Dyrektywa UE o ochronie sygnalistów: co muszą wdrożyć pracodawcy

Co reguluje dyrektywa

Dyrektywa (UE) 2019/1937 w sprawie ochrony osób zgłaszających naruszenia prawa Unii została przyjęta 23 października 2019 i weszła w życie 16 grudnia 2019. Państwa członkowskie miały czas do 17 grudnia 2021 na przeniesienie jej do prawa krajowego, a do 17 grudnia 2023 – na wprowadzenie obowiązku ustanowienia kanałów wewnętrznych przez pracodawców prywatnych zatrudniających od 50 do 249 pracowników.

Dyrektywa robi dwie rzeczy. Wymaga od organizacji zapewnienia bezpiecznych sposobów zgłaszania nieprawidłowości i chroni osoby zgłaszające przed działaniami odwetowymi. Ustanawia normy minimalne, więc prawo krajowe może chronić więcej osób lub obejmować więcej rodzajów nieprawidłowości.

Sygnalista może skorzystać z trzech dróg: zgłoszenia wewnętrznego we własnej organizacji, zgłoszenia zewnętrznego do właściwego organu albo – pod ścisłymi warunkami – ujawnienia publicznego. Państwa członkowskie muszą zachęcać do zgłaszania w pierwszej kolejności wewnętrznie, jeśli naruszeniu można zaradzić wewnątrz organizacji, a osoba zgłaszająca nie widzi ryzyka działań odwetowych.

Jakie naruszenia obejmuje dyrektywa

Dyrektywa obejmuje zgłoszenia naruszeń prawa UE w następujących dziedzinach:

• zamówienia publiczne
• usługi, produkty i rynki finansowe oraz zapobieganie praniu pieniędzy i finansowaniu terroryzmu
• bezpieczeństwo produktów i ich zgodność z wymogami
• bezpieczeństwo transportu
• ochrona środowiska
• ochrona radiologiczna i bezpieczeństwo jądrowe
• bezpieczeństwo żywności i pasz, zdrowie i dobrostan zwierząt
• zdrowie publiczne
• ochrona konsumentów
• ochrona prywatności i danych osobowych oraz bezpieczeństwo sieci i systemów informacyjnych
• interesy finansowe UE oraz rynek wewnętrzny, w tym zasady konkurencji, pomocy państwa i opodatkowania osób prawnych

Według sprawozdania Komisji Europejskiej z 2024 roku na temat dyrektywy zdecydowana większość państw członkowskich rozszerzyła ochronę poza zakres dyrektywy, a mniej więcej połowa dodała dziedziny prawa krajowego, takie jak korupcja czy przestępstwa. Należy sprawdzić, co obejmuje prawo danego kraju.

Kto jest chroniony

Ochrona obejmuje osoby, które dowiedziały się o naruszeniach w związku z pracą w sektorze prywatnym lub publicznym. Należą do nich co najmniej:

• pracownicy, w tym urzędnicy służby cywilnej
• osoby prowadzące działalność na własny rachunek
• akcjonariusze i wspólnicy, członkowie organów zarządzających i nadzorczych, wolontariusze oraz płatni i bezpłatni stażyści
• osoby pracujące dla wykonawców, podwykonawców i dostawców
• byli pracownicy oraz kandydaci do pracy, którzy dowiedzieli się o naruszeniu podczas rekrutacji

Ochrona obejmuje też osoby pomagające w dokonaniu zgłoszenia, współpracowników i krewnych, którzy mogliby doświadczyć działań odwetowych, oraz firmy, których właścicielem jest sygnalista lub dla których pracuje. Aby skorzystać z ochrony, sygnalista musiał w chwili zgłoszenia mieć uzasadnione podstawy, by sądzić, że informacje są prawdziwe i wchodzą w zakres dyrektywy. Osoba, która dokonała zgłoszenia anonimowo, a później została zidentyfikowana, zachowuje taką samą ochronę.

