System sygnalizacji naruszeń prawa w firmach – nowe obowiązki

Podmioty zobowiązane do przyjmowania zgłoszeń

Ustawa nakłada nowe obowiązki na firmy (bez względu na formę organizacyjno-prawną, czy jest to osoba fizyczna, prawna, czy jednostka organizacyjna niemająca osobowości prawnej), jednostki sektora finansów publicznych i inne podmioty prawne. Od 25.09.2024 r. muszą one przyjmować zgłoszenia wewnętrzne sygnalistów, opracować procedurę ich rozpatrywania oraz prowadzić ich rejestr.

Uwaga! Zgłoszenia wewnętrzne są zobowiązane przyjmować co do zasady tylko te podmioty prawne (dalej zwane również pracodawcami), na rzecz których – według stanu na 1 stycznia lub 1 lipca – wykonuje pracę zarobkową co najmniej 50 osób. Do tego limitu wlicza się:

• pracowników – w przeliczeniu na pełne etaty,
• osoby wykonujące pracę za wynagrodzeniem na innej podstawie prawnej niż stosunek pracy, jeśli do tego rodzaju pracy nie angażują innych osób – bez względu na sposób zatrudnienia.

Wyjątkowo obowiązek przyjmowania zgłoszeń wewnętrznych ciąży – niezależnie od osiągnięcia ww. progu zatrudnienia – na podmiotach prawnych wykonujących działalność w zakresie usług, produktów i rynków finansowych oraz przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu, bezpieczeństwa transportu i ochrony środowiska[1], a zatem m.in. na biegłych rewidentach, firmach audytorskich, doradcach podatkowych i biurach rachunkowych.

Obowiązkiem przyjmowania zgłoszeń wewnętrznych nie są objęte jednostki organizacyjne gmin i powiatów liczących poniżej 10 tys. mieszkańców.

Adresatami ustawy są również organy publiczne, czyli naczelne, centralne i terenowe organy administracji rządowej, organy jednostek samorządu terytorialnego, inne organy państwowe oraz podmioty wykonujące z mocy prawa zadania z zakresu administracji publicznej, właściwe do podejmowania działań następczych w dziedzinach wskazanych w art. 3 ust. 1 ustawy. Organy publiczne (bez względu na liczbę pracowników) oraz RPO mają od 25.12.2024 r. obowiązek przyjmować zgłoszenia zewnętrzne sygnalistów, opracować procedurę ich rozpatrywania oraz prowadzić ich rejestr.

Kto może być sygnalistą

Osoba chcąca zgłosić naruszenie prawa (sygnalista) podlega szerokiej, szczelnej ochronie, obejmującej zwłaszcza jej dane osobowe, umowy zatrudnieniowe, jej najbliższych. W świetle ustawy sygnalistą jest osoba fizyczna, która spełnia łącznie poniższe warunki:

• ma status obecnego bądź byłego:

• pracownika, pracownika tymczasowego, osoby świadczącej pracę na innej podstawie, np. umowy cywilnoprawnej (zleceniobiorca, wykonawca dzieła, menedżer kontraktowy), współpracującego przedsiębiorcy,
• prokurenta, akcjonariusza lub wspólnika, członka organu osoby prawnej lub jednostki organizacyjnej nieposiadającej osobowości prawnej,
• osoby świadczącej pracę pod nadzorem i kierownictwem wykonawcy, podwykonawcy lub dostawcy,
• stażysty, wolontariusza, praktykanta, funkcjonariusza, żołnierza,

lub osoby dopiero ubiegającej się o zatrudnienie w takim charakterze;

• dokonała zgłoszenia (wewnętrznego lub zewnętrznego) bądź ujawnienia publicznego informacji o naruszeniu prawa uzyskanej w kontekście związanym z pracą lub informacji o próbie ukrycia takiego naruszenia prawa; chodzi o informację, w tym uzasadnione podejrzenie dotyczące zaistniałego lub potencjalnego naruszenia prawa (w określonym w ustawie zakresie – patrz ramka), do którego doszło lub prawdopodobnie dojdzie w:

