Příručka pro whistleblowing officera: Jak na vnitřní oznamovací systém?

Význam ochrany oznamovatelů a vznik příručky

Ochrana oznamovatelů se v posledních letech stala klíčovou součástí posilování transparentnosti a etiky ve firmách i veřejných institucích. Včasné oznámení protiprávního jednání – například korupce, podvodu či jiného jednání poškozujícího veřejný zájem – umožňuje organizacím sjednat nápravu ještě před tím, než vznikne větší škoda nebo než zasáhnou orgány činné v trestním řízení či jiné úřady.

Zákon č. 171/2023 Sb., o ochraně oznamovatelů, který nabyl účinnosti 1. srpna 2023, transponuje evropskou směrnici o whistleblowingu a stanoví povinnost zavést vnitřní oznamovací systém pro široký okruh subjektů. Tato povinnost dopadá zejména na zaměstnavatele s 50 a více zaměstnanci a vybrané veřejné instituce. Zákon upravuje postup při podávání a posuzování oznámení o možném protiprávním jednání a zaručuje ochranu osobě, která oznámení učiní (oznamovateli).

Ministerstvo spravedlnosti jako gestor zákona nejen provozuje vnější oznamovací systém (centrální místo pro příjem oznámení), ale podporuje i účinné fungování interních oznamovacích systémů. Po více než roce zkušeností s aplikací zákona Ministerstvo vydalo Příručku pro příslušné osoby – metodický dokument určený těm, kdo mají v organizacích na starosti agendu whistleblowingu. Příručka si klade za cíl reflektovat poznatky z prvního roku účinnosti zákona, vychází ze zpětné vazby příslušných osob a dalších dotčených subjektů a nabízí metodická doporučení a návody pro řešení nejasných otázek spojených s aplikací nové legislativy.

Klíčové aspekty: Role příslušné osoby, proces oznamování a ochrana oznamovatelů

Příručka pokrývá celý proces fungování vnitřního oznamovacího systému, od přijetí oznámení až po jeho uzavření. Mezi jeho nejdůležitější části patří:

• Role příslušné osoby: Zákon požaduje, aby povinný subjekt pověřil konkrétní příslušnou osobu odpovědnou za agendu whistleblowingu. Tato osoba přijímá oznámení, posuzuje jejich důvodnost a navrhuje opatření k nápravě zjištěných pochybení. Příručka zdůrazňuje, že příslušná osoba je „základním stavebním kamenem vnitřního oznamovacího systému“. Její úloha je pro funkčnost systému zásadní – pokud vnitřní systém funguje dobře, oznamovatelé dávají přednost internímu řešení před využitím externího oznamovací kanálu Ministerstva spravedlnosti či dokonce medializací problému. Příslušná osoba proto musí mít důvěru oznamovatelů i vedení a disponovat potřebnou odborností a nezávislostí.
• Přijetí a prošetření oznámení: Příručka detailně popisuje postup od podání oznámení po jeho prošetření. Vnitřní oznamovací systém musí umožnit podat oznámení písemně nebo ústně, o přijetí každého oznámení pak musí být oznamovatel písemně vyrozuměn do 7 dnů od jeho obdržení. Následně příslušná osoba posoudí, zda oznámení spadá do působnosti zákona (tj. zda jde o podezření na jednání, na něž se vztahuje ochrana podle zákona – zpravidla závažné porušení práva v definovaných okruzích) a zda nejde o zjevně nedůvodné či nepodložené tvrzení.
• Každé kvalifikované oznámení musí příslušná osoba prošetřit. Po posouzení oznámení příslušná osoba vypracuje písemné vyrozumění o výsledku, tzn. informuje oznamovatele o tom, zda bylo oznámení shledáno důvodným či nikoli, jak k tomuto závěru dospěla a jaká případná nápravná opatření budou přijata. Zákon nespecifikuje formu takového vyrozumění. Může mít podobu stručného e-mailu nebo naopak detailní zprávy podle složitosti případu.
• Náprava protiprávního stavu: Pokud je oznámení důvodné, příslušná osoba má povinnost vedení organizace navrhnout opatření k předejití nebo nápravě protiprávního stavu. Tato opatření mohou zahrnovat změny v interních postupech, provedení auditu, disciplinární postihy apod., podle charakteru zjištěného pochybení. V případě nedůvodného oznámení by naopak vyrozumění oznamovatele mělo srozumitelně vysvětlit, proč se podezření nepotvrdilo, aby oznamovatel měl jistotu, že věc byla řádně prověřena.
• Ochrana oznamovatelů: Účelem zákona je zajistit, že oznamovatel, který upozorní na nekalé jednání, nebude vystaven postihu a jeho identita zůstane v maximální možné míře utajena. Příslušná osoba má ze zákona povinnost zachovávat mlčenlivost, nesmí poskytnout žádné informace, které by mohly zmařit nebo ohrozit účel oznámení. Zejména nesmí prozradit totožnost oznamovatele (ani osob, které mu případně pomáhají) či detaily z oznámení nikomu mimo okruh osob nezbytně nutných. Informace z oznámení by měly být dostupné pouze příslušné osobě (případně dalším pověřeným členům týmu).
• Zákon také výslovně zakazuje odvetná opatření vůči oznamovateli. Nesmí dojít k žádnému znevýhodnění motivovanému tím, že osoba podala oznámení, ať už by šlo o propuštění, neprodloužení smlouvy, snížení platu, neumožnění účasti na školení, změnu pozice nebo jiné přímé či nepřímé postihy. Ochrany před odvetnými opatřeními se nelze nijak vzdát ani ji omezit dohodou. Pokud by přesto došlo k pokusu oznamovatele postihnout, má oznamovatel právo se domáhat ochrany u soudu. Příručka zmiňuje i specifické situace – např. pokud oznamovatel z opodstatněných důvodů požaduje, aby oznámení vyřizovala konkrétní příslušná osoba (kvůli obavě z podjatosti, střetu zájmů či možné odvety), mělo by mu být ze strany pověřených osob vyhověno, přestože to zákon výslovně neukládá. Důsledné zachování důvěrnosti a ochrany identity oznamovatele je totiž klíčové pro udržení důvěry v celý systém.

