Czy adres e-mail wystarczy jako kanał zgłoszeń dla sygnalistów?

Krótka odpowiedź: adres e-mail może być zgodnym kanałem zgłoszeń, ale większość skrzynek nim nie jest. Ani ustawa o ochronie sygnalistów, ani unijna dyrektywa nie zakazują poczty elektronicznej. Art. 26 ustawy dopuszcza zgłoszenia pisemne w postaci elektronicznej. Art. 27 wymaga jednak, by procedura uniemożliwiała nieupoważnionym osobom dostęp do informacji objętych zgłoszeniem. Dedykowany adres z krótką, kontrolowaną listą osób, które mogą go otworzyć, może to spełnić. Wspólna skrzynka etyka@, którą może otworzyć dział IT, która jest archiwizowana i przekierowuje wiadomości do osoby, która ją kiedyś skonfigurowała, zwykle nie. We Włoszech regulator uznaje zwykły e-mail za nieodpowiedni bez dodatkowych, uzasadnionych zabezpieczeń, a w Hiszpanii obowiązek przyjmowania zgłoszeń anonimowych trudno spełnić e-mailem.

Jeśli już korzystasz z adresu e-mail, ten artykuł pomoże ci ustalić, gdzie stoisz: czego wymaga prawo, jak to wygląda w poszczególnych krajach, lista kontrolna dla twojej skrzynki z rozwiązaniem dla każdej luki, luki, których żadne ustawienie nie zamknie, i co zmienia dedykowany kanał.

Czego prawo wymaga od kanału

Dyrektywa (dyrektywa (UE) 2019/1937) nie narzuca technologii, tylko rezultaty. W przypadku kanału wewnętrznego dla poczty elektronicznej liczą się te:

• Bezpieczny z założenia (art. 9 ust. 1 lit. a). Kanał musi być zaprojektowany, ustanowiony i obsługiwany w bezpieczny sposób, tak by tożsamość sygnalisty i osób trzecich wymienionych w zgłoszeniu pozostała poufna, a nieupoważniony personel nie miał do niego dostępu. To kryterium dotyczy systemu, a nie staranności osób, które z niego korzystają.
• Tożsamość tylko dla osób rozpatrujących zgłoszenie (art. 16). Bez wyraźnej zgody sygnalisty jego tożsamości nie wolno ujawniać nikomu poza upoważnionym personelem, który przyjmuje zgłoszenia lub podejmuje działania następcze.
• Terminy (art. 9 ust. 1 lit. b i f). Potwierdzenie przyjęcia w ciągu 7 dni, informacja zwrotna w ciągu 3 miesięcy. Zobacz termin 7 dni / 3 miesięcy na informację zwrotną, wyjaśniony.
• Wyznaczona, bezstronna osoba (art. 9 ust. 1 lit. c). Ktoś konkretny odpowiada za działania następcze.
• Rejestrowanie (art. 18). Każde otrzymane zgłoszenie jest rejestrowane, z zachowaniem tych samych zasad poufności, i przechowywane nie dłużej niż to konieczne.
• Pisemnie, ustnie lub w obu formach (art. 9 ust. 2). Dyrektywa pozwala kanałowi przyjmować zgłoszenia na piśmie, ustnie lub w obu formach. Niektóre ustawy krajowe wymagają obu, więc skrzynka przyjmująca wyłącznie zgłoszenia pisemne nie zawsze wystarczy sama w sobie.
• O anonimowości decyduje każde państwo (art. 6 ust. 2). Dyrektywa pozostawia państwom członkowskim decyzję, czy firmy muszą przyjmować zgłoszenia anonimowe.

Nic z tej listy nie wyklucza poczty elektronicznej. Ale wszystko musi być prawdą dla samej skrzynki, jej kopii zapasowych i każdego, kto ma do niej dostęp.

Kraj po kraju

Przewodniki krajowe omawiają każdą ustawę szerzej: Polska, Niemcy, Francja, Hiszpania, Włochy, Holandia i Irlandia.

Kiedy adres e-mail jest rozsądnym wyborem

• Twoja organizacja nie musi mieć kanału. Poniżej 50 pracowników w większości krajów UE albo w Wielkiej Brytanii dobrze prowadzony adres e-mail jest lepszy niż nic.
• Zgłoszenia jawne w kraju, który nie wymaga anonimowości, przy rzeczywiście wdrożonych zabezpieczeniach opisanych niżej. Polska, Niemcy i Irlandia na to pozwalają.
• Jako dodatkowa ścieżka obok prawdziwego kanału. Niektórzy sygnaliści napiszą na każdy adres, jaki znajdą. Twoja procedura powinna określać, co dzieje się z takimi e-mailami (zobacz „Odejście od skrzynki" niżej).

