Ochrona sygnalistów. Dyrektywa nie została wdrożona w Polsce
Jednym z najgorętszych tematów z obszaru Compliance na przełomie roku 2021/2022 była zdecydowanie problematyka tzw. sygnalistów. Przepisy dyrektywy Parlamentu Europejskiego i Rady (UE) 2019/1937 z dnia 23 października 2019 r. w sprawie ochrony osób zgłaszających naruszenia prawa Unii (zwanej dalej: „Dyrektywą”) wymagały bowiem wdrożenia rozwiązań mających chronić sygnalistów do 17 grudnia 2021 r.
Dyrektywa w swoich założenia wskazuje na konieczność przyjęcia regulacji prawnych związanych ze zgłaszaniem naruszeń, w tym dotyczących ochrony zgłaszających (tzw. sygnalistów) oraz trybu zgłaszania naruszeń i podejmowania działań następczych przez podmioty prawne oraz organy publiczne.
Projekt ustawy "o ochronie osób zgłaszających naruszenia prawa” nadal w toku rządowej procedury legislacyjnej
Po ukazaniu się na stronach Rządowego Centrum Legislacji projektu datowanej na 14.10.2021 r. „ustawy o ochronie osób zgłaszających naruszenia prawa”, która miała stanowić implementację do polskiego porządku prawnego postanowień Dyrektywy, wspomniana tematyka zelektryzowała branżę prawniczą, a także rozpoczęła wyścig z czasem dla podmiotów obowiązanych do wprowadzenia – wtedy jeszcze – regulaminów zgłoszeń wewnętrznych, określających procedurę zgłaszania naruszeń prawa i podejmowania działań następczych.
W ramach konsultacji publicznych i opiniowania projektu ustawy o ochronie osób zgłaszających naruszenia prawa zgłoszono ponad sto stanowisk zawierających wnioski o wprowadzenie zmian w proponowanej treści ustawy. Ministerstwo Rodziny i Polityki Społecznej odniosło się do uwag i zdecydowało przygotować zmieniony projekt ustawy. Tym samym pewnym stało się, że polski ustawodawca uchybi terminowi obowiązkowego wdrożenia.
Dopiero 6 kwietnia 2022 r. pojawiła się druga odsłona projektu ustawy o ochronie osób zgłaszających naruszenia prawa (projekt dostępny na stronie Rządowego Centrum Legislacji). Na dzień sporządzenia niniejszej publikacji projekt ten nie doczekał się dalszego procedowania, a jego treść jest w dalszym ciągu krytykowana przez specjalistów z obszaru Compliance jako powierzchowna.
Kary dla Polski za naruszenie prawa UE?
Mimo powyższego spowolnienia procedowania ustawodawcy tematyka ta nie powinna pozostawać poza radarem pracodawców. Należy pamiętać, że brak transpozycji (implementacji) Dyrektywy może skutkować wszczęciem przez Komisję Europejską wobec Polski postępowania w sprawie uchybienia zobowiązaniom państwa członkowskiego (tzw. infrigment procedure). Państwu członkowskiemu UE, które nie poinformuje Komisji o środkach, które w pełni transponują przepisy dyrektyw, grozi w następstwie skierowanie sprawy do Trybunału Sprawiedliwości. Komisja może na tym etapie zwrócić się do Trybunału Sprawiedliwości o nałożenie kary i stwierdzenie, że dany kraj naruszył prawo UE.
Jednocześnie pojawia się pewnie dualizm, gdyż w okresie przejściowym do dnia wejścia w życie polskiej ustawy wdrażającej Dyrektywę możliwe jest – w pewnym zakresie – bezpośrednie stosowanie jej przepisów.
Czy przepisy Dyrektywy obowiązują w Polsce?
Przepisy Unii Europejskiej oddziałują na prawo krajowe państw członkowskich w zależności od rodzaju aktu prawnego, w którym zostały zamieszczone. Dyrektywy wymagają transpozycji do porządku krajowego. Jednak zgodnie z art. 288 Traktatu o funkcjonowaniu Unii Europejskiej „Dyrektywa wiąże każde Państwo Członkowskie, do którego jest kierowana, w odniesieniu do rezultatu, który ma być osiągnięty, pozostawia jednak organom krajowym swobodę wyboru formy i środków”.
Dyrektywy kierowane są zatem do państw członkowskich, a nie do jednostek. W swojej istocie nie nakładają one wprost praw i obowiązków na przedsiębiorców czy osoby fizyczne.
Co jednak w sytuacji, gdy państwo członkowskie świadomie lub przez swoją opieszałość nie dokonuje transpozycji dyrektywy? W świetle orzecznictwa Trybunału Sprawiedliwości Unii Europejskiej możliwe jest zastosowanie zasady bezpośredniego skutku w odniesieniu do dyrektyw wskazując, że brak możliwości powołania się bezpośrednio na jej przepisy ograniczałby jej skuteczność.
