Obowiązki informacyjne związane z przyjmowaniem zgłoszeń od sygnalistów.

Data publikacji: 15-01-2025

 

Ustawa z dnia 14 czerwca 2024 r. o ochronie sygnalistów wprowadziła dla wielu podmiotów obowiązki związane z przyjmowaniem zgłoszeń naruszeń prawa. Podmioty, na rzecz których pracę zarobkową wykonuje co najmniej 50 osób (z wyjątkiem jednostek organizacyjnych gmin i powiatów liczących mniej niż 10 000 mieszkańców) zostały zobowiązane do wprowadzenia procedury zgłoszeń wewnętrznych. Na organy publiczne został z kolei nałożony obowiązek wprowadzenia procedury zgłoszeń zewnętrznych.

Przyjmowanie zgłoszeń naruszeń prawa od sygnalistów wiąże się z przetwarzaniem danych osobowych. W grę może wchodzić przetwarzanie danych osoby dokonującej zgłoszenia, jak i danych osób, których dotyczy jego treść. Podmiot przyjmujący zgłoszenie staje się administratorem danych tych osób i jest zobowiązany do ich przetwarzania zgodnie z wymogami RODO. Przetwarzanie danych osobowych sygnalisty i osób, których dotyczy treść zgłoszenia oznacza w szczególności konieczność zrealizowania względem tych osób obowiązków informacyjnych, które zostały określone w art. 13 i 14 RODO. Przepisy te zobowiązują administratora do przekazania osobie, której dane dotyczą szeregu informacji odnoszących się m.in. tożsamości administratora, celu i podstawy przetwarzania danych osobowych, okresu ich przechowywania, odbiorców tych danych, praw przysługujących osobie, której dane dotyczą, a także ewentualnego przesyłania tych danych do państw trzecich, wykorzystania ich do zautomatyzowanego podejmowania decyzji lub profilowania. Co do zasady obowiązek ten realizowany jest poprzez przekazanie osobie, której dane dotyczą klauzul informacyjnych zawierających wymagane prawem informacje. 

W przypadku przetwarzania danych sygnalisty konieczne jest zrealizowanie obowiązku z art. 13 RODO. Obowiązek ten dotyczy sytuacji, gdy administrator uzyskuje dane osobowe od osoby, której te dane dotyczą. Co do zasady obowiązek ten powinien być zrealizowany podczas pozyskiwania danych osobowych, jednak w praktyce nie zawsze będzie to możliwe. Zgodnie z art. 48 ust. 1 pkt 6 ustawy o sygnalistach, organ publiczny zobowiązany do przyjmowania zgłoszeń zewnętrznych jest zobligowany do umieszczenia informacji, o których mowa w art. 13 RODO na swojej stronie w Biuletynie Informacji Publicznej w oddzielnej, łatwo identyfikowalnej i dostępnej sekcji oraz w sposób zrozumiały dla sygnalisty. W pozostałym zakresie sposób realizacji obowiązku informacyjnego z art. 13 RODO wobec sygnalisty powinien zależeć od sposobu dokonania zgłoszenia. Jeżeli administrator wykorzystuje do przesyłania zgłoszeń dedykowaną aplikację lub stronę internetową, odpowiednie informacje można zawrzeć w tej aplikacji lub na stronie internetowej. W przypadku, gdy zgłoszenie dokonywane jest w ramach bezpośredniego spotkania lub rozmowy telefonicznej niezbędne informacje należy przedstawić sygnaliście zanim przekaże on swoje dane i dokona zgłoszenia. Gdy zgłoszenie przekazywane jest za pośrednictwem poczty lub poczty elektronicznej, administrator nie będzie miał możliwości zrealizowania przedmiotowego obowiązku przed otrzymaniem zgłoszenia, jednak powinien dążyć do tego, aby przekazać sygnaliście niezbędne informacje możliwie szybko. Wydaje się, że w takim przypadku informacje wymagane w treści art. 13 RODO powinny zostać przekazane najpóźniej wraz z potwierdzeniem przyjęcia zgłoszenia, które zgodnie z wymogami art. 25 ust. 1 pkt 5 i art., 37 ustawy o sygnalistach powinno nastąpić w terminie 7 dni od dnia otrzymania zgłoszenia. Co oczywiste obowiązek z art. 13 RODO nie musi być realizowany jeżeli zgłoszenie zostało dokonane anonimowo. Obowiązek informacyjny wobec sygnalisty nie będzie mógł być zrealizowany w sytuacji, gdy zgłoszenie zostało dokonane za pośrednictwem poczty lub poczty elektronicznej a sygnalista nie podał swoich danych kontaktowych. Mając na względzie treść art. 37 ustawy o sygnalistach, konieczność realizacji tego obowiązku należałoby wyłączyć także w sytuacji, gdy jego wykonanie zagroziłoby ochronie poufności tożsamości sygnalisty.

