Dyrektywa o sygnalistach w Unii Europejskiej

Dyrektywa o sygnalistach, formalnie dyrektywa Parlamentu Europejskiego i Rady (UE) 2019/1937 w sprawie ochrony osób zgłaszających naruszenia prawa Unii, to pierwszy ogólnounijny system ochrony sygnalistów. Do końca 2024 roku wszystkie 27 państw członkowskich wdrożyło unijną dyrektywę o ochronie sygnalistów do prawa krajowego, ale większość zrobiła to ze znacznym opóźnieniem, a kilka dopiero po nałożeniu kar przez Trybunał Sprawiedliwości; Komisja Europejska otworzyła właśnie przegląd samej dyrektywy, który potrwa do IV kwartału 2026 roku. W Polsce dyrektywa została transponowana ustawą o ochronie sygnalistów z 14 czerwca 2024 r., która weszła w życie 25 września 2024 r. Każda firma zatrudniająca co najmniej 50 pracowników ma dziś prawny obowiązek wdrożenia wewnętrznej procedury zgłoszeń dla sygnalistów, a tabela poniżej wskazuje krajową ustawę, która nakłada ten obowiązek w każdym państwie członkowskim.

Dyrektywa o sygnalistach w prawie krajowym, kraj po kraju

Każde państwo członkowskie musiało przenieść dyrektywę o ochronie sygnalistów do własnego porządku prawnego, więc pracodawcę wiąże krajowa ustawa z poniższej tabeli, a nie sama dyrektywa.

Kto musi prowadzić wewnętrzny kanał zgłoszeń

Dyrektywa wskazuje trzy grupy podmiotów zobowiązanych do uruchomienia poufnych wewnętrznych kanałów i procedur zgłaszania. Podmioty sektora publicznego są objęte niezależnie od wielkości, z wąskim wyjątkiem pozwalającym państwom członkowskim wyłączyć gminy poniżej 10 000 mieszkańców. Firmy prywatne zatrudniające 50 lub więcej pracowników są objęte niezależnie od profilu działalności. Mniejsze firmy prywatne (poniżej 50 pracowników) podlegają dyrektywie, jeśli działają w sektorach regulowanych, gdzie koszty nadużyć są strukturalnie wyższe: usługi finansowe, przeciwdziałanie praniu pieniędzy, bezpieczeństwo transportu, ochrona środowiska oraz każda firma, która na większą skalę ubiega się o zamówienia publiczne. Większość objętych obowiązkiem organizacji spełnia te wymogi za pomocą dedykowanych narzędzi; porównanie najlepszych systemów dla sygnalistów pokazuje główne opcje.

Próg 50 pracowników to minimum wyznaczone przez dyrektywę, a nie pułap. Każde państwo członkowskie mogło pójść dalej przy transpozycji i kilka tak właśnie zrobiło. Polska ustawa o ochronie sygnalistów obejmuje szerszy katalog naruszeń niż sama dyrektywa, w tym korupcję krajową i niektóre naruszenia praw konstytucyjnych. Francuski system Sapin II, znowelizowany w celu dostosowania do dyrektywy, zachował surowsze zasady ochrony przed odwetem, które obejmują również firmy poniżej unijnego progu. Kto czyta tekst dyrektywy i zakłada, że dokładnie taki sam tekst obowiązuje w każdym państwie członkowskim, ten coś przeoczy.

Dyrektywa nie jest też jedyną unijną regulacją, która może objąć kanał zgłoszeń. Jeśli narzędzie kanału używa AI, zobacz, czy unijny AI Act dotyczy oprogramowania bez AI.

