Od kiedy obowiązują przepisy o sygnalistach w firmie?

Przepisy o ochronie sygnalistów w Polsce weszły w życie 25 września 2024 r. i od tego dnia firmy mają konkretne obowiązki – z sankcjami karnymi włącznie. Daty są jednak bardziej złożone, niż wynikałoby z samego tytułu ustawy, bo liczy się też to, kiedy sprawdzano próg zatrudnienia i czy procedura została prawidłowo ogłoszona. Poniżej opisuję, co dokładnie i od kiedy obowiązuje – żebyś mógł ocenić sytuację swojej firmy.

Najważniejsze informacje z tego artykułu:

• Ustawa o ochronie sygnalistów z 14 czerwca 2024 r. obowiązuje zasadniczo od 25 września 2024 r.
• Obowiązek wdrożenia procedury wewnętrznej dotyczy firm, na rzecz których co najmniej 50 osób wykonuje pracę zarobkową według stanu na 1 stycznia lub 1 lipca danego roku.
• Procedura wewnętrzna wchodzi w życie dopiero po 7 dniach od jej ogłoszenia pracownikom i współpracownikom, nie z dniem jej podpisania.
• Przepisy dotyczące zewnętrznych kanałów zgłoszeń – do Rzecznika Praw Obywatelskich i organów publicznych – weszły w życie później, bo 25 grudnia 2024 r.
• Brak ustanowienia procedury mimo obowiązku jest karalne – odpowiedzialność ponosi osoba odpowiedzialna za jej wdrożenie.

Od kiedy obowiązują przepisy o sygnalistach w firmie?

Ustawa z 14 czerwca 2024 r. o ochronie sygnalistów weszła w życie 25 września 2024 r. – po trzymiesięcznym vacatio legis od daty publikacji w Dzienniku Ustaw, czyli od 24 czerwca 2024 r. Od 25 września obowiązują zarówno przepisy chroniące sygnalistów, jak i zasadnicze przepisy o wewnętrznych kanałach zgłoszeń. Twierdzenie, że cała ustawa zaczęła działać dopiero od 1 stycznia 2025 r., jest błędne.

Daty 1 stycznia i 1 lipca mają inne znaczenie – służą wyłącznie do ustalenia, czy dany podmiot przekroczył próg 50 osób, który uruchamia obowiązek wdrożenia procedury. Nie przesuwają generalnej daty wejścia ustawy w życie.

Jeden szczegół, który w praktyce często umykał firmom: sama procedura wewnętrzna wchodzi w życie dopiero po 7 dniach od jej ogłoszenia osobom wykonującym pracę w danej organizacji. Przygotowanie dokumentu i jego podpisanie nie wystarczy. Firma, która uchwalała procedurę dokładnie 25 września 2024 r., formalnie opóźniła jej wejście w życie o co najmniej tydzień. Żeby procedura działała od 25 września, firma powinna była ją ogłosić najpóźniej około 18 września – a wcześniej jeszcze przeprowadzić obowiązkowe konsultacje, które trwają od 5 do 10 dni.

Dwie daty, które firma powinna znać:

Warto też odnotować, że Polska wdrażała unijną Dyrektywę 2019/1937, która miała obowiązywać w krajach UE już od 17 grudnia 2021 r. Polska była jednym z ostatnich państw, które transponowały dyrektywę do prawa krajowego – stąd data wejścia ustawy w życie przypadła dopiero na koniec 2024 r.

Które firmy są objęte obowiązkiem wdrożenia procedury?

Obowiązek ustanowienia wewnętrznej procedury zgłoszeń dotyczy podmiotów, na rzecz których co najmniej 50 osób wykonuje pracę zarobkową – według stanu na 1 stycznia albo 1 lipca danego roku. Dla firm objętych ustawą od samego początku pierwszym miarodajnym punktem odniesienia był stan na 1 lipca 2024 r., a nie na 25 września.

