Zakon o zaščiti prijaviteljev (ZZPri): nadzor KPK, globa do 100.000 € in neodvisnost zaupnika

Zakonodajni okvir: Zakon o zaščiti prijaviteljev (ZZPri) v letu 2026

Z uveljavitvijo Zakona o zaščiti prijaviteljev (ZZPri, Uradni list RS, št. 16/23) je Republika Slovenija v svoj pravni red prenesla Direktivo (EU) 2019/1937 Evropskega parlamenta in Sveta. Slovenski zakonodajalec je ustvaril celovit in zavezujoč sistem, ki zavezancem v zasebnem in javnem sektorju nalaga vzpostavitev varne notranje poti za prijavo ter sprejetje internega akta o postopku obravnave prijav. Obveznost vzpostavitve notranje poti velja za vse delodajalce v zasebnem sektorju, ki imajo 50 ali več zaposlenih delavcev.

Poleg tega zakon določa, da morajo ne glede na število zaposlenih notranjo pot vzpostaviti subjekti, ki delujejo na področju finančnih storitev, preprečevanja pranja denarja in financiranja terorizma (PPDFT), varstva okolja, varnosti prometa ter vsi državni organi, občine in javni zavodi. V letu 2026 nadzorni organi ne preverjajo več zgolj formalnega sprejetja pravilnikov, temveč ocenjujejo dejansko funkcionalnost sistema, tehnično zaščito podatkov ter resnično avtonomijo pooblaščenih oseb.

Za izpolnitev vseh zakonskih standardov morajo slovenska podjetja uvesti varen in certificiran kanal za prijave, ki zagotavlja popolno zaupnost ter preprečuje nepooblaščen dostop do identitete prijavitelja.

V praksi to pomeni, da morajo podjetja zagotoviti ne le tehnično rešitev, temveč tudi celostno organizacijsko usklajenost, ki vključuje jasno določene protokole ravnanja, zaščito prič in sodelavcev prijavitelja ter redno usposabljanje celotnega kolektiva.

Pristojnosti Komisije za preprečevanje korupcije (KPK) in inšpekcijski nadzor

Osrednji zunanji organ za prijavo kršitev in sistemski nadzor nad izvajanjem ZZPri je Komisija za preprečevanje korupcije (KPK). KPK deluje kot neodvisen državni organ z obsežnimi preiskovalnimi in prekrškovnimi pooblastili. Če delodajalec ne vzpostavi notranje poti za prijavo, če notranja pot ne deluje ali če prijavitelj utemeljeno meni, da notranja prijava ne bi bila učinkovito obravnavana oziroma da mu grozi tveganje povračilnih ukrepov, lahko prijavitelj kršitev nemudoma sporoči neposredno KPK prek zunanje poti.

Poleg KPK inšpekcijski nadzor nad spoštovanjem določb o delovnopravni zaščiti prijaviteljev in preprečevanju povračilnih ukrepov izvaja Inšpektorat Republike Slovenije za delo (IRSD), medtem ko Informacijski pooblaščenec (IP RS) nadzoruje vidike varstva osebnih podatkov. Medresorsko sodelovanje nadzornih organov omogoča hiter odziv na kršitve ter uvedbo prekrškovnih postopkov zoper pravne osebe in njihove poslovodne organe.

Kadar KPK ugotovi znake prekrška po ZZPri, samostojno izda odločbo o prekršku z izrekom visoke globe, v primeru suma storitve kaznivih dejanj zoper uradno dolžnost ali gospodarstvo pa zadevo odstopi pristojnemu državnemu tožilstvu ali Policiji.

Imenovanje, vloga in absolutna neodvisnost zaupnika

Skladno z 9. členom ZZPri mora zavezanec imenovati zaupnika za prejem in obravnavo notranjih prijav ter njegovega namestnika. Zaupnik je osrednja osebnost notranjega mehanizma zaščite: sprejema prijave, presoja njihovo utemeljenost, vodi komunikacijo s prijaviteljem, predlaga vodstvu podjetja ustrezne popravne ukrepe za odpravo ugotovljenih nepravilnosti ter spremlja položaj prijavitelja z vidika preprečevanja povračilnih ukrepov.

ZZPri izrecno določa, da mora biti zaupnik pri opravljanju svojih nalog popolnoma samostojen in neodvisen. Vodstvo zavezanca zaupniku ne sme dajati nobenih navodil glede vsebine obravnave posamezne prijave ali vplivati na njegove zaključke. V slovenski poslovni praksi je velika in tvegana napaka imenovanje vodje kadrovske službe (HR) ali vodje pravne službe na mesto zaupnika. Takšno imenovanje povzroča neposreden konflikt interesov, saj te osebe hkrati zastopajo interese delodajalca pri vodenju disciplinskih postopkov in odpovedih pogodb o zaposlitvi.

