Przepisy dotyczące sygnalistów weszły w życie w Polsce w październiku 2024 roku i objęły setki tysięcy pracodawców obowiązkiem stworzenia wewnętrznych kanałów zgłoszeń. Dla wielu firm i pracowników to zupełnie nowe terytorium — z jednej strony obowiązki organizacyjne i prawne, z drugiej realne pytania: kto jest sygnalistą, co mu wolno zgłosić i jak go chronić przed odwetem. Niniejszy poradnik przeprowadza przez całą tę procedurę krok po kroku, opierając się na treści ustawy z dnia 14 czerwca 2024 r. o ochronie sygnalistów.
Co mówi ustawa o sygnalistach — zakres podmiotowy i przedmiotowy
Ustawa o ochronie sygnalistów implementuje unijną dyrektywę 2019/1937 (tzw. dyrektywę o whistleblowerach) i definiuje sygnalistę jako osobę fizyczną, która zgłasza lub ujawnia publicznie informacje o naruszeniu prawa, uzyskane w kontekście związanym z pracą. Brzmi szeroko — i tak jest zamierzone.
Zakres podmiotowy wykracza poza typowe stosunki pracownicze. Sygnalistą może być:
- pracownik zatrudniony na umowę o pracę, ale też zleceniobiorca, stażysta lub wolontariusz,
- osoba ubiegająca się o pracę — jeśli informacje pojawiły się już na etapie rekrutacji,
- udziałowiec, akcjonariusz lub wspólnik spółki,
- wykonawca i podwykonawca, a także osoby pracujące pod ich nadzorem.
Ta szeroka lista oznacza, że ochrona nie jest zarezerwowana wyłącznie dla etatowych pracowników. Ważne jest natomiast, że zgłaszający musi działać w dobrej wierze — czyli mieć uzasadnione podstawy, by sądzić, że informacja jest prawdziwa w chwili zgłoszenia. Świadome przekazywanie fałszywych danych wyklucza ochronę i może skutkować odpowiedzialnością karną.
Zakres przedmiotowy, czyli czego mogą dotyczyć zgłoszenia, obejmuje naruszenia prawa w kilkunastu obszarach: zamówienia publiczne, usługi finansowe, ochrona środowiska, bezpieczeństwo żywności, zdrowie publiczne, prawa konsumentów czy ochrona danych osobowych. Ustawa nie chroni każdego skarżącego — jeśli naruszenie dotyczy wyłącznie przepisów prawa pracy regulujących stosunki wewnątrzzakładowe (np. spóźnienie się kolegi), taka informacja nie kwalifikuje się jako zgłoszenie sygnalisty.
Obowiązki pracodawcy — wewnętrzne kanały zgłaszania naruszeń
Obowiązek wdrożenia procedury wewnętrznej dotyczy podmiotów prywatnych zatrudniających co najmniej 50 osób (według stanu na 1 stycznia lub 1 lipca danego roku) oraz podmiotów publicznych bez względu na liczbę zatrudnionych. Mniejsze firmy w sektorze finansowym — banki, instytucje płatnicze, zakłady ubezpieczeń — wchodzą w zakres ustawy niezależnie od liczby pracowników.
Procedura wewnętrzna musi regulować kilka konkretnych kwestii. Kanały zgłoszeń powinny umożliwiać przyjmowanie informacji ustnie (telefon, spotkanie osobiste) i pisemnie (formularz papierowy lub elektroniczny). Tożsamość sygnalisty jest poufna — dane identyfikujące mogą być ujawnione wyłącznie za jego zgodą lub gdy wymagają tego przepisy prawa. Podmiot przyjmujący zgłoszenie ma 7 dni na potwierdzenie jego otrzymania i nie więcej niż 3 miesiące na podjęcie działań następczych i poinformowanie sygnalisty o wyniku.
