W dniu 12 kwietnia 2022 roku Ministerstwo Rodziny i Polityki Społecznej opublikowało nowy projekt ustawy o ochronie osób zgłaszających naruszenia prawa („Ustawa o sygnalistach”), w którym autorzy odnieśli się częściowo do postulatów zgłoszonych w procedurze uzgodnień i konsultacji publicznych.

Poniżej przedstawiamy podsumowanie najważniejszych zmian w stosunku do projektu z października 2021 roku, o którym pisaliśmy m.in. tutaj.

Sygnalista na nowo

Podążając za wzorem implementowanej dyrektywy Parlamentu Europejskiego i Rady (UE) 2019/1937 z dnia 23 października 2019 r. w sprawie ochrony osób zgłaszających naruszenia prawa Unii („Dyrektywa”), autorzy projektu ustawy zrezygnowali z definiowania sygnalisty jako osoby pozostającej przede wszystkim w relacji pracodawca-pracownik w rozumieniu przepisów polskiego prawa pracy.

Nowa definicja sygnalisty nie różnicuje form świadczonej pracy, czy też natury stosunku prawnego łączącego sygnalistę z podmiotem prawnym, w którym doszło do nieprawidłowości, jeżeli sygnalista dowiedział się o tej nieprawidłowości w rozumianym szeroko kontekście związanym z pracą (świadczeniem usług, pełnieniem funkcji).

Zmiana nie ma charakteru wyłącznie redakcyjnego, a niesie ze sobą istotne konsekwencje w zakresie sytuacji prawnej sygnalistów i ich dostępu do wewnątrzorganizacyjnych narzędzi służących zgłaszaniu naruszeń, o czym szerzej poniżej.

Zgłoszenia anonimowe poza zakresem ochrony ustawy

Dyrektywa o sygnalistach pozostawiła państwom członkowskim wybór w zakresie objęcia ochroną sygnalistów, którzy anonimowo zgłaszają naruszenia prawa. Poprzedni projekt Ustawy o sygnalistach delegował tę kwestię dalej, poddając ją indywidualnej decyzji poszczególnych podmiotów wdrażających procedury zgłaszania nieprawidłowości.

W obecnym brzmieniu projektodawca zdecydował się na całkowite wyłączenie zgłoszeń anonimowych spod reżimu Ustawy o sygnalistach. Oznacza to, że zarówno podmioty prywatne, jak i organy publiczne obsługujące kanały zgłaszania naruszeń, będą mogły pozostawiać zgłoszenia anonimowe bez rozpatrzenia. Zwracamy jednak uwagę, że jeśli tożsamość sygnalisty, który pierwotnie działał anonimowo, zostanie następnie ujawniona, to od tego momentu powinien on być traktowany na równi z innymi sygnalistami co najmniej w zakresie ochrony przed działaniami odwetowymi z tytułu dokonanego zgłoszenia i przysługiwać mu będą analogiczne roszczenia z tytułu ewentualnej szkody doznanej w związku ze zgłoszeniem.

Zmiany dotyczące zakazu działań odwetowych

W Ustawie o sygnalistach szerzej i bardziej precyzyjne opisany został przewidziany Dyrektywą zakaz działań odwetowych wobec sygnalisty. Wciąż minimalne wymogi wynikają z Dyrektywy, a pracodawcy mogą ten katalog rozszerzyć, np. o mobbing, dyskryminację, molestowanie czy molestowanie seksualne. W obecnym brzmieniu Ustawy o sygnalistach opisano, między innymi, zakaz działań polegających na jakimkolwiek przymusie, zastraszaniu lub wykluczeniu, czy też zakaz wyrządzenia „innej szkody niematerialnej”, w tym nadszarpnięcia reputacji, zwłaszcza w mediach społecznościowych. Jako działania odwetowe mają być zakwalifikowane również próby lub groźby zastosowania takich działań.

Należy w tym miejscu zauważyć, że zakaz takich działań dało się wywieść już wcześniej z brzmienia samej Dyrektywy, lecz autorzy projektu polskiej ustawy zdecydowali się to doprecyzować.

