Zakon o zaštiti zviždača u Hrvatskoj: nadzor Pučke pravobraniteljice, prekršajne kazne do 30.000 € i strogi rok od 30 dana

Zakonodavni okvir: Zakon o zaštiti prijavitelja nepravilnosti (NN 46/22)

Donošenjem novog Zakona o zaštiti prijavitelja nepravilnosti (Narodne novine, br. 46/22), Republika Hrvatska u potpunosti je prenijela Direktivu (EU) 2019/1937 Europskog parlamenta i Vijeća u svoje nacionalno zakonodavstvo. Međutim, hrvatski zakonodavac otišao je korak dalje od minimalnih europskih standarda, propisujući izuzetno stroge rokove postupanja i detaljne obveze za poslodavce u javnom i privatnom sektoru. Sukladno članku 13. Zakona, svi poslodavci u privatnom sektoru koji zapošljavaju najmanje 50 radnika obvezni su uspostaviti interni kanal za prijavljivanje nepravilnosti te općim aktom urediti postupak unutarnjeg prijavljivanja.

Osim tvrtki s 50 ili više zaposlenih, obveza uspostave internog sustava bez obzira na broj zaposlenih radnika odnosi se na subjekte u financijskom sektoru, kreditne institucije, investicijska društva, društva za osiguranje i reosiguranje, mirovinska društva, kao i sve subjekte koji potpadaju pod propise o sprječavanju pranja novca i financiranja terorizma (SPNFT). Tijela javne vlasti, jedinice lokalne i područne (regionalne) samouprave te javna poduzeća također su bez iznimke dužna ustrojiti sigurne kanale i imenovati povjerljive osobe.

Hrvatske tvrtke moraju implementirati certificirani i tehnički neovisan kanal za prijavu nepravilnosti, koji u potpunosti štiti identitet zviždača i sprječava neovlašteni pristup unutar IT infrastrukture organizacije.

Nadležnost Pučke pravobraniteljice kao središnjeg vanjskog tijela

Zakon o zaštiti prijavitelja nepravilnosti povjerio je funkciju središnjeg tijela nadležnog za vanjsko prijavljivanje nepravilnosti Pučkoj pravobraniteljici Republike Hrvatske. Pučka pravobraniteljica djeluje kao neovisna ustavna institucija s izrazito širokim ovlastima nadzora, edukacije, zaprimanja vanjskih prijava i koordinacije zaštite prijavitelja.

Ukoliko poslodavac nije uspostavio interni kanal, ako interni kanal ne funkcionira, ili ako prijavitelj ima opravdan razlog vjerovati da bi u slučaju unutarnje prijave mogao pretrpjeti odmazdu ili da nepravilnost ne bi bila učinkovito istražena, prijavitelj se ima pravo izravno obratiti Uredu Pučke pravobraniteljice. Tijekom 2026. godine Ured Pučke pravobraniteljice bilježi značajan porast vanjskih prijava, posebice u slučajevima gdje su poslodavci pokušali marginalizirati ili kompromitirati povjerljivu osobu.

Kada Pučka pravobraniteljica utvrdi povredu prava prijavitelja ili nepravilnosti u radu poslodavca, donosi preporuke, upozorenja i prijedloge, a u slučaju sumnje na počinjenje prekršaja ili kaznenih djela, podnosi optužne prijedloge nadležnim prekršajnim sudovima ili obavještava Državno odvjetništvo Republike Hrvatske (DORH).

Imenovanje, uloga i autonomija povjerljive osobe i zamjenika

Prema članku 14. Zakona, poslodavac je dužan imenovati povjerljivu osobu i njezina zamjenika. Imenovanje se provodi na prijedlog radničkog vijeća, sindikalnog povjerenika s ovlastima radničkog vijeća ili najmanje 20% radnika zaposlenih kod poslodavca. Tek ako radnici ili njihovi predstavnici ne predlože kandidata u zakonom predviđenom roku, poslodavac može samostalno imenovati povjerljivu osobu, uz njezin prethodni pisani pristanak.

Povjerljiva osoba vodi cjelokupni postupak unutarnjeg prijavljivanja: zaprima prijave, ispituje njihovu osnovanost, predlaže poslodavcu mjere za otklanjanje nepravilnosti, štiti prijavitelja od štetnih radnji te mu redovito pruža povratne informacije. Zakon izričito propisuje da poslodavac ne smije utjecati na rad povjerljive osobe niti joj izdavati upute o načinu vođenja ispitivanja konkretne prijave.

Jedna od najčešćih i najopasnijih pogrešaka u hrvatskoj praksi je imenovanje direktora ljudskih potencijala (HR) ili voditelja pravne službe za povjerljivu osobu. Takav izbor dovodi do izravnog sukoba interesa jer je ista osoba zadužena za donošenje otkaza i disciplinskih mjera u ime uprave, dok bi kao povjerljiva osoba trebala štititi radnika od uprave. Korištenjem neovisnog softvera za upravljanje prijavama povjerljivoj se osobi pruža zaštićena digitalna enklava kojoj uprava i IT služba nemaju nikakav pristup.

Strogi rok od 30 dana: specifičnost i rigoroznost hrvatskog zakona

Ključna specifičnost hrvatskog Zakona o zaštiti prijavitelja nepravilnosti, koja ga čini znatno strožim od same Direktive EU i većine europskih zakonodavstava, jest propisani rok za obavještavanje prijavitelja o ishodu postupka. Prema članku 18. Zakona:

1. Potvrda primitka prijave u roku od 7 dana: Povjerljiva osoba dužna je prijavitelju dostaviti pisanu potvrdu o primitku prijave u roku od sedam (7) dana od dana primitka, osim ako je prijavitelj izričito zatražio suprotno ili ako postoji opravdana sumnja da bi potvrda ugrozila tajnost njegova identiteta.

2. Povratna informacija i ishod u roku od 30 dana: Povjerljiva osoba dužna je ispitati prijavu i bez odgode, a najkasnije u roku od trideset (30) dana od dana primitka prijave, obavijestiti prijavitelja o poduzetim mjerama i ishodu ispitivanja. Samo u iznimno složenim predmetima, gdje je potrebno provođenje opsežnih forenzičkih ili financijskih vještačenja, rok se može produžiti na najviše 90 dana, uz obvezu prethodnog pisanog obrazloženja prijavitelju prije isteka prvotnog roka od 30 dana.

Ukoliko povjerljiva osoba propusti rok od 30 dana bez valjanog i pravodobnog obrazloženja, prijavitelj stječe zakonsko pravo na trenutačno podnošenje vanjske prijave Pučkoj pravobraniteljici ili javno razotkrivanje, zadržavajući puni status zaštićenog zviždača. Cjeloviti detalji postupka mogu se pronaći u vodiču zaštita zviždača u praksi.

Zašto je korištenje obične e-pošte (zvizdaci@tvrtka.hr) protuzakonito i rizično

Brojne domaće tvrtke u Hrvatskoj i dalje griješe vjerujući da je za zakonsku usklađenost dovoljno otvoriti zajednički e-mail pretinac poput nepravilnosti@tvrtka.hr ili zvizdaci@tvrtka.hr. Prema pravnim stajalištima Pučke pravobraniteljice i Agencije za zaštitu osobnih podataka (AZOP), običan e-mail ne ispunjava temeljne zakonske standarde povjerljivosti i sigurnosti.

U standardnim računalnim mrežama sistemski administratori, pružatelji usluga hostinga i ovlaštene osobe za održavanje poslužitelja imaju puni tehnički uvid u promet e-pošte, zaglavlja poruka, IP adrese pošiljatelja te priložene datoteke. U takvim okolnostima povjerljivost identiteta prijavitelja u potpunosti je iluzorna, a rizik od curenja informacija unutar tvrtke iznimno visok.

Osim toga, poruke e-pošte podložne su brisanju, izmjenama i gubitku, što poslodavcu onemogućuje vođenje pravno valjane evidencije. Prilikom nadzora, Pučka pravobraniteljica i sudovi provjeravaju:

• Tehničku nemogućnost pristupa podacima o prijavitelju od strane IT administratora i uprave tvrtke.
• Postojanje cjelovitog, nepromjenjivog digitalnog revizijskog traga (audit trail).
• Kriptografsku zaštitu svih pohranjenih zapisa i komunikacijskih kanala end-to-end enkripcijom.
• Strogo poštivanje i dokazivost zakonskih rokova od 7 i 30 dana kroz automatsko bilježenje vremena.

Zabrana odmazde i presumpcija krivnje poslodavca (Članci 33., 34. i 35.)

Zakon o zaštiti prijavitelja nepravilnosti propisuje apsolutnu i bezuvjetnu zabranu stavljanja prijavitelja u nepovoljniji položaj (odmazda). Pojam odmazde obuhvaća široki spektar radnji: otkaz ugovora o radu, prestanak ugovora o djelu ili autorskog ugovora, premještaj na lošije radno mjesto, nepovoljnu ocjenu rada, uskraćivanje napredovanja ili stručnog usavršavanja, smanjenje plaće ili oduzimanje stimulacija, nametanje disciplinskih mjera, mobing i uznemiravanje.

