Przyjmowanie zgłoszeń zewnętrznych od sygnalistów. Jak urząd musi się przygotować do wdrożenia procedury? [PORADNIK DGP]

Sygnaliści odgrywają kluczową rolę w ujawnianiu naruszeń, w zapobieganiu im oraz w ochronie interesu publicznego. Niejednokrotnie to oni jako pierwsi dowiadują się o działaniach bezprawnych. Dostarczane przez nich sygnały mogą się przyczyniać więc do poprawy egzekwowania prawa. Jednocześnie sygnaliści ze względu na swoją rolę są narażeni na doświadczanie negatywnych, niekorzystnych dla nich skutków, w tym działań odwetowych, co zniechęca do zgłaszania nieprawidłowości (np. urzędnik, który rozważa zgłoszenie korupcji swojego szefa, może się obawiać m.in. przesunięcia na niższe stanowisko, otrzymania wypowiedzenia, negatywnej oceny wyników pracy, niekorzystnego lub niesprawiedliwego traktowania albo założenia sprawy w sądzie o zniesławienie).

Dostrzegając rolę sygnalistów w ujawnianiu naruszeń prawa i problemów, z jakimi muszą się mierzyć, ustawodawca unijny w motywach do dyrektywy Parlamentu Europejskiego i Rady (UE) 2019/1937 z 23 października 2019 r. w sprawie ochrony osób zgłaszających naruszenia prawa Unii (Dz.Urz. UE. z 2019 r. L 305 s. 17; dalej: dyrektywa 2019/1937) uznał za konieczne objęcie ochroną sygnalistów oraz ujednolicenie w państwach członkowskich mechanizmów ich ochrony po to, aby finalnie skutecznie chronić interes publiczny (motywy [1]‒[4] dyrektywy 2019/1937). Uchwalona przez Sejm ustawa z 14 czerwca 2024 r. o ochronie sygnalistów (Dz.U. poz. 928; dalej: u.o.s.) implementuje dyrektywę 2019/1937 do polskiego porządku prawnego oraz m.in. określa warunki objęcia ochroną sygnalistów zgłaszających lub ujawniających publicznie informacje o naruszeniach prawa, reguluje środki ochrony sygnalistów zgłaszających lub ujawniających publicznie informacje o naruszeniach prawa oraz zasady zgłaszania informacji o naruszeniach prawa organowi publicznemu, a także zadania organów publicznych związane ze zgłaszaniem informacji o naruszeniach prawa i z podejmowaniem działań następczych.

Zgłoszenia zewnętrzne – co to?

Obok zgłoszeń wewnętrznych oraz ujawnień publicznych zgłoszenia zewnętrzne to jedna z trzech form przekazywania informacji przez sygnalistów o naruszeniach prawa, przewidziana w u.o.s. Tej formy zgłoszeń dotyczy rozdział 4 u.o.s.

Zgodnie z definicją zawartą w art. 2 pkt 17 u.o.s. zgłoszenie zewnętrzne to ustne lub pisemne przekazanie rzecznikowi praw obywatelskich albo organowi publicznemu informacji o naruszeniu prawa. Dla porównania: zgłoszenie wewnętrzne to ustne lub pisemne przekazanie podmiotowi prawnemu informacji o naruszeniu prawa. Przy czym podmiot prawny to:

• podmiot prywatny (osoba fizyczna prowadząca działalność gospodarczą, osoba prawna lub jednostka organizacyjna niemająca osobowości prawnej, której ustawa przyznaje zdolność prawną, lub pracodawca, jeżeli nie są podmiotami publicznymi) lub
• podmiot publiczny (który z kolei jest definiowany jako podmiot wskazany w art. 3 ustawy z 11 sierpnia 2021 r. o otwartych danych i ponownym wykorzystywaniu informacji sektora publicznego; Dz.U. z 2023 r. poz. 1524, chodzi tutaj m.in. o jednostki sektora finansów publicznych, inne państwowe jednostki organizacyjne nieposiadające osobowości prawnej).

Różnica pomiędzy zgłoszeniem zewnętrznym a wewnętrznym tkwi zatem w tym, do kogo sygnalista kieruje zgłoszenie. Przy wewnętrznym sygnalista zgłasza informację o naruszeniu prawa np. do swojego pracodawcy, natomiast przy zewnętrznym – może skorzystać z procedury ustanowionej przez rzecznika praw obywatelskich lub organu publicznego. ramka 1

• korupcji,
• zamówień publicznych,
• usług, produktów i rynków finansowych,
• przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu,
• bezpieczeństwa produktów i ich zgodności z wymogami,
• bezpieczeństwa transportu,
• ochrony środowiska,
• ochrony radiologicznej i bezpieczeństwa jądrowego,
• bezpieczeństwa żywności i pasz,
• zdrowia i dobrostanu zwierząt,
• zdrowia publicznego,
• ochrony konsumentów,
• ochrony prywatności i danych osobowych,
• bezpieczeństwa sieci i systemów teleinformatycznych,
• interesów finansowych Skarbu Państwa Rzeczypospolitej Polskiej, jednostki samorządu terytorialnego oraz Unii Europejskiej,
• rynku wewnętrznego Unii Europejskiej, w tym publicznoprawnych zasad konkurencji i pomocy państwa oraz opodatkowania osób prawnych,
• konstytucyjnych wolności i praw człowieka i obywatela – występujące w stosunkach jednostki z organami władzy publicznej i niezwiązane z dziedzinami wskazanymi w powyższych punktach. ©℗
• Czy sygnalista, który chce zgłosić naruszenie prawa, musi najpierw skorzystać ze ścieżki wewnętrznej, czy może od razu skorzystać z procedury zewnętrznej?

Nie ma obowiązku, aby sygnalista, zanim dokona zgłoszenia zewnętrznego, najpierw skorzystał ze ścieżki wewnętrznej. Może on sam zdecydować, w jaki sposób zasygnalizować naruszenie prawa, tj. czy chce to zrobić w ramach zgłoszenia zewnętrznego, czy też jednak wybiera zgłoszenie wewnętrzne (art. 30 ust. 1 u.o.s.). Sygnalista może skorzystać ze zgłoszenia zewnętrznego, gdy np. obawia się działań odwetowych.

Przykład 1

Kim jest sygnalista?

Ustawa nie wprowadza osobnej definicji sygnalisty zewnętrznego. Sygnalistą ‒ zgodnie z definicją zawartą w art. 4 u.o.s. ‒ jest osoba fizyczna, która ma podejrzenie lub dowiedziała się o naruszeniu oraz zgłasza naruszenie w kontekście związanym z pracą, w tym:

1) pracownik;

2) pracownik tymczasowy;

3) osoba świadcząca pracę na innej podstawie niż stosunek pracy, w tym na podstawie umowy cywilnoprawnej;

4) przedsiębiorca;

5) prokurent;

6) akcjonariusz lub wspólnik;

7) członek organu osoby prawnej lub jednostki organizacyjnej niemającej osobowości prawnej;

8) osoba świadcząca pracę pod nadzorem i kierownictwem wykonawcy, podwykonawcy lub dostawcy;

9) stażysta;

10) wolontariusz;

11) praktykant;

12) funkcjonariusz w rozumieniu art. 1 ust. 1 ustawy z 18 lutego 1994 r. o zaopatrzeniu emerytalnym funkcjonariuszy policji, Agencji Bezpieczeństwa Wewnętrznego, Agencji Wywiadu, Służby Kontrwywiadu Wojskowego, Służby Wywiadu Wojskowego, Centralnego Biura Antykorupcyjnego, Straży Granicznej, Straży Marszałkowskiej, Służby Ochrony Państwa, Państwowej Straży Pożarnej, Służby Celno-Skarbowej i Służby Więziennej oraz ich rodzin (Dz.U. poz. 1121; ost.zm. Dz.U. z 2024 r. poz. 1562);

13) żołnierz w rozumieniu art. 2 pkt 39 ustawy z 11 marca 2022 r. o obronie Ojczyzny (t.j. Dz.U. z 2024 r. poz. 834, ost.zm. Dz.U. z 2024 r. poz. 1248).