Dokonanie zgłoszenia nie będzie mogło stanowić podstawy do:

• wypowiedzenia, odstąpienia lub rozwiązania bez wypowiedzenia umowy, której stroną jest sygnalista, w szczególności dotyczącej sprzedaży lub dostawy towarów lub usług,
• nałożenia obowiązku bądź odmowy przyznania, ograniczenia lub odebrania uprawnienia w szczególności koncesji, zezwolenia lub ulgi, chyba, że osoba dokonująca takich działań udowodni, że kierowała się obiektywnymi i należycie uzasadnionymi powodami.

Nowy projekt Ustawy o sygnalistach zmienił zasady dotyczące odpowiedzialności cywilnej w związku z ewentualnymi działaniami odwetowymi. Na jej gruncie sygnalista będzie mógł dochodzić odszkodowania od pracodawcy lub drugiej strony stosunku prawnego za działania odwetowe w pełnej wysokości. Z kolei, gdy to sygnalista świadomie zgłosi nieprawdziwe informacje – poszkodowany takim działaniem będzie mógł dochodzić od sygnalisty odszkodowania w wysokości co najmniej przeciętnego wynagrodzenia w sektorze przedsiębiorstw, obowiązującego w dniu dokonania zgłoszenia lub ujawnienia publicznego.

Zgłoszenia wewnętrzne na nowo

W nowym projekcie Ustawy o sygnalistach w przepisach dotyczących procedury wewnętrznej (w poprzedniej wersji regulamin zgłoszeń wewnętrznych) wprowadzono następujące zmiany:

• zrezygnowano z uwzględniania w treści procedury wewnętrznej działań następczych przyjmowanych w celu zweryfikowania informacji o naruszeniach prawa oraz środków jakie mogą zostać zastosowane w przypadku stwierdzenia naruszenia prawa;
• zrezygnowanego z dobrowolnego wskazania rodzajów naruszeń prawa, odnośnie do których pracodawca zachęcałby do ich zgłaszania w pierwszej kolejności do pracodawcy;
• wskazano, że procedura może zawierać (fakultatywne) ustanowienie systemu zachęt do korzystania z procedury wewnętrznej.

Zmienione zostały również sposoby przyjmowania zgłoszeń. Zgodnie z obecnym projektem będzie można wybrać sposób ustny, w postaci papierowej lub elektronicznej.

Doprecyzowano reguły dotyczące sposobów dokonywania zgłoszenia telefonicznego lub ustnego.

Zgłoszenie telefoniczne ma być dokumentowane w formie:

• nagrania rozmowy umożliwiającego jej wyszukanie albo
• kompletnej i dokładnej transkrypcji przygotowanej przez jednostkę, osobę lub podmiot odpowiedzialną za przyjmowanie zgłoszeń.

Zgłoszenie ustne i dokonane za pomocą nienagrywanej linii telefonicznej dokumentowane ma być zaś z wykorzystaniem dokładnego protokołu rozmowy przez jednostkę, osobę lub podmiot odpowiedzialny za przyjmowanie zgłoszeń. Zgłaszający ma prawo do sprawdzenia poprawienia i zatwierdzenia transkrypcji lub protokołu rozmowy przez ich podpisanie.

Bezpośrednie spotkania (na żądanie sygnalisty) za zgodą zgłaszającego powinno być dokumentowane w formie: nagrania lub protokołu.

Obowiązek wdrożenia procedury wewnętrznej będzie dotyczyć podmiotów prywatnych, na rzecz których świadczy pracę co najmniej 250 osób. Można mieć wątpliwości czy taka definicja obejmuje wyłącznie „tradycyjnych” pracowników (zatrudnionych na podstawie umowy o pracę) czy też obejmuje pracowników tymczasowych oraz osoby na umowach cywilnoprawnych. Należy w tym miejscu zwrócić uwagę, że uzasadnienie do Ustawy o sygnalistach wprost posługuje się terminem „pracownik”, a zatem zdaje się zawężać tę definicję – będzie to wymagało niewątpliwie doprecyzowania na dalszym etapie prac legislacyjnych.

Ustawa o sygnalistach określa konkretny termin na konsultacje procedury wewnętrznej – mają one trwać pomiędzy 7 a 14 dni.