Jak ustalić, kto obsługuje zgłoszenia wewnętrzne
Pracodawca może powierzyć obsługę zgłoszeń wewnętrznej jednostce organizacyjnej (np. dział compliance lub prawny), wyznaczonej osobie (np. inspektor ochrony danych lub specjalista ds. etyki) albo podmiotowi zewnętrznemu — o ile zapewnia on poufność i niezależność. Kluczowe jest, aby osoba przyjmująca zgłoszenia nie pozostawała w konflikcie interesów z osobą, której dotyczy informacja.
Procedurę wewnętrzną trzeba uzgodnić ze związkami zawodowymi lub, przy ich braku, z przedstawicielami pracowników. Pracodawcy, którzy nie spełniają tego wymogu, narażają się na grzywnę do 5 000 zł (za niezastosowanie się do ustawy przez podmiot prywatny) — choć sankcje karne przewidziane w ustawie są bardziej dotkliwe: nawet do 3 lat pozbawienia wolności za utrudnianie zgłoszenia lub działania odwetowe.
Dokumentacja i rejestr zgłoszeń
Każde zgłoszenie wewnętrzne musi być rejestrowane. Rejestr powinien zawierać datę przyjęcia, przedmiot zgłoszenia, informację o działaniach następczych i dacie ich zakończenia. Dane przechowuje się przez 5 lat od przyjęcia zgłoszenia. Rejestr nie jest jawny — dostęp do niego mają wyłącznie osoby upoważnione do obsługi procedury.
Ochrona sygnalisty przed działaniami odwetowymi
To serce całej regulacji. Ustawa zakazuje wszelkich działań odwetowych wobec sygnalisty — bezpośrednich i pośrednich. Katalog zakazanych zachowań jest otwarty, ale ustawa wymienia przykłady: wypowiedzenie lub rozwiązanie stosunku pracy, obniżenie wynagrodzenia, degradacja, niekorzystna zmiana miejsca pracy, odmowa awansu, negatywna ocena wyników, skierowanie na wcześniejszą emeryturę, mobbing, dyskryminacja, nadmierne lub nieuzasadnione kontrole.
Ochrona obejmuje też osoby wspierające sygnalistę — świadka, który potwierdza zgłoszenie, lub współpracownika, który pomagał w procedurze. Pracodawca działający w odwecie musi liczyć się z roszczeniami odszkodowawczymi; ustawa przewiduje minimalną kwotę odszkodowania równą trzykrotności przeciętnego miesięcznego wynagrodzenia w sektorze przedsiębiorstw, ogłaszanego przez GUS.
Istotne odwrócenie ciężaru dowodu: jeśli sygnalista uprawdopodobni, że doświadczył działania odwetowego, to na pracodawcy spoczywa obowiązek wykazania, że jego działanie miało inne, legalne przyczyny. W praktyce oznacza to, że firma musi mieć solidną dokumentację każdej decyzji kadrowej dotyczącej osoby, która wcześniej dokonała zgłoszenia.
Procedura zgłoszenia — trzy ścieżki dla whistleblowera
Ustawa przewiduje hierarchię kanałów, choć sygnalista nie jest bezwzględnie zobowiązany do ich stosowania w kolejności. Ma prawo samodzielnie ocenić, która droga jest właściwa w jego sytuacji.
Zgłoszenie wewnętrzne
Pierwszym krokiem jest zwykle zgłoszenie do pracodawcy przez ustanowiony kanał wewnętrzny. Sygnalista powinien opisać naruszenie możliwie precyzyjnie: co się wydarzyło, kiedy, kto był zaangażowany, jakie dokumenty lub dowody mogą potwierdzać informację. Nie musi dysponować pełnią dowodów — wystarczy uzasadnione podejrzenie. Zgłoszenie można złożyć anonimowo, jeśli procedura wewnętrzna to przewiduje; pracodawca nie ma jednak obowiązku rozpatrywania zgłoszeń anonimowych, choć może to zrobić dobrowolnie.
Po potwierdzeniu przyjęcia zgłoszenia (7 dni) pracodawca prowadzi działania następcze, czyli sprawdza informację i podejmuje stosowne kroki. W ciągu 3 miesięcy informuje sygnalistę o wyniku. Jeśli działania następcze nie zostały podjęte lub wynik jest niewystarczający, sygnalista może przejść do kolejnego etapu.
