Vaše organizace potřebuje interní oznamovací kanál, pokud je to soukromá společnost s 50 a více zaměstnanci, subjekt veřejného sektoru jakékoli velikosti, nebo patří mezi úzký okruh regulovaných odvětví (finanční služby, bezpečnost dopravy, boj proti praní peněz, ochrana životního prostředí), která musí mít kanál bez ohledu na počet zaměstnanců podle směrnice (EU) 2019/1937. Pod touto hranicí, v soukromém sektoru a mimo uvedená regulovaná odvětví, v současnosti žádná celoevropská povinnost neplatí – skupiny podniků a malé veřejnoprávní subjekty však mají konkrétní možnost sdílet jeden kanál místo toho, aby si každý budoval vlastní.
Článek 8 odst. 3 směrnice stanoví základní pravidlo: soukromé právnické osoby s 50 a více pracovníky musí zavést vnitřní oznamovací kanál. Co dělá compliance týmům potíže, není samotné číslo, ale způsob výpočtu. Směrnice totiž nepředepisuje jednotný celoevropský vzorec pro „50 zaměstnanců", a vnitrostátní transpozice se proto liší:
Toto je jedna z oblastí, kde se vnitrostátní transpozice liší natolik, že na tom v praxi záleží – kolektiv 55 lidí rozložený na částečné úvazky se může v zemi počítající hlavy ocitnout nad hranicí, zatímco v zemi počítající FTE pod ní.
Pod hranicí 50 zaměstnanců dnes pro čistě soukromou společnost mimo níže uvedená regulovaná odvětví žádná celoevropská povinnost neexistuje. To ale nemusí platit navždy: článek 27 ukládá Evropské komisi pravidelně posuzovat, zda by se rozsah směrnice neměl rozšířit, takže menší společnosti dlouhodobě působící na jednotném trhu by neměly předpokládat, že hranice zůstane navždy stejná.
Článek 8 odst. 1 pro veřejný sektor nestanoví žádnou hranici velikosti. Obce, kraje, státní podniky, univerzity a další veřejnoprávní subjekty musí provozovat vnitřní kanál bez ohledu na to, kolik lidí zaměstnávají. V praxi členské státy využily flexibility, kterou umožňuje článek 8 odst. 6, aby toto pravidlo pro nejmenší místní orgány zmírnily – několik z nich vyjímá obce s méně než 10 000 obyvateli, nebo jim umožňuje sdílet zdroje (více k tomu níže) – výchozí pravidlo je ale nezávislé na velikosti: povinnost vyvolává už samotná skutečnost, že jde o subjekt veřejného sektoru.
7denní zkušební verze zdarma s plným přístupem, bez nutnosti kreditní karty
Článek 8 odst. 4 zavádí výjimku, která zachytí organizace, jež by prostá kontrola počtu zaměstnanců přehlédla. Pokud vaše společnost spadá pod akty EU uvedené v částech I.B a II přílohy směrnice – zjednodušeně řečeno finanční služby, prevence praní peněz a financování terorismu, bezpečnost dopravy a ochrana životního prostředí – musíte mít vnitřní oznamovací kanál i s hrstkou zaměstnanců. Tato odvětví už dříve podléhala oznamovacím povinnostem podle starší odvětvové legislativy EU a směrnice je začleňuje do stejného základního rámce, místo aby pro ně vytvářela samostatný režim. Investiční poradenská firma s 12 zaměstnanci nebo malý dodavatel v oblasti bezpečnosti dopravy tak může mít ze zákona povinnost provozovat úplně stejnou infrastrukturu vnitřního kanálu jako výrobní podnik s 500 zaměstnanci.
Budovat zcela samostatný kanál pro každou právnickou osobu ve skupině je přesně ten typ zátěže, které se směrnice u menších organizací snaží vyhnout. Článek 8 odst. 6 umožňuje členským státům povolit dvěma kategoriím subjektů sdílet zdroje pro přijímání a prošetřování oznámení, místo aby každý provozoval kanál samostatně:
Společnosti s 250 a více zaměstnanci tuto možnost nemají – u subjektů nad touto velikostí směrnice počítá s vlastním vyhrazeným kanálem. To, zda váš členský stát možnost podle článku 8 odst. 6 skutečně zavedl a jak přesně je nastavená, se opět liší podle transpozice – než budete předpokládat, že sdílené řešení je dostupné, stojí za to si to místně ověřit.
