Dane sygnalistów podwójnie chronione

Przedsiębiorca, do którego wpłynie zgłoszenie o naruszeniu prawa, stosuje nie tylko wymogi ustalone w RODO. Jakie dodatkowe obowiązki nałożyła na niego ustawa o ochronie sygnalistów?

Dane osobowe sygnalistów powinny być przetwarzane zgodnie z ogólnym rozporządzeniem o ochronie danych (RODO). Tak wynika z unijnej dyrektywy w sprawie ochrony osób zgłaszających naruszenia prawa. Polska ustawa o ochronie sygnalistów stanowi zaś samoistną podstawę do przetwarzania tych danych. Zgodnie z jej art. 8 ust. 4 podmiot prawny albo organ publiczny po otrzymaniu zgłoszenia przetwarza dane osobowe w zakresie niezbędnym do przyjęcia zgłoszenia lub podjęcia ewentualnego działania następczego. Przepisy ustawy i RODO są w niektórych kwestiach ze sobą powiązane. Ustawa wprowadza jednak nowe obowiązki. Jak chronić dane osobowe sygnalisty bądź osoby, której zgłoszenie dotyczy? Czy w przypadku zgłoszenia zewnętrznego przedsiębiorca również pozostaje administratorem danych?

Zgłoszenia wewnętrzne

Przedsiębiorca (podmiot prywatny) jest z mocy prawa administratorem danych osobowych zgromadzonych w rejestrze zgłoszeń wewnętrznych. Podmioty prywatne, na rzecz których wykonuje pracę zarobkową co najmniej 50, lecz nie więcej niż 249 osób, mogą na podstawie umowy ustalić wspólne zasady dotyczące przyjmowania i weryfikacji zgłoszeń wewnętrznych oraz prowadzenia postępowania wyjaśniającego. Szczególnie istotne jest to dla podmiotów z jednej grupy kapitałowej. Są one odrębnymi administratorami danych osobowych pozyskanych...