Unia Europejska wprowadziła pierwszy ogólnounijny system ochrony sygnalistów dyrektywą Parlamentu Europejskiego i Rady (UE) 2019/1937 w sprawie ochrony osób zgłaszających naruszenia prawa Unii. Do końca 2024 wszystkie 27 państw członkowskich wdrożyło dyrektywę do prawa krajowego, ale większość zrobiła to ze znacznym opóźnieniem, część dopiero po wyrokach finansowych Trybunału Sprawiedliwości, a Komisja Europejska otworzyła właśnie przegląd samej dyrektywy, który potrwa do IV kwartału 2026 roku. W Polsce dyrektywa została transponowana ustawą o ochronie sygnalistów z 14 czerwca 2024 r., która weszła w życie 25 września 2024 r. Każda firma zatrudniająca co najmniej 50 pracowników ma dziś prawny obowiązek wdrożenia wewnętrznej procedury zgłoszeń dla sygnalistów.
Berlaymont w Brukseli, siedziba Komisji Europejskiej, instytucji która opracowała dyrektywę
i obecnie nadzoruje jej wdrażanie
© Matthias v.d. Elbe (CC BY-SA
3.0)
Kto musi prowadzić wewnętrzny kanał zgłoszeń
Dyrektywa wskazuje trzy grupy podmiotów zobowiązanych do uruchomienia poufnych wewnętrznych kanałów i procedur zgłaszania. Podmioty sektora publicznego są objęte niezależnie od wielkości, z wąskim wyjątkiem pozwalającym państwom członkowskim wyłączyć gminy poniżej 10 000 mieszkańców. Firmy prywatne zatrudniające 50 lub więcej pracowników są objęte niezależnie od profilu działalności. Mniejsze firmy prywatne (poniżej 50 pracowników) wpadają w zakres dyrektywy, jeśli działają w sektorach regulowanych, gdzie koszty nadużyć są strukturalnie wyższe: usługi finansowe, przeciwdziałanie praniu pieniędzy, bezpieczeństwo transportu, ochrona środowiska oraz każda firma startująca w przetargach publicznych na większą skalę.
Próg 50 pracowników jest dolną granicą dyrektywy, nie jej sufitem. Każde państwo członkowskie mogło pójść dalej przy transpozycji i kilka tak właśnie zrobiło. Polska ustawa o ochronie sygnalistów obejmuje szerszy katalog naruszeń niż lista z dyrektywy, łącznie z korupcją krajową i niektórymi naruszeniami konstytucyjnych praw obywatelskich. Francuski reżim Sapin II, znowelizowany w celu dostosowania do dyrektywy, zachował surowsze zasady ochrony przed odwetem obejmujące również firmy poniżej unijnego progu. Każdy, kto czyta tekst dyrektywy i zakłada, że jest to prawo obowiązujące w każdym państwie członkowskim, czegoś nie doczyta.
Wypróbuj swój System Zgłoszeń dla Synglistów za darmo
Termin, którego nikt nie dotrzymał
Dyrektywa wyznaczyła termin transpozycji na 17 grudnia 2021 r. dla sektora publicznego oraz dla firm prywatnych zatrudniających 250 lub więcej pracowników. Drugi, dłuższy termin, 17 grudnia 2023 r., dotyczył firm prywatnych z liczbą pracowników od 50 do 249. Pierwszy termin minął, a tylko trzy państwa (Dania, Szwecja i Portugalia) miały na ten dzień gotowe ustawy wdrażające. Pozostałe 24 nie zdążyły. Do połowy 2023 roku Komisja Europejska wszczęła postępowania o naruszenie wobec ośmiu państw, a do końca 2024 roku wszystkie 27 zostało wreszcie skłonionych do dokończenia transpozycji. Spóźnialscy potrzebowali średnio dodatkowych dwóch i pół roku na to, do czego zobowiązali się na święta 2021 roku.
Sala plenarna Parlamentu Europejskiego w Strasburgu, gdzie w październiku 2019 r. dyrektywa
została przyjęta wspólnie z Radą
© jeffowenphotos (CC BY 2.0)
Polska jest podręcznikowym przykładem opóźnienia. Sejm uchwalił ustawę o ochronie sygnalistów 14 czerwca 2024 r.; weszła w życie 25 września 2024 r., prawie trzy lata po pierwotnym terminie z 2021 roku. Podmioty publiczne dostały dodatkowy okres przejściowy do 25 grudnia 2024 r. na uruchomienie zewnętrznych kanałów zgłoszeń, które już od świąt 2021 miały działać. Polskie firmy, które zbudowały kanał zgodny z dyrektywą w trakcie oczekiwania, musiały następnie zweryfikować go względem właściwego krajowego tekstu, który (jak w wielu państwach członkowskich) rozszerzył katalog zgłaszalnych naruszeń poza listę samej dyrektywy.
