Polska ustawa z 14 czerwca 2024 r. o ochronie sygnalistów ustanawia zasady ochrony osób zgłaszających informacje o naruszeniach prawa oraz zasady zgłoszeń wewnętrznych, zewnętrznych i ujawnień publicznych.[1] Dla zespołu compliance, HR lub zakupów ważne jest jednak rozdzielenie dwóch pytań: co wynika z prawa, a co musi działać w codziennym procesie przyjęcia i prowadzenia sprawy.
Ten tekst ma charakter informacyjny, nie jest poradą prawną i nie rozstrzyga, czy konkretny podmiot podlega obowiązkom ustawowym. Disclosurely jest oprogramowaniem, a nie kancelarią, organem publicznym ani gwarancją zgodności.
Punkt wyjścia: ustawa, dyrektywa i proces organizacji
Dyrektywa (UE) 2019/1937 tworzy unijną podstawę ochrony osób zgłaszających naruszenia prawa Unii.[2] Polska ustawa jest krajową regulacją, według której trzeba oceniać polski model działania. Nie wystarczy więc ogólne hasło „zgodne z dyrektywą UE”.
W rządowym omówieniu wskazano, że podmioty prawne, dla których co najmniej 50 osób wykonuje pracę lub świadczy pracę według stanu na 1 stycznia albo 1 lipca danego roku, mają obowiązek ustanowić procedurę zgłoszeń wewnętrznych i podejmowania działań następczych. Podmioty sektora finansowego mają odrębne traktowanie, a część gmin i powiatów o liczbie mieszkańców poniżej 10 000 jest wyłączona z tego konkretnego obowiązku.[1]
To nie jest prosta reguła zakupowa typu „50 etatów = kup system”. Liczenie osób, zakres podmiotu oraz zastosowanie wyjątków powinny zostać ocenione w kontekście organizacji i, gdy potrzeba, z pomocą doradcy prawnego.
| Warstwa | Pytanie operacyjne | Czego nie rozwiąże sam system |
|---|---|---|
| Prawo i governance | Czy podmiot ma obowiązek oraz jaka procedura obowiązuje? | Interpretacji przepisów i przypisania odpowiedzialności. |
| Kanał zgłoszeń | Jak zgłaszająca osoba bezpiecznie przekazuje informację? | Treści polityki i decyzji organizacyjnych. |
| Obsługa sprawy | Kto ma dostęp, prowadzi dalsze działania i komunikuje się? | Oceny merytorycznej naruszenia. |
| Dowody i nadzór | Jak dokumentować przebieg sprawy i decyzje? | Uzasadnienia decyzji bez pracy zespołu. |
Jakiego rodzaju zgłoszenia znajdują się w ustawowym kontekście
Ustawa obejmuje wskazane obszary naruszeń prawa, a źródło rządowe wymienia między innymi zamówienia publiczne, bezpieczeństwo transportu, ochronę środowiska, prywatność i dane osobowe. Zakres został też rozszerzony o korupcję oraz określone prawa i wolności konstytucyjne w relacjach jednostki z władzami publicznymi.[1]
To oznacza, że nie każda trudna sytuacja w pracy automatycznie staje się zgłoszeniem sygnalisty w rozumieniu ustawy. Organizacja może osobno zaprojektować obsługę skarg, spraw pracowniczych lub naruszeń standardów etycznych. Ustawa przewiduje, że procedura wewnętrzna może dodatkowo obejmować naruszenia regulacji wewnętrznych lub standardów etycznych przyjętych zgodnie z prawem.[3]
Dla projektu kanału to praktyczna wskazówka: formularz, komunikaty i kategorie nie powinny udawać porady prawnej. Powinny pomagać osobie zgłaszającej opisać problem, a osobie odpowiedzialnej za sprawę zakwalifikować go zgodnie z przyjętym procesem.
