Whistleblowing. Jak wdrożyć procedurę zgłaszania przez sygnalistów wewnętrznych nieprawidłowości [PORADNIK DGP]

Najpóźniej do 25 września br. pracodawcy muszą spełnić nowe obowiązki, jakie wynikają z ustawy z 14 czerwca 2024 r. o ochronie sygnalistów (Dz.U. poz. 1937; dalej: u.o.s.). A w związku z tym, że implementacja nowych regulacji wewnątrz organizacji przypada na okres wakacyjny, to może być dużym wyzwaniem organizacyjnym. Aby ułatwić wdrożenie procedur zgłoszeń wewnętrznych, przygotowaliśmy praktyczny poradnik.

Sygnaliści ujawnią nieprawidłowości w firmach

Polska ustawa implementuje dyrektywę Parlamentu Europejskiego i Rady (UE) 2019/1937 z 23 października 2019 r. w sprawie ochrony osób zgłaszających naruszenia prawa Unii (Dz.Urz. UE z 2019 r. L 305; dalej: dyrektywa). Unijne regulacje wymagają od państw członkowskich (a pośrednio od pracodawców) przyjęcia regulacji prawnych dotyczących ochrony zgłaszających oraz trybu zgłaszania naruszeń i podejmowania działań następczych przez pracodawców oraz organy publiczne.

WAŻNE! Największym wyzwaniem dla przedsiębiorców i jednocześnie ich podstawowym obowiązkiem jest wprowadzenie wewnętrznej procedury dokonywania zgłoszeń oraz zapewnienie funkcjonowania przeznaczonych do tego kanałów. Szacuje się, że ten obowiązek tylko w Polsce będzie dotyczył ponad 30 tys. pracodawców.

Ochrona sygnalistów w związku ze zgłoszeniem lub publicznym ujawnieniem naruszenia praw jest kluczowa dla skuteczności nowych regulacji. Pojęcie sygnalisty, szczególnie w polskiej kulturze, może mieć pejoratywny wydźwięk. Kojarzy się bowiem z donosicielstwem. Przepisy, jakie będą stosowane w praktyce, mają to zmienić.

W u.o.s. uregulowane zostały również wymogi co do rzetelności zgłaszanych informacji. Przyznanie ochrony zgłaszającemu uzależnione będzie od tego, czy ma on uzasadnione podstawy, by sądzić, że informacja będąca przedmiotem zgłoszenia lub ujawnienia publicznego jest prawdziwa. Wymóg ten często określany jest potocznie jako wymóg dobrej wiary, choć co do uzależnienia przyznania ochrony od motywów zgłaszających Komisja Europejska wypowiedziała się krytycznie w swoim najnowszym raporcie z 3 lipca br.

Twórcy regulacji słusznie zauważyli, że zarówno w sektorze prywatnym, jak i publicznym osoby świadczące szeroko rozumianą pracę (niezależnie od jej podstawy) mogą dowiedzieć się o zagrożeniach lub szkodach dla interesu publicznego i odegrać istotną rolę w zgłaszaniu i ujawnianiu naruszeń. Ostatecznym celem prawa jest identyfikacja tych nieprawidłowości na odpowiednio wczesnym etapie i ich eliminacja.

Ważne jest to, że przepisy pozwalają na zgłaszanie nieprawidłowości do organów państwowych z pominięciem pracodawcy. Jednak z perspektywy tych ostatnich jest to zjawisko niepożądane. Z tego względu tak istotne jest, aby pracodawca pierwszy dowiedział się o wszelkich nieprawidłowościach i odpowiednio wcześnie na nie zareagował. Nie tylko umożliwi to wyeliminowanie nieprawidłowości na przyszłość, ale często pozwoli również pracodawcy uwolnić się od odpowiedzialności.

kto musi, a kto powinien wdrożyć regulacje

Przepisy u.o.s. dotyczą wszystkich pracodawców, którzy zatrudniają co najmniej 50 osób, z pewnymi wyjątkami wyłączającymi kryterium ilościowe. Ustawa wprowadza obowiązek ustalenia procedury zgłoszeń wewnętrznych oraz wprowadzenia wewnętrznych kanałów dokonywania zgłoszeń. Za nieustanowienie procedury zgłoszeń wewnętrznych lub ustanowienie jej z istotnym naruszeniem wymogów grozi kara grzywny do 5 tys. zł.

Kluczem liczba zatrudnianych osób

Kryterium decydującym o bezpośrednim objęciu pracodawcy wspomnianym obowiązkiem jest poziom zatrudnienia. Wdrożenie procedury zgłoszeń wewnętrznych będzie obowiązkowe dla podmiotów, w których pracę zarobkową wykonuje co najmniej 50 osób.

Przy obliczeniach bierze się pod uwagę pracowników ‒ niezależnie od rodzaju umowy o pracę ‒ w przeliczeniu na pełne etaty oraz osoby świadczące pracę za wynagrodzeniem na innej podstawie niż stosunek pracy. Chodzi m.in. o osoby zatrudnione na podstawie umowy zlecenia, umowy o dzieło, typowe umowy B2B, umowy o praktyki absolwenckie lub praktyki studenckie. Katalog podstawy zatrudnienia jest otwarty. Nie należy jednak brać pod uwagę osób, które za wykonywaną pracę nie otrzymują wynagrodzenia, np. wolontariuszy i osób odbywających bezpłatną praktykę studencką czy zawodową. Dodatkowo nie wlicza się pracowników tymczasowych, którzy są uwzględniani jedynie przez agencje pracy tymczasowej.

Co ważne, stan zatrudnienia trzeba będzie ustalać na 1 stycznia oraz na 1 lipca danego roku.

Obowiązek niezależnie od liczby pracujących

Ustawodawca, w ślad za dyrektywą, przykłada szczególną uwagę do podmiotów, z których działalnością, ze względu na jej profil czy rodzaj, wiąże się podwyższone ryzyko wystąpienia naruszeń prawa unijnego, w szczególności niezgodnego z prawem wykorzystywania unijnych środków. Dlatego w podmiotach z branż podlegających regulacjom prawnym z zakresu przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu, bezpieczeństwa transportu oraz ochrony środowiska nie będzie obowiązywało kryterium liczby zatrudnionych, od którego zależy obowiązek wdrożenia nowych regulacji. Chodzi m.in. o banki, towarzystwa inwestycyjne i ubezpieczeniowe oraz biura rachunkowe. Pracodawcy tego rodzaju muszą wprowadzić systemy sygnalizacji nieprawidłowości niezależnie od liczby pracowników. Mimo że u.o.s. nie stanowi tego wprost, zgodnie z przepisami dyrektywy analogiczny wyjątek dotyczy również pracodawców z sektora publicznego. Dyrektywa nie precyzuje znaczenia tego pojęcia, dlatego podmioty tego rodzaju należy interpretować szeroko – w tym w szczególności jako administrację rządową i samorządową. Wszystkie podmioty z tych sektorów zobligowane zostały do wdrożenia regulacji dotyczących ochrony sygnalistów. Wyłączone z tego obowiązku zostały jedynie jednostki organizacyjne gminy i powiatu liczących mniej niż 10 tys. mieszkańców. Wyłączenie to nie obejmuje ogólnokrajowych lub wojewódzkich jednostek organizacyjnych., jak np. wojewódzkich szpitali czy stacji pogotowia.

Na wyjątkowych zasadach

Szczególne uprawnienie otrzymali praco dawcy z sektora prywatnego, którzy zatrudniają od 50 do 249 osób. Mogą oni bowiem zawrzeć umowę z innymi pracodawcami tego typu i na takiej podstawie ustalić wspólne zasady dotyczące przyjmowania i weryfikacji zgłoszeń wewnętrznych oraz prowadzenia postępowań wyjaśniających.

Uwaga! Ułatwienie to nie dotyczy jednak wspólnego podejmowania działań następczych.

Z kolei pracodawcy z sektora prywatnego, z niefinansowej branży, którzy zatrudniają mniej niż 50 osób, nie mają obowiązku ustalenia procedury zgłoszeń wewnętrznych. Mogą jednak dobrowolnie wprowadzić wewnętrzne kanały zgłoszeń. To niewątpliwie korzystne dla nich rozwiązanie.

jakie nieprawidłowości mogą być zgłaszane

Co jest naruszeniem prawa? To działanie lub zaniechanie niezgodne z prawem lub takie, które ma na celu obejście prawa i dotyczy:

• korupcji,
• zamówień publicznych,
• usług, produktów i rynków finansowych,
• przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu,
• bezpieczeństwa produktów i ich zgodności z wymogami,
• bezpieczeństwa transportu,
• ochrony środowiska,
• ochrony radiologicznej i bezpieczeństwa jądrowego,
• bezpieczeństwa żywności i pasz,
• zdrowia i dobrostanu zwierząt,
• zdrowia publicznego,
• ochrony konsumentów,
• ochrony prywatności i danych osobowych,
• bezpieczeństwa sieci i systemów teleinformatycznych,
• interesów finansowych Skarbu Państwa Rzeczypospolitej Polskiej, jednostki samorządu terytorialnego oraz Unii Europejskiej,
• rynku wewnętrznego Unii Europejskiej, w tym publicznoprawnych zasad konkurencji i pomocy państwa oraz opodatkowania osób prawnych,
• konstytucyjnych wolności i praw człowieka i obywatela – występujące w stosunkach jednostki z organami władzy publicznej i niezwiązane z ww. dziedzinami.

Zakres przedstawionego wyżej katalogu należy rozumieć szeroko.

Warto też podkreślić, że u.o.s. określa szerszy zakres przedmiotowy „naruszenia prawa” niż dyrektywa. W polskiej ustawie bowiem ustawodawca – dążąc do poszerzenia zakresu zgłaszania informacji o naruszeniach – dodatkowo wskazał również konstytucyjne wolności oraz prawa człowieka i obywatela, korupcję, a także handel ludźmi.

Formalnie bez prawa pracy, choć w praktyce z nim

A co z prawem pracy? Ostatecznie ten obszar wykreślono z katalogu naruszeń podlegających zgłoszeniom. Jednak wbrew pozorom nie oznacza to, że naruszenia z zakresu prawa pracy nie mogą być zgłaszane. W praktyce zgłoszenia dotyczące mobbingu, dyskryminacji czy nierównego traktowania pojawiają się najczęściej już teraz u pracodawców przyjmujących zgłoszenia wewnętrzne w ramach funkcjonujących procedur wdrożonych jeszcze przed wejście w życie u.o.s. Każdy pracodawca może rozszerzyć katalog zgłaszanych naruszeń, wprowadzając odrębny, wewnętrzny akt normatywny ustanawiający i regulujący procedurę dokonywania zgłoszeń także z zakresu prawa pracy.

• Na czym polega naruszenie, które może zgłosić sygnalista?

Może ono polegać w szczególności na usiłowaniu popełnienia lub popełnieniu czynu zabronionego albo przygotowaniu do niego, niedopełnieniu obowiązków lub nadużyciu uprawnień, niezachowaniu należytej staranności wymaganej w danych okolicznościach czy naruszeniu wewnętrznych procedur, w tym np. procedur antymobbingowych lub standardów etycznych przyjętych w spółce. Pracodawca może jednak dopuścić również zgłaszanie w ramach wewnętrznej procedury wszelkich działań lub zaniechań niezgodnych z prawem – bez zawężania katalogu.

