Czy mobbing zawiera się w dyrektywie o sygnalistach? Jeden kanał zgłoszeń może dotyczyć całej grupy kapitałowej? Czy pacjent szpitala lub POZ jest sygnalistą? A czy dyrektywa obejmie też szkoły publiczne?
Pytań z zakresu whistleblowingu – ze strony firm i administracji – nie brakuje. Dlatego przygotowaliśmy ekspercki poradnik, który rozwiąże często pojawiające się wątpliwości. W poniższej publikacji ekspertka ds. bezpieczeństwa danych Katarzyna Abramowicz odpowiada na pytania zadane podczas webinaru „W trosce o reputację Twojej firmy: unijna dyrektywa o sygnalistach od A do Z”.
Katarzyna Abramowicz to radczyni prawna, ekspertka ds. bezpieczeństwa, b. przedstawicielka KRRP w Brukseli. Od ponad 20 lat pasjonuje się e-commerce i nowymi technologiami. Współtworzyła takie serwisy jak Przelewy24, Bilety24, OdUslug oraz największą w Polsce platformę łączącą prawników z klientami – Specprawnik.pl Dwa przygotowane przez nią rozwiązania, Specfile i Sygnanet, są dostępne na platformie LEX Hub.
Zapraszamy do lektury!
- Czy instytucje publiczne mają obowiązek do końca roku wprowadzić u siebie regulacje wewnętrzne dot. sygnalistów, nie czekając na ustawę o sygnalistach?
Tak. Dyrektywa przewiduje, że w każdej instytucji – publicznej czy prywatnej, zatrudniającej co najmniej 50 osób – będzie musiała powstać procedura zgłaszania nieprawidłowości czy nadużyć w miejscu pracy.
- Czy nie jest tak, że w pierwszym terminie dyrektywa obejmie podmioty zatrudniające powyżej 250 osób, a dopiero w drugim terminie powyżej 50 osób?
Tak, najpierw podmioty 250+, instytucje publiczne oraz wszystkie instytucje finansowe.
- Jak postrzegać wyjątek w dyrektywie co do podmiotów prywatnych zatrudniających od 50 do 249 pracowników?
Przepisy dla tych podmiotów wejdą w życie w 2023 r.
- Czyli firmy zatrudniające poniżej 50 osób dyrektywa nie będzie obowiązywała?
Proszę zerknąć na art. 4 dyrektywy: Do podmiotów prawnych w sektorze prywatnym, o których mowa w ust. 1, należą:
a) prywatne podmioty prawne zatrudniające co najmniej 50 pracowników;
b) prywatne podmioty prawne o rocznym obrocie handlowym lub rocznej sumie bilansowej w wysokości co najmniej 10 mln EUR;
c) prywatne podmioty prawne dowolnej wielkości prowadzące działalność w obszarze usług finansowych lub podmioty narażone na ryzyko związane z praniem pieniędzy lub finansowaniem terroryzmu, zgodnie z uregulowaniami zawartymi w aktach Unii, o których mowa w załączniku.
- Czy liczba 50+ pracowników obejmuje również stałych współpracowników na umowach B2B?
Tak.
- Czy dyrektywa dotyczy także samodzielnych publicznych zakładów opieki zdrowotnej?
Tak, w szczególności jeśli będą spełniały przesłanki instytucji publicznej zobowiązanej do posiadania wewnętrznych kanałów zgłaszania nieprawidłowości.
- Czy dyrektywa obejmie szkoły publiczne?
Tak, jeśli zatrudniają co najmniej 50 osób.
- Do kiedy szkoła publiczna zatrudniająca do 250 pracowników musi się dostosować?
Do 17 grudnia 2021 r.
- Czy dyrektywa obowiązuje także szkoły wyższe?
Tak. Jeśli jest to uczelnia prywatna, czas wdrożenia określany jest na 17 grudnia 2023 r.
- Reprezentuję samorząd liczący powyżej 10 tys. mieszkańców. Czy wdrożenie dyrektywy dotyczy też naszych jednostek podległych jak szkoły, instytucje kultury i spółki miejskie?
