Právně podložený přístup externích vyšetřovatelů pro právní týmy

Vyšetřovací důkazy bezpečně uschované v archivu

Ano, externím vyšetřovatelům lze poskytnout bezpečný, anonymní a auditovatelný přístup k oznámením, pokud platforma splňuje tři podmínky: oddělení identity oznamovatele od obsahu hlášení, šifrovanou mediovanou komunikaci mezi vyšetřovatelem a oznamovatelem a nezměnitelnou auditní stopu každého kroku vyšetřování. Nástroje jako Ashio jsou navržené přesně na tento scénář.

Stručně:

K předání přístupu externím vyšetřovatelům je třeba mít jasnou dokumentaci, včetně NDA, dohody o zpracování údajů a postupu řetězce důkazů.

Technologie musí zajistit izolovaný intake, šifrování na dvou úrovních a nehmotné úložiště důkazů, aby byla zachována anonymita a auditovatelnost.

Před nasazením je nutné provést technické ověření, smluvní přípravu a pravidelně cvičit procesy, aby se předešlo chybám v reálných případech.

Většina firem podceňuje potřebu detailní politiky retenční lhůty a ochrany dat, což může narušit compliance při reálném hlášení.

Ashio platforma nabízí hotové řešení s oddělenou identitou a obousměrnou šifrovanou komunikací, v souladu s GDPR a evropskými datovými standardy.

Obsah

Jaké právní a organizační požadavky musí firma splnit?
Jaké technické kontroly zajistí anonymitu a auditovatelnost?
Jak probíhá práce vyšetřovatele s hlášením?
Jak sladit anonymní přístup s GDPR?
Co musí být hotové před spuštěním přístupu
Proč na tomto tématu záleží víc, než se zdá
Jak rychle zavést bezpečný kanál pro externí vyšetřovatele
Zdroje

Jaké právní a organizační požadavky musí firma splnit?

Přístup pro externí vyšetřovatele nestojí jen na technologii. Stojí na rozhodnutích, která musí padnout dřív, než se první hlášení objeví v systému. Směrnice EU 2019/1937 v článcích 7 až 13 ukládá provozovatelům kanálů povinnost zajistit dostupnost písemného i ústního hlášení, potvrdit přijetí do sedmi dnů a poskytnout oznamovateli zpětnou vazbu ve stanovené lhůtě. To platí bez ohledu na to, zda vyšetřování vede interní tým, nebo externí specialista.

Evropská komise ve své zprávě o transpozici upozorňuje, že členské státy implementovaly směrnici nerovnoměrně a že požadavky na nezávislé externí kanály se v praxi často podceňují (COM(2024) 269 final). Pro firmu to znamená jedno: než pustíte externího vyšetřovatele k datům, musíte mít jasně rozdělené role.

Než přístup otevřete, ověřte tyto body:

Kdo formálně schvaluje udělení přístupu externímu vyšetřovateli (obvykle compliance manažer nebo interní právník).
Kdo vede samotné vyšetřování a kdo má výhradní kontrolu nad úložištěm důkazů (evidence vault).
Zda existuje podepsaná NDA s externím vyšetřovatelem a smlouva o zpracování osobních údajů (DPA).
Zda máte písemný postup pro řetězec nabytí důkazů (chain of custody), který popisuje, kdo s důkazy manipuloval a proč.

Bez této dokumentace je i technicky dokonalý systém právně zranitelný. Firmy s větším počtem zaměstnanců, na které se povinnost interního kanálu vztahuje, si tuto přípravu často nechávají na poslední chvíli. Podrobnější rozpad povinností najdete v průvodci k implementaci směrnice.

Jaké technické kontroly zajistí anonymitu a auditovatelnost?

Technologie musí dělat tři věci najednou: schovat identitu oznamovatele, udržet obsah hlášení nedotčený a zaznamenat každý přístup k němu. Žádná z těchto tří vrstev nesmí chybět.

1. Izolovaný intake. Formulář pro podání hlášení běží na oddělené domain nebo přes Tor endpoint, mimo firemní SSO a interní sítě. Formulář sbírá jen nezbytná metadata, žádné IP adresy, žádné cookies vázané na identitu. Cílem je, aby ani samotný provozovatel platformy nemohl hlášení propojit s konkrétní osobou, pokud to oznamovatel sám neumožní.