Ochrona danych w związku ze zgłoszeniami wewnętrznymi

Nowy projekt Ustawy o sygnalistach reguluje w sposób bardziej szczegółowy kwestię ochrony danych osobowych osoby zgłaszającej naruszenie. Zgodnie z nowym brzmieniem przepisów dane osobowe oraz inne informacje pozwalające na ustalenie tożsamości zgłaszającego będą podlegały ujawnieniu tylko, gdy tak wskaże zgłaszający. Należy jednak podkreślić, że konieczność zachowania tożsamości sygnalisty w poufności nie będzie miała charakteru absolutnego.

Nowe przepisy przewidują odstępstwo od konieczności zachowania poufności tożsamości sygnalisty, gdy takie ujawnienie jest koniecznym i proporcjonalnym obowiązkiem wynikającym z prawa Unii lub prawa krajowego w kontekście prowadzonych przez organy krajowe postępowań wyjaśniających lub postępowań sądowych, w tym w celu zagwarantowania prawa do obrony przysługującego osobie, której dotyczy zgłoszenie. Jako jeden z argumentów przemawiających za takim rozwiązaniem jest fakt, iż osoba, przeciwko której postawiono zarzut, powinna również być chroniona. W związku z zarzucanymi jej czynami pojawia się bowiem ryzyko stygmatyzacji danej osoby.

Warto podkreślić, iż ujawnienie tożsamości sygnalisty obwarowane jest licznymi zabezpieczeniami, w szczególności koniecznością pisemnego lub elektronicznego powiadomienia o planowanym ujawnieniu jego tożsamości wraz z wyjaśnieniem powodów takiej decyzji, chyba że takie powiadomienie mogłoby zagrozić powiązanemu postępowaniu wyjaśniającemu lub postępowaniu sądowemu.

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) („RODO”), obejmuje swoim zakresem zastosowania dane osobowe objęte Ustawą o sygnalistach. W związku z powyższym podmiot prawny, Rzecznik Praw Obywatelskich lub organ publiczny, przetwarzający dane w oparciu o przesłankę art. 6 ust. 1 lit. e RODO będą przetwarzać dane tylko w zakresie niezbędnym do realizacji celów ustawy, a dane osobowe nieistotne z punktu widzenia analizy zgłoszenia nie powinny być zbierane lub w przypadku ich pozyskania- powinny być niezwłocznie usunięte.

Nowy projekt Ustawy o sygnalistach przewiduję pewne odstępstwa od obowiązku informacyjnego uregulowanego przepisami RODO. Co do zasady, ustawodawca przewiduje dłuższy termin poinformowania osoby, której dane dotyczą o źródle pozyskania jej danych osobowych tj. nie później niż w ciągu 3 miesięcy od dnia zakończenia działań następczych, o ile przekazanie informacji o źródle danych nie będzie stało w sprzeczności z zasadami ochrony danych osobowych osoby będącej źródłem tej informacji.

Nowy projekt wprowadza również ustawowy termin retencji danych. Dane osobowe przetwarzane w związku z przyjęciem zgłoszenia przez Rzecznika Praw Obywatelskich będą przechowywane przez okres:

• 12 miesięcy od dnia przekazania zgłoszenia do organu publicznego właściwego do podjęcia działań następczych,
• natomiast dane osobowe przetwarzane w związku z przyjęciem zgłoszenia oraz podjęciem działań następczych przez podmiot prawny oraz organ publiczny będą przechowywane nie dłużej niż przez okres 15 miesięcy od dnia zakończenia działań następczych.

W nowym projekcie wciąż brakuje natomiast szerszego spojrzenia na ochronę danych osobowych wszystkich stron procesu – np. brak jest rozwiązań zabezpieczających prawa osoby, której zarzuca się naruszenie, czy zabezpieczających danych świadków. Projekt nie odpowiada też na pytanie, jak realizować prawa osób, których dane dotyczą, a zostały pozyskane w procedurze ochrony sygnalistów.

Dostosowane sankcje karne

Istotną zmianą dla przedsiębiorców jest złagodzenie sankcji karnych za naruszenia przepisów Ustawy o sygnalistach i ich zróżnicowanie odpowiednio do wagi danego naruszenia.

