Opis
problemu

Czym jest ustawa o ochronie sygnalistów i kogo dotyczy

Ustawa z dnia 14 czerwca 2024 r. o ochronie sygnalistów wdraża do polskiego porządku prawnego dyrektywę Parlamentu Europejskiego i Rady (UE) 2019/1937 w sprawie ochrony osób zgłaszających naruszenia prawa Unii. Weszła w życie 25 września 2024 r. i nałożyła na wiele podmiotów – zarówno prywatnych, jak i publicznych – obowiązek wdrożenia wewnętrznej procedury zgłaszania naruszeń prawa oraz ochrony osób dokonujących zgłoszeń (sygnalistów).

Najczęściej zadawane pytanie brzmi: kto musi wdrożyć procedurę zgłaszania naruszeń? Obowiązek ten dotyczy podmiotów prawnych, na rzecz których wykonuje pracę zarobkową co najmniej 50 osób (co do zasady liczonych na dzień 1 stycznia lub 1 lipca danego roku), niezależnie od podstawy zatrudnienia. Próg ten nie ma zastosowania do niektórych podmiotów działających w obszarach szczególnie wrażliwych (np. usługi, produkty i rynki finansowe, przeciwdziałanie praniu pieniędzy, bezpieczeństwo transportu, ochrona środowiska) – tam obowiązek istnieje niezależnie od liczby zatrudnionych.

Kim jest sygnalista w rozumieniu ustawy

Sygnalistą jest osoba fizyczna, która zgłasza lub ujawnia publicznie informację o naruszeniu prawa uzyskaną w kontekście związanym z pracą – niezależnie od tego, czy jest to pracownik etatowy, zleceniobiorca, samozatrudniony, praktykant, wolontariusz, były pracownik czy nawet kandydat do pracy, jeśli informację o naruszeniu powziął w toku rekrutacji. Ustawa chroni zgłaszającego przed działaniami odwetowymi – rozwiązaniem umowy, obniżeniem wynagrodzenia, mobbingiem, negatywną oceną czy pominięciem przy awansie – pod warunkiem, że zgłoszenie dotyczyło jednego z obszarów wskazanych w ustawie (m.in. zamówienia publiczne, usługi i produkty finansowe, przeciwdziałanie praniu pieniędzy, bezpieczeństwo produktów, ochrona środowiska, zdrowie publiczne, ochrona konsumentów, ochrona prywatności i danych osobowych, interesy finansowe Skarbu Państwa) lub – w wersji rozszerzonej przyjętej przez pracodawcę – innych naruszeń prawa lub regulacji wewnętrznych.

Jakie kanały zgłoszeń przewiduje ustawa

Ustawa wyróżnia trzy ścieżki zgłoszeń:

1. Zgłoszenie wewnętrzne – do wyznaczonej w organizacji jednostki lub osoby, za pośrednictwem kanału zapewniającego poufność (np. dedykowana skrzynka mailowa, platforma online, linia telefoniczna, możliwość zgłoszenia ustnego lub osobistego na wniosek zgłaszającego).
2. Zgłoszenie zewnętrzne – do Rzecznika Praw Obywatelskich lub innego właściwego organu publicznego, gdy zgłoszenie wewnętrzne nie przyniosło rezultatu, sygnalista ma uzasadnione podstawy sądzić, że zgłoszenie wewnętrzne mogłoby być nieskuteczne, albo istnieje ryzyko działań odwetowych.
3. Ujawnienie publiczne – jako środek ostateczny, stosowany po spełnieniu dodatkowych przesłanek ustawowych (np. brak reakcji na zgłoszenie zewnętrzne w ustawowym terminie, bezpośrednie i oczywiste zagrożenie dla interesu publicznego).

