Kogo dotyczy obowiązek utworzenia kanału zgłoszeń w Polsce? : Ustawa o ochronie sygnalistów (Dz.U. 2024 poz. 928)

Architektura Ustawy o ochronie sygnalistów w polskim systemie prawnym

Uchwalenie ustawy o ochronie sygnalistów przez Sejm Rzeczypospolitej Polskiej zamknęło wieloletni proces legislacyjny, naznaczony opóźnieniami w transpozycji przepisów unijnych i wyrokami Trybunału Sprawiedliwości Unii Europejskiej. Ostateczny kształt aktu normatywnego z 14 czerwca 2024 r. (Dz.U. 2024 poz. 928) tworzy spójny reżim ochronny dla osób zgłaszających naruszenia prawa w kontekście związanym z pracą. Z perspektywy konstytucyjnej ustawa realizuje zasadę demokratycznego państwa prawnego (art. 2 Konstytucji RP) oraz prawo do sprawiedliwych i bezpiecznych warunków pracy, eliminując niepewność prawną, z którą sygnaliści mierzyli się przez dekady.

Polski ustawodawca zdecydował się na konstrukcję opartą na trzech filarach raportowania: zgłoszeniach wewnętrznych (w ramach struktury zatrudniającej), zgłoszeniach zewnętrznych (kierowanych do Rzecznika Praw Obywatelskich lub właściwych organów publicznych) oraz ujawnieniu publicznym (do mediów lub opinii publicznej pod rygorystycznymi warunkami formalnymi). Nadrzędną intencją regulacji jest to, aby znakomita większość nieprawidłowości była wykrywana, weryfikowana i naprawiana wewnątrz organizacji, zanim przerodzi się w publiczny kryzys wizerunkowy, postępowanie prokuratorskie lub dotkliwą karę administracyjną.

Warto podkreślić, że przepisy ustawy mają charakter przepisów bezwzględnie wiążących (ius cogens). Zgodnie z art. 7 ustawy, zrzeczenie się praw określonych w ustawie lub przyjęcie na siebie odpowiedzialności za szkodę powstałą z powodu dokonania zgłoszenia jest z mocy prawa nieważne. Wszelkie postanowienia umów o pracę, umów cywilnoprawnych, kontraktów menedżerskich czy porozumień o zachowaniu poufności (NDA), które bezpośrednio lub pośrednio wyłączają bądź ograniczają prawo do zgłaszania naruszeń, nie wywołują skutków prawnych.

Metodologia obliczania progu 50 osób wykonujących pracę zarobkową

Jednym z najbardziej złożonych zagadnień praktycznych dla działów kadr i compliance jest prawidłowe ustalenie, czy dany podmiot prawny osiągnął ustawowy próg 50 osób, o którym mowa w art. 23 ust. 1 ustawy. Ustawodawca odszedł w tym zakresie od tradycyjnego pojęcia pracownika w rozumieniu Kodeksu pracy na rzecz szerszej kategorii „osób wykonujących pracę zarobkową”.

Składniki stanu zatrudnienia podlegające sumowaniu

Zgodnie z brzmieniem art. 23 ust. 1 ustawy, próg 50 osób wykonujących pracę zarobkową na rzecz podmiotu prawnego ustala się według stanu na dzień 1 stycznia lub 1 lipca danego roku. Do liczby 50 osób wlicza się:

• Pracowników w przeliczeniu na pełne etaty: Osoby zatrudnione na podstawie umowy o pracę, powołania, wyboru, mianowania lub spółdzielczej umowy o pracę. Pracownicy zatrudnieni w niepełnym wymiarze czasu pracy podlegają przeliczeniu matematycznemu na pełne etaty (np. dwóch pracowników zatrudnionych na 1/2 etatu stanowi 1 pełny etat) ;
• Osoby świadczące pracę za wynagrodzeniem na innej podstawie niż stosunek pracy: Wlicza się tu zleceniobiorców (umowy zlecenia), wykonawców umów o świadczenie usług, osoby współpracujące na zasadach samozatrudnienia (kontrakty B2B) oraz wykonawców dzieł, o ile nie zatrudniają oni do tego celu innych osób i wykonują pracę osobiście na rzecz danego podmiotu. Osoby te wlicza się w wartościach bezwzględnych (tzw. per capita), niezależnie od wymiaru godzinowego świadczonych usług.