Przegląd zgodności Komisji z 2024 roku
3 lipca 2024 r. Komisja Europejska opublikowała ustawowy raport o zgodności transpozycji dyrektywy, COM(2024) 269 final. W chwili finalizacji raportu wszystkie 27 państw zakończyło transpozycję, a nagłówek stwierdzał, że wszystkie przeniosły główne przepisy dyrektywy. Treść raportu jest jednak bardziej trzeźwa: niezgodności zidentyfikowano w mniej więcej połowie państw członkowskich, skoncentrowane w czterech obszarach.
Pierwszym problemem jest zakres przedmiotowy, czyli katalog tego, co liczy się jako naruszenie podlegające zgłoszeniu. Kilka państw przeniosło listę dyrektywy zbyt wąsko i pominęło kategorie, które dyrektywa miała objąć. Drugim są warunki ochrony, czyli reguły decydujące o tym, kiedy zgłaszający w ogóle kwalifikuje się jako sygnalista. Niektóre ustawy krajowe ustawiają poprzeczkę wyżej niż dyrektywa, dodając na przykład test interesu publicznego ponad warunek uzasadnionego przekonania, co utrudnia kwalifikację i ułatwia wykluczenie zgłoszeń granicznych.
Trzecim obszarem są zabezpieczenia przed odwetem. Przewidziane w dyrektywie domniemanie odwetu to narzędzie dowodowe, które przerzuca ciężar dowodu na pracodawcę, gdy sygnalista zostaje zwolniony krótko po zgłoszeniu; w niektórych transpozycjach zostało rozmyte lub całkowicie pominięte. Wreszcie raport sygnalizuje problem z sankcjami: niektóre krajowe systemy kar nie spełniają wymogu dyrektywy, by były „skuteczne, proporcjonalne i odstraszające", z maksymalnymi grzywnami, które na bilansie średniej firmy wyglądają raczej symbolicznie niż odstraszająco.
Raport nie wskazuje państw z imienia. Wskazuje, które przepisy budzą wątpliwości, i sygnalizuje, że postępowania o naruszenie pozostają na stole. Komisja jasno daje do zrozumienia, że zamierza ich nadal używać.
Marzec 2025: Trybunał Sprawiedliwości karze pięć państw na 38 mln euro
6 marca 2025 r. Trybunał Sprawiedliwości Unii Europejskiej orzekł w wiązce spraw połączonych (C-147/23 oraz C-149/23 do C-155/23), że pięć państw członkowskich nie wywiązało się ze zobowiązań wynikających z dyrektywy. Trybunał odrzucił każdą z linii obrony i nałożył kary finansowe w łącznej wysokości ponad 38 mln euro. Niemcy dostały ryczałt 34 mln euro, zdecydowanie największy. Czechy ryczałt 2,3 mln euro, Węgry 1,75 mln euro, Luksemburg 375 tys. euro. Estonia, w której transpozycja w dniu wyroku była nadal niekompletna, otrzymała ryczałt 500 tys. euro plus karę dzienną 1 500 euro, która rośnie aż do potwierdzenia przez Komisję pełnej zgodności.
Kirchberg w Luksemburgu, siedziba Trybunału Sprawiedliwości Unii Europejskiej. 6 marca 2025
r. Trybunał ukarał pięć państw członkowskich za spóźnioną transpozycję dyrektywy
© Cayambe (CC BY-SA
4.0)
Wyroki ustanawiają, poza nagłówkowymi kwotami, że terminy transpozycji dyrektywy są egzekwowalne w gotówce. Strona Komisji o ochronie sygnalistów wymienia teraz te wyroki obok streszczenia samej dyrektywy, co jest cichym sygnałem, że instytucja zamierza traktować je jako precedens. Druga fala postępowań o naruszenie, tym razem skierowanych przeciw niezgodności, a nie braku transpozycji, jest otwarcie rozważana od raportu z 2024 roku.
Co prawo faktycznie wymaga wewnątrz firm
Obowiązki firmy objętej dyrektywą układają się w cztery grupy, których krajowa ustawa wdrażająca nie może rozwadniać, jedynie wzbogacać. Podstawowym obowiązkiem jest bezpieczny i poufny kanał zgłoszeń: wewnętrzna ścieżka, którą pracownik może zgłosić naruszenie bez ujawniania swojej tożsamości poza wąskim gronem osób wyznaczonych do obsługi zgłoszeń. Dyrektywa jest neutralna technologicznie; nie narzuca konkretnego narzędzia, ale kanał musi przyjmować zgłoszenia pisemne i ustne, musi potwierdzić odbiór w ciągu siedmiu dni i wyprodukować merytoryczną odpowiedź zwrotną w ciągu trzech miesięcy.
