Sygnaliści na horyzoncie

Prawodawca europejski dopuścił możliwość opóźnienia implementacji tych przepisów w odniesieniu do podmiotów prywatnych zatrudniających od 50 do 249 pracowników, jednak ten dodatkowy termin również upłynął 17 grudnia 2023 r. Oznacza to, że Polska spóźniała się z transpozycją, co poza brakiem harmonizacji prawa polskiego z dyrektywą oznacza realne koszty wynikające z wysokich kar za opóźnienie.

Pomimo że prace legislacyjne toczą się od jesieni 2021 r., to jednak dopiero w 2024 r. nabrały tempa. W kwietniu bieżącego roku rządowy projekt ustawy wpłynął do Sejmu. Według stanu na dzień przygotowania tego tekstu, Sejm przyjął ustawę z pewnymi poprawkami i skierował ją do Senatu. Jest zatem prawdopodobne, że doczekamy się implementacji dyrektywy o sygnalistach jeszcze w tym roku.

Czego mogą dotyczyć zgłoszenia?

Zgłoszenia mogą dotyczyć naruszeń określonych w dyrektywie dziedzin prawa europejskiego, na przykład: ochrony prywatności i danych osobowych, bezpieczeństwa sieci i systemów informacyjnych, zamówień publicznych, rynków finansowych, ochrony środowiska, ochrony konsumentów, zdrowia publicznego, bezpieczeństwa transportu, bezpieczeństwa żywności i pasz, bezpieczeństwa produktów i ich zgodności z wymogami. Niemniej projekt polskiej ustawy rozszerza ten katalog poprzez dodanie naruszeń prawa miedzy innymi w zakresie prawa pracy. Wzbudza to zasadnicze wątpliwości i obawy o wypaczenie instytucji sygnalisty, z uwagi na możliwość jej nadużywania w sprawach indywidualnych, podczas gdy jednym z celów dyrektywy jest ochrona interesu publicznego.

Jakie rodzaje zgłoszeń przewiduje dyrektywa?

Dyrektywa o ochronie sygnalistów, a w ślad za nią projekt ustawy, rozróżnia zgłoszenia wewnętrzne, zgłoszenia zewnętrzne, a także tzw. ujawnienia publiczne.

Zgłoszenie wewnętrzne to nic innego jak przekazanie informacji o zaobserwowanym naruszeniu prawa w ramach procedury zgłoszeniowej przyjętej w danym podmiocie prawnym. Czyli na przykład pracownik zgłasza zaobserwowane przez siebie naruszenie prawa za pomocą infolinii zgłoszeniowej, którą prowadzi jego pracodawca. Warto pamiętać, że zlecenie prowadzenia infolinii profesjonalnemu dostawcy systemów whistleblowingowych jest również rozumiane jako wewnętrzny kanał zgłoszeniowy i podmiot prawny (np. pracodawca) pozostaje odpowiedzialny za prawidłowe rozpatrzenie zgłoszenia.

Zgłoszenie zewnętrzne to sytuacja, w której informację o naruszeniu prawa przekazuje się do organu publicznego, np. do rzecznika praw obywatelskich. W tym trybie pomija się kanały zgłoszeniowe, które funkcjonują w danym podmiocie prawnym. Z ujawnieniem publicznym mamy do czynienia w sytuacji, gdy informację o naruszeniu prawa przekazuje się do wiadomości publicznej np. w mediach czy w internecie. Trzeba jednak pamiętać, że przepisów o ujawnieniu publicznym nie stosuje się do ujawnienia informacji bezpośrednio do prasy, kiedy to stosuje się przepisy prawa prasowego, np. w zakresie tajemnicy dziennikarskiej. Sygnalista może wybrać, czy skorzysta ze zgłoszenia wewnętrznego czy zewnętrznego, i co do zasady w przypadku obu rodzajów zgłoszeń może być on uprawniony do ochrony.

