Ustawa o ochronie sygnalistów wchodzi w życie już 25 września 2024 r. dla zgłoszeń wewnętrznych, a 25 grudnia 2024 r. dla zgłoszeń zewnętrznych i jest pokłosiem unijnej dyrektywy. Wciąż wiele pracodawców zatrudniających co najmniej 50 pracowników (w tym osoby na podstawie umowy cywilnoprawnej) ma wątpliwości co do kwestii formalnych jak i organizacyjnych związanych z wdrożeniem przepisów o ochronie sygnalistów w swoim przedsiębiorstwie. Omówmy zatem ten proces krok po kroku.

Kto będzie obsługiwał zgłoszenia sygnalistów?

Najpierw ustal, kto będzie obsługiwał zgłoszenia w Twojej firmie. Obsługa ta dzieli się na 3 główne etapy:

1. przyjęcie zgłoszenia- jest to jedynie przekazanie sygnaliście informacji, że jego zgłoszenia zostało przyjęte. Zgodnie z ustawą do przyjmowania zgłoszeń może być upoważniony zewnętrzny podmiot lub bezstronna osoba w ramach struktury podmiotu bądź jednostka wewnętrzna.
2. przeprowadzenie postępowania wyjaśniającego- tutaj wyznaczona musi być bezstronna osoba w ramach struktury podmioty bądź jednostka wewnętrzna,
   przeprowadzenie działań następczych i wysłanie sygnaliście informacji zwrotnej- podobnie jak przy
3. postępowaniu wyjaśniającym będzie to bezstronna osoba w ramach struktury podmioty bądź jednostka wewnętrzna. Jeśli zgłoszenia przyjmuje podmiot zewnętrzny, to może on też przesłać informację zwrotną sygnaliście.

Kwestia upoważnienia podmiotu zewnętrznego wzbudza wiele kontrowersji co do zakresu jego upoważnienia. Ustawa w art. 25 ust. 1 pkt 1 wymienia podmiot zewnętrzny jedynie w zakresie przyjmowania zgłoszeń, natomiast art. 28 ustawy wskazuje, że

Upoważnienie podmiotu zewnętrznego, o którym mowa w art. 25 ust. 1 pkt 1, wymaga zawarcia umowy
w celu powierzenia obsługi przyjmowania zgłoszeń wewnętrznych, potwierdzania przyjęcia zgłoszenia, przekazywania informacji zwrotnej oraz dostarczania informacji na temat procedury zgłoszeń wewnętrznych z zastosowaniem rozwiązań technicznych i organizacyjnych zapewniających zgodność tych czynności z ustawą.

Co to oznacza? Podmiot zewnętrzny może być upoważniony jedynie do podejmowania działań technicznych, czyli przyjmowania zgłoszeń, ich potwierdzenia, przekazywania informacji zwrotnej czy dostarczania informacji na temat wdrożonej procedury. Piszemy o tym, ponieważ wielu z naszych klientów błędnie zakłada, że cały proces obsługi zgłoszeń może być przedmiotem outsourcingu. Zaznaczyć należy, że prowadzenie postępowania wyjaśniającego oraz podejmowanie działań następczych zostało jednak wyłączone spod kompetencji podmiotu zewnętrznego. Wydaje się to logiczne, bowiem podmiot zewnętrzny nie wydaje się być odpowiedni do np. przeprowadzania rozmów z pracownikami czy podejmowania decyzji co do ewentualnych roszczeń przeciwko osobie, której dotyczy zgłoszenia. Ustawodawca wskazał zatem, że takie czynności powinny być jednak podejmowane wewnętrznie.

Kogo zatem możemy do tego upoważnić? Konkretnych pracowników, a nawet cały dział, jak np. dział HR. Kiedy już wybierzemy podmiot/konkretne osoby, należy podpisać z nimi odpowiednie upoważnienie. W tym upoważnieniu wskaż zakres czynności, jakie będzie ta osoba wykonywała oraz zawrzyj odpowiednie zapisy dotyczące przetwarzania danych osobowych przez tę osobę w imieniu Twojej firmy.

Jakie wybierzesz kanały zgłoszeń? Sprawdź w ustawie, jakie masz możliwości

Kolejne ustal, jakie kanały zgłoszeń wprowadzić w swoim przedsiębiorstwie. Ustawa wskazuje, że mogą być one ustne lub pisemne, a zgodnie z art. 28 ustawy podmiot powinien wskazać co najmniej możliwość dokonania zgłoszenia ustnie lub pisemnie. Jest to kolejny przepis sprawiający trudności. Czy zatem wystarczy jeden kanał, czy też dwa- jeden ustny a drugi pisemny? Przeważająca część doktryny, na czele z naszą kancelarią przyjmuje, że wystarczy jeden kanał, ponieważ sformułowanie "lub" jest rozumiane jako alternatywa.

Zgłoszenia ustne mogą być dokonane telefonicznie lub za pośrednictwem środków komunikacji elektronicznej. Jeśli wybór padł na linię telefoniczną, to taką rozmowę należy odpowiednio udokumentować (za pomocą nagrywanej linii telefonicznej, kompletnej transkrypcji rozmowy czy protokołu, jeśli rozmowa nie jest nagrywana lub sygnalista nie wyraził zgody na nagrywanie). Zgłoszenie pisemne może być z kolei złożone w postaci papierowej lub elektronicznej. 

Na tym etapie zdecyduj również, czy będziesz przyjmował zgłoszenia anonimowe. Ustawodawca daje tutaj dowolność, zatem możesz się na nie zdecydować lub nie.

Przygotuj kompletną dokumentację, czyli nie tylko procedurę dokonywania zgłoszeń

Mając ustalone powyższe kwestie, możesz przystąpić do przygotowania dokumentacji wdrożeniowej, w tym przede wszystkim procedury zgłoszeń wewnętrznych. Ustawa wskazuje wprost dwa dokumenty, które należy przygotować, czyli właśnie procedurę oraz rejestr zgłoszeń, który musi być na bieżąco prowadzony. Obowiązkowe i dodatkowe elementy procedury znajdziesz w art. 25 ustawy. Powinien być to dokument stanowiący instrukcję tego, jak zgłaszać naruszenia oraz jakie czynności będą podejmowane przez Twoje przedsiębiorstwo po otrzymaniu takiej wiadomości. Jest to zatem dokument istotny z perspektywy zarówno sygnalisty jak i osób obsługujących zgłoszenia. Elementy rejestru naruszeń z kolei znajdziesz w art. 29 ust. 4 ustawy. Jest to katalog zamknięty, zatem nie możesz rozszerzyć tego rejestru o dodatkowe informacje czy dane.

Warto również posługiwać się formularzem zgłoszenia naruszenia czy informacji o działaniu odwetowym, które, chociaż nie są obowiązkowe, a sygnalista nie musi z nich skorzystać, to jednak mogą znacząco usprawnić i przyspieszyć proces obsługi zgłoszenia. Pamiętaj też, żeby odpowiednio poinformować o wdrożeniu procedury np. poprzez komunikat na stronie internetowej.

Należy przy tym jeszcze pamiętać o kwestii ochrony danych osobowych. Dokumentacja RODO, jaką prowadzić w swojej firmie powinna być odpowiednio zaktualizowana i uzupełniona o kwestie związane z przetwarzaniem danych osobowych sygnalistów oraz osób przez nich wskazanych w informacji o naruszeniu prawa. 

Dokonaj wdrożenia procedury zgłoszeń wewnętrznych krok po kroku

Samo przygotowanie procedury to nie wszystko. Ustawa wskazuje czynności, jakie w tym celu należy podjąć, a mianowicie:

• skonsultuj treść procedury z zakładową organizacją związkową lub przedstawicielami osób świadczących pracę (5-10 dni),
• dokonaj ogłoszenia procedury w swojej firmie w sposób zwyczajowo przyjęty np. wiadomości email czy komunikatem na stronie (co najmniej 7 dni przed wejściem w życie ustawy)
• następuje wejście w życie procedury po upływie 7 dni od dnia podania jej do wiadomości.

Obsługuj zgłoszenia o naruszeniach prawa i nieprawidłowościach

Wdrożenie przepisów ustawy pojmowane jako przygotowanie kanałów zgłoszeń i procedury może wydawać się przedsiębiorcom trudne, ale to dopiero obsługa zgłoszeń może okazać się prawdziwym wyzwaniem. W ustawie wskazano aż 17 kategorii naruszeń prawa, a to podmiot musi zdecydować, czy do takiego naruszenia doszło. Co w przypadku, kiedy pracownik mający o tym zdecydować nie ma takiej wiedzy i doświadczenia? Pomocą może być tutaj zewnętrzny ekspert jak np. prawnik specjalizujący się w danej dziedzinie. 

Przyjmując wiadomości od sygnalistów, należy pamiętać też o ustawowych terminach, a mianowicie:

w ciągu 7 dni od otrzymania zgłoszenia potwierdź sygnaliście jego otrzymanie,
w ciągu 3 miesięcy od potwierdzenia otrzymania zgłoszenia prześlij sygnaliście informację zwrotną, w której wskażesz planowane lub podjęte działania następcze oraz powody takich działań.

Na bieżąco uzupełniaj rejestr naruszeń oraz dbaj o zachowanie poufności i ochronę danych osobowych w kontekście nowych przepisów. Pamiętaj, że ustawa zakazuje podejmowania działań odwetowych, a jako pracodawca powinieneś dążyć do ochrony osób zgłaszających naruszenia prawa. 

Pamiętaj o odpowiedzialności karnej i obowiązku ochrony sygnalistów

Przepisy ustawy o ochronie sygnalistów penalizują pewne zachowania w sferze tejże ochrony. Karze grzywny, ograniczenia wolności, a nawet pozbawienia wolności podlegają osoby, które:

a) uniemożliwiają lub istotnie utrudniają innej osobie dokonanie zgłoszenia,

b) podejmują działania odwetowe wobec sygnalisty, osoby pomagającej w dokonaniu zgłoszenia lub osoby powiązanej z sygnalistą,

c) ujawniają tożsamość sygnalisty, osoby pomagającej w dokonaniu zgłoszenia lub osoby powiązanej z sygnalistą,

d) dokonują zgłoszenia lub ujawnienia publicznego, wiedząc, że do naruszenia prawa nie doszło.

Jako przedsiębiorca jesteś też odpowiedzialny za ustanowienie procedury zgłoszeń wewnętrznych. Jeśli wbrew przepisom ustawy procedury tej nie ustanowisz lub ustanowisz ją z istotnym naruszeniem wynikających z ustawy wymogów, będziesz podlegał karze grzywny.

Nie wiesz, jak wdrożyć przepisy o ochronie sygnalistów?

Jesteśmy kancelarią prawną z Wrocławia, która specjalizuje się w zakresie ochrony sygnalistów. Pomagamy przedsiębiorcom wdrożyć system ochrony sygnalistów, przygotowując kompletną dokumentację oraz szkoląc pracowników dedykowanych do obsługi zgłoszeń. Jeśli potrzebujesz naszego wsparcia, zapraszamy do kontaktu.

radca prawny Ewelina Jason