Kto musi ustanowić kanał wewnętrzny

• Sektor prywatny: każdy pracodawca zatrudniający co najmniej 50 pracowników.
• Niektóre sektory regulowane, np. usługi finansowe i zapobieganie praniu pieniędzy: każdy pracodawca objęty odpowiednimi przepisami UE, niezależnie od wielkości.
• Sektor publiczny: każdy podmiot publiczny, w tym podmioty, które są jego własnością lub które kontroluje. Państwa członkowskie mogą zwolnić gminy liczące mniej niż 10 000 mieszkańców lub zatrudniające mniej niż 50 pracowników oraz inne podmioty publiczne zatrudniające mniej niż 50 pracowników.
• Mniejsi pracodawcy prywatni: tylko wtedy, gdy wymaga tego prawo krajowe po przeprowadzeniu oceny ryzyka, np. ze względu na zagrożenia dla środowiska lub zdrowia publicznego.

Pracodawcy prywatni zatrudniający od 50 do 249 pracowników mogą dzielić się zasobami w zakresie przyjmowania zgłoszeń i prowadzenia postępowań wyjaśniających, ale każdy z nich zachowuje własne obowiązki w zakresie poufności, informacji zwrotnej i działań następczych. Kanał może obsługiwać wyznaczona osoba lub dział w organizacji albo zewnętrzny dostawca spełniający te same wymogi.

Jakie wymogi musi spełniać kanał wewnętrzny

Procedury zgłoszeń wewnętrznych muszą obejmować:

1. bezpieczny kanał, który chroni tożsamość osoby zgłaszającej i osób wymienionych w zgłoszeniu oraz do którego nie mają dostępu nieupoważnieni pracownicy
2. potwierdzenie przyjęcia zgłoszenia przekazane osobie zgłaszającej w ciągu siedmiu dni
3. bezstronną osobę lub dział, które podejmują działania następcze, utrzymują kontakt z osobą zgłaszającą i w razie potrzeby proszą o dodatkowe informacje
4. podejmowanie z należytą starannością działań następczych, także w odniesieniu do zgłoszeń anonimowych, jeśli wymaga tego prawo krajowe
5. przekazanie osobie zgłaszającej informacji zwrotnej w rozsądnym terminie, nie później niż trzy miesiące od potwierdzenia przyjęcia zgłoszenia albo – jeśli potwierdzenia nie wysłano – trzy miesiące od upływu siedmiu dni od dokonania zgłoszenia
6. jasne i łatwo dostępne informacje o tym, jak dokonać zgłoszenia zewnętrznego do właściwych organów

Kanał musi umożliwiać zgłoszenia na piśmie, ustnie lub w obu formach. Jeśli kanał przyjmuje zgłoszenia ustne, musi to być możliwe telefonicznie lub za pośrednictwem innego systemu komunikacji głosowej. Dyrektywa przewiduje też bezpośrednie spotkanie w rozsądnym terminie na wniosek osoby zgłaszającej, a przepisy krajowe różnią się co do tego, czy każdy kanał musi je oferować – dlatego należy sprawdzić przepisy swojego kraju.

Harmonogram obsługi zgłoszenia

• Dzień 0: zgłoszenie wpływa przez kanał.
• Do 7. dnia: osoba zgłaszająca otrzymuje potwierdzenie przyjęcia zgłoszenia.
• W ciągu trzech miesięcy od potwierdzenia: osoba zgłaszająca dowiaduje się, co zrobiono lub co jest planowane i dlaczego.
• Przez cały czas: zgłoszenie jest rejestrowane, dostęp do niego jest ograniczony, a tożsamość osoby zgłaszającej pozostaje chroniona.

