Ochrona sygnalistów — obowiązki pracodawcy i procedura zgłoszeń wewnętrznych

Od 25 września 2024 roku obowiązuje w Polsce ustawa o ochronie sygnalistów — i wciąż wielu pracodawców traktuje ją jak temat „do załatwienia później". To kosztowny błąd. Procedura zgłoszeń wewnętrznych nie jest dobrowolną dobrą praktyką, lecz obowiązkiem prawnym, a za jego brak grozi grzywna.

Dla działu HR ustawa oznacza konkretną pracę: wdrożenie procedury, wyznaczenie osób do obsługi zgłoszeń, prowadzenie rejestru i — co najtrudniejsze — zbudowanie kultury, w której zgłoszenie nie kończy się odwetem. W tym przewodniku rozkładam obowiązki pracodawcy na czynniki pierwsze: kto, co, w jakich terminach i pod groźbą jakich kar.

Kluczowe wnioski:

• Ustawa o ochronie sygnalistów z 14 czerwca 2024 r. weszła w życie 25 września 2024 r., a przepisy o zgłoszeniach zewnętrznych — 25 grudnia 2024 r.
• Procedurę zgłoszeń wewnętrznych musi wdrożyć każdy podmiot, na rzecz którego pracę zarobkową wykonuje co najmniej 50 osób.
• Pracodawca ma 7 dni na potwierdzenie przyjęcia zgłoszenia i maksymalnie 3 miesiące na informację zwrotną dla sygnalisty.
• Za działania odwetowe wobec sygnalisty grozi kara pozbawienia wolności do 2 lat, a przy uporczywości — do 3 lat.
• Sygnalistą może być nie tylko pracownik, ale też zleceniobiorca, stażysta, wolontariusz czy współpracownik B2B.

Czym jest ustawa o ochronie sygnalistów?

To ustawa z 14 czerwca 2024 roku, która wdraża do polskiego prawa unijną dyrektywę o ochronie osób zgłaszających naruszenia prawa. Weszła w życie 25 września 2024 roku — z wyjątkiem przepisów o zgłoszeniach zewnętrznych, które zaczęły obowiązywać 25 grudnia 2024 roku. Pełny tekst aktu dostępny jest na stronach Sejmu RP.

Cel ustawy jest dwojaki: stworzyć bezpieczne kanały zgłaszania nieprawidłowości i chronić osoby, które się na to zdecydują. Jak relacjonuje prawo.pl, przepisy weszły w życie po latach opóźnień w implementacji dyrektywy — co oznacza, że pracodawcy mieli na przygotowanie mniej czasu, niż zakładał unijny harmonogram.

Dla HR to nie jest abstrakcyjna regulacja compliance. Ustawa dotyka rekrutacji, rozwiązywania umów, awansów i dokumentacji — każdej decyzji kadrowej, którą sygnalista mógłby uznać za odwet.

Kto jest sygnalistą w rozumieniu ustawy?

Sygnalistą jest osoba fizyczna, która zgłasza naruszenie prawa uzyskane w kontekście związanym z pracą. Co istotne, ustawa definiuje ten krąg szeroko — to nie tylko etatowy pracownik.

Sygnalistą może być zleceniobiorca, przedsiębiorca współpracujący na B2B, wspólnik, stażysta, praktykant czy wolontariusz. Ochrona obejmuje też osoby, których relacja z firmą jeszcze się nie zaczęła lub już zakończyła — kandydata z procesu rekrutacji i byłego pracownika. To pokazuje, jak ostrożnie HR musi traktować każdą z tych grup.

Czy to znaczy, że każda skarga staje się „zgłoszeniem sygnalisty"? Nie. Ochrona obejmuje zgłoszenia dotyczące naruszeń prawa w określonych obszarach — i to właśnie te obszary określają zakres ustawy. Jak wyjaśnia analiza serwisu J.G.Training, ochronie podlega też osoba pomagająca w zgłoszeniu oraz osoba powiązana z sygnalistą, np. współpracownik czy członek rodziny — dlatego krąg chronionych bywa szerszy, niż się wydaje na pierwszy rzut oka.

Które firmy muszą wdrożyć procedurę zgłoszeń wewnętrznych?

