Kanał sygnalistów – przewodnik wdrożeniowy

Firma z Mazowsza zatrudnia 80 pracowników. Prezes wie, że ustawa o sygnalistach obowiązuje od 25 września 2024 r. Wie też, że trzeba „coś zrobić". W praktyce – wiele firm o tym zapomina – „coś zrobić" oznacza konkretny system z regulaminem, kanałem technicznym, rejestrem zgłoszeń i przeszkolonym koordynatorem. Bez tego grozi kara do PLN 1 080 000 lub nawet 3 lata pozbawienia wolności za działania odwetowe wobec sygnalisty.

Ustawa z 14 czerwca 2024 roku o ochronie sygnalistów nakłada na pracodawców zatrudniających co najmniej 50 pracowników obowiązek uruchomienia wewnętrznego kanału zgłoszeń. Obowiązek wynika wprost z artykułu 8 ustawy o sygnalistach. Termin wejścia w życie przepisów dla tej grupy pracodawców upłynął 25 września 2024 roku – brak wdrożenia oznacza odpowiedzialność karną zarządu i wysokie sankcje finansowe.

Ten przewodnik pokazuje, jak krok po kroku zbudować zgodny z prawem system zgłoszeń wewnętrznych. Omawiamy wymogi regulacyjne, najczęstsze błędy wdrożeniowe, specyfikę podmiotów wielonarodowych oraz listę kontrolną gotowości. Każdy z etapów jest zilustrowany praktycznym przykładem z polskiego rynku.

Jakie obowiązki nakłada ustawa o sygnalistach na pracodawcę?

Ustawa o ochronie sygnalistów z 14 czerwca 2024 r. implementuje dyrektywę Parlamentu Europejskiego i Rady (UE) 2019/1937. Pracodawca zatrudniający co najmniej 50 osób musi uruchomić wewnętrzny kanał zgłoszeń, wyznaczyć osobę lub jednostkę odpowiedzialną za obsługę zgłoszeń oraz prowadzić rejestr. Próg 50 pracowników liczy się w przeliczeniu na etaty – nie według liczby umów.

Artykuł 8 ustawy o sygnalistach określa minimalne wymogi techniczne i organizacyjne kanału. Zgłoszenia mogą być przyjmowane pisemnie (w tym elektronicznie) lub ustnie – w tym telefonicznie lub przez nagranie głosu. Każdy tryb musi zapewniać poufność tożsamości sygnalisty oraz ochronę danych osobowych zgodnie z RODO. Naruszenie poufności to odrębne przestępstwo z art. 54 ustawy.

Pracodawca musi potwierdzić przyjęcie zgłoszenia w ciągu 7 dni. Następnie ma 3 miesiące na przekazanie sygnaliście informacji zwrotnej o podjętych działaniach. Terminy te są bezwzględne – ich przekroczenie samo w sobie nie jest przestępstwem, ale stanowi dowód w postępowaniu o działania odwetowe. Warto też pamiętać, że Państwowa Inspekcja Pracy (PIP) jest jednym z organów kontrolnych uprawnionych do weryfikacji wdrożenia.

Zakres przedmiotowy ochrony jest szeroki. Obejmuje naruszenia prawa pracy, prawa podatkowego, przepisów finansowych, ochrony środowiska, bezpieczeństwa produktów, zamówień publicznych i wielu innych obszarów wskazanych w ustawie. Pracodawca może – ale nie musi – rozszerzyć zakres kanału na naruszenia wewnętrznych regulaminów i kodeksów etycznych. Rozszerzenie to warto odnotować w regulaminie kanału.

Jak zbudować kanał zgłoszeń krok po kroku?

Budowa kanału to projekt, nie jednorazowa czynność. Składa się z czterech etapów: analizy stanu obecnego, opracowania dokumentacji, wdrożenia technicznego i szkolenia. Dla pracodawcy zatrudniającego 80–200 pracowników cały projekt trwa od 4 do 8 tygodni. Przy organizacjach powyżej 1 000 pracowników – od 3 do 6 miesięcy.

Etap pierwszy to audyt prawny i organizacyjny. Pracodawca ustala, ile osób zatrudnia (łącznie ze zleceniobiorcami i B2B, jeśli mają dostęp do informacji objętych kanałem), jakie procesy wymagają objęcia kanałem i czy istnieje już jakaś procedura compliance. Firma IT z Małopolski, z którą pracowaliśmy jesienią 2024 r., odkryła na tym etapie, że jej „skrzynka etyczna" nie spełniała wymogów poufności – brakowało szyfrowania i separacji dostępów administratora IT.