Zgłoszenia anonimowe

Dyrektywa pozostawia każdemu państwu członkowskiemu decyzję, czy organizacje muszą przyjmować zgłoszenia anonimowe i podejmować w związku z nimi działania następcze. Według sprawozdania Komisji z 2024 roku mniej więcej połowa ustaw krajowych reguluje zgłoszenia anonimowe, a większość z nich wymaga ich przyjmowania i podejmowania działań następczych – przez właściwe organy lub przez każdą organizację, która ma kanał. Tam, gdzie zgłoszenia anonimowe trzeba przyjmować, obsługuje się je tak jak każde inne zgłoszenie.

Przyjmowanie zgłoszeń anonimowych ma sens tylko wtedy, gdy osoba zgłaszająca może pozostać w kontakcie bez ujawniania tożsamości. Należy zaplanować, jak potwierdzić przyjęcie anonimowego zgłoszenia, zadawać pytania uzupełniające i przekazywać informację zwrotną.

Poufność, ochrona danych i dokumentacja

Bez wyraźnej zgody osoby zgłaszającej jej tożsamości nie wolno ujawniać nikomu poza upoważnionym personelem, który przyjmuje zgłoszenia lub podejmuje działania następcze. To samo dotyczy wszelkich informacji, na podstawie których można ustalić jej tożsamość. Wyjątki są dopuszczalne tylko wtedy, gdy wymaga tego prawo UE lub prawo krajowe, np. w postępowaniu wyjaśniającym lub sądowym, a osobę zgłaszającą co do zasady trzeba wcześniej o tym powiadomić.

Dane osobowe przetwarza się zgodnie z RODO, a danych, które w oczywisty sposób nie mają znaczenia dla zgłoszenia, nie wolno zbierać, a jeśli zostały zebrane – należy je niezwłocznie usunąć. Każde zgłoszenie musi zostać zarejestrowane i może być przechowywane nie dłużej, niż jest to konieczne i proporcjonalne. Zgłoszenia ustne i spotkania można dokumentować nagraniem lub dokładnym protokołem, za zgodą osoby zgłaszającej i z możliwością sprawdzenia, poprawienia i podpisania go przez nią.

Ochrona przed działaniami odwetowymi

Zakazane są wszelkie formy działań odwetowych, w tym groźby i próby ich podjęcia. Dyrektywa podaje przykłady:

• zwolnienie, zawieszenie, degradacja lub wstrzymanie awansu
• zmiana obowiązków, miejsca pracy, wynagrodzenia lub godzin pracy oraz wstrzymanie szkoleń
• negatywna ocena wyników lub negatywna opinia o pracy oraz środki dyscyplinarne
• przymus, zastraszanie, mobbing, wykluczenie i dyskryminacja
• nieprzekształcenie lub nieprzedłużenie umowy o pracę na czas określony albo jej wcześniejsze rozwiązanie
• szkoda dla reputacji, także w mediach społecznościowych, straty finansowe i umieszczenie na czarnej liście w danej branży
• rozwiązanie umów dotyczących towarów lub usług, odebranie licencji lub zezwoleń oraz skierowanie na badania psychiatryczne lub lekarskie

Jeśli sygnalista poniesie szkodę i wykaże, że dokonał zgłoszenia, przyjmuje się, że szkoda jest działaniem odwetowym, a pracodawca musi udowodnić, że kierował się innymi, należycie uzasadnionymi powodami. Umowy ani wewnętrzne regulaminy nie mogą odebrać tych praw. Państwa członkowskie ustanawiają sankcje dla każdego, kto utrudnia zgłaszanie, podejmuje działania odwetowe, wszczyna uciążliwe postępowania lub narusza poufność, a także dla sygnalistów, którzy świadomie zgłaszają nieprawdziwe informacje.

Stan przepisów krajowych

Transpozycja przebiegała powoli. Według sprawozdania Komisji z 2024 roku do terminu 17 grudnia 2021 tylko trzy państwa członkowskie w pełni transponowały dyrektywę; osiem kolejnych zrobiło to w 2022 roku, a trzynaście w 2023 roku. To samo sprawozdanie stwierdza, że wszystkie państwa członkowskie transponowały główne przepisy, ale kluczowe obszary wciąż wymagają poprawy, np. zakres, warunki objęcia ochroną i ochrona przed działaniami odwetowymi, w tym sankcje.

