Ochrona sygnalistów w Polsce – nowe przepisy i obowiązki pracodawców od 2025 roku

Polska ustawa o ochronie sygnalistów weszła w życie 25 września 2024 roku, ale większość obowiązków dla pracodawców zacznie obowiązywać dopiero od połowy 2025 roku. To wynik implementacji unijnej dyrektywy 2019/1937, która nakłada na państwa członkowskie obowiązek zapewnienia skutecznej ochrony osobom zgłaszającym naruszenia prawa w miejscu pracy. Dla wielu firm oznacza to konieczność stworzenia od podstaw wewnętrznych procedur zgłoszeniowych, wyznaczenia zespołu do ich obsługi oraz przeszkolenia pracowników. Poniżej wyjaśniamy, jakie konkretnie obowiązki nakłada nowa regulacja, kogo dotyczy i jakie sankcje grożą za jej nieprzestrzeganie.

Komu przysługuje status sygnalisty

Ustawa definiuje sygnalistę jako osobę fizyczną, która zgłasza lub ujawnia informacje o naruszeniu prawa uzyskane w kontekście związanym z pracą. Ochrona obejmuje nie tylko pracowników etatowych, ale także osoby świadczące pracę na innej podstawie, takie jak zleceniobiorcy, stażyści, wolontariusze, praktykanci, a nawet kandydaci do pracy, którzy uzyskali informacje w trakcie procesu rekrutacji. Ochroną objęci są również współpracownicy i osoby pomagające w zgłoszeniu, a także osoby powiązane z sygnalistą, które mogą być narażone na działania odwetowe.

Status sygnalisty nie jest przyznawany automatycznie. Osoba zgłaszająca musi działać w dobrej wierze – czyli mieć uzasadnione podstawy, by sądzić, że zgłaszane informacje są prawdziwe i dotyczą naruszenia prawa. Zgłoszenia dokonywane złośliwie, bezpodstawnie lub z naruszeniem przepisów o ochronie danych osobowych nie korzystają z ochrony.

Jakie naruszenia można zgłaszać

Ustawa o ochronie sygnalistów obejmuje szeroki katalog dziedzin, w których możliwe jest dokonanie zgłoszenia. Są to między innymi:

• korupcja i łapownictwo
• zamówienia publiczne i ochrona interesów finansowych państwa
• usługi, produkty i rynki finansowe
• bezpieczeństwo produktów i ich zgodność z wymogami
• bezpieczeństwo transportu
• ochrona środowiska
• ochrona radiologiczna i bezpieczeństwo jądrowe
• bezpieczeństwo żywności i pasz
• zdrowie publiczne
• ochrona konsumentów
• ochrona prywatności i danych osobowych
• bezpieczeństwo sieci i systemów teleinformatycznych
• interesy finansowe Skarbu Państwa oraz jednostek samorządu terytorialnego
• prawo pracy i stosunki pracy
• zasady etyki i standardy wewnętrzne firmy

Zakres jest więc bardzo szeroki i obejmuje zarówno naruszenia prawa powszechnie obowiązującego, jak i wewnętrzne regulacje firmowe. Pracodawca może w swojej procedurze zgłoszeń wewnętrznych rozszerzyć ten katalog o dodatkowe obszary.

Obowiązki pracodawców – procedura zgłoszeń wewnętrznych

Podstawowym obowiązkiem pracodawcy jest ustanowienie wewnętrznej procedury zgłoszeń naruszeń prawa. Musi ona określać:

• kanały przyjmowania zgłoszeń (np. dedykowany adres e-mail, formularz online, infolinia, możliwość spotkania osobistego)
• sposób potwierdzenia przyjęcia zgłoszenia w terminie 7 dni od jego otrzymania
• zasady postępowania ze zgłoszeniem, w tym weryfikacji i podejmowania działań następczych
• termin na przekazanie informacji zwrotnej sygnaliście – maksymalnie 3 miesiące od potwierdzenia przyjęcia zgłoszenia
• obowiązek prowadzenia rejestru zgłoszeń

Kanały zgłoszeń muszą umożliwiać dokonanie zgłoszenia w formie pisemnej, ustnej (np. przez nagranie głosowe) oraz na żądanie sygnalisty – w formie spotkania osobistego w terminie 14 dni. Pracodawca ma obowiązek zapewnić poufność tożsamości sygnalisty oraz osób, których dotyczy zgłoszenie.