Bez ograniczeń

Pojawia się pytanie o to, po co rozszerzać i tak już szeroki katalog o obszar prawa pracy. Trzeba jednak wziąć pod uwagę korzyści wynikające z systemu zgłaszania nieprawidłowości. Jeśli będzie on sprawnie działał, pracodawca będzie mógł szybciej zidentyfikować i wyeliminować ewentualne naruszenia, a przez to także ograniczyć czy nawet wyłączyć swoją odpowiedzialność za nieprawidłowości. Podjęcie tego typu działań zminimalizuje ryzyko ewentualnego sporu sądowego. A przypomnijmy, że zgodnie ze statystykami prowadzonymi przez Ministerstwo Sprawiedliwości, każdego roku do sądów pracy wpływa ok. 40 tys. spraw z zakresu prawa pracy.

Co więcej, system zgłoszeń nieprawidłowości przez sygnalistów będzie dawał również narzędzie do zwiększenia kontroli nad procesami zachodzącymi wewnątrz organizacji czy relacjami między zatrudnionymi, a także do ograniczenia ryzyka nadużyć. Dzięki temu pracodawca będzie mógł kształtować etyczne środowisko pracy, upowszechniając odpowiednie wartości i zasady. Poszerzenie katalogu o dodatkowe dziedziny, w tym przede wszystkim uwzględnienie prawa pracy lub jego wybranych zagadnień w katalogu zgłaszanych naruszeń, leży więc w interesie pracodawcy.

Z każdym rozszerzeniem katalogu możliwych do zgłaszania naruszeń będzie wiązać się również większa liczba zgłoszeń, a każde wpływające zgłoszenie trzeba będzie odpowiednio zweryfikować i podjąć ewentualne działania następcze. Dlatego należy pamiętać, aby mimo wszystko ewentualne rozszerzenie katalogu zgłoszeń wprowadzać rozsądnie i na miarę organizacji.

Uwaga! Naruszenia z zakresu prawa pracy mogą być rozumiane bardzo szeroko i obejmować także kwestie jedynie pośrednio związane z tą dziedziną. Rozsądnym rozwiązaniem jest ograniczenie się do najbardziej istotnych kwestii, które mogą powodować ewentualne spory sądowe, np. dyskryminacja, mobbing, molestowanie seksualne, bezpieczeństwo i higiena pracy czy godziny nadliczbowe. Każdorazowo decyzja należy do pracodawcy. Przepisy prawa pracy systemowo pozwalają na zgłaszanie nieprawidłowości i jak najbardziej warto równolegle z nich korzystać.

W ramach procedury zgłoszeń wewnętrznych pracodawca może przewidzieć także możliwość zgłaszania informacji o naruszeniach dotyczących obowiązujących u niego regulacji wewnętrznych (np. regulaminów, polityk, procedur) lub standardów etycznych (np. kodeksu postępowania czy kodeksu etycznego).

• Czy należy przyjąć każde zgłoszenie z ustawowego katalogu?

Tak, należy przyjąć każdą zgłoszoną informację o naruszeniu czy nieprawidłowości. Ponadto każde zgłoszenie ma być odnotowywane w rejestrze zgłoszeń, a następnie weryfikowane.

Jednak nie każde zgłoszenie będzie powodowało uznanie zgłaszającego za sygnalistę, który skorzysta z ustawowych uprawnień. Przede wszystkim zgłaszający musi działać w dobrej wierze. Innymi słowy (językiem u.o.s.) będzie musiał mieć uzasadnione podstawy, aby sądzić, że przekazywana przez niego informacja jest prawdziwa w momencie dokonywania zgłoszenia i rzeczywiście stanowi informację o naruszeniu prawa. Przy czym zgłoszenie będzie musiało dotyczyć wskazanego ustawowego katalogu naruszeń prawa (lub ewentualnie dodatkowych elementów wprowadzonych przez pracodawcę dobrowolnie, jeżeli zdecydował on się na jego rozszerzenie). Co więcej, zgłoszenie powinno dotyczyć informacji o naruszeniu uzyskanej w kontekście związanym z pracą. Określenie to jest jednak nieostre i daje możliwość wykładni rozszerzającej. Należy przyjąć, że pracę należy tu rozumieć jako wykonywanie obowiązków w ramach zatrudnienia, w tym także samozatrudnienia. Pojęcie pracy na potrzeby whistleblowingowe można utożsamić z pojęciem zatrudnienia. Gdyby ustawodawca bowiem planował, aby zgłoszenie mogło dotyczyć jedynie stosunku pracy, użyłby takiego sformułowania, a dodatkowo nie dopuszczałby możliwości uzyskania statusu sygnalisty przez osoby świadczące pracę lub usługi również na innych podstawach niż stosunek pracy.

kto ujawni nadużycia

Pojęcie sygnalisty jest jednym z wielu zdefiniowanych przez u.o.s. Ustawowa definicja ramka 1 jest inspirowana definicją osoby dokonującej zgłoszenia, o której mowa w art. 5 pkt 7 dyrektywy. Zakres osób, które mogą być uznane za sygnalistę, jest bardzo szeroki. Może być nim bowiem każda osoba fizyczna, która zgłasza lub ujawnia publicznie informację o naruszeniu prawa uzyskaną w kontekście związanym z pracą. Posługując się sformułowaniem „w tym”, u.o.s. wskazuje na otwarty katalog podmiotów, które mogą być uznane za sygnalistę.

Implementowanie tego otwartego katalogu ustawowego do wewnętrznej procedury zgłoszeń nie jest obowiązkowe. Przy czym ani konieczne, ani nawet dopuszczalne nie będzie również warunkowanie przyjęcia i rozpatrzenia zgłoszenia od charakteru stosunku prawnego (lub jego braku) łączącego osobę dokonującą zgłoszenia nieprawidłowości z podmiotem, do którego zgłoszenie wpływa.

Kluczowy jest element definicji, który wskazuje na uzyskanie informacji o naruszeniu prawa w kontekście związanym z pracą. Chodzi nie tylko o informacje uzyskane w okresie zatrudnienia. Liczy się też okres przed nawiązaniem stosunku pracy lub innego stosunku prawnego stanowiącego podstawę zatrudnienia lub pełnienia funkcji w podmiocie prawnym lub na rzecz tego podmiotu, a także okres, gdy taki stosunek już ustał. Nic nie stoi na przeszkodzie, aby pracodawca rozszerzył zakres stosowania procedury także do zgłoszeń dotyczących informacji uzyskanych przy braku powiązań z wykonywaną pracą. Taki mechanizm może być stosowany przez tych, którzy dążą do otrzymania wszelkich możliwych zgłoszeń i zachęcają do tego zatrudnionych.

Sygnalista a zgłaszający

Początkowo różne wersje projektów ustawy wdrażającej dyrektywę do polskiego porządku prawnego posługiwały się także pojęciem zgłaszającego. Zmianę ze „zgłaszającego” na „sygnalistę”, skutkującą też zmianą nazwy z ustawy o ochronie osób zgłaszających naruszenia prawa na ustawę o ochronie sygnalistów, należy ocenić pozytywnie. Choć pojęcie sygnalisty do tej pory nie funkcjonowało w polskim porządku prawnym, jego rozumienie i zakres nie powinny w praktyce przysparzać dodatkowych komplikacji.

Niemniej jednak w treści procedur zgłoszeń wewnętrznych oba zwroty, tj. „sygnalista” i „osoba dokonująca zgłoszenia”, nie powinny być używane wymiennie. „Sygnalista” powinien mieć obecnie znaczenie węższe od „osoby dokonującej zgłoszenia” i powinien oznaczać wyłącznie osobę, która dokonała zgłoszenia, będąc do tego uprawnioną ‒ zgodnie z u.o.s. i procedurą zgłoszeń wewnętrznych. ramka 2 Natomiast pojęcie osoby dokonującej zgłoszenia ‒ o ile nie zostało inaczej zdefiniowane na potrzeby wewnętrzne pracodawcy ‒ może oznaczać również podmiot, który dokonał faktycznej czynności zgłoszenia, ale zgłoszenie to nie spełnia ustawowych wymogów, wobec czego nie będzie podlegać formalnej procedurze rozpatrzenia. Powody takiej niezgodności mogą być różne, od dokonania zgłoszenia w złej wierze, po brak wystąpienia kontekstu związanego z pracą.

Otrzymany status

Uzyskanie statusu sygnalisty będzie zawsze skutkiem uprzedniego dokonania zgłoszenia wewnętrznego, zewnętrznego lub ujawnienia publicznego. Będzie to wymagać przestrzegania ustawowego i wewnętrznego trybu zgłoszenia, tj. w szczególności dokonania zgłoszenia:

1) przez podmiot uprawniony, określony w art. 4 u.o.s.), ramka 1

2) w kontekście związanym z pracą,

3) nieprawidłowości określonej w katalogu, który wynika z art. 3 ust. 1 u.o.s.,

4) nieprawidłowości, która nie została na mocy przepisu szczególnego wyłączona spod regulacji u.o.s.,

5) w dobrej wierze, czyli jeśli są uzasadnione podstawy, by sądzić, że informacja będąca przedmiotem zgłoszenia lub ujawnienia publicznego jest prawdziwa w momencie dokonywania zgłoszenia lub ujawnienia publicznego i że stanowi informację o naruszeniu prawa,

6) za pośrednictwem kanałów utworzonych w ramach procedury zgłoszeń wewnętrznych.

Po prawidłowo dokonanym zgłoszeniu sygnalista otrzyma o tym zwrotną informację oraz będzie mógł monitorować tok rozpatrywania sprawy, w tym będzie uprawniony do otrzymania informacji zwrotnej na temat podjętych działań następczych i rezultatów postępowania wyjaśniającego. To powinno pozwolić sygnaliście ocenić, czy zgłoszenie zostało rozpoznane rzetelnie i z zachowaniem należytej staranności. Wskutek dokonania zgłoszenia w dobrej wierze ‒ czy to w ramach kanałów utworzonych wewnętrznie, czy też w ramach kanałów zewnętrznych lub ujawnienia publicznego ‒ sygnalista uzyska również ustawową ochronę przed działaniami odwetowymi. Jest chroniony przed nimi już od momentu dokonania zgłoszenia (czyli od daty, kiedy przykładowo wyśle maila), a nie np. od daty jego wpływu do pracodawcy (czyli momentu, gdy rozpatrująca zgłoszenie osoba otrzyma maila czy go otworzy) czy daty zawiadomienia sygnalisty o przyjęciu zgłoszenia.

obowiązki pracodawcy związane z ochroną sygnalisty

Jak już wspomnieliśmy, podstawowym obowiązkiem nałożonym przez u.o.s. jest wdrożenie procedury zgłoszeń wewnętrznych. Kolejne są następujące.

▶ Konsultacyjny

Ustawodawca odnośnie do procedury zgłoszeń wewnętrznych przewidział obowiązek konsultacyjny. Treść procedury powinna być skonsultowana ze związkami zawodowymi albo ‒ w razie ich braku ‒ z przedstawicielami osób świadczących pracę na rzecz podmiotu prawnego. W tym drugim przypadku należy zweryfikować, czy już wyłonieni przedstawiciele będą mogli uczestniczyć w procesie konsultacji, czy też konieczne będzie przeprowadzenie wyborów – nowych lub uzupełniających. W naszej ocenie, jeżeli regulamin lub inny dokument, na podstawie którego w zakładzie pracy funkcjonują przedstawiciele osób zatrudnionych, a nie tylko pracowników, będzie upoważniał te osoby do wszelkich konsultacji wymaganych przepisami, to będą oni mogli uczestniczyć w konsultacjach bez potrzeby wyłaniania nowego składu przedstawicielskiego. Taka konieczność wyniknie jednak w przypadku, gdy regulamin będzie przewidywał jedynie enumeratywny katalog spraw, w zakresie których przedstawiciele ci są uprawnieni, a w katalogu takim zabraknie konsultacji procedury zgłoszeń wewnętrznych. Tak samo będzie w sytuacji, gdy przedstawiciele będą wybrani wyłącznie przez pracowników.

