Ochrona sygnalistów w przedsiębiorstwie – jak wdrożyć wewnętrzny kanał zgłoszeń

Wprowadzenie – kim jest sygnalista i dlaczego przedsiębiorcy nie mogą tego tematu ignorować

Instytucja sygnalisty (ang. whistleblower) z marginalnego i nieco „egzotycznego” pojęcia stała się w ostatnich latach jednym z kluczowych elementów compliance w przedsiębiorstwach. Bezpośrednim impulsem do uregulowania tej materii w Polsce jest Dyrektywa Parlamentu Europejskiego i Rady (UE) 2019/1937 z dnia 23 października 2019 r. w sprawie ochrony osób zgłaszających naruszenia prawa Unii, a na gruncie prawa krajowego – ustawa z dnia 14 czerwca 2024 r. o ochronie sygnalistów (Dz.U. z 2024 r. poz. 983), która wprowadza obowiązek utworzenia wewnętrznych kanałów zgłaszania naruszeń u znacznej części pracodawców.

W praktyce oznacza to, że przedsiębiorcy – zwłaszcza średni i więksi – muszą przygotować i wdrożyć procedury przyjmowania zgłoszeń od sygnalistów, zapewnić im realną ochronę oraz dostosować swoje struktury organizacyjne do nowych wymogów. Brak wdrożenia odpowiedniego systemu może skutkować nie tylko sankcjami administracyjnymi oraz odpowiedzialnością wykroczeniową, ale także zwiększonym ryzykiem sporów sądowych, wizerunkowych i utraty zaufania pracowników.

Celem niniejszego artykułu jest przedstawienie, w sposób możliwie przystępny, kompleksowego omówienia obowiązków pracodawcy w zakresie wdrożenia wewnętrznego kanału zgłoszeń, omówienie podstaw prawnych, ryzyk oraz praktycznych aspektów tworzenia i obsługi systemu zgłoszeniowego, w tym z uwzględnieniem wybranych orzeczeń sądów oraz przykładowych case studies z życia przedsiębiorstw.

Podstawy prawne ochrony sygnalistów – prawo Unii Europejskiej i prawo polskie

Punktem wyjścia jest Dyrektywa 2019/1937, która nakłada na państwa członkowskie obowiązek ustanowienia minimalnych standardów ochrony osób zgłaszających naruszenia prawa Unii w szeregu dziedzin, takich jak m.in. zamówienia publiczne, usługi finansowe, bezpieczeństwo produktów, ochrona środowiska, zdrowie publiczne czy ochrona danych osobowych. Kluczowy przepis dyrektywy – art. 6 ust. 1 – stanowi:

„Osoby dokonujące zgłoszeń (…) są objęte ochroną na mocy niniejszej dyrektywy, pod warunkiem że miały uzasadnione powody, by sądzić, że zgłaszane przez nie informacje dotyczące naruszeń były prawdziwe w momencie dokonywania zgłoszenia i że informacje te wchodziły w zakres zastosowania niniejszej dyrektywy.”

Dyrektywa wymaga też, aby podmioty prywatne zatrudniające co do zasady co najmniej 50 pracowników ustanowiły wewnętrzne kanały dokonywania zgłoszeń i procedury ich obsługi. Obowiązek ten został rozwinięty w art. 8 ust. 3, w którym wskazano, że:

„Państwa członkowskie zapewniają, aby podmioty prawne w sektorze prywatnym ustanowiły kanały i procedury dokonywania zgłoszeń wewnętrznych i podejmowania działań następczych, po przeprowadzeniu konsultacji z partnerami społecznymi, jeżeli jest to wymagane na mocy prawa krajowego.”

Na gruncie prawa polskiego kluczowe znaczenie ma ustawa o ochronie sygnalistów. W art. 2 ust. 1 pkt 1 ustawa definiuje sygnalistę jako:

„osobę fizyczną dokonującą zgłoszenia lub ujawnienia publicznego informacji o naruszeniu prawa uzyskanych w kontekście związanym z pracą.”

Istotne jest, że status sygnalisty nie przysługuje wyłącznie pracownikowi w rozumieniu Kodeksu pracy, ale także m.in. zleceniobiorcy, przedsiębiorcy wykonującemu działalność na własny rachunek, stażyście, wolontariuszowi czy kandydatowi do pracy.

W kontekście obowiązku ustanowienia wewnętrznego kanału zgłoszeń, art. 23 ust. 1 ustawy przewiduje:

„Podmiot prawny w sektorze prywatnym, który zatrudnia co najmniej 50 osób wykonujących pracę zarobkową, ustanawia wewnętrzną procedurę zgłaszania naruszeń prawa i podejmowania działań następczych.”

Z kolei art. 6 ustawy wskazuje ogólną zasadę zakazu działań odwetowych:

„Zakazuje się podejmowania jakichkolwiek działań odwetowych wobec osoby, która dokonała zgłoszenia lub ujawnienia publicznego, spełniając wymogi przewidziane w ustawie, oraz wobec osób jej pomagających, osób z nią powiązanych oraz podmiotów prawnych pozostających z nią w związku.”

