Sygnalista w firmie — nowa ustawa i ochrona prawna

Pojęcie sygnalisty weszło do polskiego prawa gospodarczego ze sporym opóźnieniem względem innych krajów Unii Europejskiej. Ustawa o ochronie osób zgłaszających naruszenia prawa, obowiązująca od września 2024 roku, nakłada konkretne obowiązki na pracodawców i jednocześnie przyznaje whistleblowerom szeroki wachlarz zabezpieczeń prawnych. Dla firm oznacza to konieczność wdrożenia procedur, których brak grozi sankcjami. Dla pracowników — realne narzędzie do zgłaszania nieprawidłowości bez ryzyka utraty pracy.

Sygnalista ustawa — czego dokładnie dotyczy regulacja

Dyrektywa unijna 2019/1937, znana powszechnie jako dyrektywa o sygnalistach, wymagała implementacji w Polsce do połowy 2022 roku. Termin ten przesunął się wielokrotnie, a finalna ustawa zaczęła w pełni obowiązywać z opóźnieniem ponad dwóch lat. Przepisy zobowiązują do wdrożenia kanałów zgłoszeniowych pracodawców zatrudniających co najmniej 50 pracowników — w sektorze prywatnym próg ten mógł być stopniowo rozszerzany, jednak w jednostkach sektora finansowego obowiązuje bez względu na wielkość zatrudnienia.

Sygnalistą w rozumieniu ustawy jest osoba fizyczna, która w związku z pracą lub inną aktywnością zawodową uzyskała informacje o naruszeniu prawa i zdecydowała się je ujawnić. Definicja jest szeroka — obejmuje nie tylko pracowników zatrudnionych na umowę o pracę, ale również zleceniobiorców, stażystów, wolontariuszy, a nawet osoby ubiegające się dopiero o zatrudnienie. Przepisy mają więc zastosowanie do całego ekosystemu współpracy z firmą, nie wyłącznie do formalnego stosunku pracy.

Zakres naruszeń objętych ochroną obejmuje m.in. naruszenia prawa zamówień publicznych, przepisów finansowych, środowiskowych, ochrony konsumentów, bezpieczeństwa żywności i produktów, a także korupcję i nadużycia finansowe na szkodę budżetu UE. Ustawa pozostawia jednocześnie pracodawcom możliwość rozszerzenia ochrony na zgłoszenia dotyczące wewnętrznych regulaminów i kodeksów etycznych — jest to jednak fakultatywne.

Jak działa ochrona sygnalistów przed działaniami odwetowymi

Serce całej regulacji stanowi zakaz podejmowania działań odwetowych wobec sygnalisty. Katalog takich działań jest w ustawie zdefiniowany wyczerpująco i obejmuje m.in.:

• wypowiedzenie umowy o pracę lub jej rozwiązanie bez wypowiedzenia,
• obniżenie wynagrodzenia lub pozbawienie premii i innych składników płacy,
• przeniesienie na niższe stanowisko lub ograniczenie zakresu obowiązków,
• wstrzymanie awansu lub dostępu do szkoleń,
• wydanie negatywnej oceny pracowniczej lub niekorzystnej referencji,
• stosowanie mobbingu lub dyskryminacji.

Ochrona zaczyna obowiązywać od momentu dokonania zgłoszenia, a nie od chwili potwierdzenia naruszenia przez właściwy organ. To istotna różnica — sygnalista nie musi czekać na wynik postępowania, żeby korzystać z uprawnień. Ciężar dowodu w przypadku sporu sądowego spoczywa na pracodawcy, który musi wykazać, że podjęte działania nie miały związku z dokonanym zgłoszeniem.

Odszkodowanie i inne środki ochrony prawnej

Sygnalista, wobec którego zastosowano działania odwetowe, może żądać odszkodowania w wysokości nie niższej niż przeciętne miesięczne wynagrodzenie w gospodarce narodowej w roku poprzednim. Górna granica odpowiedzialności nie jest ustawowo określona — oznacza to, że sąd może zasądzić kwotę odpowiadającą rzeczywistej stracie, łącznie z utraconym wynagrodzeniem za okres pozostawania bez pracy.

Poza roszczeniami finansowymi sygnalista może domagać się zadośćuczynienia za szkodę niemajątkową, w tym za krzywdę psychiczną wynikającą z mobbingu lub ostracyzmu w środowisku pracy. Ustawa przewiduje też możliwość domagania się przywrócenia do pracy na poprzednich warunkach, o ile sygnalista tego sobie życzy.

Wdrożenie procedury zgłoszeń wewnętrznych w organizacji

Pracodawca objęty ustawą ma obowiązek ustalić procedurę zgłoszeń wewnętrznych w uzgodnieniu ze związkami zawodowymi, a jeśli tych nie ma — z przedstawicielami pracowników. Brak takiego uzgodnienia lub samodzielne narzucenie procedury przez zarząd stanowi naruszenie przepisów, co może skutkować sankcjami wobec odpowiedzialnych osób fizycznych.

Procedura musi określać przynajmniej kilka elementów: wskazanie podmiotu przyjmującego zgłoszenia, sposób przyjmowania zgłoszeń (anonimowy lub imienny), termin potwierdzenia przyjęcia zgłoszenia — maksymalnie 7 dni od daty wpływu — oraz termin przekazania informacji zwrotnej, który nie może przekroczyć 3 miesięcy od potwierdzenia przyjęcia. Ustawa wymaga też wskazania osoby lub komórki odpowiedzialnej za działania następcze.