• podmiocie prawnym, w którym sygnalista uczestniczył w procesie rekrutacji lub w innych negocjacjach poprzedzających zawarcie umowy, pracuje lub pracował, lub
• w innym podmiocie prawnym, z którym sygnalista utrzymuje lub utrzymywał kontakt w kontekście związanym z pracą;

• działała w dobrej wierze, tj. w momencie dokonania zgłoszenia ma uzasadnione podstawy sądzić, że przekazywana bądź ujawniona informacja nt. naruszenia prawa jest prawdziwa oraz stanowi informację o naruszeniu prawa (art. 6 ustawy).

Zakaz działań odwetowych

Sygnalista podlega ochronie określonej w rozdz. 2 ustawy (art. 11 i art. 12) począwszy od chwili dokonania zgłoszenia. Nie można wobec niego próbować podejmować lub grozić stosowaniem jakichkolwiek działań odwetowych, czyli bezpośrednich lub pośrednich działań czy zaniechań w kontekście związanym z pracą, które naruszają lub mogą naruszyć jej prawa albo wyrządzają lub mogą wyrządzić nieuzasadnioną szkodę (w tym bezpodstawnie inicjowanych przeciwko niemu postępowań).

W stosunku do sygnalisty będącego pracownikiem w rozumieniu Kp ustawa zabrania w szczególności następujących działań odwetowych:

• odmowy nawiązania stosunku pracy,
• wypowiedzenia lub rozwiązania bez wypowiedzenia stosunku pracy,
• niezawarcia umowy o pracę na czas określony lub nieokreślony po rozwiązaniu umowy o pracę na okres próbny, niezawarcia kolejnej umowy o pracę na czas określony lub na czas nieokreślony po rozwiązaniu umowy o pracę na czas określony – w przypadku gdy sygnalista miał uzasadnione oczekiwanie, że umowa zostanie zawarta,
• obniżenia wysokości wynagrodzenia za pracę,
• wstrzymania awansu albo pominięcia przy awansowaniu,
• pominięcia przy przyznawaniu innych niż wynagrodzenie świadczeń związanych z pracą lub obniżenia wysokości tych świadczeń,
• przeniesienia na niższe stanowisko pracy,
• zawieszenia w wykonywaniu obowiązków pracowniczych lub służbowych,
• przekazania innemu pracownikowi dotychczasowych obowiązków sygnalisty,
• niekorzystnej zmiany miejsca wykonywania pracy lub rozkładu czasu pracy,
• negatywnej oceny wyników pracy lub negatywnej opinii o pracy,
• nałożenia lub zastosowania środka dyscyplinarnego, w tym kary finansowej, lub środka o podobnym charakterze,
• przymusu, zastraszania lub wykluczenia,
• mobbingu, dyskryminacji, niekorzystnego lub niesprawiedliwego traktowania,
• wstrzymania udziału lub pominięcia przy typowaniu do udziału w szkoleniach podnoszących kwalifikacje zawodowe,
• nieuzasadnionego skierowania na badania lekarskie, w tym psychiatryczne, chyba że przepisy odrębne przewidują możliwość skierowania pracownika na takie badania,
• działań zmierzających do utrudnienia znalezienia w przyszłości pracy w danym sektorze lub w danej branży na podstawie nieformalnego lub formalnego porozumienia sektorowego lub branżowego,
• spowodowania straty finansowej, w tym gospodarczej lub utraty dochodu,
• wyrządzenia innej szkody niematerialnej, w tym naruszenia dóbr osobistych, w szczególności dobrego imienia sygnalisty,
• podjęcia działań polegających na próbie bądź groźbie zastosowania wymienionych środków.

W razie sporu to na pracodawcy spoczywa ciężar udowodnienia, że nie doszło do podjęcia działania odwetowego (art. 12 ust. 3 ustawy).