Etap drugi to dokumentacja. Regulamin kanału zgłoszeń powinien zawierać: zakres podmiotowy (kto może zgłaszać), zakres przedmiotowy (co można zgłaszać), tryb przyjmowania zgłoszeń, zasady poufności, procedurę działań następczych i zakaz odwetu. Regulamin podlega konsultacjom ze związkami zawodowymi lub przedstawicielami pracowników – ustawowy termin konsultacji wynosi 5 dni, choć w praktyce warto zarezerwować 14 dni.

Etap trzeci to wdrożenie techniczne. Kanał może działać jako dedykowane oprogramowanie (SaaS), moduł w systemie kadrowym, zaszyfrowana skrzynka e-mail lub infolinia telefoniczna. Każde rozwiązanie musi zapewnić możliwość anonimowego zgłoszenia – to wymóg ustawowy, nie opcja. Etap czwarty to szkolenie koordynatora i kadry kierowniczej z zasad postępowania po otrzymaniu zgłoszenia.

Co przygotować przed wdrożeniem – lista kontrolna:

Potwierdzenie liczby zatrudnionych (etaty + umowy cywilnoprawne z dostępem do informacji)
Powołanie koordynatora lub wyznaczenie zewnętrznego podmiotu obsługującego zgłoszenia
Projekt regulaminu kanału z zakresem przedmiotowym i podmiotowym
Wybór narzędzia technicznego spełniającego wymogi RODO i poufności
Harmonogram konsultacji z przedstawicielami pracowników (min. 5 dni roboczych)

Uważamy, że bezpieczniejszym rozwiązaniem jest powierzenie funkcji koordynatora zewnętrznemu podmiotowi – kancelarii prawnej lub firmie compliance. Eliminuje to ryzyko konfliktu interesów, gdy zgłoszenie dotyczy kadry zarządzającej. W praktyce – wiele firm o tym zapomina – wewnętrzny koordynator podległy zarządowi nie może obiektywnie rozpatrzyć zgłoszenia przeciwko prezesowi.

Aby uzyskać ocenę gotowości Państwa organizacji do wdrożenia kanału sygnalistów, napisz do info@kordeckipartners.com.

Konkretna sytuacja Państwa firmy – zwłaszcza gdy zatrudnienie przekracza 50 osób, a kanał nie działa – może prowadzić do nieodwracalnych konsekwencji karnych dla zarządu. Każdy miesiąc opóźnienia to kolejny miesiąc narażenia na odpowiedzialność osobistą.

Jeśli Państwa spółka zatrudnia co najmniej 50 pracowników i nie uruchomiła jeszcze kanału zgłoszeń – przeprowadzimy audyt, opracujemy dokumentację i wdrożymy system w ciągu 4–6 tygodni: info@kordeckipartners.com.

Jakie błędy popełniają pracodawcy przy wdrożeniu?

Błąd pierwszy – pozorna anonimowość. Pracodawca uruchamia skrzynkę e-mail na firmowym serwerze. Administrator IT ma dostęp do metadanych i może zidentyfikować nadawcę. To naruszenie art. 8 ustawy o sygnalistach, nawet jeśli regulamin deklaruje poufność. Rozwiązanie: dedykowana platforma z szyfrowaniem end-to-end lub zewnętrzna skrzynka poza infrastrukturą pracodawcy.

Błąd drugi – nieprawidłowe konsultacje. Regulamin kanału wymaga konsultacji ze związkami zawodowymi lub – przy ich braku – z przedstawicielami pracowników wyłonionymi w trybie przyjętym u pracodawcy. Pominięcie tego kroku powoduje nieważność regulaminu. Producent z Wielkopolski pominął ten etap wiosną 2025 r. i musiał powtórzyć całą procedurę – stracił 6 tygodni i naraził się na postępowanie PIP.

Błąd trzeci – zbyt wąski zakres podmiotowy. Ustawa chroni nie tylko pracowników w rozumieniu Kodeksu pracy. Ochroną objęci są również zleceniobiorcy, B2B, stażyści, wolontariusze, akcjonariusze i byli pracownicy – jeśli informację o naruszeniu uzyskali w związku ze współpracą z pracodawcą. Pominięcie tych grup w regulaminie nie zwalnia pracodawcy z odpowiedzialności za działania odwetowe wobec nich.

Błąd czwarty – brak rejestru zgłoszeń. Ustawa wymaga prowadzenia rejestru przez co najmniej 3 lata od końca roku, w którym zamknięto sprawę. Rejestr musi zawierać datę zgłoszenia, przedmiot, status sprawy i datę zamknięcia. Brak rejestru uniemożliwia pracodawcy wykazanie, że działał zgodnie z procedurą – co w sporze sądowym działa na jego niekorzyść.

