Kanał sygnalistów – przewodnik wdrożeniowy

Firma zatrudniająca 60 osób dowiaduje się, że pracownik zgłosił nieprawidłowości bezpośrednio do Państwowej Inspekcji Pracy – zamiast skorzystać z wewnętrznego kanału. Powód? Kanał nie istniał. Konsekwencja? Postępowanie zewnętrzne, utrata kontroli nad informacją i realne ryzyko kary do 1 080 000 zł. Ustawa o sygnalistach z 14 czerwca 2024 r. obowiązuje od 25 września 2024 r. i nie daje pracodawcom wyboru.

Ustawa o sygnalistach (ustawa z 14 czerwca 2024 r. o ochronie sygnalistów) nakłada na pracodawców zatrudniających co najmniej 50 pracowników obowiązek wdrożenia wewnętrznego kanału zgłoszeń. Podstawę stanowi artykuł 8 ustawy o sygnalistach. Za brak kanału lub działania odwetowe wobec sygnalisty grożą kary do 1 080 000 zł oraz do 3 lat pozbawienia wolności – zgodnie z artykułem 54 ustawy.

Poniższy przewodnik prowadzi pracodawcę przez cały proces wdrożenia: od oceny obowiązku, przez projekt procedury, po uruchomienie kanału i przegląd po pierwszym roku. Każdy etap zawiera konkretne terminy, listę dokumentów i typowe błędy. Artykuł adresowany jest do działów HR, zarządów spółek z o.o. oraz menedżerów compliance – niezależnie od branży.

Kogo dotyczy obowiązek i jakie są progi zatrudnienia?

Obowiązek wdrożenia kanału zgłoszeń wewnętrznych dotyczy pracodawców z sektora prywatnego zatrudniających co najmniej 50 pracowników. Liczy się stan na dzień 1 stycznia danego roku. Próg obejmuje wszystkich pracowników w rozumieniu Kodeksu pracy – bez względu na wymiar etatu. Pracodawcy z sektora finansowego, banki i firmy inwestycyjne muszą wdrożyć kanał niezależnie od liczby pracowników.

Ustawa posługuje się pojęciem „pracownika" w szerokim znaczeniu. Obejmuje ono osoby zatrudnione na umowę o pracę, ale też – w zakresie ochrony przed odwetem – zleceniobiorców, stażystów i kandydatów do pracy. To częsty błąd interpretacyjny: pracodawca liczy tylko etaty, a tymczasem ustawa wymaga szerszego spojrzenia na strukturę zatrudnienia.

Grupy kapitałowe mogą wdrożyć wspólny kanał dla kilku spółek – pod warunkiem, że każda spółka zachowuje odrębność w zakresie rozpatrywania zgłoszeń dotyczących jej działalności. Wspólny kanał nie zwalnia spółki zależnej z odpowiedzialności za własne postępowanie wyjaśniające. W praktyce – wiele grup o tym zapomina – i tworzą jeden regulamin dla wszystkich podmiotów bez analizy, czy nie dochodzi do konfliktu interesów przy rozpatrywaniu zgłoszeń.

Pracodawcy zatrudniający od 50 do 249 pracowników mogli korzystać z wydłużonego terminu na wdrożenie – do 17 grudnia 2023 r. (termin wynikał z implementacji dyrektywy UE). Ustawa polska weszła w życie 25 września 2024 r. Oznacza to, że wszyscy objęci pracodawcy są już w zwłoce, jeśli kanał nie funkcjonuje. Państwowa Inspekcja Pracy (PIP) oraz prokuratura są uprawnione do wszczęcia postępowania.

Jak krok po kroku wdrożyć kanał zgłoszeń?

Wdrożenie kanału przebiega w pięciu etapach. Każdy etap ma konkretny produkt końcowy i szacowany czas realizacji. Łączny czas wdrożenia – przy pełnym zaangażowaniu zespołu – wynosi od 6 do 10 tygodni. Poniżej przedstawiamy poszczególne kroki.

Etap 1 – diagnoza (tydzień 1–2). Pracodawca ustala liczbę pracowników, sprawdza przynależność do sektora finansowego i ocenia, czy spółka wchodzi w skład grupy kapitałowej. Na tym etapie powstaje notatka prawna z oceną obowiązku. Należy też zdecydować, czy kanał będzie obsługiwany wewnętrznie (np. przez dział compliance lub HR), czy zewnętrznie przez podmiot trzeci.

