Nowe obowiązki w zakresie ochrony sygnalistów

Podmioty prawne (prywatne i publiczne) są zobowiązane do opracowania i wdrożenia wewnętrznych procedur dokonywania zgłoszeń naruszeń prawa i podejmowania działań następczych. Brak tych procedur obwarowany jest karą grzywny, ale dopiero od momentu wejścia w życie ustawy o ochronie sygnalistów.

Procedura zgłoszeń wewnętrznych

Ustawa o ochronie sygnalistów (Dz. U. z 2024 r. poz. 928), która z wyjątkami wejdzie w życie z dniem 25 września 2024 r., obejmuje ochronę sygnalistów dokonujących zgłoszenia lub ujawnienia informacji lub uzasadnionych podejrzeń naruszenia prawa, którzy uzyskali informacje na temat naruszenia w kontekście związanym z pracą. Ustawa nakłada na pracodawców i przedsiębiorców nowe obowiązki. I tak podmiot prawny (prywatny lub publiczny) zobowiązany do stosowania przepisów o ochronie sygnalistów (patrz tabela) będzie miał obowiązek ustalenia wewnętrznej procedury zgłoszenia informacji o naruszeniach prawa i podejmowania działań następczych. W procedurze zgłoszeń wewnętrznych trzeba wskazać wewnętrzną jednostkę organizacyjną bądź osobę w ramach struktury organizacyjnej podmiotu prawnego lub podmiot zewnętrzny, upoważnione przez podmiot prawny do przyjmowania zgłoszeń wewnętrznych. Ponadto w procedurze tej należy określić:

• sposoby przekazywania zgłoszeń wewnętrznych przez sygnalistę wraz z jego adresem korespondencyjnym lub adresem poczty elektronicznej,
• bezstronną wewnętrzną jednostkę organizacyjną lub osobę w ramach struktury organizacyjnej do podejmowania działań następczych, włączając w to weryfikację zgłoszenia i dalszą komunikację z sygnalistą, w tym występowanie o dodatkowe informacje i przekazywanie sygnaliście informacji zwrotnej (może to być ten sam podmiot, który został upoważniony do przyjmowania zgłoszeń),
• tryb postępowania z informacjami o naruszeniu prawa zgłoszonymi anonimowo (bez podpisu sygnalisty),
• obowiązek potwierdzenia sygnaliście przyjęcia zgłoszenia wewnętrznego w terminie 7 dni od dnia jego otrzymania, chyba że sygnalista nie poda adresu do kontaktu, na który należy przekazać potwierdzenie,
• obowiązek podjęcia, z zachowaniem należytej staranności, działań następczych przez wewnętrzną jednostkę organizacyjną lub osobę upoważnioną,
• maksymalny termin na przekazanie zgłaszającemu informacji zwrotnej, nieprzekraczający 3 miesięcy od dnia potwierdzenia przyjęcia zgłoszenia lub, w przypadku nieprzekazania potwierdzenia zgłaszającemu, 3 miesięcy od upływu 7 dni od dokonania zgłoszenia,
• zrozumiałe i łatwo dostępne informacje na temat trybu dokonywania zgłoszeń zewnętrznych do Rzecznika Praw Obywatelskich albo organów publicznych oraz w stosownych przypadkach - do instytucji, organów lub jednostek organizacyjnych UE.

W procedurze zgłoszeń wewnętrznych dodatkowo można przewidzieć możliwość zgłaszania informacji o naruszeniach dotyczących wewnętrznych procedur danej organizacji lub standardów etycznych. Procedura dodatkowo może objąć w szczególności wskazanie:

• czynników ryzyka odpowiadających profilowi działalności podmiotu prawnego, sprzyjających możliwości wystąpienia określonych naruszeń prawa związanych w szczególności z naruszeniem obowiązków regulacyjnych lub innych obowiązków określonych w przepisach prawa lub z ryzykiem korupcji,
• że informacja o naruszeniu prawa może być w każdym przypadku zgłoszona również do Rzecznika Praw Obywatelskich albo organu publicznego z pominięciem procedury zgłoszeń wewnętrznych,
• systemu zachęt do korzystania z procedury zgłoszeń wewnętrznych, w przypadku gdy naruszeniu prawa można skutecznie zaradzić w ramach struktury organizacyjnej podmiotu prawnego, a sygnalista uważa, że nie zachodzi ryzyko działań odwetowych.

Sposoby przekazywania zgłoszeń

Przepisy pozostawiają swobodę w wyborze sposobów przekazywania zgłoszeń wewnętrznych, gdyż obejmują przynajmniej możliwość dokonywania zgłoszeń naruszeń prawa ustnie lub pisemnie. Zgłoszenie ustne może być dokonane telefonicznie lub za pośrednictwem środków komunikacji elektronicznej w rozumieniu art. 2 pkt 5 ustawy o świadczeniu usług drogą elektroniczną (Dz. U. z 2020 r. poz. 344). Środki te definiowane są jako rozwiązania techniczne, w tym urządzenia teleinformatyczne i współpracujące z nimi narzędzia programowe, umożliwiające indywidualne porozumienie się na odległość przy wykorzystaniu transmisji danych między systemami teleinformatycznymi, a w szczególności pocztą elektroniczną. Nie ma więc przeszkód, by szeroko rozumiane zgłoszenia elektroniczne (za pośrednictwem platformy on-line, aplikacji) zostały ujęte przez podmiot prawny w procedurze zgłoszeń wewnętrznych.

Na gruncie art. 26 ust. 3 ustawy o ochronie sygnalistów zgłoszenie ustne dokonywane za pośrednictwem nagrywanej linii telefonicznej lub innego nagrywanego systemu komunikacji głosowej będzie dokonywane za zgodą sygnalisty w formie:

• nagrania rozmowy, umożliwiającego jej wyszukanie, lub
• kompletnej i dokładnej transkrypcji rozmowy przygotowanej przez jednostkę lub osobę, lub podmiot, upoważnione do przyjmowania zgłoszeń wewnętrznych.

Na wniosek sygnalisty zgłoszenie ustne może być dokonane również podczas bezpośredniego spotkania zorganizowanego w terminie 14 dni od dnia otrzymania takiego wniosku. W takim przypadku za zgodą sygnalisty zgłoszenie będzie dokumentowane w formie:

• nagrania rozmowy, umożliwiającego jej wyszukanie, lub
• protokołu spotkania, odtwarzającego jego dokładny przebieg, przygotowanego przez jednostkę lub osobę, lub podmiot, upoważnione do przyjmowania zgłoszeń wewnętrznych.

Odnosząc się do zgłoszeń pisemnych, mogą być one dokonywane w formie papierowej lub elektronicznej. Ostatecznie to podmiot prawny będzie decydował o sposobach dokonywania zgłoszeń naruszeń prawa, tak by były jak najlepiej dopasowane do charakteru prowadzonej działalności oraz rodzaju i formy wykonywanej pracy.

Procedurę zgłoszeń wewnętrznych musi opracować podmiot prawny, na rzecz którego wg stanu na dzień 1 stycznia lub 1 lipca danego roku wykonuje pracę zarobkową co najmniej 50 osób.

Działania następcze

Podmiot prawny w procedurze zgłoszeń wewnętrznych będzie zobowiązany określić działania następcze podejmowane w celu oceny prawdziwości informacji zawartych w zgłoszeniu oraz w stosownych przypadkach w celu przeciwdziałania naruszeniu prawa będącemu przedmiotem zgłoszenia, w tym przez m.in. postępowanie wyjaśniające, wszczęcie kontroli lub postępowania administracyjnego, wniesienie oskarżenia. W związku z tym w procedurze zgłoszeń wewnętrznych podmiot prawny będzie zobowiązany określić bezstronną wewnętrzną jednostkę organizacyjną lub osobę w ramach struktury organizacyjnej, upoważnione do podejmowania działań następczych, włączając w to weryfikację zgłoszenia i dalszą komunikację z sygnalistą. W tym mieści się występowanie o dodatkowe informacje i przekazywanie zgłaszającemu informacji zwrotnej. Taką rolę może pełnić wewnętrzna jednostka organizacyjna lub osoba w ramach struktury organizacyjnej (pracownik) upoważnione przez podmiot prawny (pracodawcę) do przyjmowania zgłoszeń wewnętrznych. Inaczej mówiąc, ta sama osoba w firmie może być odpowiedzialna za przyjmowanie zgłoszeń o naruszeniu prawa oraz za weryfikację prawdziwości informacji zawartych w zgłoszeniu, ale pod warunkiem zapewnienia bezstronności.

