24 czerwca 2024 r. w Dzienniku Ustaw opublikowano ustawę o ochronie sygnalistów („Ustawa o sygnalistach”), co oznacza, że 25 września 2024 r. większość jej przepisów wejdzie w życie.

Poniżej przedstawiamy podsumowanie nowych przepisów wprowadzanych przez ustawę do polskiego systemu prawnego, które z punktu widzenia pracodawców są najistotniejsze.

Definicja sygnalisty

Podążając za wzorem implementowanej dyrektywy Parlamentu Europejskiego i Rady (UE) 2019/1937 z 23 października 2019 r. w sprawie ochrony osób zgłaszających naruszenia prawa Unii („Dyrektywa”), ustawodawca nie różnicuje form świadczonej pracy, czy też natury stosunku prawnego łączącego sygnalistę z podmiotem prawnym, w którym doszło do nieprawidłowości, jeżeli sygnalista dowiedział się o tej nieprawidłowości w rozumianym szeroko kontekście związanym z pracą (świadczeniem usług, pełnieniem funkcji).

Taka definicja nie ma charakteru wyłącznie redakcyjnego, a niesie ze sobą istotne konsekwencje w zakresie sytuacji prawnej sygnalistów i ich dostępu do wewnątrzorganizacyjnych narzędzi służących zgłaszaniu naruszeń, o czym szerzej poniżej.

Ponadto, sygnalistą może być również osoba fizyczna, która dowiedziała się o nieprawidłowości w kontekście związanym z pracą przed nawiązaniem stosunku pracy (lub innego stosunku prawnego), a także po ustaniu tego stosunku, co oznacza że przepisy ustawy należy stosować również zarówno wobec kandydatów do pracy w danym podmiocie prawnym, jak i wobec byłych pracowników / współpracowników podmiotu prawnego.

Przedmiot zgłoszenia sygnalisty

Dyrektywa o sygnalistach zobligowała państwa członkowskie do uwzględnienia w lokalnych przepisach implementujących prawo Unii Europejskiej pewnych dziedzin prawa i życia społecznego, których może dotyczyć zgłoszenie sygnalisty, pozostawiając jednak państwom członkowskim dowolność w kwestii ewentualnego rozszerzenia tego katalogu. Unijna regulacja wymieniła dziesięć takich dziedzin:

1. zamówienia publiczne;
2. usługi, produkty i rynki finansowe oraz zapobieganie praniu pieniędzy i finansowaniu terroryzmu;
3. bezpieczeństwo produktów i ich zgodność z wymogami;
4. bezpieczeństwo transportu;
5. ochrona środowiska;
6. ochrona radiologiczna i bezpieczeństwo jądrowe;
7. bezpieczeństwo żywności i pasz, zdrowie i dobrostan zwierząt;
8. zdrowie publiczne;
9. ochrona konsumentów;
10. ochrona prywatności i danych osobowych oraz bezpieczeństwo sieci i systemów informacyjnych;

Z kolei polski ustawodawca zdecydował się rozszerzyć ten katalog o cztery dodatkowe dziedziny, którymi są:

1. korupcja;
2. interesy finansowe Skarbu Państwa Rzeczypospolitej Polskiej, jednostki samorządu terytorialnego oraz Unii Europejskiej;
3. rynek wewnętrzny Unii Europejskiej, w tym publicznoprawne zasady konkurencji i pomocy państwa oraz opodatkowania osób prawnych;
4. konstytucyjne wolności i prawa człowieka i obywatela – występujące w stosunkach jednostki z organami władzy publicznej i niezwiązane z innymi wskazanymi dziedzinami.

Zgłoszenia anonimowe

Dyrektywa o sygnalistach pozostawiła państwom członkowskim wybór w zakresie objęcia ochroną sygnalistów, którzy anonimowo zgłaszają naruszenia prawa. Kolejne projekty Ustawy o sygnalistach na przemian zezwalały na taką możliwość, poddając ją indywidualnej decyzji poszczególnych podmiotów wdrażających procedury zgłaszania nieprawidłowości, lub też jej nie dopuszczały.