Przykład 2

Przykład 3

Sygnalista podlega ochronie już od chwili, kiedy dokonał zgłoszenia, jeżeli w tym momencie miał uzasadnione podstawy, by sądzić, że informacja o naruszeniu prawa jest prawdziwa.

Przykład 4

Kto będzie musiał przyjmować zgłoszenia

Definicja organu publicznego jest określona w art. 2 pkt 6 u.o.s. – „należy przez to rozumieć naczelne i centralne organy administracji rządowej, terenowe organy administracji rządowej, organy jednostek samorządu terytorialnego, inne organy państwowe oraz inne podmioty wykonujące z mocy prawa zadania z zakresu administracji publicznej, właściwe do podejmowania działań następczych w dziedzinach wskazanych w art. 3 ust. u.o.s (chodzi o dziedziny prawa, które mogą być przedmiotem zgłoszenia, czyli m.in. wymienione już wyżej korupcja, zamówienia publiczne, ochrony prywatności i danych osobowych, ochrona środowiska, ochrona konsumentów).

Katalog organów zobowiązanych jest więc szeroki i określony dość ogólnie.

Spośród podmiotów wskazanych w art. 2 pkt 6 u.o.s. możemy wyróżnić kilka grup.

▶ Naczelne organy administracji rządowej ‒ do tej grupy należą: prezes Rady Ministrów, Rada Ministrów, ministrowie, kierownicy określonych komitetów wchodzących w skład Rady Ministrów. Zaliczymy do niej także m.in. głównego inspektora pracy, generalnego inspektora ochrony danych osobowych, rzecznika praw pacjenta.

▶ Terenowe organy administracji rządowej – do tej grupy zaliczymy m.in. wojewodów, kierowników służb, inspekcji i straży (np. naczelników urzędów skarbowych, urzędów statystycznych, kuratorów oświaty itd.), komendantów państwowych straży pożarnych, komendantów policji, pozostałych inspektorów działających na szczeblu wojewódzkim i powiatowym (np. farmaceutycznego, inspekcji handlowej, ochrony środowiska, nadzoru budowalnego, weterynarii, sanitarnego), a także konserwatorów zabytków itp.

▶ Organy jednostek samorządu terytorialnego – wymieniono je w art. 5 par. 2 pkt 6 ustawy z 14 czerwca 1960 r. ‒ Kodeks postępowania administracyjnego (dalej: k.p.a.), chodzi m.in. o: organy gminy, powiatu, województwa, związków gmin, związków powiatów, wójta, burmistrza (prezydenta miasta), starostę, marszałka województwa oraz kierowników służb, inspekcji i straży działających w imieniu wójta, burmistrza (prezydenta miasta), starosty lub marszałka województwa, a ponadto samorządowe kolegia odwoławcze.

Również ustawy samorządowe definiują organy jednostek samorządu terytorialnego. I tak organami samorządu są:

• w gminie: rada gminy oraz wójt, burmistrz albo prezydent miasta (w myśl art. 11a. ust. 1 ustawy z 8 marca 1990 r. o samorządzie gminnym; t.j. Dz.U. z 2024 r. poz. 1465);
• w powiecie: rada powiatu oraz zarządu (art. 8 ust. 2 ustawy z 5 czerwca 1998 r. o samorządzie powiatowym; t.j. Dz.U. z2024 r. poz. 107);
• w województwie: sejmik województwa oraz zarząd województwa (art. 15 ustawy z 5 czerwca 1998 r. o samorządzie województwa; t.j. Dz.U. z 2024 r. poz. 566).

▶ Inne organy państwowe oraz inne podmioty, które w ramach swojej działalności realizują zadania z zakresu administracji publicznej oraz są właściwe do podejmowania działań następczych w dziedzinach wymienionych w ustawie. W u.o.s. brak jest odniesienia do odrębnych przepisów prawa czy też wskazówek, jakie konkretne organy i podmioty zaliczymy do tej grupy. W związku z powyższym organy państwowe oraz podmioty, które realizują powierzone zadania z zakresu administracji publicznej, a więc takie działania, które służą realizacji interesu publicznego oraz w związku z tym „posługują się” przepisami z prawa administracyjnego, będą zaliczone do tej kategorii oraz będą zobowiązane m.in. do ustanowienia procedury zgłoszeń zewnętrznych. Inne organy państwowe to te, które pozostają poza strukturą administracji publicznej oraz mogą załatwiać sprawy administracyjne w drodze indywidualnej decyzji (z mocy prawa lub na podstawie porozumień).

Warto zauważyć, że zgodnie z art. 5 par. 2 pkt 3 k.p.a. „organami administracji publicznej” są: ministrowie, centralne organy administracji rządowej, wojewodowie, działające w ich lub we własnym imieniu inne terenowe organy administracji rządowej (zespolonej i niezespolonej), organy jednostek samorządu terytorialnego oraz organy i podmioty wymienione w art. 1 pkt 2 k.p.a., czyli inne organy państwowe oraz inne podmioty, gdy są one powołane z mocy prawa lub na podstawie porozumień do załatwiania spraw rozstrzyganych w drodze decyzji administracyjnych albo załatwianych milcząco. Zatem będą to np. dyrektorzy powiatowych urzędów pracy, którzy realizują zadania na podstawie ustawy z 20 kwietnia 2004 r. o promocji zatrudnienia i instytucjach rynku pracy (t.j. Dz.U. z 2024 r. poz. 475; ost.zm. Dz.U. z 2024 r. poz. 1089) oraz w ramach swoich kompetencji są upoważnieni do wydawania decyzji administracyjnych (por. wyrok Wojewódzkiego Sądu Administracyjnego w Kielcach z 24 listopada 2021 r., sygn. akt II SAB/Ke 141/21).

• Czy samorządy w miejscowościach, które liczą mniej niż 10 tys. mieszkańców, muszą przyjmować zgłoszenia zewnętrzne?

Tak. W przeciwieństwie do zgłoszeń wewnętrznych, w przypadku zgłoszeń zewnętrznych ustawodawca nie wprowadził uregulowania analogicznego do art. 23 ust. 5 u.o.s. (który stanowi, że przepisów rozdziału 3 nie stosuje się do jednostek organizacyjnych gminy lub powiatu liczących mniej niż 10 000 mieszkańców). Oznacza to, że w każdym organie samorządu terytorialnego trzeba wprowadzić system zgłoszeń zewnętrznych.

• Czy obowiązek wdrożenia zgłoszeń zewnętrznych mają jednostki organizacyjne gminy?

Takie organizacje jak ośrodki pomocy społecznej, zarządy transportu miejskiego, zakłady gospodarki komunalnej, zarządy gospodarki wodnej nie są zaliczone do „organów publicznych”, lecz możemy je potraktować raczej jak jednostki organizacyjne samorządu terytorialnego. Ale uwaga! Dyrektorzy tych jednostek mogą zostać uznani za organy administracji publicznej – a to dlatego, że wydają oni decyzje administracyjne w sprawach indywidualnych, a możliwość nadania im upoważnienia do realizowania zadań samorządu wynika z przepisów ustaw regulujących funkcjonowanie samorządu terytorialnego (np. zgodnie z art. 39 ust. 4 ustawy o samorządzie gminnym rada gminy może upoważnić do załatwiania indywidualnych spraw z zakresu administracji publicznej organ wykonawczy jednostki pomocniczej oraz organy jednostek i podmiotów utworzonych w celu realizowania zdań gminy).

• Czy spółki komunalne można zaliczyć do organów publicznych zobowiązanych do spełnienia obowiązków określonych w rozdziale 4 u.o.s., dotyczącym zgłoszeń zewnętrznych?

Odpowiedź na to pytanie jest problematyczna. Zgodnie z przepisami dopuszczalne jest nadawanie dyrektorom spółek komunalnych, zarządów gospodarki komunalnej czy też innych zakładów realizujących zadania publiczne upoważnień do załatwiania spraw z zakresu administracji publicznej. Zatem w praktyce może się okazać, że również i kierujący tymi podmiotami powinni wdrożyć procedury zgłoszeń zewnętrznych.