Obowiązek dotyczy każdego podmiotu — prywatnego i publicznego — na rzecz którego według stanu na 1 stycznia lub 1 lipca danego roku pracę zarobkową wykonuje co najmniej 50 osób. Jak precyzuje portal Biznes.gov.pl, do tej liczby wlicza się pracowników w przeliczeniu na pełne etaty oraz osoby świadczące pracę na innej podstawie niż stosunek pracy.

Próg 50 osób oznacza, że obowiązek obejmuje nie tylko duże korporacje, ale też znaczną część średnich firm. Niektóre podmioty — niezależnie od liczby zatrudnionych — muszą wdrożyć procedurę zawsze, dotyczy to m.in. obszaru usług finansowych czy przeciwdziałania praniu pieniędzy.

Firmy poniżej progu nie mają obowiązku ustawowego, ale mogą wdrożyć procedurę dobrowolnie. Bywa to rozsądne — kanał zgłoszeń wewnątrz organizacji zmniejsza ryzyko, że problem trafi od razu na zewnątrz.

Co można zgłosić jako naruszenie prawa?

Ustawa wymienia katalog dziedzin, w których naruszenie podlega zgłoszeniu — obejmuje on kilkanaście obszarów. Należą do nich m.in. korupcja, zamówienia publiczne, usługi finansowe, bezpieczeństwo produktów i żywności, ochrona środowiska, zdrowie publiczne, ochrona konsumentów, ochrona danych osobowych, bezpieczeństwo sieci i systemów informatycznych oraz interesy finansowe państwa.

Pracodawca może rozszerzyć ten katalog w swojej procedurze — np. o naruszenia regulaminów wewnętrznych czy zasad etyki. Nie może go natomiast zawęzić poniżej minimum ustawowego. Jak zaznacza iAML, poza zakresem ustawy pozostają natomiast zgłoszenia dotyczące wyłącznie indywidualnych sporów pracowniczych — np. konfliktu o premię — które rozstrzyga się na innych zasadach.

Warto pamiętać, że zgłoszenia dotyczące danych osobowych łączą się bezpośrednio z obowiązkami z zakresu RODO — więcej o nich pisaliśmy w tekście ochrona danych RODO w procesach HR.

Jak powinna wyglądać procedura zgłoszeń wewnętrznych?

Procedura to dokument, który pracodawca ustala po konsultacji z zakładową organizacją związkową lub przedstawicielami pracowników. Konsultacja trwa nie krócej niż 5 i nie dłużej niż 10 dni, a sama procedura wchodzi w życie po upływie 7 dni od podania jej do wiadomości pracowników.

Procedura musi określać m.in. wewnętrzną jednostkę lub osobę upoważnioną do przyjmowania zgłoszeń, sposoby ich przekazywania oraz zasady postępowania. Zgłoszenia trzeba przyjmować co najmniej w formie ustnej i pisemnej — pisemnie zarówno na papierze, jak i elektronicznie, a ustnie telefonicznie lub przez inne środki komunikacji.

Osobnym elementem jest rejestr zgłoszeń wewnętrznych. Musi zawierać siedem elementów: numer zgłoszenia, przedmiot naruszenia, dane sygnalisty i osoby, której dotyczy zgłoszenie (chyba że jest anonimowe), adres do kontaktu, datę zgłoszenia, informację o działaniach następczych oraz datę zakończenia sprawy.

Jakie terminy obowiązują przy obsłudze zgłoszeń?

Terminy są twarde i to one najczęściej decydują o tym, czy procedura działa naprawdę, czy tylko na papierze. Pracodawca ma 7 dni na potwierdzenie sygnaliście, że jego zgłoszenie wpłynęło — licząc od dnia jego otrzymania.

Drugi termin to maksymalnie 3 miesiące na przekazanie informacji zwrotnej. Powinna ona obejmować informację o tym, czy wszczęto postępowanie wyjaśniające, jakie działania następcze podjęto i jaki jest ich wynik. Jak podkreśla serwis Infor, dotrzymanie tych terminów jest jednym z głównych punktów kontrolnych przy ocenie zgodności firmy z ustawą.

Co się stanie, jeśli firma nie odpowie w terminie? Sygnalista zyskuje mocniejszy argument, by skorzystać z kanału zewnętrznego — a to oznacza, że problem opuszcza organizację.

Jakie kanały zgłoszeń przewiduje ustawa?