Aby dyrektywa mogła odnieść skutek bezpośredni konieczne jest przede wszystkim uchybienie jej implementacji w terminie do tego przewidzianym. Ponadto przepisy dyrektywy muszą być jasne, precyzyjne i bezwarunkowe, a także dyrektywa powinna przyznawać uprawnienia jednostkom, których zakres można ustalić na podstawie jej przepisów.
Pracodawcy (komercyjni) nie poniosą konsekwencji
Powoływanie się bezpośrednio na dyrektywę unijna może mieć jedynie skutek wertykalny, a to oznacza, że można się na nią powoływać tylko w stosunkach wobec państwa i jego emanacji. Bezpośredni skutek uprawnień płynących z dyrektywy nie może być powoływany w stosunkach indywidualnych, tj. np. między dwoma podmiotami prawa prywatnego. Nie ma zatem mowy o możliwości m.in. ukarania pracodawcy (z sektora prywatnego) za brak wprowadzenia odpowiednich regulacji, gdy brak jest przepisów wprowadzających na poziomie państwowego ustawodawstwa.
Według mnie w Dyrektywie pozostawiono bardzo duży luz decyzyjny po stronie krajowego ustawodawcy, w tym w zakresie zapewnienia odpowiednich mechanizmów zgłoszeniowych oraz jednostek do których te zgłoszenia należy dokonywać (na tę chwilę żaden akt prawny tego nie definiuje). Możliwość bezpośredniego powołania się na dyrektywę, np. przez urzędnika państwowego, jest zatem również wątpliwa – jednak niewykluczona.
Uprawnienia dla sygnalistów
Niemniej możliwe jest jednak przyjęcie, że Dyrektywa przyznaje sygnalistom określone uprawnienia – m.in. możliwość dokonywania zgłoszeń oraz ochronę przed działaniami odwetowymi. To oraz fakt uchybieniu terminu implementacji powoduje według niektórych praktyków Compliance, że Dyrektywa odnosi jednak skutek bezpośredni wertykalny, w którym to jednostka może powołać się na przepisy prawa UE w sporze z państwem.
Bezpośrednie stosowanie Dyrektywy oznaczałoby, że jednostka będzie uprawniona do otrzymania odszkodowania w razie poniesienia szkody w związku z naruszeniem przez państwo obowiązku implementacji. W takiej sytuacji konieczne byłoby jednak wykazanie związku przycznowo-skutkowego.
Brak odpowiednich regulacji w materii tzw. sygnalistów, wątpliwości co do możliwości jej bezpośredniego stosowania oraz widmo potencjalnych kar za brak wdrożenia powinno skłaniać polskiego ustawodawcę do kontynuacji prac nad ustawą o ochronie osób zgłaszających naruszenia prawa. W szczególności z uwagi na fakt, że już sama Dyrektywa wskazuje niezbędne składowe takiego aktu prawnego.
Wymagania prawne w związku ze zgłoszeniami wewnętrznymi
Dyrektywa zapewnia wspólne dla państw członkowskich standardy przeznaczone do wdrożenia w ustawodawstwach krajowych. Polska nie może wdrożyć standardów niższych niż te, które zostały wyznaczone przez Dyrektywę. Natomiast zgodnie z art. 25 Dyrektywy państwom członkowskim pozostawiono swobodę w zakresie przyjęcia standardów zapewniających wyższy poziom ochrony niż te przez przewidziane przez Dyrektywę.
Obecny projekt ustawy o ochronie osób zgłaszających naruszenia prawa zdaje się implementować przepisy Dyrektywy jednak wymaga dalszych poprawek. Z punktu widzenia przedsiębiorców istotnym jest jednak, że wprowadza on w ślad za Dyrektywą obowiązek ustalenia przez podmiot prawny, na rzecz którego wykonuje pracę co najmniej 50 osób, wewnętrznej procedury zgłaszania naruszeń prawa i podejmowania działań następczych.. Część podmiotów prawnych, w tym przede wszystkim podmioty prowadzące działalność w zakresie:
- usług, produktów i rynków finansowych;
- zapobiegania praniu pieniędzy i finansowaniu terroryzmu;
- bezpieczeństwa transportu;
- ochrony środowiska;
będą zobowiązane do wprowadzenia odpowiednie wewnętrznej procedury niezależnie od ilości osób wykonujących dla nich pracę. Jednoczenia zezwala on mniejszym podmiotom wprowadzenie odpowiedniej procedury wewnętrznej na zasadzie dobrowolności
Wspomniana wewnętrzna procedura określa m.in. sposoby przekazywania zgłoszeń przez zgłaszającego wraz z jego adresem do kontaktu. Na chwilę obecną polski ustawodawca przewidział możliwość dokonywania zgłoszeń ustnie lub w postaci papierowej lub elektronicznej.
