Ustawa o ochronie sygnalistów: obowiązki, terminy i sankcje dla firm

Ustawa z dnia 14 czerwca 2024 r. o ochronie sygnalistów obowiązuje od 25 września 2024 r. i wdraża dyrektywę UE 2019/1937 (Polska transponowała ją z opóźnieniem). Nakłada na pracodawców obowiązek ustanowienia procedury zgłoszeń wewnętrznych. Ten przewodnik wyjaśnia, kto jest objęty obowiązkiem, jakie są terminy i sankcje oraz czy można powierzyć obsługę na zewnątrz.

Kto musi mieć kanał zgłoszeń?

Pracodawcy, dla których pracę zarobkową wykonuje co najmniej 50 osób (stan na 1 stycznia lub 1 lipca danego roku). Próg obejmuje nie tylko pracowników na umowach o pracę, lecz także inne osoby świadczące pracę. W sektorze finansowym obowiązek może dotyczyć podmiotów niezależnie od liczby zatrudnionych.

Terminy: 7 dni i 3 miesiące

Procedura zgłoszeń wewnętrznych wymaga potwierdzenia przyjęcia zgłoszenia w ciągu 7 dni oraz przekazania informacji zwrotnej o działaniach następczych w ciągu 3 miesięcy. Poufność tożsamości sygnalisty musi być zachowana przez cały czas.

Zgłoszenia zewnętrzne: Rzecznik Praw Obywatelskich

Poza kanałem wewnętrznym sygnalista może dokonać zgłoszenia zewnętrznego. Organem właściwym jest Rzecznik Praw Obywatelskich (RPO), który przyjmuje zgłoszenia zewnętrzne od 25 grudnia 2024 r. Sygnalista nie ma obowiązku najpierw korzystać z kanału wewnętrznego.

Sankcje karne

Ustawa przewiduje odpowiedzialność karną. Utrudnianie dokonania zgłoszenia podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do roku (art. 54). Działania odwetowe wobec sygnalisty zagrożone są karą do 2 lat, a przy działaniu uporczywym do 3 lat (art. 55). Brak ustanowienia procedury zgłoszeń wewnętrznych w terminie podlega grzywnie (art. 56).

Anonimowość, RODO i outsourcing

Ustawa dopuszcza zgłoszenia anonimowe, choć to pracodawca decyduje w procedurze, czy je umożliwia. Dane osobowe sygnalisty nie mogą być ujawnione bez jego zgody. Obsługę kanału można powierzyć zewnętrznemu dostawcy — pod nadzorem pracodawcy i zgodnie z RODO.

Gdzie przechowywane są dane: kwestia Schrems II

Po wyroku TSUE w sprawie Schrems II dane powierzone dostawcom z USA pozostają narażone na CLOUD Act i FISA 702, nawet jeśli są przechowywane w europejskim centrum danych. Whistlechannel hostuje wyłącznie w Sztokholmie, bez podprocesorów z USA, bez rejestrowania adresów IP i z szyfrowaniem AES-256 — w 24 językach UE, w modelu samoobsługowym, od 99 SEK miesięcznie.