Ashio whistleblowing software

Oct 6, 2026

Terminy w ustawie o sygnalistach: 7 dni, 3 miesiące i rejestr — kompletna mapa obowiązkowych terminów dla MŚP

Terminy w ustawie o sygnalistach: 7 dni, 3 miesiące i rejestr — kompletna mapa obowiązkowych terminów dla MŚP

Ustawa o ochronie sygnalistów narzuca trzy twarde terminy: 7 dni na potwierdzenie zgłoszenia, 3 miesiące na informację zwrotną i 5 lat archiwizacji rejestru. Terminy ustawy o sygnalistach 7 dni 3 miesiące to nie są miękkie zalecenia — jeden źle policzony dzień może kosztować firmę dotkliwą karę administracyjną, a w sprawach powtarzalnych naruszeń nawet znacznie więcej. Poniżej kompletna mapa obowiązkowych terminów z konkretnymi datami, progami i odpowiedzią na pytanie, jak prowadzić rejestr, żeby audyt nie zaskoczył zarządu.

Spis treści

Najważniejsze wnioski

  • 7 dni na potwierdzenie zgłoszenia liczy się od momentu wpłynięcia, a nie od przeczytania; wysyłka musi zawierać potwierdzenie otrzymania i numer sprawy.
  • 3 miesiące na informację zwrotną można wydłużyć do 6 miesięcy wyłącznie w uzasadnionych przypadkach, a decyzję trzeba udokumentować.
  • Rejestr zgłoszeń archiwizacja musi trwać minimum 5 lat od zamknięcia sprawy, a każdy wpis zawiera datę, opis, status i osobę prowadzącą.
  • Pracodawca musi przeszkolić osoby upoważnione do obsługi zgłoszeń w ustawowych terminach, a politykę ochrony sygnalistów opublikować w sposób dostępny dla wszystkich pracowników.
  • Automatyczne śledzenie terminów eliminuje ryzyko ręcznego liczenia dat w kalendarzu i jest podstawą obrony podczas kontroli organów nadzorczych.

7 dni na potwierdzenie zgłoszenia — od kiedy liczyć i co dokładnie wysłać sygnaliście

7 dni na potwierdzenie zgłoszenia — od kiedy liczyć i co dokładnie wysłać sygnaliście 7 dni na potwierdzenie zgłoszenia liczy się od daty i godziny faktycznego wpłynięcia sprawy do kanału, a nie od momentu, w którym upoważniona osoba ją otworzy. Bieg terminu zaczyna się automatycznie w chwili wysłania zgłoszenia przez sygnalistę — nawet jeśli w firmie jest weekend, święto czy urlop. Dlatego pierwszym praktycznym krokiem jest zbudowanie kanału, który rejestruje wpływ z dokładnością co do minuty, a nie arkusza e-mail, w którym znacznik czasu pojawia się dopiero po kliknięciu.

Co dokładnie musi zawierać potwierdzenie? Ustawa wymaga trzech elementów: samego potwierdzenia otrzymania zgłoszenia, numeru sprawy, którym sygnalista będzie się posługiwał w dalszej komunikacji, oraz informacji o trybie dalszego postępowania. Nie trzeba w potwierdzeniu odpowiadać na meritum ani przesądzać wyniku postępowania. Potwierdzenie pełni wyłącznie funkcję dowodową: pokazuje, że kanał działa i że firma nie pozostawiła sygnalisty bez informacji zwrotnej.

Co zrobić, gdy w firmie nie ma nikogo w dniu wpłynięcia zgłoszenia?

W praktyce zgłoszenia wpływają w piątek wieczorem albo w trakcie urlopu. Jeśli osoba upoważniona do obsługi zgłoszeń nie ma dostępu do kanału przez 7 dni, termin i tak upływa. Rozwiązaniem jest automatyczne potwierdzenie wpływu wysyłane przez system zaraz po nadaniu numeru sprawy, a następnie ręczne uzupełnienie treści przez prowadzącego w ciągu tych samych 7 dni. Takie dwuetapowe potwierdzenie spełnia wymóg ustawowy i zdejmuje z compliance officera odpowiedzialność za niedostępność kalendarza.

3 miesiące na informację zwrotną — co musi zawierać, a czego nie można ujawniać

3 miesiące na informację zwrotną to maksymalny czas na przekazanie sygnaliście konkretnej odpowiedzi o podjętych lub planowanych działaniach. Liczy się go od tej samej daty co potwierdzenie, czyli od wpłynięcia zgłoszenia. W tym terminie firma musi przekazać informację o tym, czy zgłoszenie jest zasadne, jakie kroki sprawdzające zostały podjęte i jakie działania następcze planowane są w sprawie. Sama informacja zwrotna nie musi zawierać pełnych wyników postępowania dowodowego ani szczegółów, które mogłyby zdradzić tożsamość osób objętych sprawą.