Dyrektywa wskazuje w swojej treści na możliwość zastosowania przez państwa członkowskie UE innych mechanizmów ochrony w krajowych kanałach zgłoszeniowych np. poprzez zapewnienie równiej ochrony i działań następczych dla anonimowego zgłaszania w ramach kanałów wewnętrznych. Art. 6 Dyrektywy wskazuję bowiem, że to po stronie danego kraju pozostaje uprawnienie do decydowania o tym, czy podmioty prawne w sektorze prywatnym lub publicznym oraz właściwe organy zobowiązane są do przyjmowania anonimowych zgłoszeń na temat naruszeń i podejmowania w związku z nimi działań następczych.
Ochrona osób zgłaszających naruszenia prawa
Obecny projekt ustawy o ochronie osób zgłaszających naruszenia prawa nie przewiduje wdrożenia anonimowego trybu dokonywania zgłoszeń wewnętrznych, jak i zgłoszeń zewnętrznych. Pozostawia jednak możliwość rozpatrywanie takich zgłoszeń na zasadzie dobrowolności przez podmioty prawne lub organy publiczne. Taka regulacja oznacza, że osoba dokonująca zgłoszenia, aby skorzystać z uprawnień przewidzianych ustawą będzie musiała podać dane ją identyfikujące i umożliwiające kontakt z nią. Co jeszcze bardziej znamienne zgłoszenia anonimowe będą mogły być pozostawione bez rozpoznania, również w przypadku zgłoszeń dokonanych do Rzecznika Praw Obywatelskich.
Projektodawca rezygnację z możliwości dokonywania zgłoszeń anonimowo uzasadnił ryzykiem nadmiernego wpływu informacji przypadkowych i o niskiej wartości z perspektywy rzeczywistego przeciwdziałania naruszeniom czy trudności w uzyskaniu dodatkowych informacji od zgłaszającego, gdy już przekazane informacje są istotne, lecz niepełne. Dodatkowo wskazał na wysokie koszty i obciążenie organizacyjne związane z przetwarzaniem licznych informacji, potencjalnie bezwartościowych, w ramach ustanowionych mechanizmów zgłaszania.
Ostrzeżenie przed złymi praktykami. Jawne i anonimowe zgłoszenia sygnalistów
Należy uznać za uzasadnione obawy, że wprowadzenie możliwości dokonywania zgłoszeń anonimowo prowadzi do ryzyka związanego ze stworzeniem środowiska, w którym anonimowe, wrogie doniesienia staną się normą. Trzeba mieć jednak na uwadze, że również zgłoszenia poufne mogą doprowadzić do analogicznej sytuacji.
Natomiast anonimowe zgłoszenia sygnalistów mogą mieć znaczną wartość i powinny być również chronione i skutkować działaniami następczymi w takim samym zakresie jak zgłoszenia w trybie poufnym. Szczególnie biorąc pod uwagę uwarunkowania i historię naszego kraju wydaje się, że to właśnie fakt zachowania anonimowości sygnalisty może stanowić dla niego bodziec do ujawnienia nieprawidłowości. Dodatkowo w świetle postępującego rozwoju technologicznego wprowadzenia możliwości dokonywania zgłoszeń anonimowych nie jest ponadstandardowym przedsięwzięciem. Zazwyczaj anonimowy kanał zgłoszeniowy jest standardem dla platform obsługujących zgłoszenia sygnalistów i nie wymaga dodatkowego wydatku. Jednocześnie dostępne na rynku systemy informatyczne pozwalają również na w pełni anonimowe prowadzenie dialogu z sygnalistą poprzez tworzenie specjalnych dostępów na bazie ID zgłoszenia.
Przede wszystkim należy jednak pamiętać jaki cel przyświeca wprowadzeniu możliwości dokonywania zgłoszeń wewnętrznych. Organizacjom działającym w dobrej wierze będzie zdecydowanie zależało, by zgłoszenia nieprawidłowości dokonywane wewnętrznie, a najlepiej na wczesnym etapie, aby mitygować ryzyko związane ze skutkami naruszeń. Przy założeniu, że umożliwienie dokonania zgłoszenia anonimowo może choćby w najmniejszym stopniu skłonić potencjalnego sygnalistę do zgłoszenia naruszenia wewnętrznie, takie rozwiązanie na pewno się opłaci. W innym przypadku może on albo naruszenia nie zgłosić wcale albo przekazać odpowiednie zgłoszenie Rzecznikowi Praw Obywatelskich albo organowi publicznemu, czy nawet w skrajnych przypadkach - od razu do mediów. Z powyższych względów podmiotom prawnym powinno zależeć na skłonieniu m.in. swoich pracowników do dokonywania zgłoszeń w ramach organizacji.
Jako, że na tę chwilę projekt ustawy pozostawia do decyzji podmiotu prawnego, czy będzie on rozpatrywać zgłoszenia anonimowe, zaleca się rozważyć możliwość dopuszczenia możliwości składania zarówno zgłoszeń jawnych, jak i anonimowych. W takim przypadku konieczne będzie dokładne uregulowanie tej kwestii w procedurze wewnętrznej zgłaszania naruszeń prawa i podejmowania działań następczych.
Łukasz Napiórkowski, Adwokat, Senior Assiociate w Rödl & Partner