7 lipca na stronach Rządowego Centrum Legislacji pojawiła się kolejna, trzecia już wersja projektu ustawy o ochronie osób zgłaszających naruszenia prawa z dnia 4 lipca 2022 roku. W stosunku do wersji z kwietnia 2022 roku wprowadzonych zostało kilka istotnych zmian, miedzy innymi dane osobowe oraz pozostałe informacje mają być przechowywane w w rejestrze zgłoszeń wewnętrznych przez okres 15 miesięcy po zakończeniu roku kalendarzowego, w którym zakończono działania następcze lub po zakończenia postępowań zainicjowanych tymi działaniami, co oznacza wydłużenie okresu retencji danych nawet o ponad 2 lata w stosunku do poprzedniej wersji projektu;

• do ujawnienia danych osobowych osoby zgłaszającej naruszenie konieczna będzie jej zgoda;
• usunięty został zapis o nadszarpnięciu reputacji sygnalisty w mediach społecznościowych jako jednej z zakazanych form odwetu i zastąpienie go ogólnym zapisem zakazującym naruszenia dóbr osobistych;
• na pracodawcy będzie spoczywał obowiązek udowodnienia, że podjęte wobec sygnalisty działania nie stanowią działań odwetowych;
• podmiot, który przetwarza dane sygnalisty na podstawie umowy zwartej w związku z powierzeniem mu obsługi przyjmowania zgłoszeń będzie miał obowiązek zwrotu danych osobowych administratorowi danych oraz obowiązek ich usunięcia po zakończeniu ich przetwarzania.

Podmioty prywatne, na rzecz których pracę wykonuje co najmniej 250 osób, mają na wprowadzenie procedur 2 miesiące od dnia wejścia ustawy w życie (wydłużono go o 1 miesiąc w stosunku do poprzedniej wersji projektu), natomiast podmioty prywatne na rzecz których wykonuje pracę co najmniej 50 i mniej niż 250 osób zobowiązane będą do ustalenia procedury zgłoszeń wewnętrznych do 17 grudnia 2023 roku. Z nową wersją projektu można zapoznać się na stronie RCL.