1.Обхват, цел и общи положения

Настоящите Правила определят реда и начина на обработване на лични данни на лица, подаващи сигнали за нарушения съгласно Закона за защита на лицата, подаващи сигнали или публично оповестяващи информация за нарушения („ЗЗЛПСПОИН“ или „Закона“), както и отговарянето на заявки за упражняване на права, отправени от субектите на данни, техните представители или други заинтересовани страни. Тази процедура има за цел да осигури спазването на нормативните задължения от „КАЗИНО ИНБЕТ“ ЕООД, с ЕИК 205767733 (за краткост: „Дружество“ или „Администратора“), както и да подобри прозрачността на процесите. Тази процедура се отнася до Отговорника и лицата, отговарящи за разглеждането на сигнали по реда на Закона, които регистрират и разглеждат подадени сигнали съгласно Закона, вкл. Длъжностното лице по защита на данните (за краткост ‚ДЛЗД“) Отговорникът и лицата, отговарящи за разглеждането на сигнали, които обработват лични данни, спазват следните принципи при обработване на лични данни:

• Личните данни се обработват законосъобразно и добросъвестно.
• Личните данни се събират за конкретни, точно определени и законосъобразни цели и не се обработват допълнително по начин, несъвместим с тези цели.
• Личните данни, които се събират и обработват при регистриране и разглеждане на подаден сигнал за нарушение, са съотносими, свързани със и ненадхвърлящи целите, за които се обработват.
• Личните данни са точни и при необходимост се актуализират.
• Личните данни се заличават или коригират, когато се установи, че са неточни или непропорционални по отношение на целите, за които се обработват.
• Личните данни се поддържат във вид, който позволява идентифициране на съответните физически лица за период не по-дълъг от необходимия за целите, за които тези данни са събрани.

Отговорникът и лицата, отговарящи за разглеждането на сигнали, преминават първоначално и периодични обучения за поверителност на данните и се запознават с приложимото законодателство. Обработването се извършва от името на Администратора,  чрез неговите служители, които спазват приетите технически и организационни мерки в съответствие с изискванията на Регламента и осигурява защита на правата на субектите на данни. Обработването от страна на Отговорника и лицата, отговарящи за разглеждането на сигнали се урежда с настоящите Правила, които са задължителни за всеки служител, който е определен със заповед на Управителя на Дружеството като лице, отговарящо за разглеждането на сигнали, както и за Отговорника. Всички посочени лица, обработващи лични данни следва да:

• Обработват личните данни само съобразно настоящите Правила;
• Подпишат декларация за конфиденциалност;
• Вземат всички необходими мерки за сигурност на обработването, предвидени от Администратора.

2. Дефиниции

Използваните думи и изрази, които не са дефинирани изрично в настоящите Правила, имат значението, дадено им в ЗЗЛПСПОИН. Следните думи, изрази и абревиатури, които се използват в настоящите Правила, ще имат значението, дефинирано по-долу: ЗЗЛПСПОИН – Закон за защита на лицата, подаващи сигнали или публично оповестяващи информация за нарушения, обн., ДВ, бр. 11 от 2 февруари 2023 г., в сила от 4 май 2023 г. КЗЛД – Комисия за защита на личните данни на Република България, която изпълнява функцията на централен орган за външно подаване на сигнали и за защита на лицата, на които такава защита се предоставя по смисъла на ЗЗЛПСПОИН. Отговорник и/или Отговорно лице – лицата, отговарящи за приемането на сигнали. Лица, отговарящи за разглеждането на сигналите – лицата, определени със Заповед на Управителя на Дружеството в структурата на Дружеството, в това число служители на различни отдели. Правила – настоящите Правила за обработване на лични данни във връзка с получени сигнали за нарушения

3.Референтни документи

• Закон за защита на лицата, подаващи сигнали или публично оповестяващи информация за нарушения
• Правила за вътрешно подаване на сигнали и за последващи действия по тях на „КАЗИНО ИНБЕТ“ ЕООД
• EU GDPR 2016/679 (Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни и за отмяна на Директива 95/46/ЕО)
• Закон за защита на личните данни

4.Цели, за които се обработват данни от подаден сигнал за нарушения

Дружеството и Отговорникът обработват лични данни, свързани с подадените сигнали за нарушения, включително, но не само относно самоличността на сигнализиращите и засегнатите лица за следните цели:

1. Регистриране на сигнала и неговото разглеждане;
2. Предоставяне на защита на сигнализиращото лице, на свързаните с него лица, както и на засегнатото лице;
3. За изпълнение на задължение, наложено от българското законодателство или правото на Европейския съюз в контекста на разследвания от национални органи или на съдебни производства, включително с оглед гарантиране правото на защита на засегнатото лице;
4. За търсене на отговорност спрямо сигнализиращото лице и защита на законните интереси на Дружеството в определените от закон случаи.

