Jakie kary grożą za niewdrożenie przepisów dotyczących ochrony sygnalistów?

W artykule odpowiadamy na pytania:

• Kim jest sygnalista?
• Jakie podmioty mają obowiązek wdrożenia przepisów Ustawy o ochronie sygnalistów?
• Co może zgłosić sygnalista?
• Jakie obowiązki spoczywają na pracodawcach w związku z wejściem w życie Ustawy o ochronie sygnalistów?
• Od jakiego momentu sygnalista podlega ochronie i na czym ta ochrona polega?
• Co grozi za podjęcie działań odwetowych w stosunku do sygnalisty?
• Co grozi za naruszenie obowiązku ustanowienia procedury zgłoszeń wewnętrznych lub ustanowienie jej z naruszeniem przepisów? 

Ustawa z dnia 14 czerwca 2024 r. o ochronie sygnalistów (Dz. U. poz. 928) (dalej jako: „Ustawa o ochronie sygnalistów, „Ustawa”), która weszła w życie z dniem 25 września 2024 r., stanowi całkowicie nową kompleksową regulację, która sprawia, że ochrona prawna osób decydujących się na zgłaszanie nieprawidłowości w organizacjach i firmach staje się w polskim porządku prawnym odpowiednio usystematyzowana. Wdrożenie nowych przepisów stanowi jednak dla polskich firm nie lada wyzwanie – zwłaszcza w obliczu stosunkowo krótkiego czasu, który pozostał pracodawcom na podjęcie odpowiednich działań i przygotowanie właściwych procedur. Na co przedsiębiorcy i działy kadr powinny zwrócić uwagę, żeby uniknąć kar? Podpowiadamy! 

Kim jest sygnalista?

Sygnalistą jest osoba fizyczna, która zgłasza lub ujawnia publicznie informację o naruszeniu prawa uzyskaną w kontekście związanym z pracą, w tym:

• pracownik;
• pracownik tymczasowy;
• osoba świadcząca pracę na innej podstawie niż stosunek pracy, w tym na podstawie umowy cywilnoprawnej;
• przedsiębiorca;
• prokurent;
• akcjonariusz lub wspólnik;
• członek organu osoby prawnej lub jednostki organizacyjnej nieposiadającej osobowości prawnej;
• osoba świadcząca pracę pod nadzorem i kierownictwem wykonawcy, podwykonawcy lub dostawcy;
• stażysta;
• wolontariusz;
• praktykant;
• funkcjonariusz;
• żołnierz.

Jakie podmioty mają obowiązek wdrożenia przepisów Ustawy o ochronie sygnalistów?

System ochrony sygnalistów oraz wewnętrzną procedurę zgłoszeń muszą ustalić i wdrożyć podmioty na rzecz których – według stanu na dzień 1 stycznia lub 1 lipca danego roku – pracę zarobkową wykonuje co najmniej 50 osób. 

Do liczby 50 osób wykonujących pracę zarobkową na rzecz podmiotu wlicza się pracowników w przeliczeniu na pełne etaty lub osoby świadczące pracę za wynagrodzeniem na podstawie innej niż stosunek pracy.

Co istotne, wskazany powyżej próg nie ma zastosowania do podmiotów prawnych wykonujących działalność w zakresie usług, produktów i rynków finansowych oraz przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu, bezpieczeństwa transportu i ochrony środowiska.

Jakie nieprawidłowości może zgłosić sygnalista?

System ochrony sygnalistów obejmuje osoby zgłaszające naruszenia prawa dotyczące: 

• korupcji;
• zamówień publicznych;
• usług, produktów i rynków finansowych;
• przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu;
• bezpieczeństwa produktów i ich zgodności z wymogami;
• bezpieczeństwa transportu;
• ochrony środowiska;
• ochrony radiologicznej i bezpieczeństwa jądrowego;
• bezpieczeństwa żywności i pasz;
• zdrowia i dobrostanu zwierząt;
• zdrowia publicznego;
• ochrony konsumentów;
• ochrony prywatności i danych osobowych;
• bezpieczeństwa sieci i systemów teleinformatycznych;
• interesów finansowych Skarbu Państwa Rzeczypospolitej Polskiej, jednostki samorządu terytorialnego oraz Unii Europejskiej;
• rynku wewnętrznego Unii Europejskiej, w tym publicznoprawnych zasad konkurencji i pomocy państwa oraz opodatkowania osób prawnych;
• konstytucyjnych wolności i praw człowieka i obywatela – występujące w stosunkach jednostki z organami władzy publicznej i niezwiązane z dziedzinami wskazanymi w pkt 1-16. 

Dodatkowo, jeśli obowiązująca w organizacji procedura zgłoszeń wewnętrznych przewiduje taką możliwość, sygnalista może zgłosić informacje o naruszeniach dotyczących obowiązujących w firmie regulacji wewnętrznych lub standardów etycznych, które zostały ustanowione na podstawie przepisów prawa powszechnie obowiązującego i które pozostają z nimi zgodne.  