Błąd piąty – działania odwetowe po zgłoszeniu. Art. 54 ustawy o sygnalistach penalizuje każdą formę odwetu: wypowiedzenie, zmianę warunków zatrudnienia, pominięcie przy awansie, mobbing, wykluczenie społeczne. Zagrożenie to kara do 3 lat pozbawienia wolności. Co istotne – zakaz odwetu obowiązuje nawet wtedy, gdy zgłoszenie okazało się nieprawdziwe, o ile sygnalista działał w dobrej wierze. Zagadnienie mobbingu w miejscu pracy jest szerzej omówione w naszym artykule o mobbingu w miejscu pracy i obowiązkach pracodawcy.

Czy kanał sygnalistów dotyczy grup kapitałowych i podmiotów zagranicznych?

Dla grup kapitałowych ustawa przewiduje możliwość stworzenia wspólnego kanału zgłoszeń – pod warunkiem że każda spółka zatrudniająca od 50 do 249 pracowników zachowuje możliwość przyjmowania zgłoszeń dotyczących jej samej. Spółki zatrudniające 250+ pracowników muszą prowadzić własny kanał. Wspólny kanał grupy nie zwalnia poszczególnych spółek z obowiązku wyznaczenia koordynatora i prowadzenia własnego rejestru.

Zagraniczny inwestor wchodzący na rynek polski musi uwzględnić, że polska ustawa o sygnalistach może być surowsza niż regulacje w jego kraju macierzystym. Dotyczy to zwłaszcza zakresu podmiotowego (szerszy niż w dyrektywie unijnej) i terminów odpowiedzi (7 dni na potwierdzenie, 3 miesiące na informację zwrotną). Globalny system whistleblowingowy musi zostać dostosowany do polskich wymogów – nie wystarczy przetłumaczenie angielskiego regulaminu.

Z perspektywy prawa pracy – a konkretnie art. 25(1) § 1 k.p. i art. 36 § 1 k.p. – kanał sygnalistów nie zastępuje wewnętrznych procedur HR. Jest odrębnym systemem. Pracodawca zatrudniający pracowników na umowach terminowych i stałych musi zapewnić dostęp do kanału wszystkim kategoriom zatrudnienia. Pracownicy delegowani z zagranicy – np. korzystający z Blue Card Polska lub zezwolenia na pracę – są objęci ochroną sygnalistów tak samo jak pracownicy lokalni.

Warto też zwrócić uwagę na kwestię języka. Pracownicy zagraniczni mają prawo do zgłoszenia w języku, który rozumieją – pracodawca powinien przewidzieć obsługę zgłoszeń co najmniej w języku angielskim. W dużych organizacjach z pracownikami z Ukrainy lub krajów WNP warto rozważyć obsługę w języku ukraińskim lub rosyjskim. Kancelaria prawa pracy może pomóc w opracowaniu wielojęzycznej dokumentacji kanału.

Zagadnienie restrukturyzacji i wpływu postępowania restrukturyzacyjnego na obowiązki compliance – w tym obowiązki wynikające z ustawy o sygnalistach – omawia nasz artykuł o pre-pack w Polsce: procedura i harmonogram.

Jakie sankcje grożą za brak kanału sygnalistów?

Ustawa o sygnalistach przewiduje dwie warstwy odpowiedzialności: karną i cywilną. Warstwa karna dotyczy konkretnych czynów zabronionych. Warstwa cywilna – odszkodowania dla sygnalisty, który doznał działań odwetowych. Obie mogą wystąpić jednocześnie i obciążać zarówno spółkę, jak i indywidualnych menedżerów.

Art. 54 ustawy o sygnalistach zagrożony jest karą do PLN 1 080 000 i do 3 lat pozbawienia wolności. Dotyczy on: udaremniania zgłoszeń, działań odwetowych wobec sygnalisty, naruszenia poufności tożsamości sygnalisty oraz ujawnienia informacji objętych zgłoszeniem. Odpowiedzialność ponosi osoba fizyczna – menedżer, kierownik HR, koordynator – nie tylko spółka jako podmiot.

Warstwa cywilna jest równie dotkliwa. Sygnalista, który doznał działań odwetowych, może żądać odszkodowania w wysokości co najmniej równowartości 3-miesięcznego minimalnego wynagrodzenia – bez górnego limitu. Ciężar dowodu jest odwrócony: to pracodawca musi wykazać, że działanie wobec sygnalisty nie było odwetem. Brak dokumentacji kanału i rejestru zgłoszeń praktycznie uniemożliwia tę obronę.