Próg 50 osób nie jest liczony wyłącznie według etatów pracowniczych. Ustawa nakazuje wliczać:

• Pracowników w przeliczeniu na pełne etaty.
• Osoby świadczące pracę odpłatnie na innej podstawie – np. na umowie zlecenia, umowie o dzieło lub w modelu B2B – o ile sami nie zatrudniają innych osób do tego rodzaju pracy.

Próg sprawdza się punktowo, nie jako średnią z całego półrocza. Jeżeli 1 lipca firma miała 52 osoby wykonujące dla niej pracę zarobkową, obowiązek istnieje – nawet jeśli przez większość roku liczba ta wynosiła 40.

Wskazówka: Przed oceną, czy Twoja firma podlega ustawie, sprawdź nie tylko liczbę umów o pracę, ale też aktywne kontrakty B2B i umowy cywilnoprawne. Zdarza się, że firma formalnie zatrudnia 30 pracowników, ale łącznie z osobami na B2B przekracza próg 50.

Szczególną kategorię stanowią firmy działające w sektorach regulowanych. Niezależnie od liczby osób wykonujących pracę, obowiązek posiadania wewnętrznego kanału zgłoszeń dotyczy podmiotów z obszarów takich jak:

• Usługi, produkty i rynki finansowe.
• Przeciwdziałanie praniu pieniędzy i finansowaniu terroryzmu.
• Bezpieczeństwo transportu.
• Ochrona środowiska.

To istotny wyjątek, który dotyczy np. firm z sektora finansowego czy instytucji obowiązanych w rozumieniu przepisów o AML – muszą mieć procedurę bez względu na wielkość zatrudnienia.

Firmy zatrudniające poniżej 50 osób mogą procedurę wdrożyć dobrowolnie. Jeśli to zrobią, muszą jednak zadbać o pełną zgodność z ustawowymi wymogami – poufność, weryfikację zgłoszeń i działania następcze. Sam adres e-mail wyznaczony do przyjmowania zgłoszeń nie spełnia tych wymagań. Co więcej, ustawa nie uzależnia ochrony sygnalisty od tego, czy pracodawca miał obowiązek ustanowienia procedury.

Jak prawidłowo wdrożyć procedurę wewnętrzną?

Procedura wewnętrzna to nie tylko dokument – to cały proces. Ustawa określa kolejność kroków, których pominięcie może oznaczać wadliwe wdrożenie.

Kroki prowadzące do skutecznego wejścia procedury w życie:

1. Przygotuj projekt procedury zawierający co najmniej elementy wymagane ustawą.
2. Przeprowadź konsultacje z zakładową organizacją związkową albo – jeśli jej nie ma – z przedstawicielami osób wykonujących pracę. Konsultacja trwa od 5 do 10 dni. Nie musisz uzyskiwać zgody, ale pominięcie tego kroku może podważyć ważność procedury.
3. Ogłoś procedurę osobom wykonującym pracę w sposób przyjęty w organizacji – np. przez intranet, e-mail lub tablicę ogłoszeń.
4. Odczekaj 7 dni. Dopiero po tym czasie procedura zaczyna wiązać osoby wykonujące pracę.

Minimalna treść procedury, którą ustawa nakazuje uwzględnić:

• Wskazanie osoby, jednostki organizacyjnej albo podmiotu zewnętrznego upoważnionego do przyjmowania zgłoszeń.
• Opis sposobów przekazywania zgłoszeń.
• Wskazanie bezstronnej osoby lub jednostki prowadzącej działania następcze.
• Obowiązek potwierdzenia przyjęcia zgłoszenia w terminie 7 dni od jego wpłynięcia (jeśli sygnalista podał adres do kontaktu).
• Obowiązek podjęcia działań następczych z należytą starannością.
• Maksymalny termin przekazania informacji zwrotnej sygnaliście – zasadniczo do 3 miesięcy od potwierdzenia przyjęcia zgłoszenia.

