Autor: Maciej M.

1.       Konieczność wypełnienia obowiązku informacyjnego w stosunku do pracownika będącego jednocześnie osobą, której dotyczy zgłoszenie w zakresie określonym w art. 14 ust. 1 i 2 RODO i terminie określonym w art. 14 ust. 3 RODO. W szczególności prosiłbym o informację, czy w ocenie Urzędu konieczne jest wypełnienie w stosunku do takiego pracownika obowiązku informacyjnego po otrzymaniu zgłoszenia od sygnalisty, czy też za skuteczne mogłoby zostać uznane „uprzednie” wypełnienie takiego obowiązku w ramach klauzuli informacyjnej udostępnianej pracownikowi na kwestionariuszu osobowym poprzez wskazanie, że dane osobowe pracownika będą przetwarzane w celu realizacji ciążących na pracodawcy obowiązków prawnych wynikających z przepisów ustawy o ochronie sygnalistów. Czy w ocenie urzędu w takim przypadku po otrzymaniu zgłoszenia dotyczącego pracownika możliwe będzie zastosowanie wyłączenia wynikającego z art. 14 ust. 5 lit. a), c) lub d) RODO?

2.       Zakres danych osobowych dotyczących osoby, której dotyczy zgłoszenie w informacji zwrotnej. W szczególności – czy w ocenie Urzędu zgodne z prawem i adekwatne będzie uwzględnienie w informacji zwrotnej przekazywanej sygnaliście informacji o środkach dyscyplinujących lub rozwiązaniu umowy o pracę bez wypowiedzenia z osobą, której zgłoszenie dotyczy – jeśli takie środki faktycznie zostaną podjęte przez pracodawcę?

3.       Czy pracodawca jest zobowiązany do dokonywania ustaleń dotyczących tego, kto może być osobą powiązaną z sygnalistą i czy pracodawca będzie zobowiązany do wypełniania obowiązku informacyjnego w stosunku do tych osób?

4.       Czy za prawidłowy kanał do przyjmowania zgłoszeń anonimowych można uznać dedykowaną dla tego typu zgłoszeń skrzynkę mailową, jeśli zgłoszenie zostanie wysłane z adresu e-mail, który nie identyfikuje konkretnej osoby (w szczególności nie zawiera jej imienia i nazwiska) oraz nie został wcześniej wskazany pracodawcy?

5.       Czy wymóg usuwania przypadkowo zebranych danych osobowych (danych, które nie są niezbędne w celu rozpatrzenia zgłoszenia) dotyczy także nagrań rozmów telefonicznych?

6.       Czy przez „adres do kontaktu” zgodnie w art. 25 ust. 1 pkt 2 ustawy należy rozumieć adres do kontaktu sygnalisty czy pracodawcy?

7.       Czy zgoda, o której mowa w art. 26 ust. 3 ustawy może być wyrażana przez sygnalistę poprzez kontynuację rozmowy – po powiadomieniu sygnalisty, że rozmowa będzie nagrywana? Czy pracodawca jest zobowiązany zapewnić „nienagrywany” kanał przyjmowania zgłoszeń telefonicznych?

8.       Czy na żądanie sygnalisty pracodawca będzie zobowiązany wysłać transkrypcję nagrania rozmowy na wskazany przez sygnalistę adres w celu podpisania transkrypcji przez sygnalistę?

9.       Czy w przypadku outsourcingu usług związanych z przyjmowaniem zgłoszeń wewnętrznych upoważnienia do przetwarzania danych osobowych sygnalistów i danych osobowych zawartych w zgłoszeniach od sygnalistów powinny być wystawiane przez pracodawcę, którego dotyczą zgłoszenia czy pracodawcę pracowników firmy zewnętrznej, do której ten proces został wyoutsourcowany? Czy takie upoważnienia należy także wydać dla pracowników firmy będącej dostawcą systemu informatycznego służącego do przyjmowania i rozpatrywania zgłoszeń od sygnalistów? Jaki zakres danych osobowych pracowników firm zewnętrznych powinien być przetwarzany w ramach tych upoważnień? Czy pracodawca może umownie przenieść obowiązek wystawiania tych upoważnień na usługodawcę?