Etap 2 – projekt procedury (tydzień 2–4). Procedura musi określać: sposób przyjmowania zgłoszeń, termin potwierdzenia przyjęcia (7 dni od zgłoszenia), termin udzielenia informacji zwrotnej (maksymalnie 3 miesiące), zasady zachowania poufności i zakres ochrony sygnalisty. Procedurę sporządza się w formie pisemnej i poddaje konsultacjom ze związkami zawodowymi lub przedstawicielami pracowników – na co ustawa przewiduje co najmniej 5 dni.

Etap 3 – wybór narzędzia (tydzień 3–5). Kanał może mieć formę elektroniczną (dedykowana platforma, formularz on-line, zaszyfrowany e-mail), telefoniczną (linia z możliwością nagrania lub transkrypcji) lub fizyczną (skrzynka na zgłoszenia). Każda forma jest dopuszczalna, o ile zapewnia poufność tożsamości sygnalisty. Koszty prostego rozwiązania elektronicznego zaczynają się od kilkuset złotych miesięcznie za licencję SaaS.

Etap 4 – wdrożenie i szkolenia (tydzień 5–8). Pracownicy muszą zostać poinformowani o istnieniu kanału i zasadach korzystania z niego. Nie ma wymogu odbycia szkolenia w formie stacjonarnej – wystarczy komunikat pisemny lub intranetowy. Osoby przyjmujące zgłoszenia powinny jednak przejść dedykowane szkolenie z zakresu poufności i postępowania wyjaśniającego.

Etap 5 – przegląd po 12 miesiącach. Ustawa nie wymaga corocznego audytu, ale dobra praktyka nakazuje weryfikację procedury po pierwszym roku. Należy sprawdzić, czy kanał był dostępny, czy zgłoszenia były rozpatrywane w terminie i czy nie doszło do naruszeń poufności.

Aby wdrożenie przebiegło sprawnie, warto przygotować następujące dokumenty:

notatka prawna z oceną obowiązku (etap 1)
procedura zgłoszeń wewnętrznych wraz z potwierdzeniem konsultacji
regulamin kanału (może być częścią procedury lub odrębnym dokumentem)
komunikat dla pracowników z instrukcją korzystania z kanału
rejestr zgłoszeń (z zachowaniem poufności danych osobowych)

Mikroprzedsiębiorstwo zatrudniające 12 osób z branży IT w Krakowie – jesienią 2024 r. – zwróciło się do kancelarii z pytaniem, czy obowiązek ich dotyczy. Odpowiedź była prosta: nie. Próg 50 pracowników nie był osiągnięty. Firma oszczędziła czas i koszty wdrożenia, kierując zasoby na inne obszary compliance. To przykład, że diagnoza jest pierwszym i najważniejszym krokiem.

Konkretna sytuacja Państwa firmy wymaga oceny, czy spełniony jest próg zatrudnienia, jaka forma kanału jest optymalna i czy istniejące procedury wymagają uzupełnienia. Błędna ocena na tym etapie może prowadzić do nieodwracalnych konsekwencji – braku ochrony sygnalisty i odpowiedzialności karnej zarządu.

Jeśli Państwa spółka zatrudnia powyżej 50 pracowników i nie wdrożyła jeszcze kanału zgłoszeń – przeprowadzimy diagnozę, przygotujemy procedurę i przeprowadzimy konsultacje z przedstawicielami pracowników: info@kordeckipartners.com.

Jakie błędy najczęściej popełniają pracodawcy przy wdrożeniu?

Kanał formalnie istnieje, ale nie działa – to najczęstszy problem, z jakim spotykamy się w praktyce. Pracodawca wdraża procedurę, ogłasza kanał, a następnie nie wyznacza osoby odpowiedzialnej za obsługę zgłoszeń. Sygnalista wysyła wiadomość i nie otrzymuje potwierdzenia w ciągu 7 dni. Skutek: naruszenie ustawy, mimo że kanał technicznie „istnieje".

Drugi typowy błąd to brak poufności. Pracodawcy korzystają ze zwykłego adresu e-mail działu HR, dostępnego dla wielu osób. Tożsamość sygnalisty staje się znana przełożonemu, którego dotyczy zgłoszenie. To nie tylko naruszenie ustawy – to prosta droga do działań odwetowych i odpowiedzialności karnej na podstawie art. 54 ustawy o sygnalistach.

