Bez względu na sposób podejścia do ustawy o ochronie sygnalistów (ignorancja, minimalizacja, problem, szansa) wszystkie podmioty obowiązane muszą dbać o bezpieczeństwo danych przetwarzanych w procesie whistleblowingowym.

Dlaczego?

Ponieważ konsekwencje związane z naruszeniem poufności danych mogą być bardzo dotkliwe ,tj.:

❌sankcje karne wynikające np. z ustawy o ochronie sygnalistów (naruszenie poufności m.in. danych sygnalisty), RODO (naruszenia zasad przetwarzania danych), kodeks karny i ustawa o zwalczaniu nieuczciwej konkurencji (ujawnienie tajemnic);

❌zgłoszenie naruszenia organom publicznym (zgłoszenie zewnętrzne) z pominięciem wewnętrznych kanałów zgłoszeniowych w związku z brakiem zaufania do poziomu bezpieczeństwa danych przetwarzanych przez organizację w ramach procesu whistleblowingowego;

❌brak reakcji pracowników na naruszenia w organizacji, w związku z brakiem zaufania do poziomu bezpieczeństwa przetwarzanych danych.

O jakich wymaganiach w obszarze przetwarzania danych, w tym w zakresie bezpieczeństwa mówi polska ustawa o ochronie sygnalistów?

✅ zapewnienie poufnych i bezpiecznych kanałów zgłaszania naruszeń;

✅ przyjmowanie zgłoszeń i prowadzenie działań następczych wyłącznie przez osoby pisemnie upoważnione;

✅ okresy przetwarzania danych (usuwanie danych m.in. 3 lata po zakończeniu roku kalendarzowego, w którym zakończono działania następcze; usuwanie w ciągu 14 dni danych bez znaczenia dla prowadzonych działań);

✅ prowadzenie rejestru zgłoszeń zawierającego m.in. dane osobowe (dane sygnalisty i osoby, której dotyczy zgłoszenie), które muszą być chronione przed dostępem osób nieupoważnionych;

✅ przetwarzanie danych zgodnie z RODO (z pewnymi wyłączeniami).

Biorąc pod uwagę fakt, jak wiele podmiotów obowiązanych wdrożyło proste kanały zgłaszania naruszeń, takie jak chociażby korespondencja listowna czy skrzynka mailowa, ryzyka naruszenia bezpieczeństwa danych związanych ze zgłoszeniami od sygnalistów są bardzo realne i jest kwestią czasu kiedy zaczną się materializować.

Między innymi o tym opowiadał CEO E-nform Rafał Hryniewicz podczas Konferencji naukowej „Bezpieczeństwo informacji w organizacji”, która odbywała się w dniach 20-21 marca 2025 r. w Rzeszowie w ramach wydarzenia cyklicznego pn. „UODO rusza w kraj”.

Organizatorem Konferencji był Urząd Ochrony Danych Osobowych wraz z Okręgową Izbą Radców Prawnych w Rzeszowie (OIRP) oraz Wojewodą Podkarpackim. Mieliśmy przyjemność i zaszczyt być jednym z Partnerów merytorycznych tego wydarzenia, w którym uczestniczyło kilkaset osób.

Dziękujemy za zaproszenie dr. Stanisławowi Hady-Głowiak.

Więcej o tym wydarzeniu możecie przeczytać na stronie UODO pod tym linkiem: https://uodo.gov.pl/pl/601/3587