Whistleblowing a GDPR

Neoddělitelnou součástí právního rámce souvisejícího s whistleblowingem je také ochrana osobních údajů podle GDPR. Provozování whistleblowingového systému zahrnuje zpracování osobních údajů oznamovatelů, oznámených osob i případných svědků, a proto organizace musí plnit i obecné povinnosti vyplývající z GDPR. Ty zahrnují zejména:

• Zákonný důvod zpracování údajů: Pro zpracování osobních údajů v rámci oznamovacího systému či navazujících kroků je nutné disponovat právním titulem. Tím bývá nejčastěji plnění právní povinnosti (dle zákona o ochraně oznamovatelů) nebo oprávněný zájem správce. Oznamovatel i ostatní dotčené osoby by měli být transparentně informováni o tom, jaké údaje, za jakým účelem a na základě jakého právního titulu jsou zpracovávány.
• Minimalizace údajů: Příslušná osoba by měla shromažďovat pouze údaje nezbytné pro posouzení a vyhodnocení oznámení. Oznamovatel nesmí být nucen sdělovat osobní údaje, které nejsou podstatné pro ověření důvodnosti jeho podání.
• Účelové omezení: Osobní údaje lze zpracovávat pouze k legitimnímu účelu, tj. k prošetření oznámení a navazujícímu přijímání opatření. Údaje nelze využívat k jiným účelům nesouvisejícím s vyřízením oznámení.
• Omezená doba uložení: Osobní údaje je možné uchovávat jen po nezbytně dlouhou dobu. Zákon o oznamovatelích explicitně stanoví, že oznámení a související dokumenty se uchovávají po dobu 5 let od přijetí. Správce by měl nastavit proces bezpečné archivace a likvidace těchto záznamů po uplynutí stanovené doby.
• Zabezpečení údajů: Je nutné přijmout adekvátní technická a organizační opatření k zajištění důvěrnosti a integrity dat. Evidence a databáze oznámení musí být přístupné pouze omezenému okruhu pověřených osob, údaje chráněny před únikem (šifrováním, zabezpečeným úložištěm apod.) a ideálně oddělené od ostatních interních evidencí. To je klíčové pro zachování důvěry oznamovatelů v systém.
• Práva subjektů údajů: Oznamovatel i ostatní osoby uvedené v oznámení mají v principu práva dle GDPR (např. právo na přístup k údajům, výmaz apod.). Jejich uplatnění však může být omezeno, pokud by vyhovění žádosti narušilo vyšetřování oznámení nebo odhalilo totožnost oznamovatele. Příslušná osoba musí pečlivě posoudit každou takovou žádost a případně ji odmítnout s odkazem na zákonné výjimky. Při řešení těchto situací se doporučuje úzká součinnost s pověřencem pro ochranu osobních údajů

Jaké sankce hrozí?

Za nedodržení výše uvedených povinností hrozí významné sankce. Zákon zavádí přestupkovou odpovědnost jak pro organizace, tak pro samotné příslušné osoby. Pokud například příslušná osoba nevyrozumí oznamovatele o výsledku vyšetření oznámení v zákonné lhůtě, jedná se o přestupek s pokutou až 20 000 Kč pro tuto osobu a až 1 000 000 Kč pro povinný subjekt. Odepření přijetí oznámení či neprošetření jeho obsahu je postihováno pokutou až 50 000 Kč pro příslušnou osobu.