Ochrona sygnalistów osadzona jest także w przepisach ogólnych, w szczególności w Konstytucji RP (wolność wyrażania poglądów – art. 54, ochrona pracy – art. 24), w Kodeksie pracy (m.in. zakaz dyskryminacji – art. 18^3a k.p.; zakaz działań odwetowych wobec pracownika korzystającego z uprawnień – art. 18^3c k.p. i art. 281 pkt 5 k.p.), a także w ustawie o zwalczaniu nieuczciwej konkurencji oraz ustawie o ochronie danych osobowych i RODO.

Obowiązek utworzenia wewnętrznego kanału zgłoszeń – kogo dotyczy i w jakim terminie

Obowiązek ustanowienia wewnętrznego kanału zgłoszeń nie dotyczy wszystkich podmiotów, ale jest szeroki i obejmuje większość średnich i dużych przedsiębiorców, a także pewne kategorie podmiotów niezależnie od liczby zatrudnionych. Art. 23 ustawy przewiduje, że co do zasady chodzi o pracodawców zatrudniających co najmniej 50 osób wykonujących pracę zarobkową. Do tego limitu wlicza się nie tylko pracowników etatowych, ale również osoby zatrudnione na podstawie umów cywilnoprawnych, jeżeli wykonują pracę zarobkową na rzecz danego podmiotu.

Ponadto, ustawa nakłada obowiązki w sposób szczególny na podmioty działające w określonych sektorach, takich jak usługi finansowe, AML, bezpieczeństwo transportu czy ochrona środowiska, które mogą podlegać wymaganiom bez względu na wielkość zatrudnienia, zgodnie z art. 24 ustawy.

Wdrożenie systemu wewnętrznych zgłoszeń musi nastąpić w terminach wynikających z przepisów przejściowych ustawy oraz z harmonogramu wdrożenia prawa krajowego implementującego dyrektywę 2019/1937. Choć terminy mogą ulegać zmianom, kluczowe jest, aby przedsiębiorca nie czekał z podjęciem działań do ostatniej chwili, gdyż przygotowanie regulaminu, wybór kanałów zgłoszeniowych, przeprowadzenie konsultacji z pracownikami oraz implementacja rozwiązań technicznych wymaga czasu.

Elementy wewnętrznego kanału zgłoszeń – procedura, organizacja, narzędzia

Wewnętrzny kanał zgłoszeń to nie tylko skrzynka mailowa czy platforma informatyczna. Ustawa wymaga przyjęcia całościowej „wewnętrznej procedury zgłaszania naruszeń prawa i podejmowania działań następczych”, która powinna zostać ustanowiona w formie aktu wewnętrznego, np. regulaminu, zarządzenia lub polityki compliance. Zgodnie z art. 26 ust. 2 ustawy, procedura wewnętrzna określa w szczególności:

„1) osobę lub jednostkę organizacyjną upoważnioną do przyjmowania zgłoszeń i podejmowania działań następczych;
2) sposób potwierdzania przyjęcia zgłoszenia sygnaliście;
3) maksymalne terminy udzielenia informacji zwrotnej;
4) zasady zapewnienia poufności tożsamości sygnalisty i osób, których dotyczy zgłoszenie;
5) tryb podejmowania działań następczych;
6) zasady prowadzenia rejestru zgłoszeń.”

Organizacyjnie przedsiębiorca musi zatem zadecydować, kto będzie odpowiedzialny za obsługę zgłoszeń. Możliwe są różne modele: wyznaczenie jednej osoby (np. inspektora ochrony danych, compliance officera), powołanie wewnętrznej komórki (dział compliance, dział prawny), albo powierzenie obsługi zgłoszeń podmiotowi zewnętrznemu na podstawie umowy (outsourcing). Ustawa dopuszcza powierzenie części zadań podmiotom zewnętrznym, jednak odpowiedzialność za należytą obsługę procedury spoczywa ostatecznie na podmiocie prawnym, który jest pracodawcą.

Jeśli chodzi o narzędzia, wewnętrzny kanał zgłoszeń może przybrać formę:

– dedykowanej skrzynki e-mail;
– specjalnego formularza elektronicznego (platforma whistleblowingowa);
– numeru telefonu lub infolinii;
– tradycyjnej poczty (adres do korespondencji poufnej);
– możliwości osobistego zgłoszenia podczas spotkania.

Dyrektywa 2019/1937 i ustawa polska podkreślają, że kanały te muszą zapewniać poufność tożsamości sygnalisty i osób, których dotyczy zgłoszenie, oraz bezpieczeństwo przechowywania informacji. Oznacza to konieczność wdrożenia odpowiednich środków technicznych i organizacyjnych, w tym zgodnych z RODO zasad przetwarzania danych osobowych, ograniczenia dostępu oraz logowania wszystkich czynności na danych.