Z uporabo neodvisne programske opreme za upravljanje prijav zaupnik pridobi popolnoma ločeno in šifrirano digitalno delovno okolje, do katerega notranji IT administratorji in vodstvo nimajo nobenega dostopa.

Zakonski roki: 7 dni za potrdilo in najkasneje 3 mesece za povratne informacije

ZZPri natančno opredeljuje postopkovne roke, ki jih mora zaupnik strogo spoštovati pri vodenju postopka:

1. Izdaja potrdila o prejemu v 7 dneh: Zaupnik mora prijavitelju izdati pisno potrdilo o prejemu prijave v roku sedmih (7) dni od dneva njenega prejema. Izjema velja le, če je prijavitelj izrecno zahteval, naj se mu potrdilo ne pošilja, ali če zaupnik utemeljeno meni, da bi pošiljanje potrdila razkrilo identiteto prijavitelja.

2. Povratne informacije o utemeljenosti in ukrepih v 3 mesecih: Zaupnik je dolžan prijavitelju posredovati povratne informacije o načrtovanih ali sprejetih ukrepih (npr. o zaključku postopka zaradi neutemeljenosti, o izvedenih notranjih revizijskih ukrepih, o vložitvi kazenske ovadbe) v razumnem roku, vendar najkasneje v treh (3) mesecih od izdaje potrdila o prejemu prijave oziroma od poteka sedemdnevnega roka za izdajo potrdila.

Če zaupnik ali delodajalec neupravičeno zamudi trimesečni rok za poročanje, pridobi prijavitelj zakonsko pravico do zunanje prijave pri KPK ali celo do javnega razkritja v medijih, pri čemer ohrani vso zakonsko zaščito pred sankcijami ali odškodninskimi tožbami. Za celovit pregled pravnih postopkov si oglejte vodnik vse o zakonu ZZPri in zaščiti prijaviteljev.

Zakaj je navadni elektronski naslov (prijave@podjetje.si) nezakonit in nevaren

Veliko podjetij v Sloveniji zmotno meni, da zahtevam ZZPri zadostijo z odprtjem splošnega e-poštnega predala, kot sta zvizgaci@podjetje.si ali nepravilnosti@podjetje.si. Uradna stališča KPK in Informacijskega pooblaščenca jasno poudarjajo, da navadna e-pošta ne zagotavlja zahtevane stopnje zaupnosti in informacijske varnosti.

V standardnih poslovnih IT sistemih imajo sistemski skrbniki, vzdrževalci omrežij in ponudniki gostovanja neoviran dostop do strežniških dnevnikov (log datotek), metapodatkov, vsebine sporočil in IP naslovov pošiljateljev. V takšnih razmerah je zaupnost identitete prijavitelja zgolj navidezna, nevarnost razkritja znotraj podjetja pa izjemno velika.

Prav tako navadna e-poštna sporočila ne zagotavljajo celovitosti podatkov, saj jih je mogoče izbrisati ali spremeniti brez sledljivosti. KPK pri svojih inšpekcijskih nadzorih dosledno preverja:

• Tehnično nezmožnost dostopa do identitete prijavitelja s strani IT osebja in vodstva podjetja.
• Obstoj celovite in nespremenljive digitalne revizijske sledi (audit trail).
• Uporabo asimetričnega šifriranja od konca do konca (E2E) pri vseh prenesenih in shranjenih podatkih.
• Samodejno beleženje in preverljivost zakonskih rokov (7 dni in 3 mesece).

Prepoved povračilnih ukrepov in obratno dokazno breme (22. člen ZZPri)

ZZPri uveljavlja absolutno in brezizjemno prepoved povračilnih ukrepov zoper prijavitelja, povezane osebe (npr. sodelavce, družinske člane) ter zaupnika. Kot prepovedan povračilni ukrep se šteje vsako neugodno ravnanje ali opustitev delodajalca: redna ali izredna odpoved pogodbe o zaposlitvi, premestitev na slabše delovno mesto, neizplačilo nagrad ali napredovanja, znižanje plače, disciplinsko kaznovanje, odrekanje izobraževanja, ustrahovanje in trpinčenje na delovnem mestu (mobing).

Temeljni kamen sodnega varstva predstavlja obratno dokazno breme iz 22. člena ZZPri. Če prijavitelj v delovnem ali drugem sodnem postopku izkaže, da je podal prijavo in da je bil po tem deležen neugodnega ukrepa s strani delodajalca, se zakonsko domneva, da je bil ukrep povračilen in zato nezakonit. Celotno dokazno breme prevzame delodajalec, ki mora z objektivnimi in verodostojnimi dokazi dokazati, da je bil ukrep v celoti upravičen ter utemeljen na razlogih, ki nimajo nikakršne povezave s prijavo.