Nowatorskim rozwiązaniem jest ustawowo określony, dość krótki termin na przeprowadzenie konsultacji, które muszą trwać nie krócej niż 5 dni i nie dłużej niż 10 dni od dnia przedstawienia przez podmiot prawny projektu procedury zgłoszeń wewnętrznych. Zamierzeniem ustawodawcy było usprawnienie w ten sposób procedury konsultacji, które szczególnie w przypadku podmiotów uzwiązkowionych potrafią w praktyce ciągnąć się tygodniami. Termin ten wydaje się odpowiedni. Dobrym rozwiązaniem w praktyce może być:

• wcześniejsze zawiadomienie przedstawicieli o tym, kiedy pracodawca chciałby udostępnić im procedurę na potrzeby konsultacji, by te przebiegły sprawnie, oraz
• wyznaczenie z góry terminu na uwagi strony społecznej przypadającego wcześniej niż 10. dzień konsultacji, aby umożliwić przeprowadzenie drugiej rundy konsultacji, koncentrującej się już na samych uwagach przedstawicieli pracowników.

Uwaga! Procedura zgłoszeń wewnętrznych wchodzi w życie po upływie 7 dni od dnia podania jej do wiadomości osób wykonujących pracę.

Z wdrożeniem procedury zgłoszeń wewnętrznych będą wiązać się także inne obowiązki pracodawców, w szczególności ustanowienie wewnętrznych kanałów zgłoszeń i upoważnienie osób je obsługujących do ich przyjmowania, o czym szerzej niżej.

▶ Informacyjne

Kolejne istotne powinności koncentrują się na relacji pracodawcy z sygnalistą. Ustawa narzuca konkretne terminy, w których musi on:

• poinformować sygnalistę o otrzymaniu zgłoszenia ‒ ma na to 7 dni od dnia, w którym wpłynęło zgłoszenie,
• przekazać sygnaliście informację zwrotną na temat przeprowadzonych działań następczych – musi to zrobić przed upływem trzech miesięcy od dnia potwierdzenia przyjęcia zgłoszenia.

To nie wszystko. Pracodawca musi też zagwarantować, że procedura zgłoszeń wewnętrznych oraz związane z przyjmowaniem zgłoszeń przetwarzanie danych osobowych uniemożliwią nieupoważnionym osobom uzyskanie dostępu do informacji objętych zgłoszeniem oraz zapewnią ochronę poufności tożsamości sygnalisty i osoby, której dotyczy zgłoszenie.

▶Zakaz działań odwetowych

Motywem przewodnim u.o.s. jest generalny zakaz podejmowania działań odwetowych. Są one określone w ustawie jako bezpośrednie lub pośrednie działania lub zaniechania w kontekście związanym z pracą, które są spowodowane zgłoszeniem lub ujawnieniem publicznym i które naruszają lub mogą naruszyć prawa sygnalisty lub wyrządzają lub mogą wyrządzić nieuzasadnioną szkodę sygnaliście, w tym bezpodstawne inicjowanie postępowań przeciwko niemu.

Ochrona zgodna z prawem, która jednocześnie ma zminimalizować obawy przed dokonywaniem zgłoszeń (co jest w interesie pracodawcy), powinna przede wszystkim być pełna. Sygnalista nie może doświadczyć żadnych negatywnych konsekwencji za zgłoszenie nieprawidłowości. Powyższe nie będzie spełnione w szczególności w sytuacji, gdy pracodawca co prawda wyraźnie wprowadzi np. zakaz rozwiązania stosunku pracy z taką osobą, ale nie wykluczy możliwości czasowego powierzenia jej innej pracy czy przeniesienia do pracy w innej miejscowości.

Zgodnie z art. 12 u.o.s. katalog działań, które powinny być kwalifikowane jako niezgodne z prawem działania odwetowe, jest bardzo obszerny. Mimo że zawiera aż 21 punktów i tak pozostaje otwarty (wskazuje na to zwrot „w szczególności”). Ochrona nadawana sygnaliście na podstawie u.o.s. idzie znacznie dalej niżeli ta gwarantowana przepisami ustawy z 26 czerwca 1974 r. ‒ Kodeks pracy (t.j. Dz.U. z 2023 r. poz. 1465; ost.zm. Dz.U. z 2024 r. poz. 878; dalej: k.p.) w zakresie niedyskryminowania w zatrudnieniu (art. 183a par. 1 k.p.), naruszenia zasady równego traktowania (art. 183b par. 1 k.p.) oraz przeciwdziałania mobbingowi (art. 943 k.p.). Ustawa nie wyłącza jednak zastosowania tych przepisów k.p., które w razie zaistnienia wskazanych w nich przesłanek mogą być przez sygnalistę wykorzystywane przy dochodzeniu roszczeń z tytułu nierównego traktowania lub mobbingu.

Uwaga! Aby system whistleblowingowy sprawnie działał i przynosił pracodawcom korzyść, potrzebni są pracownicy, którzy nie obawiają się, że zgłoszenie będzie miało dla nich negatywne reperkusje. Ważne jest więc, aby mechanizmy ochronne, które przewiduje u.o.s., wdrożyć w praktyce i zwrócić na nie szczególną uwagę w trakcie szkolenia pracowników z zasad funkcjonowania kanałów zgłoszeń.

procedura zgłoszeń wewnętrznych

Ustawa o ochronie sygnalistów jasno określa elementy, które muszą znaleźć się w procedurze zgłoszeń wewnętrznych. Kluczem do jej prawidłowej konstrukcji jest przede wszystkim zawarcie w niej wszystkich obligatoryjnych elementów, a także dopasowanie jej do profilu działalności danej organizacji poprzez dodanie elementów fakultatywnych. ramka 3

W interesie pracodawcy jest, aby procedura wewnętrzna była na tyle atrakcyjna dla pracowników, że będzie dla nich pierwszym wyborem zamiast zgłaszania nieprawidłowości do zewnętrznych jednostek. Jeśli zatrudniony wybierze procedurę zgłoszeń zewnętrznych, pracodawca może spotkać się z konsekwencjami ewentualnych naruszeń, bez możliwości naprawy swoich nieprawidłowości, bo nie był ich świadomy. Jeśli jednak dowie się o naruszeniach bezpośrednio od pracownika, to będzie mógł naprawić to, co nie działa, i być może uniknąć ryzyka prawnego, finansowego czy wizerunkowego.

Procedura powinna być jasna i przejrzysta, napisana w sposób zrozumiały dla każdego pracownika. Z jednej strony musi być precyzyjna i zawierać wszystkie obligatoryjne elementy wymienione w u.o.s, a z drugiej strony nie powinna stanowić wielostronicowego dokumentu, wypełnionego żargonowymi określeniami, ponieważ zmniejszają się wówczas szanse, że każdy pracownik się z nią w całości zapozna.

Kto przyjmuje zgłoszenia

Określając podmiot, który będzie odpowiadał za przyjmowanie zgłoszeń, trzeba podjąć decyzję, czy ta sama jednostka ma również zajmować się podejmowaniem działań następczych. Jest to jak najbardziej dopuszczalne, o ile zapewniona zostanie bezstronność tego podmiotu w ramach podejmowanych czynności. Może to być zarówno dział, jak i konkretna osoba zajmująca określone stanowisko w ramach danego działu.

Można również powierzyć wspomniane zadania podmiotowi zewnętrznemu ‒ spoza organizacji ‒ ale należy pamiętać, że wtedy koniecznie trzeba udzielić owemu podmiotowi stosownego upoważnienia.

Dostępne kanały

Procedura musi określać sposoby przekazywania zgłoszeń wewnętrznych przez sygnalistę. Z u.o.s. wynika, że sygnalista musi mieć zagwarantowaną możliwość zgłoszenia nieprawidłowości prawa zgodnie z u.o.s. ustnie lub pisemnie. Kanały zgłoszeń muszą obejmować zatem możliwość zgłoszenia co najmniej w jednej z tych form.

Zgłoszenie ustne może być dokonane na różne sposoby, w tym:

• telefonicznie (za pośrednictwem nagrywanej lub nienagrywanej linii telefonicznej),
• za pośrednictwem środków komunikacji elektronicznej, np. za pośrednictwem przeznaczonej do tego skrzynki e-mailowej,
• podczas bezpośredniego spotkania.

Zgłoszenia ustne dokonywane za pomocą nagrywanej linii telefonicznej lub innego nagrywanego systemu komunikacji głosowej ma być dokumentowane w formie:

• nagrania rozmowy, które będzie umożliwiać jej późniejsze wyszukanie, lub
• kompletnej i dokładnej transkrypcji przygotowanej przez przyjmującego zgłoszenie.

Niezależnie od formy dokumentacji rozmowy niezbędna będzie zgoda sygnalisty.

Jeżeli z kolei linia telefoniczna nie będzie nagrywana, to osoba lub inny podmiot przyjmujący zgłoszenie musi przygotować protokół rozmowy, który dokładnie odzwierciedli jej przebieg. Jednocześnie sygnalista musi mieć prawo sprawdzić, poprawić i zatwierdzić transkrypcję rozmowy lub protokół rozmowy przez ich podpisanie. Ponadto zgłoszenie ustne będzie mogło przyjąć formę bezpośredniego spotkania. Jeżeli sygnalista wystąpi z wnioskiem o nie, to trzeba je zorganizować w terminie 14 dni od dnia otrzymania wniosku. Spotkanie z sygnalistą może być nagrywane lub jego przebieg protokołowany – ale tylko za jego zgodą.

Z kolei zgłoszenia pisemne będą mogły być dokonywane w postaci papierowej lub elektronicznej. Pracodawca będzie więc mógł np. ustalić w procedurze, że zgłoszenia można wysłać na podany adres korespondencyjny lub zostawić w przeznaczonej do tego skrzynce z dopiskiem „poufne – do rąk własnych [osoba przyjmująca zgłoszenia]”. Ważne jednak, aby skrzynka, w której można będzie umieścić zgłoszenia, nie znajdowała się np. w powszechnie uczęszczanym korytarzu czy w pomieszczeniu, w którym zwykle przebywa wiele osób, albo bezpośrednio pod kamerą monitoringu. Sygnalista bowiem nie może bać się informować o naruszeniu prawa.

Sygnalista będzie mógł także przesłać swoje zgłoszenie drogą elektroniczną – np. w wiadomości e-mail wysłanej na przeznaczoną do przyjmowania zgłoszeń skrzynkę mailową. Obecnie na rynku funkcjonuje również wiele platform zapewniających kompleksową obsługę zgłoszeń. Warto się jednak zastanowić, czy wszyscy pracownicy będą mieć dostęp do narzędzi elektronicznych i jaki kanał zgłoszeń będzie najodpowiedniejszy w danej organizacji – inaczej sytuacja będzie wyglądać w firmie produkcyjnej, w której pracownicy w ogóle nie korzystają z komputerów, a zupełnie inaczej w firmie IT.

Pracodawca musi także określić procedurę postępowania ze zgłoszeniami anonimowymi (o tym niżej), ale należy zaznaczyć, że u.o.s. nie nakłada obowiązku ich przyjmowania.

Informacje dla sygnalisty

W procedurze trzeba również uregulować obowiązek potwierdzenia sygnaliście przyjęcia zgłoszenia wewnętrznego w terminie 7 dni od jego otrzymania oraz obowiązek podjęcia, z zachowaniem należytej staranności, działań następczych.