Jakie obowiązki spoczywają na pracodawcach w związku z wejściem w życie Ustawy o ochronie sygnalistów?

Pracodawca zobowiązany jest ustalić wewnętrzną procedurę dokonywania zgłoszeń naruszeń prawa i podejmowania działań następczych.

Procedura zgłoszeń wewnętrznych obowiązkowo określa: 

• wewnętrzną jednostkę organizacyjną lub osobę w ramach struktury organizacyjnej podmiotu prawnego, lub podmiot zewnętrzny, upoważnione do przyjmowania zgłoszeń wewnętrznych;
• sposoby przekazywania zgłoszeń wewnętrznych przez sygnalistę wraz z jego adresem korespondencyjnym lub adresem poczty elektronicznej;
• bezstronną wewnętrzną jednostkę organizacyjną lub osobę w ramach struktury organizacyjnej podmiotu prawnego, upoważnione do podejmowania działań następczych, włączając w to weryfikację zgłoszenia wewnętrznego i dalszą komunikację z sygnalistą, w tym występowanie o dodatkowe informacje i przekazywanie sygnaliście informacji zwrotnej (funkcję tę może pełnić wewnętrzna jednostka organizacyjna lub osoba, o których mowa w pkt 1, jeżeli zapewniają bezstronność);
• tryb postępowania z informacjami o naruszeniach prawa zgłoszonymi anonimowo;
• obowiązek potwierdzenia sygnaliście przyjęcia zgłoszenia wewnętrznego w terminie 7 dni od dnia jego otrzymania, chyba że sygnalista nie podał adresu do kontaktu, na który należy przekazać potwierdzenie;
• obowiązek podjęcia, z zachowaniem należytej staranności, działań następczych przez wewnętrzną jednostkę organizacyjną lub osobę, o których mowa w pkt 3;
• maksymalny termin na przekazanie sygnaliście informacji zwrotnej, nieprzekraczający 3 miesięcy od dnia potwierdzenia przyjęcia zgłoszenia wewnętrznego lub – w przypadku nieprzekazania potwierdzenia, o którym mowa w pkt 5 – 3 miesięcy od upływu 7 dni od dnia dokonania zgłoszenia wewnętrznego, chyba że sygnalista nie podał adresu do kontaktu, na który należy przekazać informację zwrotną;
• zrozumiałe i łatwo dostępne informacje na temat dokonywania zgłoszeń zewnętrznych do Rzecznika Praw Obywatelskich albo organów publicznych oraz – w stosownych przypadkach – do instytucji, organów lub jednostek organizacyjnych Unii Europejskiej.

Należy pamiętać, że ustalenie procedury zgłoszeń wewnętrznych musi być poprzedzone trwającą od 5 do 10 dni konsultacją z zakładową organizacją związkową, albo – jeżeli w danym podmiocie nie działa zakładowa organizacja związkowa – z  przedstawicielami osób świadczących pracę na rzecz podmiotu prawnego, wyłonionymi w trybie przyjętym w danym podmiocie prawnym. 

Procedura wchodzi w życie po upływie 7 dni od dnia podania jej do wiadomości osób wykonujących pracę w sposób przyjęty u danego pracodawcy. 

Co istotne, na pracodawcy spoczywa obowiązek zapewnienia poufności tożsamości sygnalisty. Musi on zagwarantować:

• stworzenie procedury zgłoszeń wewnętrznych (oraz związanego z przyjmowaniem zgłoszeń procesu przetwarzania danych osobowych) w sposób uniemożliwiający nieupoważnionym osobom uzyskanie dostępu do informacji objętych zgłoszeniem;
• ochronę poufności tożsamości – zarówno sygnalisty, jak i osoby, której dotyczy zgłoszenie oraz ewentualnej osoby trzeciej wskazanej w zgłoszeniu. Ochrona poufności dotyczy informacji na podstawie których można bezpośrednio lub pośrednio zidentyfikować tożsamość takich osób;
• pisemne upoważnienia dla osób uprawnionych do przyjmowania i weryfikacji zgłoszeń wewnętrznych, podejmowania działań następczych oraz przetwarzania danych osobowych. Osoby te są obowiązane do zachowania tajemnicy w zakresie informacji i danych osobowych, które uzyskały w ramach przyjmowania i weryfikacji zgłoszeń wewnętrznych, oraz podejmowania działań następczych.  

Oprócz przygotowania procedury, pracodawca zobowiązany jest do tego, aby prowadzić tzw. rejestr zgłoszeń wewnętrznych, do którego wpisu dokonuje się na podstawie zgłoszenia wewnętrznego. Przedmiotowy rejestr obejmuje: 

• numer zgłoszenia;
• przedmiot naruszenia prawa;
• dane osobowe sygnalisty oraz osoby, której dotyczy zgłoszenie (niezbędne do identyfikacji tych osób);
• adres do kontaktu sygnalistą;
• datę dokonania zgłoszenia;
• informację o podjętych działaniach następczych;
• datę zakończenia sprawy.