Od ključnog je značaja odredba članka 35. Zakona koja propisuje obrnuti teret dokazivanja. U svim radnim i sudskim sporovima u kojima prijavitelj učini vjerojatnim da je podnio prijavu i da je nakon toga poslodavac prema njemu poduzeo nepovoljnu radnju, zakonski se pretpostavlja da je ta radnja predstavljala zabranjenu odmazdu. Teret dokazivanja prebacuje se u cijelosti na poslodavca, koji mora nepobitnim materijalnim dokazima dokazati da je odluka bila isključivo utemeljena na objektivnim poslovnim razlozima koji nemaju nikakve veze s prijavom.

Ukoliko poslodavac ne posjeduje neovisnu dokumentaciju i digitalni trag koji dokazuje da osobe koje su donijele odluku o otkazu nisu imale saznanja o prijavi, hrvatski sudovi u pravilu donose presude u korist radnika, proglašavaju otkaz ništetnim, nalažu vraćanje na posao te dosuđuju isplatu naknade plaće za cijelo razdoblje spora i visoke iznose naknade neimovinske štete.

Prekršajne sankcije i novčane kazne do 30.000 € (Članak 37.)

Članak 37. Zakona definira katalog teških prekršaja i propisuje drastične novčane kazne za pravne osobe i odgovorne osobe u pravnoj osobi:

• Novčana kazna od 3.980 do 30.000 EUR: Kaznit će se pravna osoba ako pokuša spriječiti ili spriječi prijavljivanje, poduzme osvetničke radnje (odmazdu) prema prijavitelju, ili otkrije identitet prijavitelja bez njegova pristanka.
• Novčana kazna od 1.320 do 6.630 EUR: Kaznit će se odgovorna osoba u pravnoj osobi (direktor, član uprave) za iste gore navedene prekršaje.
• Novčana kazna od 1.320 do 3.980 EUR: Za poslodavca pravnu osobu ako ne uspostavi sustav unutarnjeg prijavljivanja ili ne imenuje povjerljivu osobu i njezina zamjenika sukladno zakonu.
• Novčana kazna za povjerljivu osobu: Od 390 do 1.320 EUR ako povjerljiva osoba ne postupa u propisanim rokovima (7 dana i 30 dana) ili ako povrijedi načelo povjerljivosti.
• Odgovornost za zlonamjerne prijave: Fizička osoba koja svjesno podnese prijavu s neistinitim podacima kaznit će se novčanom kaznom od 390 do 2.650 EUR.

Osim izravnih financijskih gubitaka kroz prekršajne kazne, pravomoćne osude dovode do gubitka reputacije na tržištu rada, narušavanja odnosa s investitorima i poslovnim partnerima te mogućeg isključenja iz postupaka javne nabave.

Sudska praksa općinskih i županijskih sudova u Hrvatskoj

Sudska praksa hrvatskih općinskih i županijskih sudova zauzela je čvrst i beskompromisan stav u zaštiti zviždača. Prijavitelji nepravilnosti imaju pravo na hitnu sudsku zaštitu putem donošenja privremenih mjera. Ako prijavitelj dokaže da mu prijeti otkaz ili je već dobio otkaz nakon podnošenja prijave, sud može po hitnom postupku narediti poslodavcu privremeno vraćanje radnika na posao ili zabraniti provođenje otkaza do pravomoćnog okončanja spora.

Nadalje, Zakon izričito oslobađa prijavitelja od plaćanja sudskih pristojbi u postupcima sudske zaštite, čime se uklanjaju financijske prepreke za pokretanje tužbi. Poslodavci koji olako shvaćaju postupak ispitivanja i zaštite prijavitelja izlažu se dugotrajnim radnim sporovima s golemim kumulativnim troškovima odvjetničkih zastupanja, sudskih vještaka i zateznih kamata na neisplaćene plaće.

Digitalna forenzika i integritet dokaznog materijala

Prijave nepravilnosti često uključuju sumnje na korupciju u javnoj nabavi, financijske prijevare, izbjegavanje poreznih obveza ili falsificiranje poslovnih knjiga. U takvim okolnostima kvaliteta i vjerodostojnost prikupljenih digitalnih dokaza od presudne su važnosti za daljnje postupanje pred istražnim tijelima i sudovima.