E-mail ma też jedną prawdziwą przewagę nad formularzem internetowym: działa w obie strony. Możesz potwierdzić przyjęcie zgłoszenia, zadać pytania i przekazać informację zwrotną, o ile sygnalista zgadza się na kontakt pod tym adresem.

Sprawdź własną skrzynkę

Dziesięć punktów, w kolejności, w jakiej zgłoszenie przechodzi przez system. Przy każdym: jak go sprawdzić i jak zamknąć lukę narzędziami, które już masz. Większość zajmie pół godziny z twoim administratorem poczty. Jeśli nie umiesz odpowiedzieć na któryś punkt, potraktuj odpowiedź jako „nie".

1. Adres nie służy do niczego innego.

   Sprawdź: czy w skrzynce jest coś poza zgłoszeniami, na przykład sprawy kadrowe, poczta od dostawców albo newslettery?

   Napraw: utwórz nowy adres wyłącznie na zgłoszenia. Nie używaj ponownie kadry@ ani istniejącej wspólnej skrzynki, której historii dostępów nie jesteś w stanie potwierdzić.

2. Otworzyć ją mogą tylko wyznaczone osoby rozpatrujące zgłoszenia, każda z własnym loginem.

   Sprawdź: wypisz wszystkie osoby z pełnym dostępem, delegacją albo uprawnieniem „Wyślij jako" do skrzynki. W Microsoft 365 znajdziesz to w ustawieniach delegowania skrzynki w centrum administracyjnym Exchange, w Google Workspace w przekazywaniu dostępu do poczty dla konta. Zapytaj, czy ktoś dzieli się hasłem.

   Napraw: usuń każdego, kto nie jest wyznaczoną osobą rozpatrującą zgłoszenia, i daj każdej z nich własny dostęp zamiast wspólnego hasła. Art. 27 ustawy o ochronie sygnalistów wymaga, by procedura uniemożliwiała dostęp osobom nieupoważnionym.

3. Żadne kopie nie opuszczają skrzynki.

   Sprawdź: poszukaj przekierowań ustawionych na skrzynce, reguł skrzynki odbiorczej utworzonych przez jej użytkowników oraz reguł przepływu poczty lub routingu w całej organizacji, które kopiują wiadomości gdzie indziej (reguły transportu w Exchange, reguły routingu i zgodności w Gmailu). Sprawdź też kronikowanie (journaling), które wysyła kopię każdej wiadomości do archiwum.

   Napraw: wyłącz przekierowania i reguły skrzynki odbiorczej, a adres wyłącz z każdej reguły kronikowania i kopiowania.

4. Wiesz, kto jeszcze może się dostać, i ograniczyłeś to, jak tylko się dało.

   Sprawdź: każdy, kto może zresetować hasło do skrzynki, może ją przeczytać. Podobnie każdy, kto może uruchomić wyszukiwanie eDiscovery lub w Google Vault albo odtworzyć kopię zapasową. Zapisz, kto ma te role.

   Napraw: ogranicz te role do jak najmniejszej liczby osób, włącz alerty o resetach hasła i wyszukiwaniach eDiscovery dotyczących tej skrzynki, a pozostały dostęp opisz w ocenie skutków dla ochrony danych. Tę listę możesz skrócić, ale nie zlikwidować. To główny powód, dla którego włoski regulator uznaje zwykły e-mail za nieodpowiedni sam w sobie.

5. Potwierdzenia przyjęcia wychodzą z kanału, w ciągu 7 dni.

   Sprawdź: kto odpowiada, z jakiego adresu i jak szybko? Odpowiedź z własnego konta osoby rozpatrującej przenosi jej nazwisko, i wątek zgłoszenia, do drugiej skrzynki.

   Napraw: odpowiadaj wyłącznie z dedykowanego adresu. Automatyczna odpowiedź, która potwierdza otrzymanie i mówi, kiedy spodziewać się informacji zwrotnej, wystarczy na 7-dniowy termin, o ile nie mówi nic o treści.

6. Terminy są pilnowane poza skrzynką.

   Sprawdź: czy dla ostatniego zgłoszenia umiesz powiedzieć, kiedy potwierdzono przyjęcie i kiedy mija termin na informację zwrotną?

   Napraw: prowadź zestawienie, na przykład arkusz z tak samo ograniczonym dostępem, z datą otrzymania, datą potwierdzenia i terminem informacji zwrotnej trzy miesiące później. Wyznacz osobę, która co tydzień je przegląda.