2. Šifrování na dvou úrovních. Přenos dat jde přes TLS 1.3, uložená data jsou šifrovaná at rest a šifrovací klíče drží hardwarový bezpečnostní modul (HSM), ne obyčejný software na serveru. Tahle kombinace znamená, že i při úniku databáze zůstávají obsahy hlášení nečitelné.

3. Nezměnitelné úložiště důkazů. Systém typu WORM (write once, read many) nebo S3 Object Lock zabrání komukoli, včetně administrátorů, dodatečně upravit nebo smazat uložený důkaz. Externí časové razítko podle standardu RFC‑3161, případně zakotvení hashe do blockchainu, dokazuje, že soubor existoval v daném stavu k danému okamžiku.

4. Hashování při příjmu. Každý dokument se otiskne pomocí SHA‑256 nebo silnějšího algoritmu hned při nahrání, originál se uloží beze změny a metadata se omezí na minimum potřebné pro identifikaci případu. Tento krok doporučují i technické analýzy zaměřené na ochranu zdrojů (Whistleblower Programs 2.0).

5. Append‑only auditní logy. Každý přístup k případu se zapisuje do logu, který nelze zpětně upravit, včetně důvodu přístupu a podpisu při předání případu mezi členy týmu.

Otevřené projekty jako GlobaLeaks dokazují, že samotná technologie problém nevyřeší. Bezpečnost stojí na správné konfiguraci mailového serveru, dohodách o zpracování a vyškoleném personálu, ne jen na softwaru samotném (návod k bezpečnému nasazení online reportingu).

Pět úrovní ochrany při hlášení whistleblowingu

Profesionální tip: Nespoléhejte na to, že „šifrování v klidu“ automaticky znamená bezpečnou anonymitu. Nechte si čtvrtletně provést red‑team test deanonymizace, tedy pokus experta propojit konkrétní hlášení s reálnou osobou pomocí metadat. Pokud se mu to podaří, máte díru dřív, než ji najde někdo jiný.

Jak probíhá práce vyšetřovatele s hlášením?

Externí vyšetřovatel nepracuje s oznamovatelem přímo. Pracuje přes mediovaný kanál, který identitu chrání po celou dobu případu, a to i tehdy, když potřebuje doplňující informace.

Typický postup vypadá takto:

Přijetí a přidělení accession ID. Hlášení dostane unikátní identifikátor, který nahrazuje jméno oznamovatele ve všech dalších krocích. Tento krok je klíčový pro auditovatelnost celého případu.
Triage. Vyšetřovatel posoudí závažnost a určí, zda případ spadá do jeho kompetence, nebo má jít k jinému orgánu.
Zajištění důkazů (preservation). Relevantní soubory a komunikace se přesouvají do evidence vaultu, kde jsou chráněné proti úpravě.
Korroborace. Vyšetřovatel hledá potvrzující podklady, aniž by musel odhalit, kdo hlášení podal.
Forenzní sběr. Pokud případ vyžaduje technické důkazy (logy, dokumenty, komunikaci), sbírají se s hashováním a zápisem do auditní stopy.
Zpráva o řetězci nabytí důkazů. Na konci vzniká dokument, který popisuje, kdo, kdy a proč s jakým důkazem manipuloval.

Když vyšetřovatel potřebuje víc informací, žádost jde přes zabezpečený, šifrovaný dvoustranný kanál, kde oznamovatel odpovídá bez odhalení identity. Analýzy anonymních kanálů ukazují, že právě tahle možnost bezpečně komunikovat oběma směry zvyšuje ochotu lidí hlásit a zlepšuje kvalitu podkladů, protože vyšetřovatel se může doptat (hloubková analýza anonymních kanálů).

Interní právník do procesu vstupuje ve dvou bodech: rozhoduje, kdy je nutné sbírat osobní údaje nad rámec minima, a schvaluje, jaké důkazy a v jaké podobě půjdou k regulačnímu orgánu.

Anonymní hlášení a GDPR nejsou v rozporu, pokud dodržíte zásadu minimalizace údajů od první chvíle. Směrnice sama umožňuje anonymní podání, pokud vnitrostátní právo nestanoví jinak, a pokud stát anonymní hlášení vyžaduje zpracovávat, musí s ním zacházet stejně jako s identifikovaným (článek 6(2) směrnice).

