Ochrana oznamovatelů (whistleblowing): povinnosti zaměstnavatele 2026

Ve zkratce: Zákon č. 171/2023 Sb., o ochraně oznamovatelů, platí od 1. 8. 2023 (transpozice směrnice EU 2019/1937). Vnitřní oznamovací systém musí zavést zaměstnavatel, který k 1. lednu příslušného roku zaměstnává nejméně 50 zaměstnanců, včetně pracovníků na DPP a DPČ, a určit příslušnou osobu. Ta do 7 dnů potvrdí přijetí oznámení a do 30 dnů vyrozumí oznamovatele o výsledku (dvakrát lze prodloužit o 30 dnů, tj. max. 90 dnů). Zaměstnavatel má zakázáno činit vůči oznamovateli odvetná opatření (§ 4), musí chránit jeho totožnost (§ 20) a vést evidenci s uchováním po dobu 5 let (§ 21). Za některá porušení hrozí pokuta až 1 000 000 Kč (§ 23–26).

Whistleblowing přestal být v Česku dobrovolnou firemní kulturou a stal se právní povinností. Zákon o ochraně oznamovatelů chrání lidi, kteří v souvislosti se svou prací upozorní na protiprávní jednání — od korupce a daňových úniků přes praní peněz až po ohrožení bezpečnosti nebo životního prostředí. Pro zaměstnavatele z toho plynou konkrétní, kontrolovatelné a sankcionovatelné povinnosti: zavést oznamovací kanál, obsadit ho nezávislou osobou, dodržet lhůty a nikdy se oznamovateli nemstít. Tento článek shrnuje, co přesně musíte mít nastaveno, aby vás inspekce ani Ministerstvo spravedlnosti nepokutovaly.

Kdo má povinnost zavést vnitřní oznamovací systém?

Povinnost dopadá na povinné subjekty — zjednodušeně na zaměstnavatele, kteří k 1. lednu daného kalendářního roku zaměstnávají nejméně 50 zaměstnanců (§ 8 zákona č. 171/2023 Sb.). Podle výkladu Ministerstva spravedlnosti se započítávají osoby v pracovním poměru, DPP i DPČ, zaměstnanci na částečný úvazek i přidělení agenturní zaměstnanci. Rozhoduje počet osob k 1. lednu, nikoli přepočtený počet úvazků.

Přechodné lhůty jsou dnes již dávno uplynulé:

• zaměstnavatelé s 250 a více zaměstnanci — povinnost od 1. 8. 2023,
• zaměstnavatelé s 50 až 249 zaměstnanci — povinnost od 15. 12. 2023.

Zvláštní kategorii tvoří subjekty, které mohou mít povinnost bez ohledu na počet zaměstnanců. Patří sem například vybrané osoby ve finančním a pojišťovacím sektoru, určené subjekty v civilním letectví a námořní dopravě a veřejní zadavatelé. U veřejných zadavatelů zákon vyjímá obce s méně než 10 000 obyvateli a přesně vymezené menší právnické osoby. U některých osob povinných podle AML zákona vyplývá vnitřní oznamovací systém ze zvláštního předpisu; je nutné ověřit konkrétní kategorii, protože zákon č. 171/2023 Sb. ji ze svého § 8 odst. 1 písm. b) a e) vyjímá.

Co musí vnitřní oznamovací systém obsahovat?

Vnitřní oznamovací systém (VOS) je soubor postupů, jak přijmout a vyřídit oznámení. Zákon nevyžaduje konkrétní software, ale klade minimální požadavky (§ 9). Oznamovatel musí mít možnost podat oznámení:

• písemně (například elektronicky nebo listinně),
• ústně (telefonicky nebo jiným hlasovým kanálem),
• a osobně — na svou žádost v přiměřené lhůtě, nejdéle do 14 dnů.

Kanál musí být nastaven tak, aby k obsahu oznámení i k totožnosti oznamovatele měla přístup výhradně příslušná osoba. Běžný sdílený e-mail personálního oddělení tuto podmínku nesplňuje. Zaměstnavatel je dále povinen uveřejnit způsobem umožňujícím dálkový přístup (typicky na webu a intranetu) informace o způsobech oznamování prostřednictvím VOS i externího systému Ministerstva spravedlnosti, označení příslušné osoby a její kontaktní údaje.

Povinné subjekty s nejvýše 249 zaměstnanci mohou VOS sdílet s jiným povinným subjektem nebo využít jeho systém, pokud určily příslušnou osobu pro úkoly podle § 12 odst. 1 a 2; výjimkou z této možnosti jsou veřejní zadavatelé, avšak povinné obce mohou systém sdílet mezi sebou. Odpovědnost za zákonné povinnosti sdílením nezaniká. Subjekty s 250 a více zaměstnanci si systém musí zajistit samostatně, byť jeho provozem mohou pověřit externího dodavatele.