Musi z niej także jasno wynikać, w jaki sposób sygnalista będzie mógł dokonywać zgłoszeń zewnętrznych do rzecznika praw obywatelskich albo organów publicznych oraz – w stosownych przypadkach – do instytucji, organów lub jednostek organizacyjnych UE.

Ponadto powinno być w niej zapisane wyraźne ustawowe uprawnienie, na mocy którego sygnalista może w każdym przypadku zgłosić informację o naruszeniu prawa również do rzecznika praw obywatelskich albo organu publicznego z pominięciem procedury zgłoszeń wewnętrznych. Chociaż trzeba też jasno wskazać, że brak takiego postanowienia nie pozbawi pracownika prawa do wspomnianego zgłoszenia z pominięciem wewnętrznej procedury.

Procedura musi określać również maksymalny termin na przekazanie sygnaliście informacji zwrotnej. Pracodawca może go wskazać samodzielnie, ale należy pamiętać, że nie może być dłuższy niż trzy miesiące od dnia otrzymania zgłoszenia. Ważne bowiem, aby pracownik był świadomy, kiedy może spodziewać się odpowiedzi i jak długo potrwa wyjaśnienie zgłoszonych przez niego nieprawidłowości.

Elementy fakultatywne

Poza obowiązkową częścią procedury zgłoszeń wewnętrznych pracodawca będzie mógł w niej zawrzeć fakultatywne postanowienia, wyszczególnione u.o.s., a także inne, dodatkowe elementy. Jednak należy pamiętać, by ich nadmiar nie sprawił, że uwaga pracownika zostanie odciągnięta od najważniejszych kwestii, przez co procedura w rezultacie będzie nieczytelna i nieskuteczna.

Pracodawca może wskazać w procedurze czynniki ryzyka odpowiadające profilowi działalności danego podmiotu. Chodzi o te, które mogą przyczynić się do wystąpienia określonych naruszeń prawa związanych w szczególności z naruszeniem obowiązków regulacyjnych lub innych określonych w przepisach prawa lub związanych z ryzykiem korupcji.

Przy czym, aby zachęcić do dokonywania zgłoszeń wewnętrznych, zamiast bezpośrednio do podmiotów zewnętrznych, w procedurze można określić system zachęt. To korzyść zarówno finansowa, jak i wizerunkowa dla pracodawcy. Jednak takiego systemu zachęt nie należy utożsamiać z materialnymi zachętami, np. w postaci nagród pieniężnych. Chodzi raczej o wszelkie mechanizmy polegające na zachęceniu pracownika do dokonania zgłoszenia wewnętrznego czy to w ramach szkoleń z procedury wewnętrznej, czy też informowania o istotności takich zgłoszeń.

W procedurze warto też zawrzeć zasady prowadzenia rejestru zgłoszeń wewnętrznych. Istotne, aby pracownicy byli świadomi, że ich zgłoszenia są w odpowiedni sposób odnotowywane i ewidencjonowane. W rejestrze takim powinny się znajdować: numer zgłoszenia, przedmiot naruszenia prawa, dane osobowe sygnalisty oraz osoby, której dotyczy zgłoszenie, niezbędne do identyfikacji tych osób, adres do kontaktu sygnalisty, data dokonania zgłoszenia, informacja o podjętych działaniach następczych oraz data zakończenia sprawy.

jeden wzór procedury czy więcej

Nie ma uniwersalnego wzoru procedury zgłoszeń wewnętrznych, który byłby dopasowany do wszystkich organizacji i ich zatrudnionych. Powinna ona być zindywidualizowana i dostosowana do potrzeb danej organizacji oraz do jej celów. Chodzi nie tylko o wypełnienie obowiązków wynikających z przepisów u.o.s., lecz także o rzeczywiste dążenie do wykrywania nieprawidłowości. Posiadanie procedury szytej na miarę, dzięki której możliwe będzie zgłaszanie nieprawidłowości w ramach organizacji, ma wiele korzyści zarówno dla pracowników, jak i dla pracodawcy.

Poinformowanie zatrudnionych

Aby procedura rzeczywiście zadziałała, przed jej wprowadzeniem kluczowe jest prawidłowe zapoznanie z jej treścią zatrudnionych i upewnienie się, że załoga (zarówno pracownicy, jak i kadra wyższego szczebla) się z nią zapoznała, np. podczas szkolenia. Popularnym rozwiązaniem jest przeprowadzenie w ramach szkolenia tzw. case study, czyli rozwiązywanie przez pracowników kazusów odzwierciedlających potencjalne sytuacje, które mogą wystąpić w praktyce. Podczas takiego ćwiczenia pracownicy mogą przedstawić swój tok myślenia, tryb postępowania. Nauka przez praktykę uznawana jest jedną z najbardziej skutecznych form, dlatego warto rozważyć taką opcję. Kluczowa jest świadomość obowiązków samych zatrudnionych i znaczenie ich roli w tym procesie.

Istotne jest także zapewnienie pracowników o przysługującej im ochronie, a także poufności podczas rozpatrywania zgłoszenia. Świadomość pracowników w tym zakresie zwiększy szanse na rzeczywiste zgłaszanie naruszeń. Warto jednak podkreślić, że ochrona ta nie jest nieograniczona, a za zgłoszenia dokonywane w złej wierze wobec pracownika mogą zostać wyciągnięte konsekwencje. Chcąc zwiększyć liczbę zgłoszeń, trzeba także mieć na uwadze nadal funkcjonujące w praktyce bezzasadne utożsamianie sygnalisty z donosicielem. Warto i ten wątek poruszyć w zaplanowanej kampanii komunikacyjnej. Wprowadzając procedurę zgłoszeń wewnętrznych, dobrze podkreślić, że zgłoszenia i osoby ich dokonujące pomagają wszystkim funkcjonować lepiej, bezpieczniej i zgodnie z prawem, a sygnalista działa na korzyść pracodawcy, nie przeciwko niemu.

Powiązanie z problemami organizacji

Skuteczny program zgłaszania nieprawidłowości powinien przede wszystkim być silnie powiązany z procesami zachodzącymi w danej organizacji i panującą w niej kulturą organizacyjną. Oprócz wspomnianych wyżej szkoleń procedura powinna być stale monitorowana oraz w razie potrzeby uaktualniana. Jednak warto przygotować ją tak, aby była odporna na konieczność wprowadzania drobnych zmian, np. po zmianie osób odpowiedzialnych za konkretne procesy.

Uwaga! Nie warto wpisywać do procedury imion i nazwisk konkretnych osób pełniących whistleblowingowe funkcje. Te bowiem mogą się zmieniać.

Ważne również, aby po identyfikacji danego naruszenia podjąć takie działania, które zminimalizują wystąpienia podobnego naruszenia w przyszłości. Skuteczność procedury zgłoszeń wewnętrznych w dużym stopniu zależy od stałego nadzoru nad nią kierownictwa wyższego szczebla.

Wprowadzenie przejrzystego systemu zgłaszania nieprawidłowości pozwala radykalnie ograniczyć straty ponoszone przez firmę. Oszczędności zwykle znacznie przekraczają koszt wdrożenia i obsługi takiego systemu. Powód jest prosty: pracownicy, współpracownicy lub wszyscy inni zatrudnieni, którzy są najbliżej działań operacyjnych, dostrzegają wiele sytuacji czy nadużyć, których z kolei mogą nie widzieć członkowie zarządu czy kierownictwa wyższego szczebla. Praktyka działania w halach czy magazynach może nie do końca pokrywać się z tym, co widać z perspektywy biura przełożonych ‒ w raportach i dokumentach. Dobrze funkcjonujący system zgłaszania naruszeń pozwala na szybką reakcję. Dokonana dzięki sygnalistom identyfikacja nieprawidłowości może znacznie ograniczyć straty, które przedsiębiorstwo ponosiłoby w związku z nielegalnymi lub nieprawidłowymi działaniami pracowników, a o których dowiedziałoby się po dłuższym czasie albo wcale.

zgłoszenia anonimowe

Dziś, nawet w organizacjach, w których istnieją systemy whistleblowingowe (ich liczba stale rośnie), potencjalni sygnaliści często wahają się przed zgłoszeniem nie prawidłowości. Obawiają się ujawnienia swojej tożsamości i ewentualnych konsekwencji wynikających ze zgłoszenia. W rezultacie, mimo że systemy te są wdrożone, często nie spełniają swojej funkcji.

Błędy organizacyjne

Praktyka pokazuje, że jednym z typowych błędów organizacyjnych jest umieszczanie skrzynek na zgłoszenia papierowe w miejscach ogólnodostępnych, przechodnich lub pod kamerami, a także umożliwianie zgłoszeń wyłącznie z firmowego adresu e-mail. W takich sytuacjach zrozumiałe mogą wydawać się obawy pracowników o ujawnienie ich tożsamości.

Jeśli zgłoszenia są dokonywane przez wewnętrzną info linię, istnieje ryzyko, że sygnalista zostanie rozpoznany po głosie przez osobę odbierającą telefony. Dodatkowo rozmowy te są często nagrywane. Dlatego dyrektywa bardzo skrupulatnie podchodzi do kwestii anonimowości zgłoszeń. Pracodawcy powinni więc dążyć do zapewnienia pełnej anonimowości sygnalistów i ochrony przed działaniami odwetowymi. To jeden z głównych celów, który unijny prawodawca wskazuje już w preambule dyrektywy, przywoływany także polskiego ustawodawcę.

Dyrektywa definiuje anonimowość w dwóch aspektach:

• możliwości dokonania zgłoszenia bez podania danych osobowych,
• obowiązku zachowania poufności danych osobowych zgłaszającego oraz innych osób, których dotyczy zgłoszenie.

Szczególne traktowanie anonimów

Przy zgłoszeniu anonimowym procedura whistleblowingowa uruchomi się tylko wtedy, gdy możliwość takiego zgłoszenia zostanie wcześniej przewidziana. Jeśli jej nie będzie, to otrzymane zgłoszenie anonimowe z wewnętrznego punktu widzenia będzie nieprawidłowe, a tym samym – zgodnie z art. 7 u.o.s. – nie będzie podlegać pod rygor procedury.

Ochroni to pracodawców przed fałszywymi oskarżeniami, np. ze strony konkurencji, oraz zabezpieczy przed nieuzasadnionymi zgłoszeniami.

Jeżeli sygnalista zdecyduje się ujawnić swoją tożsamość, to prawo gwarantuje mu ochronę jego danych osobowych przed nieupoważnionymi osobami. Gwarancja ta obejmuje również wszelkie inne informacje, które mogą bezpośrednio lub pośrednio zidentyfikować tożsamość zgłaszającego. Pracodawca powinien zapewnić tę ochronę nie tylko w przepisach wewnętrznych (tj. w procedurze), lecz także poprzez konkretne rozwiązania techniczne, np. poprzez bardzo ostrożne zarządzanie dostępem do adresów e-mailowych dedykowanych procesowi whistleblowingowemu. Dyrektywa przewiduje wyjątki od obowiązku zachowania poufności, gdy ujawnienie jest konieczne i proporcjonalne do obowiązków wynikających z przepisów prawa, np. w kontekście działań prowadzonych przez organy władzy w celu zagwarantowania prawa do obrony. Przepisy u.o.s. jednak nie precyzują tego wprost, co może budzić wątpliwości. Sygnalista może zawsze zgodzić się na ujawnienie swojej tożsamości. Przy czym pracodawcy muszą dbać o to, by tożsamość sygnalisty nie była przedmiotem zakładowych plotek, reagować na szykany ze strony innych pracowników oraz przeciwdziałać mobbingowi i innym formom nękania.

