Direktiva EU-a o zaštiti prijavitelja nepravilnosti: što poslodavci moraju uspostaviti

Što direktiva propisuje

Direktiva (EU) 2019/1937 o zaštiti osoba koje prijavljuju povrede prava Unije donesena je 23. listopada 2019. i stupila je na snagu 16. prosinca 2019. Države članice morale su je prenijeti u nacionalno pravo do 17. prosinca 2021., a za obvezu privatnih poslodavaca s 50 do 249 radnika da uspostave unutarnje kanale rok je bio 17. prosinca 2023.

Direktiva čini dvije stvari. Od organizacija traži da omoguće sigurne načine prijavljivanja nepravilnosti, a osobe koje ih prijavljuju štiti od osvete. Utvrđuje minimalne standarde, pa nacionalni zakoni mogu štititi više osoba ili obuhvatiti više vrsta nepravilnosti.

Prijavitelju su na raspolaganju tri puta: unutarnja prijava vlastitoj organizaciji, vanjska prijava nadležnom tijelu ili, pod strogim uvjetima, javno razotkrivanje. Države članice moraju poticati da se najprije prijavljuje unutarnjim putem kada se povreda može riješiti unutar organizacije, a prijavitelj ne vidi opasnost od osvete.

Koje su povrede obuhvaćene

Direktiva obuhvaća prijave povreda prava EU-a u ovim područjima:

• javna nabava
• financijske usluge, proizvodi i tržišta te sprečavanje pranja novca i financiranja terorizma
• sigurnost i sukladnost proizvoda
• sigurnost prometa
• zaštita okoliša
• zaštita od zračenja i nuklearna sigurnost
• sigurnost hrane i hrane za životinje, zdravlje i dobrobit životinja
• javno zdravlje
• zaštita potrošača
• privatnost i osobni podaci te sigurnost mrežnih i informacijskih sustava
• financijski interesi EU-a i unutarnje tržište, uključujući pravila o tržišnom natjecanju, državnim potporama i porezu na dobit

Prema izvještaju Europske komisije o direktivi iz 2024. velika većina država članica proširila je zaštitu izvan okvira direktive, a otprilike polovica dodala je područja nacionalnog prava, poput korupcije ili kaznenih djela. Provjerite što obuhvaća zakon vaše države.

Tko je zaštićen

Zaštita obuhvaća osobe koje za povrede saznaju u vezi sa svojim radom, u privatnom ili javnom sektoru. To uključuje barem:

• zaposlenike, uključujući državne službenike
• samozaposlene osobe
• dioničare, članove upravljačkih i nadzornih tijela, volontere te plaćene ili neplaćene vježbenike
• osobe koje rade za izvođače, podizvođače i dobavljače
• bivše zaposlenike i kandidate za posao koji su za povredu saznali tijekom postupka zapošljavanja

Zaštita se proteže i na osobe koje pomažu prijavitelju, na kolege i rođake koji bi mogli pretrpjeti osvetu te na društva koja su u vlasništvu prijavitelja ili za koja on radi. Da bi ostvario zaštitu, prijavitelj je u trenutku prijave morao imati opravdane razloge vjerovati da su informacije istinite i da su obuhvaćene područjem primjene direktive. Osoba koja je prijavila anonimno, a kasnije je identificirana, zadržava istu zaštitu.

Tko mora uspostaviti unutarnji kanal

• Privatni sektor: svaki poslodavac s 50 ili više radnika.
• Neki regulirani sektori, poput financijskih usluga i sprečavanja pranja novca: svaki poslodavac na kojeg se primjenjuju odgovarajuća pravila EU-a, bez obzira na veličinu.
• Javni sektor: svako tijelo javnog sektora, uključujući subjekte u njegovu vlasništvu ili pod njegovom kontrolom. Države članice mogu izuzeti općine s manje od 10.000 stanovnika ili manje od 50 radnika te druga tijela javnog sektora s manje od 50 radnika.
• Manji privatni poslodavci: samo kada to nacionalni zakon zahtijeva nakon procjene rizika, primjerice zbog rizika za okoliš ili javno zdravlje.

Privatni poslodavci s 50 do 249 radnika mogu dijeliti resurse za zaprimanje prijava i provođenje istraga, ali svaki zadržava vlastite obveze čuvanja povjerljivosti, davanja povratnih informacija i daljnjeg postupanja. Kanalom može upravljati imenovana osoba ili služba unutar organizacije ili vanjski pružatelj usluge koji ispunjava iste zahtjeve.

