Whistleblowing EU

Sustav za prijavu nepravilnosti, open source (Hrvatska)

Tražite sigurnu, etičnu platformu za prijavu nepravilnosti u skladu s Direktivom EU-a?

Isprobajte GlobaLeaks, besplatni softver otvorenog koda osmišljen kako bi:

Saznajte više u službenoj dokumentaciji.

Dokumentacija Demo

Direktiva EU-a o zaštiti zviždača

Direktiva EU-a o zaštiti osoba koje prijavljuju povrede obvezuje organizacije na uspostavu sigurnih, povjerljivih i propisima usklađenih kanala za prijavu.

U Hrvatskoj direktivu provodi Zakon o zaštiti prijavitelja nepravilnosti (NN 46/2022). Obvezuje javna tijela i privatne poslodavce s najmanje 50 zaposlenika na uspostavu sustava unutarnjeg prijavljivanja nepravilnosti. Nadzorno tijelo je pučki pravobranitelj.

Pravne obveze i usklađenost

Odredba Obveza Kako GlobaLeaks ispunjava obvezu
čl. 19. st. 2. i čl. 20. Uspostava sustava unutarnjeg prijavljivanja nepravilnosti za poslodavce s najmanje 50 zaposlenih te imenovanje povjerljive osobe za zaprimanje i postupanje po prijavama. GlobaLeaks je namjenski unutarnji sustav prijava koji se instalira na vlastitoj infrastrukturi, pod potpunom kontrolom organizacije. Kao slobodni softver otvorenog koda, njegov je kod javno provjerljiv. Omogućuje imenovanje jedne ili više povjerljivih osoba kojima se dodjeljuju ovlasti pristupa po načelu nužnog poznavanja za zaprimanje i vođenje prijava prijavitelja nepravilnosti.
čl. 21. Kanali za unutarnje prijavljivanje moraju biti lako dostupni, sigurni i osmišljeni tako da osiguraju učinkovito postupanje i zaštitu prijavitelja. Kanal je uvijek dostupan putem web-preglednika, bez potrebe za instalacijom dodatnog softvera na strani prijavitelja. Sigurnost se osigurava šifriranjem prijava i priloga tako da su sadržaju dostupne samo ovlaštene povjerljive osobe. Sustav je oblikovan za jednostavno i učinkovito podnošenje prijave uz istodobnu zaštitu prijavitelja. Potpuna anonimnost moguća je zahvaljujući integraciji tehnologije Tor.
čl. 17. st. 2. Prijava se može podnijeti u pisanom ili usmenom obliku, a na zahtjev prijavitelja i putem fizičkog susreta u razumnom roku. GlobaLeaks podržava pisane prijave s mogućnošću prilaganja dokumenata te usmene prijave putem glasovne poruke. Prijavitelj u obrascu može zatražiti i fizički susret s povjerljivom osobom, čime su pokriveni svi zakonom predviđeni oblici podnošenja.
čl. 22. st. 2. t. 1. Povjerljiva osoba dužna je prijavitelju potvrditi primitak prijave u roku od sedam dana od dana primitka. Po podnošenju prijave sustav odmah izdaje potvrdu o primitku, koja služi kao dokaz o zaprimanju i omogućuje prijavitelju kasniji pristup predmetu, čime se rok od sedam dana ispunjava trenutačno.
čl. 22. st. 2. t. 3. Povjerljiva osoba dužna je prijavitelju dostaviti povratnu informaciju o poduzetim radnjama u pravilu u roku od 30 dana, a najviše 90 dana od potvrde primitka. Modul za upravljanje predmetima nudi rokove, mjerače vremena, automatske podsjetnike i nadzornu ploču koji povjerljivoj osobi pomažu pratiti zakonske rokove. Dvosmjerni asinkroni kanal, koji čuva anonimnost prijavitelja, omogućuje dostavu povratne informacije unutar propisanih rokova od 30, odnosno najviše 90 dana.
čl. 14. Pristup podacima o identitetu prijavitelja mora biti ograničen isključivo na osobe ovlaštene za zaprimanje i postupanje po prijavama. Identitet prijavitelja zaštićen je, a prijava može biti anonimna ili povjerljiva, ovisno o postavkama sustava. Pristup podacima dodjeljuje se po načelu nužnog poznavanja samo ovlaštenim povjerljivim osobama, čime je pristup identitetu strogo ograničen.
čl. 16. Mora se osigurati zaštita povjerljivosti identiteta prijavitelja i svih osoba navedenih u prijavi te podataka iz prijave. Dvosmjerna asinkrona komunikacija između prijavitelja i povjerljive osobe odvija se unutar sustava i čuva anonimnost. Sustav ne bilježi IP adrese i svodi metapodatke na najmanju moguću mjeru, čime se dosljedno štiti povjerljivost identiteta prijavitelja i osoba spomenutih u prijavi.
čl. 15. Obrada osobnih podataka u skladu s GDPR-om, prema načelu minimizacije podataka. Self-hosting, bez komponenti ili usluga trećih strana, bez bilježenja IP adresa, minimizacija metapodataka.
čl. 18. Vođenje evidencije o zaprimljenim prijavama, uključujući i usmene prijave, uz čuvanje dokumentacije o svakoj prijavi. Sustav vodi cjelovitu evidenciju svih zaprimljenih prijava, uključujući pisane i usmene (glasovne poruke), s pripadajućim prilozima. Zapisnik revizije koji čuva privatnost bilježi radnje nad predmetima bez otkrivanja povjerljivih podataka, čime se osigurava sljedivost i uredno vođenje evidencije.

Iznad zakonskih obveza: norme i priznanja

GlobaLeaks je također dizajniran za rad unutar sustava upravljanja prijavama usklađenog sa smjernicama ISO 37002:2021 te podržava zahtjeve za kanale prijavljivanja certifikacijskih normi poput ISO 37001 (suzbijanje podmićivanja) i ISO 37301 (upravljanje usklađenošću).

Kada je riječ o informacijskoj sigurnosti, platforma je dizajnirana za rad unutar sustava upravljanja usklađenog s normom ISO/IEC 27001:2022: prijave i njihovi prilozi zaštićeni su enkripcijom, a pristup je ograničen isključivo na izričito ovlaštene osobe. Primjenjuje i načela GDPR-a (Uredba (EU) 2016/679) o tehničkoj i integriranoj zaštiti podataka: smanjenje količine podataka, bez bilježenja IP adresa i uz metapodatke svedene na najmanju mjeru.

I pristupačnost je dio dizajna: platforma je dizajnirana za kompatibilnost sa smjernicama WCAG 2.1 AA i europskom normom EN 301 549 - tehničkim temeljem European Accessibility Acta (Direktiva (EU) 2019/882) i Direktive (EU) 2016/2102 o pristupačnosti internetskih stranica tijela javnog sektora - kako bi svaki prijavitelj mogao sigurno i samostalno koristiti kanal. U Hrvatskoj su referentni propisi Zakon o pristupačnosti mrežnih stranica i programskih rješenja za pokretne uređaje tijela javnog sektora (NN 17/19) i Zakon o zahtjevima za pristupačnost proizvoda i usluga (NN 89/25), kojim se provodi European Accessibility Act.

Priznat kao Digital Public Good od strane Digital Public Goods Alliancea, GlobaLeaks je slobodan softver otvorenog koda u službi javnog interesa.