Do 17 grudnia 2021 r. do polskiego porządku prawnego powinna być implementowana Dyrektywa Parlamentu Europejskiego i Rady w sprawie ochrony osób zgłaszających naruszenia prawa Unii^[1]. Jej celem jest ustanowienie standardu ochrony prawnej dla osób, które przekazują informację o nieprawidłowościach zauważonych w firmie.

W oczekiwaniu na polskie przepisy odpowiadamy na najczęściej zadawane pytania dotyczące ochrony sygnalistów i wyjaśniamy, jak przygotować firmę do nowych obowiązków związanych ze zgłaszaniem naruszeń.

1. Kim jest sygnalista?

Sygnalistą jest osoba zgłaszająca naruszenia przepisów prawa (działaniach nielegalnych) lub zasad etycznych w miejscu pracy. Celem jest ochrona wartości uznanych za społecznie ważne i warte ochrony, takie jak zdrowie, bezpieczeństwo i higiena pracy, środowisko naturalne, bezpieczeństwo finansów.

Termin pochodzi od angielskiego whistleblowing – czyli dmuchanie w gwizdek i wywodzi się z USA, gdzie sygnalista może nawet liczyć na gratyfikacje finansowe.

Przed wdrożeniem unijnej dyrektywy polski system prawny zawiera przepisy nakazujące posiadanie kanałów zgłoszeń, ale dotyczy to instytucji finansowych (prawo bankowe, ustawa o funduszach inwestycyjnych, o obrocie instrumentami finansowymi). Sygnalista występuje też w ustawie o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu.

2. Kiedy wejdą w życie przepisy o sygnalistach?

Instytucja sygnalisty stała się obowiązkowa w krajach UE – zgodnie z jej postanowieniami powinna być implementowana do  porządku prawnego państw członkowskich do 17 grudnia 2021 r. Póki co zarządzeniem Prezesa Rady Ministrów z 1 grudnia 2020 r. wyznaczono Ministra do spraw Pracy jako organ właściwy do opracowania projektu ustawy. Został także wyznaczony zespół dedykowany ustawie, ale do tej chwili (marzec 2021), nie został jeszcze przedstawiony projekt.

Można więc opierać się wyłącznie na założeniach dyrektywy, która określa minimalne zasady ochrony sygnalistów, pozostawiając swobodę przyjęcia w ramach porządków krajowych przepisów korzystniejszych dla osób dokonujących zgłoszenia. Nie wiemy więc dokładnie, jak będzie kształtować się ochrona sygnalistów w prawie polskim i z jakimi obowiązkami będą musieli liczyć się pracodawcy, gdyż ustawodawca krajowy może je rozszerzyć względem tych, które wynikają z Dyrektywy.

3. Które firmy obejmą nowe obowiązki?

Obowiązek ustanowienia kanałów zgłoszeń i procedur  dokonywania zgłoszeń i działań następczych dotyczy tych pracodawców z sektora prywatnego, którzy zatrudniają co najmniej 50 pracowników. Próg ten nie dotyczy usług, produktów i rynków finansowych, oraz zapobiegania praniu pieniędzy i finansowania terroryzmu, bezpieczeństwa transportu i ochrony środowiska – niezależnie od ilości zatrudnionych osób.

Dyrektywa pozostawia jednak możliwość, by państwa członkowskie nałożyły obowiązki ustanawiania kanałów zgłoszeń i procedur także na przedsiębiorców zatrudniających poniżej 50 pracowników, po dokonaniu oceny ryzyka uwzględniającej charakter działalności, wnikający z niej poziom ryzyka. Wskazuje się tu w szczególności działalność w dziedzinie środowiska i zdrowia publicznego.

Zgodnie z dyrektywą odroczone może być stosowanie wymogów wynikających z dyrektywy w stosunku do podmiotów zatrudniających od 50 do 249 pracowników – do 17 grudnia 2023 r. Pozostali zgodnie z dyrektywą powinni posiadać kanały zgłoszeń wewnętrznych i procedury już 17 grudnia 2021 r.

[1] Dyrektywa Parlamentu Europejskiego i Rady (UE) 2019/1937 z dnia 23 października 2019 r.

4. Kto może być sygnalistą w firmie?

Konieczne jest spełnienie trzech warunków:

1. Odpowiedni status: pracownicy, osoby prowadzące działalność na własny rachunek, akcjonariusze, wspólnicy, członkowie organów administrujących, zarządzających, nadzorczych, wolontariusze, stażyści, osoby pracujące pod nadzorem i kierownictwem wykonawców, podwykonawców i dostawców i in.
   Pracownik będący sygnalistą to osoba, która posiada wiedzę o nieprawidłowościach dotyczących miejsca pracy, o których w dobrej wierze informuje bezpośredniego przełożonego, inną właściwą osobę bądź bezpośrednio pracodawcę.
2. Odpowiednie naruszenie: Dyrektywa nie ustanawia zasad ochrony w przypadku zgłoszenia każdego, dowolnego naruszenia prawa, lecz wymienia konkretne dziedziny, np. zamówienia publiczne, bezpieczeństwo produktów i ich zgodność z wymogami, ochrona środowiska, ochrona konsumentów i in.
3. Dobra wiara zgłaszającego.