Kogo dotyczy obowiązek wdrożenia procedury

Obowiązek wdrożenia procedury zgłoszeń wewnętrznych zależy od liczby zatrudnionych osób. Ustawa przewiduje następujące terminy:

W praktyce oznacza to, że do połowy 2025 roku wiele firm średniej wielkości musi zdążyć z wdrożeniem systemu. Pracodawcy zatrudniający od 50 do 249 osób mają możliwość wspólnej obsługi zgłoszeń dla kilku podmiotów, np. w ramach grupy kapitałowej.

Kanały zgłoszeń zewnętrznych

Oprócz zgłoszeń wewnętrznych, sygnaliści mogą dokonywać zgłoszeń bezpośrednio do Rzecznika Praw Obywatelskich, który pełni funkcję organu publicznego odpowiedzialnego za przyjmowanie zgłoszeń zewnętrznych. RPO prowadzi ogólnokrajowy system, który umożliwia dokonanie zgłoszenia za pośrednictwem dedykowanej platformy internetowej, telefonicznie lub listownie.

Zgłoszenie zewnętrzne jest możliwe, gdy:

• wewnętrzna procedura zgłoszeń nie została ustanowiona lub nie działa prawidłowo
• istnieje uzasadniona obawa, że zgłoszenie wewnętrzne nie przyniesie skutku
• istnieje ryzyko działań odwetowych wobec sygnalisty
• naruszenie ma charakter szczególnie poważny lub bezpośrednio zagraża interesowi publicznemu

Sankcje za brak wdrożenia procedury

Ustawa przewiduje kary pieniężne za naruszenie obowiązków związanych z ochroną sygnalistów. Katalog sankcji obejmuje:

• karę grzywny za uniemożliwienie dokonania zgłoszenia lub utrudnianie go
• karę grzywny za podjęcie działań odwetowych wobec sygnalisty
• karę grzywny za naruszenie obowiązku poufności tożsamości sygnalisty
• odpowiedzialność odszkodowawczą wobec sygnalisty, który poniósł szkodę w wyniku działań odwetowych

Wysokość kar nie jest sztywno określona w ustawie – sąd orzeka ją w oparciu o przepisy Kodeksu wykroczeń i Kodeksu karnego. W praktyce kary mogą sięgać nawet kilkudziesięciu tysięcy złotych, a w przypadku poważnych naruszeń – także odpowiedzialności karnej.

Ochrona przed działaniami odwetowymi

Kluczowym elementem ustawy jest zakaz podejmowania działań odwetowych wobec sygnalisty. Za działania odwetowe uznaje się między innymi:

• rozwiązanie umowy o pracę
• obniżenie wynagrodzenia
• mobbing i dyskryminację
• przeniesienie na niższe stanowisko
• zmianę zakresu obowiązków na niekorzyść
• wpis negatywnej opinii o pracowniku
• pominięcie przy awansie lub szkoleniu
• wszczęcie postępowania dyscyplinarnego

Sygnalista, który padł ofiarą działań odwetowych, może dochodzić odszkodowania na drodze sądowej. Co ważne, to na pracodawcy spoczywa ciężar udowodnienia, że podjęte działania nie miały związku ze zgłoszeniem. Jeśli pracodawca nie udowodni, że działał z innych przyczyn, domniemywa się, że doszło do działań odwetowych.

