Obowiązek dotyczący ochrony zgłaszających naruszenia prawa Unii (tzw. sygnalistów) wynika z przepisów Dyrektywy Parlamentu Europejskiego i Rady 2019/1937 z dnia 23 października 2019 r. Dyrektywa ta reguluje kwestię ochrony osób, które dokonują zgłoszeń nieprawidłowości i naruszeń, o których uzyskały informacje w kontekście związanym z pracą. W jej treści przewidziano, że państwa członkowskie powinny wprowadzić w życie przepisy ustawowe, wykonawcze i administracyjne niezbędne do wykonania przepisów ww. dyrektywy do dnia 17 grudnia 2021 r. (a więc pod koniec ubiegłego roku). W dniu 18 października 2021 r. został udostępniony projekt polskiej ustawy o ochronie osób zgłaszających naruszenia, która ma na celu implementację ww. dyrektywy unijnej. Obecnie jednak projekt ten znajduje się nadal na etapie opiniowania, dlatego w toku legislacyjnym może ulegać jeszcze dalszym zmianom.

Kim jest sygnalista?

Sygnalista to osoba fizyczna, która zgłasza lub ujawnia publicznie informację o naruszeniu prawa uzyskaną w kontekście związanym z pracą. Ochroną jednak nie są objęci wyłącznie pracownicy. Projekt polskiej ustawy wyjaśnia, iż sformułowanie „w kontekście związanym z pracą” oznacza całokształt okoliczności związanych ze stosunkiem pracy lub innym stosunkiem prawnym stanowiącym podstawę świadczenia pracy, w ramach których uzyskano informację o naruszeniu prawa. Chronione są więc także inne osoby, w tym np.: zatrudnieni na podstawie umowy cywilnoprawnej, samozatrudnieni, wspólnicy, stażyści, wykonawcy, podwykonawcy, dostawcy, byli pracownicy czy np. osoby w procesie rekrutacji.

Dyrektywa jak i projekt polskiej ustawy przewidują, że nowe przepisy mają zastosowanie do sygnalistów zgłaszających naruszenie prawa unijnego bądź krajowego w określonych obszarach m.in. takich jak: zamówienia publiczne, zdrowie publiczne, bezpieczeństwo produktów, ochrona konsumentów i konkurencji, ochrona prywatności i danych osobowych czy też ochrona środowiska.

Dodatkowo projekt polskiej ustawy przewiduje, że pracodawca może ustanowić zgłaszanie w zakładzie pracy naruszeń także w innych niż w ww. obszarach, w tym dotyczących obowiązujących u danego pracodawcy regulacji wewnętrznych lub standardów etycznych.

Trzy kanały zgłoszenia naruszenia prawa Unii

Przepisy unijne przewidują możliwość zgłaszania przez sygnalistów nieprawidłowości trzema kanałami:

1. wewnętrznym - w ramach organizacji - założeniem dyrektywy jest, by zachęcać do składania zgłoszeń tym kanałem, zanim zostaną skierowane do organów zewnętrznych, jeśli naruszeniu można skutecznie zaradzić wewnątrz organizacji, a sygnalista uważa, że nie zachodzi ryzyko działań odwetowych; lub
2. zewnętrznym - do właściwego organu publicznego lub organu centralnego; lub
3. w drodze ujawnienia publicznego – tj. podania informacji o naruszeniu opinii publicznej, np. za pośrednictwem platform online lub mediów społecznościowych czy też organizacjom społeczeństwa obywatelskiego, związkom zawodowym lub organizacjom zawodowym i biznesowym.

Jakie obowiązki ciążą na podmiocie, którego dotyczy zgłoszenie?

Przede wszystkim podmioty, których może dotyczyć zgłoszenie powinni zapewnić ochronę sygnalistom w sposób przewidziany w dyrektywie i wydanych na jej podstawie przepisach krajowych. Ochrona ta polega w szczególności na zakazie stosowania wobec zgłaszającego działań odwetowych, a w stosunku pracy oznacza także, że pracownik nie może być niekorzystnie traktowany z powodu dokonania zgłoszenia lub ujawnienia publicznego. Przy czym projekt polskiej ustawy precyzuje, że pod pojęciem niekorzystnego traktowania pracownika uważa się m.in.: odmowę nawiązania stosunku pracy, wypowiedzenie lub rozwiązanie bez wypowiedzenia stosunku pracy, obniżenie wynagrodzenia za pracę, wstrzymanie awansu, zastosowanie środka dyscyplinarnego czy np. przeniesienie pracownika na niższe stanowisko pracy.