PIP może przeprowadzić kontrolę w każdym czasie. Brak regulaminu kanału, brak rejestru lub brak szkoleń to podstawy do nałożenia mandatu i wszczęcia postępowania wykroczeniowego. W przypadku podmiotów sektora finansowego nadzorowanych przez KNF dodatkowe sankcje mogą wynikać z przepisów sektorowych. Dla porównania – sankcje za brak kanału sygnalistów są surowsze niż kary za część naruszeń przepisów RODO nakładanych przez PUODO.

Konkretna sytuacja Państwa firmy – gdy kanał nie istnieje lub istnieje tylko na papierze – jest nieodwracalnie narażona na ryzyko, jeśli sygnalista zdecyduje się na zgłoszenie zewnętrzne do PIP lub organu sektorowego. Zewnętrzne zgłoszenie uruchamia procedury, których nie można zatrzymać po ich wszczęciu.

Jeśli Państwa spółka nie uruchomiła kanału lub ma wątpliwości co do jego zgodności z ustawą – przeprowadzimy audyt dokumentacji, ocenimy luki i wdrożymy korekty w ciągu 2–3 tygodni: info@kordeckipartners.com.

Często zadawane pytania

P: Czy pracodawca zatrudniający 45 pracowników musi wdrożyć kanał sygnalistów?

O: Obowiązek ustawowy dotyczy pracodawców zatrudniających co najmniej 50 pracowników. Liczba ta obejmuje wszystkich zatrudnionych na podstawie umowy o pracę, w przeliczeniu na pełne etaty. Pracodawca zatrudniający 45 osób nie ma obowiązku ustawowego, ale może dobrowolnie uruchomić kanał – co jest praktyką rekomendowaną, zwłaszcza gdy planuje wzrost zatrudnienia lub działa w branżach regulowanych. Dobrowolne wdrożenie nie podlega sankcjom karnym za niedochowanie wymogów formalnych, ale jeśli kanał istnieje, pracodawca musi zapewnić ochronę sygnalistów korzystających z tego kanału.

P: Ile kosztuje wdrożenie kanału sygnalistów i jak długo trwa?

O: Koszt wdrożenia zależy od wielkości organizacji i wybranego rozwiązania technicznego. Dla pracodawcy zatrudniającego 50–200 pracowników całkowity koszt (obsługa prawna dokumentacji, platforma techniczna, szkolenia) wynosi zazwyczaj od kilku do kilkunastu tysięcy złotych. Czas wdrożenia to 4–8 tygodni. Rozwiązania SaaS dla kanału sygnalistów kosztują od kilkuset do kilku tysięcy złotych miesięcznie w zależności od liczby użytkowników i funkcjonalności. Obsługa zewnętrznego koordynatora przez kancelarię prawa pracy to koszt abonamentowy – zazwyczaj kilkaset do kilku tysięcy złotych miesięcznie.

P: Czy powszechnym błędem jest przekonanie, że wystarczy skrzynka e-mail do przyjmowania zgłoszeń?

O: Tak – to jeden z najczęstszych błędów. Zwykła firmowa skrzynka e-mail nie spełnia wymogów ustawy, ponieważ nie zapewnia anonimowości ani poufności tożsamości sygnalisty. Administrator systemu pocztowego pracodawcy ma techniczną możliwość identyfikacji nadawcy. Ustawa wymaga, żeby kanał umożliwiał zgłoszenia anonimowe i chronił tożsamość sygnalisty. Konieczne jest albo dedykowane oprogramowanie z szyfrowaniem, albo zewnętrzna platforma poza infrastrukturą pracodawcy. Sama deklaracja poufności w regulaminie nie zastępuje odpowiednich środków technicznych.

KORDECKI & Partners to kancelaria prawna z siedzibą w Warszawie i Krakowie, doradzająca klientom biznesowym w 30 jurysdykcjach. Zespół łączy doświadczenie w prawie polskim i międzynarodowym z praktycznym podejściem do prawa pracy i compliance. Pracujemy z polskimi przedsiębiorcami, inwestorami zagranicznymi i działami prawnymi korporacji. W sprawie wdrożenia kanału sygnalistów, regulaminu i obsługi koordynatora: info@kordeckipartners.com.

Olga Adamczyk kieruje praktyką prawa pracy i mobilności globalnej oraz koordynuje Ukrainian Desk i CIS Desk kancelarii. Doradzała przy ponad 200 zezwoleniach na pracę od 2023 r.