Porušení povinnosti zachovávat důvěrnost nebo zákazu odvety by rovněž představovalo porušení zákona – oznamovatel se může vůči původci odvetného jednání bránit soudně a viníku by hrozil postih v přestupkovém řízení. Samotný oznamovatel je zákonem chráněn před postihem v případě oprávněného oznámení; pokud by však někdo úmyslně podal nepravdivé oznámení, může nést odpovědnost podle obecných předpisů (např. za pomluvu či křivé obvinění).

Jak nastavit vnitřní oznamovací systém?

Aby vnitřní oznamovací systém fungoval efektivně a v souladu s předpisy, je třeba podniknout několik praktických kroků:

• Vydání interní směrnice: Organizace by měla formálně upravit pravidla pro oznamování, jeho šetření, evidenci, přijímání nápravných opatření atd. Doporučuje se vydat vnitřní směrnici, která popíše účel whistleblowingového systému, definuje klíčové pojmy (oznamovatel, oznámení, příslušná osoba), stanoví postup pro přijímání a vyřizování oznámení a vymezí práva a povinnosti všech zúčastněných. Ministerstvo spravedlnosti nabízí ke stažení vzorový vnitřní předpis k oznamovacímu systému, který lze využít jako základ.
• Určení příslušné osoby a zajištění zdrojů: Nejvyšší vedení by mělo jmenovat příslušnou osobu (případně více osob či zástupce pro případ její nepřítomnosti) a jasně vymezit její kompetence. Tato osoba by měla mít dostatečnou autoritu a pravomoc k prověřování hlášení napříč organizací, přístup k nezbytným informacím a zároveň záruky nezávislosti (např. může reportovat přímo vrcholovému managementu nebo dozorčí radě). Je nutné zajistit jí potřebné zdroje a školení, protože příslušná osoba by měla být detailně obeznámena s ustanoveními zákona o ochraně oznamovatelů, interními postupy šetření incidentů i se zásadami ochrany dat a mlčenlivosti.
  Pokud organizace nemá vhodného interního kandidáta, lze uvažovat o externí spolupráci, například smluvně pověřit advokáta či specializovanou firmu, která funkci příslušné osoby převezme.
• Zřízení bezpečných komunikačních kanálů: Pro oznamování je třeba vytvořit důvěryhodné kanály, které zajistí dostupný a případně i anonymní způsob podání. Obvyklým minimem je zřízení speciální e-mailové schránky či webového formuláře pro hlášení, dále vyčlenění telefonní linky (případně záznamníku) a nastavení možnosti osobního setkání. Písemná oznámení lze přijímat i poštou či do fyzické schránky. Všechny kanály musí být zabezpečené tak, aby k nim měla přístup pouze příslušná osoba.
• Důležité je, aby zaměstnanci věděli, kam a jak mohou podněty hlásit; informace o vnitřním oznamovacím systému by měly být snadno dostupné (např. na intranetu, v rámci vstupních školení či na webu společnosti). Zároveň je vhodné uvést také informace o vnějším oznamovacím systému Ministerstva spravedlnosti pro případ, že by zaměstnanec nechtěl nebo nemohl využít interní kanály.
• Nastavení postupu pro šetření a vyřízení oznámení: Je vhodné předem definovat, jak bude příslušná osoba při obdržení oznámení postupovat. To zahrnuje způsob evidování přijetí (např. formulářem – viz Příloha č. 1 Příručky), vyhodnocení, zda jde o whistleblowingové oznámení podle zákona, a samotné prošetření obsahu. Je dobré stanovit, kdy a jak může příslušná osoba konzultovat věc s dalšími odborníky v rámci organizace (např. s právním nebo personálním oddělením) či externě, vždy ale s ohledem na nutnost zachování důvěrnosti. Dále je třeba určit, komu příslušná osoba předá své závěry a návrhy opatření, obvykle vedení organizace nebo odpovědnému manažerovi, a jak bude monitorováno splnění těchto opatření.
• Zajištění ochrany oznamovatele: Kromě formálního zákazu odvetných opatření je nutné přijmout konkrétní opatření, která minimalizují riziko, že oznamovatel nebo jeho blízké osoby utrpí v důsledku oznámení újmu. Personalisté a přímí nadřízení by měli být informováni, že daný zaměstnanec požívá ochrany podle zákona – jakékoli plánované pracovněprávní kroky vůči němu je třeba posuzovat obzvlášť citlivě, aby nešlo o skrytý postih. Pokud oznamovatel poukáže na možné obtěžování či nátlak ze strany kolegů nebo nadřízených po podání oznámení, musí organizace rychle zakročit a zajistit mu bezpečné prostředí.
• Evidence a průběžné vyhodnocování oznamovacího systému: Příslušná osoba by měla vést přehlednou evidenci všech přijatých oznámení, včetně údajů požadovaných zákonem (datum přijetí, jméno oznamovatele, shrnutí obsahu, výsledek šetření apod.). Kromě toho je doporučeno sledovat i další ukazatele, například průměrnou dobu vyřízení oznámení, počet navržených a přijatých opatření či opakující se typy incidentů. 
• Ministerstvo spravedlnosti v Příručce dokonce navrhuje využívat whistleblowing jako „nástroj dobré správy“ a kontroly. Doporučuje, aby příslušné osoby sbíraly o své činnosti anonymizovaná data, např. počty oznámení, typy oznamovaných protiprávních jednání, délku vyřizování, počet navržených nápravných opatření atd., a následně je uveřejňovaly jednou ročně formou zprávy. Taková souhrnná zpráva (zbavená identifikačních údajů) může být předložena vedení společnosti, případně i akcionářům či veřejnosti, čímž organizace demonstruje transparentnost a odhodlání řešit problémy otevřeně. Zároveň interně slouží jako podklad pro zlepšování procesů, protože např. odhalí, kde dochází ke zdržení, jaké typy podnětů jsou časté apod.
• Budování důvěry a školení: Žádný whistleblowing systém nebude fungovat, pokud mu zaměstnanci nebudou věřit. Klíčové je proto komunikovat, že vedení firmy či úřadu whistleblowing podporuje jako pozitivní nástroj, nikoli jako „udavačství“. Zaměstnanci by měli být seznámeni s tím, jak systém funguje, jak jsou chráněni a jaká je politika organizace vůči protiprávnímu jednání (nastavení nulové tolerance). Doporučuje se pořádat školení nebo workshopy, kde se zaměstnancům představí konkrétní postup při podání oznámení a zdůrazní se, že oznamování v dobré víře je žádoucí a ceněné. Důvěru zvýší i fakt, když firma dá najevo, že podání bude bráno vážně a oznamovatel nebude mít kvůli němu žádnou újmu, např. veřejným příslibem zákazu odvety a prohlášením, že jakékoli porušení této zásady bude přísně postihováno.

