Na Slovensku musí zamestnávateľ viesť evidenciu oznámení tri roky od ich doručenia, v Česku uchováva príslušná osoba oznámenie a súvisiace dokumenty päť rokov od prijatia. Prístup má byť obmedzený na osobu, ktorá oznámenia prijíma a preveruje; totožnosť oznamovateľa sa bez jeho písomného súhlasu neprezrádza ani vedeniu. Oznámenia obsahujú osobné údaje viacerých ľudí, preto spôsob ich spracúvania musí upraviť vnútorný predpis a treba ho zladiť s GDPR.
Oznamovací systém funguje, prišli prvé oznámenia a zodpovedná osoba rieši praktickú otázku: kam ich uložiť, ako dlho ich držať a či do nich smie nahliadnuť konateľ alebo personálne oddelenie. Oznámenie pritom obsahuje osobné údaje nielen oznamovateľa, ale aj človeka, proti ktorému smeruje, a často aj svedkov. Pravidlá sú na Slovensku a v Česku podobné, lehoty sa však líšia.
Slovensko: evidencia tri roky a prísna mlčanlivosť
Slovenský zákon o ochrane oznamovateľov ukladá zamestnávateľovi viesť evidenciu oznámení počas troch rokov odo dňa ich doručenia (§ 11 ods. 1 zákona č. 54/2019 Z. z.). Evidencia obsahuje dátum doručenia, meno, priezvisko a pobyt oznamovateľa (ak nie je anonymný), predmet oznámenia, výsledok preverenia a dátum jeho skončenia. Pre všetko, čo sa s oznámením deje, platí prísna mlčanlivosť:
Zamestnávateľ podľa odseku 1 je povinný pri prijímaní, preverovaní a evidencii oznámení zachovávať mlčanlivosť o totožnosti oznamovateľa a totožnosti dotknutej osoby; na poskytnutie informácie o totožnosti oznamovateľa je potrebný jeho písomný súhlas.
Výnimkou je povinnosť poskytnúť tieto informácie na účely trestného konania alebo konania o správnom delikte. Zákon ďalej žiada prijať vhodné technické a organizačné opatrenia, ktorými firma zabezpečí a preukáže, že systém funguje v súlade so zákonom (§ 11 ods. 2).
Pre prístup z toho vyplýva jednoduché pravidlo. Oznámenie a jeho spis patria zodpovednej osobe, nie do spoločnej e-mailovej schránky ani do personálneho spisu. Vedenie dostane výsledok preverenia a návrh opatrení, nie meno oznamovateľa.
Česko: päť rokov a prístup len pre príslušnú osobu
Česká úprava je v uchovávaní dlhšia a v prístupe výslovnejšia. Príslušná osoba musí uchovávať oznámenie podané cez vnútorný oznamovací systém a dokumenty, ktoré s ním súvisia, päť rokov odo dňa jeho prijatia (§ 21 odst. 2 zákona č. 171/2023 Sb.). Lehota sa teda nevzťahuje len na evidenciu, ale na celý spis. Evidenciu údajov o prijatých oznámeniach vedie príslušná osoba v elektronickej podobe (§ 21 odst. 1) a prístup k nej, k oznámeniam aj k súvisiacim dokumentom má len ona (§ 21 odst. 3). Informácie o totožnosti oznamovateľa a ďalších chránených osôb možno poskytnúť iba s ich písomným súhlasom, ak zákon neukladá povinnosť poskytnúť ich orgánu verejnej moci (§ 20 odst. 2). Skupina s firmami v oboch krajinách preto nemôže bez ďalšieho nastaviť jednu lehotu pre všetkých: slovenská spoločnosť vychádza z troch rokov evidencie, česká z piatich rokov uchovávania celého spisu.
Kde vstupuje GDPR
Zákony o ochrane oznamovateľov určujú, čo sa eviduje a ako dlho. Ostatné otázky spracúvania osobných údajov z oznámení sa riadia GDPR. Slovenský zákon preto výslovne žiada, aby vnútorný predpis upravil aj spracúvanie osobných údajov uvedených v oznámení (§ 10 ods. 9 písm. f)). Po uplynutí zákonnej lehoty treba podľa zásady minimalizácie uchovávania (čl. 5 ods. 1 písm. e) GDPR) posúdiť, či ďalšie uchovávanie má iný dôvod, napríklad prebiehajúci súdny spor alebo trestné konanie, a ak nie, údaje vymazať.
Citlivou situáciou je žiadosť osoby, proti ktorej oznámenie smerovalo, o prístup k jej osobným údajom. Právo na kópiu údajov podľa čl. 15 ods. 3 GDPR nesmie mať nepriaznivé dôsledky na práva a slobody iných (čl. 15 ods. 4). Odpoveď sa preto pripravuje tak, aby z nej nebolo možné zistiť totožnosť oznamovateľa, a postup pre takú žiadosť je dobré mať vo vnútornom predpise vopred.
S čím vieme pomôcť
Nastavíme evidenciu, prístupové práva a lehoty podľa krajiny, v ktorej firma pôsobí, a zapracujeme ich do vnútorného predpisu v rámci služby whistleblowing a oznamovací systém. Záznamy o spracúvaní a informovanie dotknutých osôb zladíme v službe GDPR a ochrana osobných údajov. Kto musí systém vôbec mať, sme vysvetlili v otázke o povinnosti mať vnútorný systém oznamovania.
Odpoveď je všeobecná informácia k právnemu stavu k 12. 9. 2026 — nie je právnou službou ani nenahrádza posúdenie konkrétneho prípadu. Vaša situácia sa môže v detailoch líšiť; ak si chcete byť istí, prejdime ju spolu na konzultácii.