Ustawa przewiduje trzy ścieżki, a sygnalista co do zasady może wybierać między nimi swobodnie. Pierwsza to kanał wewnętrzny — procedura u pracodawcy. Druga to kanał zewnętrzny, czyli zgłoszenie do Rzecznika Praw Obywatelskich lub właściwego organu publicznego; jak informuje Biuro RPO, Rzecznik przyjmuje zgłoszenia zewnętrzne od 25 grudnia 2024 roku.

Trzecia ścieżka to ujawnienie publiczne — możliwe jako ostateczność, na przykład gdy zgłoszenie wewnętrzne i zewnętrzne nie przyniosło reakcji albo gdy istnieje bezpośrednie zagrożenie interesu publicznego.

Dla pracodawcy płynie z tego prosty wniosek. Sprawnie działający kanał wewnętrzny to nie tylko obowiązek — to także sposób, by nieprawidłowość dało się naprawić, zanim trafi do organu albo do mediów.

Jak ustawa chroni sygnalistę przed działaniami odwetowymi?

Ochrona przed odwetem to rdzeń całej ustawy. Wobec sygnalisty zakazane są m.in. odmowa nawiązania stosunku pracy, wypowiedzenie lub rozwiązanie umowy bez wypowiedzenia, obniżenie wynagrodzenia, pominięcie przy awansie, przeniesienie na niższe stanowisko, a także mobbing i dyskryminacja.

Sygnalista, wobec którego zastosowano działania odwetowe, ma prawo do odszkodowania — nie niższego niż przeciętne miesięczne wynagrodzenie w gospodarce narodowej za poprzedni rok. Co ważne dla HR, w sporze to pracodawca musi wykazać, że jego decyzja kadrowa wynikała z przyczyn niezwiązanych ze zgłoszeniem. Granica między uzasadnioną decyzją a odwetem bywa cienka — dlatego każdą trzeba dokumentować. Pomocny będzie tu również nasz artykuł o tym, czym jest mobbing w pracy i jak go rozpoznać.

Jakie kary grożą pracodawcy za naruszenie ustawy?

Sankcje są dotkliwe i wykraczają poza grzywnę. Za brak wdrożenia procedury zgłoszeń wewnętrznych — mimo obowiązku — grozi kara grzywny. Poważniejsze naruszenia podlegają jednak odpowiedzialności karnej.

Jak zwraca uwagę Moore Polska, odpowiedzialność karna obejmuje konkretne osoby działające w imieniu pracodawcy — nie abstrakcyjną „firmę". To zmienia perspektywę: ryzyko jest osobiste, nie tylko organizacyjne. Zestawienie sankcji i nowych obowiązków szczegółowo omawia również Inforlex.

Jak wdrożyć ochronę sygnalistów w praktyce?

Wdrożenie zaczyna się od ustalenia, czy firma w ogóle podlega obowiązkowi — czyli policzenia osób wykonujących pracę zarobkową na dzień 1 stycznia lub 1 lipca. Jeśli próg 50 osób jest przekroczony, kolejne kroki to przygotowanie projektu procedury, konsultacja z przedstawicielami pracowników i wyznaczenie osób do obsługi zgłoszeń.

Równolegle trzeba zadbać o kanały techniczne — bezpieczną skrzynkę, formularz lub linię telefoniczną — oraz o rejestr zgłoszeń spełniający wymóg siedmiu elementów. Część firm decyduje się powierzyć obsługę kanału podmiotowi zewnętrznemu, co bywa rozsądne przy małym dziale HR. Jak podsumowuje kancelaria Sawaryn i Partnerzy, kluczowe jest też przeszkolenie osób obsługujących zgłoszenia — bo to one decydują o zachowaniu poufności i dotrzymaniu terminów.

Najtrudniejszy element jest jednak nietechniczny. To budowa zaufania — przekonania pracowników, że zgłoszenie nie skończy się odwetem. Bez tego nawet najlepiej napisana procedura pozostanie martwym dokumentem, a problemy i tak będą wychodzić na zewnątrz. Warto też pamiętać, że rzetelna dokumentacja każdej decyzji kadrowej, o której pisaliśmy w artykule jak prawidłowo prowadzić dokumentację pracowniczą, jest w kontekście ustawy o sygnalistach najlepszą linią obrony pracodawcy.