Co dalej po przyjęciu ustawy o ochronie sygnalistów?

Polska jest ostatnim krajem, który przyjął ustawę implementującą Dyrektywę 2019/1937, która wejdzie w życie trzy miesiące po opublikowaniu.

Maciej Kópczyński, adwokat, counsel w praktyce postępowań spornych kancelarii CMS

materiały prasowe

W wielu grupach kapitałowych już dziś obowiązują procedury ochrony sygnalistów, które opierają się na wcześniejszym ustawodawstwie innych państw, implementującym dyrektywę bądź też powstały na długo przed samą dyrektywą. Poniżej postaramy się odpowiedzieć na pytanie, czy podmioty działające w Polsce i posiadające grupową politykę ochrony sygnalistów muszą w związku z rychłym wejściem w życie ustawy coś zrobić, a jeśli tak – jakie działania należałoby podjąć.

Polityka grupowa

Już w trakcie prac w Sejmie dodano poprawkę, zgodnie z którą podmioty należące do grup kapitałowych będą miały możliwość wdrożenia wspólnej procedury zgłoszeń wewnętrznych, jeśli zapewni ona zgodność wykonywanych czynności z ustawą. Sam przepis jest dość lakoniczny i nie wyjaśnia, czy oznacza to jedynie możliwość wdrożenia takiej samej polityki, czy też np. dzielenie zasobów. Przebieg prac parlamentarnych wskazuje, że przynajmniej w intencji ministerstwa, będącego autorem projektu i poprawki, grupom kapitałowym miał być pozostawiony znaczny margines swobody. Jak mogłoby się wydawać, uwzględnione zostały zatem wnioski dużych przedsiębiorców (szczególnie o międzynarodowym charakterze) dotyczące możliwości ujednolicenia kwestii whistleblowingu w ramach grupy. Mimo to konieczność „zapewnienia zgodności wykonywanych czynności z ustawą” pozostawia pewne wątpliwości odnośnie do wymogów, jakie będzie musiała spełniać procedura grupowa, a które będą musiały zostać zaadresowane przez podmioty chcące ją wdrożyć lub dostosować.

Harmonizacja nie oznacza ujednolicenia

Należy pamiętać, że ochrona sygnalistów została w różny sposób uregulowana w różnych państwach członkowskich UE. Polski ustawodawca zdecydował się objąć ochroną zgłoszenia dotyczące nie tylko naruszenia przepisów implementujących akty prawne wprost wskazane w dyrektywie, ale całe polskie ustawodawstwo dotyczące dziedzin wskazanych w dyrektywie. Dodatkowo ustawa obejmie zgłoszenia dotyczące korupcji oraz – w ograniczonym zakresie – naruszeń praw konstytucyjnych. Prawo pracy ostatecznie nie znalazło się w katalogu dziedzin objętych ustawą, co najprawdopodobniej przełoży się na mniejszą liczbę zgłoszeń.

W innych jurysdykcjach zakres zgłoszeń może odbiegać od tego przyjętego w Polsce i obejmować np. wszystkie naruszenia prawa karnego bądź być węższy i nie obejmować np. zgłoszeń dotyczących korupcji. W związku z tym dostosowując zakres zgłoszeń objętych procedurą grupową, należy pamiętać, że przyjęcie wspólnej procedury nie może prowadzić do zawężenia zakresu zgłoszeń. Natomiast rozszerzenie zakresu naruszeń, których będą mogły dotyczyć zgłoszenia, wydaje się możliwe, pod warunkiem objęcia nakazu ich przestrzegania regulacjami wewnętrznymi obowiązującymi w podmiocie prawnym.