Dotyczy, jeśli jednostki te zatrudniają co najmniej 50 osób. Co ważne, państwa członkowskie mogą zwolnić z obowiązku posiadania procedur gminy mniejsze niż 10 tys. mieszkańców lub zatrudniające mniej niż 50 pracowników oraz inne podmioty publiczne zatrudniające mniej niż 50 pracowników. Może rozstrzygnie te kwestie polska ustawa.
- Czy dyrektywa obejmuje Lasy Państwowe?
Tak.
- Czy dotyczy to instytucji kultury zatrudniającej powyżej 50 pracowników?
Tak, jeśli jest instytucją publiczną. Jedynie w przypadku podmiotów prywatnych, które zatrudniają od 50 do 249 pracowników, czas na implementację dyrektywy został wydłużony dwukrotnie – do 17 grudnia 2023 r.
- Czy instytucje kultury powyżej 250 pracowników, korzystające ze środków unijnych, też mają obowiązek opracowania takiej procedury?
Tak.
- Czy instytut badawczy (zatrudnienie do 150 pracowników) jest zobligowany do stosowania dyrektywy, a w konsekwencji regulacji krajowych?
Tak, jest zobligowany.
- Dyrektywa dotyczy wyłącznie instytucji finansowych czy każdego rodzaju działalności, np. produkcja, zakład przemysłowy?
Dyrektywa przewiduje, że w każdej instytucji – publicznej czy prywatnej, zatrudniającej co najmniej 50 osób, będzie musiała powstać procedura zgłaszania nieprawidłowości czy nadużyć w miejscu pracy.
- Czy dyrektywa dotyczy stowarzyszeń, jeżeli mają członków, którzy prowadzą własną działalność?
Jeżeli zatrudniają więcej niż 50 pracowników, to tak – wtedy będą zobowiązane do stworzenia kanału wewnętrznego dla sygnalistów.
- W przypadku przedsiębiorstw zatrudniających 50-249 osób obowiązek wdrożenia jest odroczony do 2023 r., niezależnie od ustawy krajowej?
Tak, do 2023 r.
- Co z przedsiębiorstwami, które nie mają 50 pracowników, ale zajmują się tematyką wskazaną w dyrektywie? Jak to będzie w Polsce?
Będzie ich obejmować obowiązek z dyrektywy.
- Skąd wynika informacja o karach? Czy w dyrektywie o sygnalistach jest o tym mowa, w którym przepisie?
Odnośnie instytucji finansowych informacje te wynikają z istniejącej ustawy AML (o przeciwdziałaniu praniu pieniędzy). Z kolei dyrektywa stwierdza w art. 17, że karane będą osoby fizyczne lub prawne, które m.in. przeszkodzą w zgłaszaniu nieprawidłowości, podejmą działania odwetowe wobec sygnalistów czy też naruszą obowiązek poufności.
- A jakie działania samorządy mogą podjąć w zakresie ochrony konsumentów, na zgłoszenie rzecznika konsumentów lub osoby trzeciej, skoro to UOKiK jest władny do zajęcia się takimi sprawami lub rzecznik konsumentów zatrudniony w samorządzie?
Przepisy dyrektywy dotyczą pracowników lub współpracowników zatrudnionych w urzędach. W tej postaci przepisy nie dotyczą mieszkańców ani konsumentów.
- Czy można prosić o wskazanie przydatnych linków do badań, raportów w obszarze whistleblowingu?
» https://www.eqs.com/en-us/compliance-knowledge/white-papers/whistleblowing-report-2019/
» https://www.ey.com/pl_pl/news/2020/06/covid-19-utrudnia-prowadzenie-przedsiebiorstwa-w-sposob-etyczny
- Czy mobbing zawiera się w dyrektywie o sygnalistach?
Nie, ale można rozszerzyć katalog zgłoszeń.
- Czy dyrektywa będzie obowiązywać w NGO-sach? Jak oceniać próg zatrudnienia, skoro dany podmiot (fundacja) nie zatrudnia pracowników, a jedynie ma wolontariuszy?
