Legea 361/2022: obligații, termene și sancțiuni pentru companii

Legea nr. 361/2022 privind protecția avertizorilor în interes public, în vigoare din 22 decembrie 2022, obligă companiile să dispună de un canal intern de raportare și transpune Directiva (UE) 2019/1937. Acest ghid acoperă cine este obligat, termenele, sancțiunile și externalizarea.

Ce companii sunt obligate?

Angajatorii din sectorul privat cu cel puțin 50 de angajați și instituțiile publice. Pentru companiile cu 50–249 de angajați, obligația se aplică din 17 decembrie 2023; pentru cele cu 250 sau mai mulți, din 22 decembrie 2022. În anumite sectoare reglementate, obligația se aplică indiferent de dimensiune.

Termenele: 7 zile și 3 luni

Legea impune confirmarea primirii raportării în termen de 7 zile și informarea avertizorului cu privire la măsurile luate în cel mult 3 luni (până la 6 luni în cazuri justificate). Confidențialitatea identității avertizorului trebuie garantată pe tot parcursul procesului.

Canal intern, canal extern (ANI) și externalizare

Canalul intern este gestionat de compania dumneavoastră. Autoritatea externă este Agenția Națională de Integritate (ANI), la care avertizorul se poate adresa direct, fără a fi obligat să folosească mai întâi canalul intern. Legea permite externalizarea gestionării canalului intern către un furnizor specializat, responsabilitatea rămânând la angajator.

Sancțiuni: amenzi contravenționale

Neînființarea canalului intern se sancționează cu amendă de la 3.000 la 40.000 RON, iar încălcarea confidențialității de la 4.000 la 40.000 RON. În caz de represalii, sarcina probei se inversează: angajatorul trebuie să dovedească faptul că măsura nu are legătură cu raportarea.

Raportare anonimă și găzduirea datelor

Canalele trebuie să permită raportarea anonimă, în scris și verbal, cu aceeași protecție ca raportările nominale. La fel de important este ca anonimatul să fie garantat tehnic: fără înregistrarea IP, cu criptare puternică. Iar locul unde sunt găzduite datele determină riscul Schrems II: după hotărârea CJUE, datele găzduite la furnizori din SUA rămân expuse la CLOUD Act și FISA 702, chiar și într-un centru de date european.

Ce diferențiază Whistlechannel

Whistlechannel găzduiește exclusiv la Stockholm, fără subcontractanți din SUA, nu înregistrează adrese IP și criptează cu AES-256. Canalul la cheie este disponibil în 24 de limbi ale UE, se activează în self-service în câteva minute și are prețuri transparente de la 99 SEK/lună, fără apel comercial.