Ashio whistleblowing software

Oct 6, 2026

Jak vybrat whistleblowing software v Česku: 7 kritérií, která oddělí funkční nástroj od placebo řešení

Jak vybrat whistleblowing software v Česku: 7 kritérií, která oddělí funkční nástroj od placebo řešení

Téměř každý whistleblowing software na trhu tvrdí, že je anonymní, šifrovaný a v souladu s GDPR. Jenže rozdíl mezi papírovým slibem a technickou realitou se projeví až ve chvíli, kdy přijde audit nebo se ozve oznamovatel, že ho identifikovali. Pokud řešíte, jak vybrat whistleblowing software pro organizaci s desítkami až stovkami zaměstnanců, nestačí projít webové srovnání a vybrat nejnižší cenu. Tento text vám dá konkrétních sedm kritérií, podle kterých krátký seznam dodavatelů vyhodnotíte dříve, než podepíšete smlouvu, a zároveň odhalíte placebo řešení, která vypadají jako nástroj, ale chovají se jako schránka na dopisy.

Obsah

Klíčové poznatky

  • Skutečná anonymita vyžaduje, aby ani provozovatel software nemohl číst obsah hlášení — nestačí příslib „neukládáme IP adresy".
  • Šifrování v klidu (data-at-rest) a end-to-end šifrování za chodu jsou dvě různé věci; směrnice EU 2019/1937 předpokládá druhou úroveň.
  • Auditní protokol musí být neměnný, exportovatelný ve standardním formátu a musí automaticky dokládat lhůty 7 dní a 3 měsíce.
  • Cena za organizaci je vždy transparentnější než cena za zaměstnance, která zdraží pokaždé, když firma vyroste.
  • Lokalizace neznamená jen přeložené tlačítko „Odeslat", ale právní a procesní soulad s českým zákonem o ochraně oznamovatelů.

Proč nestačí formulář: co musí whistleblowing software skutečně pokrýt

Oznamovací kanál podle směrnice EU 2019/1937 nepokrývá jen příjem zprávy. Pokrývá celý životní cyklus hlášení — od anonymního příjmu, přes bezpečnou obousměrnou komunikaci, správu případu, sledování lhůt, až po vyřešení a zpětnou vazbu oznamovateli. Formulář na intranetu, který pošle e-mail na compliance manažera, pokryje nanejvýš první krok. Zbytek obstarává ručně excel a poznámkový blok, což je přesně ten stav, ve kterém se většina českých firem pohybuje.

Praktický minimální rozsah, který musíte po dodavateli chtít, zahrnuje: anonymní příjem bez nutnosti účtu, možnost doplňující komunikace, strukturovanou správu případu s vlastníkem a stavem, sledování lhůt a auditní stopu. Pokud některá z těchto vrstev chybí, software nesplňuje směrnici EU o oznamovatelích ani český zákon č. 261/2021 Sb., který ji od října 2022 promítá do vnitrostátního práva. Právě proto se rozhodování o tom, jak vybrat whistleblowing software, nezužuje na cenu ani na marketingové sliby, ale na to, zda konkrétní produkt pokryje celý životní cyklus hlášení, který směrnice a český zákon předpokládají.

Co reálně chybí, když dodavatel nabídne „jednoduchý formulář"

Téměř vždy chybí obousměrná anonymní komunikace. Oznamovatel podá zprávu, vy potřebujete doplňující otázku, ale nemáte jak se zeptat, aniž byste ohrozili jeho anonymitu. Bez tohoto kanálu končí kvalitní hlášení jako neověřitelné, protože chybí kontext. Stejně tak chybí evidence rozhodnutí: auditor se ptá, proč bylo hlášení odloženo, a vy nemáte kde to doložit jinak než v hlavě řešitele.

Skutečná anonymita, nebo jen marketing? Na co se zeptat dodavatele

Anonymní příjem neznamená, že software „nesbírá IP adresy". Anonymita je architektonická vlastnost: klíč k dešifrování musí žít u oznamovatele a u oprávněného příjemce, nikoli na serveru dodavatele. Teprve pak můžete smysluplně tvrdit, že ani provozovatel nemá přístup k obsahu hlášení — což je test, na který se ptá jak ochránce údajů, tak soud.

První otázka, kterou byste měli položit, zní: „Kde žije dešifrovací klíč?" Pokud odpověď zahrnuje server dodavatele, nejde o end-to-end šifrování, ale o šifrování v klidu, kde dodavatel drží i klíč. Druhá otázka zní: „Jak je klíč chráněn?" Moderní postup je odvození hesla pomocí Argon2id a wrap klíče pomocí P-256 ECDH pro každého oprávněného příjemce zvlášť. Pokud dodavatel nedokáže popsat konkrétní algoritmy a režimy, prodávají příslib, ne vlastnost.

Jak poznat, že jde o placebo anonymitu

Triky, které signalizují placebo: sběr analytických skriptů na stránce pro podání hlášení, dlouhodobé uchovávání metadat, přihlašování přes sociální sítě nebo e-mail. Každý takový prvek je technický kanál, kterým se oznamovatel může identifikovat. Skutečně anonymní oznamování stojí na opaku: žádné sledování na stránce hlášení, klíč v URL nebo na zařízení, identifikace příjemce bez identifikace oznamovatele.