Kto może zgłaszać i dlaczego poufność jest elementem procesu
Ustawa wiąże ochronę z informacją uzyskaną w kontekście związanym z pracą. Katalog obejmuje nie tylko pracowników, lecz także między innymi osoby pracujące na podstawie umów cywilnoprawnych, przedsiębiorców, wspólników, stażystów, wolontariuszy i osoby pracujące pod nadzorem wykonawców lub dostawców.[3] Ochrona zależy również od rozsądnych podstaw, by sądzić, że zgłaszana informacja jest prawdziwa i dotyczy naruszenia prawa.[1]
Dobrze zaprojektowany proces nie próbuje na etapie formularza rozstrzygnąć statusu prawnego osoby. Zamiast tego powinien zapewniać:
- jasny sposób przekazania informacji;
- ograniczenie dostępu do osób upoważnionych;
- możliwość zadania pytań uzupełniających;
- uporządkowany zapis działań następczych;
- komunikację zgodną z przyjętą procedurą.
Ustawa ogranicza ujawnianie danych osobowych pozwalających ustalić tożsamość sygnalisty osobom nieupoważnionym, z wyjątkami wynikającymi z prawa.[3] To argument za projektowaniem ról, uprawnień i rejestru aktywności — nie za obietnicą, że technologia sama usuwa każde ryzyko ujawnienia.
Anonimowość, poufność i dalszy kontakt
Polska ustawa dopuszcza przyjmowanie zgłoszeń anonimowych przez podmiot prawny, Rzecznika Praw Obywatelskich oraz organ publiczny.[3] Dopuszczalność nie jest tym samym co prosta, uniwersalna odpowiedź na pytanie „czy anonimowość jest obowiązkowa?”. Organizacja powinna ustalić swój model z uwzględnieniem procedury, ryzyka i porady prawnej.
Niezależnie od wybranego modelu, z perspektywy operacyjnej potrzebny jest bezpieczny dalszy kontakt. Bez niego zespół może nie doprecyzować faktów, a osoba zgłaszająca nie dostanie informacji zgodnie z procesem. O osobnym projektowaniu tych elementów przeczytasz w artykule Anonimowe zgłoszenia a poufność.
Co powinno znaleźć się na liście wdrożeniowej
Zanim organizacja wybierze system do obsługi zgłoszeń sygnalistów, warto uzgodnić odpowiedzi na następujące pytania.
| Obszar | Pytanie do właściciela procesu |
|---|---|
| Odpowiedzialność | Kto przyjmuje zgłoszenia, kto prowadzi działania następcze, kto ma nadzór? |
| Dostęp | Które role widzą treść, załączniki i dane identyfikujące? |
| Komunikacja | Jak prowadzić pytania i odpowiedzi bez korzystania z prywatnych skrzynek e-mail? |
| Klasyfikacja | Jak odróżniać zgłoszenia ustawowe, etyczne i inne sprawy pracownicze? |
| Dokumentacja | Jak rejestrować decyzje, działania, dowody oraz uprawnienia? |
| Prywatność | Jak ustalono minimalizację danych, retencję i role administratora/przetwarzającego? |
| Wdrożenie | Kto zatwierdza teksty, szkoli użytkowników i komunikuje kanał osobom zgłaszającym? |
Rola oprogramowania
System może ułatwić bezpieczne przyjęcie zgłoszenia, zarządzanie rolami, komunikację dwukierunkową, przypisanie sprawy, rejestr działań oraz eksport dokumentacji. Nie zastępuje jednak procedury, właściciela procesu, szkolenia ani oceny prawnej. Najlepsze wymagania zakupowe opisują więc konkretne mechanizmy działania, a nie żądają niejasnej etykiety „w pełni zgodne”.
Następny krok: sprawdź wdrożenie procedury zgłoszeń wewnętrznych oraz kryteria wyboru systemu.
Źródła
[1] Ministerstwo Rodziny, Pracy i Polityki Społecznej, „Ochrona sygnalistów”.
[2] Dyrektywa (UE) 2019/1937, EUR-Lex.
[3] Rzecznik Praw Obywatelskich, ustawa o ochronie sygnalistów.