Zgłoszenie wewnętrzne (sygnaliści)

Zgłoszenie wewnętrzne to ustanowiony przez podmiot prawny kanał komunikacji, przez który sygnalista zgłasza informację o naruszeniu prawa. Kanał wewnętrzny działa równolegle z kanałem zewnętrznym (Rzecznik Praw Obywatelskich i inne organy publiczne) — sygnalista co do zasady wybiera, z którego skorzystać. Obowiązek ustanowienia kanału wewnętrznego mają podmioty zatrudniające co najmniej 50 osób (w przeliczeniu na pełne etaty, według stanu na 1 stycznia danego roku). W sektorach finansowym, AML, ochrony konsumentów i bezpieczeństwa transportu obowiązek istnieje niezależnie od liczby pracowników.

Procedura wewnętrzna to dokument, który podmiot obowiązany ustanawia w drodze aktu wewnętrznego (zarządzenia, regulaminu). Musi określać m.in.:

• Niezależną osobę lub komórkę organizacyjną odpowiedzialną za przyjmowanie zgłoszeń i podejmowanie działań następczych — może być wewnętrzna albo zewnętrzna (powierzona usługodawcy),
• Sposoby zgłaszania — co najmniej w formie ustnej (przez telefon, system głosowy lub spotkanie) i pisemnej (na piśmie albo elektronicznie),
• Tryb potwierdzenia przyjęcia zgłoszenia w terminie 7 dni od jego otrzymania,
• Tryb działań następczych — wewnętrzna weryfikacja, ocena, postępowanie wyjaśniające,
• Termin informacji zwrotnej sygnaliście — nie dłuższy niż 3 miesiące od potwierdzenia przyjęcia zgłoszenia,
• Środki ochrony poufności tożsamości sygnalisty oraz osób, których dotyczy zgłoszenie,
• Zasady dopuszczalności zgłoszeń anonimowych — fakultatywnie; jeśli podmiot je przyjmuje, korzystają z tej samej ochrony,
• Sposób informowania o kanale zewnętrznym do RPO i innych organów,
• Reguły obsługi konfliktu interesów osoby przyjmującej zgłoszenia.

Procedura podlega konsultacjom z zakładową organizacją związkową (jeśli działa) lub z przedstawicielami pracowników wyłonionymi w trybie przyjętym u danego pracodawcy.

Dwa twarde terminy proceduralne z ustawy:

• 7 dni od otrzymania zgłoszenia — potwierdzenie przyjęcia sygnaliście; brak potwierdzenia w terminie nie zwalnia z obowiązku rozpatrzenia, ale jest naruszeniem proceduralnym,
• 3 miesiące od potwierdzenia przyjęcia — informacja zwrotna o podjętych lub planowanych działaniach następczych oraz ich skutkach; termin może w wyjątkowych przypadkach ulec wydłużeniu po wcześniejszym poinformowaniu sygnalisty,
• Liczenie terminów — w dniach kalendarzowych, z poszanowaniem zasad ustawowych,
• Forma komunikacji — w sposób uzgodniony lub umożliwiony przez sygnalistę; przy zgłoszeniach anonimowych — kanał zwrotny musi być wskazany w procedurze.

Dochowanie terminów to nie tylko obowiązek formalny — wpływa też na zaufanie do kanału wewnętrznego i na ryzyko, że sygnalista skorzysta z kanału zewnętrznego lub ujawnienia publicznego.

Podmiot obowiązany prowadzi rejestr zgłoszeń wewnętrznych — w wersji elektronicznej lub papierowej. Rejestr obejmuje co najmniej numer zgłoszenia, datę, przedmiot naruszenia, dane sygnalisty (jeśli ujawniono), dane osoby, której dotyczy zgłoszenie, podjęte działania następcze i ich skutki. Dane w rejestrze są przechowywane przez okres przewidziany w ustawie, po którym są usuwane.

Prowadzenie kanału zgłoszeń wewnętrznych jest przetwarzaniem danych osobowych w rozumieniu RODO. Administrator powinien określić podstawę prawną z art. 6 (typowo art. 6 ust. 1 lit. c — obowiązek prawny, w połączeniu z art. 9 ust. 2 — gdy dane szczególne), zaktualizować rejestr czynności przetwarzania, zapewnić ograniczenie dostępu do osób upoważnionych oraz przeprowadzić — w razie wysokiego ryzyka — ocenę skutków dla ochrony danych (DPIA). Tożsamość sygnalisty objęta jest szczególną ochroną — ujawnienie wbrew przepisom jest sankcjonowane karnie.

Pojęcia ściśle związane z kanałem wewnętrznym:

• Dyrektywa o sygnalistach — bazowy akt unijny i polska ustawa wdrażająca,
• Sygnalista (definicja) — kto może korzystać z kanału,
• RODO (GDPR) — obsługa kanału wymaga zgodności z RODO,
• Naruszenie ochrony danych — ujawnienie tożsamości sygnalisty może być data breach,
• AML — sektor AML ma obowiązek kanału niezależnie od liczby pracowników,
• ISAP — tam znajdziesz tekst ustawy o ochronie sygnalistów,
• Agencje pracy / HR — branża wdrażająca procedury sygnalistów u klientów.