Okresy przechowywania zgłoszeń sygnalistów w UE

Okresy przechowywania zgłoszeń sygnalistów w całej UE wynoszą od trzech miesięcy do dziesięciu lat. Cypr usuwa zgłoszenie trzy miesiące po zamknięciu sprawy. Hiszpania pozwala firmie przechowywać je przez dziesięć lat. Jedenaście państw członkowskich nie ustala żadnego okresu. Dane pochodzą z naszego raportu 2026 o unijnej dyrektywie o ochronie sygnalistów, który porównuje wszystkie 27 krajowych ustaw. Oto jak długo musisz przechowywać zgłoszenie w każdym kraju oraz co robić tam, gdzie ustawa milczy.

Jak długo trzeba przechowywać zgłoszenie sygnalisty?

Unijna dyrektywa o ochronie sygnalistów nie ustala okresu przechowywania. Mówi tylko, że dane osobowe przechowujesz nie dłużej, niż to konieczne. Każdy kraj wypełnił tę lukę po swojemu. Piętnaście państw wybrało jedną wyraźną liczbę. Belgia ustaliła kilka, po jednej na region. Pozostałych jedenaście nie ustaliło żadnej.

Na szczycie jest Hiszpania z dziesięcioletnim pułapem. Gdy nie dochodzi do postępowania wyjaśniającego, usuwa zgłoszenie już po trzech miesiącach. Osiem państw wybrało pięć lat: Austria, Czechy, Finlandia, Włochy, Litwa, Portugalia, Rumunia i Słowenia. Cztery wybrały trzy lata: Niemcy, Estonia, Polska i Słowacja. Szwecja przechowuje zgłoszenie dwa lata. Cypr ma najkrótszy okres, usuwając je trzy miesiące po zamknięciu sprawy.

Źródło: WeMoral, 2026 Report on Whistleblower Directive Transposition Across the EU, s. 20.

Poniższa tabela podaje każdy stały okres oraz moment rozpoczęcia jego biegu. Jedenaście państw bez ustalonego okresu znajdziesz dalej.

Źródło: WeMoral, 2026 Report on Whistleblower Directive Transposition Across the EU, s. 20.

„Dyrektywa nie ustala okresu przechowywania. Wymaga tylko, aby dane osobowe były przechowywane nie dłużej, niż to konieczne i proporcjonalne, a jedenaście państw członkowskich pozostawiło to dokładnie w tym punkcie.”
WeMoral, 2026 Report on Whistleblower Directive Transposition Across the EU, s. 19

Gdzie nie ustalono okresu przechowywania, przejmuje RODO

Jedenaście państw nie podaje żadnej liczby: Bułgaria, Chorwacja, Dania, Francja, Grecja, Węgry, Irlandia, Łotwa, Luksemburg, Malta i Holandia. Belgia to dwunasty, odrębny przypadek, z inną zasadą w każdym regionie. Brak stałego okresu nie oznacza przechowywania na zawsze. Przekazuje decyzję RODO.

Zasada ograniczenia przechowywania w RODO mówi, że dane osobowe przechowujesz tylko tak długo, jak wymaga tego cel. Dla zgłoszenia tym celem jest prowadzenie sprawy oraz obrona przed ewentualnymi roszczeniami. Dlatego w Danii, Francji, Irlandii i Luksemburgu sam ustalasz okres i go uzasadniasz. Bułgaria odsyła do rozporządzenia o ochronie danych. Chorwacja opiera się na ogólnej ustawie archiwalnej. Grecja przechowuje akta do zakończenia postępowania. To właśnie tutaj przydaje się pisemna polityka przechowywania. Nasze poradniki o reagowaniu na zgłoszenie oraz tym, co zrobić ze zgłoszeniem omawiają kroki obsługi, które przesądzają, kiedy bieg terminu może się zatrzymać.

Źródło: WeMoral, 2026 Report on Whistleblower Directive Transposition Across the EU, s. 19.

Kiedy zaczyna biec termin przechowywania?

Liczba lat to tylko połowa odpowiedzi. Te same pięć lat może oznaczać zupełnie inne przechowywanie, zależnie od tego, kiedy zaczyna biec termin. Cztery państwa rozpoczynają go w chwili wpłynięcia zgłoszenia: Czechy, Finlandia, Rumunia i Słowacja. Termin biegnie, zanim ktokolwiek zajrzał do sprawy. Dziewięć państw rozpoczyna go po obsłużeniu sprawy, przy zamknięciu, ostatecznym rozstrzygnięciu albo ostatniej decyzji. Dwa państwa nigdy nie mówią tego jasno.

Źródło: WeMoral, 2026 Report on Whistleblower Directive Transposition Across the EU, s. 20.

To pułapka dla firmy działającej w więcej niż jednym kraju. Dwie pięcioletnie zasady to nie ta sama zasada. Austria liczy termin od ostatniej chwili, w której dotykasz akt, więc ponowne otwarcie sprawy może przesunąć datę usunięcia. Polska liczy od końca roku, w którym zakończyły się działania następcze. Hiszpania wiąże usunięcie z tym, czy dojdzie do postępowania wyjaśniającego, a Portugalia pozostawia początek nieokreślony i dolicza do tego wszelkie toczące się postępowania. Jeśli prowadzisz jedno archiwum dla każdego kraju, musisz jednocześnie spełnić najwcześniejszy początek i najpóźniejszy koniec.

Zbuduj jedną politykę przechowywania dla każdego kraju

Większość firm chce jednej zasady, a nie 27. Aby to osiągnąć, projektujesz ją pod najsurowsze państwo na swojej mapie. To znaczy jednocześnie najdłuższą dolną granicę i najkrótszy pułap. Portugalia i Litwa ustalają swoje pięć lat jako minimum, więc nie możesz zejść niżej. Dziesięć lat w Hiszpanii to pułap, więc nie możesz tam pójść wyżej. Cypr oczekuje usunięcia po trzech miesiącach. Firma działająca zarówno w Hiszpanii, jak i na Cyprze potrzebuje dwóch odrębnych polityk dla tego samego rodzaju dokumentacji.

Zapisz okres, powiąż go z aktami sprawy oraz odnotuj, dlaczego go wybrałeś. Tego wymaga RODO i tego szukać będzie audytor. Wpisy o prawie krajowym dla Hiszpanii, Szwecji i Niemiec podają dokładne brzmienie na obu skrajach oraz pośrodku.

Ustaw termin przechowywania raz, a potem pozwól mu biec

Przechowywanie to cicha część programu dla sygnalistów. Rzadko pojawia się przed audytem albo wnioskiem o dostęp do danych, a wtedy pojawia się szybko. Zgłoszenie przechowywane o rok za długo to problem z RODO. Zgłoszenie usunięte o rok za wcześnie to problem z dowodami. Bezpieczna droga to ustalić okres dla każdego kraju, przypisać go do każdej sprawy oraz usuwać zgodnie z harmonogramem, tak by nikt nie musiał o tym pamiętać. WeMoral stosuje zasadę każdego kraju do każdego zgłoszenia i usuwa je, gdy upłynie czas, dzięki czemu archiwum samo pozostaje zgodne z prawem. Sprawdź wiersze swoich krajów, zanim ustalisz jedną liczbę dla wszystkich.