Директива на ЕС за защита на лицата, подаващи сигнали: какво трябва да знае всяка компания

Всяка частна компания с 50 или повече служители и всяка публична структура, независимо от размера ѝ, е законово задължена да поддържа вътрешен канал за подаване на сигнали съгласно Директива (ЕС) 2019/1937 — със срок от 7 дни за потвърждаване на получаването на сигналите и 3 месеца за тяхното разрешаване.

Основни изводи

• Директивата се прилага за частни компании с 50+ служители и за всички публични структури, независимо от размера им.
• Сигналите трябва да бъдат потвърдени в срок от 7 дни и да получат отговор в срок до 3 месеца.
• Анонимното подаване на сигнали не е задължително по самата Директива, но няколко национални закона (Португалия, Германия) го изискват.
• Санкциите при неспазване трябва да са „ефективни, пропорционални и възпиращи“ (член 23) — на практика това включва глоби, а в някои държави и наказателна отговорност за репресии.
• Всяка държава членка е транспонирала Директивата със свои особености — общ канал не е достатъчен, ако пренебрегва местните изисквания.

Кой трябва да спазва

Директива (ЕС) 2019/1937, приета през октомври 2019 г., установява общ европейски стандарт за защита на лицата, които подават сигнали за нарушения на правото на ЕС, установени в работен контекст. Обхватът ѝ е умишлено широк:

• Частни компании с 50 или повече служители — прагът, който обхваща по-голямата част от средните и големите предприятия.
• Всички публични структури, включително в някои държави членки общини с под 10 000 жители, без минимален брой служители.
• Определени регулирани сектори (финансови услуги, безопасност на транспорта, борба с изпирането на пари), дори под прага от 50 служители, тъй като секторно законодателство на ЕС вече изискваше механизми за сигнализиране.

Компаниите с между 50 и 249 служители се възползваха от по-късен срок за транспониране в няколко държави членки, но този гратисен период е изтекъл почти навсякъде — неспазването вече не е въпрос на „все още не“, а реален правен риск.

Двата законови срока: 7 дни и 3 месеца

Тук екипите по съответствие най-често грешат, защото не става дума за един срок, а за два, последователни:

1. Потвърждение за получаване — организацията трябва да потвърди на подалия сигнала, че сигналът е получен, в срок от 7 календарни дни.
2. Обратна връзка по сигнала — в срок до 3 месеца от потвърждението (не от подаването), организацията трябва да предостави смислена обратна връзка: какви мерки са предприети или планирани и защо.

Пропускането на който и да е от двата срока не е просто процедурна грешка — в повечето транспозиции е самостоятелно санкционируемо и подкопава основния фактор, определящ дали служителите наистина ще използват вътрешния канал вместо да ескалират външно към регулатор или медии: доверието, че нещо ще се случи.

Анонимно подаване на сигнали: какво реално изисква Директивата

Директивата защитава поверителността на самоличността на подалия сигнала във всички случаи — това не подлежи на договаряне. На държавите членки е оставено да решат дали организациите трябва също да приемат напълно анонимни сигнали (при които самоличността никога не се събира, дори вътрешно).

• Португалия (Lei n.º 93/2021) и Германия (HinSchG) изискват организациите да приемат и обработват анонимни сигнали.
• Други държави членки го оставят по избор, но го позволяват — а на практика предлагането на анонимност значително увеличава броя на сигналите, тъй като премахва основната причина за мълчание: страхът от идентифициране.

Канал, който поддържа само поверително (не анонимно) подаване, е съответстващ в едни държави и несъответстващ в други — което е от значение веднага за всяка компания, работеща в няколко държави.

Санкции при неспазване

Член 23 от Директивата изисква държавите членки да установят санкции, които са „ефективни, пропорционални и възпиращи“ срещу:

• Физически или юридически лица, които възпрепятстват или се опитват да възпрепятстват подаването на сигнал.
• Всеки, който предприема репресии срещу подал сигнал.
• Всеки, който наруши задължението за поверителност на самоличността на подалия сигнала.
• Организации, които не създадат или не поддържат изисквания вътрешен канал.

Точните суми варират според държавата членка — някои определят фиксирани диапазони на административни глоби, други ги обвързват с оборота на компанията, а няколко предвиждат наказателна отговорност специално за репресии срещу подали сигнали. Общото навсякъде е, че „нямахме канал“ се третира като утежняващо обстоятелство, а не като защита.

Национални транспозиции накратко

Всички държави членки са транспонирали Директивата, но детайлите се различават — сроковете, изискванията за анонимност и структурите на санкциите не са еднакви от Лисабон до Хелзинки. Няколко примера: португалският Lei n.º 93/2021, германският HinSchG, френският Loi Waserman, испанският Ley 2/2023 и италианският D.Lgs. 24/2023 добавят местни особености върху европейската основа. Общ канал, изграден за абстрактно „съответствие с ЕС“, често пропуска поне едно от тези местни изисквания — точно празнината, която запълва платформа, проектирана за множество юрисдикции.

Как Vaelo ви помага да постигнете съответствие за минути, не месеци

Vaelo е хоствана платформа за подаване на сигнали, изградена специално около тази Директива и нейните национални транспозиции. Тя ви дава брандиран канал за сигнали с възможност за анонимност, работещ за минути — с автоматично проследявани срокове от 7 дни и 3 месеца, двупосочна анонимна комуникация между подалия сигнал и разследващия, криптирано съхранение на доказателства и табло за управление на случаи, което вашият екип по съответствие реално може да използва под натиска на сроковете, на всичките 24 официални езика на ЕС.

Често задавани въпроси

Кои компании трябва да спазват Директивата на ЕС за защита на лицата, подаващи сигнали? Всяка частна организация с 50 или повече служители и всички публични структури, независимо от размера им, трябва да създадат вътрешен канал за подаване на сигнали съгласно Директива (ЕС) 2019/1937.

Какъв е срокът за потвърждаване на получаването на сигнал? Организациите трябва да потвърдят получаването на сигнал в срок от 7 дни и да предоставят обратна връзка на подалия сигнала в срок до 3 месеца от това потвърждение.

Изисква ли Директивата анонимно подаване на сигнали? Самата Директива оставя анонимното подаване на сигнали като незадължително на ниво ЕС, но няколко национални транспозиции (включително Португалия и Германия) изискват организациите да приемат анонимни сигнали и да защитават самоличността на подалия сигнала докрай.

Какво се случва, ако компания не спазва Директивата? Член 23 изисква държавите членки да определят ефективни, пропорционални и възпиращи санкции; на практика това варира от административни глоби до наказателна отговорност за репресии срещу подалите сигнали, в зависимост от националното законодателство.