End-to-end šifrování a nulový přístup: jak poznat rozdíl mezi šifrováním v klidu a šifrováním za chodu

Šifrování v klidu chrání data na disku, ale dodavatel je může dešifrovat, jakmile k nim přistoupí. Šifrování za chodu (end-to-end) chrání data od okamžiku, kdy je oznamovatel odešle, až do okamžiku, kdy je oprávněný příjemce přečte. Rozdíl je zásadní: v prvním případě je dodavatel důvěryhodná strana, ve druhém případě není — a to je přesně to, co směrnice EU o ochraně oznamovatelů předpokládá.

Architektura s nulovým přístupem jde ještě dál: ani provozovatel nemůže číst těla hlášení, protože klíč nikdy neopustil zařízení oznamovatele ani příjemce. Praktickou implementací je AES-256-GCM klíč pro každé hlášení, který je wrapnutý P-256 ECDH pro každého oprávněného příjemce zvlášť. Server pak uchovává pouze šifrovaný text — a nemůže ho dešifrovat ani v rámci své vlastní administrace. Pokud chcete tuto vlastnost ověřit, bezpečnostní dokumentace dodavatele by měla konkrétní algoritmy a postup popisovat na úrovni, kterou dokáže auditovat technik.

Na co se ptát v bezpečnostním dotazníku

Vždy se ptejte na tři konkrétní věci: kde sídlí data, jakou certifikaci datacentra mají a zda je šifrování end-to-end nebo jen at-rest. Pokud datacentrum nemá ISO 27001, nemáte jak doložit, že je nakládání s daty řízeno procesně. Pokud je šifrování jen at-rest, nemáte jak doložit, že dodavatel data nečte. Obě odpovědi musí znít jasně, jinak jde o placebo i u produktu, který tvrdí opak.

Auditní protokoly: co musí software logovat, aby obstál u auditora

Auditor nezkoumá, jestli software „umí logovat". Zkoumá, zda je protokol neměnný, úplný a exportovatelný ve standardním formátu, který lze otevřít v jiném systému. Trik spočívá v tom, že neměnnost nesmí být vlastnost, kterou „administrátor může vypnout". Musí být architektonická: každá událost má hash předchozí události, řetězec nelze přepsat bez detekce.

Protokol musí pokrýt minimálně příjem hlášení, otevření, přiřazení vlastníka, změnu stavu, poznámky, rozhodnutí a zpětnou vazbu oznamovateli. Zároveň musí obsahovat automatický důkaz lhůt: sedmidenní lhůtu pro potvrzení přijetí a tříměsíční lhůtu pro zpětnou vazbu podle směrnice EU 2019/1937. Pokud software tyto lhůty eviduje ručně nebo v externí tabulce, je otázkou času, kdy se jeden termín ztratí — a audit dopadne špatně.

Co dělá protokol skutečně auditovatelným

Formát exportu rozhoduje. CSV nebo PDF, které si může auditor otevřít v Excelu, je minimum. Lepší je strojově čitelný formát s digitálním podpisem, který dokládá integritu. Klíčové je, že protokol nesmí obsahovat obsah hlášení — jen metadata. V opačném případě by se auditní export sám stal únikem dat.

Cenový model: proč cena za zaměstnance může zdražovat tam, kde cena za organizaci zůstává stabilní

Cena za zaměstnance vypadá na první pohled fér: platíte jen za ty, kdo software používají. Problém je, že whistleblowing není nástroj, který zaměstnanci používají — je to kanál, na který mohou podat hlášení. Hranice „aktivních uživatelů" je tedy u oznamovacího systému definicí absurdní: může být navíc zákeřná, protože dodavatel ji může kdykoli zpřísnit. Při růstu firmy o padesát lidí vám faktura stoupne o desítky procent, aniž by se změnilo cokoliv jiného.

Cena za organizaci je v tomto kontextu transparentnější: víte dopředu, co budete platit za rok, a růst firmy ji neovlivní. Při výběru se ptejte, co vše je v ceně a co se případně doúčtuje. Pokud dodavatel účtuje zvlášť za onboarding, za každý export nebo za každý kontrolní protokol, je to signál, že cenový model není nastavený pro compliance, ale pro maximalizaci tržby. V tom se liší i transparentní modely, které mají jednu cenu a v ní vše podstatné.

Skryté náklady, na které se ptát

Nejčastější skrytý náklad je cena za více organizací v holdingu, cena za vícejazyčnost, cena za auditní exporty a cena za delší uchování případů. Všechny čtyři položky přitom patří k běžnému provozu, ne k prémiovým funkcím. Pokud se objeví ve faktuře po roce provozu, je pozdě na renegociaci.

Lokalizace a jazyková podpora: co reálně znamená ‚český whistleblowing software'

Zákonná povinnost je dána českým zákonem č. 261/2021 Sb., ale to neznamená, že musíte koupit software vyvinutý v Česku. Znamená to, že software musí pokrýt požadavky tohoto zákona v českém jazyce: české rozhraní pro oznamovatele, českou dokumentaci pro interní tým a soulad s procesními lhůtami, které zákon stanoví. Přeložené tlačítko „Odeslat" nestačí.