Obowiązki organu publicznego

Można je podzielić na dwie grupy: realizowane na etapie przygotowania i wdrożenia wymaganych procedur oraz obowiązki związane z ich funkcjonowaniem w praktyce

Przed 25 grudnia br. organy publiczne mają liczne obowiązki związane z wdrożeniem systemu ochrony sygnalistów, do których możemy zaliczyć:

• ustalenie procedury zgłoszeń zewnętrznych (art. 33 u.o.s.);
• ustanowienie kanałów, za pośrednictwem których sygnalista będzie mógł dokonać zgłoszenia zewnętrznego (spełniających m.in. wymogi z art. 42 u.o.s.);
• opracowanie oraz opublikowanie informacji na stronie Biuletynu Informacji Publicznej, zgodnych z art. 48 ust. 1 u.o.s.;
• wyznaczenie osób – pracowników urzędu obsługujących organ publiczny ‒ do przyjmowania zgłoszeń zewnętrznych oraz do podejmowania działań następczych, w tym upoważnienie tych osób do podejmowania wyżej wymienionych czynności oraz upoważnienie ich do przetwarzania danych osobowych (art. 44 ust. 2 u.o.s.).

W procesie przyjmowania i obsługi zgłoszeń zewnętrznych organ publiczny jest z kolei zobowiązany do:

• przyjmowania zgłoszeń zewnętrznych (art. 34 ust. 1 pkt 1 u.o.s.);
• wstępnej weryfikacji zgłoszeń zewnętrznych (art. 34 ust. 1 pkt 2 u.o.s.);
• rozpatrzenia zgłoszeń (art. 34 ust. 1 pkt 3 u.o.s.);
• badania właściwości, a więc ustalenia, czy organ, do którego wpłynęło zgłoszenie, ze względu na zakres swojej działalności powinien podjąć działania następcze, czy właściwym będzie inny organ ( jeśli ustali, że inny organ jest właściwy do podjęcia działań następczych, musi przekazać zgłoszenie zgodnie z art. 34 ust. 1 pkt 4 u.o.s.);
• podejmowania działań następczych, jeżeli zgłoszenie dotyczy naruszeń prawa w dziedzinie należącej do zakresu działania tego organu (art. 34 ust. 1 pkt 3 u.o.s.);
• potwierdzenia sygnaliście przyjęcia zgłoszenia w terminie 7 dni od daty jego przyjęcia (art. 37 u.o.s.);
• przekazania sygnaliście na podany adres do kontaktu informacji zwrotnej, zgodnie z art. 41 u.o.s. (art. 34 ust. 1 pkt 6 u.o.s.);
• wydania zaświadczenia, w którym organ publiczny potwierdzi, że sygnalista podlega określonej ochronie ‒ w przypadku złożenia wniosku przez sygnalistę (art. 38 u.o.s.);
• przekazania pouczenia, o którym mowa w art. 32 ust. 6 w zw. z art. 34 ust. 2 u.o.s. (poinformowanie sygnalisty, że informacja objęta zgłoszeniem podlega rozpatrzeniu w trybie przewidzianym w przepisach odrębnych, w szczególności jako przedmiot powództwa cywilnego, zawiadomienia o podejrzeniu popełnienia przestępstwa, skargi do sądu administracyjnego, skargi, wniosku lub petycji, lub może zostać przedstawiona właściwym organom do rozpatrzenia w innym trybie);
• szkolenia osób wyznaczonych i upoważnionych do przyjmowania zgłoszeń zewnętrznych oraz podejmowania działań następczych (art. 44 ust. 5 u.o.s.). Ponadto organy przyjmujące zgłoszenia muszą:
• prowadzić rejestr zgłoszeń zewnętrznych (art. 46 u.o.s.);
• sporządzać i składać sprawozdania do rzecznika praw obywatelskich (art. 47 u.o.s.);
• co najmniej raz na trzy lata przeprowadzać okresowy przegląd procedury zgłoszeń zewnętrznych (art. 49 ust. 1 pkt 2 u.o.s.).

Co trzeba przemyśleć, zanim się rozpocznie opracowywanie procedur

Proces komunikacji z sygnalistą trzeba starannie zaplanować oraz dobrać takie rozwiązania i wdrożyć takie procedury, aby zapewnić bezpieczeństwo dokonywania zgłoszeń oraz nie narazić się na przypadkowe ujawnienie poufności tożsamości sygnalisty lub innych danych zawartych w zgłoszeniu.

Jest kilka najważniejszych kwestii, które trzeba rozważyć.

▶ Wybór sposobu przyjmowania zgłoszeń. Z całą pewnością jedną z pierwszych kwestii, jaką musi rozważyć organ przygotowujący się do wdrożenia systemu, jest rodzaj kanału, za pośrednictwem którego sygnaliści będą mogli dokonywać zgłoszeń zewnętrznych. To od wyboru sposobu zgłaszania informacji będzie zależała treść poszczególnych zapisów w procedurze zgłoszeń zewnętrznych oraz treść komunikatu na stronie Biuletynu Informacji Publicznej.

▶ Wyłonienie osoby przyjmującej zgłoszenia. Trzeba rozważyć, komu zostaną powierzone obowiązki związane z przyjmowaniem zgłoszeń zewnętrznych i podejmowaniem działań następczych, a także w jaki sposób i kto będzie prowadził rejestr zgłoszeń zewnętrznych.

▶ Decyzja w sprawie traktowania zgłoszeń anonimowych. Organy publiczne powinny się zastanowić, czy będą się zajmować zgłoszeniami anonimowymi, czy jednak pozostawią je nierozpatrzone.

▶ Opracowanie trybów postępowania. Koniecznie trzeba się zastanowić nad trybem postępowania ze zgłoszeniami, a także nad sposobem i trybem przekazywania zgłoszeń do organów publicznych, które z uwagi na zakres swojej działalności będą właściwe do podjęcia działań następczych. Ponadto trzeba przemyśleć, jak w danym ogranie powinna wyglądać procedura przekazywania zgłoszeń w sytuacji, gdy sygnalista dokona zgłoszenia do osoby, która nie jest upoważniona do jego przyjęcia, a także w jaki sposób i gdzie takie zgłoszenie przechowywać do czasu przekazania do wyznaczonej i upoważnionej osoby.

▶ Procedura. W oparciu o powyższe ustalenia i rozważania organy muszą sformułować procedury zgłoszeń zewnętrznych.

▶ Zapewnienie ochrony danych osobowych. Konieczne będzie m.in. opracowanie stosownych klauzul informacyjnych po to, aby spełnić obowiązek wynikający z art. 13 i 14 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz. UE z 2016 r. L 119, s. 1).

▶ Przygotowanie zaplecza. Przygotowanie do wdrożenia procedury powinno uwzględniać również dostarczenie narzędzi, sprzętu osobom, które w imieniu organu będą przyjmować zgłoszenia oraz podejmować działania następcze. Pracownicy wyznaczeni do obsługi zgłoszeń muszą mieć warunki do wykonywania swoich obowiązków, odpowiednie miejsce pracy, m.in. pomieszczenie do przechowywania dokumentacji gromadzonej w związku z podejmowanymi działaniami następczymi. Ponadto trzeba zapewnić sprzęt i oprogramowanie do bezpiecznej obsługi zgłoszeń elektronicznych.

Wybór kanałów do przyjmowania zgłoszeń

Trzeba podjąć decyzję, w jaki sposób będą przyjmowane zgłoszenia. Niewątpliwie z formą ustną wiąże się więcej obowiązków organu

W myśl art. 36 ust. 1 u.o.s. zgłoszenie zewnętrzne może być dokonane ustnie lub pisemnie.

• Czy organ publiczny musi zapewnić sygnaliście zarówno kanał zgłoszeń pisemnych, jak i ustnych?

Przepisy ustawy nie dają na to odpowiedzi. Redakcja DGP zadała na ten temat pytanie Ministerstwu Pracy, Rodziny i Polityki Społecznej. W odpowiedzi resort wskazał, że organ publiczny będzie mógł wybrać, czy wprowadzi u siebie tylko jedną formę zgłoszeń, np. pisemną, czy też zdecyduje się na obie formy. Jednak wśród ekspertów pojawiają się również poglądy, że ze względu na treść dyrektywy 2019/1937 i jej cel organy powinny zapewnić możliwość dokonywania zgłoszeń ustnych i pisemnych, natomiast to sygnalista powinien wybrać wygodną dla niego formę.