5. Jak powinien wyglądać system zgłaszania nieprawidłowości w firmie?

Dyrektywa przewiduje system, na który składają się 3 kanały zgłoszeń: wewnętrzny, zewnętrzny i ujawnienie publiczne.

Kanał wewnętrzny, który zapewnia pracodawca. Z założenia jest to pierwszy z kanałów, z którego powinien skorzystać sygnalista i państwa członkowskie powinny zachęcać do składania zgłoszeń tą drogą – jeśli

• naruszeniu można skutecznie zaradzić wewnątrz organizacji,
• a osoba zgłaszająca uważa, że nie zachodzi ryzyko działań odwetowych.

Mimo to obowiązkiem przedsiębiorcy jest jednak informowanie pracowników w zrozumiałej i łatwo przystępnej formie o procedurach zgłoszeń do właściwych organów.

Dobra komunikacja, społeczna odpowiedzialność przedsiębiorcy, gdzie osoby dokonujące zgłoszeń postrzega się jako osoby istotne, przyczyniające się do samodzielnej naprawy i doskonałości organizacji.

Kanał zewnętrzny: nie ma wyraźnego wymogu, by ten kanał mógł być wykorzystany w drugiej kolejności; na pewno zgłoszenie zewnętrzne będzie działaniem prawidłowym, gdy kanał wewnętrzny nie istniał lub nie działał właściwie, lub nie podjęto właściwych działań w terminie

Państwa członkowskie mają obowiązek wyznaczyć organy właściwe do przyjmowania zgłoszeń, przekazywania informacji zwrotnych i podejmowania działań następczych w związku z nimi. Z tych kanałów może korzystać sygnalista zarówno po uprzednim zgłoszeniu za pośrednictwem wewnętrznego kanału, lub od razu za pośrednictwem zewnętrznego kanału zgłoszeń.

Ujawnienie publiczne – kwalifikuje się do ochrony jeżeli spełniony jest choć jeden ze wskazanych warunków:

• Sygnalista dokonał w pierwszej kolejności zgłoszenia wewnętrznego i zewnętrznego lub od razu zewnętrznego, ale w odpowiedzi nie zostały podjęte żadne odpowiednie działania w terminach (przy zgłoszeniu wewnętrznym – 3 miesiące, przy zgłoszeniu zewnętrznym 3 miesiące a w uzasadnionych przypadkach 6 miesięcy), LUB
• Sygnalista ma uzasadnione podstawy, by sądzić, że:

– naruszenie może stanowić bezpośrednie lub oczywiste zagrożenie dla interesu publicznego, na przykład w przypadku sytuacji wyjątkowej lub ryzyka wystąpienia nieodwracalnej szkody; lub

– w przypadku dokonania zgłoszenia zewnętrznego grozić jej będą działania odwetowe lub istnieje niewielkie prawdopodobieństwo skutecznego zaradzenia naruszeniu z uwagi na szczególne okoliczności sprawy, takie jak możliwość ukrycia lub zniszczenia dowodów lub możliwość istnienia zmowy między organem a sprawcą naruszenia lub udziału organu w naruszeniu.

6. Jakie procedury trzeba stworzyć w firmie?

Procedury wiążą się ze stworzeniem systemu informowania o nieprawidłowościach, jego obsługą oraz działaniami następczymi. Może być co najmniej kilka:

• kodeks etyki (ogólny drogowskaz);
• procedurę przeciwdziałania nieprawidłowościom i ich zgłaszania – sposób postępowania ze zgłaszaniem incydentów – gdzie, kiedy, jak, proces wyciągania konsekwencji służbowych, zasady ochrony;
• politykę zarządzania incydentami naruszeń – podstawowe zagrożenia, podział obowiązków, uprawnienia w zakresie postępowań wewnętrznych poszczególnych jednostek;
• procedurę reagowania na incydenty – etapy i podejmowane czynności w wewnętrznym postępowaniu wyjaśniającym.

Anna Gąsecka, adwokat w Kancelarii Brzezińska Narolski Adwokaci. Specjalizuje się w prawie telekomunikacyjnym, prowadzi obsługę korporacyjną firm z branży telekomunikacyjnej, farmaceutycznej, dystrybucyjnej i usługowej, posiada certyfikat Approved Compliance Officer (ACO).