Ustawa o ochronie sygnalistów wprowadziła do polskiego porządku prawnego kompleksowe zasady zgłaszania naruszeń prawa oraz ochrony osób, które decydują się takie naruszenia ujawnić. Dla wielu przedsiębiorców i instytucji nie jest to jednak wyłącznie kwestia organizacyjna. W praktyce oznacza to obowiązek przygotowania procedury zgłoszeń wewnętrznych, wyznaczenia bezpiecznych kanałów komunikacji, zapewnienia poufności oraz prowadzenia działań następczych.
Warto przy tym pamiętać, że prawidłowo przygotowana procedura nie powinna być dokumentem „do szuflady”. Jej celem jest stworzenie realnego i bezpiecznego systemu zgłaszania nieprawidłowości, tj. takiego, który pozwala wykrywać problemy wewnątrz organizacji, zanim przerodzą się one w poważny spór, kontrolę lub odpowiedzialność prawną.
Kim jest sygnalista?
Sygnalistą jest osoba fizyczna, która zgłasza lub ujawnia publicznie informację o naruszeniu prawa uzyskaną w kontekście związanym z pracą. Nie chodzi więc wyłącznie o pracownika zatrudnionego na podstawie umowy o pracę. Sygnalistą może być także m.in. osoba świadcząca pracę na podstawie umowy cywilnoprawnej, przedsiębiorca, wspólnik, członek organu spółki, stażysta, wolontariusz, praktykant, a także osoba pracująca pod nadzorem wykonawcy, podwykonawcy lub dostawcy.
Istotne jest to, aby informacja o naruszeniu została uzyskana w kontekście związanym z pracą. Ochrona obejmuje również sytuacje, w których informacja została zdobyta przed nawiązaniem współpracy, np. w toku rekrutacji lub negocjacji, albo już po jej zakończeniu.
Jakie naruszenia można zgłaszać?
Ustawa obejmuje określone kategorie naruszeń prawa, które mogą być przedmiotem zgłoszenia. Wśród nich znajdują się m.in. korupcja, zamówienia publiczne, przeciwdziałanie praniu pieniędzy i finansowaniu terroryzmu, ochrona środowiska, ochrona konsumentów, ochrona prywatności i danych osobowych, bezpieczeństwo sieci i systemów teleinformatycznych, interesy finansowe Skarbu Państwa, jednostek samorządu terytorialnego oraz Unii Europejskiej.
Procedura wewnętrzna może również przewidywać możliwość zgłaszania naruszeń dotyczących regulacji wewnętrznych lub standardów etycznych obowiązujących u danego pracodawcy, o ile zostały one ustanowione na podstawie przepisów prawa powszechnie obowiązującego i są z nimi zgodne.
Nie każde niezadowolenie z organizacji pracy będzie więc zgłoszeniem w rozumieniu ustawy. Procedura powinna pomagać w odróżnieniu zgłoszenia dotyczącego naruszenia prawa od zwykłej skargi pracowniczej, konfliktu personalnego czy sprawy kadrowej, która powinna zostać rozpoznana w innym trybie.
Kto musi przygotować procedurę zgłoszeń wewnętrznych?
Obowiązek ustalenia procedury zgłoszeń wewnętrznych dotyczy co do zasady podmiotów prawnych, na rzecz których według stanu na dzień 1 stycznia lub 1 lipca danego roku pracę zarobkową wykonuje co najmniej 50 osób.
Do tej liczby wlicza się nie tylko pracowników w przeliczeniu na pełne etaty, lecz także osoby świadczące pracę za wynagrodzeniem na innej podstawie niż stosunek pracy, jeżeli nie zatrudniają do tego rodzaju pracy innych osób. W praktyce oznacza to, że przy ocenie obowiązku wdrożenia procedury trzeba uwzględnić nie tylko klasyczne zatrudnienie pracownicze, ale także część współpracowników B2B lub zleceniobiorców.
