Ochrona Sygnalistów – nowe obowiązki pracodawców

18 października 2021 r. przedstawiony został projekt ustawy o ochronie osób zgłaszających naruszenia prawa, wdrażający Dyrektywę Parlamentu Europejskiego i Rady (UE) 2019/1937 z dnia 23 października 2019 r. w sprawie ochrony osób zgłaszających naruszenia prawa Unii. Zgodnie z założeniami, przepisy powinny zostać uchwalone do 17 grudnia 2021 r., co pozostawia niezwykle mało czasu na przygotowanie się przedsiębiorców do planowanych zmian.

W poprzednim artykule Jak chronić Sygnalistę? pisaliśmy o tym kim jest Sygnalista oraz jakie elementy powinien zawierać system ochrony osób zgłaszających naruszenia prawa, zwany potocznie systemem whistleblowingowym lub ochrony sygnalistów.

Kolejny artykuł Czym są działania odwetowe? został poświęcony działaniom odwetowym czyli niepożądanych zachowaniom wyrządzającym szkodę Sygnalistom. W tym artykule napiszemy o nowych obowiązkach jakie będą obciążać pracodawców w związku z koniecznością wdrożenia systemu ochrony osób zgłaszających naruszenia prawa.

Nowe obowiązki pracodawcy

Pracodawcy zatrudniający co najmniej 50 pracowników (w przypadku sektora publicznego) oraz co najmniej 250 pracowników (w przypadku sektora prywatnego) już od 17 grudnia 2021 r. zobowiązani będą zapewnić przyjmowanie zgłoszeń wewnętrznych. W praktyce oznacza to, że już w tej dacie pracodawcy powinni móc wykazać, że zorganizowali w pełni sprawny i działający system zgłoszeń.

W tym celu konieczne wdrożenie oraz stałe monitorowanie procedur zapewniających sprawne i bezpieczne funkcjonowanie systemu zgłoszeń wewnętrznych. Jednym z najważniejszych dokumentów będzie regulamin zgłoszeń wewnętrznych, który musi określać takie elementy jak:

• sposoby przekazywania zgłoszeń;
• informację, czy wewnętrzna procedura obejmuje przyjmowanie zgłoszeń anonimowych;
• obowiązek potwierdzenia zgłaszającemu;
• działania następcze podejmowane przez pracodawcę w celu zweryfikowania informacji o naruszeniach prawa oraz środki, jakie mogą zostać zastosowane w przypadku stwierdzenia naruszenia prawa;
• zrozumiałe i jednoznaczne informacje na temat trybu dokonywania zgłoszeń zewnętrznych do organów publicznych.

Regulamin może zawierać także dodatkowe elementy określające inne niż pracownicy kategorie osób uprawnione do dokonywania zgłoszeń – takie jak np. byli pracownicy czy stażyści.

W regulacji wewnętrznej można przewidzieć także dodatkowe rodzaje naruszeń które podlegają raportowaniu czy wyszczególnienie czynników ryzyka odpowiadających profilowi działalności pracodawcy sprzyjających możliwości wystąpienia określonych naruszeń prawa. Regulamin musi zostać skonsultowany z zakładową organizacją związkową lub przedstawicielami pracowników, jeżeli u pracodawcy nie działa zakładowa organizacja związkowa.

Po otrzymaniu informacji o zgłoszeniu pracodawca będzie zobowiązany do podjęcia działań następczych, które podejmowane są w oceny prawdziwości zarzutów zawartych w zgłoszeniu oraz, w stosownych przypadkach, w celu przeciwdziałania naruszeniu prawa będącemu przedmiotem zgłoszenia, w tym przez dochodzenie wewnętrzne, postępowanie wyjaśniające, wniesienie oskarżenia, działanie podjęte w celu odzyskania środków finansowych lub zamknięcie procedury przyjmowania i weryfikacji zgłoszeń.

W celu realizowania tych obowiązków pracodawca będzie musiał wyznaczyć niezależny organizacyjnie podmiot, upoważniony do podejmowania działań następczych, obejmujących weryfikację zgłoszenia i dalszą komunikację ze zgłaszającym. Nie musi to jednak być pracownik, któremu w takim przypadku trzeba by było zapewnić środki konieczne do realizacji zadań. Pracodawca może powierzyć wykonywanie większości obowiązków podmiotowi zewnętrznemu.

Ustawodawca nie przewiduje obowiązku przyjmowania zgłoszeń anonimowych. Przyjmowanie takich zgłoszeń będzie zależało od indywidualnej decyzji pracodawcy. Zz przyjmowaniem zgłoszeń imiennych wiąże się jednak obowiązek zapewnienia poufności tożsamości osoby zgłaszającej naruszenie.

Dodatkowo pracodawca będzie zobowiązany do prowadzenia rejestru zgłoszeń wewnętrznych, w których powinny być odnotowywane informacje dotyczące każdego z dokonanych zgłoszeń.

Ochrona Sygnalistów a ochrona danych osobowych

Nowe przepisy są zgodne z przepisami o chronię danych osobowych, w szczególności z RODO. Przede wszystkim należy mieć na uwadze, że dane osobowe zgłaszającego oraz inne dane pozwalające na ustalenie jego tożsamości nie podlegają ujawnieniu, chyba że za wyraźną zgodą zgłaszającego.

Przy przetwarzaniu danych jednym z podstawowych obowiązków jest spełnienie obowiązku informacyjnego. W ten sposób ewentualny sprawca naruszenia mógłby jednak uzyskać informacje na temat osoby zgłaszającej (informacja o źródle danych). Przepisy jednak w takim przypadku wyłączają obowiązek ujawnienia tych informacji.

Dane osobowe przetwarzane w związku z przyjęciem zgłoszenia są przechowywane przez pracodawcę, nie dłużej niż przez okres 5 lat od dnia przyjęcia zgłoszenia.

Czy nowe przepisy można zignorować?

Wdrożenie nowych przepisów to dodatkowe obowiązki dla pracodawców. Aby zapewnić ich stosowanie ustawodawca przewidział liczne sankcje karne. Każdy kto:

• utrudnia dokonanie zgłoszenia,
• podejmuje działania odwetowe wobec osoby, która dokonała zgłoszenia lub ujawnienia publicznego,
• narusza obowiązek zachowania poufności tożsamości osoby, która dokonała zgłoszenia,
• wbrew przepisom ustawy nie ustanowił wewnętrznej procedury zgłaszania naruszeń prawa i podejmowania działań następczych albo ustanowiona przez niego procedura narusza przepisy

podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 3.