Whistleblowing 2026 – vzor interního oznamovacího systému + ochrana oznamovatele

Whistleblowing už dávno není jen módní slovo z americké korporátní kultury. Od 1. srpna 2023je v Česku povinnost zavést vnitřní oznamovací systém pro většinu středně velkých a velkých firem. Zákon č. 171/2023 Sb., o ochraně oznamovatelů (dále „zákon o ochraně oznamovatelů“), implementuje evropskou směrnici 2019/1937 a ukládá zaměstnavatelům s 50 a více zaměstnanci řadu konkrétních povinností. Pokud je neplníte, hrozí pokuty až do 1 000 000 Kč za jedno správní řízení (v extrémních případech a u některých finančních institucí dle souvisejících sektorových zákonů i vyšší) a reputační škoda v řádu let.

Tento návod je praktický průvodce pro HR ředitele, compliance specialisty, jednatele a COO firem 50+. Projdeme celý zákonný rámec, povinnosti vůči pověřené osobě (příslušné osobě), formy oznámení, lhůty, ochranu proti odvetě, GDPR a DPIA, evidenci, sankce a na konci dostanete kompletní vzor interní směrnice + vzor formuláře oznámení + checklist pro implementaci.

Kdy je systém povinný — kategorie firem

Zákon č. 171/2023 Sb. rozděluje povinné subjekty do tří hlavních kategorií podle velikosti, sektoru a data, od kterého povinnost platí.

Zaměstnavatelé s 50 a více zaměstnanci

Hlavní cílovka zákona. Povinnost zřídit vnitřní oznamovací systém platí pro všechny zaměstnavatele s 50 a více zaměstnanci, kteří jsou v pracovním poměru nebo v obdobném vztahu. Do počtu se započítávají i DPP/DPČ (zaměstnanci v dohodách), agenturní zaměstnanci a dlouhodobě delegovaní pracovníci.

• Účinnost:1. srpna 2023 pro firmy 250+ zaměstnanců, 15. prosince 2023 pro firmy 50–249 zaměstnanců.
• Stav 2026: Všichni dotčení už dávno povinní.
• Počet zaměstnanců se zjišťuje k 1. lednu kalendářního roku — pokud k 1. lednu 2026 máš 51 zaměstnanců, povinnost platí pro celý rok 2026.

Finanční instituce a AML povinné osoby

Pro banky, pojišťovny, investiční společnosti a další subjekty finančního trhu platí povinnost mít whistleblowing systém už od 17. prosince 2021(přímá účinnost směrnice EU). U těchto subjektů povinnost platí bez ohledu na počet zaměstnanců. Týká se to:

• Banky a stavební spořitelny (zákon č. 21/1992 Sb.)
• Pojišťovny a zajišťovny (zákon č. 277/2009 Sb.)
• Investiční společnosti, fondy, obchodníci s cennými papíry (zákon č. 240/2013 Sb. ZISIF, zákon č. 256/2004 Sb. ZPKT)
• AML povinné osoby (zákon č. 253/2008 Sb.) — i advokáti, notáři, daňoví poradci, auditoři, realitní makléři, obchodníci se zlatem a některé další profese.

Veřejní zadavatelé a obce

Veřejní zadavatelé dle zákona o veřejných zakázkách a některé územní samosprávné celky (kraje, statutární města) mají vlastní povinnosti. Obce s méně než 10 000 obyvateli jsou z povinnosti zpravidla vyloučeny, větší obce systém potřebují.

Kdo může oznamovat — okruh oznamovatelů

Zákon definuje široký okruh osob, které mohou oznamovat a mají zákonem zaručenou ochranu. Jde o všechny osoby, které se o protiprávním jednání dozvěděly v souvislosti s prací nebo obdobnou činností:

• Zaměstnanci (v HPP, DPP, DPČ)
• OSVČ pracující pro firmu (B2B kontrakty)
• Agenturní zaměstnanci a stážisté
• Členové statutárních orgánů a dozorčích rad
• Akcionáři a společníci
• Bývalí zaměstnanci (po skončení pracovního poměru)
• Uchazeči o zaměstnání
• Dobrovolníci, praktikanti

Co se může oznamovat? Zákon vyžaduje, aby šlo o protiprávní jednání, ke kterému došlo nebo má dojít u povinného subjektu (firmy), nebo o jednání, které vykazuje znaky trestného činu, přestupku nebo jiného porušení právních předpisův oblastech vyjmenovaných v § 2 zákona — zejména:

