Ustawa o ochronie sygnalistów a ochrona danych osobowych – część I

Nowe przepisy o ochronie sygnalistów w ostatnim czasie są odmieniane niemal przez wszystkie przypadki. Nic dziwnego, bo już niedługo, tj. 25 września 2024 r., wejdą one w życie. Wówczas wiele podmiotów będzie musiało wypełnić kolejne obowiązki nałożone przez nowe przepisy. W procedurze ich wprowadzania trzeba pamiętać m.in. o ochronie danych osobowych sygnalisty i innych osób, w tym np. świadków naruszeń.

Ochrona danych osobowych w ustawie o ochronie sygnalistów

Przepisy regulujące ochronę danych osobowych w ustawie o ochronie sygnalistów są jedynie cząstkowe, bowiem niewiele z nich odnosi się do zagadnień związanych z ochroną danych osobowych. W związku z tym, w procesie whistleblowingu (przyjmowania zgłoszeń, ich weryfikacji i podejmowania działań następczych), obok przepisów ustawy o ochronie sygnalistów, należy stosować przepisy RODO oraz przepisy ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych. 

RODO a ustawa o ochronie sygnalistów

U podstaw przepisów ustawy o ochronie sygnalistów leży Dyrektywa Parlamentu Europejskiego I Rady (UE) 2019/1937 z dnia 23 października 2019 r. w sprawie ochrony osób zgłaszających naruszenia prawa Unii. Warto odnieść się do niej jako źródła krajowych regulacji oraz przepisów o ochronie danych osobowych stosowanych w procesie whistleblowingu. Bowiem w motywie 83 ww. dyrektywy oraz w jej art. 17 wprost wskazano, że przetwarzanie danych osobowych zgodnie z tą dyrektywą, w tym wymiana lub przekazywanie danych osobowych przez właściwe organy, powinno być dokonywane zgodnie z RODO. Poza tym w ww. motywie zwrócono uwagę na zasady dotyczące przetwarzania danych osobowych określone m. in. w art. 5 RODO oraz zasady uwzględniania ochrony danych już w fazie projektowania i domyślnej ochrony danych (określone w art. 25 RODO).  

Wobec tego w kontekście stosowania ustawy o ochronie sygnalistów należy przetwarzać dane osobowe zgodnie z RODO.

Obowiązki podmiotu prawnego jako administratora danych osobowych

Podmiot prawny, do którego wpłynie zgłoszenie wewnętrzne będzie administratorem danych osobowych zawartych w zgłoszeniu, tj. sygnalisty i innych osób, np. świadków naruszenia.

Zapewnienie bezpieczeństwa danych osobowych

Jednym z podstawowych obowiązków administratora danych jest zapewnienie bezpieczeństwa danych osobowych. W związku z tym administrator powinien wdrożyć odpowiednie środki techniczne i organizacyjne aby zapewnić stopień bezpieczeństwa odpowiadający ryzyku naruszenia praw lub wolności osób fizycznych. Stąd administrator powinien przeprowadzić ocenę skutków planowanych operacji przetwarzania dla ochrony danych osobowych, o której jest mowa w art. 35 RODO. Zgodnie z tym przepisem, Jeżeli dany rodzaj przetwarzania – w szczególności z użyciem nowych technologii – ze względu na swój charakter, zakres, kontekst i cele z dużym prawdopodobieństwem może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, administrator przed rozpoczęciem przetwarzania dokonuje oceny skutków planowanych operacji przetwarzania dla ochrony danych osobowych. (…) Zgodnie z RODO ocena skutków dla ochrony danych jest wymagana w szczególności w przypadku:

1)        systematycznej, kompleksowej oceny czynników osobowych odnoszących się do osób fizycznych, która opiera się na zautomatyzowanym przetwarzaniu, w tym profilowaniu, i jest podstawą decyzji wywołujących skutki prawne wobec osoby fizycznej lub w podobny sposób znacząco wpływających na osobę fizyczną;

2)        przetwarzania na dużą skalę szczególnych kategorii danych osobowych lub danych osobowych dotyczących wyroków skazujących i czynów zabronionych lub

3)        systematycznego monitorowania na dużą skalę miejsc dostępnych publicznie.

Przy czym RODO przewiduje również konieczność przeprowadzenia oceny skutków planowanych operacji przetwarzania dla ochrony danych osobowych w przypadkach wskazanych przez organ nadzorczy. Bowiem organ nadzorczy może ustanowić i podać do wiadomości publicznej wykaz rodzajów operacji przetwarzania podlegających wymogowi dokonania oceny skutków dla ochrony danych. W dniu 17 czerwca 2019 r. Prezes Urzędu Ochrony Danych Osobowych wydał komunikat w sprawie wykazu rodzajów operacji przetwarzania danych osobowych wymagających oceny skutków przetwarzania dla ich ochrony. Wskazał w nim, jako jeden z przykładów operacji/zakresu danych/okoliczności, w których może wystąpić wysokie ryzyko naruszenia dla danego rodzaju operacji przetwarzania, wskazał systemy służące do zgłaszania nieprawidłowości (związanych np. z korupcją, mobbingiem) – w szczególności gdy przetwarzane są w nim dane pracowników w ramach systemu służącego do zgłaszania nieprawidłowości (whistleblowing).

Dlatego podmiot prawny (w rozumieniu ustawy o ochronie sygnalistów) będący administratorem danych osobowych, przed rozpoczęciem przetwarzania, powinien dokonać oceny skutków planowanych operacji przetwarzania dla ochrony danych osobowych.

Podsumowanie

Obowiązek zapewnienia bezpieczeństwa danych osobowych jest ważnym, ale nie jedynym obowiązkiem podmiotu prawnego będącego administratorem danych. O kolejnych, w tym m. in. o obowiązku przetwarzania danych w określonym celu i zakresie, obowiązku informacyjnym czy konieczności prowadzenia odpowiednich rejestrów, przeczytają Państwo w następnych wpisach.