Razem z kanałem przychodzi ochrona przed odwetem. Zwolnienie, degradacja, pozbawienie szkoleń, zmiana zakresu obowiązków, zmiana godzin pracy, odmowa wystawienia referencji, środki dyscyplinarne i jakiekolwiek inne negatywne konsekwencje zgłoszenia są zakazane. Dyrektywa wprowadza domniemanie odwetu: jeśli wobec pracownika podjęto niekorzystne działanie po zgłoszeniu przez niego naruszenia, to pracodawca musi wykazać, że działanie nie miało nic wspólnego ze zgłoszeniem. Zrzeczenia się prawa do zgłoszenia (czasem osadzone w klauzulach NDA lub porozumieniach ugodowych) są nieskuteczne.
Jest jeszcze ewidencja i działania następcze. Odbiorca zgłoszenia musi je zarejestrować, ocenić, podjąć działania tam, gdzie są one uzasadnione, i poinformować zgłaszającego o wyniku po trzech miesiącach. Zasady przechowywania ograniczają zasady minimalizacji danych z RODO, więc rejestrów nie można trzymać bezterminowo. Czwarty obowiązek to dostęp do kanałów zewnętrznych, zwykle organu krajowego wskazanego w ustawie wdrażającej, z których pracownik może skorzystać bezpośrednio, bez przechodzenia najpierw przez kanał wewnętrzny i bez utraty ochrony.
W praktyce: zwykły adres e-mail przekierowany na firmową skrzynkę HR nie jest kanałem zgodnym z dyrektywą. Linia telefoniczna, której nikt nie ma kontraktowego obowiązku monitorować, też nie. Zgodne ustawienie wymaga wyznaczonych obsługujących, udokumentowanych procedur, zasad retencji i jasnej ścieżki eskalacji, obsługiwanych przez wewnętrzny zespół, dostawcę zewnętrznego albo Inspektora Ochrony Danych z czasem na faktyczną pracę nad tym.
Ewaluacja 2026 i co może się zmienić
Artykuł 27 ust. 3 samej dyrektywy zobowiązał Komisję Europejską do przedstawienia Parlamentowi i Radzie do 17 grudnia 2025 r. sprawozdania o funkcjonowaniu dyrektywy i ewentualnym rozszerzeniu jej zakresu. W ramach tych prac Komisja otworzyła konsultacje publiczne na portalu Have Your Say, które trwały od 25 sierpnia do 18 września 2025 r., zasilając szerszy Plan Działania na rzecz Ochrony Sygnalistów, którego pełna ewaluacja ma być gotowa do IV kwartału 2026 r.
Jedno ze stanowisk wyłaniających się z odpowiedzi na konsultacje, formułowane przez obserwatorów społecznych takich jak Europejski Instytut Sygnalistów, mówi, że tekst dyrektywy jest dobry, a zawodzi wdrożenie. Dyrektorka wykonawcza instytutu, Vigjilenca Abazi, zwraca uwagę, że niektóre z instytucji powołanych do ochrony same doświadczyły politycznych ingerencji podważających ich wiarygodność, i postuluje niezależne organy krajowe wyposażone w uprawnienia do monitorowania, sankcjonowania i egzekwowania. W tej optyce odpowiedzią jest mocniejsze egzekwowanie zgodności, a nie otwieranie na nowo trudno wynegocjowanego tekstu.
Drugi nurt argumentacji wskazuje na nacisk z przeciwnej strony. Komentatorzy społeczni sygnalizują ryzyko, że biznes będzie pchał ewaluację w stronę słabszej ochrony: podniesienie progu wewnętrznego kanału z 50 do 250 pracowników, zawężenie zakresu zgłaszalnych naruszeń, wszystko pod hasłem „upraszczania". Żaden z tych pomysłów nie jest jeszcze formalnym projektem Komisji. Ale dla każdej firmy, która zbudowała zgodny kanał pod obecnym tekstem, ta możliwość ma znaczenie: 60-osobowa firma, która dziś musi prowadzić wewnętrzny kanał, mogłaby przy innej wersji dyrektywy być z niej zwolniona, a polityczna walka będzie toczyć się równolegle z samą ewaluacją.
Flagi państw członkowskich przed Parlamentem Europejskim w Brukseli. Do końca 2024 wszystkie
27 wdrożyło dyrektywę, ale w bardzo różnych krajowych tekstach
© Marek Ślusarczyk (CC BY 3.0)
Ustawą, która faktycznie obowiązuje twoją organizację, jest krajowa ustawa wdrażająca w twoim kraju, a ona prawie na pewno różni się od tego, co opisuje nagłówkowe streszczenie dyrektywy. Jeśli wciąż nie wdrożyliście systemu zgodnego z dyrektywą, kary z marca 2025 powinny wybrzmieć jako jednoznaczny sygnał, że egzekucja jest realna i że „wciąż nad tym pracujemy" przestało być pozycją do obrony. Oferujemy w pełni zgodny z dyrektywą system dla sygnalistów z jednodniowym wdrożeniem; sprawdź, jak działa Whistleblowing System.
Radca prawny, specjalizuje się w prawie gospodarczym, handlowym oraz prawie własności intelektualnej. Jest doradcą prawnym i biznesowym dla firm z branży e-commerce, IT oraz digital marketingu.
