Kary za brak procedury zgłoszeń wewnętrznych i za odwet

Katalog czynów zabronionych

Rozdział 6 ustawy zawiera pięć przepisów karnych. Ich adresatem jest osoba fizyczna: członek zarządu, kierownik jednostki, przełożony, pracownik, który miał dostęp do zgłoszenia.

Brak procedury: grzywna, ale nie tylko

Art. 58 dotyczy osoby odpowiedzialnej za ustanowienie procedury, a więc w spółce zwykle zarządu, w jednostce publicznej jej kierownika. „Istotne naruszenie wymogów ustawy” to pojęcie nieostre, ale kilka sytuacji trudno ocenić inaczej: procedura bez wskazania osób przyjmujących zgłoszenia, bez terminów potwierdzenia i informacji zwrotnej, bez informacji o zgłoszeniach zewnętrznych, wprowadzona bez konsultacji z przedstawicielami pracowników albo nigdy nieogłoszona. Adres e-mail podany w regulaminie pracy nie jest procedurą w rozumieniu art. 25.

Grzywna jest orzekana w stawkach dziennych według Kodeksu karnego, więc jej wysokość zależy od dochodów sprawcy. Sankcja karna to jednak mniejszy problem. Większym jest to, że w sporze o odwet organizacja bez procedury nie ma na czym oprzeć obrony: nie wykaże, że zgłoszenie zostało przyjęte, kto je prowadził, ani że decyzja kadrowa zapadła bez wiedzy o zgłoszeniu.

Utrudnianie zgłoszenia: także przez konstrukcję kanału

Art. 54 penalizuje uniemożliwianie i istotne utrudnianie zgłoszenia. W praktyce dotyczy to zastraszania i nacisków, ale przepis nie ogranicza się do zachowań wobec konkretnej osoby. Kanał, który wymaga podania tożsamości wbrew procedurze deklarującej anonimowość, formularz dostępny wyłącznie z konta firmowego dla pracowników bez takiego konta, „przypadkowo” niedziałająca strona zgłoszeń: każde z nich może zostać ocenione jako istotne utrudnianie, jeśli da się wykazać zamiar.

Odwet: sankcja karna obok odszkodowania

Art. 55 przewiduje odpowiedzialność karną za działania odwetowe niezależnie od cywilnej: sygnalista ma prawo do odszkodowania nie niższego niż przeciętne miesięczne wynagrodzenie (art. 14), a sprawca odwetu, na przykład kierownik, który zwolnił pracownika po zgłoszeniu, odpowiada osobiście. Uporczywość, czyli powtarzanie działań wobec tej samej osoby, podnosi górną granicę do 3 lat.

Naruszenie poufności: rok za jedno zdanie

Art. 56 dotyczy ujawnienia tożsamości sygnalisty wbrew przepisom ustawy. Sprawcą może być każda osoba, która tożsamość poznała: członek komisji, pracownik HR, informatyk z dostępem do skrzynki. Ujawnienie na korytarzu „to Kowalski zgłosił” wyczerpuje znamiona. Ten przepis jest najsilniejszym argumentem za ograniczeniem dostępu do tożsamości do minimum i za dziennikiem, który pokazuje, kto miał ten dostęp: pozwala wykluczyć osoby, które go nie miały.

Fałszywe zgłoszenie: bezpiecznik, nie broń

Art. 57 chroni przed nadużyciem kanału, ale wymaga świadomości, że naruszenie nie zaszło. Zgłoszenie oparte na błędnej ocenie, przesadzone albo emocjonalne nie jest fałszywe w rozumieniu tego przepisu. Organizacja, która reaguje na niewygodne zgłoszenie zawiadomieniem o przestępstwie z art. 57, powinna liczyć się z tym, że sąd oceni to jako działanie odwetowe z art. 55.

Koszty, które nie mają numeru artykułu

Sankcje karne rzadko są tym, co realnie boli. Cztery skutki braku działającego kanału są kosztowniejsze:

1. Zgłoszenie zewnętrzne zamiast wewnętrznego. Sygnalista, który nie ufa kanałowi wewnętrznemu albo nie dostał odpowiedzi w terminie, idzie do Rzecznika Praw Obywatelskich, do organu nadzoru albo do prasy. Organizacja traci możliwość wyjaśnienia sprawy u siebie.
2. Spór o odwet z odwróconym ciężarem dowodu. Bez rejestru, dziennika i rozdzielenia tożsamości od treści pracodawca nie ma dowodów na to, że decyzja kadrowa była niezależna od zgłoszenia.
3. Kontrola PIP lub organu nadzoru. Kontrola pyta o procedurę, upoważnienia, rejestr, terminy i konsultacje. Każdy brak jest odnotowany, a łącznie składa się na „istotne naruszenie” z art. 58.
4. Odpowiedzialność za naruszenie ochrony danych. Zgłoszenia to dane wysokiego ryzyka. Wyciek z niezabezpieczonej skrzynki e-mail jest naruszeniem RODO z osobną karą administracyjną, do 4% obrotu.

Co minimalizuje ryzyko

• Procedura zgodna z art. 25, skonsultowana i ogłoszona z dowodem daty.
• Kanał dostępny dla wszystkich sygnalistów, także anonimowo, jeśli procedura tak stanowi.
• Terminy pilnowane przez system, nie przez pamięć jednej osoby.
• Tożsamość sygnalisty rozdzielona od treści, z dostępem na wniosek i dziennikiem, kto ją poznał.
• Upoważnienia na piśmie dla każdej osoby z dostępem.
• Rejestr i dziennik audytu, których nie da się zmienić, bo to one są dowodem przed kontrolą i sądem.

sygnadesk jest zbudowany wokół tej listy: kreator wdrożenia prowadzi przez wymogi procedury, terminy liczy system, tożsamość jest chroniona wnioskiem zatwierdzanym przez drugą osobę, a rejestr i dziennik audytu są niemodyfikowalne i dostępne do eksportu na kontrolę.