Wymagane konsultacje

Procedurę zgłoszeń wewnętrznych podmiot prawny (prywatny lub publiczny) ustala po konsultacji z zakładową organizacją związkową albo przedstawicielami pracowników, wyłonionymi w trybie przyjętym u danego pracodawcy, gdy u pracodawcy nie działa zakładowa organizacja związkowa. W praktyce procedury nie da się wdrożyć z dnia na dzień, ponieważ jej konsultacje mają trwać nie krócej niż 5 dni i nie dłużej niż 10 dni od dnia przedstawienia przez podmiot prawny projektu procedury zgłoszeń wewnętrznych. Procedura według ustawy o ochronie sygnalistów wchodzi w życie po upływie 7 dni od dnia podania do wiadomości osób wykonujących pracę, w sposób przyjęty w danym podmiocie prawnym. W tym ujęciu ponad dwa tygodnie zajmie opracowanie i wdrożenie procedury zgłoszeń wewnętrznych.

Rejestr zgłoszeń

Każdy podmiot prawny, który wdroży regulamin zgłoszeń wewnętrznych, będzie miał obowiązek prowadzenia rejestru zgłoszeń wewnętrznych jako administrator danych osobowych zgromadzonych w rejestrze zgłoszeń wewnętrznych. W rejestrze powinny znaleźć się co najmniej takie informacje, jak:

• numer zgłoszenia,
• przedmiot naruszenia prawa,
• dane osobowe sygnalisty oraz osoby, której dotyczy zgłoszenie, niezbędne do identyfikacji tych osób,
• adres do kontaktu sygnalisty,
• data dokonania zgłoszenia,
• informacje o podjętych działaniach następczych,
• data zakończenia sprawy.

Do prowadzenia rejestru zgłoszeń zewnętrznych podmiot prawny może upoważnić wewnętrzną jednostkę organizacyjną lub osobę w ramach jego struktury organizacyjnej albo podmiot zewnętrzny, upoważnione przez niego do przyjmowania zgłoszeń wewnętrznych. Innym rozwiązaniem jest upoważnienie do prowadzenia rejestru zgłoszeń wewnętrznych przez bezstronną wewnętrzną jednostkę organizacyjną lub osobę w ramach struktury organizacyjnej upoważnione przez podmiot prawny do podejmowania działań następczych.

Dane w takim rejestrze powinny być przechowywane przez okres trzech lat po zakończeniu roku kalendarzowego, w którym zakończono działania następcze, lub po zakończeniu postępowań zainicjowanych tymi działaniami.

Sankcje za brak procedur

Ustawa o ochronie sygnalistów wejdzie w życie po trzech miesiącach od dnia jej ogłoszenia, z wyjątkiem przepisów dotyczących zgłoszeń zewnętrznych, które zaczną obowiązywać po upływie sześciu miesięcy. Oznacza to, że w terminie trzech miesięcy od dnia ogłoszenia ustawy, czyli licząc od 24 czerwca 2024 r., wejdą w życie przepisy dotyczące obowiązku ustanowienia przez podmioty prawne wewnętrznych procedur zgłoszeń. Przedsiębiorcy mają więc wystarczająco dużo czasu, by wdrożyć procedury, które staną się obowiązkiem od 25 września 2024 r. Procedury te muszą wdrożyć biura rachunkowe bez względu na ilość zatrudnionych osób. Przykładowo biuro rachunkowe, które zatrudnia mniej niż 10 osób, jest zobowiązane do wdrożenia nowych procedur, czyli m.in. wyznaczenia wewnętrznej bezstronnej jednostki organizacyjnej lub osoby do weryfikowania informacji o naruszeniu prawa zgłaszanych przez sygnalistów.

Brak tych procedur albo ustanowienie ich z naruszeniem wymogów ustawy o ochronie sygnalistów stanowi wykroczenie zagrożone karą grzywny wymierzoną na podstawie Kodeksu wykroczeń, a więc w wysokości do 5 tys. zł.