Terminy ustawowe: 7 dni, 3 miesiące i rejestr przez 3 lata

Trzy terminy, które biegną od zgłoszenia

Do tego dochodzi jeden termin, który biegnie po zamknięciu sprawy: 3 lata przechowywania danych w rejestrze, liczone od końca roku kalendarzowego, w którym zakończono działania następcze albo postępowania zainicjowane tymi działaniami (art. 29 ust. 5).

7 dni na potwierdzenie

Podmiot prawny potwierdza sygnaliście przyjęcie zgłoszenia w terminie 7 dni od jego otrzymania, chyba że sygnalista nie podał adresu do kontaktu, na który należy przekazać potwierdzenie. To „7 dni”, nie „7 dni roboczych”: zgłoszenie złożone w piątek wieczorem przed długim weekendem trzeba potwierdzić do następnego piątku.

Potwierdzenie nie jest odpowiedzią merytoryczną. Wystarczy komunikat, że zgłoszenie dotarło, kto się nim zajmuje i w jakim terminie sygnalista może spodziewać się informacji zwrotnej. Ważne, żeby dało się wykazać datę wysłania. E-mail wysłany z osobistej skrzynki członka zarządu jest dowodem tylko tak długo, jak długo ta skrzynka istnieje.

W zgłoszeniach anonimowych bez adresu do kontaktu potwierdzenia nie ma komu wysłać. Jeśli jednak kanał daje sygnaliście numer sprawy i kod dostępu, potwierdzenie można umieścić w sprawie, a sygnalista odbiera je, wracając na stronę. Z punktu widzenia ustawy to jest „adres do kontaktu”, którego nie trzeba wiązać z tożsamością.

3 miesiące na informację zwrotną

Informacja zwrotna to przekazanie sygnaliście informacji o planowanych lub podjętych działaniach następczych i o ich powodach. Maksymalny termin wynosi 3 miesiące od potwierdzenia przyjęcia zgłoszenia, a jeśli potwierdzenie nie zostało wysłane, 3 miesiące od upływu 7 dni od dokonania zgłoszenia. Innymi słowy: brak potwierdzenia nie wydłuża terminu, tylko zmienia sposób jego liczenia.

Dwie pułapki:

1. Termin nie kończy sprawy. Postępowanie wyjaśniające może trwać dłużej niż 3 miesiące. Ustawa wymaga, by w tym czasie sygnalista dostał informację, co zrobiono i dlaczego, nawet jeśli brzmi ona „postępowanie trwa, zlecono audyt zewnętrzny, kolejna informacja do końca kwartału”. Milczenie po 3 miesiącach jest naruszeniem, przedłużenie postępowania nie.
2. Termin liczy się od potwierdzenia, więc szybkie potwierdzenie skraca czas na odpowiedź. Organizacja, która potwierdza w dniu zgłoszenia, ma 3 miesiące od tego dnia. Ta, która czeka do siódmego dnia, zyskuje tydzień. Nie warto tego wykorzystywać, ale warto wiedzieć, że oba terminy są ze sobą związane.

14 dni na spotkanie

Jeśli sygnalista chce dokonać zgłoszenia ustnie na bezpośrednim spotkaniu, podmiot organizuje je w terminie 14 dni od otrzymania wniosku. Ze spotkania sporządza się protokół albo, za zgodą sygnalisty, nagranie; sygnalista ma prawo sprawdzić i poprawić protokół oraz zatwierdzić go podpisem. Ten termin bywa pomijany w procedurach, a jego naruszenie jest tak samo wymierne jak przekroczenie 7 dni.

14 dni na usunięcie danych nadmiarowych

Dane osobowe, które nie mają znaczenia dla rozpatrywania zgłoszenia, nie są zbierane, a w razie przypadkowego zebrania podlegają usunięciu niezwłocznie, nie później niż w terminie 14 dni od chwili ustalenia, że nie mają znaczenia dla sprawy (art. 8 ust. 4). Zgłoszenie, w którym sygnalista wymienia z nazwiska pięć osób postronnych, wymaga więc decyzji i wpisu w rejestrze w ciągu dwóch tygodni. Bez systemu, który taki wpis wymusza, nikt tego terminu nie pilnuje.

3 lata w rejestrze

Rejestr zgłoszeń wewnętrznych przechowuje dane przez 3 lata po zakończeniu roku kalendarzowego, w którym zakończono działania następcze lub postępowania zainicjowane tymi działaniami. Sprawa zamknięta w marcu 2026 r. znika z rejestru po 31 grudnia 2029 r. Sprawa, która skończyła się postępowaniem sądowym zakończonym w 2028 r., pozostaje do końca 2031 r.

Dwa wnioski praktyczne: retencja liczy się per sprawa, nie globalnie, i nie jest „automatyczna”. Zbyt wczesne usunięcie pozbawia organizację dowodu w sporze z sygnalistą lub z osobą, której zgłoszenie dotyczyło; zbyt późne narusza zasadę ograniczenia przechowywania z RODO. Rozsądny mechanizm to przypomnienie o upływie okresu i usunięcie potwierdzane przez człowieka, z wpisem w dzienniku, kto i kiedy usunął.

Co się dzieje po przekroczeniu

Przekroczenie terminów nie jest wprost penalizowane osobnym przepisem karnym, ale ma trzy realne konsekwencje:

• procedura „ustalona z naruszeniem ustawy”: brak zapisanych terminów albo ich systematyczne nieprzestrzeganie może zostać ocenione jako niewykonanie obowiązku ustanowienia procedury, za co ustawa przewiduje grzywnę (art. 58);
• otwarcie drogi zewnętrznej: sygnalista, który nie dostał informacji zwrotnej w terminie, ma pełne prawo zgłosić sprawę do Rzecznika Praw Obywatelskich lub organu publicznego, a w określonych przypadkach ujawnić ją publicznie z zachowaniem ochrony (art. 51);
• dowód w sporze: w postępowaniu o odszkodowanie za działania odwetowe to pracodawca musi wykazać, że jego działanie nie było odwetem. Rejestr, w którym widać, że zgłoszenie leżało bez potwierdzenia przez miesiąc, nie pomaga.

Jak liczy to sygnadesk

System zapisuje datę i godzinę wpływu zgłoszenia i od niej liczy 7 dni na potwierdzenie. Potwierdzenie można wysłać z szablonu albo umieścić w sprawie dostępnej przez numer i PIN, jeśli zgłoszenie jest anonimowe. Od daty potwierdzenia liczone są 3 miesiące, z przypomnieniami dla osób prowadzących i eskalacją do osoby nadzorującej, gdy termin się zbliża. Sprawy nie da się zamknąć bez odnotowanej informacji zwrotnej, a każdy wpis o dacie jest w niemodyfikowalnym dzienniku audytu. Retencję system liczy per sprawa i przypomina o jej upływie, a usunięcie wymaga potwierdzenia i zostaje w dzienniku.