Autor: A. P.-M. IOD

1. Zgoda na ujawnienie danych, o której mowa w art. 8 ust. 1 ustawy z dnia 14 czerwca 2024 r. o ochronie sygnalistów („Ustawa”).

W art. 8 ust. 1 Ustawy wskazano, że „Dane osobowe sygnalisty, pozwalające na ustalenie jego tożsamości, nie podlegają ujawnieniu nieupoważnionym osobom, chyba że za wyraźną zgodą sygnalisty.”

Mając na względzie treść art. 8 ust. 1 Ustawy, czy w związku z tym, że zgoda powinna spełniać warunki wskazane w art. 7 RODO, sygnalista powinien wyraźnie wskazać co do jakich podmiotów/osób wyraża zgodę na ujawnienie swoich danych? Jeśli nie, czy wyrażenie przez sygnalistę zgody na ujawnienie nieupoważnionym osobom należy interpretować w ten sposób, że wyraża on zgodę na ujawnienie swoich danych osobowych nieograniczonemu kręgowi osób, w tym mając na względzie treść art. 8 ust. 5 i 6 Ustawy, osobom związanym ze zgłoszeniem (osobie, której dotyczy naruszenie lub innej osobie trzeciej takiej jak świadek)?

2. Ujawnienie danych osobowych sygnalisty w celu zagwarantowania prawa do obrony osobie, której dotyczy zgłoszenie

Czy możliwość ujawnienia danych osobowych sygnalisty ze względu na potrzebę zagwarantowania prawa do obrony, o której mowa w art. 8 ust. 2 Ustawy ma zastosowanie także w przypadku prowadzenia wewnętrznego postępowania wyjaśniającego w podmiocie prawnym w kontekście ewentualnych konsekwencji jakie mogłaby taka osoba ponieść po zakończeniu postępowania (np. zostać zwolniona z pracy)?

1. Upoważnienie do przetwarzania danych osobowych, o którym mowa w art. 27 ust. 2 Ustawy

Zgodnie z art. 27 ust. 2 Ustawy „Do przyjmowania i weryfikacji zgłoszeń wewnętrznych, podejmowania działań następczych oraz przetwarzania danych osobowych osób, o których mowa w ust. 1, mogą być dopuszczone wyłącznie osoby posiadające pisemne upoważnienie podmiotu prawnego.”

Czy w przypadku, w którym w celach związanych z weryfikacją zgłoszeń, pojawi się konieczność przekazania zgłoszenia wraz z danymi sygnalisty lub innej osoby trzeciej wskazanej w zgłoszeniu, osobie z personelu podmiotu prawnego, ale spoza kręgu osób uprzednio upoważnionych do przyjmowania i weryfikacji zgłoszeń wewnętrznych, podejmowania działań następczych oraz przetwarzania danych osobowych, to czy podmiot prawny może przekazać informacje i dane osobowe związane ze zgłoszeniem takiej osobie, po uprzednim nadaniu jej upoważnienia w trybie „ad hoc”?

2. Spełnianie obowiązku informacyjnego z art. 14 ust. 1 i 2 RODO

Czy można uznać na początku postępowania wyjaśniającego, że wobec osoby, której dotyczy zgłoszenie oraz wobec wskazanych w zgłoszeniu świadków, zachodzi przesłanka wyłączenia spełnienia obowiązku informacyjnego, o której mowa w art. 14 ust. 5 lit. b RODO, tj. że spełnienie takiego obowiązku może uniemożliwić lub poważnie utrudnić realizację celów, a więc przeprowadzenia postępowania wyjaśniającego wywołanego zgłoszeniem? Obowiązek ten zostałby zrealizowany w momencie, kiedy odpadnie przesłanka uniemożlwiająca jego pierwotną realizację. 

Jeżeli zaś nie można uznać z góry, że na początku postępowania wyjaśniającego zachodzi przesłanka wyłączenia spełnienia obowiązku informacyjnego, o której mowa w art. 14 ust. 5 lit. b RODO, to jakie czynniki powinien wziąć administrator danych przy ocenie, czy przesłanka ta zachodzi, tj. czy spełnienie obowiązku informacyjnego nie uniemożliwi bądź poważnie utrudni realizację celu przetwarzania danych ww. osób, jakim jest przeprowadzenie postępowania wyjaśniającego.

Wykonanie obowiązku informacyjnego przewidzianego w art. 14 RODO związane jest z ryzykiem ujawnienia tożsamości sygnalisty. Wprawdzie przewidziane w ustawie wyłączenie tego obowiązku w odniesieniu do źródła pochodzenia danych osobowych (art. 14 ust. 2 lit. f RODO) pozwala uniknąć ryzyka bezpośredniego wskazania na sygnalistę, jednak wykonanie obowiązku informacyjnego wynikającego z art. 14 RODO w pozostałym zakresie pośrednio takie ryzyko stwarza, a tym samym niweczy jedno z kluczowych założeń w sprawie ochrony osób zgłaszających naruszenia prawa Unii. Osobie, której zarzuca się naruszenie nie mogą być przekazywane żadne informacje, które mogłyby umożliwić identyfikację osoby dokonującej zgłoszenia, a może do tego prowadzić nawet sama informacja o dokonaniu zgłoszenia.

3. Zgodnie z art. 26 ust 6 Ustawy za zgodą sygnalisty zgłoszenie jest dokumentowane m.in. w formie protokołu spotkania. Czy dopuszczalne jest cofnięcie zgody a w takiej sytuacji czy należy usunąć zebrane na podstawie zgody dane, czy od tego momentu obowiązuje zakaz zbierania dalszych danych w ten sposób?

Art. 26 ust. 6

6. Na wniosek sygnalisty zgłoszenie ustne może być dokonane podczas bezpośredniego spotkania zorganizowanego w terminie 14 dni od dnia otrzymania takiego wniosku. W takim przypadku za zgodą sygnalisty zgłoszenie jest dokumentowane w formie:

1) nagrania rozmowy, umożliwiającego jej wyszukanie, lub

2) protokołu spotkania, odtwarzającego jego dokładny przebieg, przygotowanego przez jednostkę lub osobę, lub podmiot, o których mowa w art. 25 ust. 1 pkt 1.