W ostatecznym brzmieniu ustawodawca zdecydował się na uwzględnienie zgłoszeń anonimowych pod reżimem Ustawy o sygnalistach. Oznacza to, że zarówno podmioty prawne, jak i organy publiczne obsługujące kanały zgłaszania naruszeń, będą mogły w swoich procedurach zgłoszeń wewnętrznych / zewnętrznych ustalić, czy decydują się na przyjmowanie zgłoszeń anonimowych, czy też będą je pozostawiać bez rozpatrzenia. Zwracamy jednak uwagę, że jeśli tożsamość sygnalisty, który pierwotnie działał anonimowo, zostanie następnie ujawniona, to od tego momentu powinien on być traktowany na równi z innymi sygnalistami co najmniej w zakresie ochrony przed działaniami odwetowymi z tytułu dokonanego zgłoszenia i przysługiwać mu będą analogiczne roszczenia z tytułu ewentualnej szkody doznanej w związku ze zgłoszeniem.

Zakaz działań odwetowych

W ustawie o sygnalistach opisany został przewidziany Dyrektywą zakaz działań odwetowych wobec sygnalisty. Minimalne wymogi wynikały z Dyrektywy, a polski ustawodawca ten katalog rozszerzył także np. o mobbing, dyskryminację. Co więcej, pracodawcy mogą także samodzielnie rozszerzyć ten katalog np. o molestowanie czy molestowanie seksualne. W końcowym brzmieniu Ustawy o sygnalistach opisano, między innymi, zakaz działań polegających na jakimkolwiek przymusie, zastraszaniu lub wykluczeniu, czy też zakaz wyrządzenia „innej szkody niematerialnej”, w tym naruszenia dóbr osobistych, w szczególności dobrego imienia sygnalisty. Jako działania odwetowe mają być zakwalifikowane również próby lub groźby zastosowania takich działań. Ustawa o sygnalistach ustanawia, że to na pracodawcy spoczywa ciężar dowodu, by udowodnić, że podjęte przez niego działanie, nie było działaniem odwetowym.

Dokonanie zgłoszenia nie będzie mogło stanowić podstawy do:

• wypowiedzenia, odstąpienia lub rozwiązania bez wypowiedzenia umowy, której stroną jest sygnalista, w szczególności dotyczącej sprzedaży lub dostawy towarów lub świadczenia usług,
• nałożenia obowiązku bądź odmowy przyznania, ograniczenia lub odebrania uprawnienia w szczególności koncesji, zezwolenia lub ulgi.

Ustawa o sygnalistach wprowadza także zasady dotyczące odpowiedzialności cywilnej w związku z ewentualnymi działaniami odwetowymi. Na jej gruncie sygnalista będzie mógł dochodzić odszkodowania od pracodawcy lub drugiej strony stosunku prawnego za działania odwetowe w wysokości nie niższej niż przeciętne miesięczne wynagrodzenie w gospodarce narodowej w poprzednim roku, ogłaszane do celów emerytalnych w Dzienniku Urzędowym Rzeczypospolitej Polskiej „Monitor Polski” przez Prezesa Głównego Urzędu Statystycznego lub ma prawo do zadośćuczynienia. Z kolei, gdy to sygnalista świadomie zgłosi nieprawdziwe informacje – poszkodowany takim działaniem będzie mógł dochodzić od sygnalisty odszkodowania lub zadośćuczynienia za naruszenie dóbr osobistych od sygnalisty, który dokonał takiego zgłoszenia lub ujawnienia publicznego.

Zgłoszenia wewnętrzne

Obowiązek wdrożenia procedury zgłoszeń wewnętrznych będzie dotyczyć podmiotów prawnych, na których rzecz, według stanu na dzień 1 stycznia lub 1 lipca danego roku, pracę zarobkową wykonuje co najmniej 50 osób. Ten próg nie ma jednak zastosowania do podmiotu prawnego wykonującego działalność w zakresie usług, produktów i rynków finansowych oraz przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu, bezpieczeństwa transportu i ochrony środowiska – w takim przypadku podmiot prawny ma obowiązek ustanowienia procedury niezależnie od liczby osób, które wykonują na jego rzecz pracę zarobkową.