Praktyczne kroki dla pracodawcy – checklista

Oto lista najważniejszych działań, które powinien podjąć każdy pracodawca objęty nowymi przepisami:

Sprawdź, czy Twoja firma podlega obowiązkowi wdrożenia procedury (liczba zatrudnionych, rodzaj działalności)
2. Opracuj wewnętrzną procedurę zgłoszeń naruszeń prawa – wzory są dostępne w Biuletynie Informacji Publicznej RPO
3. Wyznacz zespół lub osobę odpowiedzialną za przyjmowanie i weryfikację zgłoszeń
4. Uruchom co najmniej dwa kanały zgłoszeń (np. e-mail i formularz online)
5. Przygotuj rejestr zgłoszeń zgodny z wymogami ustawy
6. Przeszkol kadrę zarządzającą i pracowników z zasad działania procedury
7. Opublikuj procedurę w miejscu dostępnym dla wszystkich pracowników (np. intranet, tablica ogłoszeń)
8. Ustal zasady ochrony danych osobowych sygnalistów i osób wskazanych w zgłoszeniu
9. Przygotuj politykę antyretorsyjną i procedurę postępowania w przypadku zgłoszenia działań odwetowych
10. Zaplanuj audyt wewnętrzny po pierwszych 6 miesiącach działania systemu

Różnice między ustawą a dyrektywą UE

Polska implementacja dyrektywy 2019/1937 różni się w kilku punktach od pierwotnego tekstu unijnego. Najważniejsze różnice to:

• szerszy katalog podmiotów objętych ochroną – polska ustawa obejmuje także kandydatów do pracy i wolontariuszy
• rozszerzony katalog dziedzin – dodano ochronę prywatności i danych osobowych oraz bezpieczeństwo sieci
• wprowadzenie obowiązku prowadzenia rejestru zgłoszeń już od dnia wejścia w życie ustawy
• możliwość dokonania zgłoszenia anonimowego – ustawa nie zabrania przyjmowania zgłoszeń anonimowych, ale ich ochrona jest ograniczona
• brak obowiązku ustanowienia wewnętrznej procedury dla firm zatrudniających poniżej 50 pracowników (z wyjątkiem sektorów wrażliwych)

W praktyce oznacza to, że polscy pracodawcy muszą spełnić nieco więcej formalności niż minimalne wymagania dyrektywy.

Najczęstsze wątpliwości i błędy

Wielu pracodawców popełnia błędy na etapie wdrażania procedury. Oto najczęstsze z nich:

• mylenie sygnalisty z donosicielem – sygnalista działa w interesie publicznym, a nie własnym
• brak odpowiedniego zabezpieczenia kanałów zgłoszeń przed dostępem osób nieuprawnionych
• niedostateczne przeszkolenie zespołu obsługującego zgłoszenia w zakresie ochrony danych osobowych
• brak procedury dla zgłoszeń anonimowych – choć nie są obowiązkowe, warto je przewidzieć
• zbyt długi czas reakcji na zgłoszenie – ustawa wymaga potwierdzenia w 7 dni i odpowiedzi w 3 miesiące
• brak rejestru zgłoszeń lub prowadzenie go niezgodnie z wymogami RODO

Nieprzestrzeganie tych zasad może skutkować nie tylko karami, ale także utratą zaufania pracowników i problemami wizerunkowymi.

Co dalej – praktyczne wskazówki

Jeśli jesteś pracodawcą lub osobą odpowiedzialną za compliance w firmie, warto już teraz zaplanować wdrożenie procedury. Do 1 lipca 2025 roku pozostało kilka miesięcy, ale lepiej nie czekać na ostatnią chwilę. Na początek polecamy:

• sprawdzenie aktualnego stanu zatrudnienia w firmie
• konsultację z prawnikiem specjalizującym się w prawie pracy
• skorzystanie z bezpłatnych wzorów procedur udostępnianych przez Rzecznika Praw Obywatelskich
• przeszkolenie kadry zarządzającej jeszcze przed oficjalnym uruchomieniem systemu

Pamiętaj, że ustawa o ochronie sygnalistów to nie tylko obowiązek, ale także narzędzie budowania kultury organizacyjnej opartej na przejrzystości i zaufaniu. Firmy, które wdrożą procedurę w sposób przemyślany, mogą zyskać w oczach pracowników i partnerów biznesowych.