Ochrona poufności
Dostęp do danych osobowych sygnalisty uzyskują tylko osoby upoważnione.
Zgoda na ujawnienie tożsamości
Sygnalista może wyrazić zgodę na ujawnienie danych osobowych umożliwiających ustalenie jego tożsamości.
Wyjątek dotyczący zgody
Zgoda sygnalisty nie jest wymagana w sytuacji, gdy ujawnienie jest koniecznym i proporcjonalnym obowiązkiem wynikającym z przepisów prawa w związku z postępowaniami wyjaśniającymi prowadzonymi przez organy publiczne lub postępowaniami przygotowawczymi lub sądowymi prowadzonymi przez sądy, w tym w celu zagwarantowania prawa do obrony przysługującego osobie, której dotyczy zgłoszenie. Przed takim ujawnieniem danych osobowych sygnalisty, powiadamia się sygnalistę, przesyłając w postaci papierowej lub elektronicznej wyjaśnienie powodów ujawnienia jego danych osobowych, chyba że takie powiadomienie zagrozi postępowaniu wyjaśniającemu lub postępowaniu przygotowawczemu, lub sądowemu.
Niezbędność i minimalizacja
Dane osobowe są przetwarzane w minimalnym zakresie, tj. niezbędnym do przyjęcia zgłoszenia lub podjęcia ewentualnego działania następczego.
Przechowywanie i usuwanie danych
Dane osobowe przetwarzane w związku z przyjęciem zgłoszenia lub podjęciem działań następczych oraz dokumenty związane z tym zgłoszeniem są przechowywane przez okres 3 lat po zakończeniu roku kalendarzowego, w którym przekazano zgłoszenie zewnętrzne do organu publicznego właściwego do podjęcia działań następczych lub zakończono działania następcze, lub po zakończeniu postępowań zainicjowanych tymi działaniami. Po tym czasie dane osobowe są usuwane, chyba że dokumenty związane ze zgłoszeniem stanowią część akt postępowań przygotowawczych lub spraw sądowych lub sądowoadministracyjnych. Administrator zbiera tylko dane niezbędne. Dane niemające znaczenia dla zgłoszenia, nie są zbierane. Dane przypadkowo zebrane są niezwłocznie usuwane, nie później niż w terminie 14 dni od momentu ustalenia, że nie są niezbędne.
Informowanie osób wskazanych w zgłoszeniu
Administrator informuje osoby wskazane w zgłoszeniu lub osoby, których dotyczy zgłoszenie, na podstawie art. 14 RODO, o zasadach przetwarzania ich danych osobowych, z wyłączeniem informacji o źródle danych osobowych, chyba, że sygnalista nie spełnia warunków wskazanych w art. 6 ustawy o ochronie sygnalistów albo wyraził wyraźną zgodę na ujawnienie swojej tożsamości.
Art. 4 i 5 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781) stanowi, że w zakresie nieuregulowanym w art. 14 ust. 5 RODO przewidującym wyjątki od konieczności realizacji obowiązku informacyjnego przy pośrednim pozyskiwaniu danych administrator wykonujący zadanie publiczne nie przekazuje wszystkich informacji, o których mowa w art. 14 ust. 1, 2 i 4 RODO. Ma to miejsce wówczas, gdy służy realizacji zadania publicznego i niewykonanie tego obowiązku jest niezbędne dla realizacji celów, o których mowa w art. 23 ust. 1 RODO, oraz przekazanie tych informacji uniemożliwi lub znacząco utrudni prawidłowe wykonanie zadania publicznego, a interes lub podstawowe prawa lub wolności osoby, której dane dotyczą, nie są nadrzędne w stosunku do interesu wynikającego z realizacji tego zadania publicznego. Administrator zobowiązany jest jednak wówczas do zapewnienia odpowiednich środków służących ochronie interesu lub podstawowych praw i wolności osoby, której dane dotyczą, jak również poinformować osobę, której dane dotyczą, na jej wniosek, bez zbędnej zwłoki, nie później jednak niż w terminie miesiąca od dnia otrzymania wniosku, o podstawie nieprzekazania informacji, o których mowa w art. 14 ust. 1, 2 i 4 RODO.
Podobnie jest w przypadku, gdy niezbędne dla realizacji celów wskazanych w art. 23 RODO będzie nieprzekazanie podmiotowi danych informacji, o których mowa w art. 15 RODO.
Ograniczenie w realizacji prawa dostępu do danych osobowych
Administrator realizuje prawo dostępu do danych osobowych osób wskazanych w zgłoszeniu lub osób, których dotyczy zgłoszenie, z wyłączeniem informacji o źródle danych osobowych, chyba, że sygnalista nie spełnia warunków wskazanych w art. 6 ustawy o ochronie sygnalistów albo wyraził wyraźną zgodę na ujawnienie swojej tożsamości.
Przechowywanie danych osobowych w zakresie zgłoszeń
Dane osobowe przetwarzane w związku z przyjęciem zgłoszenia lub podjęciem działań następczych oraz dokumenty związane z tym zgłoszeniem są przechowywane przez organ publiczny przez okres 3 lat po zakończeniu roku kalendarzowego, w którym przekazano zgłoszenie zewnętrzne do organu publicznego właściwego do podjęcia działań następczych lub zakończono działania następcze, lub po zakończeniu postępowań zainicjowanych tymi działaniami. Po tym czasie dane osobowe są usuwane, chyba że dokumenty związane ze zgłoszeniem stanowią część akt postępowań przygotowawczych lub spraw sądowych lub sądowoadministracyjnych.
Zasady ochrony danych osobowych
Dane osobowe będą:
1) przetwarzane zgodnie z prawem, rzetelnie i przejrzyście (zasada zgodności z prawem, rzetelności i przejrzystości z art. 5 ust. 1 lit. a RODO);
2) zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami (zasada ograniczenia celu z art. 5 ust. 1 lit. b RODO);
3) adekwatne, stosowne, ograniczone do tego co niezbędne (zasada minimalizacji z art. 5 ust. 1 lit. c RODO);
4) prawidłowe i w razie potrzeby uaktualniane (zasada prawidłowości z art. 5 ust. 1 lit. d RODO), 5) przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy niż niezbędny do celów przetwarzania (zasada prawidłowości z art. 5 ust. 1 lit. e RODO);
6) przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych (zasada integralności i poufności z art. 5 ust. 1 lit. f RODO).