Pracownicy tymczasowi i agencje pracy tymczasowej

Szczególne wyzwanie interpretacyjne dotyczy pracowników tymczasowych kierowanych do pracy przez agencje pracy tymczasowej na podstawie Ustawy z dnia 9 lipca 2003 r. o zatrudnianiu pracowników tymczasowych. Zgodnie ze stanowiskiem Ministerstwa Rodziny, Pracy i Polityki Społecznej oraz doktryną prawa pracy:

• Po stronie pracodawcy użytkownika: Pracownicy tymczasowi wykonują pracę na jego rzecz, a zatem wlicza się ich do stanu zatrudnienia pracodawcy użytkownika na dany dzień weryfikacyjny (1 stycznia lub 1 lipca) w przeliczeniu na etaty ;
• Po stronie agencji pracy tymczasowej: Agencja wlicza tych pracowników jako swoich pracowników zatrudnionych na podstawie umów o pracę tymczasową. W rezultacie pracownik tymczasowy może zgłaszać nieprawidłowości zarówno za pośrednictwem kanału agencji (np. dotyczące rozliczania wynagrodzeń lub składek ZUS), jak i kanału pracodawcy użytkownika (dotyczące BHP, korupcji, mobbingu na stanowisku pracy).

Dynamika zatrudnienia w ciągu roku a moment powstania obowiązku

Ustawodawca przewidział mechanizm weryfikacji progu w dwóch sztywnych punktach czasowych: 1 stycznia oraz 1 lipca. Ma to na celu ustabilizowanie sytuacji prawnej pracodawców i zapobieżenie konieczności ciągłego wdrażania lub zawieszania kanału w przypadku sezonowych wahań zatrudnienia. Jeżeli podmiot prawny na dzień 1 stycznia nie osiągał progu (np. 46 osób), lecz w wyniku rekrutacji na dzień 1 lipca osiągnął liczbę 53 osób, obowiązek wdrożenia procedury aktualizuje się z tą datą. Organizacja musi niezwłocznie rozpocząć konsultacje ze związkami zawodowymi lub przedstawicielami załogi.

Jeżeli w kolejnym okresie weryfikacyjnym (np. 1 stycznia następnego roku) stan zatrudnienia spadnie poniżej 50 osób, podmiot prawny może podjąć decyzję o uchyleniu procedury (z zachowaniem wymogów formalnych) bądź o jej dobrowolnym utrzymaniu. Rekomendacją audytorów compliance jest zachowanie wdrożonego systemu, gdyż chroni on organizację przed zgłoszeniami zewnętrznymi do organów państwowych.

Podmioty objęte obowiązkiem bez względu na liczbę zatrudnionych

Ustawodawca polski, implementując załącznik do Dyrektywy 2019/1937, wprowadził w art. 23 ust. 2 ustawy bezwzględne wyłączenie progu zatrudnienia dla podmiotów działających w sektorach podwyższonego ryzyka systemowego. W tych branżach obowiązek posiadania wewnętrznego kanału zgłoszeń dotyczy jednostki zatrudniającej choćby jednego pracownika lub zleceniobiorcę.

Sektor bankowy, ubezpieczeniowy i rynek kapitałowy

Kategorią podmiotów podlegających ustawie bez względu na próg 50 osób są instytucje finansowe nadzorowane przez Komisję Nadzoru Finansowego (KNF):

• Banki krajowe, oddziały banków zagranicznych oraz instytucje kredytowe ;
• Domy maklerskie, biura maklerskie i firmy inwestycyjne ;
• Towarzystwa Funduszy Inwestycyjnych (TFI), fundusze inwestycyjne otwarte i zamknięte (FIO, FIZ, ASI) ;
• Zakłady ubezpieczeń, zakłady reasekuracji oraz dystrybutorzy ubezpieczeń (brokerzy) ;
• Krajowe instytucje płatnicze (KIP), małe instytucje płatnicze (MIP) oraz biura usług płatniczych.