Většina nástrojů pro whistleblowing je postavena pro jedinou právnickou osobu, což staví skupiny podniků před nepříjemnou volbu: platit za samostatný účet pro každou dceřinou společnost, nebo nechat všechny subjekty sdílet jednu nerozlišenou schránku, u níž nelze poznat, koho se dané oznámení vlastně týká. Vaelo je postaveno opačně – jeden účet může hostit více oznamovacích kanálů s vlastním brandingem a nezávislým nastavením pro každou dceřinou společnost nebo obec, přičemž oznámení jsou automaticky směrována a spravována po jednotlivých subjektech, a zároveň umožňuje compliance týmu na úrovni skupiny sdílet vyšetřovací zdroje přesně tak, jak to umožňuje článek 8 odst. 6. Získáte tak nákladovou a provozní efektivitu sdíleného kanálu, aniž byste ztratili odpovědnost na úrovni jednotlivých subjektů – spuštěno během několika minut a bez jakéhokoli IT projektu.
Započítávají se do počtu 50 zaměstnanců i zaměstnanci na částečný úvazek? Většinou ano, a to jako celé osoby, nikoli jako zlomky úvazku – menšina členských států ale místo toho používá přepočet na ekvivalent plného úvazku (FTE), takže stejný počet pracovníků může v jedné zemi hranici překročit a v jiné ne. Je proto třeba ověřit konkrétní vnitrostátní transpozici, ne to jen předpokládat.
Musí mít oznamovací kanál subjekty veřejného sektoru bez ohledu na svou velikost? V zásadě ano – článek 8 odst. 1 nestanoví pro veřejný sektor žádnou minimální velikost. Některé členské státy obce s méně než 10 000 obyvateli z povinnosti vyjímají nebo jim nabízejí možnost sdílet zdroje, ale výchozí povinnost platí bez ohledu na velikost.
Která odvětví musí mít kanál i s méně než 50 zaměstnanci? Finanční služby, boj proti praní peněz a financování terorismu, bezpečnost dopravy a ochrana životního prostředí – podle článku 8 odst. 4 a přílohy směrnice. Tato odvětví již dříve podléhala oznamovacím povinnostem podle starší odvětvové legislativy EU.
Může skupina podniků s více dceřinými společnostmi sdílet jeden oznamovací kanál? Ano, u dceřiných společností s 50 až 249 zaměstnanci umožňuje článek 8 odst. 6 členským státům povolit sdílení zdrojů pro příjem a prošetřování oznámení v rámci celé skupiny místo zcela samostatného kanálu pro každý subjekt. Subjekty s 250 a více zaměstnanci tuto možnost nemají.
Co se stane, když moje společnost překročí hranici 50 zaměstnanců v průběhu roku? Většina vnitrostátních transpozic ukládá povinnost od okamžiku, kdy je hranice trvale překročena, často s krátkým přechodným obdobím na zprovoznění kanálu, nikoli s okamžitou lhůtou. Konkrétní podrobnosti (rozhodné datum, délka přechodného období) však závisí na místní právní úpravě – jakmile se růstem přiblížíte hranici, ověřte si to v prováděcí legislativě svého členského státu.
7denní zkušební verze zdarma s plným přístupem, bez nutnosti kreditní karty
Praktický přehled směrnice (EU) 2019/1937: kdo musí splňovat požadavky, zákonné lhůty 7 dní a 3 měsíce, požadavky na oznamovací kanál a sankce za nedodržení.
Směrnice EU stanovuje společný minimální standard, ale německý HinSchG, francouzský Loi Waserman, španělský Ley 2/2023 a portugalský Lei 93/2021 se výrazně liší ve lhůtách, prazích a pokutách. Srovnání pro compliance týmy působící ve více zemích.
GDPR vám nebrání vyšetřit oznámení — určuje, jak na to. Právní základ, práva obviněného vs. důvěrnost oznamovatele, lhůty pro uchování a kdy je nutné DPIA.