Trzeci błąd dotyczy zakresu podmiotowego ochrony. Pracodawcy chronią wyłącznie pracowników etatowych, zapominając o zleceniobiorcach, stażystach i osobach prowadzących jednoosobową działalność gospodarczą, które świadczą usługi na rzecz pracodawcy. Ustawa obejmuje ochroną wszystkie te osoby – a działanie odwetowe wobec zleceniobiorcy jest tak samo karalne jak wobec pracownika.

Czwarty błąd to nieprowadzenie rejestru zgłoszeń. Rejestr jest obowiązkowy. Musi zawierać datę zgłoszenia, przedmiot, status postępowania i datę zamknięcia sprawy. Dane osobowe sygnalisty są chronione i nie mogą być ujawniane bez jego zgody. Brak rejestru uniemożliwia wykazanie, że pracodawca dochował terminów ustawowych.

Spółka produkcyjna z Mazowsza – wiosną 2025 r. – skontaktowała się z kancelarią po tym, jak pracownik złożył skargę do PIP na brak kanału zgłoszeń. Pracodawca posiadał procedurę, ale nie przeprowadził konsultacji z przedstawicielami pracowników przed jej wdrożeniem. Procedura była nieważna. Konieczne okazało się ponowne przeprowadzenie całego procesu konsultacyjnego i aktualizacja dokumentacji. Koszt – znacznie wyższy niż koszt prawidłowego wdrożenia od początku.

Jak wdrożenie wygląda w trzech scenariuszach biznesowych?

Prawo pracy i ustawa o sygnalistach stosują się tak samo do firmy produkcyjnej, jak do spółki IT czy zagranicznego inwestora. Różni się jednak kontekst operacyjny, skala ryzyka i sposób organizacji kanału. Poniżej trzy scenariusze – z konkretnymi wskazówkami dla każdego.

Scenariusz 1 – firma produkcyjna (150 pracowników, Śląsk). Duże zakłady produkcyjne zatrudniają pracowników zmianowych z ograniczonym dostępem do komputerów. Kanał elektroniczny musi być uzupełniony o linię telefoniczną lub fizyczną skrzynkę zgłoszeń. Procedura powinna być dostępna w języku polskim i – jeśli w zakładzie pracują cudzoziemcy – w języku ukraińskim lub angielskim. Kwestia zezwolenia na pracę i statusu prawnego pracownika migrującego jest istotna przy ocenie zakresu ochrony – sygnalista cudzoziemiec korzysta z tej samej ochrony co obywatel polski.

Scenariusz 2 – spółka IT (55 pracowników, Kraków). Branża technologiczna zatrudnia wielu specjalistów na kontraktach B2B. Ustawa obejmuje ochroną osoby świadczące pracę na podstawie umów cywilnoprawnych – w tym właśnie B2B. Kanał musi być dostępny dla kontraktorów. Spółki IT często korzystają z narzędzi SaaS do zarządzania projektami – warto zintegrować kanał zgłoszeń z istniejącą infrastrukturą, zachowując pełną separację danych i poufność. Kwestia prawa pracy w kontekście B2B wymaga odrębnej analizy przy każdym wdrożeniu.

Scenariusz 3 – zagraniczny inwestor (oddział w Polsce, 80 pracowników). Inwestor zagraniczny wchodzący na rynek polski często posiada globalną politykę whistleblowingową. Polska ustawa wymaga jednak, by procedura była sporządzona w języku polskim i by postępowanie wyjaśniające było prowadzone zgodnie z polskim prawem. Globalna polityka grupy nie zastępuje polskiej procedury. Blue Card Polska i przepisy o mobilności pracowników mogą wpływać na skład zespołu rozpatrującego zgłoszenia – osoba odpowiedzialna za kanał powinna posiadać znajomość polskich regulacji zatrudnienia.

Często zadawane pytania

P: Ile kosztuje wdrożenie kanału zgłoszeń i czy można to zrobić bez prawnika?