Instytucje obowiązane w rozumieniu Ustawy o przeciwdziałaniu praniu pieniędzy (AML)

Artykuł 23 ust. 2 ustawy odsyła wprost do przepisów Ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (Dz.U. 2023 poz. 1124 ze zm.). Oznacza to, że kanał zgłoszeń muszą posiadać m.in.:

• Kantory wymiany walut (stacjonarne oraz internetowe) ;
• Podmioty świadczące usługi w zakresie walut wirtualnych (giełdy i kantory kryptowalut) ;
• Pośrednicy w obrocie nieruchomościami ;
• Doradcy podatkowi, biegli rewidenci, księgowi prowadzący usługowe księgi rachunkowe ;
• Przedsiębiorcy prowadzący działalność w zakresie gier losowych, zakładów wzajemnych i gier na automatach.

Bezpieczeństwo transportu i ochrona środowiska

Bezprogowy obowiązek obejmuje również podmioty wykonujące działalność w zakresie bezpieczeństwa lotnictwa cywilnego (linie lotnicze, certyfikowane lotniska, podmioty obsługi naziemnej), bezpieczeństwa morskiego oraz eksploatacji instalacji morskich ropy naftowej i gazu ziemnego. Naruszenia w tych sektorach niosą ryzyko katastrof ekologicznych i bezpośredniego zagrożenia życia ludzkiego, stąd priorytetowe traktowanie kanałów poufnych.

Sektor publiczny: obowiązki organów państwowych i samorządów

Zgodnie z art. 23 ust. 3 ustawy, obowiązek utworzenia kanału zgłoszeń wewnętrznych obejmuje podmioty sektora publicznego. W odróżnieniu od sektora prywatnego, sektor publiczny co do zasady nie jest chroniony progiem 50 pracowników. Każde ministerstwo, urząd wojewódzki, izba administracji skarbowej, urząd celno-skarbowy, sąd powszechny czy jednostka policji musi dysponować sprawnym kanałem zgłoszeń wewnętrznych.

Jednostki Samorządu Terytorialnego (JST) i wyjątek dla małych gmin

W przypadku jednostek samorządu terytorialnego ustawodawca skorzystał z opcji przewidzianej w prawie unijnym i wprowadził istotne zróżnicowanie:

• Gminy liczące mniej niż 10.000 mieszkańców: Są zwolnione z obowiązku ustanowienia wewnętrznego kanału zgłoszeń (art. 23 ust. 3 zdanie drugie). Mieszkańcy i pracownicy takich gmin mogą korzystać bezpośrednio z kanałów zewnętrznych (RPO) ;
• Gminy liczące 10.000 lub więcej mieszkańców, powiaty i województwa: Muszą ustanowić procedurę zgłoszeń wewnętrznych we wszystkich urzędach obsługujących te jednostki (urzędy gmin, starostwa powiatowe, urzędy marszałkowskie).

Samorządowe jednostki organizacyjne i możliwość łączenia zasobów

Bardzo ważnym udogodnieniem dla samorządów jest norma art. 24 ust. 4 ustawy. Jednostki organizacyjne gminy (np. szkoły podstawowe, przedszkola, ośrodki pomocy społecznej, MOPS/GOPS, miejskie zakłady zieleni, domy kultury) mogą na podstawie porozumienia dzielić zasoby w zakresie przyjmowania i weryfikacji zgłoszeń oraz prowadzenia postępowań wyjaśniających, pod warunkiem zapewnienia pełnej odrębności i poufności danych.

Procedura konsultacji ze związkami zawodowymi i przedstawicielami załogi

Wprowadzenie wewnętrznej procedury zgłoszeń nie może nastąpić w drodze jednostronnego zarządzenia pracodawcy. Artykuł 24 ustawy nakłada na podmiot prawny rygorystyczny obowiązek przeprowadzenia dialogu społecznego.

Etapy konsultacji procedury wewnętrznej

• Sporządzenie projektu procedury: Pracodawca przygotowuje projekt dokumentu regulującego tryb składania zgłoszeń, wyznaczenie bezstronnego zespołu, zasady ochrony tożsamości, podejmowanie działań następczych oraz terminy (7 dni i 3 miesiące) ;
• Przekazanie projektu partnerom społecznym: Projekt przekazuje się zakładowej organizacji związkowej (bądź wspólnemu organowi międzyzwiązkowemu), a w razie jej braku, przedstawicielom pracowników wyłonionym w trybie przyjętym u danego pracodawcy ;
• Termin konsultacji: Konsultacje trwają od 5 do 14 dni od dnia przedstawienia projektu. Termin ten ma charakter prekluzyjny. Brak opinii strony społecznej w wyznaczonym terminie uznaje się za rezygnację z prawa do jej wyrażenia ;
• Charakter opinii: Opinia związków zawodowych lub przedstawicieli pracowników nie jest dla pracodawcy wiążąca (nie jest to porozumienie), lecz proces konsultacji musi być autentyczny i udokumentowany protokolarnie ;
• Ogłoszenie i wejście w życie: Procedura wchodzi w życie po upływie 7 dni od dnia podania jej do wiadomości pracowników w sposób przyjęty w zakładzie pracy (np. przez intranet, wywieszenie na tablicy ogłoszeń, wysyłkę e-mailową do załogi).