Brez neodvisne digitalne revizijske sledi, ki dokazuje, da odločevalci v podjetju niso poznali identitete prijavitelja, delovna sodišča v Sloveniji nemudoma razveljavijo odpoved, naložijo reintegracijo delavca na delovno mesto ter delodajalcu naložijo izplačilo vseh nadomestil plač s pripadajočimi obrestmi in odškodnino za nepremoženjsko škodo.

Globe do 100.000 € za pravne osebe in kazenska odgovornost (26. člen ZZPri)

Zakon o zaščiti prijaviteljev predpisuje izjemno visoke globe, ki sodijo med najstrožje v regiji:

• Globa od 5.000 do 100.000 EUR za velike pravne osebe: Če pravna oseba izvede povračilni ukrep zoper prijavitelja, prepreči ali poskuša preprečiti prijavo, ali razkrije zaupnost identitete prijavitelja (26. člen ZZPri).
• Globa od 4.000 do 60.000 EUR za srednje družbe: Za enake kršitve, storjene s strani srednjih gospodarskih družb.
• Globa od 3.000 do 20.000 EUR za male družbe in mikro subjekte: Za povračilne ukrepe ali kršitev zaupnosti.
• Globa od 3.000 do 10.000 EUR za odgovorno osebo: Za direktorja, člana uprave ali poslovodjo, ki povzroči povračilni ukrep ali krši določbe o zaupnosti.
• Globa od 2.000 do 20.000 EUR za nevzpostavitev notranje poti: Če zavezanec sploh ne vzpostavi notranje poti ali ne imenuje zaupnika v zakonskem roku.
• Globa za zlonamerne prijave: Posameznik, ki zavestno vloži lažno ali zlonamerno prijavo, se kaznuje z globo od 400 do 4.000 EUR, poleg civilne in kazenske odškodninske odgovornosti.

Globe KPK imajo poleg neposrednih finančnih posledic tudi hude sekundarne učinke, kot so vpis v prekrškovne evidence, izguba certifikatov družbene odgovornosti ter izključitev iz postopkov javnih naročil v Sloveniji in EU.

Sodna praksa delovnih in socialnih sodišč v Sloveniji

Delovna in socialna sodišča v Republiki Sloveniji dosledno uveljavljajo določbe ZZPri ter zagotavljajo učinkovito zaščito prijaviteljev. V primerih odpovedi pogodbe o zaposlitvi imajo delavci možnost vložitve predloga za izdajo začasne odredbe, s katero sodišče zadrži učinkovanje odpovedi ter delodajalcu naloži nadaljnje izplačevanje plače in ohranitev zaposlitve do pravnomočne razsodbe.

Zakon prijavitelju prav tako zagotavlja pravico do brezplačne pravne pomoči ne glede na njegov premoženjski položaj v postopkih uveljavljanja sodnega varstva pred povračilnimi ukrepi. Delodajalci, ki zanemarijo skladnost z ZZPri, se znajdejo v dolgotrajnih sodnih postopkih z visokimi stroški sodnih izvedencev in obrestovanih odškodnin.

Letno poročanje in statistične obveznosti delodajalcev do KPK (11. člen ZZPri)

Posebna obveznost, ki jo določa 11. člen ZZPri in jo podjetja pogosto spregledajo, je zahteva po rednem letnem poročanju Komisiji za preprečevanje korupcije (KPK). Vsi zavezanci v zasebnem in javnem sektorju morajo do 1. marca tekočega leta KPK posredovati zbirno statistično poročilo o številu prejetih notranjih prijav v preteklem koledarskem letu, področjih zatrjevanih kršitev, sprejetih ukrepih ter morebitnih zaznanih povračilnih ukrepih.

To poročilo ne sme vsebovati osebnih podatkov ali informacij, ki bi omogočale identifikacijo prijaviteljev ali prijavljenih oseb, temveč izključno anonimizirane agregirane podatke. Neoddaja letnega poročila ali posredovanje neresničnih statističnih podatkov pomeni prekršek, za katerega KPK izreka globe vodstvu podjetja.

Platforma UNOVOX avtomatsko generira letno statistično poročilo v formatu, predpisanem s strani KPK, s čimer odgovornim osebam in zaupniku prihrani administrativno delo ter prepreči tveganje prekrškovnih sankcij zaradi zamude roka za oddajo.

Standardi digitalne forenzike in celovitost dokaznega gradiva

Obravnava prijav, ki se nanašajo na sume korupcijskih kaznivih dejanj, nepravilnosti pri javnih naročilih, goljufije ali kršitve konkurenčnega prava, zahteva brezhibno vodenje dokaznega gradiva. Če digitalni dokazi (elektronska sporočila, finančne tabele, pogodbe) niso zajeti skladno s standardi forenzične celovitosti, so lahko na sodišču izločeni kot neverodostojni.

