EU visszaélés-bejelentési irányelv: amit minden vállalatnak tudnia kell

Minden legalább 50 munkavállalót foglalkoztató magánvállalatnak és minden közszféra-szervezetnek, méretétől függetlenül, törvényileg kötelező belső bejelentési csatornát üzemeltetnie az (EU) 2019/1937 irányelv alapján — 7 napos határidővel a bejelentések átvételének visszaigazolására és 3 hónapos határidővel azok megoldására.

A legfontosabb tudnivalók

• Az irányelv a legalább 50 főt foglalkoztató magánvállalatokra és minden közszféra-szervezetre vonatkozik, méretüktől függetlenül.
• A bejelentéseket 7 napon belül vissza kell igazolni, és legfeljebb 3 hónapon belül visszajelzést kell adni.
• Az anonim bejelentést maga az irányelv nem írja elő kötelezően, de több nemzeti törvény (Portugália, Németország) igen.
• A meg nem felelés szankcióinak "hatékonynak, arányosnak és visszatartó erejűnek" kell lenniük (23. cikk) — gyakorlatban ez bírságokat, egyes országokban a megtorlásért járó büntetőjogi felelősséget is jelenti.
• Minden tagállam saját sajátosságokkal ültette át az irányelvet — egy általános csatorna nem elég, ha figyelmen kívül hagyja a helyi követelményeket.

Kire vonatkozik

A 2019 októberében elfogadott (EU) 2019/1937 irányelv közös európai minimumszintet határoz meg azok védelmére, akik munkavégzésük során észlelt uniós jogsértéseket jelentenek be. Hatálya szándékosan széles:

• Legalább 50 munkavállalót foglalkoztató magánvállalatok — a küszöbérték, amely a közép- és nagyvállalatok többségét lefedi.
• Minden közszféra-szervezet, egyes tagállamokban a 10 000 lakosnál kisebb önkormányzatokat is beleértve, minimális létszámkorlát nélkül.
• Bizonyos szabályozott ágazatok (pénzügyi szolgáltatások, közlekedésbiztonság, pénzmosás elleni küzdelem) az 50 fős küszöb alatt is, mivel az ágazatspecifikus uniós jogszabályok már korábban is bejelentési mechanizmusokat írtak elő.

Az 50–249 fős vállalatok több tagállamban is később hatályba lépő átültetési határidőt kaptak, de ez az átmeneti időszak szinte mindenhol lejárt — a meg nem felelés már nem a "még nem" kérdése, hanem valós jogi kockázat.

A két jogszabályi határidő: 7 nap és 3 hónap

Itt hibáznak leggyakrabban a compliance csapatok, mert nem egy határidőről van szó, hanem kettőről, amelyek egymásra épülnek:

1. Átvétel visszaigazolása — a szervezetnek 7 naptári napon belül vissza kell igazolnia a bejelentőnek, hogy a bejelentés megérkezett.
2. Visszajelzés a bejelentésről — legfeljebb 3 hónapon belül a visszaigazolástól számítva (nem az eredeti benyújtástól), a szervezetnek érdemi visszajelzést kell adnia a bejelentőnek: milyen intézkedéseket tettek vagy terveznek, és miért.

Bármelyik határidő elmulasztása nem csupán eljárási hiba — a legtöbb átültetésben önállóan is szankcionálható, és aláássa azt a legfontosabb tényezőt, amely meghatározza, hogy a munkavállalók valóban a belső csatornát használják-e a hatóság vagy a sajtó felé történő közvetlen fordulás helyett: azt a bizalmat, hogy történik valami.

Anonim bejelentés: mit ír elő valójában az irányelv

Az irányelv minden esetben védi a bejelentő kilétének bizalmasságát — ez nem alku tárgya. A tagállamok mérlegelésére van bízva, hogy a szervezeteknek el kell-e fogadniuk teljesen anonim bejelentéseket is (ahol a kilétet soha nem rögzítik, még belsőleg sem).

• Portugália (Lei n.º 93/2021) és Németország (HinSchG) megköveteli, hogy a szervezetek fogadják el és kezeljék az anonim bejelentéseket.
• Más tagállamok opcionálissá teszik, de engedélyezik — a gyakorlatban pedig az anonimitás biztosítása jelentősen növeli a bejelentések számát, mivel megszünteti a hallgatás fő okát: a felismeréstől való félelmet.