Što unutarnji kanal mora omogućiti

Postupci unutarnjeg prijavljivanja moraju uključivati:

1. siguran kanal koji štiti identitet prijavitelja i svih osoba navedenih u prijavi, bez pristupa neovlaštenog osoblja
2. potvrdu primitka prijavitelju u roku od sedam dana
3. nepristranu osobu ili službu koja postupa po prijavama, održava kontakt s prijaviteljem i po potrebi traži dodatne informacije
4. savjesno daljnje postupanje, uključujući po anonimnim prijavama kada to zahtijeva nacionalno pravo
5. povratne informacije prijavitelju u razumnom roku, najkasnije tri mjeseca nakon potvrde primitka ili tri mjeseca nakon isteka roka od sedam dana ako potvrda nije poslana
6. jasne i lako dostupne informacije o tome kako prijaviti vanjskim putem nadležnim tijelima

Kanal mora primati prijave u pisanom obliku, usmeno ili na oba načina. Ako kanal prima usmene prijave, one moraju biti moguće telefonom ili drugim sustavom za glasovne poruke. Direktiva predviđa i osobni sastanak u razumnom roku ako ga prijavitelj zatraži, a nacionalni se zakoni razlikuju u tome mora li ga nuditi svaki kanal, pa provjerite svoj.

Vremenska crta prijave

• Dan 0: prijava stiže kroz kanal.
• Do 7. dana: prijavitelj prima potvrdu primitka.
• U roku od tri mjeseca od potvrde primitka: prijavitelj saznaje što je poduzeto ili se planira poduzeti i zašto.
• Cijelo vrijeme: prijava se evidentira, pristup je ograničen, a identitet prijavitelja ostaje zaštićen.

Anonimne prijave

Direktiva svakoj državi članici prepušta odluku moraju li organizacije prihvaćati anonimne prijave i postupati po njima. Prema izvještaju Komisije iz 2024. otprilike polovica nacionalnih zakona uređuje anonimne prijave, a većina njih zahtijeva da ih prihvate i po njima postupaju nadležna tijela ili svaka organizacija koja ima kanal. Ondje gdje se moraju prihvatiti, s njima se postupa kao i s bilo kojom drugom prijavom.

Prihvaćanje anonimnih prijava pomaže samo ako prijavitelj može ostati u kontaktu, a da ne otkrije tko je. Isplanirajte kako ćete potvrditi primitak anonimne prijave, postavljati dodatna pitanja i davati povratne informacije.

Povjerljivost, zaštita podataka i evidencija

Identitet prijavitelja ne smije se bez njegove izričite privole otkriti nikome osim osoblju ovlaštenom za zaprimanje prijava ili daljnje postupanje po njima. Isto vrijedi za sve informacije iz kojih bi se mogao zaključiti njegov identitet. Iznimke su dopuštene samo kada to zahtijeva pravo EU-a ili nacionalno pravo, primjerice u istrazi ili sudskom postupku, a prijavitelja se u pravilu mora prethodno obavijestiti.

Osobni podaci obrađuju se u skladu s GDPR-om, a podaci koji očito nisu relevantni za prijavu ne smiju se prikupljati ili se moraju bez odgode izbrisati. Svaka prijava mora se evidentirati i čuvati ne dulje nego što je nužno i razmjerno. Usmene prijave i sastanci mogu se dokumentirati snimkom ili točnim zapisnikom, uz privolu prijavitelja i mogućnost da zapis provjeri, ispravi i potpiše.

Zaštita od osvete

Zabranjen je svaki oblik osvete, uključujući prijetnje osvetom i pokušaje osvete. Direktiva navodi primjere:

• otkaz, suspenzija, degradiranje ili uskraćeno promaknuće
• promjena dužnosti, mjesta rada, plaće ili radnog vremena te uskraćeno osposobljavanje
• negativne ocjene rada ili preporuke te stegovne mjere
• prisila, zastrašivanje, uznemiravanje, izopćavanje i diskriminacija
• nepretvaranje ugovora na određeno vrijeme u ugovor na neodređeno, njegovo neobnavljanje ili prijevremeni raskid
• šteta za ugled, uključujući na društvenim mrežama, financijski gubitak i stavljanje na crnu listu u sektoru
• otkazani ugovori o robi ili uslugama, poništene licencije ili dozvole te upućivanje na psihijatrijske ili liječničke preglede

Ako prijavitelj pretrpi štetu i pokaže da je podnio prijavu, pretpostavlja se da je šteta osveta, a poslodavac mora dokazati da je imao druge, propisno opravdane razloge. Sporazumi i pravilnici ta prava ne mogu ukinuti. Države članice propisuju sankcije za svakoga tko ometa prijavljivanje, provodi osvetu, pokreće zlonamjerne postupke ili krši povjerljivost, kao i za prijavitelje koji svjesno prijave lažne informacije.

