Ustawa o ochronie sygnalistów: kogo dotyczy i od kiedy

Skąd ten obowiązek

Ustawa z dnia 14 czerwca 2024 r. o ochronie sygnalistów (Dz.U. 2024 poz. 928) wdraża dyrektywę Parlamentu Europejskiego i Rady (UE) 2019/1937. Weszła w życie 25 września 2024 r., z wyjątkiem przepisów o zgłoszeniach zewnętrznych do Rzecznika Praw Obywatelskich i organów publicznych, które zaczęły obowiązywać 25 grudnia 2024 r. Polska wdrożyła dyrektywę z prawie trzyletnim opóźnieniem, więc okresu przejściowego dla firm praktycznie nie było: kto podlegał ustawie w dniu jej wejścia w życie, tego dnia powinien już mieć procedurę.

Sercem ustawy są dwa obowiązki podmiotu prawnego: ustanowienie procedury zgłoszeń wewnętrznych i ochrona osoby zgłaszającej przed działaniami odwetowymi. Ten tekst dotyczy pierwszego pytania, które zadaje każdy zarząd i każdy dyrektor jednostki: czy to nas w ogóle dotyczy.

Próg 50 osób: jak liczyć

Procedurę zgłoszeń wewnętrznych ustala podmiot prawny, na rzecz którego według stanu na dzień 1 stycznia lub 1 lipca danego roku wykonuje pracę zarobkową co najmniej 50 osób (art. 23 ust. 1). Trzy elementy tej definicji regularnie zaskakują:

1. Liczą się osoby, nie etaty w rozumieniu prawa pracy. Do liczby wlicza się pracowników w przeliczeniu na pełne etaty oraz osoby świadczące pracę za wynagrodzeniem na innej podstawie niż stosunek pracy, jeżeli nie zatrudniają do tego rodzaju pracy innych osób (art. 23 ust. 2). Umowa zlecenia, umowa o dzieło i jednoosobowa działalność rozliczana fakturą wchodzą do rachunku. Firma z 38 pracownikami i 15 współpracownikami B2B przekracza próg.
2. Dwa dni pomiarowe w roku. Stan sprawdza się 1 stycznia i 1 lipca. Wystarczy, że w jednym z tych dni próg jest osiągnięty. Organizacja sezonowa, która latem rośnie do 60 osób, a zimą spada do 40, podlega ustawie.
3. Próg dotyczy podmiotu prawnego, nie grupy. Trzy spółki po 30 osób nie sumują się do jednego obowiązku, ale każda z nich z osobna może przekroczyć próg w innym terminie. Odwrotnie: spółka-matka nie „załatwia” obowiązku spółek zależnych jednym kanałem, chyba że każda z nich formalnie ustanowi procedurę i wskaże wspólną jednostkę do przyjmowania zgłoszeń. Ustawa dopuszcza wspólną procedurę dla podmiotów prywatnych, u których pracuje od 50 do 249 osób, pod warunkiem umowy między nimi (art. 28).

W praktyce: policz osoby na 1 stycznia i 1 lipca, włącznie z zleceniobiorcami i B2B, dla każdej spółki osobno. Jeśli którakolwiek liczba to 50 lub więcej, ta spółka potrzebuje procedury.

Bez progu: sektory objęte niezależnie od wielkości

Próg 50 osób nie ma zastosowania do podmiotów wykonujących działalność w zakresie usług, produktów i rynków finansowych, przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu, bezpieczeństwa transportu oraz ochrony środowiska, objętych aktami prawnymi wymienionymi w załącznikach do dyrektywy (art. 23 ust. 3). Dotyczy to między innymi banków, SKOK-ów, firm inwestycyjnych, ubezpieczycieli, biur rachunkowych i kancelarii w zakresie, w jakim są instytucjami obowiązanymi w rozumieniu ustawy o przeciwdziałaniu praniu pieniędzy, a także części przewoźników i podmiotów gospodarki odpadami. Pięcioosobowe biuro rachunkowe, które jako instytucja obowiązana stosuje procedury AML, potrzebuje procedury zgłoszeń wewnętrznych tak samo jak bank.

Wyłączenia: małe gminy i powiaty

Przepisów o zgłoszeniach wewnętrznych nie stosuje się do jednostek organizacyjnych gminy lub powiatu liczących mniej niż 10 000 mieszkańców (art. 23 ust. 4). Uwaga na słowo „jednostek”: wyłączenie obejmuje urząd gminy i jej jednostki organizacyjne (szkoły, ośrodki pomocy społecznej, zakłady komunalne), ale wyłącznie w gminach poniżej progu mieszkańców. Gmina licząca 12 000 mieszkańców podlega ustawie w całości, także wtedy, gdy sam urząd zatrudnia 30 osób, bo dla jednostek publicznych decyduje liczba mieszkańców, nie liczba pracowników.

