1. Kto to jest sygnalista?
W świetle Dyrektywy Parlamentu Europejskiego i Rady (UE) 2019/1937 pojęcie sygnalisty jest bardzo szerokie. Sygnalistą jest osoba, która zgłasza wewnątrz organizacji lub na zewnątrz (organom ścigania lub podmiotom nadzorującym) naruszenia norm prawnych, o których dowiedziała się w związku z wykonywaniem obowiązków zawodowych w zakładzie pracy. Sygnalistą może zostać każdy pracownik w danej organizacji, niezależnie od podstawy prawnej zatrudnienia, a zatem także zleceniobiorca, wykonawca, samozatrudniony, czy nawet stażysta lub wolontariusz. Ponadto sygnalistą może zostać nawet rekrutowany pracownik, który ostatecznie nie zostanie zatrudniony. Nie należy zapominać także o udziałowcach, akcjonariuszach, wspólnikach, członkach rad nadzorczych, a także podwykonawcach.
2. Czy sygnalista otrzymuje wynagrodzenie?
Przepisy nie regulują kwestii wynagrodzenia sygnalisty za przekazane zgłoszenie, także w kontekście zgłoszeń do organów państwa. Każda organizacja, która wdraża system zgłaszania nieprawidłowości, może sama wprowadzić system nagród i zasady ich przyznawania sygnalistom, ale jest to kwestia dobrowolna.
3. Kto podlega ustawie o sygnalistach?
Sprawa jest złożona. Ustawa obowiązuje wszystkie podmioty prawne z sektora prywatnego oraz publicznego. Natomiast nie wszystkie podmioty będą zobowiązane do przyjęcia procedury czy stworzenia kanału do zgłoszeń dla sygnalistów.
Natomiast podmioty zatrudniające co najmniej 50 osób (umowy o pracę, a także umowy cywilnoprawne), będą zobowiązane do:
- przyjęcia procedury zgłoszeń wewnętrznych;
- posiadania kanału do dokonywania tych zgłoszeń;
- podejmowania działań następczych.
Wyjątek stanowić będą urzędy oraz jednostki organizacyjne gminy liczącej mniej niż 10 000 mieszkańców, które nie będą zobowiązane spełnić w/w. obowiązków.
4. Od kiedy będzie obowiązywać ustawa o sygnalistach?
Prace w Polsce nad tą ustawą nadal trwają, jednak zgodnie z Dyrektywą UE prawo to powinno obowiązywać już od 17.12.2023 r. wszystkie podmioty gospodarcze zatrudniające powyżej co najmniej 50 osób.
5. Jak szybko od ogłoszenia ustawy będzie obowiązywać nowe prawo (vacatio legis)?
Projekt ustawy przewiduje, że wejdzie ona w życie po upływie miesiąca od dnia ogłoszenia w Dzienniku Ustaw, natomiast podmioty publiczne i prywatne mają wdrożyć u siebie system zgłoszeń wewnętrznych sygnalistów w ciągu miesiąca od dnia wejścia w życie ustawy. Podsumowując, przedsiębiorstwa będą miały tylko 30 dni na przygotowanie się do nowego prawa.
6. Jakie sankcje grożą za niewdrożenie wymogów dyrektywy o sygnalistach?
Konkretne sankcje za konkretne naruszenia wymogów dyrektywy będzie określało polskie prawo. Dyrektywa o sygnalistach wymaga od krajów członkowskich stosowania skutecznych i odstraszających sankcji za:
- utrudnianie dokonywania zgłoszeń,
- działania odwetowe wobec osób zgłaszających,
- uciążliwe postępowania przeciwko zgłaszającym,
- naruszanie obowiązku zachowania poufności tożsamości osób dokonujących zgłoszenia,
- zgłoszenie lub ujawnienie publiczne nieprawdziwych informacji. Polski ustawodawca przewiduje także sankcje za brak ustanowienia wewnętrznej procedury zgłaszania naruszeń prawa lub ustanowienie procedury z naruszeniem wymogów prawnych w tym zakresie.
7. Jaka jest różnica między systemem anonimowym a poufnym?
Dyrektywa o sygnalistach nie podaje definicji poufności i anonimowości, przez co zdarzają się nieporozumienia. Co do zasady, w systemie poufnym dane sygnalisty (zgłaszającego) są znane upoważnionym osobom (np. operatorom systemu zgłoszeniowego), które obowiązane są do ich ochrony przed dostępem osób nieupoważnionych. Natomiast w systemie anonimowym jego operatorzy nie znają tożsamości zgłaszającego, chyba że sam je ujawni.
