Kanał sygnalistów – przewodnik wdrożeniowy dla pracodawców

Firma logistyczna z Mazowsza dowiedziała się o naruszeniu w swoim łańcuchu dostaw od anonimowego e-maila – nie od własnego systemu zgłoszeń, bo żadnego nie miała. Efekt? Postępowanie wyjaśniające trwało cztery miesiące zamiast czterech tygodni, a koszty wzrosły kilkukrotnie. Od 25 września 2024 r. brak kanału sygnalistów u pracodawcy zatrudniającego co najmniej 50 pracowników jest naruszeniem prawa – z karą do PLN 1 080 000 i odpowiedzialnością karną włącznie.

Ustawa z 14 czerwca 2024 r. o ochronie sygnalistów nakłada na pracodawców zatrudniających 50 lub więcej pracowników obowiązek wdrożenia wewnętrznego kanału zgłoszeniowego. Podstawą prawną jest artykuł 8 ustawy o sygnalistach. Za brak wdrożenia grozi grzywna do PLN 1 080 000 oraz do 3 lat pozbawienia wolności za działania odwetowe wobec sygnalisty – zgodnie z artykułem 54 tej ustawy.

Ten przewodnik wdrożeniowy prowadzi przez cały proces: od oceny, czy obowiązek dotyczy Państwa firmy, przez zaprojektowanie procedury, aż po typowe pułapki i scenariusze transgraniczne. Każdy etap jest opisany z perspektywy pracodawcy, który musi działać – nie tylko zrozumieć regulację.

Kogo obejmuje obowiązek i jakie są terminy?

Ustawa o ochronie sygnalistów weszła w życie 25 września 2024 r. Obowiązek dotyczy pracodawców zatrudniających co najmniej 50 pracowników. Próg liczy się na dzień wejścia w życie przepisów – i jest weryfikowany ponownie każdego roku kalendarzowego. Pracodawca, który w ciągu roku przekroczy 50 etatów, ma 3 miesiące na wdrożenie procedury.

Warto pamiętać, że próg 50 pracowników obejmuje nie tylko umowy o pracę. Zleceniobiorcy, osoby na kontraktach B2B i pracownicy tymczasowi mogą być wliczani do progu – zależy to od faktycznego sposobu wykonywania pracy. Inspektorat pracy stosuje szeroką interpretację. Bezpieczniej jest przyjąć, że każda osoba regularnie świadcząca pracę na rzecz pracodawcy wchodzi do licznika.

Dla podmiotów z sektora finansowego, w tym firm objętych rozporządzeniem DORA obowiązującym od 17 stycznia 2025 r., kanał sygnalistów jest elementem szerszego systemu zarządzania ryzykiem ICT. KNF może weryfikować jego funkcjonowanie niezależnie od Państwowej Inspekcji Pracy. Dwa nadzory – dwie podstawy prawne – jeden kanał zgłoszeń.

Podmioty publiczne oraz pracodawcy z sektora finansowego, farmaceutycznego i środowiskowego podlegają dodatkowym regulacjom sektorowym. W takich przypadkach kanał sygnalistów musi spełniać wymagania zarówno ustawy, jak i przepisów szczególnych. Ocenę, które przepisy mają pierwszeństwo, należy przeprowadzić przed przystąpieniem do wdrożenia.

Jakie elementy musi zawierać wewnętrzny kanał zgłoszeń?

Artykuł 8 ustawy o sygnalistach określa minimalne wymagania wobec wewnętrznego kanału zgłoszeń. Procedura musi zapewniać: przyjmowanie zgłoszeń, potwierdzenie ich odbioru w ciągu 7 dni, prowadzenie postępowania wyjaśniającego i przekazanie sygnaliście informacji zwrotnej w terminie 3 miesięcy. To nie jest katalog do wyboru – to obowiązkowe minimum.

Kanał musi gwarantować poufność tożsamości sygnalisty. Oznacza to, że dostęp do danych identyfikujących zgłaszającego może mieć wyłącznie wyznaczona, upoważniona osoba lub jednostka. W praktyce – wiele firm o tym zapomina – wdrażają formularz e-mailowy wysyłający zgłoszenie do skrzynki działu HR dostępnej dla kilku osób. To naruszenie zasady poufności od pierwszego dnia działania systemu.

