Ustawa o ochronie sygnalistów weszła w życie 25 września 2024 roku. Od tego dnia każdy pracodawca zatrudniający co najmniej 50 pracowników ma obowiązek uruchomienia wewnętrznego kanału zgłoszeń. W praktyce – wiele firm nadal nie spełnia tego wymogu, narażając się na kary sięgające PLN 1 080 000 i odpowiedzialność karną.

Ustawa z 14 czerwca 2024 roku o ochronie sygnalistów nakłada na pracodawców obowiązek wdrożenia wewnętrznego kanału zgłoszeń naruszeń prawa. Obowiązek wynika z artykułu 8 ustawy o sygnalistach i dotyczy podmiotów zatrudniających co najmniej 50 osób. Kary za zaniechanie obejmują do PLN 1 080 000 grzywny oraz do 3 lat pozbawienia wolności za działania odwetowe wobec sygnalisty.

Ten alert wyjaśnia trzy rzeczy: kogo obowiązek dotyczy, jakie są minimalne wymagania techniczne kanału oraz co należy zrobić w ciągu najbliższych 30 dni.

Kogo dotyczy obowiązek i od kiedy?

Próg 50 pracowników liczy się według stanu zatrudnienia na dzień wejścia ustawy w życie. Ustawa obejmuje zarówno umowy o pracę, jak i – w określonych przypadkach – umowy cywilnoprawne. Pracodawcy z sektora finansowego, objęci regulacjami AML, podlegają obowiązkowi niezależnie od liczby zatrudnionych. Warto pamiętać, że CRBR i powiązane obowiązki compliance dotyczą tych podmiotów osobno.

Gminy i podmioty publiczne zatrudniające od 50 do 249 pracowników mogą wspólnie tworzyć jeden kanał zgłoszeń. Dla podmiotów prywatnych tej samej wielkości ustawa dopuszcza analogiczne rozwiązanie w ramach grupy kapitałowej. Jednak każda spółka odpowiada za wdrożenie samodzielnie – brak kanału u jednej ze spółek zależnych nie jest przykryty przez kanał spółki matki.

Firmy zagraniczne prowadzące działalność w Polsce – przez oddział lub spółkę zależną – podlegają ustawie na tych samych zasadach co polscy pracodawcy. Dotyczy to również podmiotów objętych wymogami compliance dla spółek zależnych ze Stanów Zjednoczonych działających w Polsce. Próg 50 pracowników liczy się dla polskiej jednostki, nie dla grupy globalnie.

Jakie są minimalne wymagania techniczne kanału zgłoszeń?

Artykuł 8 ustawy o sygnalistach określa minimalne funkcje kanału. Musi on zapewniać poufność tożsamości zgłaszającego, możliwość zgłoszenia anonimowego oraz potwierdzenie przyjęcia zgłoszenia w ciągu 7 dni. Podmiot przyjmujący zgłoszenie ma obowiązek udzielenia informacji zwrotnej sygnaliście w terminie 3 miesięcy od potwierdzenia przyjęcia.

Wymagania techniczne sprowadzają się do czterech elementów:

  • szyfrowana platforma lub dedykowana skrzynka e-mail z kontrolą dostępu,
  • procedura rejestracji i archiwizacji zgłoszeń przez minimum 3 lata,
  • wyznaczona osoba lub jednostka odpowiedzialna za obsługę zgłoszeń,
  • regulamin kanału zatwierdzony po konsultacjach ze związkami zawodowymi lub przedstawicielami pracowników.

Regulamin musi zostać skonsultowany z pracownikami przed wdrożeniem – to warunek ważności całej procedury. Konsultacje trwają co najmniej 5 dni. Pominięcie tego etapu oznacza, że kanał formalnie nie spełnia wymogów ustawy, nawet jeśli działa technicznie bez zarzutu.

Podmioty objęte raportowaniem ESG w ramach CSRD Poland powinny zintegrować kanał sygnalistów z szerszą strukturą ESG reporting i compliance. Dyrektywa CSRD (EU 2022/2464) wprost wymaga ujawniania informacji o mechanizmach zgłaszania naruszeń w raportach zrównoważonego rozwoju. Brak kanału lub jego wadliwe wdrożenie może więc wpłynąć na ocenę ESG spółki.

Dla spółek działających w kilku krajach Unii Europejskiej rozwiązaniem jest jeden kanał grupowy – pod warunkiem że spełnia wymogi każdej z jurysdykcji. Przykładowo, podmioty z oddziałami w Czechach powinny zweryfikować zgodność z lokalnymi przepisami, co omawia przewodnik compliance dla spółek zależnych z Czech działających w Polsce.