Procedura whistblowingowa wiąże się też z ryzykiem, zwłaszcza w kontekście ochrony danych osobowych. Jeżeli tożsamość sygnalisty zostanie ujawniona na skutek ataku hakerskiego, to rodzi się pytanie o zakres odpowiedzialności pracodawcy lub zewnętrznej firmy obsługującej zgłoszenia. W takich sytuacjach szczególne znaczenie mają środki ochrony przed działaniami odwetowymi oraz surowa odpowiedzialność karna przewidziana u.o.s.

Spory mogą również dotyczyć przypadków, gdy zwolniony pracownik twierdzi, że rzeczywistym powodem zwolnienia było jego zgłoszenie, o którym pracodawca się dowiedział. Aby zapobiec takim sytuacjom i zminimalizować ryzyko, należy wdrożyć skuteczny system zgodny z zasadami anonimowości wskazanymi w dyrektywie. Jej przepisy umożliwiły polskiemu ustawodawcy wprowadzenie obowiązku rozpatrywania anonimowych zgłoszeń, jednak ostateczną decyzję w tym zakresie pozostawiono pracodawcom. Zgodnie z u.o.s. muszą oni w procedurze zgłoszeń wewnętrznych określić, czy anonimowe zgłoszenia są dopuszczalne w ich organizacji.

Stosunek firm do takich zgłoszeń jest różny. Na podstawie naszych doświadczeń dostrzegamy korzyści z wprowadzenia wewnętrznego obowiązku reakcji na każde takie zgłoszenie. Brak wiary w skuteczność zgłaszania naruszeń jest jednym z głównych czynników zniechęcających potencjalnych sygnalistów. Jeśli pracownicy będą przekonani, że ich zgłoszenia mogą zostać zignorowane, mniej chętnie będą ujawniać nieprawidłowości, co może zaszkodzić pracodawcy, który nie uzyska cennych informacji o możliwych problemach w firmie. Ponadto, nawet jeśli zarzut wskazany w zgłoszeniu się nie potwierdzi, każda procedura wyjaśniająca, będąca częścią szerszego compliance, może przynieść pozytywne, a często wręcz niespodziewane rezultaty. Badając bowiem jedną potencjalną nieprawidłowość, można przypadkowo odkryć inną.

WAŻNE! Przepisy krajowe przewidują surowe sankcje karne dla osób, które dokonały zgłoszenia lub ujawnienia publicznego informacji o naruszeniach, wiedząc, że są one nieprawdziwe. Oznacza to, że nawet anonimowe zgłoszenia powinny zawierać prawdziwe informacje.

Osoby, które zdecydują się świadomie zawrzeć w zgłoszeniu informacje niezgodne z prawdą, mogą być narażone na grzywnę, karę ograniczenia wolności albo pozbawienia wolności do dwóch lat.

Takie działania są nieakceptowalne i należy je piętnować już na poziomie wewnętrznym. Dlatego, niezależnie od przepisów prawa, poddajemy pod rozwagę wprowadzenie wewnętrznych sankcji za dokonanie zgłoszenia w złej wierze, np. odpowiadających sankcjom za nieprawidłowości wskazane w fałszywym zgłoszeniu.

Fałszywe zgłoszenia

Nie można wykluczyć ryzyka, że podmioty konkurencyjne mogą składać nieprawdziwe, anonimowe zgłoszenia, aby utrudnić funkcjonowanie danej organizacji. Teoretycznie przedstawiciele konkurencji będą mogli korzystać z wewnętrznych kanałów zgłaszania, które będą dostępne dla szerokiego grona zatrudnionych, a także klientów i kontrahentów z zewnątrz.

Rzetelna weryfikacja treści zgłoszeń, nawet anonimowych, poprzez przeprowadzenie postępowań wyjaśniających, leży w interesie pracodawców. Warto wykazać inicjatywę, poszukiwać dowodów, wdrażać odpowiednie i jasne procedury oraz reagować na każde zgłoszenie. Lepiej poświęcić czas na rozpatrzenie kilkunastu zgłoszeń dotyczących niepotwierdzonych nieprawidłowości, niż pominąć jedno zgłoszenie dotyczące realnego problemu, którego niewykrycie może prowadzić do długotrwałego procesu sądowego i potencjalnie wielomilionowych strat.

Uwaga! W przypadku anonimowych zgłoszeń nie można wyciągnąć konsekwencji wobec zgłaszającego, którego tożsamość nie jest znana. Rekomendujemy porzucenie prób ustalania tożsamości anonimowego sygnalisty, co jest nie tylko sprzeczne z prawem, lecz także najczęściej niemożliwe w praktyce. Dyrektywa przewiduje możliwość anonimowych zgłoszeń i takie zgłoszenia muszą pozostać anonimowe, a sygnaliści nie mogą być narażeni na działania odwetowe.

podział obowiązków przy obsłudze zgłoszeń wewnętrznych

Podczas rozpatrywania zgłoszenia należy umiejętnie podejść do kwestii gromadzonych materiałów, aby mogły one później posłużyć jako dowody w sprawie, także w postępowaniu sądowym.

Osoba odpowiedzialna za przyjmowanie zgłoszeń, np. compliance officer, powinna w pierwszej kolejności przeprowadzić wstępną ocenę zgłoszenia, aby zidentyfikować główne ryzyka dla organizacji związane z zarzucanym nadużyciem. Dalsze kroki zależą od rodzaju naruszenia, zakresu przekazanych informacji oraz osób, których dotyczy zgłoszenie (domniemanych sprawców lub ofiar naruszenia). Jeśli zgłoszenie zawiera dane nadawcy, to przed przekazaniem sprawy do dalszego rozpoznania należy zapewnić jego anonimowość. W tym celu warto nadać projektowi neutralną nazwę, np. „Projekt Szafir” zamiast „Sprawa A. Kowalskiego”.

Przy merytorycznej weryfikacji zgłoszenia warto wyodrębnić bloki tematyczne związane z daną nieprawidłowością, np. mobbing, defraudacja firmowych środków czy praca cudzoziemców bez wymaganych zezwoleń.

Kierując się zasadą need-to-know, do każdego z wyodrębnionych bloków należy przypisać osobną listę osób, które trzeba zaangażować, udostępniając im informacje jedynie w zakresie ich specjalizacji. Wiedzę na temat mobbingu mogą mieć np. menedżerowie lub osoby z działu HR, natomiast w kwestiach defraudacji kompetentne mogą być osoby z księgowości, działu finansowego lub sprzedaży.

Niezależnie od okoliczności nie należy lekceważyć żadnego zgłoszenia, nawet jeśli może ono być dokonane w złej wierze, np. jako wyraz buntu pracownika przeciwko politykom awansów czy po rozmowie dyscyplinującej. W interesie pracodawcy leży dokładna weryfikacja każdego zgłoszenia, ponieważ koszty i inne konsekwencje rozpatrzenia fałszywych zgłoszeń mogą być znacznie mniejsze niż te związane ze zignorowaniem zgłoszenia.

Zabezpieczenie dowodów

W kontekście zabezpieczania dowodów należy pamiętać o zasadach kontroli aktywności zatrudnionych, szczególnie w zakresie tajemnicy korespondencji. Praco dawca stosujący monitoring poczty służbowej może wykorzystać korespondencję pracowników jako dowód w sprawie, pod warunkiem że wcześniej poinformował ich o monitoringu (obowiązek ten wynika z ogólnych przepisów prawa pracy). Dostęp do wiadomości mailowych oznacza przetwarzanie danych osobowych zarówno pracownika, jak i jego rozmówców. Zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz. UE z 2016 r. L 119, s. 1; RODO) praco dawca może to robić w celu wypełnienia obowiązków i wykonywania szczególnych praw w dziedzinie prawa pracy oraz w razie konieczności ustalenia, dochodzenia lub obrony roszczeń. Te podstawy muszą być jednak jasno przez niego wykazane.

Uwaga! Często naruszenia dotyczą aktywności pracowników w sieci, np. w mediach społecznościowych. W przypadku zgłoszenia takiej aktywności należy zabezpieczyć dowody poprzez wykonanie zdjęć czy zrzutów ekranu. Warto rozważyć notarialne zabezpieczenie dowodów poprzez sporządzenie protokołu otwarcia strony internetowej z kontrowersyjnym wpisem. Jest to stosunkowo tanie rozwiązanie (ok. 200 zł) i może zdecydować o wyniku sporu sądowego. Jako środek prewencyjny zalecamy wprowadzenie wewnętrznych polityk regulujących zasady korzystania z mediów społecznościowych. Takie regulacje stają się standardem rynkowym i pomagają podnosić świadomość pracowników w zakresie korzystania z mediów społecznościowych oraz ochrony interesów pracodawcy.

W procesie weryfikacji zgłoszenia i zabezpieczania dowodów kluczowe jest dochowanie najwyższych standardów poufności i bezpieczeństwa informacji. Niedopuszczalne jest, aby wyjaśnianie okoliczności zgłoszenia stawało się zakładową plotką, co może wpłynąć na wartość dowodową zeznań świadków, którzy bazują na pogłoskach zamiast na zweryfikowanych informacjach.

Protokół końcowy

Przepisy chroniące sygnalistów kładą szczególny nacisk na poufność i ochronę danych osobowych, umożliwiając sygnalistom pozostanie anonimowym. W ramach postępowania wyjaśniającego komisja uzyska wiele poufnych informacji dotyczących sygnalisty, potencjalnych sprawców naruszeń i osób postronnych. Tematy poruszane podczas rozmów mogą mieć charakter intymny lub osobisty, dotyczący relacji interpersonalnych, atmosfery w zespole czy sytuacji konfliktowych.

W związku z powyższym krąg osób, które będą mieć dostęp do protokołu (raportu) z posiedzeń komisji, i samej skargi, powinien być ustalany zgodnie z zasadą need-to-know. Oprócz samej komisji, która może działać zarówno jako stała, jak i ad hoc, podstawowym adresatem raportu jest zarząd. To on odpowiada za podejmowanie decyzji dotyczących działań zaradczych oraz ponosi odpowiedzialność za skutki stwierdzonych nadużyć. Jako najważniejszy organ w strukturze organizacji zarząd ma najszerszą wiedzę o firmie, co pozwala na ocenę wniosków zawartych w protokole.

W firmach, gdzie występuje compliance officer, powinien on również mieć dostęp do wyników posiedzeń komisji. Jego zadaniem jest identyfikacja ryzyk i zagrożeń oraz proponowanie środków prewencyjnych, co wymaga pełnej wiedzy o stwierdzonych nieprawidłowościach.

Każdy przypadek udzielenia dostępu do wyników pracy komisji powinien być oceniany indywidualnie, krąg odbiorców należy minimalizować. W uzasadnionych przypadkach po otrzymaniu stosownych oświadczeń o zachowaniu poufności można przekazać protokół np. dyrektorowi HR lub osobie zarządzającej daną jednostką organizacyjną.

WAŻNE! Nigdy nie można przekazywać protokołu samemu sygnaliście czy sprawcy nieprawidłowości. Sygnalistę trzeba poinformować o stwierdzonych nieprawidłowościach, ale nie przez bezpośrednie przekazanie protokołu. Nie jest również właściwe przekazywanie całego protokołu wysłuchiwanym osobom, aby potwierdziły zgodność wniosków z ich wyjaśnieniami.