Egy olyan csatorna, amely csak bizalmas (nem anonim) bejelentést támogat, egyes országokban megfelel, másokban nem — ez azonnal releváns minden több országban működő vállalat számára.

Szankciók a meg nem felelésért

Az irányelv 23. cikke arra kötelezi a tagállamokat, hogy "hatékony, arányos és visszatartó erejű" szankciókat írjanak elő az alábbiakkal szemben:

• Természetes vagy jogi személyek, akik akadályozzák vagy megkísérlik akadályozni a bejelentést.
• Bárki, aki megtorlást alkalmaz egy bejelentővel szemben.
• Bárki, aki megsérti a bejelentő kilétének bizalmas kezelésére vonatkozó kötelezettséget.
• Szervezetek, amelyek nem hozzák létre vagy nem tartják fenn az előírt belső csatornát.

A pontos összegek tagállamonként eltérőek — egyesek rögzített közigazgatási bírságsávokat határoznak meg, mások a vállalat árbevételéhez kötik azokat, többen pedig kifejezetten a bejelentők elleni megtorlásért büntetőjogi felelősséget is előírnak. Mindenhol közös, hogy a "nem volt csatornánk" súlyosbító körülménynek, nem védekezésnek minősül.

Nemzeti átültetések áttekintése

Minden tagállam átültette az irányelvet, de a részletek eltérnek — a határidők, az anonimitási követelmények és a szankciórendszerek nem azonosak Lisszabontól Helsinkiig. Néhány példa: a portugál Lei n.º 93/2021, a német HinSchG, a francia Loi Waserman, a spanyol Ley 2/2023 és az olasz D.Lgs. 24/2023 mind saját helyi sajátosságokat ad az uniós alaphoz. Egy absztrakt "EU-megfelelésre" épített általános csatorna gyakran legalább egy ilyen helyi követelményt figyelmen kívül hagy — pontosan ezt az űrt tölti be egy több joghatóságra tervezett platform.

Hogyan segít a Vaelo percek, nem hónapok alatt megfelelni

A Vaelo egy hosztolt bejelentési platform, amelyet kifejezetten ennek az irányelvnek és nemzeti átültetéseinek figyelembevételével építettek. Perceken belül biztosít egy márkázott, anonimitásra képes bejelentési csatornát — a 7 napos és 3 hónapos határidők automatikus követésével, kétirányú anonim kommunikációval a bejelentő és a vizsgáló között, titkosított bizonyítéktárolással és olyan esetkezelő irányítópulttal, amelyet a compliance csapata valóban tud használni határidőnyomás alatt, az EU mind a 24 hivatalos nyelvén.

Gyakran ismételt kérdések

Mely vállalatoknak kell megfelelniük az EU visszaélés-bejelentési irányelvének? Minden 50 vagy több munkavállalót foglalkoztató magánszervezetnek, valamint minden közszféra-szervezetnek méretétől függetlenül belső bejelentési csatornát kell létrehoznia az (EU) 2019/1937 irányelv alapján.

Mennyi a bejelentés átvételének visszaigazolására vonatkozó határidő? A szervezeteknek 7 napon belül vissza kell igazolniuk a bejelentés átvételét, és legfeljebb 3 hónapon belül visszajelzést kell adniuk a bejelentőnek.

Előírja az irányelv az anonim bejelentést? Maga az irányelv EU-szinten opcionálissá teszi az anonim bejelentést, de több nemzeti átültetés (köztük Portugália és Németország) megköveteli, hogy a szervezetek fogadják el az anonim bejelentéseket, és végig védjék a bejelentő kilétét.

Mi történik, ha egy vállalat nem felel meg az irányelvnek? A 23. cikk arra kötelezi a tagállamokat, hogy hatékony, arányos és visszatartó erejű szankciókat írjanak elő; a gyakorlatban ez közigazgatási bírságoktól a bejelentők elleni megtorlásért járó büntetőjogi felelősségig terjed, a nemzeti jogtól függően.