Ashio whistleblowing software

Rejestr zgłoszeń sygnalistów – jak prowadzić go zgodnie z art. 8 ustawy

Cover: Rejestr zgłoszeń sygnalistów – jak prowadzić go zgodnie z art. 8 ustawy

Rejestr to jedyny dokument, który rzeczywiście pokaże Rzecznikowi Praw Obywatelskich, że system działa. Albo nie działa. Jeśli szukasz rejestru zgłoszeń sygnalistów wzór, który po prostu przejdzie kontrolę i nie wzbudzi wątpliwości inspektora, ten artykuł przeprowadzi Cię przez każde pole obowiązkowe, wymóg techniczny i częsty błąd, który widuję w praktyce. Poniżej znajdziesz konkretną strukturę rejestru, wyjaśnienie, kto powinien go prowadzić, jak długo przechowywać dane, a na końcu — działający wzór w arkuszu kalkulacyjnym.

Spis treści

Co musi zawierać rejestr zgłoszeń – pola obowiązkowe

Art. 8 ustawy o ochronie sygnalistów nie pozostawia wiele pola do interpretacji w kwestii danych w rejestrze zgłoszeń. Rejestr musi zawierać co najmniej:

  1. Numer sprawy – kolejny numer porządkowy nadawany automatycznie lub ręcznie; jest kluczowy dla odszyfrowania powiązań między zgłoszeniem a dalszą korespondencją.
  2. Data wpływu zgłoszenia – dzień, w którym zgłoszenie dotarło do podmiotu kanałem wewnętrznym; nie data powzięcia informacji o naruszeniu.
  3. Przedmiot naruszenia – zwięzły opis, do którego obszaru prawa odnosi się zgłoszenie (korupcja, zamówienia publiczne, prawo pracy, RODO, bezpieczeństwo produktów itd.).
  4. Dane sygnalisty – imię, nazwisko, stanowisko, miejsce pracy, a także dane kontaktowe (e-mail lub telefon), chyba że zgłoszenie jest anonimowe.
  5. Status zgłoszenia – w trakcie weryfikacji / w toku postępowania / uznane za zasadne / niezasadne / umorzone.
  6. Data udzielenia informacji zwrotnej – ustawa daje na to 3 miesiące, więc w rejestrze warto mieć osobną kolumnę „planowana data feedbacku".
  7. Wynik postępowania – krótkie podsumowanie: potwierdzenie naruszenia, brak potwierdzenia, przekazanie do organów ścigania.
  8. Dane osoby, której dotyczy zgłoszenie – jeśli są znane; w przeciwnym razie pole pozostaje puste lub „nieustalone".

Pola pomocnicze, które warto dodać

  • Kanał przyjęcia (formularz, e-mail, papier, ustne spotkanie).
  • Priorytet (niski / średni / wysoki / krytyczny) – ułatwia triage.
  • Powtarzalność – czy to zgłoszenie dotyczy tej samej osoby lub tego samego obszaru co poprzednie wpisy.
  • Archiwizacja po 3 latach – data, po której rekord zostanie trwale usunięty zanonimizowany.

Kto może mieć wgląd w rejestr i kto go prowadzi

Wgląd w rejestr mają wyłącznie osoby upoważnione do przyjmowania zgłoszeń i podejmowania działań następczych. W praktyce oznacza to zwykle:

  • Compliance officer / inspektor ochrony danych – osoba odpowiedzialna za bieżącą obsługę wpisów.
  • Kierownik jednostki organizacyjnej, której dotyczy zgłoszenie – tylko w zakresie sprawy, która go dotyczy, i wyłącznie w części niezbędnej do podjęcia decyzji.
  • Pełnomocnik ds. etyki / radca prawny – gdy zgłoszenie dotyczy sprawy prawnej.
  • Audytor zewnętrzny lub biegły rewident – w zakresie przeglądu rocznego.

Pracodawca prowadzący rejestr musi wyznaczyć jedną osobę lub jednostkę organizacyjną odpowiedzialną za ten rejestr. W spółkach zatrudniających powyżej 50 osób tę rolę pełni najczęściej compliance officer, co wynika wprost z delegacji zadań wynikających z art. 8. Osobom spoza tej listy nie wolno udostępniać rejestru, nawet w części. Dotyczy to także zarządu – prezes nie zagląda do rejestru „z ciekawości", lecz tylko wtedy, gdy sprawa wymaga jego decyzji i jest obsługiwana przez upoważnioną osobę.

Wzorzec upoważnienia

W dokumentacji wewnętrznej powinien znaleźć się pisemny wykaz osób upoważnionych, z datą nadania i cofnięcia upoważnienia. Każda zmiana personalna wymaga aktualizacji tego wykazu w ciągu 7 dni. W praktyce audytorzy RODO i inspektorzy PIP zwracają na to uwagę przy pierwszej kontroli.

