Procedura zgłoszeń wewnętrznych (sygnaliści): kto musi ją mieć i wzór
Procedurę zgłoszeń wewnętrznych musi mieć podmiot prawny, na rzecz którego na 1 stycznia lub 1 lipca danego roku pracę zarobkową wykonuje co najmniej 50 osób, a w części sektorów, na przykład finansowym, bezpieczeństwa transportu i ochrony środowiska, bez względu na liczbę osób. Obowiązek wynika z ustawy z 14 czerwca 2024 r. o ochronie sygnalistów, obowiązującej od 25 września 2024 r.
Kto musi mieć procedurę zgłoszeń wewnętrznych?
Podmiot prawny, na rzecz którego według stanu na 1 stycznia lub 1 lipca danego roku pracę zarobkową wykonuje co najmniej 50 osób (art. 23 ust. 1). Do tej liczby wlicza się pracowników w przeliczeniu na pełne etaty oraz osoby pracujące za wynagrodzeniem na innej podstawie, jeśli nie zatrudniają do tej pracy innych osób (art. 23 ust. 2).
- Zleceniobiorcy i osoby na B2B, które nie zatrudniają do tej pracy innych osób, liczą się do progu.
- Progu nie stosuje się do podmiotów działających w zakresie usług, produktów i rynków finansowych, przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu, bezpieczeństwa transportu i ochrony środowiska, objętych aktami UE wymienionymi w części I.B i II załącznika do dyrektywy 2019/1937 (art. 23 ust. 3).
- Podmiot poniżej progu może ustalić procedurę dobrowolnie (art. 24 ust. 2).
- Podmioty prywatne od 50 do 249 osób mogą na podstawie umowy ustalić wspólne zasady przyjmowania i weryfikacji zgłoszeń (art. 28 ust. 3), a podmioty z jednej grupy kapitałowej wspólną procedurę (art. 28 ust. 8).
Jakie naruszenia można zgłaszać w procedurze?
Naruszenia prawa w dziedzinach z art. 3 ust. 1 ustawy, czyli działania lub zaniechania niezgodne z prawem albo mające na celu jego obejście. Katalog ma 17 punktów, a firma może dodatkowo przewidzieć zgłaszanie naruszeń własnych regulacji wewnętrznych i standardów etycznych (art. 3 ust. 2).
- Korupcja i zamówienia publiczne.
- Usługi, produkty i rynki finansowe oraz przeciwdziałanie praniu pieniędzy i finansowaniu terroryzmu.
- Bezpieczeństwo produktów, transportu, żywności i pasz, ochrona środowiska i zdrowie publiczne.
- Ochrona konsumentów, ochrona prywatności i danych osobowych, bezpieczeństwo sieci i systemów teleinformatycznych.
- Interesy finansowe Skarbu Państwa, samorządu i Unii Europejskiej oraz rynek wewnętrzny UE, w tym zasady konkurencji i pomocy państwa.
Co musi zawierać procedura zgłoszeń wewnętrznych?
Osiem elementów z art. 25 ust. 1: kto przyjmuje zgłoszenia, jak je przekazać, kto prowadzi działania następcze, co z anonimowymi zgłoszeniami, terminy potwierdzenia i informacji zwrotnej oraz informacja o zgłoszeniach zewnętrznych.
| Element | Przepis |
|---|---|
| Jednostka, osoba lub podmiot zewnętrzny upoważnione do przyjmowania zgłoszeń | art. 25 ust. 1 pkt 1 |
| Sposoby przekazywania zgłoszeń i adres do kontaktu sygnalisty | pkt 2 |
| Bezstronna jednostka lub osoba upoważniona do działań następczych | pkt 3 |
| Tryb postępowania z informacjami zgłoszonymi anonimowo | pkt 4 |
| Potwierdzenie przyjęcia zgłoszenia w terminie 7 dni od jego otrzymania | pkt 5 |
| Obowiązek podjęcia działań następczych z należytą starannością | pkt 6 |
| Informacja zwrotna najpóźniej w 3 miesiące od potwierdzenia przyjęcia | pkt 7 |
| Zrozumiałe informacje o zgłoszeniach zewnętrznych do RPO i organów publicznych | pkt 8 |
Jak wdrożyć procedurę krok po kroku?
Procedurę konsultuje się ze związkiem zawodowym albo przedstawicielami osób świadczących pracę, ogłasza, a wchodzi ona w życie po 7 dniach od podania do wiadomości. Konsultacje trwają nie krócej niż 5 i nie dłużej niż 10 dni (art. 24 ust. 3-5).
