Zákon o ochraně oznamovatelů: povinnosti, lhůty a sankce pro firmy

Zákon č. 171/2023 Sb., o ochraně oznamovatelů, účinný od 1. srpna 2023, ukládá zaměstnavatelům povinnost zavést vnitřní oznamovací systém a přejímá směrnici EU 2019/1937. Tento průvodce vysvětluje, koho se povinnost týká, jaké jsou lhůty a sankce a zda lze obsluhu svěřit externímu dodavateli.

Kdo musí mít oznamovací systém?

Povinné jsou subjekty s nejméně 50 zaměstnanci (stav k 1. lednu). Pro firmy s 250 a více zaměstnanci platila povinnost od 1. srpna 2023, pro firmy s 50 až 249 zaměstnanci do 15. prosince 2023. Ve vybraných oblastech, například u finančních služeb, může povinnost platit bez ohledu na počet zaměstnanců.

Lhůty: 7 dní a 3 měsíce

Příslušná osoba musí potvrdit přijetí oznámení do 7 dnů a vyrozumět oznamovatele o výsledku posouzení do 30 dnů; ve složitých případech lze lhůtu prodloužit až na 3 měsíce. Totožnost oznamovatele musí zůstat důvěrná.

Anonymní oznámení a zákon

Pozor na časté nedorozumění: anonymní podání se podle zákona č. 171/2023 Sb. nepovažují za oznámení a příslušná osoba je nemusí prošetřovat. Zaměstnavatel je může přijímat dobrovolně, stojí však mimo ochranu zákona. Kvalitní kanál nicméně anonymitu technicky umožňuje — bez registrace IP adresy.

Externí kanál a outsourcing

Vedle vnitřního systému existuje externí oznamovací kanál, který provozuje Ministerstvo spravedlnosti; oznamovatel není povinen využít nejprve vnitřní kanál. Obsluhu vnitřního systému lze svěřit externímu dodavateli — odpovědnost za dodržení zákona však zůstává povinnému subjektu.

Pokuty až 1 000 000 Kč

Za nezavedení nebo neprovozování vnitřního oznamovacího systému hrozí pokuta až 1 000 000 Kč. Sankce hrozí rovněž za nedodržení lhůt, porušení důvěrnosti nebo bránění oznámení.

Kde jsou uložena data: otázka Schrems II

Po rozsudku SDEU ve věci Schrems II zůstávají data svěřená americkým poskytovatelům vystavena zákonu CLOUD Act a FISA 702, i když jsou uložena v evropském datovém centru. Whistlechannel hostuje výhradně ve Stockholmu, bez amerických subzpracovatelů, bez registrace IP adres a se šifrováním AES-256 — ve 24 jazycích EU, v samoobslužném režimu, od 99 SEK měsíčně.