W miejsce dotychczasowej, jednolitej kary pozbawienia wolności do lat 3, Ustawa o sygnalistach przewiduje następujące zagrożenie karne dla poszczególnych typów przestępstw:

• utrudnianie zgłoszenia sygnaliście – kara grzywny albo ograniczenia wolności;
• utrudnianie zgłoszenia sygnaliście z wykorzystaniem przemocy, groźby lub podstępu – kara grzywny, ograniczenia wolności albo pozbawienia wolności do lat 2;
• podjęcie jednorazowego działania odwetowego przeciwko sygnaliście, osobie z nim powiązanej lub pomagającej w dokonaniu zgłoszenia – kara grzywny, ograniczenia wolności albo pozbawienia wolności do lat 2;
• podjęcie dwóch lub więcej działań odwetowych – kara pozbawienia wolności do lat 3;
• naruszenie obowiązku zachowania w poufności tożsamości sygnalisty, osoby z nim powiązanej lub pomagającej w dokonaniu zgłoszenia – kara grzywny, ograniczenia wolności albo pozbawienia wolności do roku;
• świadome dokonanie fałszywego zgłoszenia – kara grzywny, ograniczenia wolności albo pozbawienia wolności do lat 3;
• zaniechanie ustanowienia lub ustanowienie wadliwej procedury zgłoszeń wewnętrznych – kara grzywny.

Inne istotne zmiany

Oprócz zmian o charakterze systemowym, autorzy projektu wprowadzili do Ustawy o sygnalistach nowe rozwiązania „punktowe”, stanowiące, jak można przypuszczać, odpowiedź na wątpliwości wyrażone w toku konsultacji publicznych. Jako najważniejsze z nich wskazać należy:

• Doprecyzowanie rozróżnienia podmiotów prywatnych i publicznych, które w różnym zakresie związane są obowiązkami dotyczącymi tworzenia wewnętrznych kanałów zgłoszeniowych. Zgodnie z nowym brzmieniem Ustawy o sygnalistach, podmiotami publicznymi są podmioty odpowiadające definicji podmiotu zobowiązanego (podmiotu sektora publicznego) w rozumieniu art. 3 ustawy o otwartych danych i ponownym wykorzystywaniu informacji sektora publicznego.
• Doprecyzowanie, że do nieprawidłowości stanowiących podstawę zgłoszenia należą, obok bezprawnych działań dotyczących interesów finansowych Unii Europejskiej, także analogiczne naruszenia godzące w interesy finansowe Skarbu Państwa.
• Wyraźne wskazanie, że tożsamość sygnalisty może być ujawniona bez jego zgody – a ewentualnie po jego pisemnym uprzedzeniu – gdy jest to konieczne w postępowaniu przygotowawczym lub sądowym, w szczególności, gdy wymagają tego względy prawa do obrony osoby, której dotyczyło zgłoszenie.

Więcej czasu na przygotowanie organizacji

Zgodnie z postulatami przedstawicieli sektora prywatnego i publicznego opiniujących projekt, wydłużeniu uległ okres przejściowy, w którym podmioty te będą miały możliwość przygotować organizację na wymogi Ustawy o sygnalistach.

W przypadku obowiązku przyjęcia procedury wewnętrznej przez:

• podmioty prywatne, na rzecz których świadczy pracę co najmniej 250 osób;
• podmioty prywatne prowadzące działalność w zakresie usług, produktów i rynków finansowych oraz przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu, bezpieczeństwa transportu i ochrony środowiska zgodnie z wykazem zawartym w Dyrektywie o sygnalistach – niezależnie od skali zatrudnienia;
• podmioty publiczne – niezależnie od skali zatrudnienia,
• podmioty te będą miały łącznie 3 miesiące na wdrożenie właściwych rozwiązań zgodnie z trybem przewidzianym w ustawie.

Aktualny pozostaje natomiast termin 17 grudnia 2023 roku na przyjęcie analogicznych procedur przez mniejsze podmioty prywatne, zatrudniające od 50 do 249 osób.