Whistleblowing EU

Πλατφόρμα αναφορών ανοιχτού κώδικα (Κύπρος)

Χρειάζεστε στην Κύπρο έναν ασφαλή και αξιόπιστο δίαυλο εσωτερικών αναφορών, συμβατό με τον Ν. 6(Ι)/2022 και την ευρωπαϊκή Οδηγία;

Το GlobaLeaks είναι το δωρεάν λογισμικό ανοιχτού κώδικα που σχεδιάστηκε ώστε:

Περισσότερες πληροφορίες στην επίσημη τεκμηρίωση.

Τεκμηρίωση Επίδειξη

Η Οδηγία της ΕΕ για την προστασία των αναφερόντων

Η ευρωπαϊκή Οδηγία για την προστασία των προσώπων που αναφέρουν παραβιάσεις του δικαίου της Ένωσης υποχρεώνει τους οργανισμούς να λειτουργούν ασφαλείς και εμπιστευτικούς διαύλους αναφοράς και να προστατεύουν όσους υποβάλλουν αναφορά από αντίποινα.

Στην Κύπρο η Οδηγία ενσωματώνεται από τον Νόμο 6(Ι)/2022 περί της Προστασίας Προσώπων που Αναφέρουν Παραβάσεις του Ενωσιακού και Εθνικού Δικαίου. Επιβάλλει σε εργοδότες με τουλάχιστον 50 εργαζομένους τη δημιουργία εσωτερικού διαύλου αναφοράς.

Νομικές υποχρεώσεις και συμμόρφωση

Νομική αναφορά Υποχρέωση Πώς την ικανοποιεί το GlobaLeaks
άρθρο 8(1) και (2) Τα νομικά πρόσωπα του ιδιωτικού τομέα με 50 ή περισσότερους εργαζομένους και τα νομικά πρόσωπα του δημόσιου τομέα υποχρεούνται να καθιερώνουν εσωτερικούς διαύλους αναφοράς. Ως λύση σχεδιασμένη αποκλειστικά για την εσωτερική υποβολή αναφορών, το GlobaLeaks εγκαθίσταται στην υποδομή του ίδιου του οργανισμού και διανέμεται ως ελεύθερο λογισμικό ανοικτού κώδικα, ανοικτό σε ανεξάρτητο έλεγχο. Έτσι κάθε νομικό πρόσωπο, ιδιωτικού ή δημόσιου τομέα, αποκτά τον δικό του αυτόνομο δίαυλο αναφοράς και εκπληρώνει την υποχρέωση που θέτει ο κυπριακός νόμος.
άρθρο 9(1)(α) Οι δίαυλοι σχεδιάζονται, δημιουργούνται και λειτουργούν με ασφαλή τρόπο που διασφαλίζει την εμπιστευτικότητα της ταυτότητας του αναφέροντος και κάθε τρίτου που κατονομάζεται στην αναφορά, εμποδίζοντας την πρόσβαση μη εξουσιοδοτημένου προσωπικού. Οι αναφορές και τα συνημμένα τους προστατεύονται με κρυπτογράφηση, ώστε η ταυτότητα του προσώπου που αναφέρει - και κάθε τρίτου που κατονομάζεται - να παραμένει απόρρητη σε όλα τα στάδια. Η υποβολή μπορεί να ρυθμιστεί ως ανώνυμη ή εμπιστευτική, δεν τηρούνται διευθύνσεις IP, τα μεταδεδομένα περιορίζονται στο ελάχιστο και η πρόσβαση επιτρέπεται αποκλειστικά σε εξουσιοδοτημένους χειριστές, βάσει της αρχής της «ανάγκης γνώσης». Η πλήρης ανωνυμία είναι δυνατή χάρη στην ενσωμάτωση της τεχνολογίας Tor.
άρθρο 9(2) και (3) Οι αναφορές δύνανται να υποβάλλονται γραπτώς ή προφορικώς, ή και με τους δύο τρόπους· κατόπιν αιτήματος του αναφέροντος, παρέχεται η δυνατότητα προσωπικής συνάντησης εντός εύλογης προθεσμίας. Η πλατφόρμα υποδέχεται τόσο γραπτές αναφορές με επισυναπτόμενα αρχεία όσο και προφορικές, μέσω φωνητικού μηνύματος· επιπλέον, ο αναφέρων έχει τη δυνατότητα να ζητήσει προσωπική συνάντηση με τους χειριστές απευθείας μέσα από τον δίαυλο επικοινωνίας.
άρθρο 9(1)(β) Βεβαίωση παραλαβής της αναφοράς προς τον αναφέροντα εντός επτά ημερών από την παραλαβή της. Κατά την ολοκλήρωση της υποβολής χορηγείται αυτόματα βεβαίωση παραλαβής - πολύ πριν από την εκπνοή της επταήμερης προθεσμίας - η οποία χρησιμεύει συγχρόνως και ως κλειδί πρόσβασης του αναφέροντος στην υπόθεσή του.
άρθρο 9(1)(γ) και (δ) Ορισμός αμερόληπτου προσώπου ή υπηρεσίας με αρμοδιότητα για τη διαχείριση της αναφοράς και την επιμελή παρακολούθηση (follow-up) των αναφορών. Η δομημένη διαχείριση υποθέσεων - με προθεσμίες, χρονόμετρα, υπενθυμίσεις και πίνακα εποπτείας - δίνει στο ορισμένο αρμόδιο πρόσωπο τα εργαλεία για την επιμελή παρακολούθηση κάθε αναφοράς, ενώ η πρόσβαση περιορίζεται αυστηρά στους ορισμένους χειριστές, ώστε να διαφυλάσσεται η αμεροληψία της διαδικασίας.
άρθρο 9(1)(ε) Παροχή ενημέρωσης προς τον αναφέροντα εντός εύλογης προθεσμίας που δεν υπερβαίνει τους τρεις μήνες από τη βεβαίωση παραλαβής. Μέσω του αμφίδρομου, ασύγχρονου καναλιού επικοινωνίας οι χειριστές ενημερώνουν τον αναφέροντα για την πορεία της υπόθεσης χωρίς να θίγεται η ανωνυμία του· τα χρονόμετρα και οι υπενθυμίσεις εγγυώνται ότι η ενημέρωση ολοκληρώνεται εντός της τρίμηνης προθεσμίας.
άρθρο 17(1) Διασφάλιση της εμπιστευτικότητας της ταυτότητας του αναφέροντος, η οποία δεν αποκαλύπτεται σε μη εξουσιοδοτημένα πρόσωπα χωρίς τη ρητή συγκατάθεσή του. Καμία αποκάλυψη ταυτότητας δεν είναι εφικτή χωρίς ρητή συγκατάθεση: η υποβολή μπορεί να γίνει πλήρως ανώνυμα ή εμπιστευτικά, δεν αποθηκεύονται διευθύνσεις IP, τα μεταδεδομένα περιορίζονται στο ελάχιστο και μόνο τα ρητώς εξουσιοδοτημένα πρόσωπα αποκτούν πρόσβαση στην υπόθεση, μέσω του αμφίδρομου διαύλου που διατηρεί την ανωνυμία.
άρθρο 18(1) Επεξεργασία δεδομένων προσωπικού χαρακτήρα σύμφωνη με τον GDPR, με βάση την αρχή της ελαχιστοποίησης. Η εγκατάσταση στους διακομιστές του ίδιου του οργανισμού, χωρίς υπηρεσίες ή εξαρτήσεις τρίτων, σε συνδυασμό με τη μη καταγραφή διευθύνσεων IP και τον περιορισμό των μεταδεδομένων, υλοποιεί στην πράξη την αρχή της ελαχιστοποίησης του GDPR.
άρθρο 19(1) Τήρηση αρχείου κάθε αναφοράς που παραλαμβάνεται, με διαγραφή των δεδομένων εντός τριών μηνών από την περάτωση της διαδικασίας. Κάθε υπόθεση καταχωρίζεται σε δομημένο μητρώο με ίχνη ελέγχου που σέβονται την ιδιωτικότητα· οι ρυθμιζόμενες περίοδοι διατήρησης επιτρέπουν την αυτόματη διαγραφή των δεδομένων μέσα στην τρίμηνη προθεσμία από την περάτωση της διαδικασίας.