Praktické nastavení stojí na čtyřech pilířích:

Firma je správcem údajů, poskytovatel platformy zpracovatelem, vztah upravuje DPA s jasně vymezenou dobou zpracování.
Data leží na serverech v EU, což řeší otázku datové lokality bez nutnosti řešit přenosy do třetích zemí.
Retenční lhůty se stanoví podle typu případu, obvykle po dobu nutnou k vyřešení a případnému právnímu řízení, ne neomezeně.
Firma má připravený postup pro žádosti subjektů údajů (přístup, oprava, výmaz), i když je identita chráněná.

Většina firem podceňuje jeden detail: retenční politika musí být napsaná ještě před spuštěním kanálu, ne až po prvním hlášení, jinak compliance tým improvizuje uprostřed reálného případu.

Co musí být hotové před spuštěním přístupu

Než pustíte prvního externího vyšetřovatele k systému, projděte tři skupiny kontrol.

Technické ověření. Oddělený intake (Tor nebo samostatná domain), TLS 1.3, WORM úložiště, hashování při příjmu a fyzické oddělení infrastruktury od zbytku firemní sítě. Součástí by měl být i test deanonymizace, který ověří, že metadata skutečně neprozradí identitu.
Smluvní a procesní příprava. Podepsané NDA s vyšetřovatelem, platná DPA, písemný SOP pro chain of custody a proškolený tým, který ví, jak reagovat na první hlášení.
Provozní cvičení. Tabletop cvičení jednou za čtvrt roku, kde si tým nasimuluje reálný případ, a pravidelná revize přístupových práv, aby externí vyšetřovatel neměl přístup déle, než trvá jeho mandát.

Profesionální tip: Tabletop cvičení naplánujte ještě před tím, než dorazí první skutečné hlášení. Firmy, které čekají na „ostrý“ případ, obvykle zjistí chybějící krok v postupu právě ve chvíli, kdy si to nemohou dovolit.

Proč na tomto tématu záleží víc, než se zdá

Většina firem řeší přístup pro externí vyšetřovatele jako softwarovou otázku: „Máme nástroj, tak jsme v pořádku.“ To je omyl, který se ukáže až při prvním skutečně citlivém případu. Technologie zvládne šifrování a hashování, ale rozhodnutí, kdo smí co vidět a proč, dělají lidé. Viděli jsme firmy s technicky bezchybnou platformou, které přesto porušily anonymitu, protože interní IT tým měl neomezený přístup k logům a nikdo to nezkontroloval.

Proč na tomto tématu záleží víc, než se zdá — overview diagram

Skutečná síla dobře navrženého systému není v jednotlivé funkci, ale v tom, že žádný jednotlivý člověk, ani administrátor, ani vyšetřovatel, nemá zároveň přístup k identitě oznamovatele i k obsahu případu. Ashio tento princip staví do základu platformy: identita a obsah hlášení jsou oddělené, komunikace mezi vyšetřovatelem a oznamovatelem probíhá přes šifrovaný zprostředkovaný kanál a každý krok vyšetřování se zapisuje do auditní stopy, kterou nikdo dodatečně nepřepíše. Přehledný dashboard navíc umožňuje compliance týmu sledovat stav každého případu v reálném čase, bez nutnosti dohledávat historii ručně.

Kdo hledá, jak nastavit interní politiku kolem těchto procesů, najde konkrétní kroky v průvodci pro tvorbu whistleblowing politiky.

— Author

Jak rychle zavést bezpečný kanál pro externí vyšetřovatele

Firmy, které řeší povinnost směrnice 2019/1937 na poslední chvíli, obvykle nemají čas budovat vlastní řešení s WORM úložištěm, HSM klíči a auditní stopou od nuly. Ashio tuto práci odvádí hotovou: platforma odděluje identitu oznamovatele od obsahu hlášení, nabízí šifrovanou obousměrnou komunikaci mezi oznamovatelem a vyšetřovatelem a vede kompletní, nezměnitelnou auditní stopu ke každému případu, přesně podle bodů popsaných výše. Data zůstávají v evropských datacentrech v souladu s GDPR, takže otázka lokality úložiště padá sama.

Pokud chcete vidět, jak přístup pro externí vyšetřovatele funguje v praxi, nejrychlejší cesta je vyzkoušet platformu Ashio přímo a projít si dashboard, ve kterém compliance tým sleduje stav každého hlášení v reálném čase. Domluvení demo ukáže, jak nastavení proběhne ve vaší konkrétní organizační struktuře.

This article is general information, not a substitute for advice from a qualified lawyer. Consult a qualified legal professional about your own circumstances before acting on anything here.