Poufność i ochrona prawna, wyjaśnione

Dwie różne ochrony, często mylone

O "poufności" i "ochronie prawnej" mówi się jak o jednej rzeczy, ale dyrektywa traktuje je jako dwie odrębne gwarancje, w dwóch różnych artykułach, pełniące dwie różne funkcje: artykuł 16 kontroluje, kto może znać tożsamość zgłaszającego; artykuł 21 kontroluje, czy sam akt zgłoszenia może zostać wykorzystany przeciwko niemu w postępowaniu prawnym. Kanał — lub firma — może zrobić jedno dobrze, a drugie źle.

Obowiązek poufności: kto może to wiedzieć

Artykuł 16 ust. 1 jest jednoznaczny: tożsamość zgłaszającego nie może zostać ujawniona nikomu poza upoważnionym personelem właściwym do przyjmowania zgłoszeń i podejmowania w związku z nimi działań następczych, bez wyraźnej zgody tej osoby. Nie "rozsądnie zachowana w tajemnicy" — domyślnie ograniczona do konkretnej, wymienionej kategorii osób.

Tajemnice przedsiębiorstwa mają własną wersję tego samego obowiązku: artykuł 16 ust. 4 wymaga od właściwego organu, który otrzymuje zgłoszenie zawierające tajemnice przedsiębiorstwa, by nie wykorzystywał ich ani nie ujawniał poza tym, co konieczne do właściwych działań następczych. Poufność nie dotyczy tylko nazwiska zgłaszającego — obejmuje wrażliwy materiał, który może zawierać samo zgłoszenie.

Kiedy poufność można znieść — i co musi się wcześniej wydarzyć

Artykuł 16 ust. 2 dopuszcza ujawnienie tożsamości zgłaszającego tam, gdzie jest to konieczny i proporcjonalny obowiązek na mocy prawa Unii lub prawa krajowego — w kontekście dochodzenia prowadzonego przez organ krajowy lub postępowania sądowego. To nie furtka, z której firma może skorzystać dowolnie; jest ściśle związana z już toczącym się procesem prawnym. Nawet wtedy artykuł 16 ust. 3 wymaga odpowiednich zabezpieczeń, a zgłaszający powinien zostać poinformowany na piśmie przed dokonaniem ujawnienia — chyba że wcześniejsze poinformowanie zagroziłoby dochodzeniu lub postępowaniu, którego jest częścią.

Tarcza odpowiedzialności: samo zgłoszenie nie może zostać wykorzystane przeciwko Tobie

Niezależnie od poufności, artykuł 21 chroni zgłaszającego przed kategorią konsekwencji prawnych, która istniała jeszcze przed dyrektywą: pozwaniem lub ściganiem za sam akt zgłoszenia. Dwie konkretne ochrony:

• Pozyskanie lub uzyskanie dostępu do informacji. Artykuł 21 ust. 3 chroni zgłaszającego przed odpowiedzialnością za sposób, w jaki zdobył informacje, które zgłosił lub ujawnił — pod warunkiem że samo ich zdobycie nie stanowiło odrębnego, samodzielnego przestępstwa. Odczytanie dokumentu, którego nie otrzymano, ale do którego miało się zgodny z prawem dostęp, nie jest karane tylko dlatego, że doprowadziło do zgłoszenia; włamanie się do systemu, by go zdobyć, byłoby zupełnie inną sprawą, poza tą ochroną.
• Bycie pozwanym w związku z samym zgłoszeniem. Artykuł 21 ust. 7 chroni zgłaszającego przed odpowiedzialnością w postępowaniach prawnych dotyczących zniesławienia, naruszenia praw autorskich, naruszenia tajemnicy, naruszenia przepisów o ochronie danych, ujawnienia tajemnic przedsiębiorstwa lub roszczeń odszkodowawczych na podstawie prywatnego, publicznego lub zbiorowego prawa pracy — gdzie takie postępowanie zostaje wszczęte z powodu zgłoszenia. Zgłaszający może powołać się na to, że dokonał chronionego zgłoszenia, by domagać się oddalenia takiej sprawy wprost.

Obie ochrony dzielą ten sam warunek wstępny co reszta ochron dyrektywy: zgłaszający musi mieć uzasadnione podstawy, by sądzić, że informacja była prawdziwa i że jej zgłoszenie było konieczne, by ujawnić naruszenie (art. 6 ust. 1) — nie pewność, ale szczere, uzasadnione przekonanie, nie domysł ani celowo fałszywe twierdzenie.

Czego tarcza nie obejmuje

Artykuł 21 ust. 4 wyznacza wyraźną granicę: odpowiedzialność za działania lub zaniechania niezwiązane z samym zgłoszeniem lub ujawnieniem publicznym podlega zwykłemu prawu, tak jak zawsze. Tarcza chroni zgłoszenie — nie uodparnia z mocą wsteczną niezwiązanego wykroczenia tylko dlatego, że ta sama osoba w pewnym momencie dokonała też zgłoszenia.

Podstawa prawna

• Art. 16 ust. 1, dyrektywa (UE) 2019/1937 — tożsamość ograniczona do upoważnionego personelu, bez wyraźnej zgody zgłaszającego.
• Art. 16 ust. 2–3 — wąski wyjątek dla dochodzeń lub postępowań sądowych oraz towarzyszące mu zabezpieczenia i obowiązek wcześniejszego powiadomienia.
• Art. 16 ust. 4 — równoległy obowiązek dotyczący tajemnic przedsiębiorstwa zawartych w zgłoszeniu.
• Art. 6 ust. 1 — warunek "uzasadnionych podstaw, by sądzić", wspólny dla ochron dyrektywy.
• Art. 21 ust. 3 — zwolnienie z odpowiedzialności za pozyskanie lub uzyskanie dostępu do zgłoszonej informacji.
• Art. 21 ust. 4 — granica: niezwiązane działania lub zaniechania nadal podlegają zwykłemu prawu.
• Art. 21 ust. 7 — zwolnienie z odpowiedzialności w postępowaniach prawnych wszczętych z powodu samego zgłoszenia (zniesławienie, prawa autorskie, tajemnica, ochrona danych, tajemnice przedsiębiorstwa, prawo pracy).