Przepisy krajowe różnią się szczegółami: czy trzeba przyjmować zgłoszenia anonimowe, jakie dziedziny prawa krajowego są objęte ochroną, jak musi działać zgłaszanie ustne i który organ przyjmuje zgłoszenia zewnętrzne. Należy stosować przepisy kraju, w którym ma siedzibę każda z Państwa spółek.

Poza UE: Macedonia Północna i region

Dyrektywa nie obowiązuje bezpośrednio poza UE, ale wiele państw ma własne przepisy o sygnalistach. Macedonia Północna przyjęła ustawę o ochronie sygnalistów w 2015 roku. Według przeglądu kancelarii CMS firmy zatrudniające co najmniej dziesięciu pracowników muszą przyjąć wewnętrzne zasady dotyczące zgłoszeń i wyznaczyć osobę do ich przyjmowania.

Przygotowano projekt nowej ustawy dostosowującej przepisy Macedonii Północnej do dyrektywy. Według Sprawozdania na temat praworządności 2026 Komisji Europejskiej projekt zakończył konsultacje wewnątrz rządu w marcu 2026 roku, bez jasnego harmonogramu przyjęcia przez parlament. Inne państwa regionu również mają własne przepisy, dlatego należy je sprawdzić dla każdej spółki i pamiętać, że spółki zależne w państwach UE podlegają prawu swojego państwa członkowskiego.

Lista kontrolna wdrożenia kanału

1. Policzyć pracowników każdej spółki i sprawdzić progi w jej prawie krajowym.
2. Wyznaczyć bezstronną osobę lub dział do obsługi zgłoszeń, wraz z zastępcą, i przeszkolić ich w zakresie poufności.
3. Zdecydować, jak można dokonywać zgłoszeń – na piśmie, telefonicznie czy podczas spotkania – i czy trzeba przyjmować zgłoszenia anonimowe.
4. Opublikować jasne instrukcje dokonywania zgłoszeń wewnętrznych i zgłoszeń do właściwych organów.
5. Wprowadzić procedurę, dzięki której każde zgłoszenie zostanie potwierdzone w ciągu siedmiu dni, a informacja zwrotna – przekazana w ciągu trzech miesięcy.
6. Ograniczyć dostęp do zgłoszeń, chronić tożsamość osób i dokumentować każdy krok.
7. Ustalić okres przechowywania zamkniętych zgłoszeń zgodny z dyrektywą i prawem krajowym.
8. Poinformować kierowników, że działania odwetowe są zakazane, i regularnie przeglądać procedurę.

Jak może pomóc Office Hero

HR Hero, aplikacja kadrowa Office Hero, zawiera kanał zgłoszeń zbudowany wokół dyrektywy. Zapewnia publiczną stronę zgłoszeń w Office Hero Connect, która nie wymaga konta, wewnętrzny formularz dla pracowników, skrzynkę zgłoszeń dla wyznaczonych osób prowadzących sprawy oraz przypomnienie dla osób przypisanych do zgłoszenia, gdy minie siedem dni bez potwierdzenia jego przyjęcia. Treść zgłoszeń jest szyfrowana, a każda sprawa ma dziennik z łańcuchem skrótów.

Warto znać też ograniczenia tej aplikacji: zgłoszenia składa się na piśmie, bez linii telefonicznej i nagrań głosowych, osoby zgłaszające nie mogą załączać plików, nikt nie jest powiadamiany o wpłynięciu nowego zgłoszenia, a trzymiesięczny termin na informację zwrotną monitoruje się za pomocą filtra wieku w skrzynce, a nie przypomnienia. Jak to działa, wyjaśnia strona o kanale zgłoszeń.