Ustawa dopuszcza wydłużenie terminu do 6 miesięcy w przypadku, gdy charakter sprawy tego wymaga — dotyczy to zwłaszcza postępowań obejmujących audyt zewnętrzny, postępowanie wyjaśniające z udziałem kancelarii prawnej albo postępowanie karne. Wydłużenie wymaga poinformowania sygnalisty przed upływem 3 miesięcy i podania przyczyny. Brak takiego poinformowania oznacza, że termin 3 miesięcy obowiązuje bezwzględnie.

Co wolno przekazać, a co stanowi naruszenie tajemnicy postępowania?

Sygnaliście można przekazać informację o statusie sprawy, podjętych działaniach i planowanym terminie zamknięcia. Nie wolno ujawniać danych osobowych osób objętych zgłoszeniem, szczegółów rozmów ze świadkami ani treści dowodów. Wewnętrzny dokument podsumowujący postępowanie musi być zatem przygotowany w dwóch wersjach: pełnej dla zarządu i skróconej dla sygnalisty.

Jak prowadzić rejestr zgłoszeń i przez ile lat go archiwizować

Rejestr zgłoszeń archiwizacja musi trwać minimum 5 lat od dnia zakończenia postępowania, a w sprawach, w których toczy się postępowanie karne lub dyscyplinarne — do czasu jego prawomocnego zakończenia. Wpis do rejestru powstaje niezwłocznie po nadaniu numeru sprawy i obejmuje datę wpływu, opis przedmiotu zgłoszenia, kategorię naruszenia, dane osoby prowadzącej, aktualny status i datę zamknięcia. Rejestr jest dokumentem wewnętrznym, ale w określonych sytuacjach trafia do organów kontrolnych.

Rejestr prowadzi się w formie elektronicznej lub papierowej, ale musi spełniać wymogi RODO w zakresie minimalizacji danych i ochrony przed nieautoryzowanym dostępem. W praktyce oznacza to: dostęp wyłącznie dla osób upoważnionych, szyfrowanie, możliwość eksportu do pliku gotowego do audytu oraz niezmienność wpisów historycznych. Wzór prowadzenia rejestru warto opisać w polityce ochrony sygnalistów, żeby audytor zobaczył spójność między procedurą a jej wykonaniem.

Czy rejestr obejmuje również zgłoszenia anonimowe i odrzucone?

Tak. Wpis w rejestrze powstaje dla każdego zgłoszenia, które wpłynęło do kanału, niezależnie od tego, czy zostało uznane za zasadne, odrzucone jako bezzasadne albo pozostawione bez rozpoznania ze względu na brak wystarczających informacji. Rejestr nie służy do oceny zasadności zgłoszenia, lecz do udokumentowania, że każda sprawa została przyjęta i obsłużona w ustawowym terminie. wewnętrzny kanał zgłoszeń powinien automatycznie tworzyć wpis w rejestrze zaraz po nadaniu numeru sprawy.

Terminy dodatkowe: szkolenia, polityka ochrony, obowiązek informacyjny

Poza trzema głównymi terminami zgłoszeniowymi ustawa nakłada obowiązki organizacyjne, które również mają twarde daty. Pracodawca musi przeszkolić osoby upoważnione do obsługi zgłoszeń w ustawowych terminach, a politykę ochrony sygnalistów opublikować w sposób dostępny dla wszystkich pracowników. dyrektywa 2019/1937 wymaga ponadto, aby informacja o możliwości dokonania zgłoszenia zewnętrznego do Rzecznika Praw Obywatelskich lub organów publicznych była dostępna jeszcze przed pierwszym zgłoszeniem.

Jak często aktualizować politykę ochrony sygnalistów?

Polityka wymaga przeglądu co najmniej raz w roku, a także każdorazowo po istotnej zmianie przepisów, wyroku sądu administracyjnego albo zaleceniu organu nadzorczego. W praktyce compliance officer prowadzi rejestr wersji polityki z datą wejścia w życie i krótkim opisem zmian. Aktualizacja bez przeglądu raz w roku jest najczęstszą przyczyną uwag pokontrolnych organów nadzorczych.

Ile czasu ma PIP / UODO na kontrolę i jak się do niej przygotować

Inspekcja Pracy i Urząd Ochrony Danych Osobowych prowadzą kontrole z własnej inicjatywy albo na skutek zawiadomienia. Zawiadomienie o zamiarze przeprowadzenia kontroli jest doręczane przed jej rozpoczęciem, zgodnie z obowiązującymi przepisami, ale w przypadkach niecierpiących zwłoki (podejrzenie poważnego naruszenia, ryzyko dla sygnalisty) kontrola może być wszczęta bez zapowiedzi. Sama kontrola trwa zwykle od jednego do kilku dni, a jej zakres obejmuje rejestr zgłoszeń, dokumentację terminów, politykę ochrony oraz szkolenia.

