Ochrona sygnalistów w Polsce – procedura zgłaszania naruszeń i inne obowiązki

Ustawa o ochronie sygnalistów wejdzie w życie w dniu 25 września 2024 r. i obejmie wszystkie podmioty prawne zatrudniające powyżej 50 osób. Ustawa implementuje dyrektywę Parlamentu Europejskiego i Rady (UE) 2019/1937 z dnia 23 października 2019 r. w sprawie ochrony osób zgłaszających naruszenia prawa Unii.
 
Wspomniana ustawa jest pierwszym tego rodzaju aktem prawnym w Polsce. Do tej pory w krajowym systemie prawnym nie istniały żadne kompleksowe regulacje poświęcone prawom oraz ochronie osób, które ujawniają informacje o naruszeniach prawa w firmie.
 
Sygnalistą jest osoba fizyczna, która zgłasza lub ujawnia publicznie informację o naruszeniu prawa uzyskaną w kontekście związanym z pracą. Katalog osób będących pod ochroną ustawy jest szeroki. Sygnalistą może być, m.in.: pracownik (również tymczasowy), osoba świadcząca pracę na podstawie umowy cywilnoprawnej, przedsiębiorca, akcjonariusz czy wspólnik, a nawet stażysta lub praktykant.
 
Sygnalista może zgłosić wszystkie naruszenia, czyli działania lub zaniechania niezgodne z prawem oraz mające na celu jego obejście. Zgłoszenie może obejmować wiele obszarów, w tym: korupcji, zamówień publicznych, przeciwdziałania praniu pieniędzy, ochrony środowiska, bezpieczeństwa żywności, zdrowia publicznego, ochrony konsumentów, czy bezpieczeństwa sieci i systemów teleinformatycznych.
 
Podstawowym obowiązkiem podmiotu objętego ustawą o ochronie sygnalistów jest opracowanie i przyjęcie procedury zgłaszania naruszeń.
 
Co istotne, procedura zgłaszania naruszeń musi być zgodna z wymogami ustawy. Taka procedura musi określać m.in. jednostki lub osoby upoważnione do przyjmowania zgłoszeń oraz do podejmowania działań następczych, a także sposoby przekazywania zgłoszeń przez sygnalistę. Musi również zawierać inne elementy wymagane wzmiankowaną ustawą.
 
Należy również pamiętać, że procedura zgłaszania naruszeń musi zostać ustalona po konsultacjach z zakładową organizacją związkową (jeżeli takowe działają w tym podmiocie) albo z przedstawicielami osób świadczących pracę, wyłonionymi w trybie przyjętym w tym podmiocie prawnym. Takie konsultacje trwają nie krócej niż 5 dni i nie dłużej niż 10 dni od dnia przedstawienia przez podmiot prawny projektu procedury zgłoszeń wewnętrznych. Jeżeli w danym podmiocie nie działa organizacja związkowa, ani też nie został wyłoniony odpowiedni przedstawiciel, należy takich przedstawicieli niezwłocznie wyłonić. Istotne jest to, aby ich wybór został dokonany przez pracowników, a nie przez pracodawcę.
 
Po uzgodnieniu procedury zgłoszeń należy podać ją do wiadomości osób wykonujących pracę, w sposób przyjęty w danym podmiocie.
 
Poza opracowaniem i przyjęciem procedury zgłaszania naruszeń, niezbędne będzie również podjęcie szeregu innych działań, takich jak: wyznaczenie przez zarząd osób odpowiedzialnych za realizację obowiązków ustawowych (przyjmowanie zgłoszeń i podejmowanie działań następczych), wdrożenie właściwych kanałów dokonywania zgłoszeń, stworzenie i prowadzenie rejestru zgłoszeń, nadanie właściwych upoważnień do przetwarzania danych osobowych, zapewnienie realizacji ustawowych okresów retencji danych oraz zabezpieczenia danych przed nieuprawnionym dostępem do nich przez osoby nieupoważnione.
 
Mając na uwadze wielość powyżej opisanych obowiązków, datę wejścia w życie ustawy oraz trwający okres wakacyjny, niezbędne jest niezwłoczne podjęcie stosownych działań w celu właściwego i terminowego wdrożenia przepisów ustawy.