Dodatkowe wymogi

Artykuł 42 ust. 1 u.o.s. nakłada na organ publiczny obowiązek, zgodnie z którym kanały komunikacji, które ustanowi on na potrzeby przyjmowania zgłoszeń zewnętrznych, muszą spełniać następujące wymogi:

• niezależność od kanałów komunikacji wykorzystywanych w ramach zwykłej działalności tych organów, np. od tych, za pośrednictwem których przyjmuje się wnioski, skargi petentów czy też pisma w sprawach, które dotyczą ich codziennej działalności;
• zapewnienie kompletności, poufność i integralność danych, w tym ich zabezpieczenie przed dostępem osób nieupoważnionych;
• możliwość przechowywania informacji w sposób trwały w celu umożliwienia prowadzenia dalszego postępowania wyjaśniającego.

Ustawa dopuszcza, by do przyjmowania zgłoszeń zewnętrznych służyły kanały wykorzystywane do innych celów, jednak pod warunkiem, że będą spełniać powyższe wymogi. Wyjątek ten został uregulowany w art. 42 ust. 2 u.o.s. Dozwolone będzie więc np. wykorzystanie dotychczasowej strony internetowej organu publicznego oraz zamieszczenie na niej odrębnej zakładki dotyczącej ochrony sygnalistów. Nie jest zatem konieczne, aby na potrzeby wywiązania się z obowiązków wynikających z ustawy dotyczących zgłoszeń zewnętrznych utworzyć nową, odrębną stronę internetową.

zgłoszenia zewnętrzne ustne

W przypadku tej formy możemy wyróżnić następujące kanały dokonania zgłoszenia zewnętrznego (art. 26 ust. 2 u.o.s.):

• telefonicznie, lub
• za pośrednictwem środków komunikacji elektronicznej w rozumieniu art. 2 pkt 5 ustawy z 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (t.j. Dz.U. z 2024 r. poz. 1513; dalej: u.ś.u.d.e.).

Zgłoszenie telefoniczne

W przypadku zgłoszeń telefonicznych organ publiczny ma do wyboru dwa rozwiązania. Może się zdecydować na nagrywaną linię telefoniczną lub inny nagrywany system komunikacji głosowej bądź też zrezygnować z rejestracji głosu.

▶ Nagrywanie zgłoszeń. Jeżeli zgłoszenia będą nagrywane, to organ publiczny musi dopełnić pewnych obowiązków.

Przede wszystkim konieczne jest udokumentowanie zgłoszenia w formie:

1) nagrania rozmowy, umożliwiającego jej wyszukanie, lub

2) kompletnej i dokładnej transkrypcji rozmowy przygotowanej przez osobę wyznaczoną przez organ do przyjmowania zgłoszeń zewnętrznych.

Jeśli zgłoszenia są jednocześnie nagrywane i zapisywane, to sygnalista musi wyrazić zgodę na udokumentowanie w jednej z form. Ustawa nie wskazuje, co w przypadku, gdy sygnalista nie wyrazi zgody na żadną z powyższych form dokumentowania. Niewątpliwie jednak sygnalista powinien się liczyć z tym, że aby zgłosić naruszenie, musi dostosować się do pewnych procedur oraz ustanowionych sposobów dokonywania zgłoszeń zewnętrznych.

▶ Przygotowanie pomieszczeń, procedur i sprzętu. Konieczne jest wdrożenie środków organizacyjnych i technicznych, które pozwolą na bezpieczne przechowywanie zarówno nagrania, jak i sporządzanych transkrypcji, do których dostęp będą miały wyłącznie upoważnione osoby.

Jeśli organ wybierze kanał zgłoszeń telefonicznych nagrywanych konieczne będzie opracowanie procedur dotyczących ich dokumentowania oraz przechowywania. W ramach tych procedur organ publiczny będzie musiał określić m.in.

• za pośrednictwem jakich urządzeń rozmowa będzie nagrywana,
• w jakiej lokalizacji będą przechowywane nagrania,
• w jaki sposób należy sporządzać transkrypcję nagrywanej rozmowy,
• kto jest upoważniony do dokonywania tych czynności.

Niezbędne będzie również:

• ustalenie zabezpieczeń, które będą gwarantować bezpieczeństwo nagrań i sporządzanych na ich podstawie transkrypcji,
• opracowanie procedur nadawania praw dostępu do urządzeń rejestrujących oraz nagrań, jak również cofania tych uprawnień.

Wszystko po to, aby nikt nieupoważniony nie miał dostępu do poufnych informacji.

▶ Protokołowanie zgłoszeń nienagrywanych. Jeżeli organ wskaże, że zgłoszenia ustne – telefoniczne ‒ nie będą rejestrowane, wówczas osoba przyjmująca zgłoszenie udokumentuje takie zgłoszenie zewnętrzne w formie protokołu rozmowy, który odtwarza dokładny jej przebieg. Podobnie jak w przypadku nagrywania zgłoszeń konieczne będzie opracowanie zasad sporządzania protokołu tak, aby odzwierciedlał on jak najdokładniej przebieg rozmowy, oraz jego przechowywania. ramka 2

• sygnalista będzie otrzymać protokół na podany przez niego adres do kontaktu lub
• sygnalista otrzyma protokół w trakcie osobistego spotkania z osoba upoważnioną do przyjmowania zgłoszeń.

Osobiste spotkanie

Sygnalista ma prawo złożyć wniosek, w którym wskaże, że chce się spotkać osobiście, aby przekazać zgłoszenie ustne o naruszeniu prawa. Jeżeli sygnalista zdecyduje się na złożenie takiego wniosku, to organ publiczny będzie musiał zorganizować bezpośrednie spotkanie z nim w ciągu 14 dni od daty jego otrzymania.

W ramach przygotowań do wdrożenia tego sposobu przyjmowania zgłoszeń organ publiczny musi określić, w jaki sposób sygnalista będzie mógł wystąpić z takim żądaniem (np. czy będzie mógł to zrobić ustnie, dzwoniąc pod wskazany przez organ numer telefonu osoby wyznaczonej do przyjmowania zgłoszeń zewnętrznych, czy może poprzez wysłanie wiadomości pocztą elektroniczną na specjalny adres e-mail).

W przypadku gdy sygnaliści będą mogli składać pisemne wnioski, trzeba też zaplanować sposób i miejsce ich przechowywania – mając przy tym na uwadze obowiązek zachowania poufności oraz ochrony danych osobowych sygnalisty.

Trzeba również rozważyć, jak określić zasady organizacji spotkania, aby nie doszło do nieuprawnionego ujawnienia tożsamości sygnalisty.

zgłoszenia zewnętrzne pisemne

W myśl art. 36 ust.2 u.o.s. zgłoszenie zewnętrzne w formie dokumentowej może być dokonane:

• w postaci elektronicznej – na adres poczty elektronicznej lub adres elektronicznej skrzynki podawczej, lub adres do doręczeń elektronicznych, wskazane przez organ publiczny przyjmujący zgłoszenie, lub za pośrednictwem przeznaczonego do tego formularza internetowego lub aplikacji wskazanej przez organ publiczny jako aplikacja właściwa do dokonywania zgłoszeń w postaci elektronicznej;

• w postaci papierowej – na adres do korespondencji wskazany przez organ publiczny przyjmujący zgłoszenie.

Jeżeli organ publiczny wybierze kanał zgłoszeń w formie dokumentowej, może zdecydować się na jedną z tych form albo obie.

Środki komunikacji elektronicznej

Rozwiązania techniczne, w tym urządzenia teleinformatyczne i współpracujące z nimi narzędzia programowe, umożliwiające indywidualne porozumiewanie się na odległość przy wykorzystaniu transmisji danych między systemami teleinformatycznymi to środki komunikacji elektronicznej.

Sposobów dokonywania zgłoszeń zewnętrznych w formie elektronicznej jest kilka. Są to:

• adres poczty elektronicznej,
• adres elektronicznej skrzynki podawczej lub
• adres do doręczeń elektronicznych, bądź też
• specjalny formularz internetowy lub aplikacja właściwa do dokonywania zgłoszeń.