Sistem UNOVOX omogoča kriptografsko zgoščevanje vseh naloženih datotek z algoritmom SHA-256 in vključuje kvalificirano časovno žigosanje. To preiskovalcem in odvetnikom podjetja zagotavlja neizpodbitno dokazno gradivo, ki zdrži strogo presojo tožilstva in sodišč.

Varstvo osebnih podatkov: skladnost z GDPR in smernicami IP RS

Obdelava osebnih podatkov v sistemu za prijavo kršitev predstavlja eno najbolj občutljivih področij varstva zasebnosti, ki ga strogo nadzira Informacijski pooblaščenec (IP RS). Delodajalec kot upravljavec podatkov mora spoštovati načela zakonitosti, sorazmernosti in najmanjšega obsega podatkov.

Glede uveljavljanja pravic osumljene osebe do dostopa do podatkov (15. člen Splošne uredbe o varstvu podatkov - GDPR) ZZPri določa izrecno omejitev: pravica do seznanitve se začasno omeji ali odloži, če bi njeno uveljavljanje razkrilo identiteto prijavitelja ali ogrozilo preiskovalne postopke. Pred vzpostavitvijo sistema mora zavezanec obvezno izvesti oceno učinka na varstvo podatkov (DPIA).

Koncerni podjetij in hčerinske družbe v Sloveniji

Posebno vprašanje predstavlja delovanje mednarodnih korporacij in skupin podjetij s podružnicami v Sloveniji. V skladu z razlago Evropske komisije in stališčem KPK si lahko skupne vire za notranje prijave delijo le tista podjetja v zasebnem sektorju, ki imajo med 50 in 249 zaposlenih.

Vse gospodarske družbe v Sloveniji, ki imajo 250 ali več zaposlenih, pa morajo imeti povsem avtonomno notranjo pot, lokalno imenovanega zaupnika ter možnost vodenja postopka v slovenskem jeziku. Praksa, da se vse prijave preusmerjajo izključno na krovno družbo v tujini, je po slovenski zakonodaji prekršek, ki se kaznuje po 26. členu ZZPri.

Primerjalna tabela: UNOVOX vs. improvizirane rešitve v slovenski praksi

Naslednja tabela prikazuje ključne tehnične in pravne razlike med profesionalnim sistemom UNOVOX in neustreznimi internimi rešitvami:

Kontrolni seznam v 10 točkah za slovenska podjetja

Za zagotovitev celovite pravne varnosti in preprečitev inšpekcijskih ukrepov KPK se vodstvom slovenskih podjetij priporoča izvedba naslednjih 10 korakov:

1. Preverjanje števila zaposlenih in dejavnosti: Natančen izračun zaposlenih za določitev obveznosti po 9. členu ZZPri (redna delovna razmerja, avtorske in podjemne pogodbe, agencijsko delo).
2. Imenovanje neodvisnega zaupnika: Formalna izbira primerne in neodvisne osebe ter njenega namestnika, brez konflikta interesov z vodstvom podjetja.
3. Izbira certificirane programske opreme: Uvedba namenske platforme s certifikatom ISO 27001, celovito skladnostjo z GDPR ter asimetričnim šifriranjem podatkov.
4. Sprejetje notranjega akta o prijavah: Priprava in uradno sprejetje pravilnika o postopku notranje prijave kršitev in ukrepih za zaščito prijavitelja.
5. Obveščanje zaposlenih in javna objava: Seznanitev zaposlenih s pravilnikom prek intraneta ter objava kontaktnih podatkov zaupnika na spletni strani podjetja.
6. Vzpostavitev večkanalnega sprejema: Zagotovitev možnosti oddaje prijav v pisni obliki prek digitalnega kanala, ustno po telefonu ter z osebnim razgovorom z zaupnikom.
7. Vodenje varne evidence prijav: Vzpostavitev elektronskega registra prijav z zagotovljeno hrambo dokumentacije za dobo 5 let od zaključka postopka.
8. Strogo vodenje zakonskih rokov: Avtomatizacija obveščanja za izdajo potrdila v 7 dneh ter posredovanje končnih povratnih informacij v 3 mesecih.
9. Usposabljanje vodilnega kadra: Redno izobraževanje vodij oddelkov o prepovedi povračilnih ukrepov in načelu obratnega dokaznega bremena.
10. Izvedba ocene učinka na varstvo podatkov (DPIA): Revizija evidenc dejavnosti obdelave ter formalna potrditev varnostnih mehanizmov z vidika GDPR.