Ustawa o sygnalistach - kogo dotyczy i na co muszą się przygotować przedsiębiorcy?

Na początku jednak warto zadać sobie podstawowe pytanie, a mianowicie: kiedy wchodzi w życie ustawa o sygnalistach? Na ten moment nie można precyzyjnie odpowiedzieć na to pytanie, ponieważ konkretny termin zależy od wielu czynników, jak chociażby tego, kiedy projekt trafi pod obrady Sejmu i jaki przybiorą one obrót. Biorąc jednak pod uwagę aktualny etap procesu legislacyjnego (projekt ustawy o sygnalistach trafił pod obrady Stałego Komitetu Rady Ministrów), jak również wzmożoną aktywność ustawodawcy względem aktualnego projektu, można spodziewać się ogłoszenia ustawy w perspektywie najbliższych kilku miesięcy.

Natomiast - zgodnie z  treścią art. 62 projektu ustawy o sygnalistach z 2023 r. - ustawa wejdzie w życie po upływie 2 miesięcy od dnia ogłoszenia (z wyjątkiem kilku wymienionych w powołanym artykule przepisów). Warto w tym miejscu pochylić się właśnie nad tematem owych wyjątków od zasady dotyczącej wejścia ustawy w życie.

Zgodnie z wolą ustawodawcy, wyrażoną w projekcie z lipca 2023 r. zarówno:

• obowiązki pracodawcy dotyczące wdrożenia wewnętrznej procedury zgłaszania naruszeń prawa i podejmowania działań następczych;
• jak i obowiązki organu publicznego dotyczące ustalenia procedury przyjmowania zgłoszeń zewnętrznych;

muszą zostać zrealizowane w ciągu 14 dni od ogłoszenia ustawy. To rozwiązanie bardziej korzystne niż zaproponowane w projekcie z marca 2023 r., zgodnie z którym przepisy te miały wejść w życie z dniem następującym po dniu ogłoszenia ustawy. Jak wskazał bowiem ustawodawca w uzasadnieniu do projektu ustawy z lipca 2023 r.: „z uwagi na upływ terminu transpozycji Dyrektywy, przyjęte rozwiązanie jest optymalną propozycją zapewniającą niezbędny dla podmiotów publicznych i prywatnych oraz organów publicznych okres na przygotowanie się do wdrożenia obowiązków nałożonych projektowaną ustawą. W konsekwencji, obowiązek ustalenia procedury zgłoszeń wewnętrznych oraz zewnętrznych zostanie nałożony 1,5 miesiąca przed wejściem w życie przepisów umożliwiających dokonywanie zgłoszeń oraz wprowadzających ochronę sygnalisty”.

Czy rzeczywiście, 14-dniowy termin jest wystarczającym okresem dla podmiotów prywatnych i publicznych do wdrożenia nowych regulacji – tu odpowiedź da praktyka najbliższych miesięcy. Bezsprzecznie jednak, biorąc pod uwagę zakres obowiązków, które ustawodawca nakłada na pracodawców w omawianej ustawie, warto, aby nie zwlekali oni z przygotowaniem się do wdrożenia nowych instrumentów.

Przypomnijmy, że na podstawie dyrektywy Parlamentu Europejskiego i Rady (UE) 2019/1937 z dnia 23 października 2019 r. w sprawie ochrony osób zgłaszających naruszenia prawa Unii (Dz. U. UE L. 2019.305.17, dalej jako: „Dyrektywa”) kraje członkowskie Unii Europejskiej zobowiązane są dokonać implementacji zapisów Dyrektywy do krajowych porządków prawnych. Zgodnie z motywami Dyrektywy oraz uzasadnieniem Projektu, wprowadzenie regulacji dotyczących zgłaszania naruszeń prawa „(…) służyć ma lepszemu egzekwowaniu prawa i polityk Unii Europejskiej poprzez skuteczniejsze wykrywanie przypadków naruszeń, prowadzenie postępowań wyjaśniających i ściganie”.

Ustawodawca przewiduje trzy tryby zgłaszania naruszeń:

• wewnętrzną procedurę zgłaszania naruszeń;
• zewnętrzną procedurę zgłaszania naruszeń;
• oraz tryb ujawnienia publicznego.

Zainteresowanie przedsiębiorców wzbudza przede wszystkim tryb zgłoszeń wewnętrznych, bowiem wiązać się to będzie dla niektórych z nich z obowiązkiem stworzenia wewnętrznych procedur.