Korespondencja tradycyjna

W przypadku jeżeli organ zdecyduje się na przyjmowanie zgłoszeń na adres do korespondencji powinien zastanowić się i opracować procedurę, w której określi:

• zasady przyjmowania korespondencji, odnotowywania jej wpływu, czyli rejestrowania,
• zasady przechowywania takiej korespondencji oraz fizycznych zabezpieczeń (np. zgłoszenia zewnętrzne w formie pisemnej zaadresowane do osoby upoważnionej do przyjmowania zgłoszeń mogą być przechowywane w wyznaczonej do tego celu szafce zamykanej na klucz, do której dostęp ma tylko upoważniona osoba),
• sposób przekazania korespondencji do osoby wyznaczonej do podejmowania działań następczych (jeżeli nie jest to ta sama osoba, która jest wyznaczona do przyjmowania zgłoszeń zewnętrznych),
• zasady przyznawania praw dostępu do zasobów osobie upoważnionej oraz ich cofania.

Wyznaczenie osób upoważnionych do przyjmowania zgłoszeń zewnętrznych

Do obsługi zgłoszeń zewnętrznych organy publiczne muszą upoważnić pracowników urzędu, którzy prowadzą obsługę tego organu. Na przykład w przypadku rady powiatu obsługę prowadzi starostwo, a więc upoważnionym może być wyłącznie pracownik starostwa powiatowego

Taki wymóg wynika z art. 44 ust. 2 u.o.s.

Osoba upoważniona będzie odpowiedzialna za:

1) przyjmowanie zgłoszeń zewnętrznych, dokonywanie ich wstępnej weryfikacji, podejmowanie działań następczych oraz związane z tym przetwarzanie danych osobowych;

2) kontakt z sygnalistą w celu przekazywania informacji zwrotnych i – w razie potrzeby – zwracanie się o wyjaśnienia lub dodatkowe informacje, jakie może posiadać;

3) przekazywanie zainteresowanym osobom informacji na temat procedury zgłoszeń zewnętrznych.

▶ Sposób upoważnienia. Ustawa nie wskazuje, w jaki sposób trzeba upoważnić pracownika urzędu obsługującego organ publiczny do realizowania wymienionych wyżej czynności. Jednak dla celów chociażby rozliczalności, a więc wykazania, że organ działa zgodnie i na podstawie przepisów prawa, konieczne będzie wydanie pisemnych upoważnień do wykonywania obowiązków, a także jasne określenie ich zakresu. wzór

▶ Sprawdzenie kwalifikacji. Warto zauważyć, że osobą, o której mowa w art. 44 ust. 2 u.o.s., nie może być dowolny pracownik urzędu. Osoba taka musi mieć określone kwalifikacje oraz cechy. W myśl art. 44 ust. 3 u.o.s. taki pracownik „jest wyznaczany na podstawie kwalifikacji zawodowych, w szczególności wiedzy fachowej na temat prawa i praktyk w dziedzinie ochrony danych osobowych oraz umiejętności wypełniania powierzonych zadań”. Organy publiczne będą musiały zatem w sposób rozważny wyłonić taką osobę i zbadać, czy kompetencje kandydata są wystarczające do powierzenia mu zadań wymienionych w art. 44 ust. 2 u.o.s. Z dużym prawdopodobieństwem organy mogą mieć trudności we właściwym wyłonieniu takich osób. Jednym z problemów może być prawidłowe określenie szczegółowych kryteriów, jakimi dany podmiot będzie się kierować przy wyborze – tak, aby osoba ta spełniała wymogi z ustawy, ale również dawała gwarancję, że swoje obowiązki będzie realizować w sposób bezstronny i rzetelny.

Z myślą o procesie wyłaniania odpowiedniego pracownika m.in. trzeba będzie określić:

• kryteria niezbędne do ustalenia, czy dana osoba ma wiedzę fachową na temat prawa i praktyk w dziedzinie ochrony danych osobowych; ważne będzie tutaj uwzględnienie np. doświadczenia zawodowego takiego pracownika, zakresu realizowanych dotychczas przez niego obowiązków, ukończonych kursów,
• kryteria weryfikacji umiejętności wskazanej osoby do realizacji powierzonych zadań; z całą pewnością powinna być brana pod uwagę dotychczasowa ocena wykonywania obowiązków przez takiego pracownika.

Tajemnica

Na upoważnionych pracowników urzędu obsługującego organ publiczny u.o.s. nakłada obowiązek zachowania tajemnicy w zakresie informacji i danych osobowych, które uzyskali podczas przyjmowania i weryfikacji zgłoszeń zewnętrznych lub podejmowania działań następczych. Co istotne, obowiązek zachowania tajemnicy trwa także po ustaniu stosunku pracy (art. 44 ust. 4 u.o.s.).

Przeprowadzanie szkoleń

Obowiązkiem organu będzie również zapewnienie szkoleń pracownikom wyznaczonym i upoważnionym do obsługi zgłoszeń, co wynika z art. 44 ust. 5 u.o.s. Tematyka tych szkoleń musi obejmować m.in. kwestie dotyczące przyjmowania zgłoszeń zewnętrznych, ich wstępnej weryfikacji, podejmowania działań następczych, ochrony danych osobowych, prowadzenia dialogu z sygnalistą, a także przekazywania informacji na temat procedury zgłoszeń zewnętrznych.

Procedura zgłoszeń zewnętrznych

Organy publiczne muszą ustalić m.in. zasady przyjmowania informacji o naruszeniach prawa od sygnalistów oraz podejmowania działań następczych

W myśl art. 33 u.o.s. organ publiczny ustala procedurę przyjmowania zgłoszeń zewnętrznych oraz podejmowania działań następczych, która określa w szczególności tryb postępowania z informacjami o naruszeniach prawa zgłoszonymi anonimowo.

Przy czym organ publiczny musi zagwarantować, że procedury zgłoszeń zewnętrznych oraz związane z przyjmowaniem zgłoszeń przetwarzanie danych osobowych będą spełniać wymogi ustawowe, które są określone w art. 43 u.o.s.

▶ Wymóg 1: uniemożliwienie dostępu do informacji objętych zgłoszeniem osobom nieupoważnionym. Wprowadzone mechanizmy mają zapewniać, że tylko osoby upoważnione mogą mieć dostęp do treści zgłoszenia. Obowiązek ten rozciąga się także na informacje gromadzone w związku z podejmowaniem dalszych działań po wpłynięciu zgłoszenia, np. działań następczych.

▶ Wymóg 2: zapewnienie ochrony poufności tożsamości sygnalisty oraz osoby, której dotyczy zgłoszenie. Zgodnie z art. 43 ust. 2 u.o.s. ochrona poufności dotyczy informacji, na podstawie których można bezpośrednio lub pośrednio zidentyfikować tożsamość sygnalisty oraz osoby, której dotyczy zgłoszenie.

Elementy, które trzeba zawrzeć w procedurze

W przeciwieństwie do przepisów regulujących obowiązek ustanowienia procedury zgłoszeń wewnętrznych (art. 25 ust. 1 u.o.a.) ustawa nie określa, z jakich obligatoryjnych elementów musi składać się ten dokument. Może to rodzić wątpliwości organów publicznych, jakie informacje zamieścić w procedurze, aby pozostać w zgodzie z ustawą. Analizując przepisy rozdziału 4 u.o.s., w tym odnosząc się na zasadzie analogii do przepisów dotyczących konstrukcji procedury zgłoszeń wewnętrznych, dokument, o którym mowa w art. 33 u.o.s., mógłby zawierać następujące elementy:

