Whistleblower czyli Sygnalista

Unia Europejska Dyrektywą UE 2019/1937 z 23.10.2019 w sprawię ochrony osób zgłaszających naruszenia prawa Unii wprowadza szeroką ochronę sygnalistów.

Kto to taki Sygnalista? Sygnalista (inaczej: zgłaszający naruszenie prawa) to osoba, która ma dostęp do informacji dotyczących nieprawidłowości i zgłasza je albo w ramach wewnętrznego systemu raportowania u swojego pracodawcy, albo dokonuje zgłoszenia tzw. zewnętrznego do właściwych organów (porządku publicznego), albo dokonuje ujawnienia publicznego, oczekując, iż zostaną podjęte odpowiednie środki w celu usunięcia stwierdzonych naruszeń.

Nagłośnione przez sygnalistów przypadki korupcji, prania pieniędzy czy oszustw mają często bardzo szeroki zasięg i dotyczą interesu publicznego. Podobne sytuacje zdarzają się także w przedsiębiorstwach, urzędnicy w Brukseli stwierdzili, że zgłoszenie naruszeń prawa do organów porządku publicznego (prokuratury) to za mało, gdyż zgłaszający wtedy był pozostawiony sam sobie, pozbawiony gwarancji ochrony przed działaniami odwetowymi za dokonanie zgłoszenia. Utrata pracy, blokada awansu czy innego rodzaju utrudnienia ze strony pracodawcy będącego podmiotem zgłoszenia, to tylko kilka przykładów tego, na co narażeni mogą być sygnaliści. Dyrektywa jest odpowiedzią na konieczność zagwarantowania bezpieczeństwa takim osobom.

Katalog osób objętych ochroną ustawy przy zgłoszeniach wewnętrznych jest szeroki i dotyczy nie tylko samego sygnalisty, ale i osób z jego otoczenia. W ustawie znajdujemy zatem osobę, która zgłasza lub ujawnia informację o naruszeniu prawa, ale i osobę pomagającą w dokonaniu zgłoszenia oraz osobę powiązaną ze zgłaszającym, w tym współpracownika lub członka rodziny.
Dla sygnalisty kwestią podstawową jest ochrona jego danych osobowych. Projekt ustawy o zgłaszających naruszenia prawa wprowadza zasadę, iż dane osobowe zgłaszającego oraz inne dane pozwalające na ustalenie jego tożsamości – nie podlegają ujawnieniu. Dlatego ustawa wymagać będzie, aby dane osobowe przechowywać osobno od samego zgłoszenia.

W konsekwencji w rejestrze zgłoszeń, które musi prowadzić pracodawca, nie będą umieszczane dane osobowe. Taka konieczność usuwania ze zgłoszenia danych osobowych i przenoszenia ich do innej lokalizacji wymagać będzie od pracodawców sprawnie działającego systemu obsługi zgłoszeń oraz utworzenia wyspecjalizowanego zespołu do ich przyjmowania. A przyjmowanie zgłoszeń powinno umożliwiać złożenie pisemne (e-mail, formularz online intranetowej lub internetowej obsługi, fizyczne skrzynki na skargi i wnioski) i ustne (telefonicznie, innych systemów komunikacji głosowej lub na spotkaniu na wniosek osoby zgłaszającej w rozsądnym terminie).

Z uwagi na nieuchwalenie polskiej ustawy w terminie wskazanym w Dyrektywie czyli do 17 grudnia 2021 r., wiele organizacji stanęło przed dylematem, czy i jak przygotować się na nowe przepisy. Szczególnie że w projekcie przewiduje się sankcje za brak wewnętrznej procedury zgłaszania naruszeń prawa. Obok grzywny jest kara ograniczenia wolności do lat 3.
Z Dyrektywy wynika, że podmiot zatrudniający od 250 pracowników będzie miał wyłącznie 14 dni na wdrożenie ustawy, organizacje zatrudniające od 50 do 249 pracowników będą mogły skorzystać z okresu vacatio legis zapisanego w ustawie krajowej. W tym czasie organizacja powinna przygotować się do nowych regulacji, wdrożyć m.in. system zgłoszeń, dokonać zmian w regulaminie, który musi ustalić ze związkami lub przedstawicielami pracowników. Należy pamiętać, że każda zmiana w Regulaminie musi być ogłoszona z dwutygodniowym wyprzedzeniem. Widać gołym okiem brak czasu na jakiekolwiek działania analityczne.

Artur Majchrzycki – Inspektor Ochrony Danych,
ekspert ds. ochrony danych osobowych,
audytor Wewnętrzny Systemów Zarządzania Bezpieczeństwem
Informacji zgodnego z ISO/IEC 27001.

Kontakt do autora:
tel. 501 15 11 15
email: a.majchrzycki@moment24.pl