Личните данни няма да бъдат обработвани за цели, различни от описаните по-горе.

5.Данни, обработвани във връзка с подаден сигнал

„Лични данни“ означава всяка информация за физическо лице, чрез която това лице е или може да бъде идентифицирано. Дружеството и Отговорникът обработват лични данни свързани подадени сигнали за нарушения по вътрешния канал за подаване на сигнали на Дружеството, които включват следните категории лични данни:

• Данни за сигнализиращото лице: имена, телефонен номер, адрес за кореспонденция, електронен адрес и/или качеството, в което подава сигнала, както и други данни, които могат да бъдат предоставени във връзка с подадения сигнал;
• Данни за лица, различни от сигнализиращото лице, на които се предоставя защита: имена, длъжност и данни за контакт на лица, посочени в подаден сигнал;
• Данни на засегнатото лице: имена, качество на лицето, телефонен номер, адрес за кореспонденция и/или електронен адрес, както и други данни, които могат да бъдат предоставени във връзка с подадения сигнал;
• Други данни, свързани с подадения сигнал.

6.Свеждане на данните до минимум

В случай че подаденият сигнал за нарушение съдържа информация за лични данни или данни за икономическо или финансово положение за конкретно лице, която очевидно не е от значение за установяването на твърдяно настъпило или потенциално нарушение и няма връзка с него, Отговорникът и лицата, отговарящи за разглеждането на сигнали следва да преустановят обработването и да я върнат на подателя, а когато това е невъзможно, да я унищожат в сроковете определени в настоящите Правила. Преценката относно относимостта на дадена информация, съдържаща лични данни следва да се прави за всеки конкретен случаи, като липсата на връзка с подадения сигнал следва да е очевидна. Пример: Лицето, което е подало сигнал за нарушение съобщава, че негов колега е извършил измама. В сигнала, лицето разкрива информация за здравословното състояние на своя колега. Очевидно е, че тази информация е напълно ирелевантна за докладваното нарушение и затова не следва да се обработва допълнително.

7.Задължение за поверителност

6.1 Поверителност на информацията Отговорникът и лицата, отговарящи за разглеждането на сигнали, защитават информацията, свързана с подадените сигнали за нарушения, включително, но не само самоличността на сигнализиращите и засегнатите лица, и предприемат необходимите мерки за защита на посочената информация. Достъп до информацията, свързана с подадените сигнали за нарушения, включително относно самоличността на сигнализиращите и на засегнатите лица, се осигурява единствено на служителите и други лица в рамките на Дружеството и на Отговорника, на които тези данни са необходими за изпълнение на служебните им задължения, включително за предприемане на мерки по реализиране на дисциплинарна отговорност, когато е приложимо. В рамките на Дружеството достъп до информацията има единствено служителите, отговарящи за разглеждането на сигнали. Лице по предходното изречение, срещу което има подаден сигнал, няма достъп до информацията, свързана с този сигнал, освен когато предоставянето на информацията се изисква по закон. Достъп може да се предоставя и на други лица в зависимост от спецификата на конкретния случай, като достъпът се разрешава от Дружеството за всеки конкретен случай. В рамките на Дружество, отговарящо за приемането на писмени сигнали, достъп до информацията имат само лицата, на които са възложени функции по приемане на сигнали от името на Дружеството при спазване на настоящите Правила. Предаването на данни и позоваването на обстоятелства от страна на Дружеството към лица, които нямат право на достъп до информацията относно сигнала и самоличността на сигнализиращото и засегнатото лице, както в рамките на Дружеството, така и извън него, не може да разкрива пряко или косвено самоличността на сигнализиращото и засегнатото лице, както и да създава възможност за предположение за неговата самоличност. 6.2 Изключения, при които се допуска разкриване на самоличността на лицето, подало сигнал Разкриването на самоличността на сигнализиращото лице и/или на друга информация относно сигнала, се допуска само при изричното съгласие на сигнализиращото лице. Независимо от описаното по-горе, самоличността на сигнализиращото лице, и всяка друга информация, от която може пряко или непряко да се узнае неговата самоличност, може да бъде разкрита, когато това е необходимо и е пропорционално задължение, наложено от българското законодателство или правото на Европейския съюз в контекста на разследвания от национални органи или на съдебни производства, включително с оглед гарантиране правото на защита на засегнатото лице. В случаите, когато Дружеството предприема разкриване на информация, преди разкриването на самоличността на лицето и/или на друга информацията относно конкретен сигнал, Дружеството уведомява писмено сигнализиращото лице за необходимостта от разкриването на информация. Уведомлението съдържа мотиви относно необходимостта от разкриване на информацията. Сигнализиращото лице не се уведомява, когато с това се застрашава разследването на нарушението или съдебното производство. В случай че Отговорникът и лицата, отговарящи за разглеждането на сигнали получат информация за нарушение, която включва търговски тайни на други лица, същите са длъжни да не използват или разкриват търговските тайни, освен и само доколкото това е необходимо за целите на вътрешната проверка по подадения сигнал и за предприемане на последващи действия при констатирано нарушение.