Zakres przedmiotowy naruszeń podlegających zgłoszeniu

Ustawa w art. 3 ust. 1 definiuje szeroki katalog dziedzin prawa, których naruszenia mogą być przedmiotem zgłoszenia dokonanego przez sygnalistę:

Niezwykle istotną cechą polskiej ustawy jest art. 3 ust. 2: pracodawca może w procedurze zgłoszeń wewnętrznych rozszerzyć katalog zgłaszanych naruszeń o naruszenia regulacji wewnętrznych lub standardów etycznych (np. kodeksu etyki, procedur antykorupcyjnych, zasad przeciwdziałania mobbingowi). Jeżeli pracodawca nie skorzysta z tej opcji, zgłoszenia dotyczące mobbingu nie korzystają z ochrony ustawowej, chyba że wyczerpują znamiona czynu zabronionego.

Konsekwencje prawne i sankcje karne za brak kanału zgłoszeń

Polski prawodawca przewidział bezwzględne sankcje karne za lekceważenie obowiązków wynikających z ustawy. Rozdział 6 ustawy zawiera katalog przepisów karnych:

Odpowiedzialność za brak procedury lub jej wadliwe wdrożenie (art. 58)

Kto, będąc odpowiedzialnym za ustanowienie procedury zgłoszeń wewnętrznych, wbrew przepisom ustawy procedury tej nie ustanawia albo ustanawia ją z istotnym naruszeniem wymogów wynikających z ustawy, podlega karze grzywny. Odpowiedzialność ponoszą imiennie członkowie zarządu, komplementariusze, dyrektorzy generalni oraz osoby, którym powierzono formalne prowadzenie spraw spółki.

Utrudnianie dokonania zgłoszenia (art. 54)

Kto uniemożliwia lub istotnie utrudnia osobie dokonanie zgłoszenia, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do roku. Jeżeli sprawca działał przy użyciu przemocy, groźby bezprawnej lub podstępu, kara pozbawienia wolności wynosi do lat 3.

Podejmowanie działań odwetowych (art. 55)

Kto podejmuje działania odwetowe wobec sygnalisty, osoby pomagającej w dokonaniu zgłoszenia lub osoby powiązanej z sygnalistą, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 2. W przypadku działania uporczywego kara wynosi do lat 3 pozbawienia wolności.

Naruszenie poufności tożsamości sygnalisty (art. 56)

Ujawnienie tożsamości sygnalisty, osoby pomagającej w dokonaniu zgłoszenia lub osoby, której zgłoszenie dotyczy, bez jej wyraźnej zgody stanowi przestępstwo zagrożone grzywną, ograniczeniem wolności albo pozbawieniem wolności do roku.

Relacje z grupą kapitałową i spółkami matkami w UE

Dla międzynarodowych korporacji oraz polskich grup kapitałowych kluczową kwestią jest możliwość centralizacji kanału zgłoszeń na poziomie holdingu. Ustawa w art. 28 ust. 8 odzwierciedla rygorystyczne stanowisko Komisji Europejskiej:

• Podmioty zatrudniające od 50 do 249 pracowników: Mogą na podstawie umowy dzielić zasoby w zakresie przyjmowania zgłoszeń i prowadzenia postępowań wyjaśniających z innymi spółkami z grupy kapitałowej ;
• Podmioty zatrudniające 250 i więcej pracowników: Muszą posiadać całkowicie autonomiczny, lokalny kanał zgłoszeń w Polsce. Wspólny kanał korporacyjny może funkcjonować wyłącznie jako opcja dodatkowa, pod warunkiem że pracownik ma prawo wyboru kanału lokalnego, a postępowanie w Polsce prowadzone jest w języku polskim.

