EU Direktiva o zaštiti prijavitelja: što svaka tvrtka mora znati

Svaka privatna tvrtka s 50 ili više zaposlenika, kao i svako tijelo javnog sektora bez obzira na veličinu, zakonski je obvezna uspostaviti interni kanal za prijavu prema Direktivi (EU) 2019/1937 — s rokom od 7 dana za potvrdu primitka prijava i 3 mjeseca za njihovo rješavanje.

Ključne točke

• Direktiva se primjenjuje na privatne tvrtke s 50+ zaposlenika i sva tijela javnog sektora, bez obzira na veličinu.
• Prijave se moraju potvrditi u roku od 7 dana i imati povratnu informaciju najkasnije u roku od 3 mjeseca.
• Anonimno prijavljivanje nije obvezno prema samoj Direktivi, ali nekoliko nacionalnih zakona (Portugal, Njemačka) to zahtijeva.
• Kazne za neusklađenost moraju biti "učinkovite, proporcionalne i odvraćajuće" (članak 23.) — u praksi to uključuje novčane kazne i, u nekim zemljama, kaznenu odgovornost za odmazdu.
• Svaka država članica prenijela je Direktivu sa svojim posebnostima — generički kanal nije dovoljan ako zanemaruje lokalne zahtjeve.

Tko mora biti usklađen

Direktiva (EU) 2019/1937, donesena u listopadu 2019., uspostavlja zajednički europski standard za zaštitu osoba koje prijavljuju kršenja prava EU-a uočena u radnom kontekstu. Njezino je područje primjene namjerno široko:

• Privatne tvrtke s 50 ili više zaposlenika — prag koji obuhvaća većinu srednjih i velikih poduzeća.
• Sva tijela javnog sektora, uključujući u nekim državama članicama općine s manje od 10.000 stanovnika, bez minimalnog broja zaposlenika.
• Određeni regulirani sektori (financijske usluge, sigurnost prometa, sprječavanje pranja novca), čak i ispod praga od 50 zaposlenika, jer je sektorsko zakonodavstvo EU-a već zahtijevalo mehanizme prijavljivanja.

Tvrtke s 50 do 249 zaposlenika u nekoliko su država članica imale koristi od kasnijeg roka za prenošenje, ali taj je prijelazni period gotovo posvuda istekao — neusklađenost više nije pitanje "još ne", već stvarna pravna izloženost.

Dva zakonska roka: 7 dana i 3 mjeseca

Ovdje timovi za usklađenost najčešće griješe, jer ne postoji jedan rok, već dva, i oni su uzastopni:

1. Potvrda primitka — organizacija mora prijavitelju potvrditi da je prijava primljena, u roku od 7 kalendarskih dana.
2. Povratna informacija o prijavi — najkasnije 3 mjeseca nakon potvrde primitka (ne od izvornog podnošenja), organizacija mora prijavitelju dati smislenu povratnu informaciju: koje su mjere poduzete ili planirane, i zašto.

Propuštanje bilo kojeg od ta dva roka nije samo proceduralni propust — u većini transpozicija samostalno je kažnjivo, a nagriza i ključni čimbenik koji određuje hoće li zaposlenici uistinu koristiti interni kanal umjesto eskalacije prema regulatoru ili medijima: povjerenje da će se nešto dogoditi.

Anonimno prijavljivanje: što Direktiva zapravo zahtijeva

Direktiva u svim slučajevima štiti povjerljivost identiteta prijavitelja — to nije podložno pregovorima. Državama članicama prepušteno je hoće li organizacije morati prihvaćati i potpuno anonimne prijave (kod kojih se identitet nikada ne prikuplja, čak ni interno).

• Portugal (Lei n.º 93/2021) i Njemačka (HinSchG) zahtijevaju od organizacija da prihvaćaju i obrađuju anonimne prijave.
• Druge države članice to ostavljaju neobveznim, ali dopuštaju — a u praksi, omogućavanje anonimnosti znatno povećava broj prijava jer uklanja glavni razlog šutnje: strah od prepoznavanja.