Do sygnalisty niebędącego pracownikiem mechanizmy osłonowe z art. 12 ustawy stosuje się odpowiednio. W szczególności nie wolno (art. 13):

• wypowiedzieć mu umowy, zwłaszcza dotyczącej sprzedaży, dostawy towarów lub świadczenia usług, odstąpić od takiej umowy lub rozwiązać jej bez wypowiedzenia,
• nałożyć na niego dodatkowego obowiązku bądź odmówić mu przyznania uprawnienia, ograniczyć go lub odebrać, np. koncesji, zezwolenia lub ulgi.

Inne mechanizmy osłonowe

Sygnalista uważający, że doznał działań odwetowych, ma prawo do odszkodowania w wysokości co najmniej przeciętnego miesięcznego wynagrodzenia w gospodarce narodowej w poprzednim roku, ogłaszanego do celów emerytalnych w „Monitorze Polskim” przez Prezesa GUS, czyli w 2024 r. w wysokości co najmniej 7155,48 zł[2] (art. 14 ustawy), lub prawo do zadośćuczynienia.

Sygnalista nie może się zrzec praw określonych w rozdz. 2 ustawy ani przyjąć na siebie odpowiedzialności za szkodę powstałą z powodu dokonania zgłoszenia lub ujawnienia publicznego. Nie dotyczy to przyjęcia odpowiedzialności za szkodę powstałą z powodu świadomego zgłoszenia/ujawnienia publicznego nieprawdziwych informacji.

Postanowienia aktów wewnątrzzakładowych (np. porozumień zbiorowych) czy jakichkolwiek umów, które bezpośrednio lub pośrednio wyłączają lub ograniczają prawo do dokonania zgłoszenia/ujawnienia publicznego bądź przewidują stosowanie środków odwetowych, są nieważne (art. 18–20 ustawy).

Ochronie podlega również osoba:

• pomagająca w dokonaniu zgłoszenia/ujawnienia publicznego w kontekście związanym z pracą (której pomoc nie powinna zostać ujawniona),
• powiązana z sygnalistą – która może doświadczyć działań odwetowych, w tym współpracownik lub najbliższy sygnalisty w rozumieniu art. 115 § 11 Kodeksu karnego (małżonek, wstępny, zstępny, rodzeństwo, powinowaty w tej samej linii lub stopniu, pozostający w stosunku przysposobienia oraz małżonek tej osoby, osoba pozostająca we wspólnym pożyciu),
• prawna lub jednostka organizacyjna pomagająca sygnaliście lub z nim powiązana, w szczególności stanowiąca jego własność lub go zatrudniająca.

Sygnaliści oraz ww. osoby są chronione także w przypadku zgłoszeń dokonanych do odpowiednich instytucji, organu lub jednostki organizacyjnej UE.

Ochrona danych osobowych

Dane osobowe sygnalisty nie podlegają ujawnieniu nieupoważnionym osobom, chyba że za wyraźną zgodą sygnalisty albo gdy ujawnienie jest koniecznym i proporcjonalnym obowiązkiem wynikającym z przepisów prawa w związku z postępowaniami prawnymi. Obowiązuje zakaz ujawnienia osobie podejrzanej danych o źródle pozyskania informacji (o sygnaliście), chyba że:

• sygnalista wyraził wyraźną zgodę na ujawnienie tożsamości albo
• pracodawca/organ nie miał uzasadnionych podstaw sądzić, że sygnalista działał w dobrej wierze.

Po otrzymaniu zgłoszenia pracodawca przetwarza dane osobowe w zakresie niezbędnym do przyjęcia zgłoszenia lub podjęcia ew. działania następczego. Dane, które nie mają znaczenia dla rozpatrywania zgłoszenia, usuwa w ciągu 14 dni od ustalenia tego faktu. Do przetwarzania danych wyznacza osoby upoważnione, które są zobowiązane zachować informacje i dane osobowe w tajemnicy – także po ustaniu stosunku pracy lub innego stosunku prawnego łączącego je z pracodawcą.

Podmiot prawny, RPO oraz organ publiczny mogą przyjmować zgłoszenia dokonane anonimowo.

