Nowe obowiązki dla przedsiębiorców – ochrona sygnalistów
Nowe obowiązki dla przedsiębiorców nakładają przepisy Dyrektywy Parlamentu Europejskiego i Rady (UE) 2019/1937 z dnia 23 października 2019 r. w sprawie ochrony osób zgłaszających naruszenia prawa Unii (dalej jako „dyrektywa”). Dyrektywa wprowadza m.in. obowiązek zaprojektowania, wdrożenia oraz obsługiwania wewnętrznych kanałów przyjmowania zgłoszeń o naruszeniach. Zakres przedmiotowy dyrektywy obejmuje zgłoszenie naruszeń prawa Unii dotyczące w szczególności takich dziedzin jak: zamówienia publiczne, rynki finansowe, bezpieczeństwo produktów, bezpieczeństwo transportu, ochrona środowiska, bezpieczeństwo żywności, zdrowie publiczne, ochrona konsumentów oraz ochrona prywatności i danych osobowych.
Przepisy dyrektywy stanowią, że w przypadku przedsiębiorstw zatrudniających 250 i więcej pracowników – datą obowiązywania dyrektywy będzie 17 grudnia 2021 r. Dla podmiotów zatrudniających od 50 do 249 pracowników obowiązek ten może być wprowadzony do 17 grudnia 2023 r. Powyższe postanowienia dyrektywy nie obowiązują podmiotów, do których mają zastosowanie akty unijne wymienione w załączniku część I.B i II dyrektywy. Są to regulacje dotyczące m. in. aspektów finansowych oraz AML (przeciwdziałanie praniu pieniędzy i terroryzmowi). W takim przypadku przedsiębiorców obowiązują przepisy dyrektywy niezależnie od liczby zatrudnionych pracowników.
Pomimo braku jeszcze projektu polskiej ustawy o ochronie sygnalistów, dyrektywa wyznacza minimalne normy w zakresie utworzenia kanałów dokonywania zgłoszeń nieprawidłowości oraz związanych z tym procedur, a także ochrony sygnalistów przed działaniami odwetowymi.
Do najważniejszych obowiązków pracodawców należą:
- utworzenie poufnego i bezpiecznego wewnętrznego kanału dokonywania zgłoszeń;
- wyznaczenie odpowiedniej osoby lub działu do przyjmowania zgłoszeń oraz podejmowania działań następczych;
- prowadzenie działań następczych;
- prowadzenie rejestru zgłoszeń;
- ustanowienie ochrony przed działaniami odwetowymi;
Wdrożenie przepisów dyrektywy należy zacząć od zastanowienia się nad wyborem najbezpieczniejszych kanałów dokonywania zgłoszeń, gwarantujących anonimowość i pełną poufność danych sygnalisty oraz uniemożliwiający uzyskanie do nich dostępu w przyszłości. Przedsiębiorca sam decyduje, jakiego rodzaju kanały dokonywania zgłoszeń ustanowi. Kanały powinny umożliwiać dokonywanie zgłoszeń na piśmie bądź ustnie. Przykładem kanałów dokonywania zgłoszeń na piśmie może być: przekazywanie zgłoszeń drogą pocztową, za pośrednictwem fizycznych skrzynek na skargi, stworzenie dedykowanej skrzynki poczty elektronicznej, na którą sygnaliści będą mogli zgłaszać naruszenia albo skorzystanie ze specjalnych platform zgłoszeniowych. Zgłoszenie ustne może być dokonywane na przykład za pośrednictwem gorącej linii lub innych środków komunikacji głosowej. Na wniosek sygnalisty zgłoszenie naruszeń może również odbywać się również za pośrednictwem bezpośrednich spotkań.
Kolejną kwestią, nad którą przedsiębiorcy powinni się zastanowić – jest to wybór bezstronnych osób lub działu, które z należytą starannością będą przyjmować i rozpatrywać zgłoszenia sygnalistów, w tym komunikować się z sygnalistą, zwracać się do sygnalisty o wyjaśnienia oraz dalsze informacje, a także przekazywać informacje zwrotne. Funkcję taką mogą sprawować osoby z wewnątrz przedsiębiorstwa, jak również osoby trzecie. Takimi osobami mogą być m.in. dyrektor organizacji lub członek zarządu, zewnętrzni doradcy, audytorzy, przedstawiciele związków zawodowych oraz kancelarie prawne.
Działania następcze – są to działania podjęte przez odbiorcę zgłoszenia w celu oceny prawdziwości zarzutów zawartych w zgłoszeniu oraz ustalenia, czy doszło do naruszenia. W przypadku zidentyfikowania naruszenia niezbędne będzie podjęcie działań takich jak: wszczęcie dochodzenia wewnętrznego, prowadzenie postępowania wyjaśniającego, przekazywanie informacji zwrotnych na temat rozpatrywanego zgłoszenia, przekazanie sprawy do właściwych organów państwowych, czy też zamknięcie postępowania z powodu braku wystarczających dowodów lub z innych powodów. Przy tym warto zaznaczyć, że przetwarzanie danych osobowych osoby zgłaszającej naruszenie w tym wymiana lub przekazywanie danych osobowych przez właściwe powinno być dokonywane zgodnie z RODO. Tożsamość sygnalisty oraz informacje uzyskane podczas rozpatrzenia zgłoszenia mogą być znane wyłącznie osobom uprawnionym, chyba że informacje te były ujawnione za zgodą osoby zgłaszającej naruszenie lub w przypadkach przewidzianych w prawie krajowym lub unijnym.
Przepisy dyrektywy nakładają na podmioty rozpatrujące zgłoszenia dodatkowy obowiązek w postaci prowadzenia rejestru zgłoszeń, w którym będą rejestrowane szczegółowe informacje dotyczące każdego zgłoszenia, zgodnie z wymogami w zakresie poufności. W przypadku zgłoszeń telefonicznych lub w formie spotkania zgłoszenie za zgodą sygnalisty może być udokumentowane nagraniem lub protokołem.
Oprócz ustanowienia kanałów oraz wdrożenia procedur zgłaszania naruszeń dyrektywa zobowiązała do ustanowienia skutecznej ochrony sygnalistów przed działaniami odwetowymi. Zakazane jest podejmowanie wszelkich form działań odwetowych, w tym gróźb i prób takich działań, które polegają m.in na dyskryminacji, niekorzystnym lub niesprawiedliwym traktowaniu, mobbingu, nałożeniu kary finansowej lub zwolnieniu. Ochrona ta powinna obejmować nie tylko pracowników, ale także osób w niestandardowych stosunkach pracy wolontariuszy i stażystów, bez względu na to, czy otrzymują wynagrodzenie.
Wdrożenie przepisów dyrektywy może stworzyć szereg wyzwań dla przedsiębiorcy, dlatego ma on już teraz zastanowić się nad tym, jak ustanowić skuteczne procedury dokonywania zgłoszenia nieprawidłowości przez sygnalistów oraz zapewnić należytą ochronę przed działaniami odwetowymi, zgodnie z wymaganiami nałożonymi dyrektywą.