O sztuce karania

Okazuje się, że przed organami administracji publicznej w zakresie karania stoi zadanie trudniejsze niż przed sądami.

W dzisiejszej rzeczywistości prawnej pewne jest jedno: że ustawodawca, tak europejski, jak i krajowy, dba, by prawnikom pracy nie brakowało. Ale nie tylko prawnikom, bo i różnego rodzaju doradcom, księgowym, informatykom i innym specjalistom. Nie pamiętam już w zasadzie takiego okresu, w którym rynek nie był właśnie przed wdrażaniem nowelizacji przepisów lub w jego trakcie, a często nie tyle samych norm prawnych wynikających z tych przepisów, ile różnego rodzaju wytycznych, stanowisk, zbiorów pytań i odpowiedzi, norm technicznych. Oczywiście nie dotyczy to tylko sytuacji na nawet szeroko pojętym rynku finansowym, bo już takie RODO wpłynęło na życie chyba każdego.

Prawo administracyjne stanowczo i niekoniecznie powoli wkracza w świat korporacyjny. Jest to rzecz jasna naturalną konsekwencją postępu. Postępu technologicznego i cywilizacyjnego. Ustawodawcy próbują ująć w ramy regulacyjne coraz to nowe stany faktyczne, wychodząc naprzeciw wyzwaniom współczesnego świata.

Rzecz jasna wspomniane przepisy tworzone są na różnym poziomie skomplikowania. Chciałoby się rzec, z roku na rok coraz wyższym. Jak to się więc dzieje, że podmioty, do których adresowane są nowe przepisy, faktycznie podejmują starania, by nowym regulacjom sprostać i je odpowiednio wdrożyć. Oczywiście odpowiedź pierwsza, najprostsza i najbardziej pożądana, jest taka, że kieruje nimi szacunek do prawa i dbałość o jego przestrzeganie. Tajemnicą poliszynela jest jednak to, że ostatecznie motorem do pilnowania, by dział compliance działał sprawnie, jest dolegliwość za brak tej sprawności.

Powyższa dolegliwość nie zawsze musi oznaczać dolegliwość fiskalną. Przynajmniej nie od razu. Czasem brak prawidłowego wdrożenia przepisów w instytucji oznaczać będzie utratę jakiegoś uprawnienia, choć rzeczywiście najczęściej skutkować będzie nałożeniem kary administracyjnej. I tego boimy się najbardziej, bo kary mogą być wysokie.

Zasadniczo wyróżniamy dwie funkcje karania. Pierwszą z nich jest tak zwana prewencja indywidualna, czyli funkcja mająca na celu wywołanie dolegliwości bezpośrednio po stronie sprawcy. Drugą jest prewencja ogólna, której celem jest wywołanie w związku z popełnionym naruszeniem negatywnego wrażenia w ogóle społeczeństwa (w grupie docelowej). W ramach prewencji generalnej grono, które potencjalnie mogłoby popełnić podobne wykroczenie, co osobnik już ukarany (w ramach prewencji indywidualnej), otrzymuje wyraźny komunikat: „Uważajcie, bo czeka was wysoka kara, zupełnie tak jak Igrekowskiego".

Czy prewencja generalna działa? Jeśli chodzi o sferę prawa administracyjnego, to może się okazać, że działa aż za dobrze. Okazuje się, że przed organami administracji publicznej w zakresie karania stoi zadanie trudniejsze niż przed sądami. Nie jest łatwo ukarać dobrze, to znaczy tak, by z jednej strony nasz sprawca nie czuł się bezkarny, a z drugiej ci wszyscy pozostali, jeszcze nie sprawcy, nie poczuli, że bardziej się opłaca naruszenie ukryć, niż ujawniając je, narazić się na karę wybitnie dotkliwą.

W sferze prawa karnego powyższy problem, jeśli występuje, to w o wiele mniejszym zakresie. Zasadniczo przestępca popełnionym przestępstwem się nie chwali. W przypadku jednak przepisów prawa administracyjnego sytuacja wygląda nieco inaczej. Zwykle te same przepisy, które nasz podmiot naruszył, nakładają na niego prawny obowiązek informowania właściwych organów o stwierdzonych naruszeniach.

Wyobraźmy sobie sytuację, w której przepisy pewnej ustawy zobowiązały spółkę XYZ do wdrożenia szeregu regulacji wewnętrznych mających na celu zabezpieczenie pewnego rodzaju danych. W tym celu nasza spółka wprowadziła regulaminy, wyszkoliła pracowników, zabezpieczyła dane fizycznie (zamki, kamery, ochrona) i logicznie (zapory, oprogramowania). Niestety, pech chciał, że dane zostały wykradzione. Złodzieje włamali się do pomieszczenia, w którym spółka przechowywała dane, podpięli pendrive'a pod laptop i zgrali, co tylko było można (żebyśmy nie zapomnieli, że oprócz hakerów mamy jeszcze złodziei analogowych). Spółka oczywiście zgłosiła całą sytuację do właściwego organu, który wszczął kontrolę. I co się okazało? Otóż spółka nie dopełniła nałożonych na nią przepisami obowiązków, bo mimo iż dane zabezpieczyła, to jednak niewystarczająco, gdyż użyła niewłaściwych kłódek. Tymczasem jakiś czas temu pewna międzynarodowa instytucja opublikowała zalecenia, w których rekomendowała używanie innych kłódek, gdyż te inne miały być mniej podatne na powszechnie stosowany rodzaj wytrycha. A nasza spółka XYZ nie wzięła pod uwagę rzeczonych rekomendacji, zadowalając się kłódkami zamontowanymi przez dewelopera. Naruszenie było, organ nałożył więc srogą karę.

Tymczasem niedługo po tych wydarzeniach inna spółka stwierdziła w swojej organizacji podobne naruszenie. Spółka stanęła przed trudnym wyborem: zgłaszać czy nie zgłaszać. Jeżeli zgłosimy, to czeka nas wielka kara, pamiętacie, co spotkało XYZ. Może więc lepiej poprawmy, co da się poprawić, i zapomnijmy o sprawie?

Powyższy przykład jest być może nieco naiwny, ale w prosty sposób obrazuje, jak wielka odpowiedzialność spoczywa na nadzorcy przy ferowaniu wyroków. Nie ulega wątpliwości, że za stwierdzone naruszenia należy się kara przewidziana we właściwych przepisach. Być może jednak karząca ręka nadzorcy powinna nie tylko za złe karać, ale też i trochę... za dobre wynagradzać? Na przykład wyraźnie brać pod uwagę przy wymiarze kary generalny stopień implementacji przepisów, sposób zachowania karanego podmiotu w związku ze stwierdzonym naruszeniem czy też poziom szczegółowości norm, do których miał się (ewentualnie) zastosować.

Jak widać, karanie także może być sztuką. Nawet w XXI wieku.