Význam efektivního systému pro transparentnost a etické řízení

Zavedení vnitřního oznamovacího systému nemá být jen formálním cvičením k odvrácení rizika pokuty. Naopak, představuje příležitost ke zlepšení vnitřní kultury a řízení rizik v organizaci. Pro firmy může funkční whistleblowing mechanismus znamenat dřívější odhalení podvodů, úniků informací, korupce či jiných pochybení, což ve výsledku ušetří náklady a ochrání pověst podniku. Ve veřejných institucích pak efektivní systém oznamování posiluje důvěru občanů a napomáhá odhalovat zneužití úřední moci nebo nehospodárnost.

Jak zdůrazňuje i Ministerstvo spravedlnosti, dobře nastavený interní systém umožňuje vyřešit problém „efektivně interně a nevystavovat se tak reputačnímu riziku“ spojenému s tím, že by se oznamovaným protiprávním jednáním musely zabývat externí orgány nebo média. Pokud zaměstnanci vidí, že jejich podněty jsou skutečně řešeny, budou spíše volit interní cestu, než se s podnětem obracet na dohledové orgány či média. A naopak ignorování nebo bagatelizování hlášení může vést k tomu, že oznamovatel ztratí důvěru a obrátí se přímo na regulátory, policii či média.

Efektivní whistleblowingový systém se tak stává významným nástrojem transparentního a etického řízení. Ostatně Ministerstvo spravedlnosti označuje vnitřní oznamovací systém za „nástroj dobré správy“. Propojení tohoto mechanismu s firemní kulturou založenou na otevřenosti a zodpovědnosti může organizaci přinést dlouhodobé benefity – od vyšší důvěry zaměstnanců i veřejnosti až po lepší hodnocení v oblasti ESG (environmental, social, governance) kritérií.

Příručka pro příslušné osoby z dílny Ministerstva spravedlnosti poskytuje cenné vodítko, jak požadavky zákona o ochraně oznamovatelů převést do praxe. Kombinuje právní výklad s praktickými tipy a modelovými situacemi, s nimiž se mohou pověřené osoby setkat. Pro právníky, compliance specialisty, manažery i představitele veřejné správy představuje užitečný zdroj informací, který jim pomůže nastavit nebo vylepšit vlastní vnitřní oznamovací systém tak, aby byl nejen v souladu se zákonem, ale aby byl i skutečně funkční a přínosný.