Ustawa o ochronie sygnalistów a ochrona danych osobowych – część III

Na podmiocie prawnym (w rozumieniu ustawy o ochronie sygnalistów) będzie ciążył wiele obowiązków. Niektóre z nich związane są z koniecznością ochrony danych osobowych. W poprzednich wpisach omówiłam niektóre obowiązki podmiotów prawnych będących jednocześnie administratorami danych osobowych, w tym obowiązek zapewnienia bezpieczeństwa danych osobowych, obowiązek przetwarzania danych w określonym celu i zakresie i obowiązek informacyjny. Kolejnym obowiązkiem podmiotu prawnego w procesie whistleblowingu jest konieczność prowadzenia odpowiednich rejestrów. Obowiązek ich prowadzenia wynika zarówno z przepisów ustawy o ochronie sygnalistów, jak i RODO.

Obowiązki podmiotu prawnego jako administratora danych osobowych (ciąg dalszy)

Rejestr czynności przetwarzania danych osobowych

Obowiązkiem każdego administratora danych jest prowadzenie rejestru czynności przetwarzania danych osobowych, za które odpowiada. W rejestrze tym administrator powinien zawrzeć wszystkie następujące informacje:

1. imię i nazwisko lub nazwę oraz dane kontaktowe administratora oraz wszelkich współadministratorów, a także gdy ma to zastosowanie – przedstawiciela administratora oraz inspektora ochrony danych;
2. cele przetwarzania;
3. opis kategorii osób, których dane dotyczą, oraz kategorii danych osobowych;
4. kategorie odbiorców, którym dane osobowe zostały lub zostaną ujawnione, w tym odbiorców w państwach trzecich lub w organizacjach międzynarodowych;
5. o przekazaniu danych osobowych do państwa trzeciego lub organizacji międzynarodowej, w tym nazwa tego państwa trzeciego lub organizacji międzynarodowej (gdy ma to zastosowanie);
6. planowane terminy usunięcia poszczególnych kategorii danych (jeżeli jest to możliwe);
7. ogólny opis technicznych i organizacyjnych środków bezpieczeństwa (jeżeli jest to możliwe).

Wskazany rejestr stanowi formę dokumentowania procesów przetwarzania danych przez administratora. Stąd, skoro w związku z procesem whistleblowingu, podmiot prawny (jako admnistrator) będzie dokonywał czynności w ramach przetwarzania danych osobowych sygnalisty i innych osób, konieczne jest ich ujęcie w rejestrze czynności przetwarzania danych osobowych.

Rejestr zgłoszeń wewnętrznych

Jednym z obowiązków nałożonych na podmiot prawny w związku z przyjmowaniem zgłoszeń wewnętrznych jest konieczność prowadzenia rejestru zgłoszeń wewnętrznych. Ustawa o ochronie sygnalistów dodatkowo wprost wskazuje, że ww. podmiot prawny jest jednocześnie administratorem danych osobowych zgromadzonych w tym rejestrze. Przy  czym, warto dodać, że podmiot prawny będzie mógł upoważnić wewnętrzną jednostkę organizacyjną lub osobę w ramach struktury organizacyjnej tego podmiotu prawnego (przewidzianą w procedurze zgłoszeń wewnętrznych) do prowadzenia tego rejestru.

Podstawą dokonania wpisu w rejestrze będzie głoszenie wewnętrzne.

Rejestr powinien zawierać takie informacje jak:

1. numer zgłoszenia;
2. przedmiot naruszenia prawa;
3. dane osobowe sygnalisty oraz osoby, której dotyczy zgłoszenie, niezbędne do identyfikacji tych osób;
4. adres do kontaktu sygnalisty;
5. datę dokonania zgłoszenia;
6. informację o podjętych działaniach następczych;
7. datę zakończenia sprawy.

Ważną informacją jest to, jak długo podmiot prawny będzie przechowywał informacje zawarte w rejestrze. Mianowicie, będzie to okres 3 lat po zakończeniu roku kalendarzowego, w którym zakończono działania następcze, lub po zakończeniu postępowań zainicjowanych tymi działaniami.

Podsumowanie

Nowe przepisy o ochronie sygnalistów to nowe obowiązki dla wielu podmiotów. Dlatego warto wiedzieć, jakie to obowiązki, by odpowiednio przygotować się do ich prawidłowej realizacji. Jednocześnie trzeba pamiętać o dacie 25 września 2024 r., gdy wejdą w życie nowe regulacje.