Procedura powinna zawierać co najmniej:

• opis dostępnych kanałów zgłoszeń (elektroniczny, papierowy, telefoniczny)
• wskazanie osoby lub jednostki odpowiedzialnej za przyjmowanie i rozpatrywanie zgłoszeń
• terminy poszczególnych etapów postępowania wyjaśniającego
• opis ochrony sygnalisty przed działaniami odwetowymi
• zasady przetwarzania danych osobowych zgodne z RODO

Zgłoszenia anonimowe nie muszą być przyjmowane – ustawa ich nie wymaga. Jednak pracodawca może zdecydować o przyjmowaniu takich zgłoszeń i powinien to wyraźnie określić w procedurze. Brak tej decyzji w dokumencie jest interpretowany przez inspektorów pracy jako luka proceduralna.

Przed uruchomieniem kanału pracodawca ma obowiązek skonsultować regulamin z zakładową organizacją związkową lub – jeśli jej nie ma – z przedstawicielami pracowników. Konsultacje trwają co najmniej 5 dni. Pominięcie tego etapu nie unieważnia procedury, ale może stanowić podstawę roszczenia ze strony pracowników.

Jeśli Państwa firma prowadzi działalność w kilku lokalizacjach i zatrudnia pracowników mobilnych lub zdalnych – rozwiązaniem może być jeden wspólny kanał dla całej grupy. Ustawa dopuszcza korzystanie ze wspólnego kanału przez podmioty powiązane kapitałowo, pod warunkiem że każdy z nich spełnia indywidualne wymagania proceduralne. Szczegółowe zasady dotyczące zatrudnienia zdalnego reguluje praktyka prawa pracy KORDECKI & Partners.

Micro-case: Spółka technologiczna z Trójmiasta, wiosna 2025 r. – wdrożyła kanał oparty wyłącznie na formularzu webowym bez szyfrowania end-to-end. Podczas audytu PUODO stwierdzono naruszenie art. 32 RODO. Koszt dostosowania systemu IT wyniósł ok. PLN 40 000 – wielokrotnie więcej niż koszt właściwego wdrożenia od początku.

Konkretna sytuacja Państwa firmy może wymagać innego układu kanałów zgłoszeń niż standardowy szablon. Brak dostosowania procedury do struktury zatrudnienia powoduje nieodwracalne luki w ochronie pracodawcy przed roszczeniami sygnalistów.

Jeśli Państwa spółka zatrudnia co najmniej 50 pracowników i nie wdrożyła jeszcze kanału zgłoszeń – przeprowadzimy pełny audyt zgodności, zaprojektujemy procedurę i przeprowadzimy konsultacje z przedstawicielami pracowników: info@kordeckipartners.com.

Jakie kary grożą za brak lub wadliwe wdrożenie kanału sygnalistów?

Sankcje za naruszenie ustawy o sygnalistach są wielopłaszczyznowe. Artykuł 54 ustawy przewiduje karę do 3 lat pozbawienia wolności za działania odwetowe wobec sygnalisty – niezależnie od tego, czy pracodawca wiedział o zgłoszeniu, czy nie. Odpowiedzialność karną ponosi osoba fizyczna, która podejmuje lub zleca działania odwetowe – w praktyce menedżer lub HR business partner.

Oprócz odpowiedzialności karnej ustawa przewiduje grzywnę administracyjną do PLN 1 080 000 za utrudnianie zgłoszeń lub brak procedury. Państwowa Inspekcja Pracy jest uprawniona do przeprowadzania kontroli i nakładania kar. Pierwsze kontrole w zakresie kanałów sygnalistów PIP zapowiedziała na II kwartał 2025 r.

Ryzyko finansowe nie kończy się na grzywnach. Sygnalista, wobec którego podjęto działania odwetowe, może dochodzić odszkodowania w wysokości co najmniej 12-krotności miesięcznego wynagrodzenia. Przy wynagrodzeniu PLN 10 000 brutto to minimum PLN 120 000 – bez górnego limitu. W połączeniu z kosztami postępowania sądowego i utratą reputacji suma może być kilkukrotnie wyższa.

Wadliwe wdrożenie bywa równie kosztowne jak brak wdrożenia. Procedura, która istnieje na papierze, ale nie działa w praktyce – na przykład nie gwarantuje poufności lub nie zapewnia informacji zwrotnej w terminie 3 miesięcy – jest traktowana przez sądy pracy jako brak procedury. Uważamy, że bezpieczniejszym rozwiązaniem jest weryfikacja działania systemu co najmniej raz w roku, a nie tylko przy wdrożeniu.

Jakie pułapki czyhają przy wdrożeniu i jak ich uniknąć?

Najczęstszy błąd wdrożeniowy to kopiowanie gotowego szablonu procedury bez dostosowania do struktury organizacji. Szablon może spełniać minimalne wymagania ustawowe, ale nie uwzględnia specyfiki zatrudnienia – np. pracowników tymczasowych, kontraktów B2B czy pracowników z zagranicy. W efekcie kanał istnieje, ale nie jest dostępny dla wszystkich osób, które powinny z niego korzystać.