Przyjmowanie zgłoszeń wewnętrznych

Osoba dostrzegająca nieprawidłowości prawne w związku z obecną lub byłą pracą na rzecz podmiotu prawnego bądź w trakcie rekrutacji lub nawiązywania innej współpracy powinna je przekazać temu podmiotowi, tzn. dokonać zgłoszenia wewnętrznego (wewnątrz organizacji).

Podmioty prawne zobowiązane do przyjmowania zgłoszeń wewnętrznych mają zapewnić sygnaliście możliwość ich dokonania ustnie lub pisemnie. Zgłoszenie ustne może być dokonane telefonicznie, za pośrednictwem środków komunikacji elektronicznej[3] lub osobiście, a pisemne – w postaci papierowej lub elektronicznej.

Sygnaliście należy przekazać potwierdzenie przyjęcia zgłoszenia wewnętrznego – w ciągu 7 dni od jego otrzymania – chyba że nie podał on adresu do kontaktu.

Uchwalenie procedury rozpatrywania spraw

Podmioty zobowiązane do przyjmowania zgłoszeń wewnętrznych muszą przygotować i uchwalić procedurę takich zgłoszeń. W procedurze (można ją nazwać dowolnie, także regulaminem, polityką, instrukcją czy zarządzeniem) trzeba określić:

1) wewnętrzną jednostkę organizacyjną lub osobę w ramach struktury organizacyjnej podmiotu prawnego lub podmiot zewnętrzny upoważnione przez podmiot prawny do przyjmowania zgłoszeń wewnętrznych,

2) sposoby przekazywania zgłoszeń wewnętrznych przez sygnalistę wraz z jego adresem korespondencyjnym lub adresem poczty elektronicznej, chyba że sygnalista chce pozostać anonimowy (patrz pkt 4),

3) bezstronną wewnętrzną jednostkę organizacyjną lub osobę w ramach struktury organizacyjnej podmiotu prawnego upoważnione do podejmowania działań następczych (włączając w to weryfikację zgłoszenia wewnętrznego i dalszą komunikację z sygnalistą, w tym występowanie o dodatkowe informacje i przekazywanie sygnaliście informacji zwrotnej); funkcję tę może pełnić wewnętrzna jednostka organizacyjna lub osoba w ramach struktury organizacyjnej podmiotu prawnego określona w pkt 1, jeżeli zapewniają one bezstronność,

4) tryb postępowania z informacjami o naruszeniach prawa zgłoszonymi anonimowo,

5) obowiązek potwierdzenia sygnaliście przyjęcia zgłoszenia wewnętrznego w ciągu 7 dni od dnia jego otrzymania, chyba że sygnalista nie podał adresu do kontaktu,

6) obowiązek podjęcia – z zachowaniem należytej staranności – działań następczych przez wewnętrzną jednostkę organizacyjną lub osobę określoną w pkt 3,

7) maksymalny termin na przekazanie sygnaliście informacji zwrotnej, nieprzekraczający 3 mies. od dnia potwierdzenia przyjęcia zgłoszenia wewnętrznego lub – w razie nieprzekazania potwierdzenia – 3 mies. od upływu 7 dni od dnia dokonania zgłoszenia wewnętrznego; sygnalista, który nie podał adresu do kontaktu, nie dostaje informacji zwrotnej,

8) zrozumiałe i łatwo dostępne informacje nt. dokonywania zgłoszeń zewnętrznych do RPO albo organów publicznych oraz – w stosownych przypadkach – do instytucji, organów lub jednostek organizacyjnych UE.