- 1
Policz osoby
Stan na 1 stycznia lub 1 lipca, etaty plus osoby na innych umowach, które nie zatrudniają do tej pracy nikogo.
- 2
Wskaż osoby upoważnione
Do przyjmowania i weryfikacji zgłoszeń dopuszcza się wyłącznie osoby z pisemnym upoważnieniem, zobowiązane do zachowania tajemnicy (art. 27 ust. 2).
- 3
Ustal kanały
Zgłoszenie musi dać się złożyć co najmniej ustnie lub pisemnie (art. 26 ust. 1). Na wniosek sygnalisty zgłoszenie ustne przyjmuje się na spotkaniu zorganizowanym w ciągu 14 dni (art. 26 ust. 6).
- 4
Przeprowadź konsultacje
Z zakładową organizacją związkową, a gdy jej nie ma, z przedstawicielami osób świadczących pracę, wyłonionymi w trybie przyjętym w firmie.
- 5
Ogłoś procedurę
Wchodzi w życie po upływie 7 dni od podania jej do wiadomości (art. 24 ust. 5). Kandydat do pracy dostaje informację o procedurze wraz z rozpoczęciem rekrutacji (art. 24 ust. 6).
- 6
Prowadź rejestr
Każde zgłoszenie wpisuje się do rejestru zgłoszeń wewnętrznych (art. 29).
Czy zgłoszenia anonimowe trzeba przyjmować?
Nie. Podmiot prawny może przyjmować zgłoszenia dokonane anonimowo (art. 7 ust. 1), ale nie musi. W procedurze musi jednak określić tryb postępowania z informacjami zgłoszonymi anonimowo (art. 25 ust. 1 pkt 4).
Sygnaliści a RODO: jak chronić dane?
Dane osobowe sygnalisty pozwalające ustalić jego tożsamość nie podlegają ujawnieniu nieupoważnionym osobom, chyba że za jego wyraźną zgodą (art. 8 ust. 1). Dane bez znaczenia dla sprawy usuwa się w ciągu 14 dni od ustalenia, że nie mają znaczenia (art. 8 ust. 4).
- Ustawa co do zasady wyłącza obowiązek podania osobie, której dotyczy zgłoszenie, źródła danych: art. 14 ust. 2 lit. f i art. 15 ust. 1 lit. g RODO (art. 8 ust. 5 i 6).
- Rejestr zgłoszeń obejmuje numer zgłoszenia, przedmiot naruszenia, dane sygnalisty i osoby, której dotyczy zgłoszenie, adres do kontaktu, datę zgłoszenia, informację o działaniach następczych i datę zakończenia sprawy (art. 29 ust. 4).
- Dane w rejestrze przechowuje się 3 lata po zakończeniu roku kalendarzowego, w którym zakończono działania następcze albo postępowania nimi zainicjowane (art. 29 ust. 5).
- Podmiot zewnętrzny przyjmujący zgłoszenia potrzebuje umowy, która określa jego obowiązki przy przetwarzaniu danych, w szczególności z art. 28 ust. 3 RODO (art. 28 ust. 1 i 2).
Kto, będąc odpowiedzialnym za ustanowienie procedury, wbrew ustawie jej nie ustanawia albo ustanawia ją z istotnym naruszeniem wymogów, podlega karze grzywny (art. 58).
Jak prowadzić zgłoszenia sygnalistów w EXCORE?
Moduł Sygnaliści w obszarze PRAWO daje kanał zgłoszeń bez logowania, także anonimowych, i rejestr, który liczy terminy ustawowe. Zgłoszenia widzą wyłącznie osoby z imiennym upoważnieniem, a samo uprawnienie do modułu Prawo nie wystarcza.
- Administrator nadaje upoważnienia na dwóch poziomach: obsługa prowadzi zgłoszenia, nadzór dodatkowo widzi przekroczone terminy i usuwa zgłoszenia po okresie przechowywania.
- Terminy ustawiasz w granicach ustawy: potwierdzenie najwyżej 7 dni, informacja zwrotna najwyżej 3 miesiące. Wartości spoza granic aplikacja odrzuca.
- Zgłaszający dostaje jednorazowy kod, którym sprawdza status i czyta odpowiedź.
- Zgłoszenia z maila, telefonu albo papieru wpisuje się ręcznie. Odrzucenie wymaga powodu.
- Przypomnienia przychodzą przed terminem, w dniu terminu i po nim. Usunąć zgłoszenie można dopiero po okresie przechowywania.
Moduł nie zastępuje procedury: dokument trzeba przyjąć po konsultacjach. Wzór niżej to punkt wyjścia. Tekst ma charakter informacyjny i nie zastępuje porady, więc treść procedury warto skonsultować z prawnikiem.
Wzór do pobrania
Procedura zgłoszeń wewnętrznych
PROCEDURA ZGŁOSZEŃ WEWNĘTRZNYCH
[nazwa podmiotu], NIP [NIP], [adres]
Ustalona na podstawie art. 24 ust. 1 ustawy z dnia 14 czerwca 2024 r. o ochronie sygnalistów (Dz.U. z 2024 r. poz. 928), zwanej dalej „ustawą”. Obowiązuje od [data, nie wcześniej niż po upływie 7 dni od podania do wiadomości].
§ 1. Zakres
- Procedura określa zasady dokonywania zgłoszeń naruszeń prawa w dziedzinach wskazanych w art. 3 ust. 1 ustawy oraz podejmowania działań następczych.
- [Opcjonalnie: Zgłoszenie może dotyczyć także naruszeń regulacji wewnętrznych i standardów etycznych: wymienić.]
- Zgłoszenia może dokonać osoba fizyczna, o której mowa w art. 4 ustawy, w szczególności pracownik, pracownik tymczasowy, zleceniobiorca, osoba współpracująca jako przedsiębiorca, stażysta, wolontariusz, praktykant, a także kandydat do pracy i osoba, której stosunek prawny już ustał.
§ 2. Osoby upoważnione
- Zgłoszenia przyjmuje [imię i nazwisko / jednostka organizacyjna / podmiot zewnętrzny].
- Działania następcze, w tym weryfikację zgłoszenia i dalszą komunikację z sygnalistą, prowadzi [imię i nazwisko / jednostka organizacyjna], działając bezstronnie.
- Do przyjmowania i weryfikacji zgłoszeń, podejmowania działań następczych i przetwarzania danych osobowych dopuszcza się wyłącznie osoby posiadające pisemne upoważnienie. Osoby te zachowują tajemnicę także po ustaniu współpracy.
§ 3. Sposoby przekazywania zgłoszeń
- Pisemnie, w postaci papierowej lub elektronicznej: [adres e-mail / formularz / adres pocztowy z dopiskiem „Zgłoszenie, do rąk własnych”].
- Ustnie: [numer telefonu, godziny / inny środek komunikacji]. Zgłoszenie ustne dokumentuje się za zgodą sygnalisty nagraniem albo transkrypcją, a przy linii nienagrywanej protokołem rozmowy.
- Na wniosek sygnalisty: podczas bezpośredniego spotkania zorganizowanego w terminie 14 dni od dnia otrzymania wniosku.
- Sygnalista podaje adres do kontaktu: korespondencyjny lub poczty elektronicznej.
§ 4. Zgłoszenia anonimowe
[Wariant A: Podmiot przyjmuje zgłoszenia anonimowe i rozpatruje je na zasadach określonych w procedurze, z wyjątkiem czynności wymagających adresu do kontaktu.]
[Wariant B: Podmiot nie przyjmuje zgłoszeń anonimowych. Informację zgłoszoną anonimowo [pozostawia się bez rozpoznania / przekazuje się do oceny osobie z § 2 ust. 2].]
§ 5. Terminy
- Potwierdzenie przyjęcia zgłoszenia przekazuje się sygnaliście w terminie 7 dni od dnia jego otrzymania, chyba że sygnalista nie podał adresu do kontaktu.
- Informację zwrotną przekazuje się w terminie nieprzekraczającym 3 miesięcy od dnia potwierdzenia przyjęcia zgłoszenia, a w razie nieprzekazania potwierdzenia 3 miesięcy od upływu 7 dni od dnia dokonania zgłoszenia, chyba że sygnalista nie podał adresu do kontaktu.
§ 6. Działania następcze
- Osoba z § 2 ust. 2 podejmuje działania następcze z zachowaniem należytej staranności.
- Działania następcze obejmują w szczególności: [weryfikację zgłoszenia, wystąpienie o dodatkowe informacje, postępowanie wyjaśniające, działania naprawcze, zawiadomienie właściwych organów].
§ 7. Poufność i ochrona sygnalisty
- Dane osobowe sygnalisty pozwalające na ustalenie jego tożsamości nie podlegają ujawnieniu nieupoważnionym osobom, chyba że za jego wyraźną zgodą.
- Ochrona poufności obejmuje także osobę, której dotyczy zgłoszenie, i osobę trzecią wskazaną w zgłoszeniu.
- Wobec sygnalisty nie podejmuje się działań odwetowych ani prób lub gróźb ich zastosowania.
- Dane osobowe, które nie mają znaczenia dla rozpatrywania zgłoszenia, nie są zbierane, a zebrane przypadkowo usuwa się w terminie 14 dni od ustalenia, że nie mają znaczenia dla sprawy.
§ 8. Rejestr zgłoszeń wewnętrznych
- Każde zgłoszenie wpisuje się do rejestru zgłoszeń wewnętrznych prowadzonego przez [osoba / jednostka].
- Rejestr obejmuje: numer zgłoszenia, przedmiot naruszenia prawa, dane osobowe sygnalisty i osoby, której dotyczy zgłoszenie, niezbędne do ich identyfikacji, adres do kontaktu sygnalisty, datę dokonania zgłoszenia, informację o podjętych działaniach następczych i datę zakończenia sprawy.
- Dane w rejestrze przechowuje się przez 3 lata po zakończeniu roku kalendarzowego, w którym zakończono działania następcze lub postępowania zainicjowane tymi działaniami.
§ 9. Zgłoszenia zewnętrzne
- Zgłoszenia można dokonać także do Rzecznika Praw Obywatelskich albo organu publicznego, z pominięciem niniejszej procedury, a w stosownych przypadkach do instytucji, organów lub jednostek organizacyjnych Unii Europejskiej.
- Informacje o sposobie dokonywania zgłoszeń zewnętrznych: [adres strony Rzecznika Praw Obywatelskich i właściwych organów].
§ 10. Postanowienia końcowe
- Procedura została skonsultowana z [zakładową organizacją związkową / przedstawicielami osób świadczących pracę] w dniach [daty].
- Procedurę podano do wiadomości osób wykonujących pracę w dniu [data] przez [intranet / tablica ogłoszeń / e-mail].
- Osobie ubiegającej się o pracę informację o procedurze przekazuje się wraz z rozpoczęciem rekrutacji lub negocjacji poprzedzających zawarcie umowy.
[miejscowość, data]
[podpis osoby uprawnionej do reprezentacji]
W EXCORE ten wzór działa jako szablon dokumentu. Umów prezentację
Pytania
Od kiedy trzeba mieć procedurę zgłoszeń wewnętrznych?
Ustawa weszła w życie 25 września 2024 r. i od tego dnia obowiązują przepisy o procedurze wewnętrznej. Przepisy o zgłoszeniach zewnętrznych weszły w życie 25 grudnia 2024 r.
Czy firma zatrudniająca 40 osób na etacie i 15 na zleceniu musi mieć procedurę?
Najpewniej tak, jeśli zleceniobiorcy nie zatrudniają do tej pracy innych osób, bo wtedy liczą się do progu 50. Pracowników liczy się w przeliczeniu na pełne etaty, więc przy niepełnych etatach wynik może być inny.
Ile czasu jest na odpowiedź sygnaliście?
Potwierdzenie przyjęcia w 7 dni od otrzymania zgłoszenia, informacja zwrotna najpóźniej w 3 miesiące od potwierdzenia.
Gdzie sygnalista może zgłosić naruszenie poza firmą?
Do Rzecznika Praw Obywatelskich albo właściwego organu publicznego, także z pominięciem procedury wewnętrznej.
Źródła
- Ustawa z 14 czerwca 2024 r. o ochronie sygnalistów, Dz.U. 2024 poz. 928 (ISAP)
- Ustawa o ochronie sygnalistów (ELI)
- Rzecznik Praw Obywatelskich: sygnaliści
- RODO, art. 14, 15, 28 (EUR-Lex)
- Ministerstwo Rodziny, Pracy i Polityki Społecznej: sygnaliści w pytaniach i odpowiedziach
- biznes.gov.pl: na czym polega ochrona sygnalistów
EXCORE jest otwierany dla pierwszych firm.
Zobaczmy, czy pasuje do Twojej organizacji. Zostaw kontakt, a umówimy prezentację.
Umów prezentację