Wdrożenie mechanizmów ochrony sygnalisty w krajowym porządku prawnym

1. Identyfikacja sygnalisty

W treści 1 motywu Dyrektywy 2019/1937 w sprawie ochrony osób zgłaszających naruszenia prawa Unii (dalej: dyrektywa) (1), wskazuje się, że pod pojęciem sygnalisty definiuje się osobę pracującą nie tylko dla organizacji publicznej oraz prywatnej, ale również takiej, która tylko utrzymuje kontakt z taką organizacją w związku ze swoją działalnością zawodową. W praktyce oznacza to, że nie chodzi tylko i wyłącznie o osoby pozostające w stosunku pracowniczym, ale w zdecydowanie szerszym zakresie – o każdą osobę utrzymującą kontakt z konkretnym podmiotem (publicznym i prywatnym/przedsiębiorcą) w związku ze swoją działalności zawodową. Osoby takie dowiadując się, a następnie informując o zagrożeniach i/lub szkodach dla interesu publicznego i/lub interesu przedsiębiorcy, mają modelowo odgrywać kluczową rolę w mechanizmie zapobiegania i eliminowania praktyk, które prowadzą do różnego rodzaju naruszeń i szkód w obszarze definiowanym jako dobro społeczne.

Za sygnalistę może zostać więc uznany:

• pracownik sektora publicznego, w tym urzędnik służby cywilnej;
• były pracownik sektora publicznego;
• osoba ubiegająca się o zatrudnienie (uczestnicząca w procesach rekrutacyjnych), a także osoba uczestnicząca w negocjacjach poprzedzających zawarcie umowy;
• osoba prowadząca działalność na własny rachunek;
• akcjonariusz lub wspólnik oraz osoba będąca członkiem organu administrującego, zarządzającego lub nadzorczego przedsiębiorstwa, w tym członkiem niewykonawczym, a także wolontariuszem i stażystą, bez względu na to, czy otrzymują oni wynagrodzenie;
• osoba pracująca pod nadzorem i kierownictwem wykonawców, podwykonawców i dostawców;
• osoba dokonująca zgłoszenia (ujawnienia publicznego informacji) na temat naruszeń, jakie uzyskała w ramach stosunku pracy, który już ustał (2).

2. Fragmentaryczność aktualnych rozwiązań krajowych

Regulacje obowiązujące w polskim porządku prawnym – dedykowane jedynie wycinkowo ochronie sygnalisty – mają charakter fragmentaryczny. Odnajdujemy je w przepisach ustaw:

• o ofercie publicznej i warunkach wprowadzania instrumentów finansowych do zorganizowanego systemu obrotu oraz o spółkach publicznych (art. 97d.) (3);
• o nadzorze nad rynkiem kapitałowym (art. 3a) (4);
• o obrocie instrumentami finansowymi (5) (art. 25, 83a ust. 1a i 131m z uwzględnieniem zmian uchwalonych w dniu 21 stycznia przez Sejm);
• o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (art. 53) (6);
• o zwalczaniu nieuczciwej konkurencji (art. 11 ust. 8) (7).

Istniejące regulacje definiują we wskazanym przedmiotowo zakresie obowiązki w obszarze:

• posiadania wewnętrznych procedur anonimowego zgłaszania przez pracowników rzeczywistych oraz potencjalnych naruszeń;
• skonkretyzowania sposobu ochrony pracownika dokonującego zgłoszenia, zapewniającego, co najmniej, ochronę przed działaniami o charakterze represyjnym, dyskryminacją lub innymi rodzajami niesprawiedliwego traktowania, a także ochrony jego danych osobowych oraz osoby, której zarzuca się dokonanie naruszenia, zgodnie z przepisami o ochronie danych osobowych z jednoczesnym określeniem terminu usunięcia przez instytucje obowiązane przedmiotowych danych zawartych w otrzymanych zgłoszeniach;
• sprecyzowania zasad zachowania poufności w przypadku ujawnienia tożsamości osób (sygnalisty i osoby, której zarzuca się dokonanie naruszeń) wraz ze wskazaniem rodzaju i charakteru działań następczych podejmowanych po odebraniu zgłoszenia;
• prymatu ujawnienia naruszeń nad ochroną tajemnicy zawodowej lub innej prawnie zdefiniowanej (8).

Co istotne – za naruszenia uznaje się nie tylko działania (zaniechania) spełniające ustawowe znamiona czynów karalnych, ale również procedur i standardów etycznych (np. art. 97 d. ustawy o ofercie publicznej i warunkach wprowadzania instrumentów finansowych do zorganizowanego systemu obrotu oraz o spółkach publicznych). Z tego też powodu każda z procedur (mechanizmów) musi zostać odpowiednio sprofilowana i dostosowana indywidualnie do zobowiązanego.

