Menu
Dyrektywa Parlamentu Europejskiego i Rady (UE) 2019/1937 z 23 października 2019 r. w sprawie ochrony osób zgłaszających naruszenia prawa Unii reguluje ochronę osób, które dokonują zgłoszeń nieprawidłowości i naruszeń, o których uzyskały informacje w kontekście związanym z pracą.
Sygnalistą, czy jak czytamy w Dyrektywie „osobą dokonująca zgłoszenia” jest w myśl jej przepisów osoba fizyczną, która zgłasza lub ujawnia publicznie informacje na temat naruszeń uzyskane w kontekście związanym z wykonywaną przez nią pracą.
Przepisy dyrektywy przewidują możliwość zgłaszania nieprawidłowości trzema kanałami:
Trzeba pamiętać, że ochronie przewidzianej przez dyrektywę 2019/1937 podlegają tylko te osoby zgłaszające, które miały uzasadnione podstawy, by sądzić, że będące przedmiotem zgłoszenia informacje na temat naruszeń są prawdziwe w momencie dokonywania zgłoszenia oraz że informacje takie są objęte zakresem zastosowania dyrektywy; ii) dokonały zgłoszenia wewnętrznego, zewnętrznego lub ujawnienia publicznego zgodnie z dyrektywą (art. 6 dyrektywy 2019/1937).
Wymóg przekonania osoby zgłaszającej naruszenie o prawdziwości zgłaszanych informacji służy wyjęciu spod ochrony osób dokonujących zgłoszenia w złej wierze, zgłoszeń niepoważnych lub stanowiących nadużycie (pkt 32 preambuły). Oznacza to, że osoby, które celowo przekazały nieprawdziwe informacje, nie będą korzystały z ochrony. Osoby zgłaszające naruszenia powinny dokładnie uzasadnić swoje podejrzenia lub twierdzenia, by nie było wątpliwości, że zgodnie z ich stanem wiedzy zgłaszane informacje są najprawdopodobniej prawdziwe, choć osoby te nie mają możliwości zupełnego zweryfikowania ich wiarygodności.
Jednocześnie jednak na pracodawców nakłada się obowiązki związane z zapewnieniem kanałów wewnętrznych zgłoszeń oraz ochroną osoby dokonującej zgłoszenia (sygnalisty). Obejmą one wszystkich pracodawców zatrudniających co najmniej 50 pracowników, niezależnie od tego, czy jest to sfera publiczna, czy prywatna. Dyrektywa przewiduje, że dla podmiotów zatrudniających od 50 do 249 pracowników konieczność wdrożenia obowiązków może być przesunięta do 17 grudnia 2023 r., jednak w przypadku większych pracodawców (250 i więcej pracowników) datą obowiązywania przepisów będzie 17 grudnia 2021 r.
Obowiązkiem pracodawców będzie zatem utworzenie wewnętrznego kanału i opracowanie procedur, przy wykorzystaniu których pracownicy będą mieli możliwość dokonywania zgłoszeń naruszeń. Kanały i procedury dokonywania zgłoszeń tworzone przez pracodawców, powinny umożliwiać pracownikom podmiotu dokonywanie zgłoszeń informacji na temat naruszeń. Mogą one umożliwiać dokonywanie zgłoszeń informacji na temat naruszeń również przez inne osoby, utrzymujące kontakt z podmiotem w kontekście związanym z pracą. Podmioty prawne w sektorze prywatnym i publicznym oraz właściwe organy są zobowiązane do prowadzenia rejestru zgłoszeń oraz przechowywania ich nie dłużej niż jest to konieczne i proporcjonalne (art. 18 dyrektywy 2019/1937). W przypadku zgłoszeń telefonicznych lub ustnych zgłoszenie powinno być udokumentowane nagraniem lub protokołem. Celem powyższej regulacji jest zapewnienie możliwości wykorzystania informacji otrzymanych w drodze zgłoszeń jako dowodu w ramach działań związanych z egzekwowaniem prawa (pkt 86 preambuły). W związku z tym, że dyrektywa nie wyznacza czasu przechowywania zgłoszeń, wskazane jest, by w akcie implementującym wskazać minimalny czas przechowywania danych.
Dyrektywa 2019/1937 w art. 16 i 17 przewiduje szczegółowe regulacje w zakresie zachowania poufności i przetwarzania danych osobowych. Tożsamość osoby zgłaszającej naruszenie oraz wszelkie informacje pozwalające na jej identyfikację powinny być znane tylko osobom obsługującym system sygnalizacji, chyba że sygnalista wyrazi zgodę na ujawnienie jego tożsamości (art. 16 ust. 1 dyrektywy 2019/1937). W drodze odstępstwa ujawnienie tożsamości sygnalisty jest możliwe tylko w wyjątkowych sytuacjach przewidzianych w prawie unijnym lub krajowym (art. 16 ust. 2 dyrektywy 2019/1937).