Świadkowie powinni przekazywać komisji wszelkie informacje, które uzna ona za wartościowe, a to do niej należy zadbanie o odpowiednie zapisy w protokole. ramka 4

outsourcing, dzielenie zasobów i wyzwania

w grupach kapitałowych

Zagadnienie wspólnych działań w kontekście ochrony sygnalisty w grupach kapitałowych ma bardzo praktyczną genezę. Część podmiotów zwyczajnie nie ma w swoich zasobach odpowiednich środków administracyjnych do wykonywania jakichkolwiek czynności z zakresu prawa HR, a co dopiero odbierania i rozpatrywania zgłoszeń o naruszeniach. Wobec powszechnych struktur holdingowych i grup kapitałowych korzystających z jednej ze spółek zależnych jako shared service nic dziwnego, że prawo dawcy polski i unijny zdecydowali się rozstrzygnąć tę kwestię. Polska u.o.s. oraz dyrektywa pozwalają na dwa rozwiązania, które mogą usprawnić funkcjonowanie kanałów zgłoszeń w przypadku podmiotów powiązanych.

Komisja Europejska w celu ułatwienia implementowania i stosowania dyrektywy zdecydowała się na opublikowanie protokołów spotkań specjalnej grupy eksperckiej. Podczas nich szeroko zostały omówione rozwiązania, które dyrektywa przewiduje dla grup kapitałowych oraz współdzielenia zasobów. Polska u.o.s. w żaden sposób nie odnosi się do tych kwestii, miejscami wręcz przecząc wypracowanym rozwiązaniom. Budzi to wiele dyskusji i wątpliwości w zakresie wdrażania tych regulacji w podmiotach należących do grup kapitałowych.

• Co oznacza współdzielenie zasobów?

Należy przez to rozumieć sposób współpracy podmiotów w zakresie korzystania ze wspólnych kanałów zgłoszeń oraz prowadzenia postępowań wyjaśniających. Jest to rozwiązanie ułatwiające spełnienie obowiązków. Strony umowy o współdzielenie zasobów mogą w sposób dowolny – acz zgodny z przepisami – kształtować zarządzanie zgłoszeniami.

Współdzielenie zasobów zgodnie z u.o.s. jest dopuszczalne:

• wyłącznie dla podmiotów w sektorze prywatnym,
• niezależnie od powiązań między spółkami,
• przy zawarciu osobnej umowy o współdzieleniu zasobów,
• gdy wszystkie strony umowy zatrudniają od 50 do 249 osób (w przeliczeniu na pełne etaty).

Mimo że współdzielenie zasobów pozwala na odpowiednie działanie administracyjne, należy pamiętać, że na pracodawcach nadal ciążą pozostałe obowiązki wynikające z przepisów, w tym obowiązek ustanowienia procedury zgłoszeń wewnętrznych. Oznacza to, że sama umowa z podmiotem „obsługującym” zgłoszenia nie będzie wystarczająca, a każdy, kogo u.o.s. zobowiązuje do ustalenia wewnętrznej procedury zgłoszeń, będzie musiał spełnić ten wymóg.

Kolejnym ograniczeniem, na które należy zwrócić uwagę, jest limit osób zatrudnionych. Spółka, która chce zweryfikować tę liczbę, powinna uwzględnić w niej nie tylko pracowników, lecz także osoby zatrudnione na innych podstawach. Oznacza to dodatkowe utrudnienie dla organizacji ‒ szczególnie jeśli liczba zatrudnionych okresowo się zwiększa albo zmniejsza. Warto podkreślić, że zgodnie z u.o.s. zmiana poziomu zatrudnienia poniżej 50 osób skutkuje tym, że dana spółka – o ile dalej chce stosować procedury zgłoszeń wewnętrznych – będzie zobowiązana do samodzielnego działania w tym zakresie. W praktyce może to oznaczać, że grupa spółek, w której jedna z nich zatrudnia mniejszą niż 50 liczbę osób, nie będzie mogła współdzielić zasobów. Przepisy w tym zakresie nie mają charakteru sprzyjającego przedsiębiorcom, którzy muszą stale kontrolować poziom zatrudnienia, żeby spełniać wymogi u.o.s. Dyrektywa w przeciwieństwie do przepisów krajowych pozwala (zgodnie z opinią grupy eksperckiej Komisji Europejskiej) na współdzielenie zasobów jednostek o liczebności mniejszej niż 50 zatrudnionych, jeśli są to jednostki, które muszą obowiązkowo wdrożyć omawianą procedurę. W naszej ocenie są argumenty, aby takie podejście rozszerzyć celowościowo także na te mniejsze podmioty, które nie są ustawowo zobowiązane do wdrożenia stosownej procedury sygnalistów.

Poza współdzieleniem zasobów u.o.s. dopuszcza pewne ułatwienia wobec grup kapitałowych. Pojęcie to jest dość obszerne i obejmuje swoją definicją wiele konfiguracji podmiotów prawnych. W przypadku u.o.s. prawodawca zdecydował się na definicję z art. 4 ust. 14 ustawy z 16 lutego 2007 r. o ochrony konkurencji i konsumentów (t.j. Dz.U. z 2024 r. poz. 594). Grupą kapitałową są wszyscy przedsiębiorcy, którzy są kontrolowani w sposób bezpośredni lub pośredni przez jednego przedsiębiorcę, w tym również ten przedsiębiorca. Definicja ta, choć przywoływana w innych aktach prawnych, nie jest idealna i może budzić pewne wątpliwości interpretacyjne – szczególnie w kontekście struktur międzynarodowych.

Jedna procedura w grupie kapitałowej

Zgodnie z art. 28 ust. 8 u.o.s. podmioty należące do grupy kapitałowej mogą ustalić wspólną procedurę zgłoszeń wewnętrznych pod warunkiem zapewnienia zgodności wykonywanych czynności z ustawą.

Ten skromny w swej treści przepis ma ogromny wpływ na praktykę funkcjonowania procedur zgłoszeń wewnętrznych w grupach kapitałowych. Został on dodany na ostatniej prostej procesu legislacyjnego i w żaden sposób nie był konsultowany. Choć potencjalnie jest bardzo korzystny dla pracodawców, bo ma ułatwiać procedowanie w sprawach sygnalistów w grupach kapitałowych, to jednak jego faktyczna skuteczność budzi wątpliwości z perspektywy treści dyrektywy i wytycznych grupy eksperckiej KE.

Ministerstwo Rodziny, Pracy i Polityki Społecznej w trakcie jednego z posiedzeń parlamentarnej komisji polityki społecznej i rodziny przyznało, że przepis ten należy interpretować szeroko. Zgodnie ze stanowiskiem resortu zamysłem jego wprowadzenia było wdrożenie jednej procedury dla całej grupy kapitałowej i dowolne (ale zgodne z przepisami) uregulowanie kwestii podejmowania działań następczych. Zgodnie z tą interpretacją dopuszczalne byłoby zarządzanie zgłoszeniami w jednej ze spółek z grupy, aby odciążyć pozostałe spółki, które nie mają możliwości lub chęci zaangażowania się w te kwestie.

Podsumowując, zdaniem resortu pracy możliwa jest taka interpretacja u.o.s., która pozwala na ustanowienie jednego, scentralizowanego kanału zgłoszeń od sygnalistów w ramach grupy kapitałowej, a także przyznanie wybranej spółce możliwości przyjmowania i rozpatrywania zgłoszeń w oderwaniu od relacji łączących sygnalistę i spółkę, której zgłoszenie dotyczy. Pogląd ten może jednak budzić wątpliwości.

Brak spójności

Rozwiązanie przyjęte w u.o.s. może się okazać nie do końca spójne z koncepcją prezentowaną w dyrektywie i przez grupę ekspercką KE. Zgodnie bowiem z motywem 55 dyrektywy procedury wewnętrzne powinny pozostawać otwarte także dla pracowników spółek zależnych, ale w miarę możliwości dla wszystkich przedstawicieli lub dostawców podmiotów z grupy. Motyw ten należy odczytywać jedynie jako nakaz pozostawania otwartym na zgłoszenia z różnych poziomów grupy, a nie jako uzasadnienie dla możliwości scentralizowania przyjmowania i rozpoznawania zgłoszeń wyłącznie na poziomie grupy.

Przepisy u.o.s. i dyrektywy nie wyłączają możliwości pozostawienia dotychczasowych kanałów grupowych. Grupa ekspercka KE jasno wskazała, że celem dyrektywy nie jest usuwanie istniejących kanałów o zasięgu globalnym, ale jedynie dodanie do nich kanałów lokalnych na poziomie podmiotów zatrudniających co najmniej 50 osób. To sygnalista powinien w ramach przedstawionych możliwości podjąć świadomą decyzję dotyczącą tego, czy dokonać zgłoszenia w ramach centralnego, grupowego kanału, czy też kanału lokalnego.

Grupa ekspercka KE wyraźnie podkreśliła, że posiadanie tylko jednego kanału zgłoszeń jest niedopuszczalne, a przepisy dyrektywy nie przewidują wyjątków dla grup kapitałowych.

Są jednak dwa ułatwienia dla podmiotów z grupy kapitałowej.

▶ Pierwszym jest możliwość zlecenia rozpatrzenia zgłoszenia i przygotowania rekomendacji wyspecjalizowanym podmiotom trzecim, np. kancelariom prawnym czy wyspecjalizowanym firmom (przy czym podmioty z grupy kapitałowej nie są podmiotami trzecimi w rozumieniu dyrektywy, choć nie wynika to wprost z u.o.s.).

▶ Drugim jest możliwość – po spełnieniu określonych warunków – przekazania zgłoszenia przez średnią spółkę (50‒249 osób zatrudnionych) do spółki matki, która w razie braku sprzeciwu sygnalisty rozpozna jego zgłoszenie i przekaże rekomendacje spółce zależnej, która następnie samodzielnie podejmie dalsze działania.

Dodatkowo, w przypadku zgłoszenia strukturalnego lub dotyczącego dwóch lub więcej spółek w grupie dopuszczalne jest uznanie, że posłużenie się lokalną procedurą nie pozwoli na prawidłowe zaadresowanie problemu. W takim przypadku – zdaniem grupy eksperckiej KE – dopuszczalne jest uzyskanie zgody sygnalisty na rozpatrzenie zgłoszenia przez odpowiedni podmiot, np. spółkę dominującą. Oznacza to, że dyrektywa w takim wyjątkowym przypadku pozwala na oddelegowanie rozpatrzenia zgłoszenia na inną spółkę w grupie, przedkładając tym samym efektywność zgłoszenia nad literalne brzmienie przepisów. ramka 5

zakaz działań odwetowych

Zgodnie z drugim rozdziałem u.o.s. wobec sygnalisty nie mogą być podejmowane działania odwetowe ramka 6 ani próby lub groźby takich działań. Ich podjęcie wobec sygnalisty, osoby pomagającej w dokonaniu zgłoszenia lub osoby powiązanej z sygnalistą zostało zagrożone sankcją karną.

Działania odwetowe są czasem nieprawidłowo interpretowane. Może to skutkować pochopnym i niekorzystnym działaniem. Najistotniejsze pułapki związane z działaniami odwetowymi wiążą się z potrzebą prawidłowej komunikacji wewnątrz organizacji i zachowania obiektywnego procesu decyzyjnego. Biorąc pod uwagę przykłady takich działań podane w ramce 6, trzeba podkreślić, że mogą one wystąpić w każdej organizacji. Istotne jest to, aby u ich podstaw leżały obiektywne przyczyny, a żadna osoba nimi dotknięta nie miała pretekstu do dochodzenia ewentualnych roszczeń.

