Przechowywanie Danych ze Zgłoszeń: Jak Długo Przechowywać i Kiedy Usunąć

Nie istnieje jeden prawny okres przechowywania zgłoszeń — jak długo przechowywać zgłoszenie, zależy od jego wyniku, a nie od stałej liczby lat. Zgłoszenie zamknięte bez dalszych działań wymaga innego (zwykle krótszego) okresu przechowywania niż takie, które doprowadziło do postępowania dyscyplinarnego lub wciąż toczącej się sprawy sądowej.

Najważniejsze wnioski

• Nie ma jednego uniwersalnego okresu przechowywania danych ze zgłoszeń — właściwy czas zależy od wyniku sprawy (brak działań, wewnętrzne postępowanie dyscyplinarne, lub toczące się postępowanie sądowe).
• Artykuł 18 dyrektywy (UE) 2019/1937 wymaga, aby rejestry zgłoszeń były przechowywane tylko "tak długo, jak to konieczne i proporcjonalne", podczas gdy art. 5 ust. 1 lit. e) RODO dodaje ogólną zasadę ograniczenia przechowywania, mającą zastosowanie do wszelkich danych osobowych zebranych za pośrednictwem kanału.
• Praktyczny kalendarz przechowywania obejmuje co najmniej trzy ścieżki: zgłoszenia zamknięte bez ustaleń, zgłoszenia, które doprowadziły do potwierdzonego wyniku dyscyplinarnego, oraz zgłoszenia związane z aktywnym lub przewidywanym sporem.
• Gdy okres przechowywania upływa, dane identyfikujące (imiona i nazwiska, dane kontaktowe, opisy w wolnym tekście ujawniające tożsamość) powinny zostać usunięte lub nieodwracalnie zanonimizowane — ale zagregowane statystyki wykorzystywane do raportowania zgodności mogą być przechowywane bezterminowo.
• Najczęstszym błędem w przechowywaniu nie jest brak polityki, lecz brak jej egzekwowania: pisemny harmonogram, którego nikt tak naprawdę nie przestrzega, to pierwsza rzecz, którą zauważy audytor.

Co Dyrektywa i RODO Naprawdę Wymagają w Kwestii Przechowywania

Artykuł 18 dyrektywy o ochronie sygnalistów wymaga, aby rejestry zgłoszeń były przechowywane "tylko tak długo, jak to konieczne i proporcjonalne", w celu spełnienia wymogów nałożonych przez samą dyrektywę — celowo unika ona ustalenia konkretnej liczby lat, pozostawiając tę ocenę organizacji i krajowemu prawu transponującemu. Do tego dochodzi art. 5 ust. 1 lit. e) RODO — zasada ograniczenia przechowywania —, który wymaga, aby wszelkie dane osobowe przetwarzane za pośrednictwem kanału (imię i nazwisko zgłaszającego, jeśli zdecydował się on na ujawnienie tożsamości, dane osoby, której dotyczy zgłoszenie, zeznania świadków) były przechowywane "przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane".

Rozpatrywane łącznie, te dwa przepisy oznaczają, że platforma do zgłoszeń nie może po prostu przechowywać każdego zgłoszenia na zawsze "na wszelki wypadek", ale nie może też usunąć wszystkiego od razu po zamknięciu sprawy, jeśli nadal biegnie termin przedawnienia dla powiązanych roszczeń prawnych. Okres przechowywania musi być powiązany z udokumentowanym celem — a ten cel zmienia się w zależności od tego, co stało się ze zgłoszeniem.

Jak Długo Przechowywać Każdy Rodzaj Sprawy

Zamiast jednej liczby, obronny kalendarz przechowywania przypisuje każdemu wynikowi inny termin:

1. Zgłoszenia zamknięte bez ustaleń lub wycofane przez zgłaszającego. Zwykle uzasadniają one najkrótsze przechowywanie — wystarczająco dużo czasu, aby wykazać, że zgłoszenie zostało prawidłowo rozpatrzone (zwykle od kilku miesięcy do około dwóch lat), po czym dane identyfikujące powinny zostać usunięte, ponieważ zazwyczaj nie ma już dalszej podstawy prawnej do ich przechowywania.
2. Zgłoszenia, które doprowadziły do potwierdzonego działania dyscyplinarnego lub naprawczego. Zwykle należy je przechowywać tak długo, jak przechowywana jest odpowiednia dokumentacja pracownicza lub dyscyplinarna zgodnie z krajowym prawem pracy, ponieważ zgłoszenie stanowi teraz dowód potwierdzający to działanie — często przez kilka lat, zgodnie z odpowiednim terminem przedawnienia dla zaskarżenia decyzji dyscyplinarnej.
3. Zgłoszenia związane z aktywnymi dochodzeniami, sporami sądowymi lub postępowaniami regulacyjnymi. Należy je przechowywać przez czas trwania postępowania plus wszelki mający zastosowanie termin odwołania — "prawne wstrzymanie usuwania", które zastępuje domyślny harmonogram i powinno zostać wyraźnie odnotowane w aktach sprawy, aby nic nie zostało usunięte przedwcześnie.

Udokumentowanie tych trzech ścieżek — wraz ze zdarzeniem uruchamiającym każdy termin — zamienia niejasne stwierdzenie w rodzaju "usuwamy dane, gdy nie są już potrzebne" w obronną politykę, którą regulator lub audytor może faktycznie zweryfikować.

