Trzeba informować osobę odpowiedzialną za nieprawidłowości

generalny inspektor ochrony danych osobowych

@RY1@i02/2010/171/i02.2010.171.168.002b.001.jpg@RY2@

Wojciech Wiewiórowski, generalny inspektor ochrony danych osobowych

Co do zasady pracodawca powinien poinformować pracownika o otrzymaniu takiej informacji, choć możliwe są w tym względzie pewne odstępstwa. Pracodawca musi też chronić dane informatora, jednak tylko do momentu, w którym donos okaże się bezpodstawny.

W myśl przepisów ustawy o ochronie danych osobowych (art. 25 ust. 1) w przypadku zbierania danych osobowych nie od osoby, której one dotyczą, administrator danych (w tym przypadku jest nim pracodawca) bezpośrednio po utrwaleniu zebranych danych ma obowiązek poinformować osobę, której dane pozyskał, o:

● adresie swojej siedziby i pełnej nazwie (albo imieniu, nazwisku, miejscu zamieszkania - w przypadku gdy jest to osoba fizyczna),

● celu i zakresie zbierania danych, a w szczególności o tym, komu zostały one przekazane,

● źródle danych,

● prawie dostępu do treści swoich danych oraz ich poprawiania,

● uprawnieniach przysługujących jej na mocy art. 32 ust. 1 pkt. 7 i 8 ustawy - m.in. o prawie do wniesienia pisemnego, umotywowanego żądania zaprzestania przetwarzania danych osobowych ze względu na szczególną sytuację oraz prawie do wniesienia sprzeciwu wobec przetwarzania jej danych osobowych w celach marketingowych lub wobec przekazania ich innemu podmiotowi.

Spełnienie obowiązku informacyjnego wiąże się z przekazaniem osobie, której dane dotyczą, pewnych informacji, istotnych chociażby ze względu na to, aby mogła ona skorzystać z przysługujących jej uprawnień, np. prawa do wniesienia sprzeciwu wobec przetwarzania jej danych.

Także Grupa robocza art. 29 (tj. niezależny europejski organ doradczy Komisji Europejskiej w zakresie ochrony danych osobowych i prywatności) w swojej opinii 1/2006 w sprawie zastosowania unijnych zasad ochrony danych do wewnętrznych systemów informowania o nieprawidłowościach w dziedzinie księgowości, wewnętrznych kontroli księgowych, spraw związanych z audytem, zwalczania przekupstwa oraz przestępstw bankowych i finansowych wskazała na konieczność dopełniania obowiązku informacyjnego, choć uznała, że możliwe są pewne odstępstwa w tym względzie. Jak czytamy w powołanym dokumencie: "Zgodnie z art. 11 dyrektywy 95/46/WE osoby fizyczne muszą być informowane w przypadku, gdy dane ich dotyczące pochodzą z innych źródeł niż od nich samych. Osoba oskarżona w sprawozdaniu informatora powinna zostać powiadomiona przez osobę odpowiedzialną za funkcjonowanie systemu o zarejestrowaniu dotyczących jej danych, tak szybko jak jest to wykonalne". Osoby takie mają także prawo do sprzeciwu wobec przetwarzania ich danych, z którego można jednak skorzystać tylko wtedy, gdy istnieją ku temu istotne, uzasadnione podstawy związane ze szczególną sytuacją danej osoby. W omawianej opinii wskazano również, że pracownika, którego dotyczy doniesienie, należy poinformować przede wszystkim o czynach, o które jest oskarżony, o organie odpowiedzialnym za system informowania o nieprawidłowościach oraz o możliwości skorzystania z prawa dostępu do danych i ich korekty. Jednak w przypadkach, gdy istnieje poważne ryzyko, że takie powiadomienie uniemożliwi firmie skuteczne sprawdzenie domniemanego wykroczenia lub zebranie potrzebnych dowodów, można je opóźnić do czasu, gdy takie zagrożenie ustanie. Ten wyjątek od reguły ma na celu ochronę dowodów przed zniszczeniem lub sfałszowaniem przez osobę oskarżoną. Należy go jednak stosować restrykcyjnie i na warunkach indywidualnych oraz z uwzględnieniem interesów wszystkich stron.

opracował Maciej Kasperowicz