Polska ustawa o ochronie sygnalistów, wyjaśniona

Niemal trzy lata spóźniona, i kosztowała prawdziwe pieniądze, zanim ustawa w ogóle powstała

Dyrektywa UE o sygnalistach — dyrektywa (UE) 2019/1937 — nakłada na firmy zatrudniające 50 lub więcej osób w UE obowiązek zapewnienia pracownikom chronionego, wewnętrznego sposobu zgłaszania nieprawidłowości; zobacz dyrektywę, wyjaśnioną, aby poznać pełny standard, na którym opiera się każde państwo członkowskie.

Polska ustawa o ochronie sygnalistów nie pojawiła się aż do 25 września 2024 r., kiedy weszła w życie większość jej przepisów. To niemal trzy lata po własnym terminie transpozycji dyrektywy, 17 grudnia 2021 r., a Polska zapłaciła za to opóźnienie, zanim ustawa w ogóle znalazła się w przepisach. 25 kwietnia 2024 r. Trybunał Sprawiedliwości UE orzekł przeciwko Polsce za całkowite niewdrożenie dyrektywy (sprawa C-147/23), nakładając ryczałt w wysokości 7 mln euro plus okresową karę pieniężną w wysokości 40 000 euro za każdy dzień utrzymywania się uchybienia po wydaniu wyroku. Trybunał wprost odrzucił argument Polski, że pandemia i skala przesiedleń ukraińskich uchodźców uzasadniały opóźnienie. Ustawa, która ostatecznie powstała, przejmuje w dużej mierze niezmienioną kluczową mechanikę dyrektywy — ten sam próg 50 pracowników (zobacz próg 50 pracowników, wyjaśniony), ten sam termin 7 dni na potwierdzenie odbioru i 3 miesięcy na informację zwrotną — ale zasługuje na własny przewodnik w szczegółach: jak faktycznie wypadł termin, reżim sankcji zbudowany na prawie karnym zamiast harmonogramu grzywien administracyjnych oraz historię właściwego organu, który zmienił się w połowie prac legislacyjnych.

Jeden termin, nie rozłożony na etapy

W przeciwieństwie do Niemiec czy Holandii, Polska nie podzieliła swojego wdrożenia według wielkości firmy. Artykuł 23 stosuje obowiązek posiadania procedury wewnętrznej do każdego podmiotu prawnego, na rzecz którego wykonuje pracę zarobkową co najmniej 50 osób, liczonych na dzień 1 stycznia lub 1 lipca danego roku — pełne etaty w przypadku pracowników, lub osoby zaangażowane na innej podstawie zarobkowej (na przykład zleceniobiorcy), jeśli dany podmiot sam nie zatrudnia innych osób do tego samego rodzaju pracy. Każdy podmiot, który przekroczył tę granicę, był objęty od tej samej daty wejścia ustawy w życie, 25 września 2024 r., bez przedłużonego okresu przejściowego dla grupy 50–249, jaki dopuszcza art. 26 ust. 2 dyrektywy i z jakiego skorzystało kilka innych państw członkowskich. Węższa grupa podmiotów — działających w usługach i rynkach finansowych, przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu, bezpieczeństwie transportu lub ochronie środowiska, w zakresie konkretnych aktów Unii wymienionych w załączniku do dyrektywy — musi prowadzić procedurę wewnętrzną niezależnie od liczby pracowników.

Konsultacja ze związkiem zawodowym — albo wyznaczenie kogoś do konsultacji, jeśli go nie masz

Zanim polski podmiot może wprowadzić w życie własną procedurę zgłoszeń wewnętrznych, musi najpierw skonsultować jej projekt. Artykuł 25 ust. 3–4 wymaga, by ta konsultacja odbyła się z zakładową organizacją związkową — z każdą z nich, jeśli w podmiocie działa więcej niż jedna — a tam, gdzie żadna nie istnieje, z przedstawicielami pracowników wybranymi w trybie przyjętym przez dany podmiot do tego celu. Jeśli nie ma żadnego organu przedstawicielskiego, podmiot musi albo taki powołać, albo przedstawić projekt bezpośrednio wszystkim pracownikom. Sama konsultacja musi trwać nie krócej niż 5 i nie dłużej niż 10 dni od dnia przedstawienia projektu. Po jej zakończeniu procedura zostaje ogłoszona personelowi w sposób zwyczajowo przyjęty w danym miejscu pracy i wchodzi w życie 7 dni po tym ogłoszeniu — nie wcześniej. To polska własna implementacja tej samej podstawy, którą musi spełnić każde państwo członkowskie: artykuł 8 ust. 1 dyrektywy wymaga, by kanały wewnętrzne były ustanawiane po konsultacji z partnerami społecznymi, tam gdzie przewiduje to prawo krajowe (zobacz co faktycznie wymaga zgodny kanał zgłoszeniowy). Tam, gdzie Niemcy i Holandia realizują ten wymóg poprzez istniejącą ustawę o radzie zakładowej, Polska wpisała obowiązek konsultacji wprost do samej ustawy o sygnalistach.