Drugi błąd to brak szkolenia osób obsługujących kanał. Ustawa wymaga, by osoba przyjmująca zgłoszenia działała z zachowaniem poufności i bezstronności. Jeśli menedżer HR nie wie, jak postąpić z anonimowym zgłoszeniem dotyczącym swojego przełożonego – procedura zawodzi w newralgicznym momencie. Szkolenie powinno obejmować scenariusze konfliktów interesów i zasady eskalacji.

Trzeci błąd dotyczy RODO. Dane sygnalisty i osoby, której dotyczy zgłoszenie, podlegają ochronie na podstawie rozporządzenia (UE) 2016/679. Pracodawca musi sporządzić odrębną klauzulę informacyjną dla sygnalistów i dla osób objętych postępowaniem. Brak klauzuli lub klauzula ogólna z polityki prywatności firmy – to naruszenie RODO, które PUODO może wykryć niezależnie od PIP.

Czwarty błąd to nieprzeprowadzenie konsultacji z pracownikami przed wdrożeniem. Pracodawca, który wdroży procedurę bez wymaganych 5 dni konsultacji, naraża się na zarzut działania w złej wierze w przypadku sporu z sygnalistą. Sąd pracy może to uwzględnić przy ustalaniu wysokości odszkodowania.

Micro-case: Przedsiębiorstwo produkcyjne z Wielkopolski, jesień 2024 r. – wdrożyło kanał zgłoszeń bez klauzuli informacyjnej dla osób objętych postępowaniem. Po pierwszym zgłoszeniu osoba objęta postępowaniem złożyła skargę do PUODO. Postępowanie trwało 6 miesięcy i zakończyło się upomnieniem, ale koszty obsługi prawnej wyniosły ok. PLN 25 000.

Checklist wdrożeniowy – co przygotować przed uruchomieniem kanału:

• weryfikacja progu zatrudnienia (co najmniej 50 osób, w tym zleceniobiorcy i B2B)
• projekt regulaminu kanału zgłoszeń z opisem ról i terminów
• przeprowadzenie konsultacji z organizacją związkową lub przedstawicielami pracowników (min. 5 dni)
• klauzule informacyjne RODO dla sygnalisty i osoby objętej postępowaniem
• szkolenie osoby lub jednostki obsługującej kanał – scenariusze konfliktów interesów

Jak wdrożyć kanał sygnalistów w firmie z pracownikami zagranicznymi lub strukturą grupową?

Dla pracodawców zatrudniających pracowników z zagranicy – w tym obywateli Ukrainy posiadających zezwolenie na pracę lub Blue Card Polska – kanał zgłoszeń musi być dostępny w języku zrozumiałym dla pracownika. Ustawa nie wymaga wprost tłumaczenia procedury, ale wymóg dostępności kanału oznacza, że pracownik musi móc faktycznie z niego skorzystać. Brak wersji językowej może być interpretowany jako utrudnianie zgłoszeń.

W przypadku Blue Card Polska próg minimalnego wynagrodzenia wynosi PLN 12 272,58 miesięcznie (2026 r.). Pracownicy z Blue Card są często zatrudnieni na stanowiskach specjalistycznych i mają dostęp do informacji szczególnie chronionych. Ich zgłoszenia mogą dotyczyć kwestii, które pracodawca woli zachować wewnętrznie – tym bardziej kanał musi gwarantować poufność.

W strukturach grupowych ustawa dopuszcza wspólny kanał dla kilku podmiotów powiązanych. Warunek jest jeden: każdy podmiot musi samodzielnie spełniać wymagania proceduralne – w tym prowadzić własne postępowania wyjaśniające i zapewniać własną informację zwrotną dla sygnalisty. Wspólna platforma techniczna jest dopuszczalna; wspólna procedura bez indywidualnego przypisania odpowiedzialności – już nie.

Firmy działające w modelu outsourcingu pracowniczego lub korzystające z pracowników tymczasowych przez agencję muszą ustalić, który podmiot jest pracodawcą w rozumieniu ustawy o sygnalistach. Jeśli agencja zatrudnia pracownika, a firma korzystająca z jego pracy przekracza próg 50 osób – obie mogą mieć obowiązek wdrożenia kanału. Prawo pracy w tym zakresie nie daje jednoznacznej odpowiedzi; rekomendujemy pisemne ustalenie odpowiedzialności w umowie między agencją a pracodawcą użytkownikiem.