Termin, którego nikt nie dotrzymał

Dyrektywa wyznaczyła termin transpozycji na 17 grudnia 2021 r. dla sektora publicznego oraz dla firm prywatnych zatrudniających 250 lub więcej pracowników. Późniejszy, etapowy termin 17 grudnia 2023 r. obejmował firmy prywatne z liczbą pracowników od 50 do 249. Pierwszy termin minął, a tylko trzy państwa (Dania, Szwecja i Portugalia) miały na ten dzień gotowe ustawy wdrażające. Pozostałe 24 nie zdążyły. Do połowy 2023 roku Komisja Europejska wszczęła postępowania o naruszenie wobec ośmiu państw, a do końca 2024 roku wszystkie 27 doszło do mety. Spóźnialscy potrzebowali średnio dodatkowych dwóch i pół roku na to, do czego zobowiązali się do Bożego Narodzenia 2021 roku.

Sala plenarna Parlamentu Europejskiego w Strasburgu, gdzie w październiku 2019 r. dyrektywa została przyjęta wspólnie z Radą
© jeffowenphotos (CC BY 2.0)

Polska jest podręcznikowym przykładem opóźnienia. Sejm uchwalił ustawę o ochronie sygnalistów 14 czerwca 2024 r.; ustawa weszła w życie 25 września 2024 r., prawie trzy lata po pierwotnym terminie z 2021 roku. Podmioty publiczne dostały dodatkowy okres przejściowy do 25 grudnia 2024 r. na uruchomienie zewnętrznych kanałów zgłoszeń, które już od Bożego Narodzenia 2021 roku miały działać. Polskie firmy, które zdążyły zbudować kanał zgodny z dyrektywą w trakcie oczekiwania, musiały następnie zweryfikować go względem ostatecznego tekstu krajowego, który (jak w wielu państwach członkowskich) rozszerzył katalog naruszeń podlegających zgłoszeniu poza listę samej dyrektywy.

Przegląd zgodności Komisji z 2024 roku

3 lipca 2024 r. Komisja Europejska opublikowała ustawowy raport o zgodności transpozycji dyrektywy, COM(2024) 269 final. W chwili finalizacji raportu wszystkie 27 państw zakończyło transpozycję, a główny wniosek mówił, że wszystkie przeniosły główne przepisy dyrektywy. Treść raportu jest jednak bardziej powściągliwa: niezgodności zidentyfikowano w mniej więcej połowie państw członkowskich i skupiały się one w czterech obszarach.

Berlaymont w Brukseli, siedziba Komisji Europejskiej, czyli instytucji, która opracowała dyrektywę i obecnie pilnuje jej wdrażania
© Matthias v.d. Elbe (CC BY-SA 3.0)

Pierwszym problemem jest zakres przedmiotowy, czyli katalog tego, co liczy się jako naruszenie podlegające zgłoszeniu. Kilka państw przeniosło listę dyrektywy zbyt wąsko i pominęło kategorie, które dyrektywa miała objąć. Drugim są warunki ochrony, czyli reguły decydujące o tym, kiedy zgłaszający w ogóle kwalifikuje się jako sygnalista. Niektóre ustawy krajowe stawiają poprzeczkę wyżej niż dyrektywa, dodając na przykład test interesu publicznego ponad warunek uzasadnionego przekonania, co utrudnia kwalifikację i ułatwia wykluczenie zgłoszeń z pogranicza.

Trzecim obszarem są zabezpieczenia przed odwetem. Przewidziane w dyrektywie domniemanie odwetu to narzędzie dowodowe, które przerzuca ciężar dowodu na pracodawcę, gdy sygnalista zostaje zwolniony krótko po zgłoszeniu; w niektórych transpozycjach zostało rozmyte lub całkowicie pominięte. Raport sygnalizuje także problem z sankcjami: niektóre krajowe systemy kar nie spełniają wymogu dyrektywy, by były „skuteczne, proporcjonalne i odstraszające”, a maksymalne grzywny w bilansie średniej firmy wyglądają raczej symbolicznie niż odstraszająco.

Raport nie wymienia państw z nazwy. Wskazuje, które przepisy budzą wątpliwości, i sygnalizuje, że postępowania o naruszenie pozostają w grze. Komisja jasno daje do zrozumienia, że zamierza ich nadal używać.