Platforma UNOVOX implementira stroge standarde digitalne forenzike, uključujući generiranje SHA-256 kriptografskih sažetaka (hash vrijednosti) za svaki zaprimljeni dokument, e-mail ili audio zapis, uz kvalificirano vremensko žigosanje. Time se jamči integritet i dokazna snaga materijala, osiguravajući da podaci nisu naknadno mijenjani ili kompromitirani.

Usklađenost s Općom uredbom o zaštiti podataka (GDPR / AZOP)

Obrada osobnih podataka unutar sustava za prijavu nepravilnosti predstavlja visoko rizičnu obradu prema Općoj uredbi o zaštiti podataka (GDPR). Poslodavac kao voditelj obrade mora primijeniti načela zakonitosti, točnosti, razmjernosti i smanjenja količine podataka.

Poseban izazov predstavlja ostvarivanje prava na pristup i informiranje prijavljene osobe (članci 14. i 15. GDPR-a). Zakon o zaštiti prijavitelja nepravilnosti jasno propisuje da se prava prijavljene osobe na pristup podacima mogu privremeno ograničiti ako bi njihovo ostvarivanje ugrozilo tajnost identiteta prijavitelja ili tijek ispitivanja nepravilnosti. Poslodavci su dužni prije puštanja sustava u rad provesti Procjenu učinka na zaštitu podataka (DPIA) i uskladiti interne protokole s preporukama AZOP-a.

Pravila za povezane tvrtke i podružnice u Republici Hrvatskoj

Međunarodne korporacije i domaće grupacije s više povezanih društava u Hrvatskoj moraju pažljivo urediti arhitekturu svojih kanala za prijavljivanje. Prema smjernicama Europske komisije i hrvatskom zakonu, dijeljenje resursa i zajednički interni kanal dopušteni su isključivo između povezanih društava u privatnom sektoru koja imaju između 50 i 249 radnika.

Sva velika društva koja zapošljavaju 250 ili više radnika u Hrvatskoj moraju imati vlastiti, potpuno samostalni interni kanal, s imenovanim lokalnim povjerljivim osobama i mogućnošću vođenja postupka na hrvatskom jeziku. Centralizirani model u kojem se sve prijave šalju isključivo u inozemnu maticu predstavlja prekršaj po hrvatskom pravu.

Usporedna tablica: UNOVOX vs. nesukladna rješenja u hrvatskoj praksi

Sljedeća tablica prikazuje operativne i pravne razlike između profesionalnog sustava UNOVOX i improviziranih internih rješenja:

Kontrolna lista u 10 točaka za hrvatska poduzeća

Kako bi uprava poduzeća osigurala besprijekornu usklađenost sa Zakonom o zaštiti prijavitelja nepravilnosti, preporučuje se provedba sljedećih 10 koraka:

1. Provjera obveze i broja radnika: Utvrđivanje točnog broja zaposlenih radnika na temelju ugovora o radu, ugovora o djelu, ugovora o privremenom radu te studenata i vanjskih suradnika.
2. Savjetovanje i imenovanje povjerljive osobe: Pravodobno traženje prijedloga od radničkog vijeća ili radnika te donošenje odluke o imenovanju povjerljive osobe i njezina zamjenika.
3. Implementacija certificiranog softvera: Odabir digitalne platforme s ISO 27001 certifikatom, GDPR sukladnošću i naprednom kriptografskom zaštitom.
4. Donošenje Pravilnika o unutarnjem prijavljivanju: Izrada i formalno usvajanje internog općeg akta kojim se uređuje postupak prijave i ispitivanja nepravilnosti.
5. Dostupnost i transparentnost informacija: Objava pravilnika i kontakata povjerljive osobe na oglasnoj ploči, intranetu i javnoj internetskoj stranici poslodavca.
6. Osiguranje višekanalnog zaprimanja: Omogućavanje podnošenja prijava u pisanom obliku, usmenim putem telefonom te neposrednim sastankom s povjerljivom osobom.
7. Uspostava zaštićene evidencije prijava: Vođenje stroge evidencije zaprimljenih prijava s pohranom podataka u trajanju od najmanje 5 godina.
8. Praćenje i poštivanje rokova: Uspostava automatskih mehanizama za slanje potvrde u roku od 7 dana i rješavanje prijave u roku od 30 dana.
9. Redovita edukacija menadžmenta: Upoznavanje rukovoditelja svih razina sa strogom zabranom odmazde i presumpcijom krivnje poslodavca.
10. Provedba DPIA analize: Ažuriranje evidencija obrade osobnih podataka i provođenje procjene učinka na zaštitu podataka za sustav prijavljivanja.