Okres przechowywania danych (3 lata) i zasady anonimizacji

Ustawa przewiduje przechowywanie zgłoszeń 3 lata od dnia zakończenia postępowania wyjaśniającego – nie od daty wpływu. Liczy się więc dzień, w którym podjęto ostateczną decyzję (zasadne/niezasadne/umorzone) i przekazano sygnaliście informację zwrotną. Po upływie trzech lat dane muszą zostać trwale usunięte lub zanonimizowane w sposób uniemożliwiający identyfikację zarówno sygnalisty, jak i osoby, której dotyczy zgłoszenie.

Anonimizacja w rejestrze oznacza:

  • usunięcie imion, nazwisk, stanowisk, numerów telefonów i adresów e-mail;
  • zastąpienie nazw własnych i identyfikatorów literowo-cyfrowych ogólnym opisem („kierownik działu X", „kontrahent Y");
  • usunięcie wszelkich cytatów pozwalających na pośrednią identyfikację.

Pułapka: dane w aktach postępowania

Rejestr to tylko metadane. Pełna treść zgłoszenia, korespondencja i dokumentacja dowodowa żyją w osobnym zbiorze, który ma własne zasady retencji (zwykle dłużej niż rejestr, jeśli sprawa trafi do prokuratury). Mieszanie tych dwóch zbiorów to jeden z najczęstszych błędów, który prowadzi do naruszenia zasady minimalizacji danych.

Anonimowe zgłoszenia a rejestr

Zgłoszenie anonimowe również trafia do rejestru. W polu „dane sygnalisty" wpisujemy wtedy wartość „anonim", a w opisie – informację o braku danych identyfikacyjnych. Anonimowość nie zwalnia z obowiązku prowadzenia rejestru, ale wydłuża proces, bo feedbacku nie da się wysłać.

Rejestr papierowy vs elektroniczny – wymogi techniczne

Ustawa nie zabrania prowadzenia rejestru w formie papierowej, ale w praktyce jest to nieopłacalne i ryzykowne. Papierowy rejestr wymaga fizycznego zabezpieczenia (szafa zamykana, kontrola dostępu), a przy więcej niż kilkunastu zgłoszeniach rocznie szybko staje się nieczytelny.

Wymogi dla wersji elektronicznej

Niezależnie od tego, czy korzystasz z arkusza Excel, dedykowanej platformy, czy wewnętrznego systemu IT, rejestr elektroniczny musi spełniać:

  • Szyfrowanie at rest i in transit – standard to TLS 1.2+ dla transmisji oraz AES-256 dla danych spoczynkowych.
  • Kontrola dostępu oparta na rolach (RBAC) – tylko osoby upoważnione wglądają w rejestr, modyfikacje są logowane.
  • Logowanie operacji – każdy odczyt, edycja i eksport rejestru powinien zostawiać ślad audytowy z datą, godziną i identyfikatorem użytkownika.
  • Backup i odtwarzalność – minimum jeden pełny backup dzienny, przechowywany w innej lokalizacji, szyfrowany niezależnym kluczem.
  • Mechanizm automatycznego kasowania po 3 latach – albo skrypt cron, albo funkcja systemu; poleganie na pamięci pracownika jest niewystarczające.

Te wymagania pokrywają się z ogólnymi zasadami eu whistleblowing compliance, szczególnie w zakresie integralności i poufności danych.

Bezpieczeństwo ponad funkcjonalność

Samo postawienie pliku Excel na udziale sieciowym nie spełnia wymogu bezpieczeństwa. Arkusz bez ochrony hasłem, bez szyfrowania i bez logowania zmian to poważne uchybienie, które podważa wiarygodność całego systemu zgłoszeń. Audytorzy zwracają uwagę na to, czy w security polityce firmy istnieje wpis dotyczący ochrony rejestru – jeśli go brak, kontrola kończy się zaleceniem pokontrolnym.

Gotowy wzór rejestru w arkuszu kalkulacyjnym

Poniższy wzór rejestru zgłoszeń xlsx możesz odwzorować w dowolnym arkuszu kalkulacyjnym. Struktura sprawdza się zarówno dla kilku, jak i kilkuset zgłoszeń rocznie.

