Jak wdrożyć ustawę dla sygnalistów?

W Polsce obowiązek prowadzenia wewnętrznego kanału zgłoszeń wynika z ustawy z 14 czerwca 2024 r. o ochronie sygnalistów (Dz.U. 2024 poz. 928). Przepisy weszły w życie 25 września 2024 r. Pytanie nie brzmi już, czy firma potrzebuje takiego kanału. Brzmi: czy to, co masz, spełnia wymogi ustawy. Poniżej masz proste kroki, od których warto zacząć.

Sprawdź, czy ustawa Cię obejmuje

Policz pracowników. Procedurę musi mieć każda firma, na rzecz której pracę zarobkową wykonuje co najmniej 50 osób. Stan liczy się na 1 stycznia lub 1 lipca, więc liczba bywa ruchoma i warto ją śledzić. Liczą się pełne etaty oraz osoby pracujące za wynagrodzeniem na innej podstawie, w tym zleceniobiorcy i współpracownicy B2B. Mniejsze firmy mogą wprowadzić procedurę dobrowolnie i często to robią.

Niektóre branże nie mają progu. Obowiązek dotyczy ich niezależnie od liczby zatrudnionych: rynki i usługi finansowe, przeciwdziałanie praniu pieniędzy, bezpieczeństwo transportu oraz ochrona środowiska. Z drugiej strony przepisów nie stosuje się do jednostek gminy lub powiatu poniżej 10 000 mieszkańców.

Sygnalistą jest nie tylko etatowiec. Ustawa chroni też pracownika tymczasowego, osobę na umowie cywilnoprawnej, współpracownika B2B, wspólnika, członka zarządu, stażystę, praktykanta i wolontariusza. Chroni nawet kandydata poznanego w rekrutacji oraz byłego pracownika. Twój kanał musi przyjąć zgłoszenie od każdej z tych osób.

Co można zgłosić? Ustawa wymienia między innymi korupcję, zamówienia publiczne, rynki finansowe, pranie pieniędzy, bezpieczeństwo produktów i żywności, ochronę środowiska, zdrowie publiczne, prawa konsumentów oraz ochronę danych osobowych. Dodatkowo w procedurze możesz dopuścić zgłaszanie naruszeń własnych zasad etycznych.

Co musi zawierać procedura dla sygnalistów?

Procedura to dokument, którego treść ustawa opisuje wprost. Ogólne zobowiązanie do uczciwości nie wystarczy. Musi wskazać konkretne osoby, terminy i sposoby działania:

1. kto przyjmuje zgłoszenia (osoba, zespół lub firma zewnętrzna);
2. jak można je przekazać i pod jaki adres;
3. kto bezstronnie zajmie się sprawą i kontaktem ze zgłaszającym;
4. jak traktujecie zgłoszenia anonimowe;
5. że odbiór potwierdzacie w ciągu 7 dni;
6. że odpowiedź dajecie w ciągu 3 miesięcy.

Procedury nie wprowadza się jednostronnie. Trzeba ją skonsultować z organizacją związkową, a jeśli takiej nie ma, z przedstawicielami pracowników. Konsultacje trwają od 5 do 10 dni, a gotowa procedura wchodzi w życie po 7 dniach od ogłoszenia załodze. O procedurze trzeba też informować kandydatów, już na początku rekrutacji.

Co dzieje się po zgłoszeniu? Najpierw potwierdzasz odbiór, potem ktoś bezstronny sprawdza, czy zarzut jest prawdziwy. To działania następcze: rozmowa, zebranie dokumentów, w razie potrzeby kontrola wewnętrzna. Na koniec zgłaszający dostaje odpowiedź, co ustaliłeś i co z tym zrobisz. Jeśli sprawa się przeciąga, uprzedź go przed terminem. Cały bieg sprawy zapisujesz w rejestrze.

Jak sygnalista może się zgłosić?

Kanał przyjmuje zgłoszenia ustnie i pisemnie. Ustnie znaczy telefonicznie lub przez inne środki komunikacji elektronicznej. Na wniosek zgłaszającego firma organizuje też spotkanie, najpóźniej w ciągu 14 dni. Rozmowę dokumentuje się za zgodą zgłaszającego, jako nagranie albo protokół, który ten może sprawdzić i podpisać.

W praktyce taki kanał najłatwiej udostępnić jako prosty formularz online. WeMoral to przykład gotowego, zautomatyzowanego kanału zgłoszeń w przystępnej cenie. Odbiera zgłoszenia, prowadzi rejestr i pilnuje terminów, więc mniej rzeczy musisz pamiętać ręcznie. Wybór narzędzia należy do Ciebie.

Zgłoszenia anonimowe to Twoja decyzja. Ustawa pozwala je przyjmować, ale nie nakazuje. Część ludzi odezwie się tylko wtedy, gdy nie musi podawać nazwiska. Jeśli je przyjmujesz, zapisz to w procedurze wraz ze sposobem obsługi.

Kto obsługuje zgłoszenia i jak chronić poufność?

Poufność jest najważniejsza. Dane, które wskazują, kto dokonał zgłoszenia, nie mogą trafić do osób nieupoważnionych. Dostęp mają tylko osoby z pisemnym upoważnieniem, zobowiązane do tajemnicy także po odejściu z firmy.

Wyznacz i przeszkol odbiorców zgłoszeń. Pracownik kadr robiący to przy okazji zwykle nie wystarczy. Przeszkol też kierowników, bo to oni często pierwsi słyszą o problemie. Ochrona działa od chwili zgłoszenia sprawy, nawet jeśli nikt nie wypełnił jeszcze formularza.