Rola Rzecznika Praw Obywatelskich jako organu centralnego

W polskim systemie ochrony sygnalistów kluczową instytucją państwową jest Rzecznik Praw Obywatelskich (RPO). Do zadań Rzecznika należy przyjmowanie zgłoszeń zewnętrznych, ich wstępna weryfikacja pod kątem formalnym, udzielanie sygnalistom bezpłatnego poradnictwa prawnego oraz przekazywanie spraw do właściwych merytorycznie organów publicznych (np. prokuratury, PIP, UOKiK, UODO). RPO prowadzi także ogólnodostępną stronę internetową informującą o prawach sygnalistów oraz wydaje zaświadczenia o podleganiu ochronie prawnej.

Standardy ochrony danych osobowych (RODO) i wytyczne Prezesa UODO

Przetwarzanie danych osobowych w ramach kanału zgłoszeń podlega szczególnemu reżimowi prawnemu wynikającemu z Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) oraz art. 8 Ustawy o ochronie sygnalistów. Prezes Urzędu Ochrony Danych Osobowych (UODO) w swoich wytycznych sformułował fundamentalne zasady, które każdy administrator danych musi wdrożyć w strukturze kanału:

• Zasada ścisłej poufności i dostępu opartego na wiedzy koniecznej (Need-to-know): Dostęp do danych osobowych sygnalisty, świadków oraz osoby, której dotyczy zgłoszenie, mogą posiadać wyłącznie upoważnione pisemnie osoby, zobowiązane do zachowania tajemnicy. Upoważnienie musi obejmować wyraźną klauzulę odpowiedzialności karnej z art. 56 ustawy ;
• Ograniczenie praw osoby, której dotyczy zgłoszenie (art. 15 RODO): Zgodnie z art. 8 ust. 5 ustawy, prawo dostępu do danych przysługujące osobie wskazanej w zgłoszeniu jako sprawca naruszenia nie obejmuje prawa do uzyskania informacji o źródle danych osobowych, chyba że sygnalista wyraził na to pisemną zgodę lub nie spełniał ustawowych przesłanek ochrony (działał w złej wierze) ;
• Retencja danych i obowiązek usunięcia po 3 latach: Dane osobowe przetwarzane w związku z przyjęciem zgłoszenia są przechowywane przez okres 3 lat po zakończeniu roku kalendarzowego, w którym zakończono działania następcze. Po upływie tego terminu dane podlegają trwałemu usunięciu z rejestru i systemów teleinformatycznych, chyba że toczą się postępowania sądowe lub przygotowawcze ;
• Separacja baz danych i szyfrowanie end-to-end: Baza danych kanału zgłoszeń nie może być połączona z ogólnym systemem kadrowo-płacowym przedsiębiorstwa (HRM). Dane muszą być przechowywane w wyizolowanym, szyfrowanym środowisku spełniającym standardy ISO/IEC 27001.

Relacja między obowiązkiem lojalności pracowniczej a prawem do zgłoszenia naruszenia

W polskim prawie pracy jednym z fundamentalnych obowiązków pracownika, określonym w art. 100 § 2 pkt 4 Kodeksu pracy, jest dbałość o dobro zakładu pracy, ochrona jego mienia oraz zachowanie w tajemnicy informacji, których ujawnienie mogłoby narazić pracodawcę na szkodę. Wokół tej normy przez lata narastały wątpliwości: czy pracownik informujący o nieprawidłowościach nie narusza lojalności pracowniczej?

Ustawa o ochronie sygnalistów definitywnie rozstrzyga tę kolizję norm. Zgodnie z art. 10 ustawy, dokonanie zgłoszenia na warunkach określonych w ustawie nie może stanowić podstawy odpowiedzialności dyscyplinarnej, w tym odpowiedzialności za szkodę z tytułu naruszenia praw innych osób lub obowiązków określonych w przepisach prawa, w szczególności w przedmiocie praw autorskich, ochrony danych osobowych czy obowiązku zachowania tajemnicy przedsiębiorstwa. Sąd Najwyższy w wyroku z dnia 24 maja 2023 r. (sygn. akt II PSKP 14/22) podkreślił, że powiadomienie o naruszeniu prawa dokonanym w dobrej wierze i w uzasadnionym interesie publicznym mieści się w granicach dozwolonej krytyki i stanowi przejaw troski o legalność funkcjonowania pracodawcy, nie zaś naruszenie obowiązku lojalności.