Dziś przesyłam drugą cześć materiału poświęconego rejestrowi zgłoszeń wewnętrznych. W poprzednim wydaniu podzieliłem się z Wami kilkoma uwagami  o charakterze ogólnym, odpowiedziałem na pytanie czy rejestr jest obowiązkowy i przedstawiłem argumenty przemawiające za jego prowadzeniem. Dzisiaj kontynuuję tę tematykę, ale już od strony czysto praktycznej.

📌 Minimalny zakres informacji w rejestrze zgłoszeń wewnętrznych

Minimalny zakres informacji gromadzonych w rejestrze zgłoszeń wewnętrznych wskazuje art. 34 ust 4. Zgodnie z nim rejestr powinien obejmować:

1) numer sprawy
2) przedmiot naruszenia
3) datę dokonania zgłoszenia wewnętrznego
4) informację o podjętych działaniach następczych
5) datę zakończenia sprawy.

Przyznacie, że wskazany zakres jest niezwykle ubogi i można się zastanawiać nad samych charakterem wskazanego przepisu próbując odpowiedzieć na pytanie, czy rejestr może obejmować jedynie taki zakres danych jak wskazano i jest to katalog zamknięty, czy może pracodawca jest uprawniony do tego aby gromadzić także inne dane? Stoję na stanowisku, że pracodawca może rozszerzyć zakres gromadzonych w rejestrze danych, bo wniosek odwrotny sprowadzałby sam rejestr do mało użytecznego zestawienia uniemożliwiającego w zasadzie sensowne wykorzystanie zgromadzonych w nim informacji.

Za tym stanowiskiem przemawia także brzmienie motywu 86 Dyrektywy o sygnalistach, który wskazuje że odpowiednie prowadzenie rejestru (w tym danych w nim zgromadzonych; uwaga autora) powinno zapewniać możliwość wykorzystania informacji otrzymanych w drodze zgłoszeń jako dowodu w ramach działań związanych z egzekwowaniem prawa.

🔍 Prowadzenie rejestru zgłoszeń wewnętrznych – praktyczne rekomendacje

Forma:
Rejestr powinien być prowadzony w formie elektronicznej, i choć projekt ustawy o tym nie mówi, ta forma pozwala na przyjęcie, także jeśli sam rejestr nie jest zintegrowany z dedykowanym systemem informatycznym do obsługi zgłoszeń, dalej idących środków bezpieczeństwa gwarantujących ochronę przetwarzanych w nim danych przed dostępem osób niepowołanych i ochronę poufności tożsamości sygnalisty, osób mu pomagających oraz tych, których dotyczy zgłoszenie.

Upoważnienia:
Pracodawca powinien dobrze zastanowić się jakie osoby, lub podmioty zewnętrzne, będą przyjmować, rejestrować i rozpatrywać napływające zgłoszenia.

Bez względu jednak na powyższe, każda osoba powinna zostać w sposób właściwy umocowana i upoważniona do przetwarzania (w rozumieniu – rozpatrywania) danych, w tym danych osobowych, wynikających ze zgłoszenia.

Sam zakres udzielonego upoważniania oraz poziom dostępu danej osoby także może być zaszyty w strukturze rejestru, o ile wybrane rozwiązanie informatyczne będzie dawało taką możliwość.

Treść:
Jak wspomniałem wyżej, pracodawca powinien posługiwać się nie tylko rejestrem spełniającym wymagania art. 35 ust. 4, ale dającym mu realną kontrolę nad realizacją obowiązków względem sygnalistów i względem monitorowania przebiegu realizacji zgłoszenia i podejmowanych działań następczych. Stąd też zakres gromadzonych danych powinien być oparty, w pewnym uproszczeniu mówiąc, na modelu obsługi zgłoszeń reklamacyjnych i mechanizmach typu „workflow”, pozwalających wykazać, jakie zdarzenia miały miejsce, przez kogo były podejmowane oraz jak sprawa się zakończyła.

RODO:
Projektując rejestr zgłoszeń wewnętrznych nie można zapominać o wymaganiach w zakresie ochrony danych osobowych. Rejestr zgłoszeń wewnętrznych nie może funkcjonować w oderwaniu od wewnętrznych regulaminów i instrukcji w zakresie przetwarzania danych osobowych. Co więcej, zgodnie z wykazem operacji przetwarzania danych osobowych wymagających oceny skutków przetwarzania dla ich ochrony, należy taką ocenę rejestru przeprowadzić.

Archiwizacja:
Art. 34 ust. 5 projektowanej ustawy wskazuje jedynie, że dane w rejestrze zgłoszeń wewnętrznych przechowywane są przez okres 5 lat od dnia przyjęcia zgłoszenia. W tym miejscu chcę podkreślić, że postępowania wszczęte wskutek dokonanego zgłoszenia mogą trwać nieraz zdecydowanie dłużej, a samo dokonanie zgłoszenia inicjować dopiero szereg postępowań prowadzonych na różnych płaszczyznach.

Trzeba zatem być na to przygotowanym i w taki sposób, poprzez określoną strukturę rejestru, zarządzać retencją zgromadzonych danych, aby móc do sprawy wrócić z dostateczną szczegółowością, z odniesieniem się do odpowiednich materiałów i dokumentów zgromadzonych w sprawie, a nie tylko do treści samego zgłoszenia.

👋 Podsumowanie ważnych linków:

1. Artykuł: Regulamin zgłoszeń wewnętrznych – jak opracować? Część I
2. Webinar: Praktycznie o wdrożeniu sygnalistów
3. Pradnik: Tutaj dołączysz do przedsprzedaży: LINK DO PRZEDSPRZEDAZY