Kontynuujemy publikowanie odpowiedzi na pytania zadane podczas prowadzonych przez Związek Powiatów Polskich szkoleń dotyczących wdrożenia w życie przepisów o ochronie osób zgłaszających naruszenia prawa.
Skoro dane osobowe przechowujemy 5 lat, to w jaki sposób ma być realizowana ochrona sygnalisty bezterminowo?
Odpowiedź: Zgodnie z art. 8 ust. 3 projektu ustawy o ochronie osób zgłaszających naruszenia prawa dane osobowe przetwarzane w związku z przyjęciem zgłoszenia są przechowywane przez pracodawcę, organ publiczny lub organ centralny nie dłużej niż przez okres 5 lat od dnia przyjęcia zgłoszenia. Należy jednak pamiętać, że sygnalista będzie dysponował zarówno potwierdzeniem przyjęcia zgłoszenia jak i informacją zwrotną na temat planowanych lub podjętych działań następczych i powodów takich działań. Zatem nawet po upływie 5 lat sygnalista – jeżeli będzie chciał się powołać na swój status, będzie dysponował dokumentem potwierdzającym dokonanie zgłoszenia i sposób jego rozpatrzenia. W takiej sytuacji po stronie przyjmującego zgłoszenie będzie pozostawało wykazanie, że określone działanie podejmowane wobec tej osoby nie było działaniem odwetowym tylko miało inne uzasadnione przyczyny. Powyższe potwierdza motyw 93 zd. 2 preambuły do Dyrektywy w sprawie ochrony osób zgłaszających naruszenia prawa Unii, zgodnie z którym „jeżeli osoba dokonująca zgłoszenia przedstawi dowód prima facie, że zgłosiła naruszenia lub dokonała ujawnienia publicznego zgodnie z niniejszą dyrektywą i poniosła szkodę, ciężar dowodu powinien zostać przeniesiony na osobę, która dopuściła się szkodliwego działania, a następnie osoba ta powinna wykazać, że podjęte działanie nie było w żaden sposób powiązane ze zgłoszeniem lub ujawnieniem publicznym.”.
Przykład: 7 lat po dokonaniu zgłoszenia pracownik otrzymał ponowną negatywną ocenę pracy, co skutkowało wypowiedzeniem pracownikowi samorządowemu umowy o pracę. Pracownik wniósł do sądu pracy pozew przeciwko pracodawcy, kwestionując negatywną ocenę pracy oraz powołując się na fakt bycia sygnalistą 7 lat wcześniej i przedkładając jako dowód na tę okoliczność potwierdzenie przyjęcia zgłoszenia oraz informację zwrotna. W takim przypadku po stronie pracodawcy będzie leżało wykazanie, że negatywna ocena pracy pracownika była uzasadniona czynnikami obiektywnymi.
Pobocznie należy tylko zauważyć, że upływ czasu oczywiście będzie miał wpływ na osłabienie pozycji sygnalisty w tego rodzaju sporach (jeżeli przez wiele lat nie spotkały go żadne negatywne konsekwencje związane z tym, że zgłosił naruszenie prawa). Oczywiście w grę mogą wchodzić różne sytuacje faktyczne. Odwołujące się do przykładu powyżej, jeżeli w wyniku dokonania zgłoszenia wewnętrznego przez pracownika Y pracę stracił pracownik X i po 6 latach pracownik X wraca do tego samego zakładu pracy i staje się bezpośrednim przełożonym pracownika Y, a następnie pracownik Y otrzymuje negatywną ocenę, pomimo wcześniej pozytywnych ocen pracy, to taka okoliczność może wskazywać na stosowanie działań odwetowych.
Ponadto należy mieć na względzie, że prace nad projektem ustawy trwają, zatem o tym jak będą wyglądały ostateczne regulacje dowiemy się niestety po upływie terminu na wdrożenie Dyrektywy.
Jak długo przechowywać należy dokumentację sprawy (nie dane osobowe tylko dokumentację spraw)?