Gdzie naruszenie faktycznie kosztuje

Struktura sankcji w ustawie czyta się jak rozdział kodeksu karnego, bo w istocie nim jest — większość naruszeń niesie grzywnę, karę ograniczenia wolności lub pozbawienia wolności, nie grzywnę regulacyjną nałożoną na firmę:

• Utrudnianie zgłoszenia (art. 54). Uniemożliwienie lub istotne utrudnienie komuś dokonania zgłoszenia niesie grzywnę, karę ograniczenia wolności lub do roku pozbawienia wolności. Jeśli utrudnianie wiąże się z przemocą, bezprawną groźbą lub podstępem, maksimum rośnie do 3 lat.
• Działania odwetowe (art. 55). Podjęcie działań odwetowych wobec sygnalisty, osoby pomagającej lub osoby z nim powiązanej niesie grzywnę, karę ograniczenia wolności lub do 2 lat pozbawienia wolności — rosnącą do 3 lat, jeśli działania odwetowe są uporczywe.
• Ujawnienie tożsamości sygnalisty (art. 56). Ujawnienie tożsamości sygnalisty z naruszeniem ustawy niesie grzywnę, karę ograniczenia wolności lub do roku pozbawienia wolności.
• Świadome dokonanie fałszywego zgłoszenia (art. 57). Zgłoszenie lub publiczne ujawnienie czegoś, o czym zgłaszający wie, że nie miało miejsca, niesie grzywnę, karę ograniczenia wolności lub do 2 lat pozbawienia wolności.
• Brak zgodnej procedury w ogóle (art. 58). To jedyny wyjątek od karnoprawnego wzorca — to wykroczenie, karane wyłącznie grzywną. Ustawa nie ustala odrębnej kwoty, więc stosuje się ogólny domyślny zakres z Kodeksu wykroczeń: do 5000 zł (art. 24 § 1 Kodeksu wykroczeń). To najmniejsza sankcja w ustawie, z dużym marginesem, i ta, którą większość firm zgadłaby jako pierwszą.

Zgłoszenia anonimowe: Twoja decyzja, tak jak w Niemczech

Artykuł 25 ust. 1 pkt 4 wymaga, by procedura wewnętrzna wyjaśniała, jak będą rozpatrywane informacje zgłoszone anonimowo — ale to wymóg posiadania określonego podejścia, nie nakaz przyjmowania anonimowych zgłoszeń w ogóle. Polskie podmioty mogą prowadzić kanał przyjmujący wyłącznie zgłoszenia zidentyfikowane, o ile procedura to stwierdza. To stawia Polskę w tej samej pozycji co niemiecką HinSchG — anonimowość zachęcana w tym sensie, że ustawa każe się do niej przygotować, ale niewymagana — co jest dokładnie pozycją, którą art. 6 ust. 2 dyrektywy pozostawia do decyzji każdego państwa członkowskiego. Provoxis nie traktuje tego jako decyzji do pozostawienia otwartą: zgłoszenia anonimowe są zawsze włączone dla każdego zgłaszającego, bez niczego do skonfigurowania — zobacz zgłoszenia anonimowe a zidentyfikowane, wyjaśnione.

Czy wystarczy adres e-mail?

Może być częścią kanału. Art. 26 pozwala dokonywać zgłoszeń wewnętrznych ustnie lub pisemnie, a zgłoszeń pisemnych w postaci papierowej lub elektronicznej. Art. 27 wymaga, by procedura uniemożliwiała nieupoważnionym osobom dostęp do informacji objętych zgłoszeniem i zapewniała ochronę poufności tożsamości sygnalisty, osoby, której dotyczy zgłoszenie, oraz osoby trzeciej wskazanej w zgłoszeniu. Dedykowany adres, który mogą otworzyć tylko upoważnione osoby rozpatrujące zgłoszenia, może to spełnić; wspólna skrzynka zwykle nie. Nawet przy zgłoszeniach wyłącznie pisemnych sygnalista może poprosić o przyjęcie zgłoszenia ustnego podczas bezpośredniego spotkania, które trzeba zorganizować w ciągu 14 dni od otrzymania wniosku (art. 26 ust. 6). Zobacz „Czy adres e-mail wystarczy jako kanał zgłoszeń dla sygnalistów?”, by dowiedzieć się, co musi zapewnić skrzynka, oraz „Czy Formularze Google mogą być kanałem zgłoszeń dla sygnalistów?” o alternatywie w postaci formularza.