Dane osobowe oraz pozostałe informacje w rejestrze zgłoszeń wewnętrznych należy przechowywać przez okres 3 lat po zakończeniu roku kalendarzowego, w którym zakończono działania następcze, lub po zakończeniu postępowań zainicjowanych tymi działaniami.

Od jakiego momentu sygnalista podlega ochronie i na czym ta ochrona polega?

Sygnalista podlega ochronie od chwili dokonania zgłoszenia, pod warunkiem, że: 

1. zgłoszenie lub ujawnienie dotyczy informacji o naruszeniu prawa w obszarach objętych ustawą o ochronie sygnalistów lub procedurą wewnętrzną; 
2. osoba dokonująca zgłoszenia działała w uzasadnionym przekonaniu, że informacja będąca przedmiotem zgłoszenia lub ujawnienia publicznego, jest prawdziwa w momencie dokonywania zgłoszenia lub ujawnienia publicznego i że stanowi informację o naruszeniu prawa¹.

W stosunku do sygnalisty obowiązuje zakaz podejmowania działań odwetowych. 

Działaniem odwetowym jest bezpośrednie lub pośrednie działanie lub zaniechanie w kontekście związanym z pracą, które jest spowodowane zgłoszeniem lub ujawnieniem publicznym i które narusza (lub może naruszyć) prawa sygnalisty lub wyrządza lub może wyrządzić nieuzasadnioną szkodę sygnaliście. Niedozwolone zgodnie z tą definicją czynności obejmują także bezpodstawne inicjowanie postępowań przeciwko sygnaliście. 

Co grozi za podjęcie działań odwetowych w stosunku do sygnalisty?

Sygnalista, wobec którego dopuszczono się działań odwetowych, ma prawo do odszkodowania (w wysokości nie niższej niż przeciętne miesięczne wynagrodzenie) lub prawo do zadośćuczynienia. 

Jeżeli działań odwetowych dopuścił się (w związku z wykonywaniem obowiązków pracowniczych) pracownik, to odszkodowanie jest zobowiązany zapłacić pracodawca (na podstawie przepisu art. 120 Kodeksu pracy²). Z kolei, jeżeli działania odwetowe podejmie osoba pozostająca w stosunku cywilnoprawnym, wówczas szkodę będącą następstwem działania sprawcy poniesie podmiot powierzający zadania (na zasadzie przepisu art. 430 Kodeksu cywilnego³).

Ciężar dowodu, że działanie nie stanowiło działania odwetowego spoczywa na pracodawcy. 

Co grozi za naruszenie obowiązku ustanowienia procedury zgłoszeń wewnętrznych lub ustanowienie jej z naruszeniem przepisów? 

Procedura wewnętrzna jest podstawowym dokumentem realizującym ideę ochrony sygnalistów. Naruszenie obowiązku ustanowienia procedury zgłoszeń wewnętrznych (lub ustanowienie jej z istotnym naruszeniem wynikających z ustawy wymogów), stanowi wykroczenie i podlega karze grzywny w granicach od 20 do 5000 zł⁴.

Osobami podlegającymi odpowiedzialności będą w przypadku spółek kapitałowych – członkowie zarządu, a w przypadku spółek osobowych – wspólnicy. 

Podsumowanie ustawy o sygnalistach – jakie są najważniejsze obowiązki pracodawcy?

Chcąc uniknąć odpowiedzialności karnej i cywilnej przewidzianej w ustawie, pracodawcy muszą do 25 września 2024 r.:

• zidentyfikować stan zatrudnienia  w spółce, 
• zweryfikować postanowienia funkcjonujących już procedur, 
• wdrożyć procedurę zgłoszeń wewnętrznych, 
• przygotować stosowne upoważnienia;
• przygotować projekt rejestru zgłoszeń wewnętrznych, 
• przeszkolić personel, 
• prawidłowo obsługiwać zgłoszenia (o ile wpłyną) ;
• przechowywać dane. 

Lista obowiązków związanych z wdrożeniem w firmie Ustawy o ochronie sygnalistów jest zatem długa i zawiła. W tym skomplikowanym procesie warto skorzystać z kompleksowego wsparcia oferowanego przez RSM Poland.

¹  D. Tokarczyk [w:] E. Rutkowska, D. Tokarczyk, Ustawa o ochronie sygnalistów. Komentarz, LEX/el. 2024, art. 6.
 ² D. Tokarczyk [w:] E. Rutkowska, D. Tokarczyk, Ustawa o ochronie sygnalistów. Komentarz, LEX/el. 2024, art. 14.
³  D. Tokarczyk [w:] E. Rutkowska, D. Tokarczyk, Ustawa o ochronie sygnalistów. Komentarz, LEX/el. 2024, art. 14.
 ⁴ D. Tokarczyk [w:] E. Rutkowska, D. Tokarczyk, Ustawa o ochronie sygnalistów. Komentarz, LEX/el. 2024, art. 58.