7. Każde zgłoszenie jest w rejestrze i ma datę usunięcia.

   Sprawdź: ustawa wymaga prowadzenia rejestru zgłoszeń wewnętrznych (art. 29). Czy mógłbyś pokazać wszystkie tegoroczne zgłoszenia i to, co stało się z każdym? Czy po upływie okresu przechowywania zgłoszenie zniknęłoby także z archiwów, kopii zapasowych i zasad przechowywania?

   Napraw: dopisz do rejestru wynik i datę usunięcia. Dane w rejestrze przechowuje się przez 3 lata po zakończeniu roku kalendarzowego, w którym zakończono działania następcze. Sprawdź, czy żadna zasada przechowywania nie zatrzymuje latami usuniętych elementów tej skrzynki, i usuwaj zgodnie z harmonogramem. Zobacz wybór polityki retencji.

8. Sygnaliści znają ryzyko konta służbowego.

   Sprawdź: czy twoja procedura mówi, że e-mail wysłany z konta służbowego zostawia kopię w elementach wysłanych, na serwerach administrowanych przez firmę?

   Napraw: powiedz to i dodaj, że można pisać z prywatnego adresu. Procedura musi też określać, jak postępujesz ze zgłoszeniami anonimowymi (art. 25 ust. 1 pkt 4). Jeśli je przyjmujesz, wyjaśnij, jak zrobić to e-mailem, pamiętając, że cały ciężar spada wtedy na sygnalistę. Zobacz zgłoszenia anonimowe a zidentyfikowane.

9. Istnieje ścieżka ustna i spotkanie na wniosek.

   Sprawdź: czy ktoś może zgłosić sprawę bez pisania czegokolwiek i poprosić o bezpośrednie spotkanie?

   Napraw: art. 26 dopuszcza zgłoszenia ustne lub pisemne, a na wniosek sygnalisty spotkanie trzeba zorganizować w ciągu 14 dni (art. 26 ust. 6). Opisz w procedurze, jak o nie poprosić. Jeśli działasz też w Holandii lub we Włoszech, potrzebujesz tam ścieżki ustnej, na przykład telefonu lub poczty głosowej. Zobacz zgłoszenia głosowe i anonimizacja, wyjaśnione prosto.

10. Zgłoszenia dotyczące osób rozpatrujących trafiają gdzie indziej, a dostęp przetrwa zmiany kadrowe.

    Sprawdź: jeśli zgłoszenie dotyczy kogoś z dostępem do skrzynki, gdzie trafia? Gdy osoba rozpatrująca odchodzi z firmy, kto odbiera jej dostęp i sprawdza, czy nie zostało żadne przekierowanie?

    Napraw: wskaż w polityce alternatywny kontakt, na przykład członka zarządu albo zewnętrznego doradcę, z własną ścieżką. Dodaj skrzynkę do listy kontrolnej przy odejściach pracowników i powtarzaj punkty 2–4 co kwartał.

Czego żadne ustawienie nie naprawi

Niektóre luki wynikają z tego, jak działa e-mail, a nie z tego, jak skonfigurowano twoją skrzynkę:

• Ktoś zawsze może wejść. Jakkolwiek ograniczysz dostęp, administrator może zresetować hasło albo przeszukać skrzynkę. Kanał jest zarezerwowany dla upoważnionych na mocy zasady, a nie konstrukcji.
• Anonimowość kosztuje sygnalistę wysiłek. Anonimowe zgłoszenie wymaga wcześniejszego założenia osobnego konta, a wiadomość i tak niesie nagłówki i metadane.
• Kopia sygnalisty. Zgłoszenie wysłane z konta służbowego zostawia na twoich serwerach ślad, którego nie usuniesz bez wchodzenia do jego skrzynki.
• Dokumentacja żyje poza kanałem. Rejestr, terminy i ślad audytowy to osobny arkusz, który trzeba prowadzić ręcznie. Jeśli organ albo sąd zapyta, co i kiedy się stało, „oto e-maile, a oto nasz arkusz" to słabsza odpowiedź niż dziennik każdej czynności ze znacznikiem czasu. Zobacz logowanie audytowe: prowadzenie dokumentacji nadającej się do obrony.

Czego wymaga utrzymanie skrzynki

Jeśli każdy punkt powyżej jest spełniony, masz kanał, który może być zgodny z prawem. Utrzymanie tego stanu wymaga stałej pracy:

• przeglądu dostępów co kwartał oraz po każdym odejściu pracownika i każdej zmianie w IT
• rejestru prowadzonego ręcznie dla każdego zgłoszenia i co tydzień porównywanego z terminami
• sposobu na zorganizowanie spotkania w ciągu 14 dni, gdy ktoś o nie poprosi
• usuwania zgodnie z harmonogramem, w skrzynce, rejestrze, archiwach i kopiach zapasowych
• oceny skutków, która wyjaśnia dostęp, którego nie udało się usunąć

Nic z tego nie jest trudne, ale wszystko zależy od tego, czy ktoś o tym pamięta.

