem skrbnikom organizacije. Prijavitelji vidijo časovnico na portalu in lahko stanje kadar koli preverijo z oznako zadeve in geslom |
| Omogočanje ustne prijave (telefon, glasovno sporočilo ali osebni sestanek na zahtevo) | Art. 9(2) | Nastavljiva telefonska številka, prikazana na portalu; obravnavalci lahko telefonske, osebne in pisemske prijave zabeležijo neposredno v sistemu |
| Obveščanje o možnostih zunanje prijave | Art. 9(1)(g) | Portal prikazuje informacije o pravici prijavitelja, da se obrne na nacionalne pristojne organe, s sklicem na Direktivo 2019/1937 |
§3. Obseg zaščite (člen 4) #
Direktiva ne varuje samo zaposlenih, temveč tudi pogodbenike, dobavitelje, družbenike in druge tretje osebe.
EthicsPortal na portalu prikazuje jasno navodilo, da je prijava odprta zaposlenim, pogodbenikom, dobaviteljem in vsem drugim tretjim osebam.
Obrazec ob prevzemu prijavitelja tudi — neobvezno — vpraša po njegovem razmerju do organizacije (sedanji ali nekdanji zaposleni, pogodbenik, dobavitelj, kandidat za zaposlitev, družbenik ali drugo), kar zrcali kategorije osebnega obsega iz člena 4, tako da lahko obravnavalci potrdijo, da zaščita velja. Vprašanje je mogoče preskočiti, zato anonimnost nikoli ni pogojena z odgovorom nanj.
§4. Prepoved povračilnih ukrepov (členi 6, 19–21) #
Prijavitelji morajo biti obveščeni, da so povračilni ukrepi po zakonu prepovedani.
EthicsPortal na vsaki strani portala pred oddajo prijave prikaže obvestilo o prepovedi povračilnih ukrepov s sklicem na Direktivo 2019/1937.
Obrazec ob prevzemu prijavitelju dodatno omogoča, da neobvezno označi, ali se povračilnih ukrepov boji ali jih že doživlja. Ko je označeno, prijava v pogledu obravnavalca nosi izrazito oznako nujnosti, tako da je zadeva s povečano potrebo po zaščiti vidna na prvi pogled.
§5. Zaupnost identitete (člen 16) #
| Zahteva | Kako jo obravnava EthicsPortal |
|---|---|
| Identiteta ni razkrita zunaj pooblaščenega osebja | Nadzor dostopa na podlagi vlog — prijavo lahko vidijo samo skrbniki, glavni obravnavalec in izrecno dodani udeleženci (npr. pravna ali kadrovska služba). Obravnavalci brez skrbniških pravic vidijo samo zadeve, ki so jim dodeljene ali h katerim so bili dodani kot udeleženci |
| Anonimnost obravnavalca do prijavitelja | Prijavitelji v sporočilih vidijo »Obravnavalec«, nikoli pravega imena ali e-pošte obravnavalca |
| Šifriranje občutljivih podatkov | Imena prijaviteljev, kontaktni podatki, opisi prijav in vsebina sporočil so pri hrambi šifrirani z nedeterminističnim šifriranjem |
Brez obdelave vsebine prijav z umetno inteligenco. Zaupnost po Art. 16 se razteza tudi na to, katere tretje osebe vidijo prijavo. EthicsPortal vsebine prijav, identitete prijavitelja ali komunikacije v zadevi ne pošilja nobenemu velikemu jezikovnemu modelu ali storitvi sklepanja z umetno inteligenco — ne za razvrščanje, ne za povzemanje, ne za prevajanje. Noben ponudnik umetne inteligence (OpenAI, Anthropic, Google, Mistral ali drug) ni podobdelovalec. To iz vaše pogodbe o obdelavi podatkov odstrani celo skupino razkritij podobdelovalcev, iz vaše ocene učinka pa premisleke po Art. 22 (avtomatizirano sprejemanje odločitev). Ustrezen vnos je na seznamu podobdelovalcev .
Dva dodatna razloga, zakaj gre za odločitev na ravni zaupnosti in ne za preferenco glede funkcij:
- Brez halucinacij v verigi dokazil o skladnosti. Veliki jezikovni modeli dajejo verjetnostne izhode. Povzetek, ki pravi »ta prijava ni videti nujna«, je verjetnost in ne dejstvo ter ga ni mogoče ponoviti ali revidirati. EthicsPortal izvajalca, dejanje in časovni žig beleži deterministično — revizijski dnevnik je dokaz, ne ugibanje.
- Brez napadne površine za vrivanje pozivov v oddane prijave. Vnos prijavitelja je po definiciji nezaupanja vreden. Njegovo usmerjanje skozi velik jezikovni model ustvari razred napadov, pri katerem lahko navodila, vgrajena v besedilo prijave, manipulirajo izhod, namenjen obravnavalcu (predlagane odgovore, povzetke, razvrstitve). EthicsPortal to površino povsem odstrani s tem, da nad vsebino prijav ne izvaja sklepanja.