Wolontariuszy też trzeba liczyć. Dyrektywa przewiduje, że w każdej instytucji – publicznej czy prywatnej, zatrudniającej co najmniej 50 osób – będzie musiała powstać procedura zgłaszania nieprawidłowości czy nadużyć w miejscu pracy.
- Czy jeden kanał zgłoszeń może dotyczyć całej grupy kapitałowej?
Tak.
- Czy pacjent szpitala lub POZ jest sygnalistą?
Nie. Sygnalistą może być osoba powiązana stosunkiem pracy ze szpitalem.
- Czy sygnalistą może być student?
Jeśli łączy go z uczelnią jakiś stosunek pracy.
- Deklaracje zarządu na zgłaszane nieprawidłowości nie potwierdzają fakty. Wcześniej Pani przedstawiła badania potwierdzające, że zgłaszanie nieprawidłowości skończyło się w większości negatywnie dla sygnalistów.
Dlatego potrzebna jest anonimowość zgłoszeń, a nie sama deklaracja o tym, że zgłaszający będzie chroniony.
- Jakie ministerstwo będzie odpowiedzialne za nadzór nad realizacją przepisów?
Ministerstwo Rozwoju, Pracy i Technologii.
- W jaki sposób przyjmować zgłoszenia?
Najważniejsze, by zgłoszenia były bezpieczne, jeśli chodzi o ochronę tożsamości osoby zgłaszającej. Wtedy może się ona m.in. podpisać pod zgłoszeniem – nie jest to zabronione, natomiast w większości przypadków będzie chciała pozostać anonimowa. Istnieje jednak obowiązek kontaktu z nim.
- Najpierw mamy zapewnić sygnaliście anonimowość, a potem mamy dać mu znać o efektach? Jak to zrobić?
Ważnym elementem systemu jest kontakt zwrotny do sygnalisty. Może to się odbyć za pośrednictwem platformy online bądź dedykowanej skrzynki mailowej. Obowiązek ten wynika z potrzeby przekazania sygnaliście, że zgłoszenie zostało przyjęte i trwa postępowanie wyjaśniające oraz jaki jest jego wynik.
- Jakie kanały zgłaszania nieprawidłowości są skuteczne?
Badania wskazują, że te, które zapewniają pełną anonimowość.
- Powierzenie pracodawcy organizowanie kanałów informacyjnych jest bardzo problematyczne…
Decyzja należy jednak do sygnalisty, który wybiera kanał wewnętrzny, zewnętrzny lub publiczny.
- Czy wewnętrzna procedura powinna przewidywać możliwość przekazania informacji przez sygnalistę do kanałów zewnętrznych?
Tak.
- Brak zgłoszeń nieprawidłowości wskazuje, że system nie działa…
Zwykło tak się mówić, że to znak ostrzegawczy i warto zastanowić się nad przyczynami. Być może należy się zastanowić, czy promocja kanału i jego komunikacja pracownikom nie była wystarczająca. Brak zgłoszeń może oznaczać, że pracownicy nie wiedzą gdzie zgłaszać problemy lub nie został wyeliminowany strach przed zgłaszaniem.
- Sygnalistami mogą być też osoby spoza organizacji. Czy instytucja powinna udostępnić takiemu sygnaliście link do dokonywana zgłoszeń, np. na stronie internetowej?
Tak. Szczególnie jeśli z organizacją wiążą sygnalistę inne umowy niż np. umowa o pracę, umowy, zlecenie, dzieło, o współpracy itd. W firmach zagranicznych i publicznych krąg podmiotów to również współpracownicy i kontrahenci – im także udostępnione są możliwości zgłoszeń nieprawidłowości na stronie www.
- Mamy wytyczne z ministerstwa, że MUSIMY zapewnić anonimowość. A w przypadku tej dyrektywy musimy się z sygnalistą komunikować. Jak rozwiązać ten problem?