8.Предоставяне на информираност и достъп на лицата, чиито данни се обработват във връзка с подаден сигнал. Изключения

8.1. Предоставяне на информираност Отговорникът и лицата, отговарящи за разглеждането на сигнали предоставят информираност съгласно чл. 13 и чл. 14 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) на всички лица, свързани с конкретно подаден сигнал за нарушение, а именно: на лицето, подало сигнала за нарушение, свидетели, лица, на които се предоставя защита, както и лицето, срещу което е подаден сигналът. На следващо място, информацията следва да съдържа данни за последиците от злоупотребата с процедурата за подаване на сигнали за нередности (ако например лицето, подало сигнал, направи невярно изявление), като носенето на дисциплинарна, административна или наказателна отговорност. Информацията следва да бъде предоставена от Отговорника или служителя, отговарящ за разглеждането на сигнали на субектите на данни в рамките на 10-дни от получаването й на предоставения от лицето адрес за кореспонденция. Когато сигналът съдържа данни на трети лица, но липсва посочен адрес за кореспонденция с тях от сигнализиращото лице, Отговорникът или служителят, отговарящ за разглеждането на сигнали я изисква от него. 8.2. Изключения от правото на информация и достъп 8.2.1. Ограничения във връзка с провежданото вътрешно разследване В определени случаи информирането на лицето, срещу което е подаден сигнал за нарушение на ранен етап, може да бъде в ущърб на вътрешното разглеждане на сигнали. Когато по преценка на Отговорника или служителя, отговарящ за разглеждането на сигнали се приеме, че съществува голям риск предоставянето на достъп да затрудни процедурата или да накърни правата и свободите на другите, лицето предлага на Управителя на Дружеството да наложи ограничаване на предоставянето на конкретна информация или забавяне на нейното предоставяне. Отговорникът или служителят, отговарящ за разглеждането на сигнали предлага ограничаване на достъпа до информацията чрез изготвянето на Доклад, в който се прави преценка за необходимостта и пропорционалността (балансиращ тест) на това ограничаване до Управителя на Дружеството и следва да се решава за всеки отделен случай. В изготвения доклад задължително се изисква и документира становището на Длъжното лице по защита на данните. При извършване на оценката, следва да вземат предвид качеството на лицето, поискало достъп, както и етапа от разследването. Вида на информацията, както и всички свързани рискове при разкриването й, са различни в зависимост от качеството на лицето, което е отправило искането е направено (лицето, срещу което е подаден сигнал, подателят, свидетели, трети страни и др.) и следва да бъдат включени в балансиращия тест. В случай, че бъде взето решение за забавяне на предоставената информация, същата следва да бъде предоставена незабавно след отпадане на причините за налагането й. 8.2.3. Ограничения, свързани със защитата на поверителността на информацията В определени случаи, когато изисканата информация може да доведе до непряко разкриване на самоличността на сигнализиращото лице или на друго лице, което се ползва със защита, може да се наложи ограничаване на правото на достъп. Отговорникът или служителят, отговарящ за разглеждането на сигнали предлага процедурата по налагане на изключение на правото на достъп, описана в чл. 8.2.1. Например, ако лицето, срещу което е подаден сигнал за нарушение поиска достъп до подадения сигнал, който съдържа негови лични данни, дори Дружеството да заличи данните на сигнализиращото лице или на друго лице, което се ползва със защита, спецификата на описание на нарушението може да доведе до разкриване на тяхната самоличност, изключение на правото на достъп може да бъде оценявано по реда на настоящата разпоредба. 8.3. Информация за трети лица Когато Отговорникът или служителят, отговарящ за разглеждането на сигнали предоставя достъп до личните данни на засегнато лице, личните данни на трети страни, като например лица, подали сигнал за нарушения, или свидетели, следва да бъде премахната от документите, освен при изключителни обстоятелства, когато лицето е дало изричното си съгласие данните му да бъдат разкрити. Отговорникът или служителят, отговарящ за разглеждането на сигнали може да счете за непропорционално да информира всички трети страни, посочени в конкретния сигнал. Преценката за пропорционалност трябва да се извършва за всеки отделен случай по реда на чл. 8.2.1.

