Ustawa o sygnalistach - kogo dotyczy i na co muszą się przygotować przedsiębiorcy?

Zgodnie z zapisami Dyrektywy oraz Projektu, co do zasady obowiązani do wprowadzenia niezbędnych wewnętrznych regulacji dotyczących procedury zgłaszania naruszeń będą w pierwszej kolejności przedsiębiorcy zatrudniający co najmniej 250 pracowników, a od dnia 17 grudnia 2023 r. także średni przedsiębiorcy, czyli zatrudniający od 50 do 249 pracowników, natomiast ustawodawca przewiduje także dyspozytywne wprowadzanie takich rozwiązań przez mniejszych przedsiębiorców.

W regulaminie, zgodnie z art. 29 ust. 1 Projektu, pracodawca obligatoryjnie wskaże:

1. podmiot wewnętrzny upoważniony przez pracodawcę do przyjmowania zgłoszeń,
2. sposoby przekazywania zgłoszeń,
3. informację, czy procedura wewnętrzna obejmuje przyjmowanie zgłoszeń anonimowych.

Nadto w regulaminie będzie można zawrzeć dodatkowe zapisy, określające m. in. wyszczególnienie innych niż pracownicy osób, od których przyjmowane będą zgłoszenia zgodnie z regulaminem zgłoszeń wewnętrznych, takich jak: byli pracownicy lub osoby świadczące pracę na rzecz pracodawcy na innej podstawie niż stosunek pracy.

Pracodawca będzie musiał także wskazać rodzaj i sposób podejmowania działań następczych, które zgodnie z art. 2 pkt 1) Projektu oznaczają „działania podjęte przez pracodawcę lub organ publiczny w celu oceny prawdziwości zarzutów zawartych w zgłoszeniu oraz, w stosownych przypadkach, w celu przeciwdziałania naruszenia prawa będącemu przedmiotem zgłoszenia, w tym przez dochodzenie wewnętrzne, postępowanie wyjaśniające, wniesienie oskarżenia, działanie podjęte w celu odzyskania środków finansowych lub zamknięcie procedury przyjmowania i weryfikacji zgłoszeń”.

Co ważne, regulamin zgłoszeń wewnętrznych powinien zostać skonsultowany przez pracodawcę z zakładową organizacją związkową lub z przedstawicielami pracowników. Jest to etap obowiązkowy, a ustawodawca nie wprowadził tutaj możliwości pominięcia tego kroku.

Osoba dokonująca zgłoszenia naruszenia prawa podlegać będzie ochronie ustawowej, wskazującej przede wszystkim na zakaz prowadzenia tzw. działań odwetowych przez pracodawcę. Tyczy się to wszystkich pracodawców, niezależnie od wybranego przez pracownika trybu dokonania zgłoszenia naruszenia prawa.

Zgodnie z treścią art. 2 pkt 2), przez działanie odwetowe należy „rozumieć bezpośrednie lub pośrednie działanie lub zaniechanie, które jest spowodowane zgłoszeniem lub ujawnieniem publicznym i które narusza lub może naruszyć prawa zgłaszającego lub wyrządza lub może wyrządzić szkodę zgłaszającemu”. Oznacza to, że wobec osoby dokonującej zgłoszenia nie mogą być wyciągane negatywne konsekwencje z tego tytułu, które przykładowo wymienione zostały w art. 11 ust. 2 Projektu. W szczególności wskazuje się tutaj na: odmowę nawiązania stosunku pracy, wypowiedzenie lub rozwiązanie bez wypowiedzenia stosunku pracy czy też obniżenie wynagrodzenia za pracę.

Zaznaczyć jednak należy, że pracodawca w dalszym ciągu, po dokonanym zgłoszeniu, będzie mógł np. wypowiedzieć pracownikowi umowę o pracę, jednakże wobec odwrócenia ciężaru dowodzenia, powinien on być wówczas przygotowany by w razie wniesienia odwołania przez pracownika móc wykazać powody swojej decyzji, które muszą być obiektywne i nie mogą być powiązane z dokonanym zgłoszeniem. Każdorazowo w tym przypadku, o działaniu pracodawcy, decydować muszą inne uzasadnione czynniki, nie związane z dokonanym zgłoszeniem.

Przesłanką ochrony osoby dokonującej zgłoszenia jest jej przekonanie o prawdziwości przekazywanej informacji w momencie dokonywania zgłoszenia, a także o tym, że jest to informacja o naruszeniu prawa. W przypadku niewypełnienia tych przesłanek pracownik dokonujący zgłoszenia nie korzysta z ochrony ustawowej i podlegać może odpowiedzialności karnej, w tym grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 3.

Ważną kwestią pozostaje także ochrona danych osobowych osób dokonujących zgłoszenia, ale również osób, których te zgłoszenia dotyczą.

Zgodnie z art. 5 ust. 1 lit. c) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych) (Dz. U. UE L nr 119 z 4.05.2016 r., str. 1, z późn. zm.; dalej jako: „RODO”), przetwarzane dane powinny być w szczególności adekwatne, stosowne i ograniczone do tego co niezbędne (tj. jedynie do realizacji niezbędnego celu, dla którego są one zbierane). Ilość przetwarzania danych powinna być minimalizowana.

W Projekcie znalazł się jednak także zapis, który w odniesieniu do zgłoszeń dokonywanych na podstawie nowych przepisów pozwala na wyłączenie stosowania niektórych przepisów RODO. W szczególności dotyczy to kwestii informowania osoby, której dotyczy zgłoszenie, o jego dokonaniu. Dane osobowy takiej osoby można przetwarzać w celu weryfikacji zgłoszenia oraz podjęcia działań następczych nawet bez jej zgody. Pracodawca nie powinien przy tym udostępniać tej osobie danych osobowych podmiotu dokonującego zgłoszenie, tj. nie udostępniać tej osobie źródła informacji, na co wskazywałby przepis art. 14 ust. 2 lit. f) RODO.

Biorąc pod uwagę powyższe zagadnienia, przedsiębiorcy (w szczególności zatrudniający powyżej 249 pracowników) powinni śledzić zaawansowanie prac nad Projektem oraz termin wejścia w życie ustawy. W negatywnym scenariuszu może okazać się, że pracodawcy będą mieli zaledwie parę dni na wprowadzenie odpowiednich rozwiązań wynikających z nowej regulacji.

Niewątpliwie do głównych zadać przedsiębiorców należeć będzie wprowadzenie regulaminu zgłoszeń wewnętrznych oraz poinformowanie zatrudnianych pracowników o tym fakcie. Pracodawca zobowiązany będzie do odpowiedniej ochrony osób zgłaszających naruszenia zarówno pod względem stosunków wynikających z zawartej umowy o pracę (lub podobnych), ale także związanych z ochroną danych osobowych.

Przypomnieć należy, że ustawodawca przewiduje również wprowadzenie procedury zgłoszeń zewnętrznych oraz w formie ujawnienia publicznego. W związku z tym, poza obowiązkiem wprowadzenia regulaminu zgłoszeń wewnętrznych, przepisy obejmować będą wszystkich pracodawców już od dnia wejścia w życie ustawy. Tyczy się to powstrzymywania się od podejmowania działań odwetowych względem pracowników dokonujących zgłoszeń w ramach innej niż wewnętrzna procedury zgłoszeń.