Marzec 2025: Trybunał Sprawiedliwości karze pięć państw na 38 mln euro

6 marca 2025 r. Trybunał Sprawiedliwości Unii Europejskiej orzekł w pakiecie spraw połączonych (C-147/23 oraz C-149/23 do C-155/23), że pięć państw członkowskich nie wywiązało się ze zobowiązań wynikających z dyrektywy. Trybunał odrzucił każdą z linii obrony i nałożył kary finansowe w łącznej wysokości ponad 38 mln euro. Niemcy dostały ryczałt 34 mln euro, zdecydowanie największy. Czechy ryczałt 2,3 mln euro, Węgry 1,75 mln euro, a Luksemburg 375 tys. euro. Estonia, w której transpozycja w dniu wyroku była nadal niekompletna, otrzymała ryczałt 500 tys. euro oraz karę dzienną 1 500 euro, która naliczana jest do momentu, aż Komisja potwierdzi pełną zgodność.

Kirchberg w Luksemburgu, siedziba Trybunału Sprawiedliwości Unii Europejskiej. 6 marca 2025 r. Trybunał ukarał pięć państw członkowskich za spóźnioną transpozycję dyrektywy
© Cayambe (CC BY-SA 4.0)

Wyroki pokazują, niezależnie od samej skali kar, że terminy transpozycji dyrektywy są egzekwowalne w gotówce. Strona Komisji o ochronie sygnalistów wymienia teraz te wyroki obok streszczenia samej dyrektywy, co jest cichym sygnałem, że instytucja zamierza traktować je jako precedens. Druga fala postępowań o naruszenie, tym razem wymierzona w niezgodność, a nie w brak transpozycji, jest otwarcie rozważana od raportu z 2024 roku.

Czego dyrektywa UE o ochronie sygnalistów wymaga wewnątrz firm

Obowiązki firmy objętej dyrektywą układają się w cztery grupy, których krajowa ustawa wdrażająca nie może osłabiać, a jedynie poszerzać. Podstawowym obowiązkiem jest bezpieczny i poufny kanał zgłoszeń: wewnętrzna ścieżka, w której pracownik może zgłosić naruszenie bez ujawniania swojej tożsamości poza wąskim gronem osób wyznaczonych do obsługi zgłoszeń. Dyrektywa jest neutralna technologicznie; nie narzuca konkretnego narzędzia, ale kanał musi przyjmować zgłoszenia pisemne i ustne, musi potwierdzić odbiór w ciągu siedmiu dni i musi udzielić merytorycznej informacji zwrotnej w ciągu trzech miesięcy.

Wraz z kanałem pojawia się ochrona przed odwetem. Zwolnienie, degradacja, odmowa szkoleń, zmiana zakresu obowiązków, zmiana godzin pracy, odmowa wystawienia referencji, środki dyscyplinarne oraz jakiekolwiek inne negatywne konsekwencje zgłoszenia są zakazane. Dyrektywa wprowadza domniemanie odwetu: jeśli wobec pracownika podjęto niekorzystne działanie po zgłoszeniu przez niego naruszenia, to pracodawca musi wykazać, że działanie nie miało nic wspólnego ze zgłoszeniem. Umowne zrzeczenia się prawa do zgłoszenia (czasem wpisywane w klauzule NDA lub porozumienia ugodowe) są bezskuteczne.

Pozostaje jeszcze ewidencja i działania następcze. Odbiorca zgłoszenia musi je zarejestrować, ocenić, podjąć działania tam, gdzie są one uzasadnione, i poinformować zgłaszającego o wyniku po trzech miesiącach. Okres przechowywania ograniczają wynikające z RODO zasady minimalizacji danych, więc rejestrów nie można trzymać bezterminowo. Czwarty obowiązek to dostęp do kanałów zewnętrznych, zazwyczaj do organu krajowego wskazanego w ustawie wdrażającej, z których pracownik może skorzystać bezpośrednio, bez przechodzenia najpierw przez kanał wewnętrzny i bez utraty ochrony.