Ponadto w procedurze można (dobrowolnie) ustalić:

a) naruszenia dotyczące obowiązujących w podmiocie prawnym regulacji wewnętrznych lub standardów etycznych, które zostały ustanowione przez ten podmiot na podstawie przepisów prawa powszechnie obowiązującego i pozostają z nimi zgodne – jeżeli podmiot przewidział możliwość zgłaszania takich naruszeń,

b) czynniki ryzyka odpowiadające profilowi działalności podmiotu prawnego, sprzyjające możliwości wystą‑pienia określonych naruszeń prawa związanych w szczególności z naruszeniem obowiązków regulacyjnych lub innych określonych w przepisach prawa lub z ryzykiem korupcji,

c) możliwość zgłaszania informacji o naruszeniu prawa w każdym przypadku również do RPO albo organu publicznego, z pominięciem procedury zgłoszeń wewnętrznych,

d) system zachęt do korzystania z procedury zgłoszeń wewnętrznych, gdy naruszeniu prawa można skutecznie zaradzić w ramach struktury organizacyjnej podmiotu prawnego, a sygnalista uważa, że nie zachodzi ryzyko działań odwetowych.

Wybierając zewnętrzny podmiot ds. przyjmowania zgłoszeń wewnętrznych, podmiot prawny musi go upoważnić do pełnienia tej funkcji, zawierając z nim umowę w celu powierzenia obsługi przyjmowania zgłoszeń wewnętrznych, potwierdzania ich przyjęcia, przekazywania informacji zwrotnej oraz dostarczania informacji nt. procedury zgłoszeń wewnętrznych z zastosowaniem rozwiązań technicznych i organizacyjnych zapewniających zgodność z ustawą. Umowa określa szczegółowe prawa i obowiązki podmiotu zewnętrznego związane z przetwarzaniem danych osobowych (art. 28 ust. 1 i 2). 

Przygotowanie projektu i uchwalenie procedury zgłoszeń wewnętrznych to kompetencja pracodawcy. Ma on ją jednak skonsultować z:

• zakładową organizacją związkową (zoz) bądź organizacjami, jeżeli w firmie działa więcej niż jedna zoz, albo
• przedstawicielami osób świadczących pracę, wyłonionymi w trybie przyjętym u pracodawcy, jeżeli nie działa w nim zoz.

Konsultacje trwają nie krócej niż 5 dni i nie dłużej niż 10 dni od dnia przedstawienia projektu procedury. Opinie partnera społecznego nie są wiążące, choć – działając w dobrej wierze – te słuszne należy uwzględnić. Procedura wchodzi w życie po upływie 7 dni od dnia podania jej do wiadomości osób wykonujących pracę w sposób przyjęty u pracodawcy (np. w intranecie). Biorąc to pod uwagę, zobowiązani pracodawcy powinni podać – z odpowiednim wyprzedzeniem – procedurę do wiadomości osób wykonujących pracę.

Osobie ubiegającej się o pracę w ramach stosunku pracy lub innej umowy, o funkcję lub służbę, podmiot prawny przekazuje informację o procedurze zgłoszeń wewnętrznych wraz z rozpoczęciem rekrutacji lub negocjacji poprzedzających zawarcie umowy.

Osoba, która – będąc odpowiedzialna za ustanowienie procedury zgłoszeń zewnętrznych – nie robi tego bądź robi, ale z wyraźnym naruszeniem wymogów ustawy, podlega karze grzywny, orzekanej w trybie przepisów Kodeksu postępowania w sprawach o wykroczenia (do 5 tys. zł).

Rejestr zgłoszeń wewnętrznych

Podmiot przyjmujący zgłoszenia wewnętrzne musi również założyć i prowadzić ich rejestr bądź scedować to zadanie na wewnętrzną jednostkę organizacyjną, osobę przyjmującą zgłoszenia lub podejmującą działania następcze.

Rejestr obejmuje:

• numer zgłoszenia,
• przedmiot naruszenia prawa,
• dane osobowe sygnalisty oraz osoby, której dotyczy zgłoszenie, niezbędne do identyfikacji tych osób,
• adres do kontaktu z sygnalistą,
• datę dokonania zgłoszenia,
• informację o podjętych działaniach następczych,
• datę zakończenia sprawy.

Dane osobowe oraz pozostałe informacje w rejestrze zgłoszeń wewnętrznych są przechowywane przez 3 lata po zakończeniu roku kalendarzowego, w którym zakończono działania następcze, lub po zakończeniu postępowań zainicjowanych tymi działaniami.