W przypadku ujawnienia publicznego ochrona przysługuje, jeśli sygnalista uprzednio wykorzystał dostępne dla niego kanały wewnętrzny i zewnętrzny albo tylko kanał zewnętrzny i nie przyniosło to rezultatu. Skorzystanie z instytucji ujawnienia publicznego będzie dawało sygnaliście ochronę w razie, gdy podmioty prawne lub organy publiczne pozostaną bierne wobec zgłoszenia lub nie wywiążą się w pełni ze swoich obowiązków w zakresie przyjęcia i rozpatrzenia zgłoszenia lub podjęcia innych działań następnych. Na zasadzie wyjątku sygnalista będzie objęty ochroną w związku z ujawnieniem publicznym, jeśli ma uzasadnione powody uważać, że zaobserwowane przez niego naruszenie może stanowić bezpośrednie lub oczywiste zagrożenie dla interesu publicznego, na przykład gdy jest niebezpieczeństwo powstania nieodwracalnej szkody albo jeśli dokonanie zgłoszenia zewnętrznego wiąże się z ryzykiem działań odwetowych lub też jest niewielka szansa na to, że organ publiczny skutecznie zaradzi naruszeniu prawa.

Z dyrektywy wynika założenie, że sygnaliści będą składali zgłoszenia imienne, niemniej dopuszcza się możliwość przyjmowania zgłoszeń anonimowych. Obecny projekt polskiej ustawy zakłada, że decyzja o tym, czy zgłoszenia anonimowe będą przyjmowane, powinna zostać opisana w wewnętrznej procedurze zgłoszeniowej.

Jakich podmiotów dotyczy dyrektywa? Czy polska ustawa może ten zakres rozszerzyć?

Jeśli chodzi o podmioty prywatne, to dyrektywa (a w ślad za nią projekt polskiej ustawy) dotyczy firm, zatrudniających co najmniej 50 osób, a w przypadku podmiotów prowadzących działalność w niektórych sektorach, w tym w zakresie usług, produktów i rynków finansowych, przepisy o sygnalistach znajdą zastosowanie niezależnie od liczby zatrudnionych.

Projekt polskiej ustawy w przypadku małych podmiotów prywatnych (zatrudniających mniej niż 50 osób) zakłada jedynie możliwość dobrowolnego wprowadzenia wewnętrznej procedury zgłoszeniowej.

Kto może być sygnalistą?

Sygnalista, to osoba fizyczna, która zgłasza (lub ujawnia publicznie) informacje o naruszeniu prawa, uzyskane w kontekście związanym z pracą. Mogą to być pracownicy, zleceniobiorcy, kontraktorzy, pracownicy tymczasowi, pracownicy wykonawców, ale też kandydaci do pracy. Mogą to być również akcjonariusze, członkowie organów, wolontariusze czy stażyści.

Ustawodawca europejski posłużył się zwrotem „kontekst związany z pracą”, który rozumiany jest jako przeszłe, obecne lub przyszłe działania związane z wykonywaniem pracy czy świadczeniem usług, w ramach których sygnalista dowiedział się o naruszeniu prawa i gdzie istnieje możliwość doświadczenia przez niego działań odwetowych.

W jakich okolicznościach sygnaliście przysługuje ochrona?

Ochrona sygnalisty zależeć będzie od spełnienia kilku przesłanek. Po pierwsze, sygnalista musi przekazać informację o naruszeniu prawa, którą uzyskał w kontekście związanym z pracą. Po drugie, sygnalista musi mieć uzasadnione podstawy, aby sądzić, że informacje, które zgłasza są prawdziwe w momencie zgłoszenia, i że mieszczą się w zakresie stosowania dyrektywy. To oznacza, że informacje przekazywane przez sygnalistę powinny dotyczyć naruszenia tych przepisów prawa, do których odnosi się dyrektywa o ochronie sygnalistów. Przykładowe zgłoszenie może więc dotyczyć naruszenia przepisów RODO, przepisów o ochronie konsumentów, przepisów dotyczących funkcjonowania rynków finansowych czy też przepisów o ochronie środowiska.

Po trzecie, działanie sygnalisty musi odbywać się w ramach jednego z trybów zgłaszania/ujawniania przewidzianych w dyrektywie. Powinno mieć zatem formę zgłoszenia wewnętrznego albo zgłoszenia zewnętrznego. W przypadku ujawnienia publicznego ochrona przysługiwać będzie po wcześniejszym bezskutecznym zgłoszeniu wewnętrznym i zewnętrznym, albo tylko zgłoszeniu zewnętrznym, lub w razie zaistnienia niektórych innych przesłanek.

Warto pamiętać, że ochrona obejmuje również osoby, które pomagają sygnaliście w złożeniu zgłoszenia i które przez to mogą stać się celem działań odwetowych.

Dyrektywa, a w ślad za nią projekt polskiej ustawy ustalają szeroki zakres ochrony sygnalistów przed działaniami odwetowymi. Katalog zakazanych działań odwetowych jest otwarty i w zakresie prawa pracy obejmuje między innymi zwolnienie z pracy, odmowę zatrudnienia, pogorszenie warunków pracy, dyskryminację, bezzasadne skierowanie na badania psychiatryczne lub lekarskie. Ponadto zabronione jest też podejmowanie prób odwetu oraz grożenie takimi działaniami. Ciężar wykazania, że określone działanie nie miało charakteru odwetowego jest po stronie podmiotu prawnego, czyli na przykład pracodawcy.

Dokonanie zgłoszenia nie może również stanowić podstawy odpowiedzialności sygnalisty, na przykład odpowiedzialności dyscyplinarnej lub za szkodę z tytułu naruszenia praw innych osób albo w przedmiocie zniesławienia, naruszenia dóbr osobistych, praw autorskich, przepisów o ochronie danych osobowych czy obowiązku zachowania tajemnicy (np. tajemnicy przedsiębiorstwa). Odpowiedzialność jest wyłączona pod warunkiem, że sygnalista miał uzasadnione podstawy sądzić, że zgłoszenie lub ujawnienie publiczne jest niezbędne do ujawnienia naruszenia prawa.

Jakie procedury wewnętrzne powinna mieć firma?

Podmioty z sektora prywatnego, objęte stosowaniem przepisów dyrektywy, będą zobowiązane do ustanowienia procedury przyjmowania zgłoszeń wewnętrznych, która będzie określała i zarazem informowała pracowników, do kogo i w jakiej formie można składać zgłoszenia.

Oprócz obowiązku ustanowienia procedury zgłoszeniowej podmiot prywatny powinien też prowadzić rejestr zgłoszeń, w którym odnotowywane będą wszystkie zgłoszenia, łącznie z numerem, datą wpływu, opisem naruszenia, informacjami o tym, kto zgłosił naruszenie oraz jakie działania podjęto i kiedy zakończono sprawę.

Procedura zgłoszeniowa powinna zapewnić możliwość składania zgłoszeń ustnie lub pisemnie. Jest możliwość outsourcowania przyjmowania i rozpatrywania zgłoszeń firmie zewnętrznej lub kancelarii prawnej. Pod pewnymi warunkami można też korzystać ze wspólnych kanałów zgłoszeniowych w ramach grupy spółek.

Jakie działania następcze powinny być podejmowane po zgłoszeniu sygnalisty?

W odniesieniu do firm z sektora prywatnego, to po otrzymaniu zgłoszenia w ramach procedury wewnętrznej, podmiot prawny ma obowiązek potwierdzić otrzymanie zgłoszenia w ciągu siedmiu dni, a następnie podjąć działania następcze. Dyrektywa definiuje działania następcze jako kroki podejmowane przez odbiorcę zgłoszenia w celu oceny prawdziwości zarzutów zawartych w zgłoszeniu oraz, jeśli jest to uzasadnione, w celu zaradzenia naruszeniu zgłoszonemu przez sygnalistę. Może to nastąpić np. poprzez dochodzenie wewnętrznie, postępowanie wyjaśniające, wniesienie aktu oskarżenia lub działania w celu odzyskania środków, a także zamknięcie postępowania.

Przepisy zakładają, że działania następcze powinny zostać zrealizowane w ciągu trzech miesięcy, licząc od potwierdzenia otrzymania zgłoszenia. W tym terminie podmiot prawny powinien przekazać sygnaliście informację zwrotną na temat działań podjętych w związku ze zgłoszeniem.