To na pracodawcy spoczywa ciężar dowodu, że podjęte działanie nie ma charakteru odwetowego. Jakiekolwiek działanie, które miałoby takie cechy, powinno zostać zatem dokładnie rozważone. W każdym procesie decyzyjnym trzeba pamiętać, że osoba, co do której podejmuje się decyzje, może mieć status osoby chronionej przed działaniem odwetowym. Wśród takich osób u.o.s. wyróżnia:

• sygnalistę,
• osobę pomagającą w dokonaniu zgłoszenia,
• osobę powiązaną z sygnalistą,
• osoby prawne lub inne jednostki organizacyjne pomagające sygnaliście lub z nim powiązane.

Jak zatem widać, katalog osób, które mogą zarzucić nieobiektywnej decyzji miano „działań odwetowych”, jest szeroki.

Ochrona to nie immunitet

Czasem pułapki w kontekście stosowania przepisów są tworzone przez samych pracodawców, którzy dokonują nieprawidłowej ich interpretacji. Jednym z podstawowych mitów dotyczących ochrony sygnalisty jest zakaz rozwiązania jego stosunku pracy. Trzeba podkreślić, że ochrona przyznana sygnaliście nie jest absolutna i wiąże się wyłącznie z dokonanym zgłoszeniem. To zatem oznacza, że w razie złych wyników pracy lub z innego obiektywnie istotnego powodu dopuszczalne jest działanie w kierunku rozwiązania z taką osobą stosunku pracy. Istotne jest jednak to, że pracodawca będzie zobowiązany do udowodnienia w razie sporu, że jego działanie nie miało charakteru odwetowego.

Każdorazowe podjęcie decyzji – od skierowania na szkolenie po rozwiązanie stosunku pracy ‒ powinno być poprzedzone działaniem wewnętrznych komórek, które zbadają, czy planowane działania nie mają charakteru działań odwetowych. Dobrą praktyką jest udokumentowanie procesu decyzyjnego, aby w razie sporu być gotowym na potwierdzenie prawidłowości działań organizacji. W ten sposób spółka uniknie sytuacji, w której jest zaskoczona roszczeniem i nie ma jak na nie odpowiedzieć.

Warto zauważyć, że osoby podejmujące decyzje w organizacji mogą w zasadzie nie wiedzieć o tym, że osoba, na którą ich decyzje wypłyną, jest chroniona przed działaniami odwetowymi. Narzuca to na organizację podwyższoną czujność przy podejmowaniu wszelkich decyzji osobowych i analizie ryzyka związanego z zarzutem podejmowania działań odwetowych.

WAŻNE! W razie wystąpienia działań odwetowych osoba chroniona ma prawo żądać odszkodowania w wysokości nie niższej niż przeciętne miesięczne wynagrodzenie w gospodarce narodowej w poprzednim roku lub zadośćuczynienia. W 2024 r. minimalne odszkodowanie dla sygnalisty wyniosłoby zatem 7155,48 zł. Ustawodawca nie zdecydował się na wskazanie górnego limitu.

Uwaga! Pracodawca, który nie chce wpaść w pułapki związane z potencjalnym zarzutem działań odwetowych, powinien zachować należytą staranność we wdrożeniu prawidłowej procedury zgłoszeń wewnętrznych oraz przy podejmowaniu decyzji osobowych. Szczególnie istotne jest przeprowadzenie obiektywnej oceny podejmowanych decyzji, aby w razie zarzutów móc podołać ciężarowi dowodu i udowodnić, że podjęte działania nie mają charakteru odwetowego i wynikają z obiektywnych przesłanek. Nie można rozumieć ochrony sygnalisty jako ochrony absolutnej. Należy bezwzględnie pamiętać, że sygnalista pracownik ma po prostu status pracownika i wynikające z niego obowiązki.

odpowiednie upoważnienia – rodo i poufność

Zgodnie z art. 17 dyrektywy przetwarzania danych osobowych zgodnie z jej przepisami, w tym wymiany lub przekazywania danych osobowych przez właściwe organy, dokonuje się zgodnie z RODO. Dane osobowe, które w sposób oczywisty nie mają znaczenia dla rozpatrywania konkretnego zgłoszenia, nie są zbierane, a w razie przypadkowego zebrania są usuwane bez zbędnej zwłoki.

Ponadto w myśl motywu 83 dyrektywy należy zwrócić szczególną uwagę na określone w art. 5 RODO zasady przetwarzania danych:

• zgodności z prawem, rzetelności i przejrzystości,
• ograniczenia celu przetwarzania danych,
• minimalizacji danych,
• prawidłowości,
• ograniczenia przechowywania,
• integralności i poufności,
• rozliczalności.

Implikuje to wiele obowiązków dla całego systemu whistleblowingowego.

Zakres chronionych danych

W polskiej u.o.s. również jest sporo regulacji dotyczących przetwarzania danych osobowych. Podstawowa zasada została określona w jej art. 8 – „dane osobowe sygnalisty, pozwalające na ustalenie jego tożsamości, nie podlegają ujawnieniu nieupoważnionym osobom, chyba że za wyraźną zgodą sygnalisty”.

Tajemnicą powinna pozostać również sama treść zgłoszenia jako taka. Przekazując informacje objęte treścią zgłoszenia, należy mieć na uwadze zasadę need-to-know – dostęp do tych informacji powinny mieć tylko te osoby, którym jest to niezbędne do podjęcia odpowiednich działań. Ustawa chroni dane osobowe nie tylko sygnalistów, lecz także ewentualnych sprawców naruszeń czy świadków opisywanych w zgłoszeniu zdarzeń. Co istotne – pracodawca po otrzymaniu zgłoszenia będzie mógł w celu weryfikacji zgłoszenia oraz podjęcia działań następczych zbierać i przetwarzać dane osobowe osoby, której dotyczy zgłoszenie, nawet bez jej zgody.

Zgodnie z art. 27 u.o.s. podmiot prawny – w tym pracodawca – musi zagwarantować, że procedura zgłoszeń wewnętrznych oraz związane z przyjmowaniem zgłoszeń przetwarzanie danych osobowych uniemożliwiają nieupoważnionym osobom uzyskanie dostępu do informacji objętych zgłoszeniem oraz zapewniają ochronę poufności tożsamości:

• sygnalisty,
• osoby, której dotyczy zgłoszenie,
• osoby trzeciej wskazanej w zgłoszeniu.

Ochrona poufności dotyczy wszystkich informacji, na podstawie których można bezpośrednio lub pośrednio zidentyfikować tożsamość takich osób.

Do przyjmowania i weryfikacji zgłoszeń wewnętrznych, podejmowania działań następczych oraz przetwarzania danych osobowych ww. osób mogą być dopuszczone wyłącznie osoby, które mają pisemne upoważnienie podmiotu prawnego (pracodawcy). Trzeba więc zadbać o udzielenie stosownych upoważnień.

Ponadto osoby upoważnione będą miały obowiązek zachowania tajemnicy co do informacji i danych osobowych, które uzyskały w ramach przyjmowania i weryfikacji zgłoszeń wewnętrznych oraz podejmowania działań następczych, także po ustaniu stosunku pracy lub innego stosunku prawnego, w ramach którego wykonywały tę pracę.

Danych osobowych, które w sposób oczywisty nie mają znaczenia dla rozpatrywania konkretnego zgłoszenia, nie należy zbierać, a w przypadku ich przypadkowego zebrania powinno się je usunąć bez zbędnej zwłoki.

Podstawa przetwarzania danych

Problematyczne może się okazać wskazanie podstawy prawnej przetwarzania danych osobowych w toku procedury whistleblowingowej. Wydawać się może, że w przypadku sygnalistów, którzy zdecydują się na podpisanie zgłoszenia poprzez opatrzenie go swoim imieniem i nazwiskiem – a którzy mogliby tego uniknąć, bo pracodawca dopuścił przyjmowanie zgłoszeń anonimowych – można przyjąć, że podstawą przetwarzania będzie w takim przypadku ich zgoda. Podejście takie jest jednak nieprawidłowe w kontekście celu przetwarzania danych osobowych, w szczególności z uwagi na możliwość wycofania zgody w dowolnym czasie, co w konsekwencji mogłoby uniemożliwić dalsze prowadzenie postępowania wyjaśniającego w sytuacji, w której pracodawca dysponuje już informacją o potencjalnej nieprawidłowości.

Jak już wspomniano, sama u.o.s. przewiduje, że pracodawca po otrzymaniu zgłoszenia może w celu weryfikacji zgłoszenia oraz podjęcia działań następczych zbierać i przetwarzać dane osobowe osoby, której dotyczy zgłoszenie, nawet bez jej zgody. Należy więc przyjąć, że podstawą przetwarzania danych osobowych sygnalistów będzie niezbędność realizacji obowiązku prawnego administratora lub prawnie uzasadniony interes polegający na wszczęciu i przeprowadzeniu postępowania wyjaśniającego. Tożsame podstawy znajdą zastosowanie również do przetwarzania danych innych uczestników zgłoszenia i postępowania, np. świadków czy potencjalnych sprawców. Ustawa określa ich jako osoby pomagające w dokonaniu zgłoszenia lub osoby powiązane z sygnalistą.

Obsługa kanału zgłoszeń przez podmiot zewnętrzny

Dyrektywa przewiduje, że kanały dokonywania zgłoszeń mogą być także zapewniane zewnętrznie przez osobę trzecią. W takim przypadku warunki funkcjonowania takich kanałów (zabezpieczenia i wymogi) stosuje się również do osób trzecich, którym powierzono obsługę kanału dokonywania zgłoszeń na rzecz pracodawcy. Przepisy unijne dają możliwość obsługiwania kanałów zgłoszeń przez podmiot inny niż pracodawca. Konieczne jest przy tym zachowanie wymogów określonych w dyrektywie.

Polska u.o.s. również daje możliwość korzystania przez pracodawcę (administratora danych) z usług zewnętrznych dostawców infrastruktury whistleblowingowej. W takiej sytuacji procedura zgłoszeń wewnętrznych powinna określać podmiot, który został upoważniony przez pracodawcę do przyjmowania zgłoszeń.

Upoważnienie podmiotu zewnętrznego wymaga zawarcia z nim stosowanej umowy. Musi ona określać szczegółowe prawa i obowiązki podmiotu zewnętrznego związane z przetwarzaniem danych osobowych. Zawarcie takiej umowy nie uchyla odpowiedzialności samego pracodawcy za dochowanie obowiązków w zakresie poufności.

Co istotne, w takim wypadku zastosowanie znajdują analogiczne zasady jak przy obsłudze zgłoszeń bez korzystania z usług zewnętrznych. Do przyjmowania i weryfikacji zgłoszeń, podejmowania działań następczych oraz przetwarzania danych osobowych mogą być dopuszczone wyłącznie osoby mające pisemne upoważnienie pracodawcy. Prawo wymaga od nich zachowania faktu przetwarzanych danych w tajemnicy.

• Na jakie kwestie techniczne musi zwrócić uwagę pracodawca jako administrator danych osobowych, jeśli chodzi o kwestie organizacyjno-techniczne ochrony danych osobowych sygnalisty?

RODO i u.o.s. obligują go do wdrożenia odpowiednich środków technicznych w tym zakresie, m.in. do odpowiedniego zabezpieczenia serwerów, ustanowienia silnych haseł dostępu czy przeszkolenia osób odpowiedzialnych za rozpatrywanie zgłoszeń i zobowiązania ich do zachowania danych w tajemnicy.

Pracodawcy powinni również zaktualizować, a jeśli ich nie posiadają – niezwłocznie wdrożyć, odpowiednie polityki ochrony danych osobowych, uwzględniające rozwiązania whistleblowingowe. Dokumenty te powinny łączyć zasady ochrony sygnalistów i ochrony danych osobowych.

