RODO a ochrona sygnalistów – wskazówki ekspertów po seminarium UODO

Opracowanie: Michał Kowalski

Podczas seminarium sformułowano liczne wskazówki dotyczące ochrony danych osobowych sygnalistów. Odnosząc się do definicji danych osobowych wg RODO, wskazano, że do identyfikacji sygnalisty mogą służyć nie tylko jego wszelkie dane, na podstawie których można byłoby go pośrednio zidentyfikować np. miejsce pracy. Ochrona poufności sygnalisty powinna obejmować także te dane.

Pewne wątpliwości mogą wzbudzać zasady naliczania okresu przechowywania danych osobowych sygnalisty, zwłaszcza w przypadku kilku zgłoszeń naruszenia prawa. Przyjęto jednak, że okres 3-letni okres retencji danych osobowych należy liczyć zawsze od daty przyjęcia zgłoszenia. Dotyczy to także danych osobowych w rejestrze zgłoszeń wewnętrznych.

Ważnym aspektem ochrony danych osobowych sygnalistów są kanały zgłoszeń regulowane w procedurze zgłoszeń wewnętrznych. W tym temacie poruszono wątek grup kapitałowych, zwracając uwagę na ryzyko ograniczania się jedynie do korporacyjnych kanałów zgłoszeń.

Ważnym aspektem są także środki bezpieczeństwa danych osobowych sygnalistów m.in. w ramach kanałów zgłoszeń (kontrowersje wśród uczestników seminarium wzbudził zwłaszcza kanał ustny). Podkreślono konieczność uwzględnienia reguł privacy by design i privacy by default w projektowanych procesach przetwarzania danych. Jednocześnie należy zadbać o integralność i dostępność danych.

Prezes UODO zapowiedział publikację kolejnych wskazówek dotyczących ochrony danych osobowych sygnalistów. Kolejne interpretacje mają ukazywać się systematycznie. Będą one dotyczyły także roli kancelarii prawnych w rozpatrywaniu zgłoszeń naruszeń prawa od sygnalistów. Pojawi się wątek zawierania z takimi kancelariami umów powierzenia przyjmowania zgłoszeń wewnętrznych zgodnie z art. 28 ust. 1 ustawy o ochronie sygnalistów.