• dane organu publicznego oraz określenie zakresu jego działalności;
• gwarancję, że procedura przyjmowania zgłoszeń zewnętrznych i procedura zgłoszeń zewnętrznych oraz związane z przyjmowaniem zgłoszeń przetwarzanie danych osobowych uniemożliwiają uzyskanie dostępu do informacji objętych zgłoszeniem nieupoważnionym osobom oraz zapewniają ochronę poufności tożsamości sygnalisty oraz osoby, której dotyczy zgłoszenie;
• wskazanie osób – pracowników urzędu obsługujących organ publiczny, upoważnionych do przyjmowania zgłoszeń zewnętrznych, podejmowania działań następczych oraz realizowania pozostałych obowiązków określonych w art. 44 ust. 2 pkt 1‒3 u.o.s., wyznaczenie osób upoważnionych do prowadzenia rejestru zgłoszeń zewnętrznych;
• wskazanie kanałów, za pośrednictwem których sygnalista będzie mógł dokonać zgłoszenia zewnętrznego;
• gwarancję potwierdzenia sygnaliście przyjęcia zgłoszenia w terminie 7 dni od daty przyjęcia zgłoszenia;
• tryb i termin przekazania zgłoszenia do organu publicznego właściwego do podjęcia działań następczych;
• tryb postępowania, w tym sposób wyjaśnienia informacji będących przedmiotem zgłoszenia lub przedstawienia dodatkowych informacji;
• tryb postępowania z informacjami o naruszeniach prawa zgłoszonymi anonimowo;
• określenie zasad podejmowania działań następczych;
• określenie zasad pracy osób wyznaczonych do podejmowania działań następczych;
• gwarancję przekazania sygnaliście informacji zwrotnej w terminie wynikającym z u.o.s. oraz określenie rodzaju i zawartości takiej informacji;
• określenie sposobów przekazywania zainteresowanym osobom informacji na temat procedury zgłoszeń zewnętrznych;
• potwierdzenie prowadzenia rejestru zgłoszeń zewnętrznych oraz zasad wpisu zgłoszeń do rejestru;
• warunki objęcia sygnalisty ochroną;
• określenie zasad poufności, które mają zastosowanie do zgłoszeń zewnętrznych;
• określenie zasad przetwarzania danych osobowych;
• określenie zasad audytowania procedury zgłoszeń zewnętrznych.

Postępowanie w sytuacjach, gdy zgłoszenie trafi do niewłaściwej osoby

W ramach procedury organy powinny przewidzieć sytuacje, gdy sygnalista dokonuje zgłoszenia do pracownika urzędu, który nie jest do tego wyznaczony i upoważniony. Zgodnie z art. 44 ust. 6 u.o.s., gdy zgłoszenie trafi omyłkowo do pracownika nieupoważnionego, pracownik ten:

1) nie może ujawnić jakichkolwiek informacji pozwalających na ustalenie tożsamości sygnalisty lub osoby, której zgłoszenie dotyczy oraz

2) musi niezwłocznie przekazać zgłoszenie osobie upoważnionej, bez wprowadzania zmian w tym zgłoszeniu.

Biorąc pod uwagę powyższe przepisy, niezbędne jest ustalenie reguł, jak postępować ze zgłoszeniem do czasu jego przekazania do właściwej osoby, tzn. gdzie je przechowywać w bezpieczny sposób (wydzielone pomieszczenie z zamykaną na klucz szafą, z jedoczesnym określeniem zasad dostępu).

Pracownicy urzędu obsługującego organ publiczny muszą wiedzieć, jak się zachować w sytuacji, gdy sygnalista dokona zgłoszenia właśnie do nich, a nie do upoważnionej osoby. W związku z tym warto zorganizować szkolenia dla pracowników w tym zakresie.

Przykład 5

Schemat postępowania ze zgłoszeniem sygnalisty

Postępowanie ze zgłoszeniem zewnętrznym od chwili jego wpłynięcia do momentu zamknięcia procedury można przedstawić w kilku krokach.

Krok 1.Sygnalista wysyła zgłoszenie za pośrednictwem jednego z kanałów komunikacji ustalonego przez organ publiczny, np. na adres elektronicznej skrzynki podawczej.

Krok 2.Osoba upoważniona do przyjmowania zgłoszeń zewnętrznych odbiera zgłoszenie oraz w terminie 7 dni od daty przyjęcia zgłoszenia potwierdza sygnaliście jego przyjęcie, chyba że zachodzą wyjątki wskazane w art. 37 u.o.s. (sygnalista nie wyraził na to zgody i złożył w tym zakresie wniosek lub organ publiczny ma uzasadnione podstawy, by sądzić, że jeżeli wyśle potwierdzenie przyjęcia zgłoszenia, to poufność tożsamość sygnalisty może być zagrożona).

Krok 3.Sprawa zostaje wpisana do rejestru zgłoszeń zewnętrznych.

Krok 4.Osoba wyznaczona zgodnie z art. 44 ust. 2 u.o.s. wstępnie weryfikuje zgłoszenie i ustala, czy dotyczy ono informacji o naruszeniu prawa w rozumieniu art. 2 pkt 3 u.o.s., a także, czy organem publicznym właściwym do podjęcia działań następczych będzie ten właśnie organ, do którego trafiło zgłoszenie.

Krok 5.W przypadku weryfikacji negatywnej, tj. ustalenia, że informacja zawarta w zgłoszeniu nie jest informacją o naruszeniu prawa, organ publiczny informuje sygnalistę na podany przez niego adres do kontaktu, że zgłoszenie nie dotyczy informacji o naruszeniu prawa (a gdy sygnalista nie podał adresu – organ przesyła informację na adres, który samodzielnie ustalił z posiadanych danych). Organ wysyła informację do sygnalisty wraz z pouczeniem, o którym mowa w art. 32 ust. 6 u.o.s. w zw. z art. 34 ust. 2 u.o.s. (organ musi w nim wskazać m.in., że informacja objęta zgłoszeniem może podlegać rozpatrzeniu w trybie przewidzianym w przepisach odrębnych, w szczególności jako przedmiot powództwa cywilnego, zawiadomienia o podejrzeniu popełnienia przestępstwa, skargi do sądu administracyjnego, skargi, wniosku lub petycji, lub może zostać przedstawiona właściwym organom do rozpatrzenia w innym trybie – dokładniej napiszemy o tym w drugiej części poradnika).

Krok 6.W przypadku weryfikacji pozytywnej, tj. stwierdzenia, że informacja sygnalna jest informacją o naruszeniu prawa, organ przystępuje do rozpatrzenia zgłoszenia. Jeśli do podjęcia działań następczych będzie właściwy inny organ publiczny, to przekazuje sprawę do tego organu. Robi to w ciągu 14 dni od dnia zgłoszenia, a w uzasadnionych przypadkach – nie później niż w terminie 30 dni oraz informuje o tym sygnalistę. Przekazanie powinno nastąpić w sposób ustalony przez organ publiczny, mając na uwadze konieczność zagwarantowania poufności tożsamości sygnalisty.

Krok 7.Następnie organ podejmuje działania, które zmierzają do ustalenia, czy informacja o naruszeniu prawa jest prawdziwa, oraz do przeciwdziałania naruszeniu prawa będącemu przedmiotem zgłoszenia (art. 2 pkt 1 u.o.s.). W ramach działań następczych organ może wszcząć postępowanie wyjaśniające lub inne.

Krok 8.Organ publiczny w terminie określonym w art. 41 ust. 1. u.o.s. (a więc w ciągu trzech miesięcy od dnia przyjęcia zgłoszenia zewnętrznego) przekazuje sygnaliście informację zwrotną. Wyjątkowo termin ten może wynieść do sześciu miesięcy od dnia przyjęcia zgłoszenia zewnętrznego. Przy czym o wydłużeniu terminu trzeba powiadomić sygnalistę, zanim upłyną trzy miesiące od chwili przyjęcia zgłoszenia.

Krok 9.Organ publiczny informuje sygnalistę o ostatecznym wyniku postępowań wyjaśniających wszczętych na skutek zgłoszenia zewnętrznego. W przeciwieństwie do zgłoszeń wewnętrznych, gdzie podmiot prawny nie ma obowiązku informowania sygnalisty, jak zakończyła się zgłoszona przez niego sprawa, w przypadku zgłoszeń zewnętrznych nie wystarczy samo przekazanie informacji zwrotnej. Konieczne jest także poinformowanie sygnalisty, jaki jest finał postępowań zainicjowanych zgłoszeniem zewnętrznym (art. 41 ust. 3 u.o.s.).