Arkusz 1: „Rejestr"

Kolumna Typ danych Opis
A – Nr sprawy tekst/numer np. 2025/01
B – Data wpływu data (RRRR-MM-DD) dzień otrzymania zgłoszenia
C – Kanał lista rozwijana formularz / e-mail / papier / ustne
D – Imię i nazwisko sygnalisty tekst „anonim" gdy brak danych
E – Stanowisko / dział tekst opcjonalnie
F – Kontakt tekst e-mail lub telefon
G – Przedmiot naruszenia tekst (max 200 znaków) zwięzły opis
H – Priorytet lista niski / średni / wysoki / krytyczny
I – Status lista w trakcie / zasadne / niezasadne / umorzone
J – Data feedbacku data planowana i faktyczna
K – Wynik tekst (max 500 znaków) decyzja końcowa
L – Dane osoby, której dotyczy zgłoszenie tekst imię, nazwisko, stanowisko lub „nieustalone"
M – Archiwizacja data data + 3 lata od zakończenia
N – Uwagi tekst np. powiązanie ze sprawą nr X

Arkusz 2: „Upoważnienia"

Lista osób, które mają wgląd w rejestr: imię, nazwisko, funkcja, data nadania upoważnienia, data cofnięcia, podpis elektroniczny lub skan oświadczenia.

Arkusz 3: „Log dostępu"

Każdy odczyt i edycja rejestru powinna być logowana. W najprostszym arkuszu można to osiągnąć przez regułę arkusza współdzielonego, ale w poważniejszym wdrożeniu lepszy jest dedykowany internal reporting channel, który generuje taki log automatycznie.

Szyfrowanie pliku

Plik Excel powinien być zaszyfrowany hasłem znanym wyłącznie osobom upoważnionym. W przypadku Office 365 lub Google Sheets włącz szyfrowanie po stronie serwera, wymuś uwierzytelnianie dwuskładnikowe i ogranicz dostęp do konkretnych kont pracowników.

Najczęstsze uchybienia wykrywane podczas kontroli

Infographic: Najczęstsze uchybienia wykrywane podczas kontroli Na podstawie doświadczeń z pierwszych kontroli po wejściu ustawy w życie najczęściej powtarzają się następujące uchybienia:

  1. Brak numeracji ciągłej – pomijanie numerów, „przeskakiwanie" po usuniętych wpisach. Rejestr musi być ciągły, żeby nie budzić podejrzeń o celowe usuwanie zgłoszeń.
  2. Mieszanie statusów – w jednym wpisie jednocześnie „w trakcie" i „umorzone". Status zmienia się jednorazowo, z datą zmiany.
  3. Brak informacji zwrotnej w terminie – ustawowe 3 miesiące są interpretowane przez RPO jako termin nieprzekraczalny; każde przekroczenie powinno być odnotowane z uzasadnieniem w rejestrze.
  4. Anonimizacja „na kolanie" – zamiast trwałego usunięcia danych stosowane jest jedynie ukrycie kolumny w Excelu. Dane nadal istnieją w pliku i można je odtworzyć.
  5. Brak polityki kasowania – nie istnieje procedura ani narzędzie usuwające wpisy po 3 latach. Rejestr „rośnie" w nieskończoność, co narusza zasadę minimalizacji.
  6. Nadmierny dostęp – rejestr dostępny dla całego działu HR lub księgowości „na wszelki wypadek". Upoważnienia powinny być precyzyjne i udokumentowane.
  7. Brak ochrony hasłem lub szyfrowania – plik Excel bez hasła, leżący na udziale sieciowym, dostępny dla wszystkich pracowników.
  8. Fałszywe pole „anonim" przy zgłoszeniach imiennych – pracodawca wpisuje „anonim" dla zgłoszeń, które wpłynęły z imienia i nazwiska, żeby ukryć je przed zarządem. To naruszenie ustawy.
  9. Brak procedury awaryjnej – jeśli osoba prowadząca rejestr jest nieobecna (urlop, odejście z pracy), nie ma wyznaczonego zastępcy, co blokuje obsługę zgłoszeń.
  10. Niezgodność rejestru z polityką prywatności – klauzula informacyjna dla sygnalistów nie wspomina o tym, że dane trafiają do rejestru na 3 lata.

Jak się przygotować do kontroli

Przed kontrolą RPO lub PIP warto przeprowadzić audyt wewnętrzny obejmujący: przegląd upoważnień, weryfikację terminowości feedbacku, sprawdzenie logów dostępu, ocenę kompletności wpisów. Dobrym pomysłem jest też test penetracyjny pliku rejestru – czy rzeczywiście jest zabezpieczony przed nieupoważnionym odczytem.

Zobacz, jak rejestr prowadzony w Ashio spełnia wymogi art. 8 – odwiedź internal reporting channel i rozpocznij 14-dniowy okres próbny.

Źródła

Rejestr zgłoszeń sygnalistów – jak prowadzić go zgodnie z art. 8 ustawy | Ashio