Art. 29.

1. Podmiot prawny:

1) prowadzi rejestr zgłoszeń wewnętrznych;

2) jest administratorem danych osobowych zgromadzonych w rejestrze zgłoszeń wewnętrznych.

2. Podmiot prawny może upoważnić wewnętrzną jednostkę organizacyjną lub osobę, o których mowa w art. 25 ust. 1 pkt 1 lub 3, do prowadzenia rejestru zgłoszeń wewnętrznych.

3. Wpisu do rejestru zgłoszeń wewnętrznych dokonuje się na podstawie zgłoszenia wewnętrznego.

4. Rejestr zgłoszeń wewnętrznych obejmuje:

1) numer zgłoszenia;

2) przedmiot naruszenia prawa;

3) dane osobowe sygnalisty oraz osoby, której dotyczy zgłoszenie, niezbędne do identyfikacji tych osób;

4) adres do kontaktu sygnalisty;

5) datę dokonania zgłoszenia;

6) informację o podjętych działaniach następczych;

7) datę zakończenia sprawy.

5. Dane osobowe oraz pozostałe informacje w rejestrze zgłoszeń wewnętrznych są przechowywane przez okres 3 lat po zakończeniu roku kalendarzowego, w którym zakończono działania następcze, lub po zakończeniu postępowań zainicjowanych tymi działaniami.