Komisja Europejska ogłosiła 15 lipca 2022 r. podjęcie kolejnych kroków wobec 15 państw, które mimo wcześniejszego wezwania nadal nie wprowadziły krajowych przepisów wdrażających Dyrektywę o ochronie sygnalistów. W tym gronie znajduje się również Polska. 4 sierpnia na stronie Rządowego Centrum Legislacyjnego został opublikowany 4 projekt ustawy o ochronie osób zgłaszających naruszenia prawa opatrzony datą 22 lipca.
Michał Modro
Akademia sygnalisty w ochronie zdrowia (2). Już 4 projekt ustawy.
Opublikowano 9 sierpnia 2022 20:08
Zdecydowana większość zmian wprowadzonych przez nowy projekt ustawy (nazwijmy go "projekt 4.0") ma głównie charakter porządkujący przepisy projektu pod względem językowo-technicznym.
Ale są też inne zmiany ...
Projekt 4.0. wprowadza zmiany w zakresie przetwarzania danych osobowych m.in. rezygnując z wydłużonego, trzymiesięcznego terminu na przekazanie informacji o źródle pozyskania danych osobowych. Zgodnie z art. 8 ust. 6 projektu ustawy "Przepisu art. 15 ust. 1 lit. g rozporządzenia 2016/679 (RODO) w zakresie przekazania informacji o źródle pozyskania danych osobowych, nie stosuje się, chyba że zgłaszający nie spełnia warunków wskazanych w art. 6, albo wyraził na takie przekazanie wyraźną zgodę."
Zgodnie z art. 15 ust. 1 lit. g rozporządzenia 2016/679 (RODO) "Osoba, której dane dotyczą, jest uprawniona do uzyskania od administratora potwierdzenia, czy przetwarzane są dane osobowe jej dotyczące, a jeżeli ma to miejsce, jest uprawniona do uzyskania dostępu do nich oraz następujących informacji: g) jeżeli dane osobowe nie zostały zebrane od osoby, której dane dotyczą – wszelkie dostępne informacje o ich źródle".
W kontekście powyższego przekazanie informacji o źródle pozyskania danych osobowych (czyli informacje o danych sygnalisty) będą mogły przekazane osobie, której dane są przetwarzane w związku z sygnalizacją (np. poszkodowany, albo sprawca naruszenia), tylko wtedy, gdy osoba zgłaszająca naruszenie nie spełnia warunków do objęcia ochroną (wiedziała, że zgłaszane przez nią informacje nie są prawdziwe), lub gdy osoba zgłaszająca (sygnalista) wyraziła zgodę na podanie jej danych osobowych.
Wykreślony został przepis o obowiązku niezwłocznego usunięcia danych osobowych po zakończeniu ich przetwarzania przez podmiot zewnętrzny upoważniony do przyjmowania zgłoszeń. Projekt 4.0 wskazuje, że powołana kwestia ma zostać uzgodniona w umowie pomiędzy administratorem danych, a podmiotem zewnętrznym upoważnionym do przyjmowania zgłoszeń.
W projekcie 4.0 zmieniono brzmienie art. 3 ust. 2. Zgodnie z aktualną treścią podmiot prawny (pracodawca) może umożliwić zgłaszanie naruszeń wewnętrznych procedur lub standardów etycznych, które zostały ustanowione na podstawie prawa powszechnego i pozostają z nim w zgodzie. Dotychczasowe wersje projektu nie przewidywały takiej możliwości.
Pozostałe przepisy projektowanej ustawy nie uległy zasadniczym zmianom.
Oczywiście został utrzymany został obowiązek dla podmiotów prawnych - pracodawców (rzecz jasna nie wszystkich, ale o tym w kolejnej części) wdrożenia procedury zgłoszeń wewnętrznych, w tym dotyczący potwierdzania przyjęcia zgłoszenia w terminie siedmiu dni od dnia jego otrzymania oraz przekazania informacji o podjętych działaniach następczych w terminie trzech miesięcy od dnia przyjęcia zgłoszenia.
Ponadto pracodawca będzie miał obowiązek ochrony zgłaszającego przed działaniami odwetowymi (te kwestie zostaną jeszcze szczegółowo wyjaśnione i opisane).
Projekt 4.0 dostępny jest pod linkiem Akt prawny (rcl.gov.pl)
