Whistleblowing w Polsce. Kiedy ustawa o sygnalistach?

Dyrektywa dot. ochrony sygnalistów nadal niewdrożona w Polsce

Kraje Unii Europejskiej zostały zobowiązane do wdrożenia przepisów dyrektywy Parlamentu Europejskiego i Rady (UE) 2019/1937 z 23 października 2019 roku w sprawie ochrony osób zgłaszających naruszenia prawa Unii (zwanej dalej: „Dyrektywą”) do swojego porządku prawnego.
Termin na wdrożenie wspomnianej Dyrektywy upłynął 17 grudnia 2021 roku, a mimo tego zdecydowana większość państw członkowskich nie wykonała jeszcze ciążącego na nich obowiązku.

Jakie skutki może mieć brak wdrożenia dla państwa członkowskiego?

Brak wdrożenia dyrektywy UE może zostać uznane za naruszenie traktatów UE, w związku z czym przeciw krajom uchybiającym terminowi transpozycji może zostać wszczęte formalne postępowanie w sprawie uchybienia zobowiązaniom państwa członkowskiego (tzw. infrigment procedure).

W styczniu 2022 roku, a więc stosunkowo krótko po upływie terminu na wdrożenie, Komisja Europejska (dalej: „KE”) wysłała do 24 państw członkowskich wezwania do usunięcia uchybienia, co stanowiło pierwszy etap formalnego postępowania w sprawie uchybienia zobowiązaniom państwa członkowskiego. Rzadko zdarza się, by postępowanie w sprawie uchybienia zobowiązaniom państwa członkowskiego było wszczynane przeciwko państwom UE tak szybko po stwierdzeniu nieprzestrzegania dyrektywy. Może to być jednak oznaka tego, jak poważnie UE postrzega potrzebę ochrony sygnalistów.

Mimo wszczęcia formalnego postępowania, zgodnie z komunikatem KE z 15 lipca 2022 roku, piętnaście państw członkowskich w dalszym ciągu nie wdrożyło odpowiednich przepisów. Jednym z nich jest Polska. Pozostałymi 14 krajami, które nie wdrożyły Dyrektywy, są: Bułgaria, Czechy, Estonia, Finlandia, Francja, Niemcy, Grecja, Węgry, Irlandia, Włochy, Luksemburg, Holandia, Słowacja i Hiszpania.

Zgodnie ze wspomnianym komunikatem wszystkie te państwa zostały wezwane do złożenia wyjaśnień w sprawie uchybienia zobowiązaniom państwa członkowskiego i wyjaśnienia braku wdrożenia Dyrektywy.

Na dzień publikacji niniejszego artykułu, kraje te mają już jedynie nieco ponad miesiąc na udzielenie odpowiedzi KE, w tym na przekazanie informacji o pracach nad aktami wprowadzającymi. Państwu członkowskiemu UE, które nie poinformuje Komisji o środkach, które w pełni transponują przepisy dyrektyw, grozi w następstwie skierowanie sprawy do Trybunału Sprawiedliwości. Komisja może na tym etapie zwrócić się do Trybunału Sprawiedliwości o nałożenie kary i stwierdzenie, że dany kraj naruszył prawo UE.

Założenia Dyrektywy dot. ochrony sygnalistów

Omawiana Dyrektywa w swoich założenia wskazuje na konieczność przyjęcia regulacji prawnych związanych ze zgłaszaniem naruszeń, w tym dotyczących ochrony zgłaszających (tzw. sygnalistów) oraz trybu zgłaszania naruszeń i podejmowania działań następczych przez podmioty prawne oraz organy publiczne.

Interesującym z punktu widzenia przedsiębiorców jest nałożenie na nich obowiązku przyjęcia procedury zgłoszeń wewnętrznych oraz utworzenie w jej ramach poufnych i bezpiecznych kanałów przyjmowania zgłoszeń od sygnalistów.

Należy jednak zauważyć, że przepisy Unii Europejskiej oddziałują na prawo krajowe państw członkowskich w zależności od rodzaju aktu prawnego, w którym zostały zamieszczone.
Dyrektywy wymagają transpozycji do porządku krajowego i brak jest – co do zasady – możliwości bezpośredniego stosowania przepisów dyrektywy. Natomiast, zgodnie z art. 288 Traktatu o funkcjonowaniu Unii Europejskiej „Dyrektywa wiąże każde Państwo Członkowskie, do którego jest kierowana, w odniesieniu do rezultatu, który ma być osiągnięty, pozostawia jednak organom krajowym swobodę wyboru formy i środków”.