• Daňová oblast (daňové úniky, krácení daně)
• AML a finanční služby
• Ochrana spotřebitele
• Bezpečnost potravin a produktů
• Ochrana životního prostředí
• Veřejné zakázky a hospodářská soutěž
• Ochrana osobních údajů (GDPR)
• Bezpečnost informačních systémů (kyber)
• Korupce, podvody, zneužití veřejných prostředků

Formy oznámení — písemně, ústně, osobně

Zákon vyžaduje, aby vnitřní oznamovací systém umožňoval všechny tři formy oznámení:

Anonymní oznámení — povinné, ale specifické

Vnitřní oznamovací systém musí umožnit i anonymní oznámení. Pověřená osoba k nim však nemusí přistupovat stejně jako k identifikovaným — zákon výslovně připouští, že lhůty pro reakci u anonymních oznámení nelze striktně dodržet (nelze komunikovat s neznámým oznamovatelem). I anonymní oznámení je však třeba evidovat, posoudit a přijmout opatření, pokud se jeho obsah ukáže jako věcný.

Pověřená osoba (příslušná osoba)

Klíčová role v celém systému. Pověřená osoba (zákon ji nazývá „příslušná osoba“) je člověk, který přijímá oznámení, vede s oznamovatelem komunikaci, posuzuje opodstatněnost a navrhuje opatření. Bez správně nastavené pověřené osoby systém kolabuje — nejčastější chyba implementace.

Kdo to může být

• Vnitřní pověřenec — typicky HR ředitel, compliance officer, právník firmy, vedoucí interního auditu. NIKOLI jednatel/CEO ani někdo, kdo je hierarchicky podřízen jednateli v přímé linii — vznikl by konflikt zájmů.
• Externí pověřenec— externí compliance firma, advokátní kancelář, specializovaná služba. Toto je v ČR velmi populární řešení u menších firem, kde interně chybí kompetence — externí pověřenec dělá whistleblowing pro 20–100 klientů.

Požadavky na pověřenou osobu

• Plná svéprávnost a bezúhonnost (čistý výpis z rejstříku trestů).
• Odbornost — znalost zákona o ochraně oznamovatelů, základů práva, GDPR, interních procesů firmy.
• Nezávislost — pověřenec nesmí být v přímé hierarchii pod osobou, která by mohla být potenciálním obviněným.
• Mlčenlivost — zákonná povinnost mlčenlivosti o všech skutečnostech zjištěných v rámci řízení o oznámení.

Lhůty — 7 dnů na potvrzení, 3 měsíce na vyhodnocení

Zákon stanovuje přesné lhůty, ve kterých musí pověřená osoba s oznámením pracovat. Nedodržení lhůt je samostatným správním deliktem.

Ochrana proti odvetě — co je zakázáno

Srdce zákona o ochraně oznamovatelů. Cílem směrnice EU bylo zajistit, aby oznamovatel po podání oznámení nesměl být postižen. Zákon definuje široký okruh zakázaných odvetných opatření.

Zakázaná odvetná opatření

• Propuštění nebo neprodloužení smlouvy na dobu určitou
• Demotování (snížení funkce, převedení na nižší pracovní pozici)
• Snížení mzdy, nepřiznání bonusu, neudělení odměny
• Šikana, mobbing, zhoršení pracovního prostředí
• Negativní hodnocení bez objektivního důvodu
• Diskriminace při kariérním postupu, vzdělávání
• Šíření pomluv nebo poškozování pověsti
• Žaloba pro pomluvu, urážkuze strany firmy (omezeno, pokud oznamovatel jednal v dobré víře)
• Předčasné ukončení B2B kontraktus OSVČ oznamovatelem

Obrácení důkazního břemene

Klíčový mechanismus ochrany: pokud oznamovatel po podání oznámení zažije pracovněprávní opatření, které vypadá jako odveta (např. výpověď), důkazní břemeno je obrácené— to zaměstnavatel musí prokázat, že opatření nesouvisí s oznámením. V praxi to znamená, že soud bude předpokládat odvetu, dokud firma neprokáže opak.

Externí kanál — Ministerstvo spravedlnosti

Vedle vnitřního oznamovacího systému provozuje i Ministerstvo spravedlnosti ČR externí oznamovací kanál na adrese oznamovatel.justice.cz. Oznamovatel si může vybrat — pokud nevěří internímu systému, pokud má strach z odvety, nebo pokud interní systém selhal, může se obrátit přímo na ministerstvo.

Externí kanál ministerstva má vlastní postupy, vlastní lhůty a v některých případech může i předat věc orgánům činným v trestním řízení nebo finanční správě. Firmy by si měly být vědomy, že oznámení podané přes externí kanál je velmi často pro firmu komplikovanější než to interní — proto je v jejich vlastním zájmu mít skutečně funkční a důvěryhodný interní systém.