Firmy mogą powierzyć obsługę zgłoszeń podmiotowi zewnętrznemu. Zewnętrzne powierzenie nie przenosi jednak odpowiedzialności za zgodność systemu z ustawą – firma nadal odpowiada za poufność, działania następcze, informację zwrotną i prowadzenie rejestru zgłoszeń wewnętrznych.

Jeden aspekt, który obserwuję przy analizie wdrożeń w firmach: spółki zależne od międzynarodowych grup często zakładają, że centralna linia compliance grupy wystarczy. Polska spółka objęta ustawą musi mieć procedurę zgodną z polską ustawą, lokalnie skonsultowaną i ogłoszoną osobom wykonującym dla niej pracę – niezależnie od tego, co funkcjonuje na poziomie centrali.

Wskazówka: Jeśli Twoja firma zatrudnia od 50 do 249 osób i działa w grupie kapitałowej, możecie wspólnie uregulować zasady przyjmowania i weryfikacji zgłoszeń. Odpowiedzialność za zgodność pozostaje jednak po stronie konkretnej spółki – wspólne zasoby nie uchylają indywidualnych obowiązków każdego podmiotu.

Kto jest chroniony przez przepisy o ochronie sygnalistów?

Zakres ochrony jest szerszy, niż wynikałoby to z potocznego rozumienia słowa „pracownik”. Ustawa chroni:

• Pracowników zatrudnionych na umowę o pracę.
• Osoby świadczące pracę na podstawie umów cywilnoprawnych.
• Przedsiębiorców, prokurentów, wspólników, akcjonariuszy i członków organów.
• Stażystów, wolontariuszy i praktykantów.
• Osoby wykonujące pracę pod nadzorem wykonawcy, podwykonawcy lub dostawcy.

Decydujące jest uzyskanie informacji o naruszeniu w kontekście związanym z pracą, a nie rodzaj umowy łączącej zgłaszającego z firmą. Ochrona powstaje od momentu dokonania zgłoszenia – pod warunkiem że zgłaszający miał uzasadnione podstawy sądzić, że informacja jest prawdziwa i dotyczy naruszenia prawa. Firma nie ma kompetencji do formalnego nadawania lub odmowy statusu sygnalisty według własnego uznania.

Warto też wiedzieć, że ustawa nie objęła automatycznie każdego sporu pracowniczego. Naruszenia prawa pracy jako takie nie stanowią odrębnej ustawowej kategorii zgłoszeń. Firma może rozszerzyć procedurę o naruszenia wewnętrznych regulacji lub standardów etycznych, ale będzie to już jej własny wybór, a nie ustawowy obowiązek.

Przyjmowanie zgłoszeń anonimowych nie jest obowiązkowe. Jeśli jednak firma zdecyduje się je dopuszczać, musi obsługiwać je zgodnie z przyjętymi zasadami. Ujawnienie tożsamości anonimowego sygnalisty może uruchomić mechanizmy ochrony przed odwetem – nawet jeśli firma początkowo nie wiedziała, kto stoi za zgłoszeniem.

Czym są zewnętrzne kanały zgłoszeń i od kiedy działają?

Zewnętrzne kanały zgłoszeń zaczęły funkcjonować 25 grudnia 2024 r. – wynikało to z art. 64 ustawy, który odroczył wejście w życie rozdziału 4. Od tej daty sygnalista może kierować zgłoszenie bezpośrednio do Rzecznika Praw Obywatelskich albo właściwego organu publicznego, pomijając kanał wewnętrzny firmy.

To ważne rozróżnienie dla firm: ustawa nie pozwala uzależniać ustawowej ochrony sygnalisty od wcześniejszego skorzystania z wewnętrznego kanału zgłoszeń. Sygnalista może od razu wybrać drogę zewnętrzną. Firma, która komunikuje pracownikom, że „najpierw trzeba zgłosić wewnętrznie”, musi zadbać o to, żeby taka komunikacja nie brzmiała jak warunek ochrony – bo nim nie jest.