Ustawa o sygnalistach określa konkretny termin na konsultacje procedury zgłoszeń wewnętrznych – mają one trwać pomiędzy 5 a 10 dni. Z kolei sama procedura wchodzi w życie po upływie 7 dni od podania jej do wiadomości osób wykonujących pracę w sposób przyjęty w podmiocie prawnym. Ewentualnemu kandydatowi do pracy należy przekazać informację o procedurze zgłoszeń wewnętrznych wraz z rozpoczęciem rekrutacji lub negocjacji poprzedzających zawarcie umowy.

Procedura zgłoszeń wewnętrznych obowiązkowo musi określać:

1. wewnętrzną jednostkę organizacyjną lub osobę w ramach struktury organizacyjnej podmiotu prawnego, lub podmiot zewnętrzny, upoważnione przez podmiot prawny do przyjmowania zgłoszeń wewnętrznych;
2. sposoby przekazywania zgłoszeń wewnętrznych przez sygnalistę wraz z jego adresem korespondencyjnym lub adresem poczty elektronicznej, zwanymi dalej „adresem do kontaktu”;
3. bezstronną wewnętrzną jednostkę organizacyjną lub osobę w ramach struktury organizacyjnej podmiotu prawnego, upoważnione do podejmowania działań następczych, włączając w to weryfikację zgłoszenia wewnętrznego i dalszą komunikację z sygnalistą, w tym występowanie o dodatkowe informacje i przekazywanie sygnaliście informacji zwrotnej; funkcję tę może pełnić wewnętrzna jednostka organizacyjna lub osoba, o których mowa w pkt 1., jeżeli zapewniają bezstronność;
4. tryb postępowania z informacjami o naruszeniach prawa zgłoszonymi anonimowo;
5. obowiązek potwierdzenia sygnaliście przyjęcia zgłoszenia wewnętrznego w terminie 7 dni od dnia jego otrzymania, chyba że sygnalista nie podał adresu do kontaktu, na który należy przekazać potwierdzenie;
6. obowiązek podjęcia, z zachowaniem należytej staranności, działań następczych przez wewnętrzną jednostkę organizacyjną lub osobę, o których mowa w pkt 3.;
7. maksymalny termin na przekazanie sygnaliście informacji zwrotnej, nieprzekraczający 3 miesięcy od dnia potwierdzenia przyjęcia zgłoszenia wewnętrznego lub – w przypadku nieprzekazania potwierdzenia, o którym mowa w pkt 5–3 miesięcy od upływu 7 dni od dnia dokonania zgłoszenia wewnętrznego, chyba że sygnalista nie podał adresu do kontaktu, na który należy przekazać informację zwrotną;
8. zrozumiałe i łatwo dostępne informacje na temat dokonywania zgłoszeń zewnętrznych do Rzecznika Praw Obywatelskich albo organów publicznych oraz – w stosownych przypadkach – do instytucji, organów lub jednostek organizacyjnych Unii Europejskiej.

Ponadto – fakultatywnie – procedura może także określać inne aspekty, a w szczególności ustawodawca zezwala na:

1. wskazanie naruszeń wykraczających poza ustawowy katalog dziedzin prawa i życia społecznego, które mogą być przedmiotem zgłoszenia, jeżeli podmiot prawny przewidział możliwość zgłaszania takich naruszeń;
2. wskazanie czynników ryzyka odpowiadających profilowi działalności podmiotu prawnego, sprzyjających możliwości wystąpienia określonych naruszeń prawa związanych w szczególności z naruszeniem obowiązków regulacyjnych lub innych obowiązków określonych w przepisach prawa lub z ryzykiem korupcji;
3. wskazanie, że informacja o naruszeniu prawa może być w każdym przypadku zgłoszona również do Rzecznika Praw Obywatelskich albo organu publicznego z pominięciem procedury zgłoszeń wewnętrznych;
4. określenie systemu zachęt do korzystania z procedury zgłoszeń wewnętrznych, w przypadku gdy naruszeniu prawa można skutecznie zaradzić w ramach struktury organizacyjnej podmiotu prawnego, a sygnalista uważa, że nie zachodzi ryzyko działań odwetowych.

Zgodnie z treścią ustawy, sposoby przekazywania zgłoszeń wewnętrznych muszą obejmować co najmniej możliwość dokonania zgłoszeń ustnie lub pisemnie.