Odpowiedź: Zgodnie z art. 34 projektu ustawy o ochronie osób zgłaszających naruszenia pracodawca będzie dokumentował w formie rejestru zgłoszeń wewnętrznych. W rejestrze mają być gromadzone takie dane jak numer sprawy, przedmiot naruszenia, data dokonania zgłoszenia wewnętrznego, informacja o podjętych działaniach następczych, data zakończenia sprawy. Dane w rejestrze zgłoszeń wewnętrznych są przechowane przez okres 5 lat od dnia przyjęcia zgłoszenia. Jeżeli dane w rejestrze mają być przechowywane przez 5 lat to nie ma podstaw aby dokumenty pomocnicze służące prowadzeniu tego rejestru były przechowywane przez dłuższy okres czasu. Podobnie jak w przypadku wcześniejszego pytania należy mieć na względzie, że cały czas mówimy o rozwiązaniach przewidzianych w projekcie ustawy.
Skoro dane osobowe mogą być przechowywane przez 5 lat, jak dane osobowe usunąć z dokumentu papierowego, biorąc pod uwagę, że dokumenty archiwalne podlegają przekazaniu do Archiwum Państwowego bez zmian - czy dopuszczalna jest ingerencja w dokumentacje archiwalną w rozumieniu ustawy o narodowym zasobie archiwalnym i archiwach? Jak usuwać dane z dokumentów elektronicznych, np. emaila, bez usunięcia całego dokumentu? RODO wyłącza stosowanie przepisów "dla celów archiwalnych"
Odpowiedź: Po pierwsze w stosunku do przetwarzania danych w celach archiwalnych RODO co do zasady nie podlega zupełnemu wyłączeniu. Zgodnie z motywem 156 do preambuły RODO „Przetwarzanie danych osobowych do celów archiwalnych w interesie publicznym (…) powinno podlegać odpowiednim zabezpieczeniom praw i wolności osoby, której dane dotyczą, zgodnie z niniejszym rozporządzeniem. Zabezpieczenia te powinny polegać na wdrożeniu środków technicznych i organizacyjnych zapewniających w szczególności poszanowanie zasady minimalizacji danych. Dalsze przetwarzanie danych osobowych do celów archiwalnych w interesie publicznym (…) można prowadzić, jeżeli administrator ocenił, czy celów tych nie można osiągnąć przetwarzaniem danych osobowych, które albo od początku albo już dłużej nie pozwalają identyfikować osób, których dane dotyczą, pod warunkiem że istnieją odpowiednie zabezpieczenia (takie jak pseudonimizacja danych osobowych).”.
Po drugie, jeżeli projekt ustawy o ochronie osób zgłaszających naruszenia prawa zostanie przyjęty w proponowanym (lub zbliżonym) kształcie, to przepisy tej ustawy będą miały pierwszeństwo przed przepisami ustawy z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach.
Po trzecie z brzmienia proponowanych regulacji (art. 34 w zakresie terminu przechowywania informacji w rejestrze zgłoszeń oraz art. 8 w zakresie terminu przechowywania danych osobowych) wynika, że nie mamy do czynienia z dokumentacją stanowiącą materiały archiwalne w rozumieniu art. 1 w zw. z art. 5 ust. 1 pkt 1 ustawy o narodowym zasobie archiwalnym i archiwach.
Jaki sposób postępowania należy przyjąć gdy regulamin zgłoszeń nie obejmuje mobbingu, który jest objęty rozpatrywaniem innym zarządzeniem, a będzie zgłoszenie w trybie dyrektywy o sygnalistach?
Odpowiedź: Ani dyrektywa ani projekt polskiej ustawy o ochronie osób zgłaszających naruszenia prawa wprost nie reguluje sposobu postępowania w sprawach nieobjętych zakresem przedmiotowym dyrektywy (przy założeniu, że podmiot wdrażający procedurę wewnętrzną nie zdecyduje się na rozszerzenie jej zakresu). W mojej ocenie w takim przypadku osobę zainteresowaną należy powiadomić o innym trybie dokonania zgłoszenia.