Kanały zgłoszeniowe — wymagania techniczne i organizacyjne

Kanał zgłoszeniowy musi zapewniać poufność tożsamości zarówno sygnalisty, jak i osoby, której dotyczy naruszenie. W praktyce oznacza to, że standardowe skrzynki e-mailowe dostępne dla administratora IT pracodawcy nie spełniają wymogów. Wymagane jest rozwiązanie gwarantujące, że do informacji o tożsamości zgłaszającego dostęp mają wyłącznie upoważnione osoby przyjmujące zgłoszenia.

Na rynku funkcjonują dedykowane platformy SaaS spełniające te wymagania — ceny miesięcznych abonamentów zaczynają się od kilkuset złotych dla małych podmiotów, jednak przy dużych organizacjach wdrożenie może wiązać się ze znacznie większym kosztem integracji z systemami wewnętrznymi. Alternatywą jest dedykowana linia telefoniczna lub możliwość osobistego spotkania z wyznaczoną osobą, pod warunkiem zapewnienia poufności.

Firma może też przyjmować zgłoszenia anonimowe, ale nie ma takiego obowiązku — ustawa pozostawia tu decyzję pracodawcy. Jeżeli jednak zdecyduje się przyjmować anonimowe zgłoszenia, musi je traktować tak samo jak zgłoszenia imienne.

Zewnętrzne kanały zgłoszeń i rola Rzecznika Praw Obywatelskich

Sygnalista nie jest ograniczony wyłącznie do ścieżki wewnętrznej. Ustawa przewiduje możliwość zgłoszenia naruszenia bezpośrednio do organu publicznego właściwego dla danej dziedziny prawa — np. Urzędu Komisji Nadzoru Finansowego, Prezesa Urzędu Ochrony Konkurencji i Konsumentów czy inspekcji pracy. Co ważne, sygnalista może pominąć kanał wewnętrzny i od razu zwrócić się do organu zewnętrznego, jeśli ma uzasadnione podstawy sądzić, że zgłoszenie wewnętrzne mogłoby być nieskuteczne lub narazić go na działania odwetowe.

Centralnym organem zewnętrznym wyznaczonym przez ustawę jest Rzecznik Praw Obywatelskich, który ma prowadzić i utrzymywać stronę z informacjami o sposobach dokonywania zgłoszeń zewnętrznych, a także wydawać potwierdzenia przyjęcia zgłoszenia. RPO ma kompetencje do przekazania zgłoszenia właściwemu organowi sektorowemu, jeśli sygnalista nie jest pewien, do kogo powinien kierować sprawę.

Ujawnienie publiczne — czyli bezpośrednie poinformowanie opinii publicznej lub mediów — korzysta z ochrony ustawy tylko w ograniczonych okolicznościach. Sygnalista może skorzystać z tej ścieżki, jeśli wcześniej dokonał zgłoszenia wewnętrznego i zewnętrznego bez adekwatnej reakcji, albo jeśli naruszenie stanowi bezpośrednie zagrożenie dla interesu publicznego lub istnieje ryzyko zniszczenia dowodów.

Zgłaszanie naruszeń a odpowiedzialność karna sygnalisty

Ustawa nie przyznaje sygnalisty nieograniczonego immunitetu. Ochrona przysługuje wyłącznie wtedy, gdy zgłaszający miał uzasadnione podstawy, by sądzić, że informacje są prawdziwe w momencie zgłoszenia — nie wymaga się natomiast absolutnej pewności co do faktów. Oznacza to, że sygnalista działający w dobrej wierze na podstawie dostępnych informacji jest chroniony, nawet jeśli późniejsze postępowanie nie potwierdzi naruszenia.

Ustawa wyraźnie stanowi natomiast, że ochrony nie korzysta ten, kto świadomie zgłosił nieprawdziwe informacje. Taka osoba może ponosić odpowiedzialność cywilną i karną wobec osoby niesłusznie obwinionej. W praktyce oznacza to, że whistleblowing motywowany wyłącznie chęcią zaszkodzenia pracodawcy lub współpracownikowi, bez oparcia w faktach, nie będzie chroniony — i może skutkować roszczeniami zwrotnymi.

Sygnalista nie ponosi też odpowiedzialności za ujawnienie informacji objętych tajemnicą zawodową lub handlową, jeżeli takie ujawnienie było niezbędne do dokonania zgłoszenia i sygnalista miał uzasadnione podstawy sądzić, że ujawnienie informacji było konieczne dla wskazania naruszenia. To istotne zabezpieczenie szczególnie dla pracowników sektorów regulowanych, gdzie dostęp do wrażliwych danych służbowych jest elementem pracy.

Sankcje za utrudnianie zgłoszeń lub stosowanie działań odwetowych to grzywna, kara ograniczenia wolności lub pozbawienia wolności do 3 lat — w zależności od konkretnego czynu. Odpowiedzialność karną ponoszą osoby fizyczne, a nie wyłącznie podmiot jako organizacja, co wyraźnie zwiększa osobistą odpowiedzialność menedżerów.

Rok 2024 i pierwsze postępowania prowadzone na podstawie nowych przepisów pokażą, jak organy ścigania i sądy będą interpretować granice ochrony. Firmy, które już teraz wdrożyły procedury i przeprowadziły szkolenia dla kadry zarządzającej, są w znacznie lepszej pozycji niż te, które czekają na orzecznictwo. Proaktywna kultura zgłaszania nieprawidłowości — traktowana nie jako zagrożenie, lecz jako mechanizm zarządzania ryzykiem — jest dziś standardem w organizacjach, które poważnie podchodzą do zgodności z prawem.