Evidence oznámení — povinnost a archivace 10 let

Pověřená osoba musí vést evidenci přijatých oznámení. Evidence musí obsahovat minimálně:

• Pořadové číslo oznámení a datum přijetí
• Forma oznámení (písemně, telefonicky, osobně)
• Stručný obsah oznámení (klasifikace, anonymizováno)
• Identifikace oznamovatele (pokud není anonymní) — oddělená od ostatních záznamů
• Datum a forma potvrzení přijetí
• Stav řízení (přijato, prošetřuje se, ukončeno)
• Datum a forma sdělení výsledku oznamovateli
• Přijatá opatření a sankce

Evidence musí být archivována po dobu 10 let od skončení řízení (§ 21 zákona). Po uplynutí 10 let musí být zničena s ohledem na GDPR. Identifikační údaje oznamovatele musí být uloženy odděleně od ostatních materiálů a přístup k nim má mít pouze pověřená osoba (případně její náhradník při zástupu).

GDPR a whistleblowing — povinné DPIA

Vnitřní oznamovací systém je z hlediska GDPR zpracování osobních údajů zvláštního charakteru— zpracovává se identita oznamovatele, identifikace obviněných osob, citlivé informace o protiprávním jednání. ÚOOÚ (Úřad pro ochranu osobních údajů) ve svých stanoviscích označil whistleblowing za zpracování, které vyžaduje DPIA (posouzení dopadu na ochranu osobních údajů).

DPIA — minimální obsah

• Popis zpracování — kdo, kdy, za jakým účelem, jaké údaje
• Posouzení nezbytnosti a proporcionality — proč nelze cíl dosáhnout s menším zásahem do soukromí
• Identifikace rizik — únik identity oznamovatele, neoprávněný přístup, ztráta dat
• Technická a organizační opatření — šifrování, přístupová práva, audit logy, oddělené úložiště identity
• Konzultace s ÚOOÚ — pokud po opatřeních přetrvávají vysoká rizika (vzácné)

Vzor DPIA pro whistleblowing publikoval ÚOOÚ a externí compliance firmy. Není nutné to dělat od nuly — stačí adaptovat existující vzor na vaši konkrétní situaci.

Kybernetická bezpečnost systému

Vnitřní oznamovací systém je atraktivní cíl pro útočníky — obsahuje citlivé informace o protiprávním jednání, identitu oznamovatelů, jména obviněných. Únik dat z whistleblowing systému znamená nejen GDPR pokutu, ale především ztrátu důvěry zaměstnanců v celý systém — a tím i jeho faktický kolaps.

Minimální technická opatření

• Šifrování dat v klidu(encryption at rest) a v přenosu (HTTPS, TLS 1.3)
• 2FA pro přístup pověřené osoby do systému
• Oddělení identity oznamovatele od obsahu oznámení (různá tabulka, různý klíč)
• Audit logy— kdo, kdy přistoupil k jakému oznámení
• Pravidelné penetrační testy(1× ročně)
• Zálohovánís testovaným obnovením
• Žádné cookies a tracking na oznamovacím formuláři — jakékoli analytics by mohly identifikovat oznamovatele

Sankce za neimplementaci

Kontrolu plnění povinností provádí Ministerstvo spravedlnosti ČR. Sankce jsou stanoveny v § 26 a následujících zákona č. 171/2023 Sb.

K tomu se v některých případech přidávají sankce dle GDPR(ÚOOÚ — až 4 % celosvětového obratu nebo 20 mil. EUR), sektorových zákonů (ČNB pro banky, ČOI pro spotřebitelské, atd.) a v extrémních případech i trestní odpovědnost právnické osoby.

Kolektivní × jednotlivé oznámení

Zákon umožňuje, aby oznámení podávalo více osob společně — kolektivní oznámení. To je v praxi důležité u rozsáhlejších problémů (např. mobbing celého oddělení, systémová korupce). Při kolektivním oznámení se ochrana proti odvetě vztahuje na všechny zúčastněné.

U jednotlivého oznámení je oznamovatel sám — což z hlediska ochrany identity může být v malé firmě (nebo malém oddělení) problém: i když je oznámení anonymní, podle obsahu může být identita oznamovatele uhádnutelná. Toto je riziko, které pověřená osoba musí při komunikaci s managementem vědomě řídit (např. anonymizace, agregace, odkládání).

Vzor interní směrnice o oznamování

Následující vzor je univerzální — předpokládá střední firmu s jedním interním pověřencem. Pro konkrétní použití upravte identifikace, jména pověřených osob, technické řešení (kanály) a případně odkazy na navazující procesy ve firmě.

Vzor formuláře oznámení

Checklist implementace — 10 kroků

1. Ověř, zda jsi povinný subjekt— 50+ zaměstnanců k 1. lednu nebo sektor (banka, AML osoba)
2. Jmenuj pověřenou osobu+ náhradníka, ověř bezúhonnost a nezávislost
3. Zajisti všechny tři formy kanálů— e-mail, telefon, osobně. Doporučuje se webový formulář s možností anonymity.
4. Sepiš vnitřní směrnici(vzor v tomto článku) a nech ji schválit statutárním orgánem
5. Vytvoř a zaveď evidencioznámení — ideálně v dedikovaném compliance systému, ne v Excelu
6. Zpracuj DPIAve spolupráci s DPO nebo externím GDPR konzultantem
7. Zaškol pověřenou osobu — minimálně 1 den školení, plus pravidelné refreshery
8. Informuj všechny zaměstnance— intranet, nástěnka, e-mailing. Informace musí být dostupné i externím spolupracovníkům.
9. Otestuj systém— simulované oznámení od kolegy, ověř funkčnost všech kanálů a dodržení lhůt
10. Pravidelná revize— minimálně 1× ročně audit systému, aktualizace směrnice při změnách zákona

Časté chyby při implementaci

Chyba 1: Špatně zvolená pověřená osoba

Nejčastější chyba. Firma jmenuje pověřenou osobou jednatele, finančního ředitele nebo HR manažera, který reportuje finančnímu řediteli. Jakékoli oznámení týkající se vyššího managementu pak nelze důvěryhodně zpracovat. Externí pověřenec nebo nezávislý vnitřní auditor je bezpečnější volba.

Chyba 2: Prozrazení identity oznamovatele

Pověřenec se v rozhovoru s jednatelem nechá unést, prozradí, kdo oznámení podal. Oznamovatel se to dozví, oznámí to ministerstvu spravedlnosti a ÚOOÚ. Pokuta dle GDPR i dle zákona č. 171/2023 Sb. Identita oznamovatele je posvátná.

Chyba 3: Nedodržené lhůty

Pověřenec dostal oznámení, ale zapomněl ho potvrdit do 7 dnů. Nebo vyhodnocení trvá 5 měsíců bez prodloužení lhůty. Lhůty jsou samostatný správní delikt. Vždy lhůtu prodlužte písemně, s odůvodněním, oznámení do evidence.

Chyba 4: Nedostatečná evidence

Pověřenec si vede „seznam v hlavě“ nebo v běžné excelové tabulce bez šifrování a bez oddělení identity oznamovatele. Při kontrole ministerstvem nebo při úniku dat je to katastrofa. Investujte do compliance softwaru.

Chyba 5: Odveta — i nevědomá

Oznamovatel oznámil korupci, za měsíc dostal přeřazení na jinou pozici (objektivně reorganizace). Soud bude přesto pravděpodobně považovat za odvetu. Po podání oznámení vyhněte se jakýmkoli personálním krokůmvůči oznamovateli po dobu 6 měsíců, případně mějte ironclad důkazy o objektivním důvodu.

Chyba 6: Žádné školení zaměstnanců

Firma má krásnou směrnici v intranetu, kterou nikdo nikdy nečetl. Zaměstnanci nevědí, kam se mají obrátit, jak oznámení podat, jakou mají ochranu. Vnitřní oznamovací systém pak nefunguje — oznamovatelé jdou rovnou na externí kanál ministerstva, což je pro firmu drahé.

Závěr a další kroky

Whistleblowing je v Česku v roce 2026 už ne novinka, ale standardní compliance povinnost pro většinu středně velkých a velkých firem. Funkční vnitřní oznamovací systém má dvě roviny — právní (vyhnutí se sankcím) a kulturní (důvěra zaměstnanců, prevence skandálů). Klíčové je nezvolit cestu nejmenšího odporu — nestačí dát do intranetu PDF směrnice. Musí být skutečně funkční pověřenec, otestované kanály, dodržované lhůty, bezpečná evidence, vyškolení zaměstnanci a pravidelný audit.

Vzor směrnice a formuláře v tomto článku slouží jako odrazový můstek — pro konkrétní firmu je vždy upravte podle velikosti, sektoru a interní struktury. U sektorově regulovaných firem (banky, pojišťovny, AML osoby) doporučujeme konzultaci s právníkem nebo externím compliance specialistou — sektorové zákony mohou ukládat přísnější požadavky. Investice 20–100 tisíc Kč do externí implementace je zanedbatelná ve srovnání s rizikem 1 milionové pokuty a mediální blamáže.