Kwestie dotyczące zezwoleń na pracę i mobilności globalnej pracowników, które wpływają na zakres obowiązku wdrożenia kanału, omawia szczegółowo praktyka prawa pracy i mobilności globalnej KORDECKI & Partners. Warto też pamiętać, że w sporach wieloaspektowych – łączących prawo pracy z roszczeniami kontraktowymi – pomocne może być doświadczenie z zakresu adjudykacji i rozwiązywania sporów, gdzie procedury wewnętrzne odgrywają kluczową rolę dowodową.

Konkretna sytuacja Państwa firmy – zwłaszcza gdy zatrudnia pracowników z różnych jurysdykcji lub działa w strukturze grupowej – wymaga oceny, który podmiot ponosi odpowiedzialność za kanał zgłoszeń. Brak tej oceny prowadzi do nieodwracalnego podziału odpowiedzialności w razie sporu.

Jeśli Państwa spółka zatrudnia pracowników zagranicznych lub działa w strukturze holdingowej i potrzebuje oceny, który podmiot ma obowiązek wdrożenia kanału – przeprowadzimy analizę struktury zatrudnienia, zaprojektujemy wspólną procedurę i przygotujemy wersje językowe regulaminu: info@kordeckipartners.com.

Często zadawane pytania

P: Czy pracodawca zatrudniający 45 pracowników musi wdrożyć kanał sygnalistów?

O: Formalnie nie – ustawowy próg to 50 pracowników. Jednak jeśli firma regularnie korzysta z usług zleceniobiorców lub pracowników B2B, faktyczna liczba osób świadczących pracę może przekraczać próg. Inspektorat pracy stosuje szeroką interpretację pojęcia „pracownik" na potrzeby ustawy o sygnalistach. Zalecamy przeprowadzenie analizy zatrudnienia przed podjęciem decyzji o braku wdrożenia. Koszt błędnej oceny to grzywna do PLN 1 080 000.

P: Czy można outsourcować obsługę kanału sygnalistów do zewnętrznej firmy?

O: Tak – ustawa o sygnalistach dopuszcza powierzenie obsługi kanału podmiotowi zewnętrznemu. Warunkiem jest zawarcie umowy powierzenia przetwarzania danych osobowych zgodnie z artykułem 28 RODO oraz zapewnienie, że zewnętrzny operator spełnia wymagania poufności i bezstronności. Pracodawca pozostaje jednak odpowiedzialny za prawidłowe funkcjonowanie kanału – outsourcing nie przenosi odpowiedzialności na operatora. Warto sprawdzić, czy wybrany operator posiada certyfikaty bezpieczeństwa IT i doświadczenie w obsłudze zgłoszeń sygnalistów.

P: Jak długo pracodawca musi przechowywać dokumentację zgłoszeń sygnalistów?

O: Ustawa o sygnalistach nie określa wprost okresu przechowywania dokumentacji. Stosuje się ogólne zasady wynikające z RODO – dane mogą być przetwarzane nie dłużej, niż jest to niezbędne do celów, dla których zostały zebrane. W praktyce oznacza to przechowywanie dokumentacji przez okres przedawnienia roszczeń związanych ze zgłoszeniem – co do zasady 3 lata od zakończenia postępowania wyjaśniającego, a w przypadku roszczeń pracowniczych – do 3 lat od ustania stosunku pracy. Zalecamy ustalenie polityki retencji danych przed uruchomieniem kanału.

KORDECKI & Partners to kancelaria prawna z siedzibą w Warszawie i Krakowie, doradzająca klientom biznesowym w 30 jurysdykcjach. Zespół łączy doświadczenie w prawie polskim i międzynarodowym z praktycznym podejściem do prawa pracy i mobilności globalnej. Pracujemy z polskimi przedsiębiorcami, inwestorami zagranicznymi i działami prawnymi korporacji. W sprawie Państwa sytuacji: info@kordeckipartners.com.

O autorze

Olga Adamczyk kieruje praktyką prawa pracy i mobilności globalnej oraz koordynuje Ukrainian Desk i CIS Desk kancelarii. Doradzała przy ponad 200 zezwoleniach na pracę od 2023 r.

Zastrzeżenie: Niniejsza publikacja służy wyłącznie celom informacyjnym i nie stanowi porady prawnej. Informacje zawarte w materiale nie powinny być traktowane jako substytut profesjonalnej porady prawnej dostosowanej do konkretnych okoliczności. KORDECKI & Partners nie ponosi odpowiedzialności za działania podjęte lub zaniechane na podstawie treści tego materiału. W sprawie porady dotyczącej Państwa konkretnej sytuacji prosimy o kontakt: info@kordeckipartners.com.