Na Slovensku musí zaměstnavatel vést evidenci oznámení tři roky od jejich doručení, v Česku uchovává příslušná osoba oznámení a související dokumenty pět let od přijetí. Přístup má být omezen na osobu, která oznámení přijímá a prověřuje; totožnost oznamovatele se bez jeho písemného souhlasu neprozrazuje ani vedení. Oznámení obsahují osobní údaje více lidí, proto způsob jejich zpracování musí upravit vnitřní předpis a je třeba jej sladit s GDPR.
Oznamovací systém funguje, přišla první oznámení a odpovědná osoba řeší praktickou otázku: kam je uložit, jak dlouho je držet a zda do nich smí nahlédnout jednatel nebo personální oddělení. Oznámení přitom obsahuje osobní údaje nejen oznamovatele, ale i člověka, proti kterému směřuje, a často i svědků. Pravidla jsou na Slovensku a v Česku podobná, lhůty se však liší.
Slovensko: evidence tři roky a přísná mlčenlivost
Slovenský zákon o ochraně oznamovatelů ukládá zaměstnavateli vést evidenci oznámení po dobu tří let ode dne jejich doručení (§ 11 odst. 1 zákona č. 54/2019 Z. z.). Evidence obsahuje datum doručení, jméno, příjmení a pobyt oznamovatele (není-li anonymní), předmět oznámení, výsledek prověření a datum jeho skončení. Pro vše, co se s oznámením děje, platí přísná mlčenlivost:
Zaměstnavatel podle odstavce 1 je povinen při přijímání, prověřování a evidenci oznámení zachovávat mlčenlivost o totožnosti oznamovatele a totožnosti dotčené osoby; k poskytnutí informace o totožnosti oznamovatele je potřebný jeho písemný souhlas.
— Český překlad § 10 odst. 7 zákona č. 54/2019 Z. z.
Výjimkou je povinnost poskytnout tyto informace pro účely trestního řízení nebo řízení o správním deliktu. Zákon dále žádá přijmout vhodná technická a organizační opatření, kterými firma zajistí a prokáže, že systém funguje v souladu se zákonem (§ 11 odst. 2).
Pro přístup z toho vyplývá jednoduché pravidlo. Oznámení a jeho spis patří odpovědné osobě, nikoli do společné e-mailové schránky ani do osobního spisu zaměstnance. Vedení dostane výsledek prověření a návrh opatření, nikoli jméno oznamovatele.
Česko: pět let a přístup jen pro příslušnou osobu
Česká úprava je v uchovávání delší a v přístupu výslovnější. Příslušná osoba musí uchovávat oznámení podané prostřednictvím vnitřního oznamovacího systému a dokumenty, které s ním souvisejí, pět let ode dne jeho přijetí (§ 21 odst. 2 zákona č. 171/2023 Sb.). Lhůta se tedy nevztahuje jen na evidenci, ale na celý spis. Evidenci údajů o přijatých oznámeních vede příslušná osoba v elektronické podobě (§ 21 odst. 1) a přístup k ní, k oznámením i k souvisejícím dokumentům má jen ona (§ 21 odst. 3). Informace o totožnosti oznamovatele a dalších chráněných osob lze poskytnout pouze s jejich písemným souhlasem, neukládá-li zákon povinnost poskytnout je orgánu veřejné moci (§ 20 odst. 2). Skupina s firmami v obou zemích proto nemůže bez dalšího nastavit jednu lhůtu pro všechny: slovenská společnost vychází ze tří let evidence, česká z pěti let uchovávání celého spisu.
Kde vstupuje GDPR
Zákony o ochraně oznamovatelů určují, co se eviduje a jak dlouho. Ostatní otázky zpracování osobních údajů z oznámení se řídí GDPR. Slovenský zákon proto výslovně žádá, aby vnitřní předpis upravil i zpracování osobních údajů uvedených v oznámení (§ 10 odst. 9 písm. f)). Po uplynutí zákonné lhůty je třeba podle zásady omezení uložení (čl. 5 odst. 1 písm. e) GDPR) posoudit, zda další uchovávání má jiný důvod, například probíhající soudní spor nebo trestní řízení, a pokud ne, údaje vymazat.
Citlivou situací je žádost osoby, proti které oznámení směřovalo, o přístup k jejím osobním údajům. Právo na kopii údajů podle čl. 15 odst. 3 GDPR nesmí mít nepříznivé důsledky na práva a svobody jiných (čl. 15 odst. 4). Odpověď se proto připravuje tak, aby z ní nebylo možné zjistit totožnost oznamovatele, a postup pro takovou žádost je dobré mít ve vnitřním předpisu předem.
S čím vám pomůžeme
Nastavíme evidenci, přístupová práva a lhůty podle země, ve které firma působí, a zapracujeme je do vnitřního předpisu v rámci služby whistleblowing a oznamovací systém. Záznamy o zpracování a informování subjektů údajů sladíme ve službě GDPR a ochrana osobních údajů. Kdo musí systém vůbec mít, jsme vysvětlili v otázce o povinnosti mít vnitřní systém oznamování.
Odpověď je obecnou informací k právnímu stavu k 12. 9. 2026 — nejde o právní službu ani náhradu posouzení konkrétního případu. Vaše situace se může v detailech lišit; pokud si chcete být jistí, projděme ji společně při konzultaci.