Zgłoszenie zewnętrzne do organu publicznego
Zgłoszenie zewnętrzne kieruje się do właściwego organu publicznego — Rzecznika Praw Obywatelskich pełniącego rolę centralnego organu lub do organów sektorowych (UOKiK, KNF, UODO, Inspekcja Pracy, Inspekcja Ochrony Środowiska i inne, zależnie od rodzaju naruszenia). Sygnalista może złożyć zgłoszenie zewnętrzne bez uprzedniego zgłoszenia wewnętrznego — jeśli obawia się odwetu, jeśli naruszenie jest poważne lub jeśli brak kanału wewnętrznego.
Organ ma obowiązek potwierdzić przyjęcie zgłoszenia w ciągu 7 dni i podjąć działania następcze w terminie 3 miesięcy (z możliwością przedłużenia o kolejne 3 miesiące w sprawach złożonych). Przez cały czas obowiązuje zasada poufności tożsamości sygnalisty.
Ujawnienie publiczne
Ujawnienie publiczne — np. mediom lub opinii publicznej — jest dopuszczalne w sytuacjach wyjątkowych: gdy sygnalista zgłosił sprawę wewnętrznie i zewnętrznie, ale działania nie zostały podjęte, lub gdy istnieje bezpośrednie i oczywiste zagrożenie interesu publicznego. Ważne: sygnalista korzysta z ochrony przy ujawnieniu publicznym wyłącznie wtedy, gdy spełnione są te przesłanki. Bezpośrednie pójście do mediów z pominięciem innych kanałów pozbawia go ochrony ustawowej, chyba że zachodziły okoliczności uzasadniające pilne działanie.
Wdrożenie procedury w organizacji — plan działania krok po kroku
Przygotowanie organizacji do wymogów ustawy wymaga sekwencji konkretnych działań. Poniżej przedstawiamy minimalny zakres prac, który pozwala spełnić wymogi formalne i faktycznie chronić sygnalistów.
Audyt wstępny powinien ustalić, czy dana organizacja mieści się w zakresie podmiotowym ustawy, jakie obszary naruszeń są dla niej istotne i czy istnieją już jakieś mechanizmy zgłaszania (np. skrzynka mailowa do compliance). Na tej podstawie określa się luki do uzupełnienia.
Opracowanie procedury wewnętrznej to etap wymagający zaangażowania działu prawnego lub zewnętrznego doradcy. Procedura musi precyzyjnie określać: dostępne kanały zgłoszeń, osoby odpowiedzialne za obsługę, terminy, zasady poufności i zasady poinformowania sygnalisty o wyniku. Projekt procedury należy skonsultować ze związkami zawodowymi lub przedstawicielami pracowników — czas konsultacji to minimum 5 dni.
Szkolenie pracowników odpowiedzialnych za przyjmowanie zgłoszeń jest absolutnie niezbędne. Osoby te muszą wiedzieć, jak rozmawiać z sygnalistą, jak prowadzić dokumentację i jak reagować w przypadku próby ustalenia tożsamości zgłaszającego przez przełożonych.
Komunikacja wewnętrzna — poinformowanie całego personelu o dostępnych kanałach i zasadach ochrony — to ostatni etap, często pomijany. Procedura nieznana pracownikom nie spełnia swojej funkcji. Informacja powinna być łatwo dostępna, np. w intranecie, na tablicy ogłoszeń lub w regulaminie pracy.
Organizacje, które poważnie traktują etykę biznesową, idą o krok dalej: regularnie testują kanały zgłoszeń, mierzą liczbę zgłoszeń (lub ich brak, co też jest sygnałem) i okresowo przeglądają procedurę pod kątem zgodności z ewentualnymi zmianami w prawie. Ustawa o sygnalistach to nie jednorazowy projekt wdrożeniowy — to trwały element systemu zarządzania zgodnością, który wymaga aktywnego utrzymania.