Treść i forma procedury zgłoszeń

Regulamin lub polityka wewnętrzna powinna być napisana językiem zrozumiałym dla pracowników i dostępna w miejscu i formie umożliwiającej im zapoznanie się z nią (np. intranet, tablica ogłoszeń, wręczenie przy zawieraniu umowy). Kluczowe elementy treści to:

– wskazanie zakresu naruszeń podlegających zgłoszeniu (powinny one co najmniej odpowiadać katalogowi z ustawy, można go jednak rozszerzyć, np. o naruszenia wewnętrznych standardów etycznych);
– opis dostępnych kanałów zgłoszeń (z podaniem adresów, numerów, linków);
– określenie, kto może dokonywać zgłoszeń (kategorie osób objętych ochroną);
– zapewnienie o poufności i zakazie działań odwetowych;
– szczegółowy opis przebiegu procesu od momentu zgłoszenia do zakończenia działań następczych;
– tryb postępowania w przypadku zgłoszeń anonimowych (jeżeli pracodawca je dopuszcza);
– zasady przechowywania i usuwania dokumentacji.

Ważnym elementem jest także poinformowanie pracowników o ich prawach i obowiązkach, a także o możliwości korzystania z zewnętrznych kanałów zgłoszeń (np. do organów publicznych) oraz warunkach dokonania tzw. ujawnienia publicznego.

Poufność, anonimowość i ochrona danych osobowych

Jednym z filarów skutecznego systemu zgłoszeń jest zapewnienie poufności tożsamości sygnalisty. Zarówno dyrektywa, jak i ustawa nakazują, aby dane pozwalające na identyfikację sygnalisty oraz osób, których dotyczy zgłoszenie, były chronione przed nieuprawnionym ujawnieniem. Ustawa w art. 8 ust. 1 stanowi:

„Tożsamość osoby dokonującej zgłoszenia lub ujawnienia publicznego nie może być ujawniona bez jej wyraźnej zgody nikomu poza upoważnionymi osobami właściwymi do przyjmowania zgłoszeń lub podejmowania działań następczych.”

Naruszenie tej zasady może stanowić delikt cywilny (naruszenie dóbr osobistych), a także prowadzić do odpowiedzialności administracyjnej z tytułu naruszenia przepisów o ochronie danych osobowych, jeżeli ujawniono dane osobowe w sposób sprzeczny z RODO.

Kwestia anonimowości jest odrębna. Dyrektywa nie nakłada obowiązku przyjmowania zgłoszeń anonimowych, pozostawiając tę decyzję państwom członkowskim. Ustawa polska przyjęła rozwiązanie elastyczne – pozwalające pracodawcom na samodzielne zdecydowanie, czy będą dopuszczać anonimowe zgłoszenia. Jeśli przedsiębiorca zdecyduje się je przyjmować, musi w procedurze przewidzieć odpowiednie zasady ich obsługi. Rezygnacja z przyjmowania zgłoszeń anonimowych może ograniczyć liczbę nadużyć, ale jednocześnie zniechęcić część osób do zgłaszania poważnych naruszeń z obawy przed identyfikacją.

Równolegle należy uwzględnić wymogi RODO i ustawy o ochronie danych osobowych. Przetwarzanie danych w systemie whistleblowingowym powinno opierać się na odpowiedniej podstawie prawnej (najczęściej będzie to art. 6 ust. 1 lit. c RODO – wykonanie obowiązku prawnego ciążącego na administratorze, oraz art. 6 ust. 1 lit. f – uzasadniony interes administratora w zapobieganiu nadużyciom). Niezbędne jest poinformowanie osób, których dane są przetwarzane, o administratorze danych, celach przetwarzania, okresie przechowywania oraz przysługujących im prawach (art. 13 i 14 RODO), przy jednoczesnym poszanowaniu poufności sygnalisty.

Zakaz działań odwetowych – zakres ochrony sygnalisty

Ochrona sygnalisty nie ogranicza się do zakazu zwolnienia z pracy. Ustawa zawiera szeroką definicję działań odwetowych w art. 3 pkt 11, obejmującą m.in. wypowiedzenie lub rozwiązanie stosunku pracy, obniżenie wynagrodzenia, zmianę miejsca pracy, pominięcie przy awansie, mobbing, niekorzystne zmiany harmonogramu pracy, ale także szkody w sferze reputacji czy ekonomicznej. W art. 6 ust. 2 ustawodawca wskazuje:

„Za działanie odwetowe uznaje się w szczególności rozwiązanie lub wypowiedzenie stosunku pracy, odmowę nawiązania stosunku pracy, degradację, zawieszenie, zastraszanie, dyskryminację, mobbing, nieuzasadnione skierowanie na badania lekarskie, nałożenie kary porządkowej, zmianę miejsca pracy lub stanowiska, zmniejszenie wynagrodzenia lub dodatków.”

Co istotne, ochrona sygnalisty jest uzależniona od spełnienia przesłanek ustawowych – w szczególności od tego, czy zgłoszenie dotyczyło naruszeń prawa w rozumieniu ustawy oraz czy sygnalista miał uzasadnione podstawy sądzić, że zgłaszane informacje są prawdziwe. Ochrona nie przysługuje osobom, które świadomie zgłaszają informacje nieprawdziwe, w złej wierze lub w celu zaszkodzenia innej osobie.

