Kto musi przestrzegać Ustawy o ochronie sygnalistów? #
Krótka odpowiedź: jeśli Twoja organizacja zatrudnia 50 lub więcej pracowników i działa w Polsce, potrzebujesz wewnętrznego kanału zgłaszania nieprawidłowości. To nie jest opcjonalne. Jeśli jesteś nadzorowanym podmiotem finansowym, potrzebujesz go niezależnie od wielkości — wystarczy pięciu pracowników — ponieważ próg Cię nie dotyczy . Ustawa o ochronie sygnalistów transponuje Dyrektywę UE 2019/1937 i obowiązuje od 25 września 2024 r.
Oto wszystko, co musisz wiedzieć, aby określić, czy musisz przestrzegać przepisów, czego faktycznie wymaga zgodność i co się stanie, jeśli tego nie zrobisz.
Próg: 50 pracowników #
Dyrektywa UE 2019/1937, Art. 8 ust. 3, ustanawia obowiązek:
- 250+ pracowników: Musieli mieć wewnętrzny kanał zgłoszeniowy od 17 grudnia 2021 r. (pierwotny termin transpozycji).
- 50–249 pracowników: Musieli mieć wewnętrzny kanał zgłoszeniowy od 17 grudnia 2023 r. (przedłużony termin).
Mniej niż 50 pracowników nie oznacza zwolnienia. Artykuł 8 ust. 4 całkowicie znosi próg dla nadzorowanych podmiotów finansowych, a kilka państw członkowskich rozszerza obowiązek jeszcze dalej — zobacz kto jest objęty poza progiem zatrudnienia poniżej.
Jeśli masz 50 lub więcej pracowników w UE, termin już minął. Powinieneś mieć kanał już na miejscu.
Jak liczy się pracowników #
Dyrektywa nie definiuje “pracownika” wąsko. Państwa członkowskie liczą:
- Pracowników pełno- i niepełnoetatowych (niepełnoetatowi mogą być liczeni proporcjonalnie w niektórych krajach)
- Pracowników na czas określony i tymczasowych
- W niektórych państwach członkowskich: pracowników delegowanych, praktykantów i uczniów
Liczenie opiera się na podmiocie prawnym, nie na grupie. Jeśli jesteś częścią grupy kapitałowej, każdy podmiot z 50+ pracownikami potrzebuje własnego kanału — chociaż podmioty o 50–249 pracownikach mogą współdzielić zasoby do przyjmowania i badania zgłoszeń (Art. 8 ust. 6).
Kto jest objęty poza progiem zatrudnienia #
Kilka kategorii organizacji musi przestrzegać przepisów niezależnie od liczby pracowników:
Usługi finansowe (Art. 8 ust. 4) #
Wszystkie podmioty działające w usługach finansowych — banki, firmy inwestycyjne, towarzystwa ubezpieczeniowe, instytucje płatnicze, dostawcy usług kryptoaktywów — muszą mieć kanał zgłoszeniowy niezależnie od wielkości. Dotyczy to nawet firm z 5 pracownikami. Dyrektywa odwołuje się do sektorowego prawodawstwa UE wymienionego w części I.B i części II Załącznika.
Sektor publiczny (Art. 8 ust. 9) #
Państwa członkowskie mogą wymagać od gmin i innych podmiotów publicznych ustanowienia kanałów wewnętrznych. Wiele to zrobiło, często z niższymi progami lub bez progu.
Rozszerzenia krajowe #
Niektóre państwa członkowskie wykraczają poza minimum Dyrektywy:
- Włochy: Organizacje z programem zgodności “Model 231” muszą przestrzegać przepisów niezależnie od wielkości.
- Belgia: Firmy z 250+ pracownikami muszą przyjmować anonimowe zgłoszenia (bardziej rygorystyczne niż podstawa Dyrektywy).
- Francja: Loi Waserman (2022-401) transponująca Dyrektywę zniosła wymóg korzystania z kanałów wewnętrznych przed zgłoszeniem do organów zewnętrznych — sygnaliści mogą teraz wybrać dowolną ścieżkę. Szersze obowiązki antykorupcyjne Loi Sapin II (odrębne od kanału zgłaszania) nadal dotyczą firm z 500+ pracownikami i 100 mln EUR+ przychodów.
Kto może zgłaszać #
Dyrektywa chroni szeroką kategorię “osób zgłaszających” — nie tylko pracowników. Zgodnie z Art. 4, następujące osoby są chronione, gdy zgłaszają przez Twój kanał:
- Pracownicy (pracownicy etatowi, urzędnicy państwowi, stażyści, praktykanci)
- Osoby samozatrudnione (wykonawcy, freelancerzy)
- Akcjonariusze i członkowie zarządu
- Wolontariusze
- Dostawcy i ich pracownicy (każdy w Twoim łańcuchu dostaw)
- Kandydaci do pracy (osoby, które dowiedziały się o nieprawidłowościach podczas procesu rekrutacji)
- Byli pracownicy (osoby, które dowiedziały się o nieprawidłowościach podczas poprzedniego zatrudnienia)
Twój kanał zgłoszeniowy musi być dostępny dla wszystkich tych grup, nie tylko dla obecnych pracowników.
Czego faktycznie wymaga zgodność #
Posiadanie kanału oznacza spełnienie wymagań Art. 8, 9 i 16 Dyrektywy. Oto minimum:
1. Bezpieczny kanał zgłoszeniowy (Art. 8) #
Wewnętrzny kanał umożliwiający zgłaszanie na piśmie (i opcjonalnie ustnie). Musi:
- Być dostępny dla wszystkich osób objętych Dyrektywą (pracowników, wykonawców, dostawców itp.)