Jak przygotować informację dla sygnalistów na stronę BIP

Ma ona być sformułowana w sposób zrozumiały dla sygnalisty oraz umieszczona w oddzielnej, łatwo identyfikowalnej i dostępnej sekcji biuletynu

Ustawodawca wskazał (w art. 48 ust. 1 u.o.s.), że w ramach tej strony powinny zostać zamieszczone w szczególności informacje o:

• danych kontaktowych umożliwiających dokonanie zgłoszenia zewnętrznego, w szczególności adres do korespondencji, adres poczty elektronicznej, adres do doręczeń elektronicznych, odrębny adres elektronicznej skrzynki podawczej, adres strony internetowej, na której znajduje się formularz elektroniczny w rozumieniu art. 3 pkt 25 ustawy o informatyzacji działalności podmiotów realizujących zadania publiczne, lub numer telefonu wraz ze wskazaniem, czy rozmowy są nagrywane;
• warunkach objęcia sygnalisty ochroną;
• trybie postępowania mającym zastosowanie w przypadku zgłoszenia zewnętrznego, w tym wymaganym sposobie wyjaśnienia informacji będących przedmiotem zgłoszenia lub przedstawienia dodatkowych informacji;
• terminie przekazania informacji zwrotnej oraz rodzaju i zawartość takiej informacji;
• zasadach poufności mających zastosowanie do zgłoszeń zewnętrznych;
• zasadach przetwarzania danych osobowych, a także zasadach przetwarzania danych osobowych oraz informacji podawanych w przypadku zbierania danych od osoby, której dane dotyczą, uregulowanych odpowiednio w art. 5 i art. 13 rozporządzenia 2016/679, art. 13 dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/680 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylającej decyzję ramową Rady 2008/977/WSiSW (Dz.Urz. UE z 2016 r. L 119, s. 89) albo art. 15 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1725 z 23 października 2018 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje, organy i jednostki organizacyjne Unii i swobodnego przepływu takich danych oraz uchylenia rozporządzenia (WE) nr 45/2001 i decyzji nr 1247/2002/WE (Dz.Urz. UE z 2018 r. L 295, s. 39);
• charakterze działań następczych podejmowanych w związku ze zgłoszeniem zewnętrznym;
• środkach ochrony prawnej i procedurach służących ochronie przed działaniami odwetowymi oraz dostępności poufnej porady dla osób rozważających dokonanie zgłoszenia zewnętrznego;
• warunkach, na jakich sygnalista jest chroniony przed ponoszeniem odpowiedzialności za naruszenie poufności zgodnie z art. 16 u.o.s.;
• zachęcie do korzystania z procedury zgłoszeń wewnętrznych podmiotu prawnego w przypadku, gdy naruszeniu prawa można skutecznie zaradzić w ramach struktury organizacyjnej podmiotu prawnego, a sygnalista uważa, że nie zachodzi ryzyko działań odwetowych;
• danych kontaktowych rzecznika praw obywatelskich.

Co miał na myśli ustawodawca

Ponieważ powyższe wymogi są sformułowane lakonicznie i nie zawsze jest jasne, co miał na myśli ustawodawca, omówimy poniżej poszczególne elementy informacji, jakie trzeba zamieścić w BIP.

▶ Dane kontaktowe umożliwiające dokonanie zgłoszenia zewnętrznego (art. 48 ust. 1 pkt 1). Organ publiczny musi zamieścić przede wszystkim informację, jakie kanały komunikacji przyjął do dokonywania zgłoszeń zewnętrznych, a więc czy np. zgłoszenie należy złożyć za pośrednictwem formularza elektronicznego, czy na adres poczty e-mail, czy ustnie na specjalny numeru telefonu bez nagrywania rozmów. Ustawodawca wymieniając przykładowe dane (adres do korespondencji, adres poczty elektronicznej, adres do doręczeń elektronicznych, odrębny adres elektronicznej skrzynki podawczej, adres strony internetowej), używa zwrotu „w szczególności”, co świadczy, że nie są to wszystkie informacje, jakie są konieczne – jednak ustawa nie wskazuje, o jakie jeszcze informacje chodzi. W tej części organ powinien zamieścić więc wszystkie kluczowe informacje i dane, które w prosty sposób wyjaśnią sygnaliście, jak może skutecznie dokonać zgłoszenia zewnętrznego. Może zatem chodzić o dokładne dane kontaktowe do osoby, która została wyznaczona do przyjmowania zgłoszeń zewnętrznych w organie, czy też dane kontaktowe, pod którymi można zaczerpnąć informacji na temat procedury zgłoszeń zewnętrznych.

▶ Warunki objęcia sygnalisty ochroną (art. 48 ust. 1 pkt 2).Organ powinien zamieścić komunikat, z którego sygnalista się dowie, że przysługuje mu ochrona już od chwili dokonania zgłoszenia zewnętrznego – o ile zostaną spełnione dwa warunki, o których mowa w art. 6 u.o.s, czyli:

• miał uzasadnione podstawy, by sądzić, że przekazywana przez niego informacja o naruszenia prawa jest prawdziwa – chodzi zatem o sytuacje, w których sygnalista działa w dobrej wierze, jest przekonany, że posiadana przez jego informacja nie jest np. tylko plotką;
• zgłaszane przez niego naruszenie dotyczy informacji o naruszeniu prawa – przypomnijmy, że w myśl definicji z art. 2 pkt 3 u.o.s. chodzi tu o informacje (w tym uzasadnione podejrzenie) dotyczące zaistniałego lub potencjalnego naruszenia prawa, do którego doszło lub prawdopodobnie dojdzie w podmiocie prawnym, w którym sygnalista uczestniczył w procesie rekrutacji lub w ramach innych negocjacji poprzedzających zawarcie umowy, w którym pracuje lub pracował, lub w innym podmiocie prawnym, z którym sygnalista utrzymuje lub utrzymywał kontakt w kontekście związanym z pracą, lub informację dotyczącą próby ukrycia takiego naruszenia prawa.

▶ Tryb postępowania ze zgłoszeniami zewnętrznymi (art. 48 ust. 1 pkt 3). Chodzi o opis, jakie kroki będą podejmowane po wpłynięciu zgłoszenia. Ustawa nie wskazuje, jak trzeba określić tryb postępowania, co oznacza, że organy publiczne mają w tym zakresie dowolność. Jednak brak wskazówek czy wytycznych może być problematyczny przy formułowaniu informacji.

W ramach opisu trybu można poinformować sygnalistę, że:

• po zgłoszeniu za pośrednictwem specjalnego adresu e-mail osoba upoważniona do przyjmowania zgłoszeń zewnętrznych dokona wstępnej weryfikacji zgłoszenia oraz w terminie 7 dni od daty przyjęcia zgłoszenia potwierdzi sygnaliście jego przyjęcie;
• po weryfikacji zgłoszenia nastąpi jego kwalifikacja pod kątem tego, czy informacja jest informacją dotyczącą naruszenia prawa, czy nie, oraz ustalony zostanie organ właściwy do podjęcia działań następczych;
• jeśli informacja nie jest informacją o naruszeniu prawa (np. nie dotyczy jednej z dziedzin wymienionych w art. 3 ust. 1 u.o.s.), to zgłoszenie będzie pozostawione bez rozpoznania; o pozostawieniu zgłoszenia bez rozpoznania organ zawiadamia sygnalistę na wskazany w zgłoszeniu adres do kontaktu.

Gdy organ publiczny, do którego wpłynęło zgłoszenie, jest właściwy do rozpatrzenia zgłoszenia, trafi ono do osoby upoważnionej do podejmowania działań następczych. Jeżeli wstępna weryfikacja wykaże, że inny organ jest właściwy do rozpatrzenia zgłoszenia, to sygnalista zostanie poinformowany o przekazaniu zgłoszenia do innego organu publicznego w terminie wynikającym z u.o.s.

▶ Termin przekazania informacji zwrotnej (art. 48 ust. 1 pkt 4). Kolejnym punktem, jaki musi się znaleźć w BIP, jest informacja, że w ciągu trzech miesięcy od dnia przyjęcia zgłoszenia zewnętrznego (a w uzasadnionych przypadkach w ciągu sześciu miesięcy) sygnalista otrzyma informację zwrotną (czyli zgodnie z definicją z art. 2 pkt 4 u.o.s. informację na temat planowanych lub podjętych działań następczych i powodów takich działań). Trzeba też poinformować, że informacja zostanie przekazana (przesłana) na adres do kontaktu podany przez sygnalistę. Jeżeli sygnalista nie poda takiego adresu (co zgodnie z art. 35 ust. 1 u.o.s. jest konieczne, aby organ mógł skutecznie podjąć działania następcze oraz przekazać sygnaliście informację zwrotną), to musi się liczyć z tym, że organ publiczny m.in. nie potwierdzi przyjęcia zgłoszenia lub też nie wyda zaświadczenia o objęciu go ochroną (art. 35 ust. 2 pkt 2 u.o.s.).