Należy wskazać, iż sygnalista w związku z dokonaniem zgłoszenia na podstawie przepisów dyrektywy 2019/1937 nie ponosi odpowiedzialności m.in. za zniesławienie, naruszenie praw autorskich, naruszenie tajemnicy, w tym tajemnicy przedsiębiorstwa, naruszenie przepisów o ochronie danych osobowych czy z tytułu roszczeń odszkodowawczych na podstawie prawa prywatnego, publicznego lub prawa pracy. Warunkiem jest jednak, żeby istniały uzasadnione podstawy by sądzić, że zgłoszenie jest niezbędne do ujawnienia naruszenia zgodnie z dyrektywą.

Dyrektywa wprowadza jednocześnie domniemanie, że jeśli sygnalista poniósł szkodę, to jest ona wynikiem działań odwetowych za dokonanie zgłoszenia. Dlatego wówczas to na osobie, która podjęła działania wyrządzające tę szkodę ciąży obowiązek udowodnienia, że działania były przeprowadzone z uzasadnionych powodów.

Ponadto w przypadku pracodawcy zatrudniającego co najmniej 50 pracowników przewidziano również obowiązek utworzenia wewnętrznego kanału i opracowania procedur, przy wykorzystaniu których pracownicy będą mieli możliwość dokonywania zgłoszeń naruszeń. W tym celu pracodawca powinien ustalić regulamin zgłoszeń wewnętrznych, określający wewnętrzną procedurę zgłaszania naruszeń prawa i podejmowania działań następczych, zgodną z wymogami w ustawie. W myśl założeń projektu ustawy wewnętrzna procedura dotycząca zgłaszania nieprawidłowości ma zatem charakter wewnątrzzakładowego aktu prawa pracy oraz jest przedmiotem uzgodnień z zakładowymi organizacjami związkowymi lub - jeżeli takich organizacji brak jest u pracodawcy – z przedstawicielami pracowników w sposób przyjęty u danego pracodawcy. Pracodawca obowiązany jest również prowadzić rejestr zgłoszeń wewnętrznych. Regulamin zgłoszeń wewnętrznych ma wchodzić w życie po upływie dwóch tygodni od dnia podania go do wiadomości pracowników w sposób przyjęty u danego pracodawcy, a jednocześnie pracodawca każdorazowo jest obowiązany zapoznać pracownika z treścią regulaminu zgłoszeń wewnętrznych przed dopuszczeniem takiego pracownika do pracy.

Projekt ustawy wskazuje także, że pracodawca który zatrudnia mniej niż 50 pracowników zgodnie ze swoją decyzją (na zasadzie dobrowolności) może sam ustalić regulamin zgłoszeń wewnętrznych.

Przetwarzanie danych osobowych sygnalisty

Zasadą ogólną jest, że przetwarzanie danych osobowych sygnalistów (zgłaszających) powinno odbywać się w zgodności z rozporządzeniem RODO[1], jednocześnie dyrektywa upoważnienia kraje członkowskie do ograniczenia jego stosowania w przypadkach koniecznych ze względu na realizację celów dyrektywy.

W projekcie polskiej ustawy zaproponowano zatem wprowadzenie regulacji dotyczącej ochrony danych osobowych sygnalisty, zgodnie z którą dane osobowe oraz inne dane pozwalające na ustalenie tożsamości zgłaszającego będą podlegały ujawnieniu tylko za wyraźną zgodą zgłaszającego. Jednocześnie pracodawca, organ publiczny lub organ centralny, po otrzymaniu zgłoszenia, będzie mógł w celu weryfikacji zgłoszenia oraz podjęcia działań następczych zbierać i przetwarzać dane osobowe osoby, której dotyczy zgłoszenie, nawet bez jej zgody.

Dane osobowe przechowywane w związku ze zgłoszeniem będzie można przetwarzać przez okres 5 lat od daty przyjęcia zgłoszenia.

Od kiedy należy stosować nowe przepisy?

Dla podmiotów zatrudniających od 50 do 249 pracowników przewidziano konieczność wdrożenia obowiązków wskazanych powyżej na dzień 17 grudnia 2023 r., a z kolei w przypadku większych pracodawców (zatrudniających 250 i więcej pracowników) za datę obowiązywania przepisów wskazano dzień 17 grudnia 2021 r., a więc termin ten już upłynął. Podobnie projekt polskiej ustawy (pomimo, iż pozostaje on obecnie na etapie prac legislacyjnych) stanowi, iż realizacja obowiązku ustalenia regulaminu zgłoszeń wewnętrznych przez podmioty w sektorze prywatnym zatrudniające co najmniej 50 i mniej niż 250 pracowników następuje do dnia 17 grudnia 2023 r.

Na koniec warto także podkreślić, że dyrektywa nie nakłada sankcji na podmioty, które nie wdrożą przepisów dyrektywy i w tym względzie odsyła ona do przepisów krajowych. Tymczasem w myśl projektu polskiej ustawy w przypadku podmiotów, które nie ustanowiły wewnętrznej procedury zgłaszania naruszeń prawa i podejmowania działań następczych albo ustanowiona przez nie procedura narusza przepisy ustawy, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 3.

[1] Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych).