Co faktycznie wymaga zgodny kanał zgłoszeniowy

Przed terminem jest wymóg projektowy

Większość dyskusji o proceduralnej stronie dyrektywy dotyczy terminu 7 dni / 3 miesięcy — zobacz termin 7 dni / 3 miesięcy na informację zwrotną, wyjaśniony. To art. 9 ust. 1 lit. b i f. Ale art. 9 ust. 1 zaczyna się od wymogu, który poprzedza to wszystko: sam kanał musi być zbudowany w konkretny sposób. Kanał, który idealnie dotrzymuje każdego terminu, ale nigdy od początku nie był bezpiecznie zaprojektowany, faktycznie nie spełnił art. 9 — po prostu miał dotąd szczęście.

Kanał musi być bezpieczny z założenia, nie bezpieczny przez przypadek

Artykuł 9 ust. 1 lit. a wymaga kanałów zgłoszeniowych "zaprojektowanych, ustanowionych i obsługiwanych w bezpieczny sposób zapewniający ochronę poufności tożsamości osoby dokonującej zgłoszenia i osoby trzeciej wymienionej w zgłoszeniu". To wymóg dotyczący konstrukcji kanału, nie tylko jego rezultatów — firma nie może powołać się na to, że dotąd nie doszło do wycieku, jako dowód spełnienia tego wymogu. Musi to być prawdą co do sposobu zbudowania kanału, zanim jeszcze wpłynie jakiekolwiek zgłoszenie.

W praktyce dokładnie tu wspólna skrzynka pocztowa lub ogólny system zgłoszeń zawodzi — nie ma tam w ogóle wyliczalnej listy dostępu. Każdy ze wspólnymi danymi logowania lub na regule przekierowania, o której nikt już nie pamięta, że ją ustawił, może czytać każdą sprawę; po sześciu miesiącach często naprawdę nie wiadomo, kto właściwie ma dostęp. Dostęp do dedykowanego kanału to zdefiniowany zbiór imiennych, uwierzytelnionych kont personelu w ramach konta Twojej firmy — nie alias e-mail, który przez lata gromadził przekierowania. Zobacz „Czy adres e-mail wystarczy jako kanał zgłoszeń dla sygnalistów?” po to, jak ta luka faktycznie wygląda, gdy zgłoszenie jest już aktywne.

Pisemnie, ustnie lub w obu formach — a często decyduje prawo krajowe

Artykuł 9 ust. 2 pozwala kanałowi przyjmować zgłoszenia na piśmie, ustnie lub w obu formach. Jeśli przyjmuje zgłoszenia ustne, obowiązuje zasada: "Zgłoszenie ustne może być dokonane telefonicznie lub za pośrednictwem innych systemów komunikacji głosowej oraz, na wniosek osoby dokonującej zgłoszenia, za pomocą bezpośredniego spotkania zorganizowanego w rozsądnym terminie." Sama dyrektywa nie czyni więc niezgodnym kanału wyłącznie tekstowego.

Prawo krajowe często idzie dalej. Holenderska ustawa Wbk wymaga dróg pisemnej i ustnej oraz spotkania na wniosek. Włoski regulator ANAC wymaga od firm zapewnienia obu form. Niemcy idą w przeciwną stronę: według uzasadnienia do HinSchG wystarczy jedna z dwóch form, choć na wniosek trzeba umożliwić spotkanie osobiste. Polska ustawa o ochronie sygnalistów pozwala na zgłoszenia ustne lub pisemne (art. 26). Sprawdź przepisy swojego kraju, zanim zdecydujesz się na kanał wyłącznie pisemny. A nawet tam, gdzie droga ustna jest opcjonalna, w praktyce ma znaczenie: niektórzy nigdy nie przeleją swoich obaw na papier. Zobacz zgłoszenia głosowe i anonimizacja, wyjaśnione prosto po to, jak działa własny kanał głosowy Provoxis.

Ustanowienie kanału to samo w sobie krok konsultacyjny, nie jednostronny

Artykuł 8 ust. 1 wymaga od państw członkowskich zapewnienia, by kanały wewnętrzne były ustanawiane "po konsultacji i w porozumieniu z partnerami społecznymi, jeśli tak przewiduje prawo krajowe" — mówiąc prościej, pracodawca zwykle nie może po prostu jednostronnie zdecydować, jak kanał będzie działać, i go wdrożyć. Który dokładnie organ musi zostać skonsultowany i jak duży ma faktycznie głos, zostawiono własnej transpozycji każdego państwa członkowskiego — zobacz na przykład niemiecką współdecyzyjność rady zakładowej lub francuski wymóg konsultacji CSE po to, jak to wygląda konkretnie w każdym kraju. Sam wymóg skonsultowania kogoś nie jest jednak narodową osobliwością — to własna podstawa dyrektywy; zmienia się jedynie mechanizm w zależności od kraju.

Prowadzenie samodzielnie lub przekazanie stronie trzeciej — oba są dozwolone

Artykuł 8 ust. 5 wprost pozwala obsługiwać kanał wewnętrznie, przez osobę lub wydział wyznaczone do tego celu, lub zewnętrznie, przez dostawcę zewnętrznego — pod warunkiem że w obu przypadkach obowiązują te same zabezpieczenia z artykułu 9. Zlecenie obsługi kanału na zewnątrz nie obniża poprzeczki; przenosi tylko, kto odpowiada za jej spełnienie.

Sektor publiczny jest objęty również

Artykuł 8 ust. 9 rozszerza ten sam obowiązek na publiczne podmioty prawne, nie tylko prywatne firmy — z jedną wbudowaną opcją dla państw członkowskich: mogą one zwolnić gminy liczące mniej niż 10 000 mieszkańców lub mniej niż 50 pracowników z tego wymogu i pozwolić kilku gminom dzielić jeden kanał. Tam, gdzie przewodnik danego kraju wspomina o progu lub wyjątku dla sektora publicznego — jak we Francji — to ten przepis stosowany na poziomie krajowym, nie niepowiązana zasada narodowa.

Podstawa prawna

• Art. 9 ust. 1 lit. a, dyrektywa (UE) 2019/1937 — wymóg bezpiecznego projektu chroniącego poufność tożsamości zgłaszającego.
• Art. 9 ust. 2 — zgłoszenia pisemne, ustne lub w obu formach; ustne telefonicznie lub przez systemy komunikacji głosowej, oraz bezpośrednie spotkanie na wniosek.
• Art. 8 ust. 1 — ustanowienie kanału po konsultacji z partnerami społecznymi, jeśli tak przewiduje prawo krajowe.
• Art. 8 ust. 5 — wybór między obsługą kanału wewnętrznie lub przez dostawcę zewnętrznego.
• Art. 8 ust. 9 — obowiązek dla sektora publicznego oraz opcja dla państw członkowskich zwolnienia małych gmin.