Co Usunąć (a Co Może Zostać) Po Wygaśnięciu Okresu Przechowywania

Gdy okres przechowywania wygasa, celem jest usunięcie tego, co identyfikuje ludzi, przy jednoczesnym zachowaniu tego, czego organizacja zasadnie potrzebuje do nadzoru zgodności:

• Do usunięcia lub nieodwracalnej anonimizacji: imię i nazwisko oraz dane kontaktowe zgłaszającego (jeśli są znane), imię i nazwisko osoby, której dotyczy zgłoszenie, pola wolnego tekstu, które mogą ujawniać tożsamość, oraz wszelkie załączniki zawierające dane osobowe.
• Można przechowywać bezterminowo, w formie zagregowanej: liczbę zgłoszeń otrzymanych w danym okresie, podział według kategorii/typu, średni czas do potwierdzenia otrzymania oraz statystyki wyników — żadne z nich nie wymagają danych identyfikujących, aby pozostać przydatnymi do raportowania trendów lub wykazania regulatorowi, że kanał działa.
• Anonimizacja musi być rzeczywista, a nie tylko usunięciem pola z imieniem i nazwiskiem, podczas gdy unikalny identyfikator pracownika lub bardzo szczegółowa narracja nadal umożliwiają ponowną identyfikację osoby — punkt kontrolny, który DPIA dla kanału zgłoszeń powinna już weryfikować na etapie wdrożenia.

Częste Błędy w Przechowywaniu, Które Narażają Audyt

• Traktowanie "sprawy zamkniętej" jako "natychmiast usuń wszystko" — bez sprawdzenia, czy nadal biegnie krajowy termin przedawnienia dla powiązanych roszczeń pracowniczych lub cywilnych, co może narazić organizację, jeśli później potrzebny będzie dowód, który już nie istnieje.
• Brak jakiegokolwiek pisemnego kalendarza przechowywania, pozostawiający decyzję osobie, która akurat zajmuje się sprawą w danym tygodniu — niespójne przechowywanie między sprawami samo w sobie jest ustaleniem, które audytor odnotuje.
• Pisemny harmonogram, który nie jest faktycznie egzekwowany — stare sprawy pozostające w systemie latami po udokumentowanym okresie przechowywania, ponieważ nikt nie odpowiada za etap usuwania.
• Usuwanie danych powiązanych z aktywnym prawnym wstrzymaniem usuwania, ponieważ ogólna reguła przechowywania uruchomiła się automatycznie, niszcząc dowody, o które później zwróci się sąd lub regulator.

Jak Vaelo to Rozwiązuje

Polityka przechowywania jest tak dobra, jak jej egzekwowanie, i to właśnie tam pisemny harmonogram zwykle zawodzi w praktyce — nikt nie pamięta, by działać, gdy sprawa ma już rok. Panel zarządzania sprawami Vaelo pozwala zespołom ds. zgodności przypisać ścieżkę przechowywania (brak ustaleń, wynik dyscyplinarny, lub prawne wstrzymanie usuwania) do każdej sprawy w momencie jej zamknięcia, a następnie automatycznie oznacza sprawy zbliżające się do udokumentowanej daty usunięcia, tak aby nic przypadkowo nie pozostało dłużej niż uzasadniony okres przechowywania. Prawne wstrzymania usuwania można stosować dla poszczególnych spraw, aby zastąpić domyślny termin bez konieczności pamiętania, które sprawy są zwolnione, a gdy okres przechowywania faktycznie wygasa, pola identyfikujące mogą zostać usunięte, podczas gdy zanonimizowane statystyki potrzebne do raportowania zgodności i ścieżek audytu pozostają w pełni nienaruszone.

Najczęściej zadawane pytania

Czy istnieje prawnie określona liczba lat przechowywania zgłoszeń? Nie ma jednej liczby obowiązującej w całej UE. Artykuł 18 dyrektywy wymaga, aby rejestry były przechowywane "tylko tak długo, jak to konieczne i proporcjonalne", a zasada ograniczenia przechowywania RODO stosuje ten sam standard do danych osobowych w zgłoszeniu — rzeczywisty czas zależy od wyniku sprawy oraz od obowiązującego krajowego prawa transponującego lub terminów przedawnienia.

Czy zgłoszenia bez ustaleń powinny być usuwane natychmiast po zamknięciu? Nie natychmiast, ale generalnie wcześniej niż sprawy z potwierdzonym wynikiem — powinno upłynąć wystarczająco dużo czasu, aby wykazać, że zgłoszenie zostało prawidłowo rozpatrzone (zwykle od kilku miesięcy do około dwóch lat), po czym przechowywanie danych identyfikujących zwykle nie ma już podstawy prawnej.

Co dzieje się ze zgłoszeniami związanymi z postępowaniem sądowym lub dochodzeniem regulacyjnym? Powinny zostać objęte prawnym wstrzymaniem usuwania ("legal hold"), które zawiesza domyślny kalendarz przechowywania do zakończenia postępowania — oraz wszelkiego terminu odwołania — ponieważ usunięcie dowodów związanych z aktywnym sporem może narazić organizację na odrębne ryzyko prawne.

Czy możemy zachować statystyki zgłoszeń po usunięciu danych leżącej u podstaw sprawy? Tak — zagregowane, nieidentyfikujące statystyki (liczba zgłoszeń, kategorie, średni czas odpowiedzi) mogą być przechowywane bezterminowo do celów raportowania zgodności i analizy trendów, gdy tylko dane identyfikujące poszczególną sprawę zostaną usunięte lub zanonimizowane.