Zgodnie z projektem ustawy o sygnalistach z 2021 r., w pierwszej kolejności do wdrożenia wewnętrznych regulacji służących ochronie sygnalistów, zobowiązani mieli być przedsiębiorcy zatrudniający co najmniej 250 pracowników. Dopiero w kolejnym kroku, przedmiotowe regulacje objąć miały również tych przedsiębiorców, którzy zatrudniają od 50 do 249 pracowników. Co jednak istotne, w projekcie ustawy o sygnalistach z 2023 r. zrezygnowano ze stopniowego wdrażania ustawowych regulacji  i wskazano  wprost (w treści art. 23 ust. 1 projektu), że przepisy dot. procedury zgłoszeń wewnętrznych stosuje się do podmiotu prawnego, na rzecz którego wykonuje lub świadczy pracę co najmniej 50 osób.

Z perspektywy pracodawców, najistotniejsze postanowienia dotyczą z pewnością treści procedury zgłoszeń wewnętrznych, która powinna zostać przyjęta w danym zakładzie pracy, która powinna określać w szczególności:

• wewnętrzną jednostkę organizacyjną lub osobę upoważnioną do przyjmowania zgłoszeń o naruszeniu prawa;
• sposoby przekazywania zgłoszeń przez zgłaszającego (wraz z jego adresem do kontaktu);
• bezstronną, wewnętrzną jednostkę organizacyjną lub osobę, upoważnioną do podejmowania działań następczych (w tym również weryfikacji zgłoszenia i podejmowania kontaktu ze zgłaszającym);
• obowiązek potwierdzenia zgłaszającemu przyjęcia zgłoszenia w terminie 7 dni od dnia jego otrzymania, jak również obowiązek podjęcia tzw. działań następczych i termin przekazania zgłaszającemu informacji zwrotnej (nie dłuższy niż 3 miesiące od potwierdzenia przyjęcia zgłoszenia);
• zrozumiałe i łatwo dostępne informacje na temat dokonywania zgłoszeń zewnętrznych do organów publicznych.

Nadto w regulaminie będzie można zawrzeć dodatkowe zapisy, określające m. in. system zachęt do korzystania przez pracowników z procedury zgłoszeń wewnętrznych.

Co istotne, pracodawca będzie musiał wskazać również rodzaj i sposób podejmowania działań następczych, które zgodnie z art. 2 pkt 1) projektu ustawy o sygnalistach z 2023 r. oznaczają „(…) działania podjęte przez podmiot prawny lub organ publiczny w celu oceny prawdziwości informacji zawartych w zgłoszeniu oraz w celu przeciwdziałania naruszenia prawa będącemu przedmiotem zgłoszenia, w szczególności przez postępowanie wyjaśniające, wszczęcie kontroli lub postępowania administracyjnego, wniesienie oskarżenia, działanie podjęte w celu odzyskania środków finansowych lub zamknięcie procedury realizowanej w ramach wewnętrznej procedury zgłaszania naruszeń prawa i podejmowania działań następczych lub procedury przyjmowania zgłoszeń zewnętrznych i podejmowania działań następczych”.

Co ważne, procedura zgłoszeń wewnętrznych powinna zostać skonsultowana przez pracodawcę z zakładową organizacją związkową lub z przedstawicielami pracowników. Jest to etap obowiązkowy, a ustawodawca nie wprowadził tutaj możliwości pominięcia tego kroku.

Osoba dokonująca zgłoszenia naruszenia prawa podlegać będzie ochronie ustawowej, wskazującej przede wszystkim na zakaz prowadzenia tzw. działań odwetowych przez pracodawcę. Tyczy się to wszystkich pracodawców, niezależnie od wybranego przez pracownika trybu dokonania zgłoszenia naruszenia prawa.

Zgodnie z treścią art. 2 pkt 2) projektu ustawy z 2023 r., przez działanie odwetowe należy rozumieć „(…) bezpośrednie lub pośrednie działanie lub zaniechanie w kontekście związanym z pracą, które jest spowodowane zgłoszeniem lub ujawnieniem publicznym i które narusza lub może naruszyć prawa zgłaszającego lub wyrządza lub może wyrządzić nieuzasadnioną szkodę zgłaszającemu, w tym niezasadne inicjowanie uciążliwych postępowań przeciwko zgłaszającemu”. Oznacza to, że wobec osoby dokonującej zgłoszenia nie mogą być wyciągane negatywne konsekwencje z tego tytułu, które przykładowo wymienione zostały w art. 12 ust. 1 projektu. W szczególności wskazuje się tutaj na:

• odmowę nawiązania stosunku pracy;
• wypowiedzenie lub rozwiązanie bez wypowiedzenia stosunku pracy;
• czy też obniżenie wynagrodzenia za pracę.

