Rejestr zgłoszeń wewnętrznych: co musi zawierać i jak długo go przechowywać

Co musi zawierać rejestr zgłoszeń wewnętrznych?

Ustawa wymienia siedem kategorii informacji. To opis tego, co rejestr obejmuje, a nie wzór do wypełnienia.

1. Numer zgłoszenia, który identyfikuje wpis.
2. Przedmiot naruszenia prawa, czyli czego dotyczy zgłoszenie.
3. Dane osobowe sygnalisty i osoby, której dotyczy zgłoszenie, w zakresie niezbędnym do ich identyfikacji.
4. Adres do kontaktu sygnalisty.
5. Data dokonania zgłoszenia.
6. Informacja o podjętych działaniach następczych.
7. Data zakończenia sprawy.

Obie kategorie dotyczące osób i kontaktu (pozycje 3 i 4) podlegają zasadzie niezbędności: rejestr nie jest miejscem na pełne akta sprawy.

Jak długo przechowuje się dane w rejestrze?

Dane i informacje z rejestru przechowuje się 3 lata po zakończeniu roku kalendarzowego, w którym zakończono działania następcze, albo po zakończeniu postępowań zainicjowanych tymi działaniami (art. 29 ust. 5). Ustawa nie przewiduje wyjątków od tej zasady. Termin nie biegnie więc od daty zgłoszenia ani od dnia zamknięcia sprawy, tylko od końca roku kalendarzowego. Same terminy potwierdzenia przyjęcia i informacji zwrotnej to osobna kwestia, opisana w artykule o terminach w procedurze.

Od kiedy biegnie termin?

Od 1 stycznia roku następującego po tym, w którym zakończono działania następcze (albo postępowania przez nie zainicjowane). Jeśli z działań wynikło postępowanie, liczy się jego zakończenie, nie samo działanie.

Przykład ilustracyjny, nie porada: działania następcze zakończono 10 marca 2025 r. Rok kalendarzowy kończy się 31 grudnia 2025 r., więc trzyletni okres upływa 31 grudnia 2028 r.

Kto prowadzi rejestr i odpowiada za dane?

Rejestr prowadzi podmiot prawny, który jest zarazem administratorem danych osobowych w nim zgromadzonych (art. 29 ust. 1). Obowiązek dotyczy podmiotów zatrudniających co najmniej 50 osób, jak podaje Inforlex w omówieniu z 8 sierpnia 2024 r.

Podmiot prawny nie musi robić tego sam. Może upoważnić do prowadzenia rejestru wewnętrzną jednostkę organizacyjną albo osobę, o których mowa w art. 25 ust. 1 pkt 1 lub 3 (art. 29 ust. 2). Ustawa nie wymienia podmiotu zewnętrznego wśród tych, którym można powierzyć prowadzenie rejestru. Zmienia się wtedy wykonawca, ale nie odpowiedzialność: administratorem danych pozostaje podmiot prawny.

Wpisu dokonuje się na podstawie zgłoszenia wewnętrznego (art. 29 ust. 3).

Czym rejestr wewnętrzny różni się od zewnętrznego?

Rejestr zgłoszeń zewnętrznych prowadzą organy publiczne (zakres: art. 46 ust. 3) i odrębnie Rzecznik Praw Obywatelskich (art. 45 ust. 3).

Daty w ostatnim wierszu to dzień wejścia ustawy w życie (RSM Poland, grudzień 2024) oraz termin dla organów (Dziennik Gazeta Prawna, 20 listopada 2024 r.). Rejestr zgłoszeń zewnętrznych dostanie osobny artykuł.

Gdzie rejestr mieści się w procedurze?

Rejestr jest załącznikiem do procedury, nie jej zamiennikiem: opisuje, co się stało ze zgłoszeniem, a nie jak je przyjmować. Cały tok postępowania, od przyjęcia po informację zwrotną, opisuje procedura zgłoszeń wewnętrznych.

Serwis ma charakter informacyjny, nie przyjmuje zgłoszeń ani nie udostępnia wzorów do wypełnienia. Nie jest kanałem zgłoszeń: w sprawie konkretnego naruszenia skontaktuj się bezpośrednio z właściwą instytucją lub z Rzecznikiem Praw Obywatelskich.