Autor: K. G.

Art. 2 ust. 3 informacji o naruszeniu prawa - należy przez to rozumieć informację, w tym uzasadnione podejrzenie dotyczące zaistniałego lub potencjalnego naruszenia prawa, do którego doszło lub prawdopodobnie dojdzie w podmiocie prawnym, w którym sygnalista uczestniczył w procesie rekrutacji lub innych negocjacji poprzedzających zawarcie umowy, pracuje lub pracował, lub w innym podmiocie prawnym, z którym sygnalista utrzymuje lub utrzymywał kontakt w kontekście związanym z pracą, lub informację dotyczącą próby ukrycia takiego naruszenia prawa;

Art. 2 pkt 15 zgłoszeniu - należy przez to rozumieć ustne lub pisemne zgłoszenie wewnętrzne lub zgłoszenie zewnętrzne, przekazane zgodnie z wymogami określonymi w ustawie;

Art. 2 pkt 16 zgłoszeniu wewnętrznym - należy przez to rozumieć ustne lub pisemne przekazanie podmiotowi prawnemu informacji o naruszeniu prawa;

Art. 8 ust. 4 Podmiot prawny albo organ publiczny po otrzymaniu zgłoszenia przetwarza dane osobowe w zakresie niezbędnym do przyjęcia zgłoszenia lub podjęcia ewentualnego działania następczego. Dane osobowe, które nie mają znaczenia dla rozpatrywania zgłoszenia, nie są zbierane, a w razie przypadkowego zebrania są niezwłocznie usuwane. Usunięcie tych danych osobowych następuje w terminie 14 dni od chwili ustalenia, że nie mają one znaczenia dla sprawy;

Art. 29 ust. 3 Wpisu do rejestru zgłoszeń wewnętrznych dokonuje się na podstawie zgłoszenia wewnętrznego.

Mając na uwadze powyższe przepisy pojawią się wątpliwości w zakresie podstawy przetwarzania danych osobowych przez podmiot prawny w przypadku zgłoszenia zamkniętego jako nieobjętego ustawą. Zgodnie z definicjami zgłoszenie zamknięte jako nieobjęte ustawą nie podlega ewidencji w rejestrze. Nie ma zastosowanie więc art. 29 ust. 5 mówiący o przechowywaniu danych i informacji w rejestrze przez okres 3 lat. Zgodnie z definicją zgłoszenia zawartą w art. 2 pkt 15 w przedmiotowej sytuacji nie będzie miał również zastosowania art. 8 ust. 4.

W powyżej przedstawionym stanie powstała sytuacja w której podmiot prawny z uwagi na zgłoszenie nieobjęte ustawą (nie spełniające definicji zgłoszenia w rozumieniu ustawy) nie ma podstaw do jego ewidencjonowania w rejestrze, zastosowania art. 29 ust. 5, 8 ust. 4, a w konsekwencji przetwarza dane osobowe nie będąc do tego uprawnionym.