Mirosław Gumularz: Drugie podejście do sygnalistów

Projekt rozwiązuje wiele problemów, ale nie wszystkie.

Publikacja: 10.05.2022 11:49

Mirosław Gumularz: Drugie podejście do sygnalistów

Foto: Adobe Stock

Zgodnie z treścią dyrektywy o ochronie sygnalistów (nr 2019/1937, dalej: dyrektywa) państwa członkowskie miały obowiązek wprowadzić w życie przepisy niezbędne do jej wykonania do 17 grudnia 2021 r. Polska jest wśród państw UE, które naruszyły wskazany termin. Już w styczniu tego roku Komisja Europejska rozpoczęła formalną procedurę egzekwowania tego obowiązku.

Dlatego dobrze należy ocenić publikację (drugiego) projektu ustawy o ochronie osób zgłaszających naruszenia prawa na stronach RCL. Oczywiście nie zamyka to procesu implementacji, ale należy oczekiwać, że ostateczna wersja ustawy zostanie przyjęta niezwłocznie, zwłaszcza że opublikowana propozycja powstała jako odpowiedź na znaczącą ilość uwag zgłoszonych w toku prac legislacyjnych. Choć jest to krok w dobrym kierunku, ciągle są jeszcze kwestie wymagające poprawy.

Kto musi i kiedy

Projekt wskazuje, że obowiązki związane ze zgłoszeniami wewnętrznymi dotyczyć będą podmiotów, na rzecz których wykonuje pracę co najmniej 50 osób. W poprzednim projekcie próg ten dotyczył wyłącznie pracowników, co rodziło wątpliwości w kontekście treści dyrektywy i jej motywów (m.in. 39). Obecnie nie ma wątpliwości, że przy obliczaniu „progu wejścia” w zakres podmiotowy regulacji należy uwzględniać nie tylko osoby wykonujące pracę na podstawie stosunku pracy, a także innego stosunku prawnego stanowiącego podstawę świadczenia pracy lub usług lub pełnienia funkcji (np. współpracowników B2B). Co ważne, niezależnie od ilości osób zatrudnionych ustawę będą stosować podmioty wskazane w art. 23 ust. 2 projektu, m.in. obowiązane na gruncie AML np. biura rachunkowe.

Dodano też, że przepisów o zgłoszeniach wewnętrznych (nie dotyczy to zewnętrznych skierowanych do podmiotów publicznych) nie stosuje się do urzędów lub jednostek organizacyjnych gminy liczącej mniej niż 10 tys. mieszkańców.

Jednocześnie obecna wersja projektu przesądza, że sygnalistą może być nie tylko pracownik, ale każda osoba dokonująca zgłoszenia w kontekście zatrudniania. Z treści poprzedniej wersji projektu (z października 2021 r.) wynikało (sprzecznie z dyrektywą), że to pracodawca decyduje o kręgu osób uprawnionych do zgłoszenia naruszenia. W nowym projekcie pojęcie „kontekst związany z pracą” obejmuje m.in.:

- pracownika,

- pracownika tymczasowego,

- osoby świadczącej pracę na innej podstawie niż stosunek pracy, w tym na podstawie umowy cywilnoprawnej,

- przedsiębiorcę,

- akcjonariusza lub wspólnika.

RODO bardzo szeroko obejmuje pojęcie źródła danych. Może to być także osoba od której dane „pochodzą”. Dlatego w toku prac legislacyjnych zwracano uwagę, że brak wyłączenia obowiązków informacyjnych (tj. o źródle danych) wynikających z RODO może rodzić ryzyko ujawnienia tożsamości sygnalisty, m.in. osobie, której dotyczy zgłoszenie. Dlatego słusznie w najnowszym projekcie dodano m.in. zapis wskazujący, że przepisy dotyczące informowania o źródle danych (art. 8 ust. 6 projektu) nie mogą stać w sprzeczności z zasadami ochrony danych osobowych osoby będącej źródłem tej informacji, w szczególności jeżeli ujawnienie może naruszyć jej prawa i wolności lub jeżeli istnieje podejrzenie prowadzenia względem niej działań odwetowych.

Anonimy

Dyrektywa umożliwia państwom członkowskim dokonanie wyboru, czy zgłoszenia sygnalistów mogą być anonimowe. Zgodnie z jej art. 6 ust. 2 „bez uszczerbku dla istniejących na mocy prawa Unii obowiązków w zakresie anonimowego zgłaszania, niniejsza dyrektywa nie wpływa na uprawnienia państw członkowskich do decydowania o tym, czy podmioty prawne w sektorze prywatnym lub publicznym oraz właściwe organy są zobowiązane do przyjmowania anonimowych zgłoszeń naruszeń i podejmowania w związku z nimi działań następczych”.