Warto przy tym pamiętać, że u.o.s. przewiduje dwa okresy retencji danych w związku z przyjmowaniem zgłoszeń:

1) dane osobowe oraz pozostałe informacje w rejestrze zgłoszeń wewnętrznych są przechowywane przez trzy lata po zakończeniu roku kalendarzowego, w którym zakończono działania następcze, lub po zakończeniu postępowań zainicjowanych tymi działaniami;

2) dane osobowe przetwarzane w związku z przyjęciem zgłoszenia lub podjęciem działań następczych oraz dokumenty związane z tym zgłoszeniem są przechowywane przez podmiot prawny przez trzy lata po zakończeniu roku kalendarzowego, w którym przekazano zgłoszenie zewnętrzne do organu publicznego właściwego do podjęcia działań następczych lub zakończono działania następcze, lub po zakończeniu postępowań zainicjowanych tymi działaniami.

odpowiedzialność karna

Gwarancją skuteczności systemu ochrony sygnalistów mają być sankcje karne (zostały zapisane w rozdziale 6 u.o.s.). Mają one:

• po pierwsze – motywować do ustanawiania procedury zgłoszeń,
• po drugie – zniechęcać do podejmowania działań sprzecznych z u.o.s. względem sygnalistów,
• po trzecie – zniechęcać samych sygnalistów do działania w złej wierze i dokonywania nieprawdziwych zgłoszeń.

Ochroną zostali więc objęci nie tylko sami sygnaliści, lecz także osoby pomówione przez zgłaszających w złej wierze.

Naruszenie nowych przepisów w głównej mierze stanowić będą przestępstwa zagrożone karą grzywny, karą ograniczenia wolności albo nawet karą pozbawienia wolności do lat 3.

Wymogi dyrektywy

Dyrektywa nakazuje, aby państwa członkowskie ustanowiły sankcje:

• skuteczne,
• proporcjonalne,
• odstraszające,

stosowane wobec osób fizycznych lub prawnych, które:

a) utrudniają lub usiłują utrudniać dokonywanie zgłoszeń,

b) podejmują działania odwetowe wobec sygnalistów,

c) wszczynają uciążliwe postępowania przeciwko sygnalistom,

d) dopuszczają się naruszeń obowiązku zachowania poufności tożsamości osób dokonujących zgłoszenia

a także w stosunku do osób dokonujących zgłoszenia, wobec których ustalono, że świadomie dokonały zgłoszenia lub ujawnienia publicznego nieprawdziwych informacji.

Dyrektywa określa więc zachowania, których karalność należy zapewnić w prawie krajowym. Nie wskazuje jednak rodzaju sankcji jako takich i nakazuje, aby określiły je państwa członkowskie.

Zgodnie z motywem 88 dyrektywy, jeżeli nie przeszkodzi się działaniom odwetowym i pozostaną one bezkarne, zadziała to zniechęcająco na potencjalnych sygnalistów. Wyraźny zakaz prawny działań odwetowych ma mieć więc efekt odstraszający, dodatkowo wzmocniony przez przepisy dotyczące odpowiedzialności osobistej sprawców działań odwetowych.

Ponadto zgodnie z motywem 101 dyrektywy, każdy, kto dozna uszczerbku – bezpośrednio lub pośrednio – w wyniku zgłoszenia lub ujawnienia publicznego niedokładnych lub wprowadzających w błąd informacji, powinien zachować przysługujące mu na mocy przepisów ogólnych prawa krajowego prawo do środków ochrony prawnej.

Z kolei zgodnie z motywem 102 dyrektywy zapewnienie skuteczności przepisów dotyczących ochrony sygnalistów wymaga wprowadzenia sankcji o charakterze karnym, cywilnym lub administracyjnym. Decyzje w tym zakresie podejmują państwa członkowskie, które same wybierają, jakiemu reżimowi zechcą poddać odpowiedzialność za naruszenie przepisów o ochronie sygnalistów.

A co mówi polska ustawa o ochronie sygnalistów? Decyzją polskiego ustawodawcy zachowania, które dyrektywa nakazuje sankcjonować, objęto reżimem prawa karnego. Umotywowano to prewencyjnym i odstraszającym charakterem tych sankcji. W art. 54‒59 u.o.s. nie przewiduje żadnych dodatkowych typów przestępstw i wykroczeń poza tymi wskazanymi w dyrektywie. tabela

Kto odpowie

Z uwagi na przyjęty model odpowiedzialności karnej, za wskazane art. 54–59 u.o.s. naruszenia odpowiadać będą osoby fizyczne. Kary będą mogły być wymierzone m.in. członkowi zarządu, HR managerowi, compliance officerowi czy każdej innej osobie, która dopuści się sprzecznych z u.o.s. czynów. Wszystko będzie zależało od konkretnych okoliczności danego przypadku. Każdorazowo konieczne będzie ustalenie osoby odpowiedzialnej za naruszenie przepisów, z uwzględnieniem struktury organizacyjnej przedsiębiorstwa, obszarów odpowiedzialności i faktycznego procesu decyzyjnego.

Ocena przyjętych rozwiązań

Decyzją ustawodawcy naruszenia u.o.s. będą sankcjonowane na drodze karnej. Z uwagi na całokształt zaproponowanych rozwiązań w naszej ocenie są one zbyt daleko idące. Przewidziane przez ustawodawcę sankcje są dotkliwe, a ich wymierzenie będzie wymagało przeprowadzenia postępowania sądowego z wszystkimi tego konsekwencjami. Ponadto odpowiedzialność karną będą mogły ponieść jedynie osoby fizyczne, a nie osoby prawne.

Przyjęcie reżimu prawa karnego implikuje również zastosowanie ogólnych przepisów kodeksu karnego. Karalne będzie więc nie tylko samo sprawstwo (we wszystkich jego formach), lecz także usiłowanie, podżeganie oraz pomocnictwo do dokonania czynu zabronionego.

Pod uwagę należy wziąć również stres, jaki generuje postępowanie karne.

W naszej opinii dochodzenie odpowiedzialności za naruszenie przepisów u.o.s. niestety nie będzie ani szybkie, ani łatwe. Można byłoby tego uniknąć, gdyby ustawodawca zdecydował się sankcjonować niepożądane zachowania na drodze administracyjnej. Wówczas proces sankcjonowania mógłby zostać ograniczony do sprawnej procedury administracyjnej, zakończonej nałożeniem mandatu. Tak się jednak nie stało. Praktyka pokaże, czy wybór ścieżki karnej był słuszny.

Podsumowanie

▶ Pracodawcy w prowadzeniu biznesu i zatrudnianiu pracowników powinni kierować się najwyższymi standardami przestrzegania przepisów prawa, zasad compliance oraz etyki. Z tego względu tak ważne jest, aby wiedzieli o wszelkich działaniach lub zaniechaniach niezgodnych z prawem lub mających na celu obejście prawa. Dzięki zgłoszeniu pracodawca może szybciej zidentyfikować i wyeliminować ewentualne naruszenia, a przez to także swoją odpowiedzialność, jak również uniknąć naruszenia prawa czy potencjalnego sporu sądowego. Co więcej, wdrożenie procedury zgłoszeń wewnętrznych daje również narzędzie do zwiększenia kontroli i nadzoru nad sposobem wykonywania pracy, a także do ograniczenia ryzyka nadużyć. Korzyści wynikające z systemu zgłaszania nieprawidłowości są nie do przecenienia. Niebanalną rolę odgrywają w tym zakresie sygnaliści.

▶ Sygnalistą może zostać każda osoba fizyczna, która w dobrej wierze zgłasza informację o naruszeniu prawa uzyskaną w kontekście związanym z pracą, niezależnie od podstawy prawnej (lub jej braku) łączącej tę osobę z pracodawcą. Ważne jest jednak, aby nie zapewniać ochrony przysługującej sygnalistom osobom, które otrzymać jej nie powinny, a tym samym nie powodować naruszenia prawa. Każdy zaś, komu nadany zostanie status sygnalisty, powinien otrzymać od pracodawcy pełne wsparcie oraz ochronę przed działaniami odwetowymi, rozumianymi jako jakiekolwiek, bezpośrednie lub pośrednie, działanie lub zaniechanie w kontekście związanym z pracą, które jest spowodowane dokonaniem przez sygnalistę zgłoszenia i które narusza lub może naruszyć jego prawa lub wyrządza lub może wyrządzić nieuzasadnioną szkodę. Zakaz działań odwetowych obejmuje także osoby pomagające sygnaliście w dokonaniu zgłoszenia oraz osoby z nimi powiązane.

▶ Pracodawca musi jednak pamiętać, że ochrona przed działaniami odwetowymi nie ma zastosowania w przypadku zgłoszenia dokonanego w złej wierze. Do każdego zgłoszenia pracodawca powinien podchodzić poważnie, a następnie dokładnie je zweryfikować i ustalić, czy zostało przekazane w dobrej wierze. Weryfikacja wiarygodności zgłaszanych lub ujawnianych informacji nie należy jednak do zadań najłatwiejszych.

▶ Odpowiednio wdrożone kanały oraz właściwa kultura zgłaszania nieprawidłowości pozwalają również zapobiec potencjalnym sporom sądowym. Dlatego tak istotne jest, by pracodawcy – w szczególności ci, którzy są do tego zobligowani ustawowo – określili sposób zgłaszania naruszeń oraz nabywania statusu sygnalisty, wdrażając odpowiednią procedurę. Nie jest to bowiem jedynie obowiązek w świetle prawa (dla znacznej liczby pracodawców), ale również szansa ‒ dzięki zgłoszeniu pracodawca może szybciej zidentyfikować i wyeliminować ewentualne naruszenia, a przez to także swoją odpowiedzialność, jak również uniknąć naruszenia prawa. Whistleblowing należy traktować właśnie w kategorii szansy.

▶ Trzeba przy tym pamiętać, że same zgłoszenia wewnętrzne mogą być dokonywane różnymi kanałami. Sposoby przekazywania zgłoszeń zgodnie z u.o.s. powinny obejmować co najmniej formę pisemną lub ustną. Dodatkowo na pracodawcy ciąży obowiązek zapewnienia poufności oraz ochrony tożsamości sygnalisty.

▶ Za niewdrożenie lub niewłaściwe wdrożenie procedury, a także za utrudnianie dokonania zgłoszenia, podejmowanie działań odwetowych, na pracodawcy lub osobach działających w ich imieniu, a nawet na innych pracownikach ciążyć może odpowiedzialność karna, nawet do trzech lat pozbawienia wolności. Kary mogą być wymierzone m.in. dyrektorowi ds. HR, HR managerowi, specjaliście ds. compliance, członkowi zarządu czy każdej innej osobie, która dopuszcza się takich czynów. Wszystko będzie zależało od konkretnych okoliczności danego przypadku. Pamiętać przy tym należy, że mimo iż element ludzki jest niewątpliwie zasobem najcenniejszym w organizacji, to także najbardziej narażonym na popełnianie naruszeń i nieprawidłowości.

▶ W naszym przekonaniu zgłoszenia wewnętrzne są najlepszym, a dla zgłaszających naruszenia najprostszym i najbezpieczniejszym sposobem na przekazanie informacji pracodawcy. Tym bardziej jeśli można to zrobić anonimowo. Takie informacje mogą przyczynić się do wczesnego i skutecznego wyeliminowania zagrożeń dla interesu publicznego. Pracodawcy powinno zależeć więc na jak najszybszym, efektywnym i dopasowanym do jego organizacji wdrożeniu obowiązków nałożonych na niego nową ustawą o ochronie sygnalistów – zwłaszcza że czasu na to zostało niewiele.