Zgłoszenie telefoniczne obwarowane jest konkretnymi wymaganiami zgodnie z którymi ma być dokumentowane w formie:

• nagrania rozmowy umożliwiającego jej wyszukanie albo
• kompletnej i dokładnej transkrypcji rozmowy przygotowanej przez jednostkę, osobę lub podmiot odpowiedzialną za przyjmowanie zgłoszeń.

Zgłoszenie ustne i dokonane za pomocą nienagrywanej linii telefonicznej dokumentowane ma być zaś z wykorzystaniem dokładnego protokołu rozmowy przez jednostkę, osobę lub podmiot odpowiedzialny za przyjmowanie zgłoszeń, odtwarzającego dokładny przebieg rozmowy.

Zgłaszający ma prawo do sprawdzenia poprawienia i zatwierdzenia zarówno transkrypcji rozmowy, jak i protokołu rozmowy przez ich podpisanie.

Bezpośrednie spotkania (na żądanie sygnalisty) za zgodą zgłaszającego powinno być dokumentowane w formie nagrania lub protokołu.

Podmioty prawne, które mają obowiązek ustalenia procedury zgłoszeń wewnętrznych, są również zobligowane do prowadzenia rejestru zgłoszeń wewnętrznych. Taki rejestr powinien obejmować:

• numer zgłoszenia;
• przedmiot naruszenia prawa;
• dane osobowe sygnalisty oraz osoby, której dotyczy zgłoszenie, niezbędne do identyfikacji tych osób;
• adres do kontaktu sygnalisty;
• datę dokonania zgłoszenia;
• informację o podjętych działaniach następczych;
• datę zakończenia sprawy.

Ochrona danych osobowych

Ustawa o sygnalistach reguluje w sposób szczegółowy kwestię ochrony danych osobowych osoby zgłaszającej naruszenie. Zgodnie z brzmieniem przepisów dane osobowe oraz inne informacje pozwalające na ustalenie tożsamości zgłaszającego będą podlegały ujawnieniu tylko, gdy tak wskaże zgłaszający. Należy jednak podkreślić, że konieczność zachowania tożsamości sygnalisty w poufności nie będzie miała charakteru absolutnego.

Nowe przepisy przewidują odstępstwo od konieczności zachowania poufności tożsamości sygnalisty, gdy takie ujawnienie jest koniecznym i proporcjonalnym obowiązkiem wynikającym z prawa w związku z postępowaniami wyjaśniającymi prowadzonymi przez organy publiczne lub postępowaniami przygotowawczymi lub sądowymi prowadzonymi przez sądy, w tym w celu zagwarantowania prawa do obrony przysługującego osobie, której dotyczy zgłoszenie. Jednym z argumentów przemawiających za takim rozwiązaniem jest fakt, iż osoba, przeciwko której postawiono zarzut, powinna również być chroniona. W związku z zarzucanymi jej czynami pojawia się bowiem ryzyko stygmatyzacji danej osoby.

Warto podkreślić, iż ujawnienie tożsamości sygnalisty obwarowane jest licznymi zabezpieczeniami, w szczególności koniecznością pisemnego lub elektronicznego powiadomienia o planowanym ujawnieniu jego tożsamości wraz z wyjaśnieniem powodów takiej decyzji, chyba że takie powiadomienie mogłoby zagrozić powiązanemu postępowaniu wyjaśniającemu lub postępowaniu sądowemu.

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) („RODO”), obejmuje swoim zakresem zastosowania dane osobowe objęte Ustawą o sygnalistach. W związku z powyższym podmiot prawny, Rzecznik Praw Obywatelskich lub organ publiczny, przetwarzający dane w oparciu o przesłankę art. 6 ust. 1 lit. e RODO będą przetwarzać dane tylko w zakresie niezbędnym do realizacji celów ustawy, a dane osobowe nieistotne z punktu widzenia analizy zgłoszenia nie powinny być zbierane lub w przypadku ich pozyskania – a powinny być usunięte w terminie 14 dni od ustalenia, że nie mają one znaczenia dla sprawy.