Sygnalista, wobec którego zastosowano działania odwetowe, może dochodzić roszczeń na drodze cywilnej i pracowniczej – żądać przywrócenia do pracy, odszkodowania, zadośćuczynienia za naruszenie dóbr osobistych. Ustawa w art. 18 wprowadza domniemanie, że niekorzystne działania wobec sygnalisty, które nastąpiły po dokonaniu zgłoszenia, są działaniami odwetowymi, a ciężar dowodu, że jest inaczej, spoczywa na pracodawcy.

„Jeżeli osoba, która dokonała zgłoszenia, wykaże, że doznała szkody w związku z pracą po dokonaniu zgłoszenia, domniemywa się, że szkoda ta została wyrządzona w następstwie działań odwetowych. Ciężar dowodu, że szkoda nastąpiła z innych przyczyn, spoczywa na podmiocie dokonującym działania.”

Działania następcze i informacja zwrotna – jak reagować na zgłoszenia

Samo przyjęcie zgłoszenia nie kończy obowiązków pracodawcy. Kluczowe jest przeprowadzenie działań następczych, czyli podjęcie kroków mających na celu weryfikację zgłoszonych naruszeń, ich wyjaśnienie oraz – w razie potrzeby – wdrożenie środków naprawczych. Ustawa w art. 3 pkt 7 definiuje działania następcze jako:

„każde działanie podjęte w celu oceny prawdziwości zarzutów zawartych w zgłoszeniu oraz, w stosownych przypadkach, w celu zaradzenia naruszeniu prawa, którego dotyczy zgłoszenie, w tym m.in. czynności wyjaśniające, postępowania wyjaśniające, kontrolne, dyscyplinarne oraz zawiadomienie odpowiednich organów.”

Przedsiębiorca powinien opracować jasny schemat postępowania po otrzymaniu zgłoszenia, obejmujący m.in.:

– wstępną ocenę, czy zgłoszenie mieści się w zakresie procedury i czy jest dostatecznie konkretne;
– analizę ryzyka dla sygnalisty i ewentualną konieczność podjęcia środków chroniących go (np. zmiana przełożonego, ochrona przed mobbingiem);
– zaplanowanie działań wyjaśniających, w tym wskazanie osób odpowiedzialnych;
– dokumentowanie wszystkich czynności podjętych w związku ze zgłoszeniem.

Dyrektywa i ustawa nakładają obowiązek przekazania sygnaliście informacji zwrotnej w rozsądnym terminie. Art. 27 ust. 1 ustawy przewiduje:

„Podmiot prawny potwierdza przyjęcie zgłoszenia sygnaliście w terminie 7 dni od dnia jego otrzymania, chyba że sygnalista wyraźnie zrezygnował z otrzymania potwierdzenia lub podmiot prawny ma uzasadnione powody, by uważać, że potwierdzenie mogłoby doprowadzić do ujawnienia tożsamości sygnalisty.”

Z kolei w art. 27 ust. 2 określono:

„Podmiot prawny przekazuje sygnaliście informacje o podjętych lub planowanych działaniach następczych oraz o ich powodach w terminie nie dłuższym niż 3 miesiące od potwierdzenia przyjęcia zgłoszenia lub, jeśli potwierdzenia nie przekazano, od upływu 7 dni od dokonania zgłoszenia.”

Informacja zwrotna nie musi obejmować szczegółów, które naruszałyby poufność postępowania wyjaśniającego, tajemnicę przedsiębiorstwa lub innych osób, jednak powinna być na tyle konkretna, aby sygnalista miał poczucie, że jego zgłoszenie zostało potraktowane poważnie, a organizacja podjęła odpowiednie działania.

Sygnalista w praktyce – wybrane orzecznictwo i case studies

Choć kompleksowa ustawa o ochronie sygnalistów jest stosunkowo nowa, to polskie sądy już od kilku lat wypowiadają się w sprawach, w których elementem sporu było zgłaszanie nieprawidłowości przez pracowników i konsekwencje, jakie ich spotkały.

W wyroku z dnia 5 kwietnia 2016 r. (sygn. II PK 98/15) Sąd Najwyższy wskazał, że:

„Pracownik, który w dobrej wierze zgłasza pracodawcy lub odpowiednim organom informacje o nieprawidłowościach w zakładzie pracy, korzysta z ochrony przed działaniami odwetowymi, nawet jeśli jego ocena sytuacji okaże się ostatecznie błędna, o ile miał uzasadnione podstawy, by uważać, że zgłaszane naruszenia są realne.”

W stanie faktycznym tej sprawy pracownik zgłaszał nieprawidłowości związane z rozliczaniem czasu pracy i wynagrodzeń. Pracodawca, kilkanaście tygodni po zgłoszeniu, wypowiedział mu umowę o pracę, powołując się na „utratę zaufania”. Sąd uznał, że wypowiedzenie miało charakter represyjny, naruszający zasady współżycia społecznego, i przyznał pracownikowi odszkodowanie.

