Sygnaliści w organizacji – obowiązki i sankcje

Minął miesiąc od wejścia w życie ustawy o ochronie osób zgłaszających naruszenia prawa, popularnie określanych jako sygnaliści (25 września). To odpowiedni moment, aby podsumować związane z tym obowiązki oraz potencjalne konsekwencje dla organizacji, które nie wdrożyły odpowiednich procedur ochrony sygnalistów. Poniżej odpowiadamy na kluczowe pytania dotyczące realizacji wymogów wynikających z nowej regulacji.

Kogo dotyczy obowiązek wdrożenia procedur ochrony sygnalistów?

Obowiązek wdrożenia procedur ochrony sygnalistów, w tym systemu przyjmowania zgłoszeń o potencjalnych nieprawidłowościach, dotyczy określonych grup przedsiębiorców:

1. Przedsiębiorców zatrudniających 50 lub więcej osób

Ten wymóg obejmuje przedsiębiorców, którzy:

• Zatrudniają pracowników na podstawie umowy o pracę.
• Współpracują z osobami wykonującymi pracę na podstawie umów cywilnoprawnych (np. umowy zlecenia czy B2B), pod warunkiem, że praca wykonywana jest osobiście, a te osoby nie zatrudniają innych osób do realizacji zadania.

2. Przedsiębiorców zatrudniających co najmniej jedną osobę w szczególnych sektorach

Ten obowiązek dotyczy firm prowadzących działalność w określonych obszarach o podwyższonym ryzyku, w szczególności w zakresie:

• Usług, produktów i rynków finansowych.
• Przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu.
• Bezpieczeństwa transportu.
• Ochrony środowiska.

Przykładowo, wymóg ten obejmuje:

• Biura rachunkowe.
• Instytucje pożyczkowe.
• Pośredników w obrocie nieruchomościami.

Regulacje te wynikają z implementacji przepisów dyrektywy 2019/1937, której celem jest zwiększenie ochrony osób zgłaszających naruszenia prawa w Unii Europejskiej.

Jakie dokumenty i procedury należy wdrożyć?

Wdrożenie systemu ochrony sygnalistów wymaga przygotowania odpowiednich dokumentów oraz procedur, które zapewnią zgodność z przepisami. Oto kluczowe elementy:

1. Wewnętrzna procedura dokonywania zgłoszeń i podejmowania działań następczych
   Głównym dokumentem jest regulamin określający zasady zgłaszania naruszeń prawa oraz sposób postępowania z nimi. To podstawowy element systemu ochrony sygnalistów, który powinien być zgodny z wymogami ustawy.
2. Upoważnienia dla osób odpowiedzialnych za przyjmowanie zgłoszeń
   Należy przygotować pisemne upoważnienia dla osób, które będą odpowiadały za przyjmowanie zgłoszeń oraz podejmowanie dalszych działań związanych z ich obsługą.
3. Dokumentacja informacyjna
   Przedsiębiorca ma obowiązek informowania o wprowadzonej procedurze. W tym celu należy opracować dokument z informacjami o systemie zgłoszeń, który powinien być dostarczony pracownikom, kontrahentom i innym zainteresowanym stronom, np. na etapie rekrutacji.
4. Umowy na obsługę zewnętrznej platformy zgłoszeń
   Jeżeli przedsiębiorca korzysta z zewnętrznego podmiotu lub platformy przyjmującej zgłoszenia, konieczne jest zawarcie pisemnej umowy regulującej zasady współpracy. Umowa powinna obejmować m.in. przyjmowanie zgłoszeń, przekazywanie informacji zwrotnej oraz zapewnienie zgodności z ustawą w zakresie ochrony danych osobowych.
5. Umowy o powierzenie przetwarzania danych osobowych
   Przedsiębiorca, jako administrator danych osobowych, musi zawierać umowy o powierzenie przetwarzania danych osobowych z podmiotami obsługującymi zgłoszenia. To konieczność wynikająca z obowiązujących przepisów dotyczących ochrony danych osobowych.

Czy ochrona sygnalistów na poziomie grupy jest wystarczająca?

Choć ochrona sygnalistów została uregulowana dyrektywą UE, każde państwo członkowskie wdrożyło jej przepisy na swój sposób, dostosowując je do lokalnych potrzeb. W Polsce przepisy dotyczące ochrony sygnalistów określają obowiązki w zakresie administrowania danymi osobowymi.