8. Jakiego rodzaju przedsiębiorstw to prawo dotyczy?
Ustawa o sygnalistach określa nowe obowiązki dla wszystkich podmiotów gospodarczych zatrudniających co najmniej 50 osób (w tym B2B, umowy cywilnoprawne i inne).
9. Jakiej branży prawo to dotyczy?
Ustawa o sygnalistach dotyczy każdej branży, bez wyjątku.
10. Jak dużych przedsiębiorstw to prawo dotyczy?
Do przestrzegania postanowień ustawy i dyrektywy o sygnalistach są zobowiązane podmioty publiczne i prywatne, przy czym zgodnie z dyrektywą UE:
- do 17 grudnia 2021 r. kanał wewnętrzny do zgłaszania naruszeń prawa oraz stosowną procedurę powinny wprowadzić podmioty prywatne zatrudniające co najmniej 250 pracowników oraz organizacje publiczne zatrudniające co najmniej 50 pracowników;
- do 17 grudnia 2023 r. kanał wewnętrzny do zgłaszania naruszeń prawa oraz stosowną procedurę powinny wprowadzić podmioty prywatne zatrudniające od 50 do 250 pracowników.
Oznacza to, że każda firma zatrudniająca co najmniej 50 osób, będzie zobowiązana do posiadania m.in. wewnętrznego kanału do zgłaszania naruszeń prawa oraz stosownej procedury.
11. Czy jak przedsiębiorstwo ma mniej niż 50 pracowników, to się kwalifikuje?
Formalnie nie, ale jest wiele zalet posiadania kanału do zgłoszeń naruszeń prawa w firmie. Warto się zastanowić nad wdrożeniem tej procedury, pomimo braku nakazu prawnego. Posiadając kanał dla sygnalistów zyskujesz:
- Ochronę reputacji firmy
dzięki wewnętrznemu kanałowi dla sygnalistów, ewentualne naruszenia mogą być zgłaszane i rozpatrywane wewnętrznie, zamiast stawać się przedmiotem publicznego skandalu.
- Zmniejszenie ryzyka finansowego
wczesne wykrywanie i rozwiązywanie problemów mogą pomóc firmie uniknąć potencjalnie kosztownych pozwów sądowych, kar czy innych sankcji finansowych.
- Zmniejszenie ryzyka ujawnień publicznych
jeśli pracownik ma dostęp do wewnętrznego kanału zgłoszeń i wierzy w jego skuteczność, jest mniej prawdopodobne, aby uciekał się do ujawnień publicznych.
- Poprawę jakości zarządzania
systematyczne zbieranie informacji o potencjalnych naruszeniach pozwala kierownictwu na lepsze zrozumienie działania organizacji oraz identyfikację obszarów wymagających poprawy
12. Czy przedsiębiorstwo musi mieć osobną procedurę do obsługi kanału dla sygnalistów?
Tak, zgodnie z prawem każde przedsiębiorstwo będzie musiało posiadać osobną procedurę do obsługi kanału dla sygnalistów.
13. Kto to jest administrator/koordynator kanału dla sygnalistów?
Koordynator to osoba wewnątrz firmy odpowiedzialna za przyjmowanie zgłoszeń i prowadzenie działań następczych.
14. Czy firma będzie musiała prowadzić rejestr zgłoszeń?
Każdy pracodawca, który wdroży system whistleblowingowy, będzie również zobowiązany do prowadzenia rejestru zgłoszeń. W nim znajdować się powinny co najmniej informacje o dacie wpływu zgłoszenia, przedmiocie naruszenia, podjętych działaniach następczych oraz data zakończenia sprawy. Dane w takim rejestrze powinny być przechowywane przez pięć lat od dnia przyjęcia zgłoszenia.
15. Czy można zatrudnić zewnętrzną firmę do tego, aby zajmowała się przetwarzaniem danych osobowych? Kto będzie wówczas administratorem danych osobowych?
Prawne regulacje w przedmiocie danych osobowych nie stoją na przeszkodzie, aby pracodawca (administrator danych) mógł korzystać z usług zewnętrznych dostawców infrastruktury whistleblowingowej. W zależności od konkretnych okoliczności w takiej sytuacji podmiot trzeci będzie przetwarzać dane jako tzw. podmiot przetwarzający (na podstawie umowy powierzenia przetwarzania danych) bądź jako osobny administrator.