Zewnętrzny kanał nie zastępuje jednak obowiązku posiadania kanału wewnętrznego. Obie ścieżki działają równolegle, a zgłoszenia przez każdą z nich uruchamiają ochronę sygnalisty na mocy ustawy.

Jakie są konsekwencje naruszenia przepisów o sygnalistach?

Niespełnienie wymogów ustawy to ryzyko, które wykracza daleko poza kwestię organizacyjną. Od 25 września 2024 r. karalne jest nie tylko utrudnianie zgłoszenia czy stosowanie działań odwetowych, ale też brak ustanowienia procedury lub ustanowienie jej z rażącym naruszeniem wymagań ustawy. Odpowiedzialność ponosi osoba odpowiedzialna za wdrożenie – nie abstrakcyjna „firma”.

Ustawa zakazuje działań odwetowych, ich prób i gróźb. Wobec pracowników odwetem może być m.in.:

• Wypowiedzenie lub rozwiązanie umowy o pracę.
• Obniżenie wynagrodzenia lub wstrzymanie awansu.
• Przeniesienie na niższe stanowisko lub zawieszenie w obowiązkach.
• Pominięcie przy przyznawaniu świadczeń lub niekorzystna zmiana miejsca czy czasu pracy.
• Mobbing lub dyskryminacja.

Wobec osób współpracujących na innej podstawie odwetem może być rozwiązanie umowy, odmowa jej zawarcia lub ograniczenie uprawnień, koncesji czy zezwoleń.

W sporze o działania odwetowe to pracodawca musi udowodnić, że jego decyzja nie była związana ze zgłoszeniem. Ciężar dowodu spoczywa po stronie firmy. Z doświadczenia przy analizach procesów HR wiem, że jest to jedno z większych praktycznych ryzyk – decyzje kadrowe podejmowane po zgłoszeniu, nawet jeśli mają obiektywne podstawy, mogą zostać zaskarżone. Dlatego dokumentowanie przyczyn wszelkich zmian dotyczących sygnalisty – oceny, awansów, zmian obowiązków, rozwiązań umów – jest działaniem, które firma powinna wdrożyć równolegle z procedurą zgłoszeń.

Sygnalista, wobec którego zastosowano odwet, może żądać odszkodowania nie niższego niż przeciętne miesięczne wynagrodzenie w gospodarce narodowej z poprzedniego roku. Odpowiedzialność karna natomiast grozi za utrudnianie zgłoszenia, działania odwetowe, ujawnienie tożsamości sygnalisty oraz brak ustanowienia procedury mimo obowiązku – w niektórych przypadkach zagrożona karą pozbawienia wolności.

Analiza porównawcza regulacji w UE pokazuje, że sankcje w poszczególnych krajach sięgają od kilkudziesięciu tysięcy do nawet około miliona euro w przypadku rażących naruszeń przez duże podmioty. Polska ustawa nie określa górnej granicy grzywny w sposób tak wyrażony kwotowo, ale przewiduje odpowiedzialność karną, co czyni temat bardziej poważnym niż zwykłe naruszenie administracyjne.

Wskazówka: Przy podejmowaniu jakichkolwiek decyzji kadrowych dotyczących osoby, która złożyła zgłoszenie, sporządź pisemne uzasadnienie tej decyzji oparte na obiektywnych i weryfikowalnych przesłankach. Jeśli nie masz takiego uzasadnienia w dokumentach, decyzja może zostać potraktowana jako działanie odwetowe niezależnie od Twoich intencji.