O: Samo wdrożenie technicznego narzędzia (platforma SaaS) to koszt od kilkuset do kilku tysięcy złotych rocznie, w zależności od dostawcy. Sporządzenie procedury i przeprowadzenie konsultacji z pracownikami można wykonać wewnętrznie – pod warunkiem, że dział HR posiada wystarczającą wiedzę prawną. W praktyce kancelarie prawa pracy pobierają za pełne wdrożenie od 3 000 do 12 000 zł netto, w zależności od skali i złożoności struktury zatrudnienia. Błędy w procedurze – jak brak konsultacji lub nieprawidłowy zakres ochrony – mogą kosztować wielokrotnie więcej.

P: Czy pracodawca musi prowadzić rejestr zgłoszeń i jak długo go przechowywać?

O: Tak, rejestr zgłoszeń jest obowiązkowy na podstawie ustawy o sygnalistach. Musi zawierać datę zgłoszenia, przedmiot naruszenia, status postępowania i datę zamknięcia sprawy. Dane osobowe sygnalisty są chronione – nie mogą być ujawniane bez jego zgody. Ustawa nie określa wprost okresu przechowywania rejestru, jednak zasady ogólne wynikające z rozporządzenia RODO (Rozporządzenie UE 2016/679) wskazują na konieczność przechowywania danych przez okres niezbędny do celów, dla których zostały zebrane – w praktyce przyjmuje się co najmniej 5 lat.

P: Czy kanał zgłoszeń obejmuje wyłącznie naruszenia prawa pracy?

O: To częste nieporozumienie. Kanał obejmuje znacznie szerszy zakres naruszeń: prawo podatkowe, ochronę środowiska, zamówienia publiczne, ochronę konsumentów, bezpieczeństwo produktów, ochronę danych osobowych i wiele innych dziedzin prawa Unii Europejskiej. Pracodawca może zawęzić zakres kanału do naruszeń prawa pracy i prawa korporacyjnego – ale musi to wyraźnie wskazać w procedurze i poinformować pracowników, jakie kategorie zgłoszeń są przyjmowane wewnętrznie, a jakie wymagają zgłoszenia do organu zewnętrznego.

Co przygotować przed wdrożeniem kanału – lista kontrolna

Przed uruchomieniem kanału zgłoszeń każdy pracodawca powinien zweryfikować kilka kluczowych elementów. Pominięcie któregokolwiek z nich prowadzi do wadliwości całej procedury.

Ocena progu zatrudnienia – ustalenie liczby pracowników na 1 stycznia roku wdrożenia, z uwzględnieniem umów cywilnoprawnych w zakresie ochrony sygnalisty
Wybór formy kanału – elektroniczna, telefoniczna lub fizyczna, z zapewnieniem poufności tożsamości zgłaszającego
Sporządzenie procedury – z terminami (7 dni na potwierdzenie, 3 miesiące na informację zwrotną) i zakresem ochrony
Konsultacje z pracownikami – co najmniej 5-dniowy okres konsultacji ze związkami zawodowymi lub przedstawicielami pracowników
Wyznaczenie osoby odpowiedzialnej – z pisemnym zakresem obowiązków i szkoleniem z poufności

Konkretna sytuacja Państwa firmy – w zakresie liczby pracowników, struktury zatrudnienia i branży – wymaga indywidualnej oceny. Brak prawidłowo wdrożonego kanału zgłoszeń jest stanem nieodwracalnym w chwili wszczęcia postępowania przez PIP lub prokuraturę.

Jeśli Państwa spółka zatrudnia powyżej 50 pracowników i potrzebuje wdrożenia kanału zgłoszeń, weryfikacji istniejącej procedury lub przeszkolenia osób odpowiedzialnych za obsługę zgłoszeń – przeprowadzimy pełny proces wdrożeniowy zgodny z ustawą o sygnalistach: info@kordeckipartners.com.

KORDECKI & Partners to kancelaria prawna z siedzibą w Warszawie i Krakowie, doradzająca klientom biznesowym w 30 jurysdykcjach. Zespół łączy doświadczenie w prawie polskim i międzynarodowym z praktycznym podejściem do prawa pracy i mobilności globalnej. Pracujemy z polskimi przedsiębiorcami, inwestorami zagranicznymi i działami prawnymi korporacji. W sprawie Państwa sytuacji: info@kordeckipartners.com.

Olga Adamczyk kieruje praktyką prawa pracy i mobilności globalnej oraz koordynuje Ukrainian Desk i CIS Desk kancelarii. Doradzała przy ponad 200 zezwoleniach na pracę od 2023 r.