Zakon o ochrane oznamovatelu neni jen o "schrance duvery"
Od 1. srpna 2023 plati v Ceske republice zakon c. 171/2023 Sb., o ochrane oznamovatelu, ktery preklopil do ceskeho pravniho radu evropskou smernici 2019/1937. Vetsina firem si z neho odnesla jedinou vec: je treba zridit "vnitrni oznamovaci system" a jmenovat "prislusnou osobu", ktera bude prijimat oznameni o mozne protipravni cinnosti. To je ale jen zacatek. Zakon zaroven ukladá presna pravidla pro to, jak s prijatymi oznamenimi nakladat, jak dlouho je uchovavat a jak zajistit, ze se k nim nedostane nikdo nepovolany. Prave tato administrativni, dokumentacni stranka zakona byva v praxi nejvic podcenovana.
Koho se povinnost tyka a od kdy
Povinnost zridit vnitrni oznamovaci system maji ze zakona:
- Vsichni zamestnavatele s 250 a vice zamestnanci a organy verejne moci, a to jiz od ucinnosti zakona, tedy od 1. srpna 2023.
- Zamestnavatele s 50 az 249 zamestnanci, kterym povinnost nabehla od 15. prosince 2023.
- Vybrani povinni subjekti bez ohledu na pocet zamestnancu (napriklad subjekty podle zakona o AML, obchodnici s cennymi papiry a dalsi vyjmenovane kategorie).
Firmy s 50 az 249 zamestnanci si navic mohou vnitrni oznamovaci system sdilet (napriklad v ramci koncernu nebo s jinym zamestnavatelem), coz na druhou stranu klade jeste vetsi naroky na to, kde a jak jsou zaznamy o oznamenich fyzicky a technicky ulozeny.
Jakou dokumentaci zakon vyzaduje
Prislusna osoba musi kazde prijate oznameni posoudit, vyrozumet oznamovatele o prijeti do 7 dnu a do 30 dnu (ve slozitejsich pripadech az 90 dnu) jej informovat o vysledku posouzeni. Cely tento proces je nutne zdokumentovat, typicky jde o:
- zaznam o prijeti oznameni (datum, forma, obsah, priloha),
- zaznam o provedenem posouzeni duvodnosti oznameni,
- dokumentaci kroku setreni a pripadnych navrhovanych opatreni,
- zaznam o vyrozumeni oznamovatele a o zachovani lhut,
- evidenci o tom, kdo mel k oznameni v jakem case pristup.
Zakon v paragrafu 16 vyslovne stanovi, ze totoznost oznamovatele, dotcene osoby i obsah oznameni musi zustat duverne, s pristupem omezenym pouze na prislusnou osobu a osoby, ktere ji pri setreni asistuji. To v praxi znamena, ze zaznamy nelze ukladat volne ve sdilenem disku firmy nebo v bezne emailove schrance HR oddeleni.
Jak dlouho se zaznamy uchovavaji
Zakon pocita s tim, ze zaznamy o oznamenich se neuchovavaji navzdy. U externiho oznamovaciho systemu vedeneho Ministerstvem spravedlnosti plati, ze evidence oznameni se uchovava po dobu 5 let od jejich prijeti. Stejnou logiku, tedy petiletou retenci s naslednou likvidaci zaznamu, doporucuji pro vnitrni system uplatnovat i metodiky a prirucky urcene prislusnym osobam. Po uplynuti teto doby by mely byt osobni udaje z dokumentace odstraneny nebo anonymizovany, pokud jiny pravni predpis (napriklad v souvislosti s probihajicim soudnim nebo spravnim rizenim) nevyzaduje delsi uchovani.
Prakticky to znamena, ze firma potrebuje nastavit skartacni rezim specificky pro tuto agendu, oddeleny od bezne spisove sluzby, protoze citlivost a pristupova prava jsou tu jina nez u faktur, smluv nebo mzdove agendy.
Prusecik s GDPR
Oznameni casto obsahuji osobni udaje, jmena, popis udajneho protipravniho jednani, casem i informace, ktere mohou spadat do zvlastnich kategorii osobnich udaju (naprikladzdravotni stav, ci naznaky diskriminace). Prislusna osoba by proto mela postupovat i podle nastaveni ochrany osobnich udaju, zvazit potrebu posouzeni vlivu na ochranu osobnich udaju (DPIA) a jasne definovat, kdo je spravcem a kdo pripadne zpracovatelem, pokud firma vyuziva externi platformu pro prijem oznameni. Nesplneni pozadavku na duvernost nebo spravu zaznamu muze vest k soubehu sankci, jak podle zakona o ochrane oznamovatelu, tak podle GDPR.
Pokuty za nesplneni povinnosti
Povinnemu subjektu hrozi pokuta az do vyse 1 000 000 Kc, pokud napriklad neurci prislusnou osobu, neumozni podani oznameni, nebo umozni, aby byl oznamovatel ci jina chranena osoba vystavena odvetnym opatrenim. Pokutu muze ulozit ministerstvo spravedlnosti a nizsi sazby hrozi i za pouhe formalni nedostatky, napriklad chybejici informace na webu firmy o zpusobu podani oznameni.
Prakticky checklist pro spravu dokumentace
- Overte, zda vas pocet zamestnancu (50+, 250+) zaklada povinnost mit vlastni nebo sdileny vnitrni oznamovaci system.
- Jmenujte prislusnou osobu a jasne definujte, kdo ma k jednotlivym zaznamum pristup.
- Zvolte zpusob ulozeni zaznamu tak, aby byla technicky zajistena duvernost (oddeleny system, omezena pristupova prava, auditni stopa pristupu).
- Nastavte retencni dobu na zaznamy o oznamenich (doporucene 5 let) a naslednou skartaci nebo anonymizaci.
- Zapracujte lhuty pro vyrozumeni oznamovatele (7 dnu, 30, pripadne 90 dnu) do interniho procesu a sledujte jejich dodrzovani.
- Zverejnete na webu nebo intranetu zpusob podani oznameni a kontakt na prislusnou osobu.
- Proverte soulad s GDPR, zejmena pokud oznameni obsahuji citlive osobni udaje nebo pokud vyuzivate externi dodavatele platformy.
- Pravidelne (napriklad jednou rocne) provadejte interni kontrolu, zda evidence oznameni odpovida realnemu poctu prijatych a vyresenych pripadu.