Kanal koji podržava samo povjerljivo (ne anonimno) prijavljivanje usklađen je u nekim zemljama, a u drugima nije — što je odmah relevantno za svaku tvrtku koja posluje u više zemalja.

Kazne za neusklađenost

Članak 23. Direktive zahtijeva od država članica da propišu kazne koje su "učinkovite, proporcionalne i odvraćajuće" protiv:

• Fizičkih ili pravnih osoba koje ometaju ili pokušavaju ometati prijavljivanje.
• Svakoga tko poduzima odmazdu protiv prijavitelja.
• Svakoga tko krši obvezu čuvanja povjerljivosti identiteta prijavitelja.
• Organizacija koje ne uspostave ili ne održavaju obvezni interni kanal.

Točni iznosi razlikuju se ovisno o državi članici — neke propisuju fiksne raspone upravnih novčanih kazni, druge ih vezuju uz promet tvrtke, a nekoliko njih predviđa kaznenu odgovornost posebno za odmazdu protiv prijavitelja. Ono što je posvuda dosljedno jest da se "nismo imali kanal" tretira kao otegotna okolnost, a ne kao obrana.

Nacionalne transpozicije ukratko

Sve su države članice prenijele Direktivu, ali se pojedinosti razlikuju — rokovi, zahtjevi za anonimnost i strukture kazni nisu identični od Lisabona do Helsinkija. Nekoliko primjera: portugalski Lei n.º 93/2021, njemački HinSchG, francuski Loi Waserman, španjolski Ley 2/2023 i talijanski D.Lgs. 24/2023 dodaju lokalne posebnosti na europsku osnovu. Generički kanal, izgrađen za apstraktnu "usklađenost s EU-om", često propušta barem jedan od tih lokalnih zahtjeva — upravo tu prazninu popunjava platforma namijenjena više jurisdikcija.

Kako vam Vaelo pomaže postići usklađenost za minute, a ne mjesece

Vaelo je hostirana platforma za prijavljivanje, izgrađena posebno oko ove Direktive i njezinih nacionalnih transpozicija. Omogućuje vam brendirani kanal za prijavu s mogućnošću anonimnosti, spreman za minute — s automatski praćenim rokovima od 7 dana i 3 mjeseca, dvosmjernom anonimnom komunikacijom između prijavitelja i istražitelja, šifriranom pohranom dokaza i nadzornom pločom za upravljanje slučajevima koju vaš tim za usklađenost stvarno može koristiti pod pritiskom rokova, na svih 24 službena jezika EU-a.

Često postavljana pitanja

Koje tvrtke moraju biti usklađene s EU Direktivom o zaštiti prijavitelja? Svaka privatna organizacija s 50 ili više zaposlenika, te sva tijela javnog sektora bez obzira na veličinu, moraju uspostaviti interni kanal za prijavu prema Direktivi (EU) 2019/1937.

Koji je rok za potvrdu primitka prijave? Organizacije moraju potvrditi primitak prijave u roku od 7 dana i dati povratnu informaciju prijavitelju najkasnije 3 mjeseca nakon te potvrde.

Zahtijeva li Direktiva anonimno prijavljivanje? Sama Direktiva ostavlja anonimno prijavljivanje neobveznim na razini EU-a, ali nekoliko nacionalnih transpozicija (uključujući Portugal i Njemačku) zahtijeva da organizacije prihvaćaju anonimne prijave i u potpunosti zaštite identitet prijavitelja.

Što se događa ako tvrtka ne poštuje Direktivu? Članak 23. zahtijeva da države članice propišu učinkovite, proporcionalne i odvraćajuće kazne; u praksi to varira od upravnih novčanih kazni do kaznene odgovornosti za odmazdu protiv prijavitelja, ovisno o nacionalnom pravu.