Jaką dokumentację sygnalistów musi przygotować pracodawca

To kluczowe pytanie z perspektywy wdrożeniowej. Podstawowy komplet dokumentów obejmuje:

• Procedurę zgłoszeń wewnętrznych – dokument opisujący sposób przyjmowania zgłoszeń, podmiot odpowiedzialny za ich rozpatrywanie, terminy (potwierdzenie przyjęcia zgłoszenia w terminie 7 dni, informacja zwrotna w terminie nieprzekraczającym 3 miesięcy), środki ochrony poufności i zasady postępowania wyjaśniającego.
• Rejestr zgłoszeń wewnętrznych – prowadzony w sposób zapewniający poufność danych zgłaszającego, osoby, której zarzucane jest naruszenie, oraz osób trzecich wskazanych w zgłoszeniu.
• Klauzule informacyjne RODO dla sygnalistów i osób, których dotyczy zgłoszenie – ponieważ przetwarzanie danych w ramach procedury zgłoszeń to odrębny proces przetwarzania danych osobowych, wymagający własnej podstawy prawnej, informacji dla osób oraz uwzględnienia w rejestrze czynności przetwarzania.
• Analizę ryzyka / ocenę skutków dla ochrony danych (DPIA) – rekomendowaną, biorąc pod uwagę charakter danych (często dane o podejrzeniu naruszeń, czasem dane szczególnych kategorii) oraz ryzyko dla osób trzecich.
• Regulamin postępowania wyjaśniającego – w tym zasady bezstronności, wyłączenia osób powiązanych z przedmiotem zgłoszenia, dokumentowania czynności.
• Konsultacje z przedstawicielami pracowników – ustawa wymaga, aby procedurę zgłoszeń wewnętrznych ustalić w porozumieniu z zakładową organizacją związkową lub – w razie jej braku – po konsultacji z przedstawicielami pracowników wyłonionymi w trybie przyjętym u danego pracodawcy.

Jakie kary grożą za brak procedury zgłoszeń lub utrudnianie zgłoszeń

Ustawa przewiduje odpowiedzialność karną m.in. za: niewdrożenie procedury zgłoszeń wewnętrznych mimo takiego obowiązku, utrudnianie dokonania zgłoszenia, podejmowanie działań odwetowych wobec sygnalisty, naruszenie obowiązku zachowania poufności tożsamości zgłaszającego, a także za dokonanie zgłoszenia lub ujawnienia publicznego ze świadomością nieprawdziwości informacji. Sankcje obejmują grzywnę, karę ograniczenia wolności albo pozbawienia wolności, w zależności od czynu – co czyni ten obszar jednym z bardziej dotkliwych pod względem odpowiedzialności indywidualnej osób zarządzających.

Jak wygląda wdrożenie systemu ochrony sygnalistów w praktyce

1. Analiza obowiązku i zakresu podmiotowego (liczba zatrudnionych, branża, ewentualne obowiązki sektorowe).
2. Wybór i konfiguracja kanału zgłoszeń (wewnętrzny system IT, zewnętrzny operator, linia telefoniczna).
3. Przygotowanie procedury zgłoszeń wewnętrznych i towarzyszącej dokumentacji RODO.
4. Konsultacje z reprezentacją pracowników i formalne przyjęcie procedury (np. w drodze zarządzenia lub regulaminu).
5. Wyznaczenie osoby lub jednostki odpowiedzialnej za przyjmowanie i rozpatrywanie zgłoszeń, z zapewnieniem jej niezależności i bezstronności.
6. Szkolenie kadry zarządzającej i osób obsługujących zgłoszenia.
7. Wdrożenie i bieżący nadzór, w tym cykliczny przegląd procedury.

Podsumowanie

Dokumentacja sygnalistów to nie tylko obowiązek formalny, ale realne narzędzie zarządzania ryzykiem compliance – dobrze wdrożony system zgłoszeń wewnętrznych pozwala wykryć i wyeliminować nieprawidłowości, zanim staną się przedmiotem zgłoszenia zewnętrznego lub ujawnienia publicznego. Firmy zatrudniające 50 i więcej osób, a także podmioty działające w sektorach szczególnie regulowanych, powinny zweryfikować, czy ich procedura zgłoszeń spełnia aktualne wymogi ustawowe.

Potrzebujesz wdrożenia lub weryfikacji procedury zgłoszeń wewnętrznych zgodnej z ustawą o ochronie sygnalistów? Zapraszam do kontaktu w celu ustalenia zakresu współpracy.