W praktyce: zwykły adres e-mail przekierowany na firmową skrzynkę HR nie jest kanałem zgodnym z dyrektywą. Nie jest nim też linia telefoniczna, której nikt nie ma umownego obowiązku monitorować. Zgodne rozwiązanie wymaga wyznaczonych osób do obsługi zgłoszeń, udokumentowanych procedur, zasad retencji i jasnej ścieżki eskalacji, prowadzonych przez wewnętrzny zespół, zewnętrznego dostawcę albo Inspektora Ochrony Danych z realnym czasem na tę pracę.

Ewaluacja 2026 i co może się zmienić

Artykuł 27 ust. 3 samej dyrektywy zobowiązał Komisję Europejską do przedstawienia Parlamentowi i Radzie do 17 grudnia 2025 r. sprawozdania o funkcjonowaniu dyrektywy i ewentualnym rozszerzeniu jej zakresu. W ramach tych prac Komisja otworzyła konsultacje publiczne na portalu Have Your Say, które trwały od 25 sierpnia do 18 września 2025 r., zasilając szerszy Plan Działania na rzecz Ochrony Sygnalistów, którego pełna ewaluacja ma być gotowa do IV kwartału 2026 r.

Jedno ze stanowisk wyłaniających się z odpowiedzi na konsultacje, formułowane przez obserwatorów społecznych takich jak Europejski Instytut Sygnalistów, mówi, że tekst dyrektywy jest dobry, a zawodzi jego wdrożenie. Dyrektorka wykonawcza instytutu, Vigjilenca Abazi, zwraca uwagę, że niektóre z instytucji powołanych do ochrony same doświadczyły politycznych nacisków, które podważają ich wiarygodność, i postuluje powołanie niezależnych organów krajowych z uprawnieniami do monitorowania, karania i egzekwowania. W tej optyce odpowiedzią jest mocniejsze egzekwowanie zgodności, a nie otwieranie na nowo z trudem wynegocjowanego tekstu.

Drugi nurt argumentacji zapowiada nacisk z przeciwnej strony. Komentatorzy społeczni sygnalizują ryzyko, że biznes będzie pchał ewaluację w stronę słabszej ochrony: podniesienie progu wewnętrznego kanału z 50 do 250 pracowników, zawężenie zakresu naruszeń podlegających zgłoszeniu, wszystko pod hasłem „upraszczania”. Żaden z tych pomysłów nie jest jeszcze formalną propozycją Komisji. Ale dla każdej firmy, która zbudowała zgodny kanał pod obecnym tekstem, ta możliwość ma znaczenie: 60-osobowa firma, która dziś musi prowadzić wewnętrzny kanał, przy innej wersji dyrektywy mogłaby być z tego obowiązku zwolniona, a polityczna walka będzie toczyć się równolegle z samą ewaluacją.

Flagi państw członkowskich przed Parlamentem Europejskim w Brukseli. Do końca 2024 wszystkie 27 wdrożyło dyrektywę, ale w bardzo różnych krajowych tekstach
© Marek Ślusarczyk (CC BY 3.0)

Aktem prawnym, który faktycznie obowiązuje twoją organizację, jest krajowa ustawa wdrażająca w twoim kraju, a ona prawie na pewno różni się od tego, co opisuje skrótowe streszczenie dyrektywy. Jeśli wciąż nie wdrożyliście systemu zgodnego z dyrektywą, kary z marca 2025 roku powinny wybrzmieć jako jednoznaczny sygnał, że egzekwowanie jest realne i że „wciąż nad tym pracujemy” przestało być stanowiskiem, którego da się bronić. Oferujemy w pełni zgodny z dyrektywą system dla sygnalistów z jednodniowym wdrożeniem; sprawdź, jak działa nasz system zgłaszania nieprawidłowości.