Warto też wspomnieć o trafności samego mechanizmu: szacuje się, że około 43% przypadków nadużyć gospodarczych jest ujawnianych przez informację od sygnalisty – to ponad trzy razy częściej niż przez audyt wewnętrzny. Unijny ustawodawca, tworząc Dyrektywę 2019/1937, miał więc konkretne dane uzasadniające sens budowania kanałów zgłoszeń. Polska, jako jeden z ostatnich krajów UE wdrażających tę dyrektywę, przejęła ten mechanizm z niemal trzyletnim opóźnieniem wobec pierwotnego terminu implementacji. Wszystkie 27 państw UE posiada już przepisy transponujące dyrektywę, choć poziom ich zgodności z minimalnymi standardami unijnymi jest zróżnicowany – co potwierdza, że samo wejście ustawy w życie to dopiero początek procesu, a nie jego zakończenie. Wdrożenie procedury to inwestycja w ograniczanie ryzyka, a nie tylko formalne spełnienie wymogu.

Przepisy o ochronie sygnalistów to zupełnie inny obszar niż np. kwestia tego, kto ponosi koszty absencji w małych podmiotach. Dla przypomnienia – w przypadku pytań o to, kto płaci za zwolnienie lekarskie w firmie poniżej 20 osób, reguły są określone przepisami prawa pracy i ustawy zasiłkowej, a nie ustawą o sygnalistach.

Podsumowanie

Przepisy o sygnalistach w Polsce obowiązują od 25 września 2024 r. – to data wejścia w życie ustawy z 14 czerwca 2024 r. Obowiązek wdrożenia wewnętrznej procedury zgłoszeń dotyczy firm, na rzecz których co najmniej 50 osób wykonuje pracę zarobkową według stanu na 1 stycznia lub 1 lipca. Zewnętrzne kanały zgłoszeń – do RPO i organów publicznych – ruszyły trzy miesiące później, 25 grudnia 2024 r. Procedura wewnętrzna wchodzi w życie dopiero po 7 dniach od ogłoszenia, a jej brak mimo obowiązku jest karalny. Jeśli masz wątpliwości co do sytuacji swojej firmy, warto skonsultować się z prawnikiem specjalizującym się w prawie pracy lub compliance.

FAQ

Q: Czy firma poniżej 50 osób może zostać pociągnięta do odpowiedzialności za brak procedury zgłoszeń?

A: Firma bez obowiązku prawnego nie odpowiada za brak procedury. Jednak jeśli dobrowolnie ją wdrożyła, musi przestrzegać jej zasad – a ochrona sygnalisty działa niezależnie od istnienia formalnego obowiązku po stronie pracodawcy.

Q: Czy zgłoszenia złożone przed 25 września 2024 r. są objęte ustawą o sygnalistach?

A: Nie. Zgłoszenia złożone przez wcześniejsze kanały etyczne przed tą datą nie stały się automatycznie zgłoszeniami ustawowymi. Firmy powinny prowadzić osobny rejestr zgłoszeń opartych na ustawie, rozłączny od wcześniejszych spraw.

Q: Co dokładnie oznacza termin przekazania informacji zwrotnej sygnaliście?

A: Firma ma zasadniczo 3 miesiące od potwierdzenia przyjęcia zgłoszenia na przekazanie sygnaliście informacji o podjętych lub planowanych działaniach następczych. Termin liczy się od daty wysłania potwierdzenia, a nie od daty złożenia zgłoszenia.

Q: Czy treść zgłoszenia sygnalisty można udostępniać innym pracownikom firmy?

A: Ustawa nakazuje zachować poufność tożsamości sygnalisty. Treść zgłoszenia może być udostępniana tylko osobom prowadzącym działania następcze i tylko w zakresie niezbędnym do ich podjęcia. Bezprawne ujawnienie tożsamości sygnalisty stanowi przestępstwo.

Q: Czy ustawa o sygnalistach obejmuje zgłoszenia dotyczące naruszeń prawa pracy?

A: Naruszenia prawa pracy nie stanowią odrębnej, ustawowej kategorii zgłoszeń. Firma może rozszerzyć procedurę o taki zakres, ale jest to jej własna decyzja. Każdy spór pracowniczy nie jest automatycznie objęty ochroną ustawy o sygnalistach.