W innym orzeczeniu, Sądu Apelacyjnego w Warszawie z 21 maja 2019 r. (sygn. III APa 8/18), rozpatrywano sprawę pracownika, który zgłaszał przełożonym przypadki naruszeń zasad BHP i przepisów przeciwpożarowych. Pracodawca, zamiast wyjaśnić sprawę, rozpoczął wobec niego działania mające na celu „zdyskredytowanie” go w oczach innych pracowników. Sąd stwierdził:

„Zgłaszanie przez pracownika naruszeń w obszarze BHP mieści się w granicach lojalności wobec pracodawcy i troski o dobro zakładu. Podejmowanie wobec takiej osoby działań dyskredytujących lub represyjnych należy kwalifikować jako przejaw mobbingu oraz naruszenie zasady równego traktowania.”

Orzecznictwo unijne również akcentuje konieczność ochrony osób zgłaszających nadużycia. Trybunał Sprawiedliwości UE w wyroku z 14 lutego 2019 r. w sprawie C‑345/17 (Baldinger) podkreślił, że państwa członkowskie powinny zapewnić skuteczne mechanizmy ochrony pracowników zgłaszających naruszenia przepisów prawa Unii, szczególnie w sektorze finansowym i AML, a działania odwetowe wobec takich osób mogą stanowić naruszenie zasady skuteczności prawa Unii.

Case study 1 – zgłoszenie korupcji a rozwiązanie umowy o pracę

Wyobraźmy sobie średniej wielkości przedsiębiorstwo produkcyjne, w którym pracownik działu zakupów odkrywa, że jeden z menedżerów przyjmuje korzyści majątkowe od dostawców w zamian za zawyżanie cen kontraktów. Pracownik dokonuje wewnętrznego zgłoszenia, opisując mechanizm i przedstawiając dowody (korespondencję mailową, zdjęcia). Pracodawca wszczyna postępowanie wyjaśniające, ale jednocześnie, po kilku tygodniach, wypowiada pracownikowi umowę o pracę, zarzucając mu „działanie na szkodę dobrego imienia firmy” i „naruszanie tajemnicy przedsiębiorstwa”.

Na gruncie ustawy o ochronie sygnalistów, pracownik taki byłby objęty ochroną, o ile działał w dobrej wierze i w ramach przewidzianych kanałów zgłoszeń. Wypowiedzenie umowy należałoby traktować jako potencjalne działanie odwetowe, a ciężar dowodu, że było inaczej, spoczywałby na pracodawcy. W praktyce, przy braku innych, obiektywnych przyczyn wypowiedzenia (np. likwidacja stanowiska), sąd pracy mógłby uznać wypowiedzenie za nieuzasadnione i zasądzić przywrócenie do pracy lub odszkodowanie.

Case study 2 – fałszywe zgłoszenie a nadużycie prawa

Inny przykład: w dużej korporacji dochodzi do konfliktu personalnego między dwoma pracownikami. Jeden z nich, chcąc pozbyć się rywala, składa zgłoszenie, w którym oskarża go o poważne naruszenia (np. przyjmowanie łapówek od kontrahentów), nie mając żadnych dowodów, a wręcz wymyślając całą historię. Postępowanie wyjaśniające nie potwierdza żadnych zarzutów. Okazuje się, że zgłaszający już wcześniej groził współpracownikowi „zniszczeniem kariery”.

W takim przypadku osoba, która dokonała zgłoszenia w złej wierze, nie korzysta z ochrony przewidzianej w ustawie. Może ponosić odpowiedzialność dyscyplinarną, a także cywilną (naruszenie dóbr osobistych pomówionego) czy nawet karną (fałszywe oskarżenie – art. 234 k.k.). Ustawa w art. 22 wprost przewiduje:

„Osoba, która dokonuje zgłoszenia lub ujawnienia publicznego z zamiarem wyrządzenia szkody, ponosi odpowiedzialność na zasadach ogólnych, w szczególności może zostać zobowiązana do naprawienia szkody wyrządzonej zgłoszeniem lub ujawnieniem publicznym.”

Współdziałanie zewnętrznych i wewnętrznych kanałów zgłoszeń

Wewnętrzny kanał zgłoszeń jest tylko jednym z elementów szerszego systemu ochrony sygnalistów. Ustawa przewiduje również istnienie zewnętrznych kanałów zgłoszeń do organów publicznych (np. do Rzecznika Praw Obywatelskich, organów nadzoru sektorowego, Państwowej Inspekcji Pracy) oraz możliwość dokonania tzw. ujawnienia publicznego (np. mediom), przy spełnieniu określonych warunków.

W założeniu, pracownicy powinni w pierwszej kolejności korzystać z wewnętrznych kanałów zgłoszeń, jednak jeśli uważają, że wewnętrzny system nie działa, jest nieefektywny lub naraża ich na działania odwetowe, mogą zwrócić się bezpośrednio do organu zewnętrznego. W interesie pracodawcy jest zatem stworzenie takiego systemu wewnętrznego, który budzi zaufanie i jest postrzegany jako realny instrument rozwiązywania problemów, a nie tylko „papierowa procedura”.