Kto może być sygnalistą

Ustawa definiuje sygnalistę szeroko (art. 4). To osoba fizyczna, która zgłasza lub ujawnia publicznie informację o naruszeniu prawa uzyskaną w kontekście związanym z pracą. Katalog obejmuje pracownika, pracownika tymczasowego, osobę świadczącą pracę na innej podstawie niż stosunek pracy (w tym na umowie cywilnoprawnej), przedsiębiorcę, prokurenta, akcjonariusza lub wspólnika, członka organu osoby prawnej, osobę świadczącą pracę pod nadzorem wykonawcy, podwykonawcy lub dostawcy, stażystę, wolontariusza, praktykanta, funkcjonariusza i żołnierza.

Ochrona obejmuje także osoby, które dopiero ubiegają się o pracę (informacja uzyskana w rekrutacji) oraz osoby, których stosunek prawny już ustał. Sygnalistą jest więc również były pracownik, który zgłasza to, czego dowiedział się w czasie zatrudnienia, i kandydat, który w trakcie rozmowy usłyszał o nieprawidłowości. Kanał zgłoszeń musi być dla tych osób dostępny, co oznacza, że nie może działać wyłącznie w intranecie ani wymagać firmowego konta.

Ochronie podlegają też osoby pomagające w dokonaniu zgłoszenia i osoby powiązane z sygnalistą, na przykład współpracownik albo członek rodziny, jeśli mogą doświadczyć działań odwetowych (art. 21 i art. 22).

Jakie naruszenia obejmuje ustawa

Naruszeniem prawa w rozumieniu ustawy jest działanie lub zaniechanie niezgodne z prawem lub mające na celu obejście prawa w dziedzinach wymienionych w art. 3 ust. 1. Katalog jest zamknięty i obejmuje:

• korupcję,
• zamówienia publiczne,
• usługi, produkty i rynki finansowe,
• przeciwdziałanie praniu pieniędzy i finansowaniu terroryzmu,
• bezpieczeństwo produktów i ich zgodność z wymogami,
• bezpieczeństwo transportu,
• ochronę środowiska,
• ochronę radiologiczną i bezpieczeństwo jądrowe,
• bezpieczeństwo żywności i pasz, zdrowie i dobrostan zwierząt,
• zdrowie publiczne,
• ochronę konsumentów,
• ochronę prywatności i danych osobowych,
• bezpieczeństwo sieci i systemów teleinformatycznych,
• interesy finansowe Skarbu Państwa, jednostek samorządu terytorialnego i Unii Europejskiej,
• rynek wewnętrzny Unii, w tym zasady konkurencji, pomocy publicznej i opodatkowania osób prawnych,
• konstytucyjne wolności i prawa człowieka i obywatela w relacjach z organami władzy publicznej.

Dwie rzeczy warto zapamiętać. Po pierwsze, w toku prac legislacyjnych z katalogu usunięto prawo pracy. Mobbing, dyskryminacja czy nieprawidłowości przy wynagrodzeniach nie są naruszeniem prawa w rozumieniu ustawy, więc osoba, która je zgłasza, nie korzysta z ustawowej ochrony, chyba że sprawa mieści się w innej kategorii (na przykład ochrona danych osobowych albo prawa konstytucyjne w podmiocie publicznym). Po drugie, podmiot prawny może rozszerzyć procedurę o zgłoszenia naruszeń regulacji wewnętrznych lub standardów etycznych (art. 3 ust. 2). Większość organizacji to robi, bo kanał, który odrzuca zgłoszenie o mobbingu jako „nieobjęte ustawą”, traci zaufanie po pierwszym takim przypadku. Trzeba tylko pamiętać, że zgłoszenie w kategorii dodanej przez pracodawcę chroni sygnalistę na podstawie procedury i prawa pracy, a nie na podstawie ustawy.

Czego ustawa nie obejmuje

Ustawy nie stosuje się do informacji objętych tajemnicą zawodową zawodów medycznych i prawniczych, tajemnicą narady sędziowskiej, tajemnicą postępowania karnego oraz do informacji niejawnych (art. 5). Nie obejmuje też zamówień w dziedzinie obronności i bezpieczeństwa w zakresie określonym w ustawie. Radca prawny, który w ramach obsługi klienta dowiaduje się o naruszeniu, nie może go zgłosić z powołaniem na ochronę sygnalisty, jeśli informacja jest objęta tajemnicą zawodową.

Co to oznacza dla kanału zgłoszeń

Definicja sygnalisty i katalog naruszeń przekładają się wprost na wymagania wobec systemu:

• kanał musi być dostępny spoza organizacji i bez konta firmowego, bo sygnalistą może być były pracownik, kandydat, podwykonawca albo wspólnik;
• formularz powinien pozwalać na zgłoszenie poza katalogiem ustawowym, jeśli procedura go rozszerza, i jasno mówić, które zgłoszenia korzystają z ochrony ustawowej;
• rejestr zgłoszeń musi istnieć od pierwszego dnia, w którym podmiot przekroczył próg, bo pierwszy dzień pomiarowy po przekroczeniu jest zarazem dniem, od którego liczy się obowiązek.

Jak napisać i wdrożyć samą procedurę, opisujemy w osobnym tekście o procedurze zgłoszeń wewnętrznych. Terminy, które od tego momentu zaczynają biec, w tekście o terminach ustawowych.