Zaznaczyć jednak należy, że pracodawca w dalszym ciągu, po dokonanym zgłoszeniu, będzie mógł np. wypowiedzieć pracownikowi umowę o pracę, jednakże wobec odwrócenia ciężaru dowodzenia, powinien on być wówczas przygotowany by w razie wniesienia odwołania przez pracownika móc wykazać powody swojej decyzji, które muszą być obiektywne i nie mogą być powiązane z dokonanym zgłoszeniem. Każdorazowo w tym przypadku, o działaniu pracodawcy, decydować muszą inne uzasadnione czynniki, niezwiązane z dokonanym zgłoszeniem.

Przesłanką ochrony osoby dokonującej zgłoszenia jest jej przekonanie o prawdziwości przekazywanej informacji w momencie dokonywania zgłoszenia, a także o tym, że jest to informacja o naruszeniu prawa. W przypadku niewypełnienia tych przesłanek pracownik dokonujący zgłoszenia nie korzysta z ochrony ustawowej i podlegać może odpowiedzialności karnej, w tym grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 2.

W kontekście ochrony sygnalistów - warto wspomnieć o nowym rozwiązaniu, wprowadzonym przez ustawodawcę w projekcie ustawy o sygnalistach z 2023 r. Zgodnie z treścią art. 37 ust. 1 projektu ustawy, organ publiczny właściwy do podjęcia działań następczych, po uprawdopodobnieniu zaistnienia naruszenia prawa wydaje, nie później niż w terminie 30 dni od dnia otrzymania zgłoszenia zaświadczenie, w którym potwierdza, iż zgłaszający podlega ochronie określonej w przepisach rozdziału 2 (czyli w przepisach dotyczących zakazu stosowania środków odwetowych i środków ochrony). Co istotne, organ uprawniony jest do odmowy wydania zaświadczenia, jeśli  zgłaszający nie uprawdopodobni w sposób dostateczny wystąpienia naruszenia prawa lub nie spełnia przesłanek, o których mowa w art. 6 - nie miał uzasadnionych podstaw, by sądzić, że będąca przedmiotem zgłoszenia lub ujawnienia publicznego informacja dotyczy interesu publicznego i jest prawdziwa w momencie dokonywania zgłoszenia lub ujawnienia publicznego i że informacja taka stanowi informację o naruszeniu prawa.

Komentujący projekt ustawy o sygnalistach z 2023 r. wskazują, że rozwiązanie to (a więc: tak znaczne oddzielenie w czasie momentu złożenia zawiadomienia i objęcia sygnalisty ochroną przed środkami odwetowymi), może spowodować znaczne ograniczenie korzystania z tego instrumentu przez pracowników.

Ważną kwestią pozostaje także ochrona danych osobowych osób dokonujących zgłoszenia, ale również osób, których te zgłoszenia dotyczą.

Zgodnie z art. 5 ust. 1 lit. c) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych) (Dz. U. UE L nr 119 z 4.05.2016 r., str. 1, z późn. zm.; dalej jako: „RODO”), przetwarzane dane powinny być w szczególności adekwatne, stosowne i ograniczone do tego co niezbędne (tj. jedynie do realizacji niezbędnego celu, dla którego są one zbierane). Ilość przetwarzania danych powinna być minimalizowana.

W projekcie znalazł się jednak także zapis, który w odniesieniu do zgłoszeń dokonywanych na podstawie nowych przepisów pozwala na wyłączenie stosowania niektórych przepisów RODO. W szczególności dotyczy to kwestii informowania osoby, której dotyczy zgłoszenie, o jego dokonaniu. Dane osobowe takiej osoby można przetwarzać w celu weryfikacji zgłoszenia oraz podjęcia działań następczych nawet bez jej zgody. Pracodawca nie powinien przy tym udostępniać tej osobie danych osobowych podmiotu dokonującego zgłoszenie, tj. nie udostępniać tej osobie źródła informacji, na co wskazywałby przepis art. 14 ust. 2 lit. f) RODO.

Biorąc pod uwagę powyższe zagadnienia, przedsiębiorcy powinni śledzić zaawansowanie prac nad Projektem oraz termin wejścia w życie ustawy. Niewątpliwie, do głównych zadań przedsiębiorców należeć będzie wprowadzenie regulaminu zgłoszeń wewnętrznych oraz poinformowanie zatrudnianych pracowników o tym fakcie. Pracodawca zobowiązany będzie do odpowiedniej ochrony osób zgłaszających naruszenia zarówno pod względem stosunków wynikających z zawartej umowy o pracę (lub podobnych), ale także związanych z ochroną danych osobowych. Bezsprzecznie, zapowiadany projekt ustawy o ochronie sygnalistów stawia przed pracodawcami szereg nowych wyzwań, a rzetelne przygotowanie do nich pozwoli uniknąć lub skutecznie zakończyć spory z instytucjami finansowymi.