V praxi se vyplatí ptát, kde dodavatel čerpá právní a procesní know-how a zda chápe rozdíl mezi českým zákonem a směrnicí EU. Dodavatelé, kteří pokrývají vícero jurisdikcí, mají výhodu: znají rozdíly mezi vnitrostátními transpozicemi a umí je vysvětlit auditorovi, který se ptá po konkrétním paragrafu. Právě jazyková a procesní lokalizace je jedno z kritérií, podle kterých se pozná, jak vybrat whistleblowing software zodpovědně vůči českému právnímu rámci.

Jak poznat českou podporu od pouhého překladu

Skutečná česká podpora znamená, že se můžete zeptat v češtině a dostupná dokumentace pokrývá český právní rámec. Přeložená dokumentace bez procesní znalosti končí tím, že se ptáte podpory, která vám neumí říct, jestli váš postup splňuje § 8 odst. 2 zákona č. 261/2021 Sb.

Jak postupovat při výběru: od trial verze po rozhodnutí

Jak postupovat při výběru: od trial verze po rozhodnutí Praktický výběr by měl mít tři fáze a pevný časový rámec. První fází je krátký seznam tří dodavatelů, kteří jsou vybíráni na základě certifikací, jurisdikce dat a cenového modelu, ne na základě demoverzí nebo hezkého webu. Druhou fází je bezpečnostní dotazník, který dostane každý dodavatel, a jehož odpovědi se porovnávají bod po bodu. Třetí fází je trial verze, ve které simulujete reálný postup: anonymní podání, doplňující otázka, sledování lhůty, zpětná vazba oznamovateli.

Rozhodnutí by mělo padnout na základě toho, jak si software vede v trial verzi s vaším vlastním scénářem, ne na základě prezentace dodavatele. Pokud se během trial verze objeví situace, na kterou software nemá odpověď, je to konečné. Audit ani oznamovatel se neptají na prezentaci, ptají se na to, co software reálně umí.

Co musíte v trial verzi reálně prověřit

Konkrétně otestujte: příjem anonymního hlášení, obousměrnou komunikaci bez identifikace oznamovatele, sledování sedmidenní a tříměsíční lhůty, export auditního protokolu a práci s více než jedním uživatelem v týmu. Pokud některý z bodů selže, nemá smysl pokračovat.

V praxi se ukazuje, že odpověď na celou tuto sadu kritérií dává jen úzký okruh dodavatelů, kteří jsou postavení na end-to-end šifrování a nulovém přístupu. Jedním z nich je ashio, který tyto vlastnosti pokrývá v jednom plánu bez příplatku za zaměstnance, jazyky nebo auditní export; pokud chcete konkrétní řešení, můžete si na stránkách dodavatele aktivovat čtrnáctidenní zkušební verzi a projít si celý proces na vlastním scénáři dříve, než se rozhodnete. Pro menší týmy bez vlastního IT je to rychlejší cesta než stavět interní řešení, a právě pro compliance důstojníky je to cesta, jak splnit povinnosti dané směrnicí EU o whistleblowingu bez zbytečného tření s auditem.

Časté dotazy

Jak dlouho trvá implementace whistleblowing softwaru v české firmě se 120 zaměstnanci?

Implementace trvá většinou jeden až dva týdny, pokud jde o software s českou podporou a připravenou dokumentací. Nejdelší část zabere interní nastavení rolí, vlastníků případů a procesu zpětné vazby oznamovateli, ne technické nasazení. Pokud dodavatel slibuje „hotovo za den", obvykle to znamená, že interní proces nechává na vás.

Stačí anonymní formulář na intranetu, nebo musím mít dedikovaný software?

Anonymní formulář na intranetu nepokrývá obousměrnou komunikaci, správu případu a auditní protokol, které směrnice EU 2019/1937 předpokládá. Pokud máte méně než 50 zaměstnanců a nejste povinným subjektem podle zákona č. 261/2021 Sb., formulář může stačit. Pokud jste povinným subjektem, dedikovaný software je v praxi jediná obhajitelná varianta u auditu.

Co dělat, když dodavatel nechce odpovědět na bezpečnostní dotazník?

Bezpečnostní dotazník je rutinní součást výběrového řízení, ne obchodní tajemství. Pokud dodavatel odmítne odpovědět na konkrétní otázky o šifrování, jurisdikci dat nebo certifikaci datacentra, je to signál, že vlastnostmi, které prodává, si není jistý. V takovém případě dodavatele vyškrtněte a jděte dál.

Jak často se mění požadavky českého zákona o oznamovatelích?

Samotný zákon č. 261/2021 Sb. je od října 2022 stabilní, ale vyvíjejí se výklady a metodiky Úřadu pro ochranu oznamovatelů a dohledových orgánů. Dopad na software je malý, pokud je postavený na principu auditu a neměnného protokolu — tehdy nový výklad zvládne interní proces, ne dodavatel.

Zdroje