Wobec osób, których dane osobowe zostały wskazane przez sygnalistę w treści zgłoszenia należy zrealizować obowiązek informacyjny z art. 14 RODO. Zgodnie z treścią art. 14 ust. 3 RODO wskazane w tym przepisie informacje administrator powinien podać osobie, której dane dotyczą w rozsądnym terminie, najpóźniej w ciągu miesiąca po pozyskaniu danych osobowych. Jeżeli dane osobowe mają być stosowane do komunikacji z osobą, której dane dotyczą, administrator powinien przekazać wymagane informacje najpóźniej przy pierwszej komunikacji z osobą, której dane dotyczą, a jeżeli planuje ujawnić dane osobowe innemu odbiorcy, najpóźniej przy ich pierwszym ujawnieniu. Nie ma konieczności niezwłocznego informowania osoby, której dane dotyczą o otrzymaniu dotyczącego jej zgłoszenia, a administrator może przed przekazaniem wymaganych prawem informacji podjąć działania następcze, w tym w szczególności służące ocenie prawdziwości informacji zawartych w zgłoszeniu.

Jednym z elementów obowiązku z art. 14 RODO jest przekazanie informacji o źródle, z którego administrator uzyskał dane osobowe. W przypadku realizowania obowiązku informacyjnego w związku z przyjęciem zgłoszenia naruszenia prawa obowiązek przekazania tej informacji jest jednak wyłączony z uwagi na ochronę tożsamości sygnalisty. Przekazując osobie, której dane zostały wskazane w zgłoszeniu informacje z art. 14 RODO administrator powinien pominąć dane sygnalisty, wskazując jedynie, że uzyskał te dane w związku z przyjętym zgłoszeniem. Jeżeli jednak osoba dokonująca zgłoszenia nie spełnia określonych w art. 6 ustawy przesłanek objęcia jej ochroną przysługującą sygnalistom, administrator powinien przekazać jej dane osobie, której dotyczy zgłoszenie. Dane te powinny być przekazane także wtedy, gdy sygnalista wyrazi zgodę na ujawnienie swojej tożsamości.

Warto pamiętać o przedstawionych zasadach. Niedopełnienie obowiązków informacyjnych z art. 13 i 14 RODO naraża bowiem przyjmującego zgłoszenie naruszenia prawa na możliwość nałożenia administracyjnej kary pieniężnej przez organ nadzoru. Z drugiej zaś strony ujawnienie tożsamości sygnalisty wbrew przepisom ustawy stanowi przestępstwo zagrożone karą grzywny, ograniczenia wolności albo pozbawienia wolności do roku.

 

 

Grzegorz Lubeńczuk
Kancelaria Wyrzykowscy

Niniejszy artykuł ma charakter wyłącznie informacyjny i nie stanowi porady prawnej, podatkowej ani jakiejkolwiek innej formy doradztwa. Wszelkie przedstawione w nim treści wyrażają osobiste poglądy autora oraz jego wiedzę na temat omawianych zagadnień. Autor ani wydawca nie ponoszą odpowiedzialności za ewentualne skutki wynikające z zastosowania się do informacji zawartych w artykule bez konsultacji z odpowiednim specjalistą.