Powiedz ludziom, że kanał istnieje. Sam kanał nie wystarczy, jeśli nikt o nim nie wie. Umieść informację tam, gdzie pracownicy realnie zaglądają: w intranecie, na tablicy ogłoszeń, w pakiecie powitalnym dla nowych osób. Im prostszy dostęp, tym więcej spraw trafi do Ciebie, zanim urosną.

Grupy kapitałowe i firma zewnętrzna

Grupa kapitałowa może mieć wspólną procedurę. To częste nieporozumienie, więc warto je rozwiać. Podobnie firmy prywatne od 50 do 249 osób mogą umówić się na wspólne przyjmowanie i sprawdzanie zgłoszeń. Jedna wspólna skrzynka nie jest więc z góry zakazana.

Granicą jest ochrona danych. Każda spółka pozostaje odrębnym administratorem swoich danych, a jeden administrator nie widzi danych innego. Wspólna obsługa nie może więc oznaczać wspólnego worka, w którym wszyscy widzą wszystko. Dane trzeba rozdzielić i opisać to w procedurze.

Outsourcing nie zdejmuje odpowiedzialności. Przyjmowanie zgłoszeń można zlecić firmie zewnętrznej na podstawie umowy, która opisuje zakres obsługi i przetwarzanie danych. Pamiętaj jednak, że za poufność, terminową odpowiedź i działania w sprawie nadal odpowiada Twoja firma.

Ochrona sygnalisty i zakaz odwetu

Ochrona zaczyna się od chwili zgłoszenia. Sygnalista jest chroniony, jeśli miał uzasadnione podstawy sądzić, że mówi o prawdziwym naruszeniu. Nie trzeba czekać na potwierdzenie ani na wynik sprawy.

Lista działań odwetowych jest długa. To między innymi zwolnienie, obniżenie pensji, pominięcie przy awansie, zła ocena, kara dyscyplinarna, mobbing i dyskryminacja. Jeśli pracownik zgłosił naruszenie, każda niekorzystna dla niego decyzja jest z góry podejrzana, bo przepisy o działaniach odwetowych przerzucają ciężar dowodu na pracodawcę. Dlatego dokumentuj decyzje kadrowe i miej zapisany powód, który nie ma związku ze zgłoszeniem.

Odwet kosztuje. Sygnalista, wobec którego go użyto, ma prawo do odszkodowania nie niższego niż przeciętne miesięczne wynagrodzenie w gospodarce za poprzedni rok, albo do zadośćuczynienia. Nieważne są też zapisy umów, które ograniczają prawo do zgłoszenia. Tej ochrony nie da się wyłączyć aneksem ani regulaminem.

Rejestr, RODO i terminy przechowywania

Każde zgłoszenie trafia do rejestru. Firma prowadzi rejestr zgłoszeń wewnętrznych i jest administratorem zebranych danych. Rejestr obejmuje numer zgłoszenia, przedmiot sprawy, dane stron, adres do kontaktu, datę zgłoszenia, podjęte działania i datę zakończenia. Dane przechowuje się przez 3 lata po roku, w którym zamknięto sprawę.

RODO obowiązuje od pierwszej minuty. Każde zgłoszenie zawiera dane osobowe, więc trzeba je szyfrować, ograniczyć do nich dostęp i mieć jasny cel przechowywania. Dane bez znaczenia dla sprawy usuwa się w ciągu 14 dni. Stawka jest wyższa niż przy zwykłym narzędziu kadrowym, bo chodzi o ochronę osoby, która Ci zaufała.

Sam rejestr to nie wszystko. Raz na kwartał sprawdź, czy terminy są dotrzymane i czy ktoś w ogóle korzysta z kanału. Brak zgłoszeń przez wiele miesięcy to sygnał ostrzegawczy: zwykle znaczy, że ludzie nie ufają systemowi albo o nim nie wiedzą. Krótka notatka z takiego przeglądu to dobry dowód dla kontroli.

Co grozi za brak systemu?

Za brak procedury grozi grzywna. Ustawa posługuje się przepisami karnymi, nie karami w euro. Kto odpowiada za procedurę i jej nie ustanawia albo robi to z istotnym naruszeniem wymogów, podlega karze grzywny. To kara za sam brak systemu, nawet gdy do żadnego naruszenia nie doszło.

Uderzanie w sygnalistę karane jest surowiej. Za działania odwetowe grozi grzywna, ograniczenie wolności albo pozbawienie wolności do lat 2, a przy działaniu uporczywym do lat 3. Za ujawnienie tożsamości sygnalisty grozi pozbawienie wolności do roku, tyle samo za utrudnianie zgłoszenia, a z przemocą lub groźbą do lat 3. Ustawa karze też świadome zgłoszenie nieprawdy, więc ochrona nie jest zachętą do donosów.

Ile to zajmuje? Realnie kilka tygodni. Sama procedura wymaga co najmniej 5 dni konsultacji i 7 dni do wejścia w życie, a do tego dochodzi czas na napisanie dokumentu, wybór kanału i przeszkolenie osób. Lepiej zacząć z wyprzedzeniem, niż gdy pierwsze zgłoszenie już czeka.

System można prowadzić samodzielnie. Najtrudniej dotrzymać 7-dniowego terminu i utrzymać czysty rejestr, bo właśnie tu firmy potykają się najczęściej. Pomaga uporządkowane podejście, na przykład norma ISO 37002:2021, która łączy się z innymi normami ISO, jeśli już je stosujesz. Liczy się też ścieżka audytu, czyli czytelny ślad, kto i kiedy zajmował się sprawą. Zautomatyzowany kanał, taki jak WeMoral, może odbierać zgłoszenia i pilnować terminów za Ciebie, ale to Ty decydujesz, czego użyć.