Dwa organy były w grze; tylko jeden dostał to zadanie

Wcześniejsze projekty polskiej ustawy, sięgające 2021 r., przewidywały Państwową Inspekcję Pracy (PIP) jako centralny organ do przyjmowania zewnętrznych zgłoszeń sygnalistów. Zmieniło się to, zanim ustawa ostatecznie została uchwalona: zwykłe naruszenia prawa pracy zostały usunięte z własnej listy przedmiotu zgłoszeń objętych ustawą, a rola ogólnego kanału zewnętrznego przypadła zamiast tego Rzecznikowi Praw Obywatelskich (RPO). Na podstawie artykułu 31 RPO przyjmuje zgłoszenia zewnętrzne w dziedzinach wymienionych w artykule 3, przeprowadza wstępną weryfikację i przekazuje każde z nich organowi władzy publicznej faktycznie właściwemu do podjęcia działania — w ciągu 14 dni, na podstawie artykułu 32 ust. 2. RPO bezpośrednio rozpatruje też zgłoszenia dotyczące naruszeń konstytucyjnych praw i wolności tam, gdzie żaden inny organ władzy publicznej nie ma właściwości. PIP nie zniknęła z obrazu, ale jej pozostała rola jest węższa, niż sugeruje etykieta "kanału zewnętrznego": to instytucja, do której sygnalista zwraca się konkretnie w sprawie działań odwetowych w pracy, rozpatrywanych w ramach zwykłych uprawnień inspekcyjnych PIP, a nie jako wyznaczony kanał zgłoszeniowy z art. 3, plus funkcja informacyjna — PIP prowadzi dedykowane centra informacyjne dla sygnalistów w swojej warszawskiej centrali oraz w regionalnym inspektoracie w Łodzi. Zgłoszenie skierowane do PIP w oczekiwaniu, że sama zbada leżące u podstaw wykroczenie, zamiast skargi na działania odwetowe, trafia w niewłaściwe miejsce.

Co to oznacza, jeśli porównujesz Polskę do innego państwa członkowskiego

Główna sankcja Polski — do 3 lat pozbawienia wolności — brzmi poważniej niż niemieckie grzywny administracyjne do 50 000 euro, ale te dwie rzeczy nie mierzą tego samego, podobnie jak sankcje karne we Francji: poważne sankcje w Polsce dotyczą osoby, która aktywnie stosuje działania odwetowe, utrudnia zgłoszenie lub demaskuje zgłaszającego, nie firmy, która po prostu zwleka z wdrożeniem kanału — tę lukę pokrywa zamiast tego znacznie mniejsza grzywna za wykroczenie w wysokości 5000 zł. Bardziej charakterystycznym faktem dla każdego, kto porównuje jurysdykcje, jest sama oś czasu: Polska to jedyny kraj z Grupy A w tym zestawieniu, który wciąż był karany przez TSUE za brak jakiejkolwiek ustawy w miesiącach poprzedzających wejście tej ustawy w życie, co warto wiedzieć, jeśli historia zgodności polskiej spółki zależnej wygląda cieniej niż francuskiej czy niemieckiej — leżące u podstaw prawo jest naprawdę młodsze.

Podstawa prawna

• Ustawa z dnia 14 czerwca 2024 r. o ochronie sygnalistów, Dz.U. 2024, poz. 928 — oficjalny tekst ustawy we własnej bazie legislacyjnej Polski (ISAP).
• Art. 23 — próg 50 osób, sposób jego liczenia oraz sektory całkowicie wyłączone z progu.
• Art. 25 ust. 1 pkt 4 — wymóg, by procedura wewnętrzna określała sposób rozpatrywania informacji zgłoszonych anonimowo.
• Art. 26 i art. 27 — zgłoszenia wewnętrzne ustne lub pisemne (w postaci papierowej lub elektronicznej) oraz bezpośrednie spotkanie w ciągu 14 dni na wniosek (art. 26 ust. 6); brak dostępu dla osób nieupoważnionych oraz poufność tożsamości sygnalisty, osoby, której dotyczy zgłoszenie, i osób trzecich.
• Art. 25 ust. 3–4 — wymóg konsultacji ze związkiem zawodowym/przedstawicielami pracowników oraz okno 5–10 dni przed wejściem procedury w życie.
• Art. 31 i art. 32 ust. 2 — rola Rzecznika Praw Obywatelskich jako ogólnego kanału zewnętrznego oraz jego 14-dniowy obowiązek przekazania sprawy.
• Art. 54, 55, 56, 57 — sankcje karne za utrudnianie zgłoszenia, działania odwetowe, ujawnienie tożsamości sygnalisty oraz świadomie fałszywe zgłoszenia.
• Art. 58 — grzywna za wykroczenie za brak wdrożenia zgodnej procedury wewnętrznej.
• Art. 24 § 1, Kodeks wykroczeń — domyślny zakres grzywny 20–5000 zł, na który powołuje się art. 58, ponieważ sama ustawa o sygnalistach nie ustala odrębnej kwoty.
• Art. 8 ust. 1, dyrektywa (UE) 2019/1937 — ogólnounijna podstawa wymagająca konsultacji z partnerami społecznymi, którą Polska wdraża wprost w ustawie, zamiast przez odrębny mechanizm prawa pracy.
• Sprawa C-147/23, Komisja Europejska przeciwko Polsce, wyrok z 25 kwietnia 2024 r. — orzeczenie TSUE stwierdzające, że Polska nie transponowała dyrektywy, i ustalające ryczałt 7 mln euro oraz karę dzienną 40 000 euro.