Kdo může být příslušná osoba a jaké má povinnosti?

Příslušná osoba je klíčová postava celého systému (§ 10). Přijímá oznámení, posuzuje jejich důvodnost, navrhuje zaměstnavateli nápravná opatření a komunikuje s oznamovatelem. Zákon požaduje, aby byla bezúhonná, plně svéprávná a zletilá. Musí jít o fyzickou osobu; může jí být zaměstnanec nebo externí fyzická osoba, například advokát. Provoz systému lze svěřit i externímu dodavateli, který však musí určit konkrétní příslušnou osobu.

Nejdůležitější je její nestrannost a mlčenlivost. Příslušná osoba plní pokyny zaměstnavatele, ledaže ohrožují nebo maří výkon její činnosti podle zákona (§ 11). Bez písemného souhlasu oznamovatele nesmí nikomu (ani vedení firmy) sdělit údaje, z nichž by bylo možné oznamovatele identifikovat, s výjimkou zákonné povinnosti poskytnout je orgánu veřejné moci.

Jaké lhůty musí zaměstnavatel dodržet?

Lhůty jsou nejčastěji kontrolovaná a nejsnáze prokazatelná část zákona (§ 9). Jsou navázány na příslušnou osobu, ale odpovědnost za jejich dodržení nese povinný subjekt.

Zdroj: zákon č. 171/2023 Sb., § 9 a § 21. Platí pro rok 2026.

O každém prodloužení a jeho důvodech musí příslušná osoba oznamovatele písemně vyrozumět. Pokud vyhodnotí oznámení jako důvodné, navrhne zaměstnavateli nápravná opatření; ten je povinen přijmout opatření k předejití nebo nápravě protiprávního stavu a o přijetí (nebo důvodech nepřijetí) oznamovatele informovat.

Co je zákaz odvetných opatření a ochrana totožnosti?

Jádrem ochrany je zákaz odvetných opatření podle § 4. Odvetným opatřením je jednání v souvislosti s prací oznamovatele, které mu může způsobit újmu. Zákon uvádí demonstrativní výčet:

• rozvázání pracovního poměru nebo neprodloužení pracovního poměru na dobu určitou,
• odvolání z vedoucího místa,
• snížení mzdy, platu nebo odměny a nepřiznání osobního příplatku,
• přeložení nebo změna pracovní doby či rozvržení směn,
• neumožnění odborného rozvoje, uložení kárného opatření nebo diskriminace,
• ale i mimopracovní kroky, například zásah do smluvního vztahu nebo špatné doporučení.

Ochrana se vztahuje nejen na samotného oznamovatele, ale i na osoby jemu blízké, kolegy, kteří mu pomáhali, nebo osoby, které jsou s oznamovatelem spojeny (např. právnická osoba, kterou ovládá). V soudním sporu platí obrácené důkazní břemeno ve prospěch oznamovatele: pokud tvrdí, že byl postižen kvůli oznámení, musí zaměstnavatel prokázat, že šlo o legitimní krok bez souvislosti s oznámením.

Ochrana totožnosti (§ 20) znamená, že totožnost oznamovatele nesmí být sdělena bez jeho souhlasu nikomu kromě zákonem stanovených výjimek. Porušení tohoto zákazu je samostatným přestupkem.

Jaké jsou sankce za porušení?

Kontrolní pravomoc si podle § 22 dělí Ministerstvo spravedlnosti a orgány inspekce práce podle typu povinnosti a subjektu. Sazby pokut jsou odstupňované podle závažnosti a subjektu (§ 23–26):

Zdroj: zákon č. 171/2023 Sb., § 23 až § 26. Platí pro rok 2026.

Nejde jen o pokutu: vadně nastavený systém oslabuje pozici firmy v případném pracovněprávním sporu, protože při obráceném důkazním břemenu je obtížné prokázat, že výpověď nebo snížení odměny nesouvisely s oznámením.

Co má obsahovat vnitřní směrnice?

Zákon výslovně nepřikazuje mít písemnou směrnici, ale v praxi je nezbytná — bez ní zaměstnavatel neprokáže, že systém funguje. Dobrá směrnice o whistleblowingu by měla obsahovat:

1. Vymezení působnosti — na koho a na jaká oznámení se vztahuje (výčet oblastí podle § 2); také zda povinný subjekt vyloučil přijímání oznámení od osob mimo okruh podle § 9 odst. 2 písm. a).
2. Označení příslušné osoby a její kontaktní údaje, včetně zástupu při nepřítomnosti.
3. Kanály pro podání oznámení (e-mail, telefon, formulář, osobní schůzka) a jejich zabezpečení.
4. Postup a lhůty — potvrzení do 7 dnů, vyrozumění do 30/90 dnů, způsob prodloužení.
5. Pravidla ochrany totožnosti a mlčenlivosti, přístupová oprávnění.
6. Zákaz odvetných opatření a popis ochrany oznamovatele i osob s ním spojených.
7. Vedení evidence a uchování dokumentace po dobu 5 let.
8. Odkaz na externí systém Ministerstva spravedlnosti a možnost uveřejnění.

Časté chyby

• Záměna s GDPR schránkou nebo etickou linkou. Obecná anonymní linka nesplňuje požadavky na zabezpečení přístupu a lhůty podle zákona 171/2023.
• Přístup více lidí k oznámením. K obsahu a totožnosti smí mít přístup jen příslušná osoba; sdílený personální e-mail je porušením § 9.
• Nedodržení lhůty 7 dnů. Potvrzení přijetí se často zapomíná; přitom je snadno prokazatelné a kontrolovatelné.
• Ignorování dohodářů a uchazečů. Ochrana se vztahuje i na osoby v jednání o zaměstnání, stážisty, OSVČ-dodavatele a bývalé zaměstnance.
• Automatické odmítání anonymních oznámení. Zákon neukládá anonymní oznámení řešit, ale pokud se totožnost anonyma později odhalí, ochrana před odvetou platí zpětně.
• Chybějící evidence. Bez řádné evidence a uchování 5 let nelze prokázat dodržení postupu — a hrozí samostatný přestupek.
• Odveta „na oko z jiného důvodu". Kvůli obrácenému důkaznímu břemenu musí zaměstnavatel doložit, že personální krok nesouvisel s oznámením.

Shrnutí

Zákon č. 171/2023 Sb. platí od 1. 8. 2023 a ukládá zaměstnavatelům s 50 a více zaměstnanci (a bez ohledu na počet vybraným regulovaným subjektům) zavést vnitřní oznamovací systém, určit nezávislou příslušnou osobu, dodržet lhůty 7 dnů na potvrzení a 30 (max. 90) dnů na vyrozumění, chránit totožnost oznamovatele, nečinit odvetná opatření a vést evidenci s uchováním 5 let. Za porušení hrozí pokuty až do 1 000 000 Kč a zhoršená pozice ve sporech díky obrácenému důkaznímu břemenu. Nejlevnější cestou je funkční směrnice, řádně obsazená příslušná osoba a poctivé dodržování lhůt — nikoli formální systém „do šuplíku".

Často kladené otázky

Musí mít malá firma s méně než 50 zaměstnanci oznamovací systém?

Zpravidla ne. Povinnost zavést vnitřní oznamovací systém dopadá až na zaměstnavatele s 50 a více zaměstnanci včetně dohodářů a agenturních zaměstnanců k 1. lednu. Výjimkou jsou vybrané regulované subjekty a veřejní zadavatelé podle § 8; u AML povinných osob je třeba ověřit zvláštní předpis.

Do kdy musí zaměstnavatel oznamovatele vyrozumět?

Příslušná osoba musí potvrdit přijetí oznámení do 7 dnů a o výsledku posouzení důvodnosti vyrozumět oznamovatele do 30 dnů ode dne přijetí. Ve skutkově nebo právně náročných případech lze lhůtu dvakrát prodloužit o 30 dnů, tedy nejvýše na 90 dnů celkem.

Co je odvetné opatření a co za něj hrozí?

Odvetné opatření je jednání, které oznamovateli může způsobit v souvislosti s prací újmu — například výpověď, snížení mzdy, odvolání z vedoucí pozice nebo přeložení. Zaměstnavateli za jeho umožnění hrozí pokuta až 1 000 000 Kč a v soudním sporu nese důkazní břemeno, že krok s oznámením nesouvisel.

Kdo může být příslušnou osobou?

Příslušnou osobou může být jen bezúhonná, zletilá a plně svéprávná fyzická osoba, například zaměstnanec nebo externí advokát. Specializovaná firma může provozovat systém, ale sama příslušnou osobou být nemůže. Příslušná osoba musí jednat nestranně a je vázána mlčenlivostí o totožnosti oznamovatele i obsahu oznámení.

Musí zaměstnavatel řešit anonymní oznámení?

Zákon neukládá povinnost zabývat se anonymními oznámeními, ale ani je nezakazuje přijímat. Pokud se však totožnost původně anonymního oznamovatele později odhalí, vztahuje se na něj ochrana před odvetnými opatřeními stejně jako na oznamovatele, který se identifikoval od začátku.

Jak dlouho se musí oznámení uchovávat?

Příslušná osoba vede evidenci přijatých oznámení a uchovává oznámení i související dokumentaci po dobu 5 let ode dne přijetí oznámení (§ 21). Evidence musí být vedena tak, aby k ní měla přístup jen příslušná osoba a byla chráněna totožnost oznamovatele.