Πέρα από τις νομικές υποχρεώσεις: πρότυπα και αναγνωρίσεις

Επιπλέον, το GlobaLeaks έχει σχεδιαστεί για ένταξη σε σύστημα διαχείρισης αναφορών που ακολουθεί τις κατευθύνσεις του προτύπου ISO 37002:2021, υποστηρίζοντας παράλληλα τις απαιτήσεις για διαύλους αναφοράς προτύπων με δυνατότητα πιστοποίησης, όπως το ISO 37001 (καταπολέμηση της δωροδοκίας) και το ISO 37301 (κανονιστική συμμόρφωση).

Το GlobaLeaks έχει μελετηθεί ώστε να εντάσσεται σε σύστημα διαχείρισης ασφάλειας πληροφοριών που ακολουθεί το πρότυπο ISO/IEC 27001:2022: οι υποβαλλόμενες αναφορές και τα συνημμένα τους καλύπτονται από κρυπτογράφηση, ενώ πρόσβαση έχουν μόνο οι ρητά εξουσιοδοτημένοι χειριστές. Παράλληλα, εφαρμόζονται οι αρχές του ΓΚΠΔ (Κανονισμός (ΕΕ) 2016/679) για προστασία των δεδομένων από τον σχεδιασμό και εξ ορισμού: τα δεδομένα περιορίζονται στα απολύτως αναγκαία, δεν καταγράφονται διευθύνσεις IP και τα μεταδεδομένα κρατούνται στο ελάχιστο.

Ο σχεδιασμός του GlobaLeaks λαμβάνει υπόψη τη συμβατότητα με τις κατευθυντήριες γραμμές WCAG 2.1 AA και το ευρωπαϊκό πρότυπο EN 301 549 - το τεχνικό θεμέλιο τόσο της ευρωπαϊκής πράξης για την προσβασιμότητα (European Accessibility Act, Οδηγία (ΕΕ) 2019/882) όσο και της Οδηγίας (ΕΕ) 2016/2102 για τους ιστότοπους του δημόσιου τομέα - ώστε ο δίαυλος να μπορεί να χρησιμοποιείται από όλους με ασφάλεια και χωρίς βοήθεια τρίτων. Στην Κύπρο τα σημεία αναφοράς είναι ο Ν. 50(Ι)/2019 για την προσβασιμότητα των ιστότοπων του δημόσιου τομέα και ο Ν. 57(Ι)/2024 για την προσβασιμότητα προϊόντων και υπηρεσιών, που ενσωματώνει την European Accessibility Act.

Η Digital Public Goods Alliance συγκαταλέγει επίσης το GlobaLeaks στα Digital Public Good, επιβεβαιώνοντας ότι πρόκειται για ελεύθερο λογισμικό ανοικτού κώδικα που υπηρετεί το δημόσιο συμφέρον.