Dlaczego firmy przechodzą na Provoxis

Provoxis powstał właśnie do tego zadania, więc większość punktów powyżej jest załatwiona, zanim wpłynie twoje pierwsze zgłoszenie:

Bez kwartalnych przeglądów dostępów w systemach pocztowych, bez arkusza do prowadzenia i bez odbudowywania czegokolwiek, gdy osoba rozpatrująca odchodzi. Wdrożenie przeprowadzasz samodzielnie z listą kontrolną, cena to stała opłata miesięczna (zobacz cennik), a do tego jest 30-dniowy bezpłatny okres próbny.

Odejście od skrzynki

1. Opublikuj nowy kanał wszędzie, gdzie widniał adres e-mail: na stronie internetowej, w polityce, regulaminie pracy i dokumentach dla dostawców. Jeśli zmieniasz przy tym procedurę zgłoszeń wewnętrznych, pamiętaj o konsultacjach z zakładową organizacją związkową albo przedstawicielami pracowników (art. 24 ust. 3–4).
2. Zachowaj stary adres przez jakiś czas, z automatyczną odpowiedzią, która kieruje na nową stronę zgłoszeń. Niektórzy będą z niego dalej korzystać.
3. Dla zgłoszeń, które nadal przychodzą e-mailem, są dwie drogi. Odpowiedz z dedykowanego adresu i poproś sygnalistę o złożenie zgłoszenia przez stronę zgłoszeń, żeby dostał własny numer referencyjny sprawy. Albo, jeśli woli tego nie robić, złóż zgłoszenie w jego imieniu, zaznacz w nim, że przyszło e-mailem, i wyślij numer referencyjny sprawy tylko jemu, żeby mógł śledzić sprawę.
4. Uporządkuj to, co zostało w skrzynce. Dokończ otwarte sprawy tam, gdzie są, albo przenieś je w ten sam sposób. Resztę usuń po upływie okresu przechowywania, a potem zamknij skrzynkę.

Podstawa prawna

• Ustawa z dnia 14 czerwca 2024 r. o ochronie sygnalistów, art. 24–27 — treść procedury, w tym postępowanie ze zgłoszeniami anonimowymi; zgłoszenia ustne lub pisemne (w postaci papierowej lub elektronicznej); brak dostępu dla osób nieupoważnionych i poufność tożsamości; spotkanie w ciągu 14 dni na wniosek (art. 26 ust. 6); konsultacje procedury z organizacją związkową lub przedstawicielami pracowników (art. 24 ust. 3–4).
• Ustawa z dnia 14 czerwca 2024 r. o ochronie sygnalistów, art. 29 — rejestr zgłoszeń wewnętrznych i okres przechowywania danych.
• Art. 6 ust. 2, art. 9 ust. 1 lit. a–f, art. 9 ust. 2, art. 16, art. 18, dyrektywa (UE) 2019/1937 — anonimowość jako decyzja krajowa; bezpieczna konstrukcja i dostęp tylko dla upoważnionych; terminy; wyznaczona osoba; zgłoszenia pisemne, ustne lub w obu formach; poufność tożsamości; rejestrowanie.
• § 16 HinSchG — dostęp tylko dla osób właściwych; zgłoszenia ustne lub pisemne oraz spotkanie na wniosek. Uzasadnienie projektu ustawy (BT-Drs. 20/3442, s. 81) potwierdza, że wystarczy jedna z tych form.
• Décret n° 2022-1284, art. 4 i 6 (Légifrance) — zgłoszenia pisemne lub ustne; integralność, poufność i brak dostępu dla nieupoważnionego personelu.
• Ley 2/2023, art. 5.2, 7.2 i 7.3 (BOE) — bezpieczna konstrukcja; zgłoszenia pisemne i ustne; przyjmowanie zgłoszeń anonimowych.
• D.Lgs. 24/2023, art. 4, oraz wytyczne ANAC 1/2025 dotyczące kanałów wewnętrznych, uchwała nr 478 z 26 listopada 2025 r. (ANAC) — poufność także dzięki szyfrowaniu; obowiązek zapewnienia drogi pisemnej i ustnej (pkt 2.2); zwykły e-mail i PEC same w sobie nieodpowiednie bez uzasadnionych środków zaradczych.
• Wet bescherming klokkenluiders, art. 2 (wetten.overheid.nl) — zgłoszenia pisemne i ustne oraz spotkanie na wniosek.
• Protected Disclosures Act 2014 (Irlandia), s.5A i s.6A (wersja skonsolidowana) — zgłoszenia anonimowe; bezpieczne i poufne kanały wewnętrzne.