Procedury na potrzeby zgłoszeń wewnętrznych i działań następczych, muszą obejmować następujące elementy:
Kanały dokonywania zgłoszeń muszą umożliwiać dokonywanie zgłoszeń na piśmie lub ustnie. Zgłoszenie ustne może być dokonane telefonicznie lub za pośrednictwem innych systemów komunikacji głosowej oraz na wniosek osoby dokonującej zgłoszenia, za pomocą bezpośredniego spotkania zorganizowanego w rozsądnym terminie.
Dyrektywa pozostawia do decyzji państw członkowskich kwestię dopuszczalności zgłoszeń anonimowych zarówno w ramach kanałów wewnętrznych, jak i zewnętrznych (art. 6 ust. 2 pkt 34 preambuły). Anonimowość zgłoszeń jest jedną z najbardziej kontrowersyjnych kwestii. Bezimienni sygnaliści mogą czuć się bezkarni, co może skłaniać do zgłaszania informacji nieprawdziwych w celu uzyskania osobistych korzyści. Z tego powodu zgłoszenia anonimowe z reguły traktowane są jako mniej wiarygodne. Dodatkowo pojawia się problem skontaktowania się z osobą dokonującą zgłoszenia w celu uzyskania dodatkowych informacji w przedmiocie zgłoszonej sprawy lub przekazania informacji zwrotnej. Rozwiązaniem w tym zakresie są narzędzia technologiczne z kodami identyfikacyjnymi przypisywanymi sygnalistom, umożliwiające kontakt z anonimowym informatorem.
Reasumując przed przedsiębiorcami kolejne wyzwanie, które, jeśli nie zostaną wdrożone mogą się spotkać RESTRYKCYJNYMI SANKCJAMI. Zgodnie bowiem z art. 23 Dyrektywy: Państwa członkowskie ustanawiają skuteczne, proporcjonalne i odstraszające sankcje stosowane wobec osób fizycznych lub prawnych, które:
Ale też w tym samym artykule (ust. 2) czytamy:
Państwa członkowskie wprowadzają przepisy przewidujące skuteczne, proporcjonalne i odstraszające sankcje dla osób dokonujących zgłoszenia, wobec których ustalono, że świadomie dokonały zgłoszenia lub ujawnienia publicznego nieprawdziwych informacji. Państwa członkowskie wprowadzają również przepisy przewidujące, zgodnie z prawem krajowym, środki odszkodowawcze za szkodę wynikającą z takiego zgłoszenia lub ujawniania publicznego.
Niestety cały czas czekamy na ustawę o ochronie sygnalistów, ale nie zmienia to faktu, że warto mieć przygotowany przynajmniej zarys zmian jakie trzeba będzie wprowadzi c, a to: Wdrożenie mechanizmów związanych z procesem zgłaszania nieprawidłowości wskazuje jako najbardziej domyślny sposób informowania o nieprawidłowościach, zgodnie z postanowieniami dyrektywy 2019/1937, tzw. ścieżkę wewnętrzną.
Zatem pierwszy obszar, który stanowi podwaliny whistleblowingu, to odpowiednio skonstruowana polityka zgłaszania nieprawidłowości oraz procedura prowadzenia wewnętrznych postępowań wyjaśniających. Trzeba tu zaznaczyć, iż musi ona uwzględnią już istniejące w organizacji procedury takie jak np. procedura AML (przeciwdziałanie praniu brudnych pieniędzy), i oczywiście musi zostać „wpięta” z system RODO, ze względu na obowiązkową ochronę danych osobowych – z projektu ustawy: „Pracodawca stosuje rozwiązania techniczne i organizacyjne zapewniające przechowywanie danych osobowych zgłaszającego oddzielnie od dokumentu lub innego nośnika informacji obejmujących zgłoszenie, włączając w to, w odpowiednim przypadku, usunięcie z treści dokumentu lub innego nośnika informacji niezwłocznie po ich otrzymaniu wszystkich danych osobowych zgłaszającego”.
Sposoby przekazywania zgłoszeń powinny zapewniać ochronę poufności tożsamości osoby zgłaszającej oraz osób wymienionych w treści zgłoszenia, a także uniemożliwiać dostęp do tych danych przez podmioty do tego nieupoważnione.
Kanały przekazywania zgłoszeń mogą stanowić, o ile spełniają wskazane powyżej przesłanki:
Zgodnie z postanowieniami dyrektywy 2019/1937 podmiot wdrażający system whistleblowingowy zobowiązany jest do wyznaczenia bezstronnej osoby lub struktury, która będzie odpowiedzialna za przyjmowanie raportów od sygnalistów, prowadzenie wewnętrznych postępowań wyjaśniających oraz podejmowanie działań następczych, natomiast w uzasadnionych przypadkach będzie podejmować kontakt zwrotny do sygnalisty.
Kolejnym aspektem jest ten związany z edukacją wewnętrzną oraz szkoleniami. Dla skutecznego wdrożenia systemu zgłaszania nieprawidłowości niezbędne jest jasne przedstawienie jego celu w organizacji, zapoznanie pracowników z jego działaniem, przedstawienie mechanizmów ochrony osób zgłaszających, a także osób wskazanych w zgłoszeniu oraz narzędzi pozwalających na poufność całego procesu oraz zachowanie bezstronności osób odpowiedzialnych za obsługę zgłoszeń.
Przechodząc do szczegółowych regulacji trzeba wskazać, iż zarówno dyrektywa 2019/1937, jak i projekt polskiej ustawy o ochronie osób zgłaszających nieprawidłowości dotyczy następujących zakresów:
Art. 1. Ustawa reguluje:
Art. 3. 1. Naruszeniem prawa jest działanie lub zaniechanie niezgodne z prawem lub mające na celu obejście prawa dotyczące:
Pracodawca może dodatkowo ustanowić zgłaszanie w zakładzie pracy innych naruszeń niż naruszenia, o których mowa w ust. 1, w tym dotyczących obowiązujących u tego pracodawcy regulacji wewnętrznych lub standardów etycznych.
W tym kontekście projekt ustawy o ochronie osób zgłaszających nieprawidłowości zawiera następujące obowiązki pracodawcy (zakres tych obowiązków pozostaje zasadniczo w zgodzie z treścią dyrektywy 2019/1937) i nadkłada następujące obowiązki:
Ustanawiając wewnętrzną procedurę, pracodawca zapewnia bezstronność weryfikacji zgłoszeń. Sposoby przekazywania zgłoszeń, obejmują przynajmniej możliwość dokonywania zgłoszeń na piśmie lub ustnie. Zgłoszenie ustne może być dokonane telefonicznie lub za pośrednictwem innych systemów komunikacji głosowej oraz na wniosek zgłaszającego, za pomocą bezpośredniego spotkania zorganizowanego w terminie 7 dni od dnia otrzymania zgłoszenia.
Organizacja przyjmowania i weryfikacji zgłoszeń, podejmowania działań następczych oraz związanego z tym przetwarzania danych osobowych uniemożliwia uzyskanie dostępu do informacji objętej zgłoszeniem nieupoważnionym osobom oraz zapewnia ochronę poufności tożsamości osoby dokonującej zgłoszenia i osoby, której dotyczy zgłoszenie. Ochrona poufności dotyczy informacji, na podstawie których można bezpośrednio lub pośrednio zidentyfikować tożsamość takich osób.
Pracodawca stosuje rozwiązania techniczne i organizacyjne zapewniające przechowywanie danych osobowych zgłaszającego oddzielnie od dokumentu lub innego nośnika informacji obejmujących zgłoszenie, włączając w to, w odpowiednim przypadku, usunięcie z treści dokumentu lub innego nośnika informacji niezwłocznie po ich otrzymaniu wszystkich danych osobowych zgłaszającego.
Pracodawca:
W rejestrze zgłoszeń wewnętrznych gromadzi się następujące dane:
Dane w rejestrze zgłoszeń wewnętrznych są przechowane przez okres 5 lat od dnia przyjęcia zgłoszenia.
Autor: Monika Jurkiewicz, radca prawny.
Monika stosuje w pracy zasady lean managemantu i zarządzania projektami, ponieważ wie, że w dobie turbulentnego i mniej przewidywalnego otoczenia każda organizacja poszukuje rozwiązań zwiększających efektywność oraz ograniczających marnotrawstwo, aby osiągnąć przewagę konkurencyjną. Pisze Doktorat na Uczelni Łazarskiego, ale też została certyfikowanym Audytorem ISO Normy 9001:2015.
(+48) 56-622-09-77
biuro@kancelaria-jurkiewicz.pl
ul. Warszawska 4/5 87-100 Toruń
Jeśli chcecie być na bieżąco z najnowszymi artykułami na naszym blogu, serdecznie zapraszamy do zapisania się na nasz newsletter LOVE LABOUR LVOE.
Oferujemy tylko wartościowe treści – bez spamu.