Pierwsza wersja projektu zakładała, że to organizacja przyjmująca zgłoszenia wewnętrzne będzie decydować o tym, czy dopuszcza anonimy sygnalistów. Kolejna wersja tego nie przesądza. Wydaje się, że ustawodawca nie wymaga, aby podmiot przyjmujący zgłoszenia był zobowiązany do podejmowania działań w reakcji na otrzymanie anonimu. Niemniej kwestia ta wymaga jeszcze doprecyzowania. Z projektu nie wynika bowiem, czy podmiot przyjmujący zgłoszenia jest zobowiązany do weryfikacji tożsamości zgłaszającego. I choć zakazane jest bazowanie na anonimach, organizacja może mimo wszystko na podstawie zgłoszenia anonimowego podjąć działania następcze. Wydaje się, że bardziej odpowiedni byłby zapis uprawniający organizację do odmowy podejmowania działań w przypadku anonimów.

Ochrona tożsamości

Niezależnie od kwestii dopuszczalności anonimów dyrektywa wymaga uregulowania problemu dostępu do informacji o zgłoszeniu i o dalszych działaniach. W tym zakresie dyrektywa wyróżnia dwa poziomy dostępu:

- najwęższy dotyczy danych samego sygnalisty;

- szerszy dotyczy danych innych osób, m.in. tej, której dotyczy zgłoszenie.

W obu przypadkach dyrektywa wymaga uwzględnienia RODO, m.in. zasad bezpieczeństwa (w tym poufności i niezbędnego dostępu) i minimalizacji. Tylko w pierwszym przypadku wymaga, aby dostęp do danych samego sygnalisty miały wyłącznie osoby upoważnione do przyjmowania zgłoszeń i podejmowania działań następczych. Kluczowy jest art. 16 dyrektywy, który dotyczy tylko sygnalisty. Przesądza on, że „państwa członkowskie zapewniają, by tożsamość osoby dokonującej zgłoszenia nie została ujawniona – bez wyraźnej zgody tej osoby – żadnej osobie, która nie jest upoważnionym członkiem personelu właściwym do przyjmowania zgłoszeń i podejmowania w związku z nimi działań następczych. Ma to również zastosowanie do wszelkich innych informacji, na podstawie których można bezpośrednio lub pośrednio zidentyfikować tożsamość osoby dokonującej zgłoszenia”. W przypadku danych osób, których dotyczy zgłoszenie, dyrektywa wymaga uwzględnienia zasad podobnych jak w przypadku sygnalisty.

Projekt zrównuje zasady ochrony danych sygnalisty i innych osób. Może to uniemożliwić wyciąganie konsekwencji względem osób, których dotyczy zgłoszenie (gdy się potwierdzi), skoro ich tożsamość mogą znać wyłącznie członkowie personelu przeznaczeni do podejmowania działań następczych.

Autor jest adiunktem na WSB w Warszawie, radcą prawnym, Kancelaria Gumularz Kozik

Zgodnie z treścią dyrektywy o ochronie sygnalistów (nr 2019/1937, dalej: dyrektywa) państwa członkowskie miały obowiązek wprowadzić w życie przepisy niezbędne do jej wykonania do 17 grudnia 2021 r. Polska jest wśród państw UE, które naruszyły wskazany termin. Już w styczniu tego roku Komisja Europejska rozpoczęła formalną procedurę egzekwowania tego obowiązku.

Dlatego dobrze należy ocenić publikację (drugiego) projektu ustawy o ochronie osób zgłaszających naruszenia prawa na stronach RCL. Oczywiście nie zamyka to procesu implementacji, ale należy oczekiwać, że ostateczna wersja ustawy zostanie przyjęta niezwłocznie, zwłaszcza że opublikowana propozycja powstała jako odpowiedź na znaczącą ilość uwag zgłoszonych w toku prac legislacyjnych. Choć jest to krok w dobrym kierunku, ciągle są jeszcze kwestie wymagające poprawy.

Pozostało 88% artykułu
Rzecz o prawie
Łukasz Guza: Szef stajni Augiasza
Rzecz o prawie
Jacek Dubois: Premier, komuna, prezes Manowska i elegancja słów
Rzecz o prawie
Mikołaj Małecki: Konstytucyjne credo zamiast czynnego żalu
Rzecz o prawie
Witold Daniłowicz: Myśliwi nie grasują. Wykonują zlecenia państwa
Materiał Promocyjny
Wpływ amerykańskich firm na rozwój polskiej gospodarki
Rzecz o prawie
Joanna Parafianowicz: Wybory okazją do zmian