Ustawa o sygnalistach przewiduje pewne odstępstwa od obowiązku informacyjnego uregulowanego przepisami RODO. Co do zasady, ustawodawca nie przewiduje obowiązku poinformowania osoby, której dane dotyczą o źródle pozyskania jej danych osobowych, chyba że zgłaszający nie spełnia warunków do bycia uznanym za sygnalistę według art. 6 Ustawy o sygnalistach (w chwili dokonania zgłoszenia nie miał uzasadnionych podstaw sądzić, że informacja będąca przedmiotem zgłoszenia lub ujawnienia publicznego jest prawdziwa w momencie dokonywania zgłoszenia lub ujawnienia publicznego i że stanowi informację o naruszeniu prawa) albo wyraził wyraźną zgodę na takie przekazanie informacji.

Nowe przepisy wprowadzają również ustawowy termin retencji danych. Dane osobowe przetwarzane w związku z przyjęciem zgłoszenia przez Rzecznika Praw Obywatelskich będą przechowywane przez okres 12 miesięcy po zakończeniu roku kalendarzowego, w którym przekazano zgłoszenie zewnętrzne do organu publicznego właściwego do podjęcia działań następczych.

Natomiast dane osobowe przetwarzane w związku z przyjęciem zgłoszenia oraz podjęciem działań następczych oraz dokumenty związane z takim zgłoszeniem są przechowywane przez podmiot prawny oraz organ publiczny przez okres 3 lat po zakończeniu roku kalendarzowego, w którym przekazano zgłoszenie zewnętrzne do organu publicznego właściwego do podjęcia działań następczych lub zakończono działania następcze, lub po zakończeniu postępowań zainicjowanych tymi działaniami.

Sankcje karne

Ustawa o sygnalistach przewiduje następujące zagrożenie karne dla poszczególnych typów przestępstw:

• uniemożliwianie lub utrudnianie zgłoszenia sygnaliście – kara grzywny, ograniczenia wolności lub pozbawienia wolności do roku;
• utrudnianie zgłoszenia sygnaliście z wykorzystaniem przemocy, groźby bezprawnej lub podstępu – kara grzywny, ograniczenia wolności albo pozbawienia wolności do lat 3;
• podjęcie działań odwetowych przeciwko sygnaliście, osobie z nim powiązanej lub pomagającej w dokonaniu zgłoszenia – kara grzywny, ograniczenia wolności albo pozbawienia wolności do lat 2;uporczywe podejmowanie działań odwetowych wobec chronionych osób – kara pozbawienia wolności do lat 3;
• naruszenie obowiązku zachowania w poufności tożsamości sygnalisty, osoby z nim powiązanej lub pomagającej w dokonaniu zgłoszenia – kara grzywny, ograniczenia wolności albo pozbawienia wolności do roku;
• świadome dokonanie fałszywego zgłoszenia – kara grzywny, ograniczenia wolności albo pozbawienia wolności do lat 2;
• zaniechanie ustanowienia lub ustanowienie procedury zgłoszeń wewnętrznych z istotnym naruszeniem wynikających z ustawy wymogów – kara grzywny.

Wejście w życie

Zgodnie z postulatami przedstawicieli sektora prywatnego i publicznego opiniujących projekt, w ostatecznej wersji przepisów wydłużeniu uległ okres przejściowy, w którym podmioty te będą miały możliwość przygotować organizację na wymogi Ustawy o sygnalistach.

W przypadku obowiązku przyjęcia procedury wewnętrznej przez podmioty prawne, na rzecz których wykonuje pracę zarobkową co najmniej 50 osób, a także przez podmioty prawne prowadzące działalność w zakresie usług, produktów i rynków finansowych oraz przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu, bezpieczeństwa transportu i ochrony środowiska zgodnie z wykazem zawartym w Dyrektywie o sygnalistach – niezależnie od skali zatrudnienia, podmioty te będą miały 3 miesiące na wdrożenie właściwych rozwiązań zgodnie z trybem przewidzianym w ustawie.

Z kolei Rzecznik Praw Obywatelskich oraz organy publiczne – niezależnie od skali zatrudnienia, będą miały 6 miesięcy na wdrożenie obligatoryjnych rozwiązań wprowadzanych przez przepisy Ustawy o sygnalistach.

Wobec powyższego, przepisy wejdą w życie w dwóch częściach, tj. od 25 września 2024 r. zacznie obowiązywać większość przepisów ustawy, w tym dot. obowiązków podmiotów prawnych, a od 25 grudnia 2024 r. wejdą w życie pozostałe przepisy dotyczące części związanej ze zgłoszeniami zewnętrznymi.