Kancelaria jako obsługa zgłoszeń klientów: dostęp, który klient sam kontroluje

Co mówi ustawa w tej sytuacji

Podmiot prawny może upoważnić podmiot zewnętrzny, na przykład kancelarię, do przyjmowania zgłoszeń, potwierdzania ich przyjęcia i przekazywania informacji zwrotnej (art. 25 ust. 1 pkt 1 i art. 28 ust. 1 ustawy o ochronie sygnalistów), na podstawie umowy, która obejmuje także powierzenie danych (art. 28 ust. 2). Działania następcze i decyzja zostają jednak u bezstronnej jednostki wewnętrznej podmiotu (art. 25 ust. 1 pkt 3), rejestr prowadzi podmiot prawny (art. 29), a odpowiedzialność nie przechodzi na zewnątrz (art. 28 ust. 4).

Każda osoba, która widzi zgłoszenia, także prawnik z kancelarii, potrzebuje pisemnego upoważnienia od tego konkretnego podmiotu (art. 27 ust. 2), a ujawnienie tożsamości sygnalisty wbrew przepisom jest przestępstwem (art. 56). Stąd model „konto w każdej spółce”: upoważnienie jest per podmiot i per osoba, więc konto u każdego klienta odwzorowuje przepis dokładnie.

To opis, jak system odwzorowuje przepisy, nie porada prawna; szczegóły procedury ustala organizacja z własnym prawnikiem.

Na co zwrócić uwagę przy wdrożeniu

1. Zaprasza klient, nie kancelaria. Administrator klienta dodaje prawnika jak każdego pracownika, wpisując jego e-mail. Prawnik przyjmuje zaproszenie we własnym koncie i od tej chwili widzi tego klienta obok pozostałych. Zaproszenie nieprzyjęte wygasa po 14 dniach.
2. Rola najwyżej dyrektor. Osoba z zewnątrz nie zostanie administratorem klienta: nie zmieni ustawień, nie zaprosi innych, nie wyłączy zabezpieczeń. W zespole klienta widnieje jako „osoba zewnętrzna: nazwa kancelarii”.
3. Upoważnienie u każdego klienta. Pisemne upoważnienie leży w repozytorium upoważnień tego klienta, z datą wystawienia i potwierdzeniem odbioru. Kontrola u klienta widzi dokument, nie zapewnienie.
4. Jedno logowanie, osobne rejestry. Prawnik ma jedno hasło i jedną aplikację 2FA, a każdy klient to osobne, odizolowane konto. Ekran „Moje organizacje” pokazuje, u którego klienta mija właśnie 7 dni na potwierdzenie albo termin informacji zwrotnej.
5. Koniec współpracy jednym kliknięciem klienta. Odpięcie kończy dostęp natychmiast, z wpisem w dzienniku po obu stronach. Klient nie musi zmieniać haseł ani prosić kancelarii o „oddanie” konta.
6. Kancelaria jako partner rozliczający. Jeśli kancelaria zakłada klientom konta i je rozlicza, robi to w modelu partnerskim: klient testuje 7 dni bez karty, rabat rośnie z liczbą klientów, a wgląd w metadane spraw klient włącza sam. Treści zgłoszeń partner nie zobaczy nigdy.

Funkcje, które robią różnicę

• Kontrola zostaje w spółce i Ślad każdego dostępu z zewnątrz (grupy kapitałowe, kancelarie i IOD).
• Jedno logowanie, wiele spółek z ekranem „Moje organizacje”.
• Repozytorium upoważnień u każdego klienta (zgodność i uprawnienia).
• Wnioski o ujawnienie tożsamości: prawnik nie odkryje tożsamości sygnalisty w pojedynkę; wniosek zatwierdza druga upoważniona osoba klienta (poufność).
• Model partnerski z trialem klienta i rozliczeniem per klient (dla partnerów).

Najczęstsze pytania

Czy kancelaria może prowadzić postępowanie za klienta?

Może wspierać: przyjmować zgłoszenia, potwierdzać przyjęcie, przygotowywać projekt informacji zwrotnej, doradzać komisji. Decyzja i podpis pod informacją zwrotną zostają u bezstronnej jednostki wewnętrznej klienta, a rejestr prowadzi klient. Tak układa to ustawa i tak jest ustawiony podział ról w systemie.

Czy klient widzi, w których innych organizacjach pracuje prawnik?

Nie. Administrator klienta widzi tylko to, że osoba loguje się przez inną organizację i że jest osobą zewnętrzną z danej kancelarii. Lista pozostałych klientów kancelarii nie jest nikomu pokazywana.

Więcej o rolach w artykule RODO w zgłoszeniach sygnalistów.