3. Zakres koniecznych wdrożeń

Postanowienia Dyrektywy 2019/1937 będą musiały zostać wdrożone w sposób kompleksowy. Ustawodawca krajowy musi z jednej strony uwzględnić szeroki zakres przedmiotowy regulacji unijnej (9), jak i z drugiej konieczność wdrożenia:

• bezpiecznych procedur informacyjnych;
• zasad i zakresu ochrony sygnalistów zapewniających co najmniej ochronę przed działaniami o charakterze represyjnym, dyskryminacją lub innymi rodzajami niesprawiedliwego traktowania;
• mechanizmów ochrony danych osobowych pracownika dokonującego zgłoszenia oraz osoby, której zarzuca się dokonanie naruszenia, zgodnie z przepisami o ochronie danych osobowych (kwestie archiwizacji i niszczenia dokumentów);
• procedur służących zachowaniu poufności;
• mechanizmów i procedur zewnętrznych oraz wewnętrznych służących ochronie sygnalistów;
• zasad i mechanizmów służących inicjowaniu i przeprowadzenia postępowań.

Nie będzie to zadanie łatwe, choć należy przypuszczać, że – jeżeli projektodawca bierze pod uwagę wymogi wynikające z przepisów ustawy kooperacyjnej – projekt zostanie przedstawiony już w lipcu tego roku. Mając na względzie, iż po stronie zobowiązanych konieczne będzie:

• odpowiednie przygotowanie organizacyjne (osobowe, rzeczowe, informatyczne),
• przeprowadzenie testu definiowania i oceny rozwiązań im dedykowanych,

byłoby to optymalna data, pozwalająca na właściwą ocenę sumy przesłanek, których wzięcie pod uwagę już obecnie jest niezbędne.

Warto też wziąć pod uwagę, że wpływające zgłoszenia nie muszą być zawsze zasadne, nie będzie można wykluczyć więc działań pozornych, a nawet fałszywie oczerniających, co na pewno wpłynie na konieczność dynamizowania rozwiązań szczegółowych. Nie budzi jednak wątpliwości, że uzyskana przez podmiot publiczny czy przedsiębiorcę wiedza, pozwalać będzie na wyeliminowanie przypadków naruszania przepisów prawa i kształtowania się różnego rodzaju patologii, o zawsze negatywnych następstwach tak dla interesu publicznego, jak i interesów konkretnych przedsiębiorców.

Mariusz Jabłoński

1. Dyrektywa Parlamentu Europejskiego I Rady (UE) 2019/1937, L 305/17.

2. Przy jednoczesnym zastrzeżeniu, iż w stosownych przypadkach środki ochrony osób dokonujących zgłoszenia stosuje się również do: osób pomagających w dokonaniu zgłoszenia, osób trzecich powiązanych z osobami dokonującymi zgłoszenia, które mogą doświadczyć działań odwetowych w kontekście związanym z pracą, takich jak współpracownicy lub krewni osób dokonujących zgłoszenia, a także podmiotów prawnych, które stanowią własność osoby dokonującej zgłoszenia, dla których taka osoba pracuje lub które są w inny sposób z nią powiązane w kontekście związanym z pracą (art. 6 ust. 4 dyrektywy).

3. Ustawa z dnia 29 lipca 2005 r., t.j. Dz. U. z 2020 r. poz. 2080.

4. Ustawa z 29lipca 2005 r. t.j. Dz. U. z 2020 r. poz. 1400 ze zm.

5. Ustawa z 29 lipca 2005 r.j. Dz. U. z 2020 r. poz. 89 ze zm.

6. Ustawa z 1 marca 2018 r., t.j. Dz. U. z 2020 r. poz. 971 ze zm.

7. Ustawa z 16 kwietnia 1993 r., t.j. Dz. U. z 2020 r. poz. 1913.

8. Np. właśnie art. 11 ust. 8 ustawy o zwalczaniu nieuczciwej konkurencji wskazuje się, że : Ujawnienie, wykorzystanie lub pozyskanie informacji stanowiących tajemnicę przedsiębiorstwa nie stanowi czynu nieuczciwej konkurencji, gdy nastąpiło w celu ochrony uzasadnionego interesu chronionego prawem, w ramach korzystania ze swobody wypowiedzi lub w celu ujawnienia nieprawidłowości, uchybienia, działania z naruszeniem prawa dla ochrony interesu publicznego, lub gdy ujawnienie informacji stanowiących tajemnicę przedsiębiorstwa wobec przedstawicieli pracowników w związku z pełnieniem przez nich funkcji na podstawie przepisów prawa było niezbędne dla prawidłowego wykonywania tych funkcji”.

9. Dotyczą m.in dziedzin: zamówienia publiczne, usługi, produkty i rynki finansowe oraz zapobieganie praniu pieniędzy i finansowaniu terroryzmu, bezpieczeństwa produktów i ich zgodności z wymogami, bezpieczeństwa transportu, ochrony środowiska, ochrony radiologicznej i bezpieczeństwa jądrowego, bezpieczeństwa żywności i pasz, zdrowia i dobrostanu zwierząt, zdrowia publicznego, ochrony konsumentów, ochrony prywatności i danych osobowych oraz bezpieczeństwa sieci i systemów informacyjnych (zob. szerzej art. 2 dyrektywy).