Badania pokazują, że zapewnienie anonimowości powoduje, że system działa. Ważnym elementem systemu jest kontakt zwrotny do sygnalisty. Może to się odbyć za pośrednictwem platformy online bądź dedykowanej skrzynki mailowej zaprojektowanej przez organizację (która jednak nie zapewni anonimowości!). Obowiązek ten wynika z potrzeby przekazania sygnaliście, że zgłoszenie zostało przyjęte i trwa postępowanie wyjaśniające oraz jaki jest jego wynik. Dane zgłaszającego, jeśli są oczywiste do odgadnięcia podlegają i tak ochronie przez odbiorcę zgłoszeń.
- A jeśli rzekomy sygnalista uczestniczy w zgłaszanym przez siebie naruszeniu i chce „uprzedzić” działania firmy – czy ma być wyłączony z ewentualnej odpowiedzialności?
Państwa członkowskie ustanawiają skuteczne, proporcjonalne i odstraszające kary stosowane wobec osób dokonujących zgłoszeń lub ujawnień w złej wierze. Zgłaszający musi działać w „dobrej wierze”. Sygnaliści będą podlegać ochronie, gdy istniały uzasadnione powody, aby uważać, że zgłaszane przez nich informacje są prawdziwe oraz pod warunkiem, że zgłosili informacje zgodnie z procedurami przewidzianymi w dyrektywie.
- Kanały do zgłaszania, m.in. telefonicznie lub przy pomocy skrzynki, są często anachroniczne. Jak więc wyjść naprzeciw wymaganiom dyrektywy, które mówią, że kanały muszą umożliwiać dokonywanie zgłoszeń na piśmie lub ustnie?
W tym temacie pomocny będzie art. 5 dyrektywy. Kanały przewidziane w ust. 1 lit. a) umożliwiają zgłaszanie za pośrednictwem wszystkich następujących metod:
a) Zgłoszenie na piśmie w formacie elektronicznym lub papierowym lub zgłoszenie ustne za pośrednictwem linii telefonicznych, przy czym tego rodzaju rozmowa może, lecz nie musi, być nagrywana;
b) osobiste spotkania z osobą lub przedstawicielem wydziału wyznaczonymi do przyjmowania zgłoszeń. Proszę pamiętać o komunikacji zwrotnej koniecznej do przekazania informacji o przyjęciu zgłoszenia i efektach postępowania. Stąd tak wiele firm wybiera m.in ten kanał elektroniczny, jako najwygodniejszy i spełniający regulacje. M.in. należy potwierdzić zgłoszenie w ciągu 7 dni od jego otrzymania.
- Jakie są akty prawne, na które należy zwracać uwagę w tym obszarze?
1. DYREKTYWA PARLAMENTU EUROPEJSKIEGO I RADY (UE) 2019/1937 z dnia 23 października 2019 r. w sprawie ochrony osób zgłaszających naruszenia prawa Unii opublikowana w Dzienniku Urzędowym Unii Europejskiej nr L305. Przepisy wchodzą w życie z dniem 17 grudnia 2021 r.
2. Ustawa z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, artykuł 53 (Dz. U. 2018 poz. 723) (#AML)
3. Ustawa z dnia 29 sierpnia 1997 r. Prawo bankowe, art. 9 p. 1 pp. 2a i 2b oraz art. 9f p.1 pp. 1 (Dz.U. 1997 nr 140 poz. 939)
4. Rozporządzenie Ministra Rozwoju i Finansów z dnia 6 marca 2017 r. w sprawie systemu zarządzania ryzykiem i systemu kontroli wewnętrznej, polityki wynagrodzeń oraz szczegółowego sposobu szacowania kapitału wewnętrznego w bankach, rozdział 5 (Dz. U. 2017 poz. 637)
5. Rozporządzenie Ministra Rozwoju i Finansów z dnia 25 kwietnia 2017 r. w sprawie szczegółowych warunków technicznych i organizacyjnych dla firm inwestycyjnych, banków, o których mowa w art. 70 ust. 2 ustawy o obrocie instrumentami finansowymi, i banków powierniczych, rozdział 3 (Dz. U. 2017 poz. 855)
6. Ustawa z dnia 16 kwietnia 1993 r. o zwalczaniu nieuczciwej konkurencji, art. 11, p. 8 – nowelizacja obowiązująca od 4 września 2018 r. (Dz. U. 2018 poz. 1637)
7. Ustawa z dn. 16.10.2019 r. o ofercie publicznej i warunkach wprowadzania instrumentów finansowych do zorganizowanego systemu obrotu oraz o spółkach publicznych oraz niektórych ustaw, konkretnie: „Art. 97d. Emitent jest obowiązany posiadać procedury anonimowego zgłaszania przez pracowników wskazanemu członkowi zarządu, a w szczególnych przypadkach – radzie nadzorczej, naruszeń prawa, w szczególności przepisów ustawy, rozporządzenia 2017/1129, oraz procedur i standardów etycznych”.