Zgodnie z polską ustawą, przedsiębiorca ma obowiązek wprowadzenia lokalnego kanału zgłoszeń w Polsce, niezależnie od istnienia grupowego systemu funkcjonującego w innych krajach UE. Polska regulacja zakłada, że przedsiębiorca działający na polskim rynku jest administratorem danych osobowych i ponosi pełną odpowiedzialność za ich przetwarzanie.

W praktyce oznacza to, że:

• Kanał zgłoszeń działający na poziomie grupy może być traktowany jako dodatkowe narzędzie.
• Nie może on jednak zastąpić lokalnego kanału zgłoszeń, który musi być wdrożony zgodnie z polskimi przepisami.

Polskie przedsiębiorstwa powinny zatem dostosować swoje procedury i kanały zgłoszeń do krajowych regulacji, nawet jeśli należą do międzynarodowych struktur, aby uniknąć niezgodności i potencjalnych sankcji.

Jak wygląda i ile trwa etap konsultacyjny?

Etap konsultacyjny, który poprzedza ustanowienie regulaminu ochrony sygnalistów, jest obowiązkowy i kluczowy dla prawidłowego wdrożenia procedur wewnętrznych. Przedsiębiorca ma obowiązek przeprowadzić konsultacje z przedstawicielami związków zawodowych, a w przypadku ich braku – z wyznaczonymi przedstawicielami pracowników.

Zgodnie z ustawą, etap konsultacyjny powinien trwać od 5 do 10 dni od dnia przedstawienia projektu regulaminu. Przedsiębiorca musi przestrzegać tego terminu, aby uniknąć naruszenia przepisów i zapewnić zgodność z wymogami ustawy.

Jak wygląda wejście w życie regulaminu?

Procedura wewnętrzna, w postaci regulaminu, wchodzi w życie po upływie 7 dni od dnia jej podania do wiadomości pracownikom i innym osobom współpracującym z przedsiębiorcą.

W praktyce sposób ogłoszenia regulaminu powinien być spójny z metodami komunikacji przyjętymi w danej firmie, np. poprzez publikację w intranecie, tablicy ogłoszeń czy przekazanie dokumentu e-mailem. Ważne jest, aby regulamin został udostępniony nie tylko pracownikom zatrudnionym na podstawie umowy o pracę, ale także osobom współpracującym na podstawie umów cywilnoprawnych, takich jak zlecenie czy B2B.

Jakie są sankcje za niewdrożenie regulaminu?

Ustawa przewiduje karę grzywny w wysokości do 5000 zł za niewdrożenie procedur wewnętrznych zgodnie z przepisami. Sankcja ta dotyczy przedsiębiorców, którzy nie wprowadzili regulaminu ochrony sygnalistów w określonym czasie lub nie spełnili wymagań formalnych wynikających z ustawy.

Jakie są konsekwencje nieprawdziwego zgłoszenia przez sygnalistę?

Sygnalista, który świadomie dokonał zgłoszenia fałszywego, podlega sankcjom karnym. W przypadku, gdy zgłoszenie zostało złożone w złej wierze, przepisy przewidują:

• Grzywnę,
• Karę ograniczenia wolności,
• Karę pozbawienia wolności do 2 lat.

Sankcje te mają na celu przeciwdziałanie nadużyciom oraz ochronę przed fałszywymi oskarżeniami.

Co zmieni się od 25 grudnia 2024 roku?

Choć większość przepisów ustawy o ochronie sygnalistów obowiązuje od 25 września 2024 roku, ustawodawca zdecydował się odroczyć wprowadzenie niektórych regulacji do 25 grudnia 2024 roku.

Zmiany te obejmują:

• 1) Zewnętrzne kanały zgłoszeń dla instytucji publicznych:
  • Główna odpowiedzialność za przyjmowanie zgłoszeń zewnętrznych spoczywać będzie na Rzeczniku Praw Obywatelskich.
  • Instytucje publiczne zostaną zobowiązane do wdrożenia mechanizmów przyjmowania takich zgłoszeń.
• 2) Obowiązek informacyjny dla przedsiębiorców:
  • Przedsiębiorcy będą musieli zapewnić dostępne i zrozumiałe informacje dotyczące zgłaszania nieprawidłowości do Rzecznika Praw Obywatelskich, organów publicznych lub – w stosownych przypadkach – do instytucji unijnych.
  • Informacje te muszą być łatwo dostępne dla pracowników, kontrahentów oraz innych osób współpracujących z przedsiębiorcą.