Vnitřní oznamovaci systém podle zákona o ochraně oznamovatelů: jakou dokumentaci musíte vest a jak dlouho ji uchovat

Zákon o ochraně oznamovatelů není jen o "schrance důvěry"

Od 1. srpna 2023 plati v České republice zákon c. 171/2023 Sb., o ochraně oznamovatelů, který překlopil do českého právního radu evropskou smernici 2019/1937. Většina firem si z něho odnesla jedinou věc: je třeba zřídit "vnitrni oznamovaci systém" a jmenovat "prislusnou osobu", která bude přijímat oznameni o mozne protiprávní cinnosti. To je ale jen začátek. Zákon zároveň ukladá přesná pravidla pro to, jak s přijatými oznámeními nakládat, jak dlouho je uchovávat a jak zajistit, ze se k nim nedostane nikdo nepovolany. Prave tato administrativní, dokumentační stranka zákona bývá v praxi nejvíc podcenovana.

Koho se povinnost tyka a od kdy

Povinnost zřídit vnitřní oznamovaci systém maji ze zákona:

• Všichni zamestnavatele s 250 a vice zaměstnanci a orgány verejne moci, a to jiz od ucinnosti zákona, tedy od 1. srpna 2023.
• Zamestnavatele s 50 az 249 zaměstnanci, kterým povinnost nabehla od 15. prosince 2023.
• Vybrani povinni subjekti bez ohledu na počet zaměstnanců (například subjekty podle zákona o AML, obchodnici s cennými papíry a další vyjmenovane kategorie).

Firmy s 50 az 249 zaměstnanci si navíc mohou vnitřní oznamovaci systém sdílet (například v rámci koncernu nebo s jiným zaměstnavatelem), což na druhou stranu klade ještě vetsi nároky na to, kde a jak jsou záznamy o oznámeních fyzicky a technicky ulozeny.

Jakou dokumentaci zákon vyžaduje

Příslušná osoba musi každé prijate oznameni posoudit, vyrozumět oznamovatele o prijeti do 7 dnu a do 30 dnu (ve složitějších případech az 90 dnu) jej informovat o vysledku posouzeni. Cely tento proces je nutne zdokumentovat, typicky jde o:

• záznam o prijeti oznameni (datum, forma, obsah, příloha),
• záznam o provedeném posouzeni duvodnosti oznameni,
• dokumentaci kroku setreni a případných navrhovaných opatreni,
• záznam o vyrozumeni oznamovatele a o zachovani lhůt,
• evidenci o tom, kdo mel k oznameni v jakém case pristup.

Zákon v paragrafu 16 vyslovne stanovi, ze totožnost oznamovatele, dotcene osoby i obsah oznameni musi zůstat duverne, s přístupem omezeným pouze na příslušnou osobu a osoby, které ji pri setreni asistuji. To v praxi znamená, ze záznamy nelze ukládat volne ve sdíleném disku firmy nebo v bezne emailove schránce HR oddeleni.

Jak dlouho se záznamy uchovávají

Zákon počítá s tim, ze záznamy o oznámeních se neuchovávají navždy. U externího oznamovacího systemu vedeného Ministerstvem spravedlnosti plati, ze evidence oznameni se uchovává po dobu 5 let od jejich prijeti. Stejnou logiku, tedy pětiletou retenci s následnou likvidaci zaznamu, doporucuji pro vnitřní systém uplatňovat i metodiky a příručky urcene příslušným osobám. Po uplynuti teto doby by mely byt osobní údaje z dokumentace odstraneny nebo anonymizovany, pokud jiny právní předpis (například v souvislosti s probíhajícím soudním nebo správním řízením) nevyžaduje delší uchovani.

Prakticky to znamená, ze firma potřebuje nastavit skartační rezim specificky pro tuto agendu, oddeleny od bezne spisove služby, protože citlivost a přístupová prava jsou tu jina nez u faktur, smluv nebo mzdove agendy.

Průsečík s GDPR

Oznameni casto obsahuji osobní údaje, jména, popis údajného protiprávního jednani, casem i informace, které mohou spadat do zvláštních kategorii osobních údajů (naprikladzdravotni stav, ci náznaky diskriminace). Příslušná osoba by proto mela postupovat i podle nastaveni ochrany osobních údajů, zvážit potrebu posouzeni vlivu na ochranu osobních údajů (DPIA) a jasne definovat, kdo je správcem a kdo pripadne zpracovatelem, pokud firma využívá externí platformu pro příjem oznameni. Nesplneni pozadavku na důvěrnost nebo správu zaznamu muze vest k soubehu sankci, jak podle zákona o ochraně oznamovatelů, tak podle GDPR.

Pokuty za nesplneni povinnosti

Povinnému subjektu hrozí pokuta az do výše 1 000 000 Kč, pokud například neurci příslušnou osobu, neumozni podani oznameni, nebo umozni, aby byl oznamovatel ci jina chranena osoba vystavena odvetným opatřením. Pokutu muze uložit ministerstvo spravedlnosti a nižší sazby hrozí i za pouhé formální nedostatky, například chybějící informace na webu firmy o zpusobu podani oznameni.

Prakticky checklist pro správu dokumentace

• Ověřte, zda vas počet zaměstnanců (50+, 250+) zakládá povinnost mit vlastni nebo sdileny vnitřní oznamovaci systém.
• Jmenujte příslušnou osobu a jasne definujte, kdo ma k jednotlivým záznamům pristup.
• Zvolte způsob ulozeni zaznamu tak, aby byla technicky zajistena důvěrnost (oddeleny systém, omezena přístupová prava, auditní stopa pristupu).
• Nastavte retenční dobu na záznamy o oznámeních (doporucene 5 let) a následnou skartaci nebo anonymizaci.
• Zapracujte lhůty pro vyrozumeni oznamovatele (7 dnu, 30, pripadne 90 dnu) do interního procesu a sledujte jejich dodrzovani.
• Zveřejněte na webu nebo intranetu způsob podani oznameni a kontakt na příslušnou osobu.
• Prověřte soulad s GDPR, zejména pokud oznameni obsahuji citlive osobní údaje nebo pokud využíváte externí dodavatele platformy.
• Pravidelne (například jednou ročně) provádějte interní kontrolu, zda evidence oznameni odpovídá reálnému poctu přijatých a vyřešených pripadu.