Próg 50 osób nie ma zastosowania do niektórych kategorii podmiotów, m.in. działających w obszarach usług, produktów i rynków finansowych, przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu, bezpieczeństwa transportu oraz ochrony środowiska – w zakresie objętym właściwymi aktami prawa Unii Europejskiej. Takie podmioty powinny szczególnie uważnie zweryfikować swoje obowiązki, nawet jeśli nie osiągają wskazanego progu zatrudnienia.
Podmioty mniejsze, które nie są ustawowo zobowiązane do wdrożenia procedury, mogą zrobić to dobrowolnie. W wielu przypadkach jest to rozwiązanie praktyczne – szczególnie tam, gdzie organizacja współpracuje z większymi kontrahentami, realizuje projekty publiczne albo chce uporządkować wewnętrzne zasady zgłaszania nieprawidłowości.
Co powinna zawierać procedura?
Procedura zgłoszeń wewnętrznych powinna być dostosowana do konkretnej organizacji. Nie wystarczy więc samo powielenie przepisów ustawy. Dokument powinien wskazywać, kto przyjmuje zgłoszenia, jakimi kanałami można je przekazywać, kto odpowiada za weryfikację zgłoszenia, w jaki sposób prowadzone są działania następcze oraz jak zapewniana jest poufność.
W praktyce procedura powinna określać w szczególności:
- podmiot lub osobę upoważnioną do przyjmowania zgłoszeń,
- kanały dokonywania zgłoszeń,
- zasady postępowania ze zgłoszeniami anonimowymi,
- sposób potwierdzania przyjęcia zgłoszenia,
- zasady prowadzenia postępowania wyjaśniającego,
- termin przekazania informacji zwrotnej,
- zasady prowadzenia rejestru zgłoszeń,
- zasady ochrony danych osobowych,
- informacje o możliwości dokonania zgłoszenia zewnętrznego do Rzecznika Praw Obywatelskich lub właściwego organu publicznego.
Ustawa wymaga, aby sygnalista otrzymał potwierdzenie przyjęcia zgłoszenia w terminie 7 dni od jego otrzymania, chyba że nie podał adresu do kontaktu. Informacja zwrotna powinna natomiast zostać przekazana w terminie nieprzekraczającym 3 miesięcy od potwierdzenia przyjęcia zgłoszenia albo – jeżeli potwierdzenia nie przekazano – od upływu 7 dni od dokonania zgłoszenia.
Procedura wchodzi w życie po upływie 7 dni od dnia podania jej do wiadomości osób wykonujących pracę w sposób przyjęty w danym podmiocie. Przed jej przyjęciem konieczne jest przeprowadzenie konsultacji z zakładową organizacją związkową albo – jeżeli taka organizacja nie działa – z przedstawicielami osób świadczących pracę na rzecz podmiotu.
Czy obsługę zgłoszeń można powierzyć na zewnątrz?
Tak. Ustawa dopuszcza powierzenie obsługi przyjmowania zgłoszeń wewnętrznych podmiotowi zewnętrznemu. Wymaga to zawarcia odpowiedniej umowy, która powinna określać zasady przyjmowania zgłoszeń, potwierdzania ich otrzymania, przekazywania informacji zwrotnej oraz dostarczania informacji o procedurze zgłoszeń wewnętrznych. Umowa powinna również regulować kwestie przetwarzania danych osobowych.
To rozwiązanie jest szczególnie przydatne dla podmiotów, które nie mają wystarczających zasobów kadrowych, aby samodzielnie zapewnić bezstronny i poufny kanał zgłoszeń. Zewnętrzna obsługa może ograniczyć ryzyko konfliktu interesów, zwiększyć zaufanie do procedury i ułatwić prawidłowe dokumentowanie działań.