Przygotowanie do kontroli sprowadza się do trzech rzeczy: kompletnego rejestru zgłoszeń z datami, eksportu korespondencji z sygnalistą pokazującego dotrzymanie terminów oraz dowodu przeprowadzonego szkolenia. Kontroler weryfikuje przede wszystkim, czy potwierdzenie wysłano w terminie 7 dni, czy informacja zwrotna została udzielona w terminie 3 miesięcy i czy rejestr zawiera wymagane pola. osoby odpowiedzialne za zgodność powinny mieć te materiały gotowe w formie eksportu z systemu, a nie w postaci dostępu do niego na żywo.

Co zrobić, gdy kontroler żąda danych sygnalisty?

Sygnalista, który nie podał danych kontaktowych, korzysta z pełnej anonimowości. Udostępnienie organowi kontroli danych umożliwiających identyfikację jest dopuszczalne tylko wtedy, gdy tak nakazuje ustawa lub prawomocna decyzja sądu. W pozostałych przypadkach osoby zgłaszające naruszenia pozostają anonimowe również dla organu. Warto mieć tę zasadę zapisaną w polityce, aby uniknąć sytuacji, w której kontroler żąda danych, a firma nie ma podstawy prawnej do ich wydania.

Automatyczne śledzenie terminów w Ashio — jak system pilnuje 7-dniowego okna potwierdzenia

Ręczne liczenie 7 dni w kalendarzu Outlook albo arkuszu Excel to najsłabsze ogniwo każdej procedury zgłoszeniowej. Wystarczy jedna pomyłka przy zliczaniu dni roboczych i ustawowy termin mija bez wysłania potwierdzenia. Dlatego firmy, które traktują terminy poważnie, przenoszą je do systemu, który sam odmierza czas i alarmuje z odpowiednim wyprzedzeniem.

W Ashio każde zgłoszenie otrzymuje znacznik czasu wpłynięcia, osobę prowadzącą i status w jednym miejscu. Terminy 7 dni na potwierdzenie i 3 miesięcy na informację zwrotną są widoczne w panelu, nie ukryte w kalendarzu. System pokazuje terminy w panelu i pozwala śledzić czas pozostały do ich upływu, a eksport dziennika do pliku gotowego do audytu ułatwia przygotowanie do kontroli organów nadzorczych. W praktyce oznacza to, że compliance officer nie musi pamiętać o żadnej dacie — wystarczy, że reaguje na powiadomienia systemu. Ashio koncentruje się na prowadzeniu zgodnego kanału zgłoszeń — od przyjęcia sprawy do jej zamknięcia.

Jeśli chcesz zobaczyć, jak śledzenie terminów wygląda w praktyce, załóż konto i przejdź przez pierwsze zgłoszenie w trybie testowym.

Często zadawane pytania

Od czego dokładnie liczy się 7 dni na potwierdzenie zgłoszenia?

7 dni liczy się od daty i godziny faktycznego wpłynięcia zgłoszenia do kanału, a nie od momentu jego otwarcia przez osobę upoważnioną. Potwierdzenie musi zawierać numer sprawy i informację o trybie dalszego postępowania, ale nie musi odpowiadać na meritum.

Czy termin 3 miesięcy na informację zwrotną można wydłużyć?

Tak, do maksymalnie 6 miesięcy w uzasadnionych przypadkach, na przykład gdy sprawa wymaga zewnętrznego audytu albo postępowania wyjaśniającego z kancelarią prawną. Wydłużenie wymaga poinformowania sygnalisty przed upływem 3 miesięcy i podania przyczyny.

Jak długo przechowywać rejestr zgłoszeń?

Rejestr zgłoszeń przechowuje się co najmniej 5 lat od zamknięcia sprawy, a w sprawach z elementem postępowania karnego lub dyscyplinarnego — do czasu jego prawomocnego zakończenia. Rejestr obejmuje również zgłoszenia anonimowe i odrzucone.

Czy PIP i UODO widzą dane sygnalistów podczas kontroli?

Nie domyślnie. Organ kontroli widzi rejestr, terminy, dokumentację szkoleniową i politykę. Dane umożliwiające identyfikację sygnalisty udostępnia się wyłącznie na podstawie przepisu ustawy albo prawomocnej decyzji sądu.

Co się stanie, gdy firma nie wyśle potwierdzenia w terminie 7 dni?

Brak potwierdzenia w terminie stanowi naruszenie ustawy o ochronie sygnalistów i może skutkować odpowiedzialnością administracyjną, a w poważnych przypadkach — dalszą odpowiedzialnością przewidzianą prawem.

Źródła