- Chronić poufność tożsamości zgłaszającego
- Nie wymagać od zgłaszającego ujawniania swojej tożsamości (anonimowe zgłaszanie jest dozwolone w większości państw członkowskich)
2. Udokumentowana procedura (Art. 9) #
Kanał musi przestrzegać zdefiniowanej procedury:
| Wymóg | Termin | Artykuł |
|---|---|---|
| Potwierdzenie odbioru zgłoszenia | W ciągu 7 dni | Art. 9 ust. 1 lit. b) |
| Wyznaczenie bezstronnej osoby lub działu do obsługi | Po otrzymaniu | Art. 9 ust. 1 lit. a) |
| Staranne kontynuowanie działań | Na bieżąco | Art. 9 ust. 1 lit. c) |
| Przekazanie informacji zwrotnej zgłaszającemu | W ciągu 3 miesięcy | Art. 9 ust. 1 lit. f) |
| Poinformowanie zgłaszającego o możliwościach zgłoszenia zewnętrznego | Przy złożeniu zgłoszenia | Art. 9 ust. 1 lit. g) |
3. Ochrona poufności (Art. 16) #
Tożsamość zgłaszającego nie może być ujawniona nikomu poza personelem obsługującym zgłoszenie, bez wyraźnej zgody zgłaszającego. Oznacza to:
- Kontrola dostępu: tylko upoważnione osoby rozpatrujące widzą zgłoszenia
- Brak rejestrowania IP ani śledzenia, które mogłoby zidentyfikować anonimowych zgłaszających
- Dane szyfrowane w spoczynku
4. Prowadzenie rejestrów (Art. 18) #
Zgłoszenia muszą być przechowywane bezpiecznie i zatrzymywane zgodnie z prawem krajowym. Potrzebujesz dziennika audytu, który może wykazać zgodność przed regulatorami.
5. Środki antyodwetowe (Art. 19–21) #
Nie wolno podejmować działań odwetowych wobec zgłaszających. Obejmuje to zwolnienie, degradację, wstrzymanie awansu, zmianę obowiązków lub jakąkolwiek inną formę pokrzywdzenia. Zgłaszający muszą być informowani o tej ochronie.
Co NIE jest uznawane za zgodność #
Niektóre rzeczy, które organizacje próbują, a które nie spełniają wymagań Dyrektywy:
- Ogólny adres e-mail (np. compliance@firma.pl ). Nie chroni poufności, nie śledzi terminów i nie tworzy dziennika audytu.
- Anonimowa skrzynka sugestii. Brak dwukierunkowej komunikacji, brak potwierdzenia, brak mechanizmu informacji zwrotnej.
- Strona w podręczniku pracownika. Kanał musi być operacyjny, nie tylko udokumentowany.
- Zewnętrzna infolinia bez zarządzania sprawami. Jeśli zgłoszenia przychodzą telefonicznie, ale nie są śledzone przez system z terminami i dziennikami audytu, nie spełniasz wymagań Art. 9.
Co się stanie, jeśli nie przestrzegasz przepisów #
Każde państwo członkowskie określiło kary. Różnią się znacznie:
| Kraj | Kara za brak kanału zgłoszeniowego | Źródło |
|---|---|---|
| Hiszpania | Do 1 000 000 EUR | Law 2/2023 |
| Belgia | 24 000–576 000 EUR + do 3 lat więzienia | CMS Expert Guide |
| Niemcy | 20 000–500 000 EUR (podmioty prawne) | HinSchG §40 |
| Włochy | 10 000–50 000 EUR | D.Lgs. 24/2023 |
| Polska | Do 1 080 000 PLN (ok. 250 000 EUR) | Act of 14 June 2024 |
Egzekwowanie nie jest teoretyczne. W marcu 2025 r. Trybunał Sprawiedliwości UE nałożył na pięć państw członkowskich łączną karę 39 milionów EUR za opóźnienie w transpozycji Dyrektywy. Krajowe organy egzekwowania prawa są już operacyjne w większości krajów i aktywnie nakładają kary.
Zobacz naszą pełną stronę kary według krajów dla wszystkich 27 państw członkowskich.
Najszybsza droga do zgodności #
Jeśli Twoja organizacja ma 50+ pracowników, termin już minął. Oto jak osiągnąć zgodność:
- Wdróż kanał zgłoszeniowy. EthicsPortal obejmuje konfigurację kanału zgłoszeniowego, bezpieczne przyjmowanie zgłoszeń, śledzenie terminów i eksporty audytowe za 41,67 EUR/miesiąc przy płatności rocznej.
- Wyznacz osobę rozpatrującą. Przydziel co najmniej jedną bezstronną osobę do przyjmowania i badania zgłoszeń.
- Poinformuj pracowników. Udostępnij adres URL kanału zgłoszeniowego i kod QR za pomocą plakatów, materiałów dla nowych pracowników i komunikacji wewnętrznej.
- Udokumentuj procedurę. Przyjmij wewnętrzną politykę ochrony sygnalistów opisującą proces, terminy i ochronę przed odwetem.
Oprogramowanie to najłatwiejsza część. Cała konfiguracja — kanał, konfiguracja, kod QR — można zrobić w przerwie obiadowej. Kroki organizacyjne (wyznaczenie osoby rozpatrującej, polityka, szkolenia) trwają dłużej, ale są proste.
Szczegółową analizę zgodności artykuł po artykule z wymogami EthicsPortal znajdziesz na naszej stronie zgodności .
Ostatnia aktualizacja: