Notranja pot za prijavo, odprtokodna platforma (Slovenija)
Iščete varno, etično notranjo pot za prijavo nepravilnosti, skladno z Direktivo EU?
Preizkusite GlobaLeaks, brezplačno odprtokodno programsko opremo, zasnovano za:
- zagotavljanje zaupnosti in zaščite prijaviteljev
- omogočanje varnega in strukturiranega upravljanja prijav
- zagotavljanje preglednosti, možnosti revizije in nadzora
- izpolnjevanje zahtev Direktive (EU) 2019/1937
Več informacij najdete v uradni dokumentaciji.
Direktiva EU o zaščiti prijaviteljev
Direktiva EU o zaščiti oseb, ki prijavljajo kršitve organizacije zavezuje k vzpostavitvi varnih, zaupnih in zakonsko skladnih kanalov za prijavo.
V Sloveniji direktivo izvaja Zakon o zaščiti prijaviteljev (ZZPri), sprejet 27. januarja 2023. Obvezuje javne subjekte in zasebne delodajalce z najmanj 50 zaposlenimi k vzpostavitvi notranjega kanala za prijave. Nadzor opravlja Komisija za preprečevanje korupcije (KPK).
Pravne obveznosti in skladnost
| Pravna podlaga | Obveznost | Kako to zagotavlja GlobaLeaks |
|---|---|---|
| 9. člen, 1. odst. | Vzpostavitev notranje poti za prijavo, ki je varna in zaupna ter vsebuje kontaktne podatke in imenovanega zaupnika. | GlobaLeaks zagotavlja namensko notranjo pot za prijavo za žvižgače, ki jo organizacija gosti sama in podpira zaščito prijaviteljev skladno z ZZPri. Gre za prosto in odprtokodno programje, ki ga je mogoče neodvisno preveriti. Prijave in priloge so zaščitene s šifriranjem, dostop pa je urejen po načelu potrebe po vednosti. Popolna anonimnost je mogoča zahvaljujoč vključitvi tehnologije Tor. |
| 7. člen, 2. odst. in 9. člen | Omogočanje pisne ali ustne prijave; ustna prijava se evidentira z natančnim zapisom, ki ga prijavitelj lahko preveri, popravi in potrdi. | Notranja pot za prijavo omogoča pisne prijave s prilogami in glasovnim sporočilom ter osebno srečanje. Kadar ustna prijava ni posneta, se pripravi zapis, ki ga prijavitelj lahko pregleda, popravi in s podpisom potrdi. |
| 6. člen, 1. odst. | Prepoved razkritja identitete prijavitelja brez njegovega izrecnega soglasja. | Identiteta prijavitelja je zaščitena in se ne razkrije brez njegovega izrecnega soglasja. Prijava je lahko anonimna ali zaupna, odvisno od nastavitev organizacije. |
| 11. člen, 3. odst. | Izdaja potrdila o prejemu prijave v 7 dneh, z navedbo datuma in časa prejema. | Ob oddaji prijave sistem takoj izda potrdilo o prejemu z datumom in časom prejema, prijavitelj pa kadar koli varno dostopa do svoje zadeve, s čimer je zagotovljena potrditev v roku 7 dni. |
| 11. in 12. člen | Strukturirana obravnava prijave in zaupno komuniciranje s prijaviteljem. | GlobaLeaks omogoča strukturirano obravnavo prijav z upravljanjem zadev, roki, časovniki, opomniki in nadzorno ploščo. Dvosmerni asinhroni komunikacijski kanal omogoča zaupno izmenjavo sporočil, ne da bi razkril identiteto prijavitelja. |
| 12. člen, 7. odst. | Posredovanje povratne informacije prijavitelju najpozneje v treh mesecih od prejema prijave. | Časovniki in opomniki zaupnika opozarjajo na roke, dvosmerni asinhroni kanal pa omogoča posredovanje povratne informacije prijavitelju v roku treh mesecev, pri čemer se ohrani zaupnost. |
| 9. člen, 6. odst. | Imenovanje zaupnika kot pooblaščene osebe za sprejem in obravnavo prijav z omejenim dostopom. | Dostop do prijav je omejen na pooblaščene zaupnike po načelu potrebe po vednosti, kar preprečuje nepooblaščen vpogled. |
| 7. člen, 5. odst. | Obdelava osebnih podatkov v skladu z GDPR, po načelu najmanjšega obsega podatkov. | Self-hosting, brez komponent ali storitev tretjih oseb, brez beleženja naslovov IP, minimizacija metapodatkov. |
Onkraj zakonskih obveznosti: standardi in priznanja
GlobaLeaks je zasnovan tudi za delovanje v sistemu upravljanja prijav, usklajenem s smernicami ISO 37002:2021, in podpira zahteve glede prijavnih poti certifikacijskih standardov, kot sta ISO 37001 (preprečevanje podkupovanja) in ISO 37301 (vodenje skladnosti).
Na področju informacijske varnosti je platforma zasnovana za delovanje v sistemu upravljanja, usklajenem s standardom ISO/IEC 27001:2022: prijave in njihove priloge so zaščitene s šifriranjem, dostop pa je pridržan izključno izrecno pooblaščenim osebam. Uresničuje tudi načeli GDPR (Uredba (EU) 2016/679) vgrajenega in privzetega varstva podatkov: najmanjši obseg podatkov, brez beleženja naslovov IP in z metapodatki, omejenimi na minimum.
Tudi dostopnost je del zasnove: platforma je zasnovana za združljivost s smernicami WCAG 2.1 AA in evropskim standardom EN 301 549 - tehnično podlago European Accessibility Acta (Direktiva (EU) 2019/882) in Direktive (EU) 2016/2102 o dostopnosti spletišč javnega sektorja - da lahko vsak prijavitelj kanal uporablja varno in samostojno. V Sloveniji sta referenčna predpisa ZDSMA (Zakon o dostopnosti spletišč in mobilnih aplikacij) in ZDPSI (Zakon o dostopnosti do proizvodov in storitev za invalide), ki prenaša European Accessibility Act.
Priznan kot Digital Public Good pri Digital Public Goods Alliance je GlobaLeaks prosto in odprtokodno programje v službi javnega interesa.