Działania następcze w ramach grupy kapitałowej

Przypomnijmy, że procedura zgłoszeń wewnętrznych wyróżnia m.in. etap dokonywania zgłoszeń (w szczególności obsługa przyjmowania zgłoszeń wewnętrznych i przekazywanie informacji zwrotnej) oraz podejmowania działań następczych (w szczególności postępowania wyjaśniającego). Zgłoszenia od sygnalistów może przyjmować wewnętrzna jednostka organizacyjna przedsiębiorcy, osoba w ramach jej struktury organizacyjnej lub upoważniony podmiot zewnętrzny. W ramach grupy kapitałowej może to więc być jedna ze spółek z grupy lub zewnętrzny dostawca rozwiązania lub wyspecjalizowany doradca zewnętrzny. Kanały zgłoszeń udostępniane przez podmiot grupowy powinny odpowiadać wymogom ustawy, a zatem umożliwiać również spotkanie bezpośrednie z sygnalistą.

Z kolei dosłowne brzmienie projektu może sugerować, że działania następcze – które zgodnie z ustawową definicją obejmują postępowania wyjaśniające oraz inne działania, w tym zainicjowanie odpowiednich postępowań przeciwko naruszycielom – powinny być podejmowane przez dany podmiot prawny indywidualnie. Ustawa przewiduje w tym wypadku konieczność wskazania bezstronnej wewnętrznej jednostki organizacyjnej bądź bezstronnej osoby w ramach jej struktury organizacyjnej. Z kolei dyrektywa wprost dopuszcza dzielenie się zasobami wyłącznie w przypadku mniejszych podmiotów (do 249 pracowników), którego to ograniczenia nie przewiduje z kolei przepis zezwalający na wprowadzenie polityk grupowych. Stanowisko ministerstwa wyrażone w toku prac legislacyjnych sugeruje, że przepis dopuszczający polityki grupowe w intencji autorów ma zezwalać na prowadzenie postępowań wyjaśniających np. przez spółkę matkę.

Wątpliwości mogą natomiast pojawić się odnośnie do możliwości delegowania innych działań następczych na podmioty z grupy pozostające poza lokalnymi strukturami. Należy zauważyć, że tego rodzaju podmioty mogą nie posiadać odpowiednich uprawnień, aby zainicjować odpowiednie działania (np. wobec pracowników lokalnej spółki). Warto zatem przewidzieć w polityce grupowej rozwiązania biorące pod uwagę również lokalne struktury.

Nie wydaje się jednak, aby przepisy ustawy ograniczały możliwość korzystania przez jednostkę organizacyjną wskazaną w procedurze grupowej z pomocy dodatkowych osób posiadających należyte upoważnienie. Rzetelne przeprowadzenie postępowania wyjaśniającego czy nawet podjęcie określonych działań następczych (np. reprezentacja w postępowaniu karnym wszczętym w związku z rezultatem postępowania wewnętrznego) może bowiem wymagać również zaangażowania ekspertów spoza wskazanej jednostki.

Polityka grupowa – wdrożenie lokalne

Biorąc pod uwagę konieczność zachowania wymogów ustawowych również w przypadku polityki grupowej, wydaje się, że samo wdrożenie polityki wymaga zachowania trybu przewidzianego w ustawie. Oznacza to konieczność przeprowadzenia konsultacji ze związkami zawodowymi lub przedstawicielami osób świadczących pracę, a następnie zakomunikowanie procedury w odpowiedni sposób.

Konieczne będzie również upewnienie się, że zarówno sposoby i bezpieczeństwo działania kanałów zgłoszeń, a także zasady i sposoby przechowywania i ochrony danych (zwłaszcza w przypadku konieczności transferu danych poza UE), w tym okresy retencji danych, odpowiadają wymogom ustawy. Wdrożenie może też wymagać aktualizacji innych procedur obowiązujących w danym podmiocie, tak jak chociażby kodeksy postępowania i inne regulacje wewnętrzne, jak również polityki ochrony danych osobowych czy polityki antykorupcyjne.

Biorąc pod uwagę, że czasu pozostało niewiele, trwa okres urlopowy, a procesy decyzyjne w dużych organizacjach są często długotrwałe, prace nad dostosowaniem istniejących polityk grupowych do przepisów ustawy powinny zostać podjęte jak najszybciej.