16. Co powinna zawierać procedura zgłoszeń wewnętrznych?
Jednym z nowych obowiązków, oprócz posiadania kanału do zgłoszeń naruszeń prawa, będzie wdrożenie w organizacji procedury zgłoszeń wewnętrznych i podejmowania działań następczych. To z procedury zgłoszeń wewnętrznych, wynikać będzie w jaki sposób dokonywane mogą być zgłoszenia oraz w jaki sposób będą rozpatrywane.
Zgodnie z art. 25 projektu ustawy o ochronie osób zgłaszających naruszenia prawa, Procedura zgłoszeń wewnętrznych określa:
1) wewnętrzną jednostkę organizacyjną lub osobę w ramach struktury organizacyjnej podmiotu prawnego lub podmiot zewnętrzny, upoważnione do przyjmowania zgłoszeń;
2) sposoby przekazywania zgłoszeń przez zgłaszającego wraz z jego adresem korespondencyjnym lub adresem poczty elektronicznej, zwanych dalej „adresem do kontaktu”;
3) bezstronną, wewnętrzną jednostkę organizacyjną lub osobę w ramach struktury organizacyjnej podmiotu prawnego, upoważnione do podejmowania działań następczych, włączając w to weryfikację zgłoszenia i dalszą komunikację ze zgłaszającym, w tym występowanie o dodatkowe informacje i przekazywanie zgłaszającemu informacji zwrotnej; rolę tę może pełnić wewnętrzna jednostka organizacyjna lub osoba, o których mowa w pkt 1, jeżeli zapewniają bezstronność;
4) obowiązek potwierdzenia zgłaszającemu przyjęcia zgłoszenia w terminie 7 dni od dnia jego otrzymania, chyba że zgłaszający nie podał adresu do kontaktu, na który należy przekazać potwierdzenie;
5) obowiązek podjęcia, z zachowaniem należytej staranności, działań następczych przez jednostkę organizacyjną lub osobę, o których mowa w pkt 3;
6) maksymalny termin na przekazanie zgłaszającemu informacji zwrotnej, nieprzekraczający 3 miesięcy od potwierdzenia przyjęcia zgłoszenia lub, w przypadku nieprzekazania potwierdzenia, o którym mowa w pkt 4, 3 miesięcy od upływu 7 dni od dnia dokonania zgłoszenia, chyba że zgłaszający nie podał adresu do kontaktu, na który należy przekazać informację zwrotną;
7) zrozumiałe i łatwo dostępne informacje na temat dokonywania zgłoszeń zewnętrznych do Rzecznika Praw Obywatelskich albo organów publicznych oraz, w stosownych przypadkach, do instytucji, organów lub jednostek organizacyjnych Unii Europejskiej.
Dodatkowo procedura zgłoszeń wewnętrznych może dodatkowo objąć w szczególności:
1) wskazanie naruszeń, przepisów wewnętrznych obowiązujących w organizacji (o ile procedura ma jej objąć);
2) wskazanie czynników ryzyka odpowiadających profilowi prowadzonej działalności, sprzyjających możliwości wystąpienia określonych naruszeń prawa związanych w szczególności z naruszeniem obowiązków regulacyjnych, innych obowiązków określonych w przepisach prawa lub ryzykiem korupcji;
3) informację, że zgłoszenie może w każdym przypadku nastąpić również do Rzecznika Praw Obywatelskich albo organu publicznego z pominięciem procedury zgłoszeń wewnętrznych;
4) określenie systemu zachęt do korzystania z procedury zgłoszeń wewnętrznych, w przypadku gdy naruszeniu prawa można skutecznie zaradzić w ramach struktury organizacyjnej podmiotu prawnego, a osoba dokonująca zgłoszenia uważa, że nie zachodzi ryzyko działań odwetowych.
Jak widać przygotowanie regulaminu zgłoszeń wewnętrznych wymaga głębszego namysłu. Regulamin powinien przecież być dopasowany do profilu i specyfiki podmiotu w którym ma obowiązywać. Trzeba w szczególności ustalić kto ma przyjmować zgłoszenia, a także kto i na jakich zasadach będzie zajmować się działaniami następczymi. No i oczywiście należy uwzględnić preferowany sposób w jaki dokonywane będą zgłoszenia oraz prowadzona komunikacja z sygnalistą danej organizacji.