▶ Zasady poufności (art. 48 ust. 1 pkt 5 u.o.s.). Organ publiczny musi zamieścić informację o zasadach poufności, czyli m.in. o regulacjach, jakie wprowadził, by zagwarantować sygnaliście, że procedura zgłoszeń zewnętrznych oraz proces przetwarzania danych osobowych będą zgodne z art. 43 ust. 1 oraz art. 44 ust. 2 i 4 u.o.s. Przyjęte zasady muszą:

• uniemożliwić uzyskanie dostępu do informacji objętych zgłoszeniem nieupoważnionym osobom,
• zapewnić ochronę poufności tożsamości sygnalisty oraz osoby, której dotyczy zgłoszenie,
• zapewnić, że do przyjmowania zgłoszeń oraz podejmowania działań następczych będą dopuszczone osoby, które mają do tego upoważnienie, oraz że będą one zobowiązane do zachowania tajemnicy w zakresie informacji i danych osobowych, które uzyskały w ramach przyjmowania i weryfikacji zgłoszeń zewnętrznych lub podejmowania działań następczych.

▶ Zasady przetwarzania danych osobowych (art. 48 ust. 1 pkt 6 u.o.s.). Ten punkt informacji w BIP odwołuje się m.in. do zasad przetwarzania danych, które określa art. 8 u.o.s. Zatem trzeba wskazać na stronie BIP w szczególności, że dane osobowe, które pozwalają na ustalenie tożsamości sygnalisty, nie mogą być ujawnione nieupoważnionym osobom i dostęp do nich będą miały wyłącznie osoby z nadanym pisemnym upoważnieniem do przetwarzania danych osobowych, które będą spełniać wymogi z art. 29 oraz 32 ust. 4 RODO. Ponadto organ powinien zadeklarować, że będzie przetwarzać dane osobowe sygnalisty tylko w zakresie koniecznym do przyjęcia zgłoszenia lub podjęcia działania następczego. Potrzebny będzie także zapis, że w przypadku, gdy sygnalista zdecyduje się na ujawnienie swojej tożsamości (do czego ma prawo zgodnie z art. 8 u.o.s.):

• w klauzuli informacyjnej skierowanej do osoby, której dane dotyczą (np. osoby, której dotyczy zgłoszenie), organ wskaże źródło pochodzenia danych osobowych, a więc że pochodzą one od sygnalisty;
• w przypadku realizacji przez osobę, której dane dotyczą, prawa dostępu, o którym mowa w art. 15 RODO (chodzi o potwierdzenie przez administratora, czy przetwarza dane osobowe jej dotyczące) – administrator poda źródło pochodzenia danych.

▶ Charakter działań następczych (art. 48 ust. 1 pkt 7 u.o.s.). Konieczne będzie opisanie, jakie procedury podejmowania działań następczych obowiązują w organie publicznym, z ewentualnym wskazaniem właściwych przepisów prawa (jeśli regulują one działania następcze podejmowane przez ten organ).

▶ Środki ochrony prawnej i procedury ochrony przed działaniami odwetowymi, dostępność poufnej porady dla osób rozważających dokonanie zgłoszenia zewnętrznego (art. 48 ust. 1 pkt 8 u.o.s.). Organ publiczny powinien wskazać m.in., jakie roszczenia będą przysługiwać sygnaliście, który doświadczy działań odwetowych, oraz jakie procedury chronią sygnalistę przed tymi działaniami – np. może się odwołać do właściwych przepisów prawa, które regulują, w jaki sposób sygnalista może dochodzić swoich praw i realizować przysługujące mu roszczenia. Konieczne jest także wskazanie, gdzie i w jaki sposób może skorzystać z poufnej porady, jeżeli chciałby zgłosić naruszenie prawa.

▶ Warunki ochrony sygnalisty przed odpowiedzialnością (art. 48 ust. 1 pkt 9 u.o.s.). W informacji tej organ publiczny powinien opisać, że sygnalista nie będzie ponosił odpowiedzialności (np. odszkodowawczej, jeżeli w wyniku zgłoszenia zewnętrznego, którego dokonał, doszło do ujawnienia tajemnicy przedsiębiorstwa). W myśl art. 16 u.o.s. „Dokonanie zgłoszenia lub ujawnienia publicznego nie może stanowić podstawy odpowiedzialności, w tym odpowiedzialności dyscyplinarnej lub odpowiedzialności za szkodę z tytułu naruszenia praw innych osób lub obowiązków określonych w przepisach prawa, w szczególności w przedmiocie zniesławienia, naruszenia dóbr osobistych, praw autorskich, ochrony danych osobowych oraz obowiązku zachowania tajemnicy, w tym tajemnicy przedsiębiorstwa”. Przy czym warunkiem koniecznym jest dobra wiara sygnalisty (czyli sygnalista musi mieć uzasadnione podstawy, by sądzić, że takie zgłoszenie jest niezbędne do tego, żeby ujawnić naruszenie prawa zgodnie z u.o.s.).

▶ Zachęta do korzystania z procedury zgłoszeń wewnętrznych (art. 48 ust. 1 pkt 10 u.o.s.). Jak już wcześniej wskazaliśmy, sygnalista ma wybór, czy zgłosić informację o naruszeniu prawa w ramach zgłoszenia wewnętrznego, czy zewnętrznego. Organy publiczne powinny zachęcać sygnalistów na stronach BIP do tego, aby korzystali ze ścieżek zgłoszeń wewnętrznych. Komunikat skierowany do sygnalisty przez organ publiczny nie może jednak wywierać u adresata wrażenia, że powinien on najpierw dokonać zgłoszenia wewnętrznego, zanim zdecyduje się na zgłoszenie zewnętrzne.

▶ Dane kontaktowe rzecznika praw obywatelskich (art. 48 ust. 1 pkt 11 u.o.s.). Ustawa nie określa, czy chodzi tylko o dane kontaktowe rzecznika używane przy komunikacji w ramach zwykłej działalności organu, czy o szerszy zakres danych. Mając na uwadze wykładnię celowościową, ustawodawca zapewne miał na myśli także te dane kontaktowe, które mają związek ze zgłoszeniami zewnętrznymi.

Inne informacje

Katalog informacji, jakie muszą się znaleźć na stronie BIP, jest rozbudowany, ale niewyczerpujący, na co wskazuje użycie przez ustawodawcę zwrotu „w szczególności”. Organy publiczne muszą zatem rozważyć, jakiego rodzaju informacje dodatkowe dotyczące ochrony sygnalistów powinny znaleźć się na tej stronie. Nie powinno zabraknąć informacji na temat procedury zgłoszeń zewnętrznych, jaka obowiązuje w organie publicznym, danych osób wyznaczonych i upoważnionych do przyjmowania zgłoszeń zewnętrznych i dokonywania ich wstępnej weryfikacji, podejmowania działań następczych, sposobu, w jaki sygnalista może złożyć wniosek o wydanie zaświadczenia, o którym mowa w art. 38 u.o.s. (zaświadczenie o potwierdzeniu podlegania ochronie przewidzianej w rozdziale 2 u.o.s.), sposobu, w jaki sygnalista może złożyć wniosek, w którym wyraźnie wskaże, że nie chce, aby organ potwierdzał mu przyjęcie zgłoszenia (sygnalista może wystąpić z takim wnioskiem zgodnie z art. 37 u.o.s.).

Organ publiczny powinien również zamieścić informacje na temat trybu postępowania ze zgłoszeniami zewnętrznymi przekazanymi anonimowo.

Dopuszczalne będzie również poinformowanie sygnalisty o możliwości wyrażenia zgody na ujawnienie swojej tożsamości zgodnie z art. 8 ust. 1 u.o.s.

Treść komunikatów zamieszczonych na stronie BIP nie może pozostawać w sprzeczności z treścią procedury zgłoszeń zewnętrznych oraz pozostałych procedur wdrożonych na gruncie u.o.s., które mają służyć realizowaniu obowiązków ustawowych m.in. w zakresie ochrony danych osobowych czy też poufności. ©℗