Dyrektywa narzuca zatem pewne minimalne standardy regulacji państwowych w zakresie przyjmowanych regulacji prawnych, w tym przewiduje szereg obowiązków związanych z ochroną sygnalistów, które powinny zostać wdrożone przez przedsiębiorstwa. Takimi obowiązkami prócz wspomnianych będzie m.in.:

• wskazanie osób odpowiedzialnych za weryfikację zgłaszanych naruszeń,
• ustanowienia 7 dniowego terminu na potwierdzenie przyjęcia zgłoszenia przez przedsiębiorcę otrzymanego od sygnalisty,
• podejmowanie działań wyjaśniających oraz przekazywanie sygnaliście informacji zwrotnych, zarówno o przyjęciu zgłoszenia jak i o podjętych w związku z nim działaniach następczych,
• ustanowienie maksymalnego 3 miesięcznego terminu na przekazanie informacji zwrotnych o podjętych działaniach następczych,
• udostępnienie pracownikom informacji na temat wewnętrznych oraz zewnętrznych możliwościach zgłaszania naruszeń.

Kiedy ustawa o sygnalistach w Polsce?

Polski ustawodawca od dłuższego czasu prowadzi pracę nad wdrożeniem Dyrektywy do polskiego porządku prawnego. Pierwszy projekt polskiej ustawy datowany jest na 14 października 2021 r. Spotkał się on jednak z dużą krytyką w trakcie konsultacji publicznych i opiniowania projektu. To spowodowało, że dnia 12 kwietnia 2022 roku na stronie Rządowego Centrum Legislacji pojawiła się druga, całkowicie zmieniona wersja projektu ustawy o ochronie osób zgłaszających naruszenia prawa. Ten projekt również nie był przekonujący, co spowodowało, że 7 lipca 2022 roku opublikowano kolejny, trzeci projekt ustawy o ochronie sygnalistów.

Obecny projekt ustawy, w ślad za wymogami Dyrektywy, zakłada, że podmioty prywatne (firmy) będą zobowiązane do przyjęcia procedury zgłoszeń wewnętrznych naruszeń prawa.

Zgodnie z nowym projektem duże przedsiębiorstwa (podmioty prywatne, na rzecz których wykonuje pracę co najmniej 250 osób) będą zobowiązane do ustalenia odpowiedniej procedury wewnętrznej po upływie 2 miesięcy od dnia ogłoszenia ustawy.

Projektowany termin realizacji wspomnianego obowiązku dla podmiotów prywatnych, na rzecz których wykonuje pracę co najmniej 50 i mniej niż 250 osób to 17 grudnia 2023 roku.

Część podmiotów prawnych, w tym przede wszystkim podmioty prowadzące działalność w zakresie:

• usług, produktów i rynków finansowych;
• zapobiegania praniu pieniędzy i finansowaniu terroryzmu;
• bezpieczeństwa transportu;
• ochrony środowiska;

będą zobowiązane do wprowadzenia odpowiedniej wewnętrznej procedury niezależnie od ilości osób wykonujących dla nich pracę. Jednoczenie projekt ustawy zezwala mniejszym podmiotom wprowadzenie odpowiedniej procedury wewnętrznej na zasadzie dobrowolności.

Według projektu brak ustalenia procedury może skutkować nałożeniem grzywny, a naruszenie obowiązku zachowania poufności tożsamości osoby, która dokonała zgłoszenia, może oznaczać dla kadry zarządzającej nawet karę pozbawienia wolności.

Skutki komunikatu Komisji Europejskiej

Wśród praktyków compliance istnieje przekonanie, że najnowszy komunikat KE spowoduje znaczące przyspieszenie prac nad projektem ustawy i odrzucenie kolejnych postulatów rynku dotyczących zmian w projekcie. To natomiast ma spowodować, że projekt ustawy wdrażającej Dyrektywę zostanie skierowany do Sejmu RP w najbliższych kilku tygodniach.

Jako że wdrożenie wewnętrznych regulacji dotyczących tak newralgicznego zagadnienia, jak zgłoszenia nieprawidłowości jest procesem długotrwałym, przedsiębiorcy już teraz powinni bacznie przyglądać się temu zagadnieniu i rozważyć wdrażanie rozwiązań na bazie samej Dyrektywy oraz projektu ustawy. Te dwie podstawy pozwalają bowiem przynajmniej na zmapowanie procedury wewnętrznej i wstępne zaprojektowanie procesu zgłaszania i przyjmowania oraz obsługi zgłoszeń potencjalnych naruszeń.

Podstawa prawna: Dyrektywa Parlamentu Europejskiego i Rady (UE) 2019/1937 z dnia 23 października 2019 r. w sprawie ochrony osób zgłaszających naruszenia prawa Unii.

Łukasz Napiórkowski, adwokat i Senior Associate w Rödl & Partner