W tym zakresie możliwe jest skorzystanie ze wsparcia AlertCare, z którym kancelaria współpracuje przy obsłudze systemów zgłoszeń wewnętrznych. Model ten może obejmować m.in. przyjmowanie zgłoszeń, obsługę kanału komunikacji, prowadzenie rejestru zgłoszeń, weryfikację zgłoszenia, komunikację z sygnalistą oraz przygotowywanie rekomendacji co do dalszych działań następczych.
Należy jednak pamiętać, że powierzenie obsługi zgłoszeń podmiotowi zewnętrznemu nie zwalnia podmiotu prawnego z odpowiedzialności za prawidłowe wykonanie obowiązków ustawowych. Przedsiębiorca lub instytucja nadal odpowiada za to, aby procedura była zgodna z ustawą, zapewniała poufność, umożliwiała podjęcie działań następczych i gwarantowała sygnaliście odpowiednią ochronę.
Rejestr zgłoszeń i działania następcze
Jednym z podstawowych obowiązków związanych z procedurą jest prowadzenie rejestru zgłoszeń wewnętrznych. Rejestr obejmuje m.in. numer zgłoszenia, przedmiot naruszenia, dane osobowe sygnalisty i osoby, której dotyczy zgłoszenie, adres do kontaktu, datę dokonania zgłoszenia, informację o podjętych działaniach następczych oraz datę zakończenia sprawy.
Działania następcze powinny służyć ocenie, czy zgłoszenie jest zasadne, oraz przeciwdziałaniu naruszeniu prawa. Mogą polegać m.in. na przeprowadzeniu postępowania wyjaśniającego, zabezpieczeniu dokumentów, rozmowach z osobami posiadającymi wiedzę o sprawie, zmianie procedur wewnętrznych, działaniach organizacyjnych, a w poważniejszych przypadkach także na zawiadomieniu właściwych organów.
Najważniejsze jest to, aby zgłoszenie nie pozostało bez reakcji. Brak jakichkolwiek działań może podważyć sens procedury, osłabić zaufanie do organizacji i zwiększyć ryzyko dokonania przez sygnalistę zgłoszenia zewnętrznego.
Jakie sankcje przewiduje ustawa?
Brak procedury zgłoszeń wewnętrznych albo jej ustanowienie z istotnym naruszeniem przepisów może skutkować karą grzywny. Ustawa przewiduje również odpowiedzialność za utrudnianie dokonania zgłoszenia, podejmowanie działań odwetowych wobec sygnalisty, bezprawne ujawnienie jego tożsamości oraz świadome zgłoszenie nieprawdziwych informacji. W zależności od rodzaju naruszenia sprawcy może grozić grzywna, kara ograniczenia wolności albo pozbawienia wolności. Dlatego procedura dla sygnalistów nie powinna być traktowana wyłącznie jako formalność, lecz jako rzeczywiście funkcjonujący element organizacji.
Podsumowanie
Ustawa o ochronie sygnalistów nakłada na wiele podmiotów obowiązek przygotowania procedury zgłoszeń wewnętrznych i podejmowania działań następczych. Kluczowe znaczenie ma nie tylko samo przyjęcie dokumentu, ale również zapewnienie bezpiecznych kanałów zgłaszania naruszeń, ochrony poufności, rzetelnego rozpoznania zgłoszenia oraz terminowej komunikacji z sygnalistą.
W praktyce dobrze przygotowana procedura może chronić organizację przed eskalacją problemów, pozwala szybciej reagować na nieprawidłowości i wzmacnia kulturę zgodności z prawem. Warto więc potraktować ją jako narzędzie zarządzania ryzykiem, a nie wyłącznie kolejny obowiązek administracyjny.
Podmioty, które chcą wdrożyć procedurę lub powierzyć obsługę zgłoszeń profesjonalnemu partnerowi zewnętrznemu, mogą rozważyć współpracę z AlertCare, zapewniającą rozwiązania wspierające obsługę zgłoszeń wewnętrznych i działania następcze zgodnie z ustawą o ochronie sygnalistów.