- Czy anonimowość jest wymagana przez dyrektywę?
Nie jest wymagana. Badania pokazują jednak, że systemy do zgłaszania nieprawidłowości, jeśli są anonimowe, są skuteczniejsze, bo bezpieczniejsze dla zgłaszających.
Implementując założenia systemu whistleblowingowego w firmie, trzeba mieć na uwadze, że sygnalista może pozostać anonimowy, a system nie może wymuszać przekazania jego danych. Jeżeli sygnalista ujawni tożsamość – podstawą do przetwarzania danych osobowych jest jego dobrowolna zgoda.
- Gdyby jednak informacja została ujawniona, bowiem wszędzie pracują „nasi znajomi, osoby z rodziny”, to jakiego wsparcia mogą oczekiwać sygnaliści?
To między innymi ochrona przed odwetem i wsparcie prawne.
- Czy procedury trzeba wdrażać już teraz, nie czekając na krajowe regulacje?
Warto to zrobić, lepiej nie czekać na ostatnią chwilę i przygotować się wcześniej.
- W jaki sposób spełnić obowiązek informacyjny względem sygnalisty oraz pozostałych osób?
Pracodawca ma obowiązek zapewnić sygnaliście pełną informację o przetwarzaniu danych osobowych (tzw. klauzulę informacyjną), i to jak najszybciej, np. w informacji zwrotnej po otrzymaniu zgłoszenia.
- Jaka agencja rządowa będzie sprawowała nadzór nad przestrzeganiem ustawy o sygnalistach?
Nie mamy jeszcze przepisów krajowych.
- Czy kontrahenci też muszą mieć możliwość do informowania?
Tak.
- Jakie konkretne zmiany w systemie anonimowego zgłaszania naruszeń w bankach wprowadza dyrektywa? Co powinniśmy wprowadzić do grudnia br. innego, niż już stosujemy?
To między innymi obowiązek kontaktu zwrotnego z sygnalistą.
- W jaki sposób system chroni przedsiębiorcę przed zgłoszeniem od osoby, która nie jest pracownikiem firmy?
Jeśli osoba nie chce się przedstawić, trzeba jej dać do tego prawo. Zgłoszenie trzeba rozpatrzyć bez względu na to, czy wiemy lub nie wiemy, czy sygnalista jest w stosunku pracy z nami. - Proszę pamiętać, że sygnalista działa w dobrej wierze i tylko wtedy jest chroniony. Zgłoszenia w złej wierze będą pewnie osankcjowane dodatkowo (przepisy krajowe być może będą zawierały dodatkowe informacje). Poza tym w grę wchodzą ogólnie obowiązujące przepisy o naruszeniu dóbr osobistych oraz inne.
- A co z fałszywymi zgłoszeniami, np. ze strony konkurencji?
Przypominam, że sygnalista działa w dobrej wierze i tylko wtedy jest chroniony. Zgłoszenia w złej wierze będą osankcjowane. Cel jest jeden: dowiedzieć się, czy są nieprawidłowości. Mniej skupiamy się na ocenie samem intencji.
---
Jeśli szukasz rozwiązań, które zapewnią sygnalistom anonimowość i bezpieczeństwo, warto poznać program Sygnanet. Więcej informacji z kategorii „Ochrona sygnalistów” znajdziesz TUTAJ >>