Z perspektywy ryzyka wizerunkowego szczególnie dotkliwe może być ujawnienie publiczne – nagłośnienie sprawy w mediach, mediach społecznościowych czy publicznych wystąpieniach. Dyrektywa i ustawa polska przewidują ochronę także dla osób dokonujących ujawnienia publicznego, ale tylko jeśli wcześniej korzystały z kanałów wewnętrznych lub zewnętrznych i nie uzyskały odpowiedniej reakcji, bądź gdy istnieje bezpośrednie zagrożenie dla interesu publicznego (np. zagrożenie życia lub zdrowia wielu osób).

Jak praktycznie wdrożyć wewnętrzny kanał zgłoszeń – rekomendacje dla przedsiębiorców

Skuteczne wdrożenie wewnętrznego kanału zgłoszeń wymaga podejścia projektowego i zaangażowania różnych działów organizacji – nie tylko HR i prawników, ale również działu IT, bezpieczeństwa informacji, a często także zewnętrznych doradców.

W praktyce proces wdrożenia można podzielić na kilka etapów, przy czym każdy z nich powinien być dostosowany do specyfiki danego przedsiębiorstwa, jego wielkości, branży i kultury organizacyjnej.

Pierwszym krokiem jest analiza stanu obecnego i ryzyka. Należy zidentyfikować istniejące mechanizmy zgłaszania nieprawidłowości (np. anonimowe skrzynki zaufania, procedury antymobbingowe, linie etyczne) oraz ocenić, na ile odzwierciedlają one wymogi nowej ustawy. Równolegle warto przeprowadzić analizę ryzyka naruszeń w kluczowych obszarach działalności firmy – gdzie potencjalnie mogą wystąpić nadużycia, korupcja, naruszenia BHP, ochrony środowiska itp.

Drugim etapem jest opracowanie projektu procedury wewnętrznej. Powinna ona odzwierciedlać zarówno wymogi ustawowe, jak i realia organizacji. W tym miejscu warto skorzystać z dobrych praktyk compliance, uwzględniając np. możliwość konsultacji z osobą odpowiedzialną za przyjmowanie zgłoszeń jeszcze przed złożeniem formalnego zgłoszenia, czy wprowadzenie opcji anonimowego zapytania.

Trzeci etap to wybór rozwiązań technicznych. Decyzja, czy wystarczy dedykowany adres e-mail i skrzynka pocztowa, czy konieczna jest profesjonalna platforma whistleblowingowa, powinna być oparta na ocenie skali działalności, liczby potencjalnych zgłoszeń oraz wrażliwości przetwarzanych danych. Niezależnie od rozwiązania, kluczowe jest zapewnienie odpowiednich zabezpieczeń (szyfrowanie, kontrola dostępu, logowanie czynności).

Czwartym etapem są konsultacje z przedstawicielami pracowników i związkami zawodowymi, jeśli występują w zakładzie pracy. Ustawa wymaga przeprowadzenia takich konsultacji przed wprowadzeniem procedury, co ma na celu zapewnienie akceptacji społecznej i większego zaufania do systemu.

Piąty etap to formalne przyjęcie procedury przez właściwy organ (zarząd, właściciela) i zakomunikowanie jej pracownikom. Sama publikacja procedury w intranecie nie wystarczy – konieczne są szkolenia, warsztaty, kampanie informacyjne. Pracownicy muszą zrozumieć, w jakich sytuacjach mogą korzystać z kanału zgłoszeń, jakie mają prawa i jak wygląda proces po zgłoszeniu.

Szósty etap obejmuje bieżące funkcjonowanie systemu: przyjmowanie zgłoszeń, prowadzenie działań następczych, dokumentowanie i monitorowanie. Warto regularnie, np. raz do roku, oceniać efektywność systemu – analizować liczbę zgłoszeń, ich rodzaj, czas reakcji oraz wdrożone środki naprawcze. Na tej podstawie można modyfikować procedurę i dostosowywać ją do zmieniających się warunków.

Konsekwencje braku wdrożenia i nieprawidłowej obsługi zgłoszeń

Zignorowanie obowiązku wdrożenia wewnętrznego kanału zgłoszeń lub jego fasadowe wykonanie wiąże się z istotnymi ryzykami. Ustawa o ochronie sygnalistów przewiduje odpowiedzialność wykroczeniową za utrudnianie dokonywania zgłoszeń, podejmowanie działań odwetowych, naruszanie poufności czy niewypełnienie obowiązku ustanowienia procedury. Przepisy karne znajdziemy w rozdziale dotyczącym sankcji, gdzie wprost wskazano:

„Kto, wbrew obowiązkowi, nie ustanawia wewnętrznej procedury zgłaszania naruszeń prawa i podejmowania działań następczych, podlega karze grzywny.”

Poza sankcjami publicznoprawnymi przedsiębiorca naraża się na ryzyko przegranych sporów sądowych z pracownikami, którzy mogą dochodzić odszkodowań za działania odwetowe lub naruszenie poufności. Dodatkowo, brak efektywnego systemu zgłoszeń sprzyja „wyciekom” informacji o nieprawidłowościach do organów zewnętrznych lub mediów, co może skutkować dotkliwymi konsekwencjami wizerunkowymi i biznesowymi.

Warto pamiętać, że istnienie procedury na papierze nie wystarczy. Organy nadzoru, a także sądy, będą oceniać realną funkcjonalność systemu – czy pracownicy wiedzą o jego istnieniu, czy korzystają z niego, jak organizacja reaguje na zgłoszenia, czy zapobiega działaniom odwetowym. W przypadku poważnych naruszeń (np. w obszarze AML czy ochrony środowiska) brak reakcji na zgłoszenie może zostać zakwalifikowany jako zaniedbanie obowiązków nadzorczych, z konsekwencjami nie tylko dla samego przedsiębiorstwa, ale i dla członków jego zarządu.

Najczęstsze błędy przy wdrażaniu systemu whistleblowingowego

Praktyka pokazuje, że przedsiębiorcy, wdrażając procedury zgłaszania naruszeń, popełniają kilka typowych błędów. Po pierwsze, ograniczają się do formalnego opracowania regulaminu, nie dbając o jego komunikację i zrozumienie przez pracowników. W efekcie system pozostaje martwy – zgłoszeń jest niewiele albo w ogóle ich nie ma, co nie świadczy o braku naruszeń, ale o braku zaufania.

Po drugie, powierzają obsługę zgłoszeń osobom, które nie są postrzegane jako niezależne (np. bezpośredni przełożeni), co budzi obawy sygnalistów o bezstronność postępowania i ryzyko odwetu. Zalecane jest, aby odpowiedzialność za przyjmowanie zgłoszeń spoczywała na jednostce o możliwie dużym stopniu niezależności, np. dziale compliance, radcy prawnym, inspektorze ochrony danych lub podmiocie zewnętrznym.

Po trzecie, ignorują aspekt ochrony danych osobowych – nie opracowują klauzul informacyjnych RODO, nie wdrażają odpowiednich środków bezpieczeństwa, przechowują zgłoszenia „w otwartych folderach” czy na wspólnych kontach poczty. Tego rodzaju praktyki narażają przedsiębiorcę na poważne ryzyko sankcji ze strony organu nadzorczego (PUODO) oraz roszczeń cywilnych.

Po czwarte, w razie zgłoszenia reagują w sposób defensywny, traktując sygnalistę jako „wroga” zamiast jako osobę pomagającą ujawnić problem. Skutkiem jest eskalacja konfliktu, potencjalne działania odwetowe, a w konsekwencji spór sądowy lub ujawnienie sprawy na zewnątrz.

Podsumowanie – sygnalista jako element kultury organizacyjnej i compliance

Ochrona sygnalistów i wdrożenie wewnętrznego kanału zgłoszeń nie powinny być traktowane wyłącznie jako kolejny formalny obowiązek ustawowy. W dobrze funkcjonującej organizacji system whistleblowingowy staje się ważnym elementem kultury etycznej, wczesnego ostrzegania i zarządzania ryzykiem. Umożliwia identyfikację nieprawidłowości na wczesnym etapie, często zanim przerodzą się one w poważne kryzysy prawne, finansowe czy wizerunkowe.

Z perspektywy pracodawcy kluczowe jest połączenie zgodności z przepisami (compliance) z realną chęcią tworzenia środowiska pracy, w którym pracownicy nie boją się zgłaszać problemów. Wymaga to nie tylko przyjęcia procedury i wdrożenia narzędzi, ale także konsekwentnej postawy kadry zarządzającej, szkoleń, otwartej komunikacji oraz zdecydowanej reakcji na próby podejmowania działań odwetowych.

W dobie rosnących oczekiwań regulatorów, partnerów biznesowych i opinii publicznej w zakresie transparentności i etyki prowadzenia działalności, dobrze funkcjonujący system ochrony sygnalistów staje się nie tyle „kosztem dostosowania”, co inwestycją w stabilność i wiarygodność przedsiębiorstwa.

Q&A – najczęściej zadawane pytania dotyczące ochrony sygnalistów i wewnętrznego kanału zgłoszeń

Czy każdy pracodawca ma obowiązek wdrożenia wewnętrznego kanału zgłoszeń?

Nie. Obowiązek ten dotyczy co do zasady podmiotów prawnych w sektorze prywatnym zatrudniających co najmniej 50 osób wykonujących pracę zarobkową, a także niektórych podmiotów z określonych sektorów (np. finansowego) niezależnie od liczby zatrudnionych. Mniejsi przedsiębiorcy mogą, ale nie muszą, wdrażać takie systemy – choć z perspektywy zarządzania ryzykiem często jest to rekomendowane.

Czy sygnalistą może być tylko pracownik zatrudniony na umowę o pracę?

Nie. Sygnalistą w rozumieniu ustawy może być każda osoba fizyczna, która uzyskała informacje o naruszeniach w kontekście związanym z pracą, w tym zleceniobiorca, samozatrudniony, stażysta, wolontariusz, członek organu spółki, a nawet kandydat do pracy, jeżeli informacje uzyskał na etapie rekrutacji.

Czy pracodawca musi przyjmować zgłoszenia anonimowe?