Stanje nacionalnih zakona

Prenošenje je bilo sporo. Do roka 17. prosinca 2021. samo su tri države članice u potpunosti prenijele direktivu; osam ih je slijedilo 2022., a trinaest 2023., prema izvještaju Komisije iz 2024. Isti izvještaj utvrdio je da su sve države članice prenijele glavne odredbe, ali da u ključnim područjima još treba raditi, primjerice u pogledu područja primjene, uvjeta za zaštitu i zaštite od osvete, uključujući sankcije.

Nacionalni zakoni razlikuju se u pojedinostima: moraju li se prihvaćati anonimne prijave, koja su područja nacionalnog prava obuhvaćena, kako mora funkcionirati usmeno prijavljivanje i koje tijelo zaprima vanjske prijave. Slijedite pravila države u kojoj ima sjedište svako vaše društvo.

Izvan EU-a: Sjeverna Makedonija i regija

Direktiva se izvan EU-a ne primjenjuje izravno, ali mnoge zemlje imaju vlastite zakone o zaštiti prijavitelja nepravilnosti. Sjeverna Makedonija svoj je Zakon o zaštiti prijavitelja nepravilnosti donijela 2015. Prema pregledu odvjetničkog društva CMS, tvrtke s deset ili više zaposlenika moraju donijeti interna pravila za prijave i imenovati osobu koja ih zaprima.

Izrađen je nacrt novog zakona kojim bi se Sjeverna Makedonija uskladila s direktivom. Izvještaj Europske komisije o vladavini prava za 2026. navodi da je nacrt u ožujku 2026. završio savjetovanje unutar vlade, bez jasnog rasporeda za donošenje u parlamentu. I druge zemlje u regiji imaju vlastita pravila, pa ih provjerite za svako društvo i imajte na umu da se društva kćeri u državama EU-a pridržavaju zakona svoje države članice.

Kontrolni popis za uspostavu kanala

1. Prebrojite radnike svakog društva i provjerite pragove u njegovu nacionalnom zakonu.
2. Imenujte nepristranu osobu ili službu za postupanje po prijavama, sa zamjenikom, i osposobite ih za čuvanje povjerljivosti.
3. Odlučite kako se može prijaviti, pisanim putem, telefonom ili na sastanku, te morate li prihvaćati anonimne prijave.
4. Objavite jasne upute za unutarnje prijavljivanje i za prijavljivanje nadležnim tijelima.
5. Uvedite postupak kojim se primitak svake prijave potvrđuje u roku od sedam dana, a povratne informacije daju u roku od tri mjeseca.
6. Ograničite pristup prijavama, zaštitite identitete i evidentirajte svaki korak.
7. Odredite rok čuvanja zatvorenih prijava koji odgovara direktivi i vašem nacionalnom zakonu.
8. Upozorite rukovoditelje da je osveta zabranjena i redovito preispitujte postupak.

Kako Office Hero može pomoći

HR Hero, aplikacija Office Hero za ljudske potencijale, uključuje kanal za prijavu nepravilnosti osmišljen oko direktive. Daje vam javnu stranicu za prijave na portalu Office Hero Connect za koju nije potreban korisnički račun, interni obrazac za osoblje, pretinac predmeta za vaše imenovane povjerljive osobe i podsjetnik povjerljivim osobama dodijeljenima prijavi kada prođe sedam dana bez potvrde primitka. Sadržaj prijava je šifriran, a svaki predmet ima zapisnik povezan hash-lancem.

Upoznajte i njegova ograničenja: prijave se podnose pisanim putem, bez telefonske linije ili snimanja glasa, prijavitelji ne mogu prilagati datoteke, nitko ne dobiva obavijest kada stigne nova prijava, a rok od tri mjeseca za povratne informacije prati se putem filtra „Starost“ u pretincu, a ne podsjetnikom. Stranica o kanalu za prijavu nepravilnosti objašnjava kako funkcionira.