Kanał nie musi być drogi. Rozwiązania SaaS dedykowane whistleblower compliance kosztują od kilkuset złotych miesięcznie. Kluczowe jest jednak, by dostawca zapewniał szyfrowanie end-to-end i przechowywanie danych na serwerach w UE – wymóg RODO jest tu nieodłączny.

Co zrobić w ciągu najbliższych 30 dni?

Brak kanału zgłoszeń to nie tylko ryzyko kary finansowej. To przede wszystkim nieodwracalne konsekwencje w razie sporu z sygnalistą – sąd pracy może uznać brak kanału za okoliczność obciążającą pracodawcę. Działania odwetowe wobec sygnalisty zagrożone są karą do 3 lat pozbawienia wolności na podstawie artykułu 54 ustawy o sygnalistach.

Lista kontrolna – minimum na start:

  • Sprawdź stan zatrudnienia: czy próg 50 osób jest przekroczony?
  • Wybierz formę kanału: platforma SaaS, e-mail z szyfrowaniem lub rozwiązanie hybrydowe.
  • Wyznacz osobę odpowiedzialną za obsługę zgłoszeń i nadaj jej odpowiednie uprawnienia.
  • Opracuj regulamin i przeprowadź konsultacje pracownicze (minimum 5 dni).
  • Poinformuj pracowników o uruchomieniu kanału – najlepiej pisemnie.

Firmy z sektora nieruchomości, które zarządzają nieruchomościami komercyjnymi i zatrudniają powyżej progu, powinny uwzględnić kanał sygnalistów w szerszym programie compliance. Więcej o specyfice polskiego rynku nieruchomości i obowiązkach compliance znajdziesz w przewodniku po zakupie nieruchomości w Polsce.

Konkretna sytuacja Państwa firmy – liczba zatrudnionych, struktura grupy, branża – decyduje o tym, które wymagania techniczne są dla Was obowiązkowe, a które fakultatywne. Pominięcie choćby jednego elementu może unieważnić cały kanał i narazić spółkę na nieodwracalne skutki prawne.

Jeśli Państwa spółka zatrudnia co najmniej 50 osób i nie uruchomiła jeszcze kanału zgłoszeń – przeprowadzimy audyt gotowości, przygotujemy regulamin i wesprzemy konsultacje pracownicze: info@kordeckipartners.com.

Często zadawane pytania

P: Czy kanał sygnalistów musi być oddzielnym systemem informatycznym?

O: Nie. Ustawa nie wymaga dedykowanego systemu IT. Wystarczy każde rozwiązanie zapewniające poufność, szyfrowanie i archiwizację zgłoszeń przez 3 lata. Może to być zaszyfrowana skrzynka e-mail, platforma SaaS lub formularz na stronie intranetowej – pod warunkiem spełnienia wymogów technicznych artykułu 8 ustawy o sygnalistach.

P: Co grozi za brak kanału zgłoszeń?

O: Ustawa przewiduje grzywnę do PLN 1 080 000 za utrudnianie zgłoszeń oraz do 3 lat pozbawienia wolności za działania odwetowe wobec sygnalisty. Brak kanału może być również przesłanką obciążającą pracodawcę w sporze sądowym z pracownikiem. Ryzyko jest więc zarówno finansowe, jak i reputacyjne.

P: Czy spółka zależna może korzystać z kanału spółki matki?

O: Tak, ale z ograniczeniami. Podmioty zatrudniające od 50 do 249 pracowników mogą korzystać ze wspólnego kanału w ramach grupy. Podmioty zatrudniające 250 i więcej osób muszą posiadać własny, odrębny kanał. W każdym przypadku kanał grupowy musi spełniać wymogi polskiej ustawy – samo wdrożenie na poziomie grupy zagranicznej nie jest wystarczające.

KORDECKI & Partners to kancelaria prawna z siedzibą w Warszawie i Krakowie, doradzająca klientom biznesowym w 30 jurysdykcjach. Zespół łączy doświadczenie w prawie polskim i międzynarodowym z praktycznym podejściem do compliance, ESG i ochrony sygnalistów. Pracujemy z polskimi przedsiębiorcami, inwestorami zagranicznymi i działami prawnymi korporacji. W sprawie Państwa sytuacji: info@kordeckipartners.com.

Zastrzeżenie: Niniejsza publikacja służy wyłącznie celom informacyjnym i nie stanowi porady prawnej. Informacje zawarte w materiale nie powinny być traktowane jako substytut profesjonalnej porady prawnej dostosowanej do konkretnych okoliczności. KORDECKI & Partners nie ponosi odpowiedzialności za działania podjęte lub zaniechane na podstawie treści tego materiału. W sprawie porady dotyczącej Państwa konkretnej sytuacji prosimy o kontakt: info@kordeckipartners.com.