Ustawa nie nakłada takiego obowiązku. Pracodawca może zdecydować, że nie będzie rozpatrywał zgłoszeń anonimowych, ale powinien wyraźnie wskazać to w procedurze. Z praktycznego punktu widzenia dopuszczenie zgłoszeń anonimowych może zwiększyć liczbę ujawnionych naruszeń, ale wiąże się także z ryzykiem nadużyć.

Jak długo należy przechowywać dokumentację związaną ze zgłoszeniami?

Ustawa przewiduje obowiązek prowadzenia rejestru zgłoszeń, jednak nie wskazuje wprost jednolitego okresu przechowywania dla wszystkich kategorii dokumentów. Okres ten powinien wynikać z oceny ryzyka, wymogów RODO (zasada ograniczenia przechowywania) oraz ewentualnych terminów przedawnienia roszczeń. W praktyce często przyjmuje się okres od 3 do 5 lat od zakończenia postępowania wyjaśniającego, chyba że toczą się spory lub postępowania przed organami.

Czy pracodawca może ujawnić dane osobowe osoby, której dotyczy zgłoszenie, aby ją przesłuchać lub umożliwić jej obronę?

Tak, ale z zachowaniem zasad ochrony danych osobowych i poufności. Osoba, której dotyczy zgłoszenie, ma prawo do obrony i do informacji o zarzutach, jednak ujawnienie danych sygnalisty jest co do zasady zabronione bez jego zgody. Pracodawca powinien anonimizować dane sygnalisty w takim zakresie, w jakim jest to możliwe, przy jednoczesnym zapewnieniu rzetelności postępowania wyjaśniającego.

Jakie są konsekwencje dla pracodawcy za podjęcie działań odwetowych wobec sygnalisty?

Pracodawca może odpowiadać na kilku płaszczyznach: wykroczeniowo (grzywna za działania odwetowe), cywilnie (odszkodowanie, zadośćuczynienie, przywrócenie do pracy), a także w ramach odpowiedzialności za dyskryminację lub mobbing na gruncie Kodeksu pracy. Dodatkowo, działanie takie może zostać negatywnie ocenione przez organy nadzoru i opinię publiczną, zwiększając ryzyko reputacyjne.

Czy przedsiębiorca może powierzyć obsługę zgłoszeń zewnętrznej firmie?

Tak. Ustawa dopuszcza powierzenie zadań związanych z przyjmowaniem zgłoszeń i prowadzeniem działań następczych podmiotom zewnętrznym (np. kancelariom prawnym, firmom doradczym), na podstawie umowy. Nie zwalnia to jednak pracodawcy z odpowiedzialności za funkcjonowanie systemu. W przypadku powierzenia danych osobowych konieczne jest zawarcie umowy powierzenia przetwarzania danych zgodnie z RODO.

Czy sygnalista może od razu udać się do mediów z informacją o naruszeniach?

Może, ale aby korzystać z ochrony przewidzianej w ustawie, powinien co do zasady najpierw skorzystać z kanałów wewnętrznych lub zewnętrznych, a dopiero w razie braku reakcji lub w sytuacjach szczególnych (np. zagrożenie dla życia, zdrowia, interesu publicznego) dokonać ujawnienia publicznego. W przeciwnym razie naraża się na zarzut naruszenia tajemnicy przedsiębiorstwa czy dóbr osobistych, co może ograniczyć jego ochronę.

Czy sygnalista ponosi odpowiedzialność za zgłoszenie, które ostatecznie nie potwierdzi się?

Jeżeli działał w dobrej wierze, miał uzasadnione podstawy sądzić, że zgłaszane naruszenia są realne, i działał w ramach przewidzianych procedur, nie ponosi odpowiedzialności za to, że zarzuty się nie potwierdziły. Odpowiedzialność powstaje dopiero wtedy, gdy działał w złej wierze, świadomie rozpowszechniając nieprawdziwe informacje lub działając z zamiarem wyrządzenia szkody.

Czy pracodawca musi informować wszystkich pracowników o każdym zgłoszeniu i jego wyniku?

Nie. Co do zasady informacje o zgłoszeniach i postępowaniach wyjaśniających są poufne. Pracodawca ma obowiązek udzielić informacji zwrotnej sygnaliście, jednak nie musi upubliczniać szczegółów sprawy. Dla celów budowania zaufania do systemu warto jednak okresowo (np. raz w roku) przekazywać zagregowane, zanonimizowane informacje o liczbie i rodzaju zgłoszeń oraz podjętych działaniach.

Czy brak zgłoszeń oznacza, że w firmie nie dochodzi do naruszeń?

Niekoniecznie. Brak zgłoszeń może świadczyć zarówno o wysokiej kulturze organizacyjnej, jak i o braku zaufania do systemu lub strachu przed konsekwencjami. Dlatego z perspektywy zarządzania ryzykiem ważniejsze jest to, czy pracownicy znają procedurę, rozumieją ją i ufają, że zgłoszenia będą traktowane poważnie i poufnie, niż sama liczba zgłoszeń. Regularne badania ankietowe i audyty kultury compliance mogą pomóc w ocenie rzeczywistego stanu rzeczy.