9.Права на субекта на данните

Субектите на лични данни имат следните права относно техните лични данни:

1. Право на достъп;
2. Право на коригиране;
3. Право на преносимост на данните;
4. Право на изтриване;
5. Право на изтриване (право „да бъдеш забравен“);
6. Право да се иска ограничаване на обработването;
7. Право на възражение срещу обработването на лични данни;
8. Право на субекта на лични данни да не бъде обект на решение, основаващо се единствено на автоматизирано обработване, независимо дали това обработване включва и профилиране.

10.Отговорности

Oтговорността за гарантиране на спазването на настоящите Правила е на Отговорника и лицата, отговарящи за разглеждането на сигнали.

11.Съхранение на документи, запазени въз основа на настоящия документ

Досието, включително всички данни и материали по конкретен сигнал, се пазят за срок от 5 (пет) години, считано от датата на приключване на вътрешната проверка по сигнала, а в случай, че не е извършвана вътрешна проверка (например ако сигналът е препратен по компетентност на съответния орган или е върнат на сигнализиращото лице поради нередовност) – 5 (пет) години, считано от датата на получаване на сигнала. За дата на приключване на вътрешната проверка се счита датата на издаване на индивидуалния доклад за резултатите от проверката. В случай че по повод на сигнала и/или във връзка с дейността на Дружеството, включително по прилагането на Правилата, е образувано дисциплинарно, административнонаказателно, наказателно и/или гражданско производство, досието на сигнала, свързан със съответното производство, се съхранява до окончателното приключване на това производство и за срок от 5 (пет) години след това, с цел установяване, упражняване и защита срещу правни претенции, искове, административни и други актове, освен ако в закон или друг нормативен акт е определен по-къс или по-дълъг срок за съхранение. Данни, които е установено, че очевидно не са свързани с подаден сигнал се съхраняват до 2 месеца от установяване на тяхната нерелевантност.

12.Мерки за защита на информацията

С оглед защитата на информацията, свързана с подадените сигнали за нарушения, включително самоличността на сигнализиращите и засегнатите лица, се прилагат всички технически и организационни мерки за защита на личните данни, предвидени в Приложение № 2 – Правила за обработване на лични данни във връзка с получени сигнали за нарушения, както и мерките, предвидени в Приложение № 3 – Процедура за водене на Регистъра на сигналите за нарушения от Правила за вътрешно подаване на сигнали и за последващи действия. Дружеството предприема необходимите мерки, за да гарантира, че достъп до информацията, свързана с подадените сигнали за нарушения, включително относно самоличността на сигнализиращите и засегнатите лица, се осигурява единствено на служителите и други лица, за които тези данни са необходими за изпълнение на служебните им задължения. Дружеството предприема необходимите мерки, за да гарантират, че лицата, които имат достъп до информацията, свързана с подадените сигнали за нарушения, включително относно самоличността на сигнализиращите и засегнатите лица, са поели задължения за спазване на конфиденциалност и прилагане на въведените мерки за защита и сигурност на информацията.

13.Валидност и управление на документи

Настоящият документ е в сила от 15.12.2023 Отговорник за изпълнението на настоящия документ са Лицата, отговарящи за приемането и разглеждането на сигнали, които трябва да проверяват и при необходимост да актуализират документа поне веднъж в годината.

Одобрил: Михаил Хаджиев  управител