У Словаччині роботодавець повинен вести облік повідомлень три роки з дня їх отримання, у Чехії компетентна особа зберігає повідомлення та пов’язані документи п’ять років із моменту прийняття. Доступ має бути обмежений особою, яка повідомлення приймає та перевіряє; особу викривача без його письмової згоди не розкривають навіть керівництву. Повідомлення містять персональні дані кількох людей, тому спосіб їх оброблення повинен врегулювати внутрішній документ, і його треба узгодити з GDPR.
Система повідомлень працює, надійшли перші повідомлення, і відповідальна особа вирішує практичне питання: куди їх покласти, як довго їх тримати й чи може до них зазирнути керівник або відділ кадрів. Повідомлення при цьому містить персональні дані не лише викривача, а й людини, проти якої воно спрямоване, а часто й свідків. Правила у Словаччині та в Чехії подібні, строки, однак, різняться.
Словаччина: облік три роки та сувора конфіденційність
Словацький закон про захист викривачів зобов’язує роботодавця вести облік повідомлень протягом трьох років із дня їх отримання (§ 11 ч. 1 Закону № 54/2019 Z. z.). Облік містить дату отримання, ім’я, прізвище та місце проживання викривача (якщо він не анонімний), предмет повідомлення, результат перевірки та дату її закінчення. Для всього, що з повідомленням відбувається, діє сувора конфіденційність:
Роботодавець відповідно до частини 1 зобов’язаний під час прийняття, перевірки та обліку повідомлень зберігати конфіденційність щодо особи викривача та особи, якої стосується повідомлення; для надання інформації про особу викривача потрібна його письмова згода.
Винятком є обов’язок надати цю інформацію для цілей кримінального провадження або провадження про адміністративний проступок. Закон далі вимагає вжити належних технічних та організаційних заходів, якими компанія забезпечить і доведе, що система працює відповідно до закону (§ 11 ч. 2).
Для доступу з цього випливає просте правило. Повідомлення та його справа належать відповідальній особі, а не спільній електронній скриньці чи особовій справі працівника. Керівництво отримає результат перевірки та пропозицію заходів, а не ім’я викривача.
Чехія: п’ять років і доступ лише для компетентної особи
Чеське регулювання є довшим щодо зберігання та виразнішим щодо доступу. Компетентна особа повинна зберігати повідомлення, подане через внутрішню систему повідомлень, і документи, які з ним пов’язані, п’ять років із дня його прийняття (§ 21 відст. 2 Закону № 171/2023 Sb.). Отже, строк стосується не лише обліку, а всієї справи. Облік даних про прийняті повідомлення компетентна особа веде в електронній формі (§ 21 відст. 1), і доступ до нього, до повідомлень і до пов’язаних документів має лише вона (§ 21 відст. 3). Інформацію про особу викривача та інших захищених осіб можна надати тільки з їхньої письмової згоди, якщо закон не встановлює обов’язку надати її органу публічної влади (§ 20 відст. 2). Тому група з компаніями в обох країнах не може без додаткових підстав встановити один строк для всіх: словацьке товариство виходить із трьох років обліку, чеське — з п’яти років зберігання всієї справи.
Де вступає GDPR
Закони про захист викривачів визначають, що обліковується і як довго. Решта питань оброблення персональних даних із повідомлень регулюється GDPR. Тому словацький закон прямо вимагає, щоб внутрішній документ врегулював і оброблення персональних даних, наведених у повідомленні (§ 10 ч. 9 літ. f)). Після спливу законного строку треба відповідно до принципу обмеження зберігання (ст. 5 ч. 1 літ. e) GDPR) оцінити, чи має подальше зберігання іншу підставу, наприклад судовий спір, що триває, або кримінальне провадження, і якщо ні — дані видалити.
Чутливою ситуацією є запит особи, проти якої було спрямоване повідомлення, про доступ до її персональних даних. Право на копію даних відповідно до ст. 15 ч. 3 GDPR не повинно мати негативних наслідків для прав і свобод інших (ст. 15 ч. 4). Тому відповідь готують так, щоб з неї не можна було встановити особу викривача, а порядок дій за таким запитом добре мати у внутрішньому документі заздалегідь.
Чим ми можемо допомогти
Ми налаштуємо облік, права доступу та строки відповідно до країни, у якій компанія діє, і внесемо їх до внутрішнього документа в межах послуги whistleblowing та система повідомлень. Записи про оброблення та інформування суб’єктів даних узгодимо в межах послуги GDPR і захист персональних даних. Хто взагалі повинен мати таку систему, ми пояснили у відповіді на запитання про обов’язок мати внутрішню систему повідомлень.
Ця відповідь містить загальну інформацію про законодавство станом на 12 вересня 2026 р. Вона не є юридичною послугою та не замінює оцінювання конкретної справи. Обставини вашої ситуації можуть відрізнятися. Забронюйте консультацію, щоб обговорити їх.