§6. Vodenje evidenc (člen 18) #
| Zahteva | Kako jo obravnava EthicsPortal |
|---|---|
| Vodenje evidenc o vsaki prijavi | Popoln revizijski dnevnik vseh dejanj: oddaj, sprememb stanja, sporočil, dodelitev in ogledov prijav |
| Varna hramba evidenc | Vsa občutljiva polja so pri hrambi šifrirana |
| Priklicljivost evidenc | Celoten izvoz zadeve v PDF z metapodatki, nitjo sporočil, seznamom prilog in revizijsko sledjo. Poročilo o skladnosti na ravni organizacije v obliki PDF je na voljo revizorjem — vključuje kontrolni seznam po direktivi, kazalnike rokov in povzetek varstva podatkov, brez razkritja občutljivih podatkov o prijavah |
| Izbris evidenc, ko niso več potrebne | Nastavljiva doba hrambe (12, 24, 36, 48 ali 60 mesecev) s samodejnim izbrisom poteklih zaključenih prijav |
§7. Skladnost z GDPR #
| Zahteva | Člen | Kako jo obravnava EthicsPortal |
|---|---|---|
| Pravna podlaga za obdelavo | člen 6(1)(c) | Obdelava je potrebna za izpolnitev obveznosti iz Direktive (EU) 2019/1937 |
| Razkritje obdelave podatkov | člena 13 in 14 | Obvestilo o zasebnosti, prikazano na obrazcu za oddajo prijave, preden prijavitelj odda prijavo |
| Najmanjši obseg podatkov | člen 5(1)(c) | Zbrana so samo bistvena polja; ime in kontakt prijavitelja sta neobvezna |
| Omejitev shranjevanja | člen 5(1)(e) | Nastavljiva doba hrambe za posamezno organizacijo s samodejnim izbrisom |
| Celovitost in zaupnost | člen 5(1)(f) | Šifriranje vseh občutljivih podatkov pri hrambi; brez beleženja naslovov IP na poteh portala; samodejno odstranjevanje metapodatkov datotek |
| Pravica do izbrisa | člen 17 | Samodejni izbris na podlagi hrambe; ročni izbris je na voljo skrbnikom |
§8. Varnostni ukrepi #
| Ukrep | Podrobnost |
|---|---|
| Šifriranje pri hrambi | Vsi opisi prijav, imena prijaviteljev, kontaktni podatki in vsebina sporočil so šifrirani z nedeterminističnim šifriranjem |
| Brez beleženja naslovov IP | Naslovi IP prijaviteljev se nikoli ne shranjujejo — omejevanje pogostosti uporablja nepovratne enosmerne zgoščene zapise |
| Odstranjevanje metapodatkov datotek | Podatki EXIF (koordinate GPS, model fotoaparata, podatki o avtorju) se z naloženih slik pred shranjevanjem samodejno odstranijo |
| Anonimna identiteta obravnavalca | Prijavitelji nikoli ne vidijo pravega imena obravnavalca — sporočila prikazujejo »Obravnavalec« |
| Omejevanje pogostosti | Končne točke javnega portala imajo omejeno pogostost za preprečevanje zlorab |
| Nadzor dostopa | Pravice na podlagi vlog zagotavljajo, da prijave vidijo samo pooblaščeni obravnavalci; obravnavalci brez skrbniških pravic vidijo samo zadeve, ki so jim dodeljene ali h katerim so bili dodani kot udeleženci |
| Revizijska sled | Vsako dejanje je zabeleženo s časovnim žigom, izvajalcem in vrsto dejanja — vanjo je mogoče samo dodajati in je vedno na voljo za regulativni pregled |
§9. Kaj mora vaša organizacija še urediti #
EthicsPortal pokriva tehnične zahteve. Vaša organizacija je odgovorna za:
- Oceno učinka v zvezi z varstvom podatkov (DPIA) — prijavljanje nepravilnosti je po členu 35 GDPR obdelava z visokim tveganjem in pred zagonom zahteva oceno učinka; začnite z našo vnaprej izpolnjeno predlogo ocene učinka za prijavljanje nepravilnosti
- Imenovanje zaupnika — določite vsaj eno osebo, odgovorno za obravnavo prijav
- Notranji akt — sprejmite politiko zaščite prijaviteljev in jo sporočite zaposlenim
- Usposabljanje — poskrbite, da imenovani obravnavalci razumejo obveznosti glede zaupnosti
- Izvrševanje prepovedi povračilnih ukrepov — poskrbite, da vodstvo razume, da je povračilni ukrep kršitev predpisa
- Soglasje za razkritje identitete — če je treba identiteto prijavitelja deliti zunaj kroga pooblaščenih obravnavalcev (npr. z organi pregona), najprej pridobite izrecno soglasje prijavitelja (Art. 16(2) )
- Obveščanje zaposlenih — z zaposlenimi delite naslov portala (EthicsPortal zagotavlja povezavo za deljenje in kodo QR)
Vprašanja? #
Skrbniki lahko poročilo o skladnosti v obliki PDF prenesejo neposredno s strani z nastavitvami portala. Vsebuje celoten kontrolni seznam po Direktivi (EU) 2019/1937, kazalnike rokov, ukrepe za varstvo podatkov in povzetek revizijske sledi — pripravljeno za izročitev revizorju, brez razkritja občutljivih podatkov o prijavah.
Za zahteve po posameznih državah (sankcije, dobe hrambe, izvršilni organi) glejte referenco zakoni o zaščiti prijaviteljev po državah .
Za to, kako EthicsPortal razlaga dvoumne določbe direktive (prag 50 zaposlenih, kaj šteje za »skrbno ukrepanje«, utemeljitve hrambe, pravno podlago po GDPR), glejte razlage Direktive 2019/1937 .
Če potrebujete pomoč pri dokazovanju skladnosti svoji pravni službi ali regulatorju, nam pišite na legal@ethicsportal.eu .
Zadnja posodobitev: