Ustawy o Ochronie Sygnalistów według Kraju: Niemcy, Francja, Hiszpania i Portugalia

Unijna dyrektywa o sygnalistach ustanawia wspólny minimalny standard, ale przepis, który faktycznie obowiązuje twoją firmę, to ustawa krajowa, którą twoje państwo wykorzystało do jej transpozycji — a te ustawy różnią się terminami, progami i karami. Niemiecki HinSchG, francuska Loi Waserman, hiszpańska Ley 2/2023 i portugalska Lei n.º 93/2021 transponują dyrektywę (UE) 2019/1937, ale zespół ds. zgodności działający w więcej niż jednym z tych krajów nie może po prostu zastosować jednej ogólnej polityki i założyć, że spełnia ona wymogi wszystkich czterech.

Najważniejsze wnioski

• Wszystkie cztery ustawy dzielą ten sam ogólnounijny minimalny standard: wewnętrzny kanał zgłoszeń dla podmiotów z 50 lub więcej pracownikami, poufność tożsamości sygnalisty i zakaz działań odwetowych.
• Terminy i wysokość kar różnią się w zależności od kraju — Portugalia karze brak kanału wewnętrznego grzywną do 125 000 € dla firmy; Hiszpania karze całkowity brak jakiegokolwiek kanału grzywną do 1 000 000 €.
• Niemiecki HinSchG (obowiązujący od 2 lipca 2023 r.) i francuska Loi Waserman (obowiązująca od 1 września 2022 r.) oba wykraczają poza minimum unijne w konkretnych aspektach — Niemcy w zakresie zgłoszeń anonimowych, Francja w zakresie tego, kto uznawany jest za chronionego "lanceur d'alerte".
• Hiszpania utworzyła dedykowany organ regulacyjny — Autoridad Independiente de Protección del Informante (A.A.I.), podczas gdy Portugalia egzekwuje ustawę za pośrednictwem Mecanismo Nacional Anticorrupção (MENAC).
• Grupa działająca w kilku z tych krajów potrzebuje jednego kanału, który dostosowuje swój przepływ pracy do jurysdykcji, a nie czterech odrębnych systemów.

Czego dyrektywa wymaga wszędzie

Dyrektywa (UE) 2019/1937 wyznaczyła państwom członkowskim termin transpozycji do 17 grudnia 2021 r., z dodatkowym okresem przejściowym do 17 grudnia 2023 r. dla podmiotów prywatnych z 50-249 pracownikami na utworzenie kanału wewnętrznego. Każda ustawa krajowa dziedziczy trzy podstawowe obowiązki: potwierdzenie przyjęcia zgłoszenia w ciągu 7 dni, przekazanie informacji zwrotnej sygnaliście w ciągu 3 miesięcy (przedłużalne do 6 w skomplikowanych przypadkach) oraz ochronę tożsamości sygnalisty przed każdym poza osobami zajmującymi się sprawą. Cztery kraje różnią się tym, jak rygorystycznie jest to egzekwowane, co uznaje się za ważne zgłoszenie oraz jak surowe są kary za niezgodność.

Niemcy: HinSchG — szeroki zakres, stopniowane kary

Hinweisgeberschutzgesetz (HinSchG) wszedł w życie 2 lipca 2023 r. Wymaga on wewnętrznego biura przyjmowania zgłoszeń ("interne Meldestelle") dla każdego prywatnego pracodawcy z 50 lub więcej pracownikami, przy czym firmy z 50-249 pracownikami miały czas do 17 grudnia 2023 r. na dostosowanie się. Charakterystyczną cechą niemieckiej ustawy jest to, że kanały wewnętrzne muszą być w stanie przyjmować zgłoszenia anonimowe, chociaż pracodawcy nie są zobowiązani do aktywnego ich poszukiwania. Działania odwetowe lub utrudnianie zgłoszenia mogą być karane grzywną do 50 000 € dla odpowiedzialnej osoby na podstawie § 40 HinSchG, a na podstawie § 30 OWiG ta podstawowa grzywna może zostać pomnożona nawet dziesięciokrotnie — do 500 000 € — gdy sprawcą jest firma. Osobna grzywna do 20 000 € za sam brak kanału weszła w życie 1 grudnia 2023 r., po zakończeniu początkowego okresu przejściowego.

Francja: Loi Waserman — krąg osób chronionych znacznie się poszerzył

Ustawa nr 2022-401 z 21 marca 2022 r., znana jako Loi Waserman, weszła w życie 1 września 2022 r. wraz z rozporządzeniem wykonawczym z 3 października 2022 r. Zmienia ona wcześniejsze ramy Sapin II, zamiast całkowicie je zastępować. Jej najbardziej znacząca zmiana: sygnalista nie musi już działać "désintéressé" (bez osobistego interesu), aby być chronionym — dobra wiara jest teraz wystarczająca. Ustawa rozszerza również ochronę na "facilitateurs" (współpracowników, związki zawodowe lub stowarzyszenia pomagające sygnaliście) oraz na osoby prawne powiązane z sygnalistą. Próg 50 pracowników dotyczy firm oraz podmiotów publicznych i gmin liczących ponad 10 000 mieszkańców. Sankcje dotyczą utrudniania, a nie braku kanału: utrudnianie zgłoszenia karane jest do 1 roku pozbawienia wolności i grzywną 15 000 € na podstawie art. 13 znowelizowanej ustawy Sapin II, a nadużywające lub przewlekłe ("bâillon") postępowanie sądowe przeciwko sygnaliście może teraz skutkować grzywną cywilną do 60 000 €.

Hiszpania: Ley 2/2023 — najwyższe kary i dedykowany organ

Ley 2/2023, de 20 de febrero, wszedł w życie 13 marca 2023 r. i, nietypowo wśród tych czterech krajów, utworzył samodzielny organ regulacyjny: Autoridad Independiente de Protección del Informante, A.A.I., który obsługuje kanał zewnętrzny i posiada uprawnienia sankcyjne, w tym możliwość wykluczenia niezgodnej firmy z zamówień publicznych. Hiszpańska struktura kar jest najsurowsza w grupie: podmioty, które w ogóle nie mają kanału wewnętrznego, lub które popełniają inne naruszenia "muy graves", stają w obliczu kar od 600 001 € do 1 000 000 €. Próg 50 pracowników odzwierciedla minimum unijne, a firmy z 50-249 pracownikami otrzymały ten sam ogólnounijny okres przejściowy.

Portugalia: Lei n.º 93/2021 — najbardziej szczegółowa skala kar

Lei n.º 93/2021, de 20 de dezembro, wszedł w życie 18 czerwca 2022 r. Dotyczy podmiotów prywatnych z 50 lub więcej pracownikami oraz podmiotów publicznych niezależnie od wielkości i wyznacza te same terminy — 7 dni na potwierdzenie i 3 miesiące na rozwiązanie — co podstawa unijna. Artykuł 27 ustawy klasyfikuje naruszenia na dwa poziomy z precyzyjnymi przedziałami kar: naruszenia "bardzo poważne" — w tym utrudnianie zgłoszenia, działania odwetowe, naruszenie poufności lub całkowity brak kanału zewnętrznego — skutkują karami od 1000 € do 25 000 € dla osoby fizycznej lub od 10 000 € do 250 000 € dla osoby prawnej; naruszenia "poważne", w tym zwykły brak kanału wewnętrznego, skutkują karami od 500 € do 12 500 € dla osoby fizycznej lub od 1000 € do 125 000 € dla osoby prawnej. Zarówno niedbalstwo, jak i usiłowanie zmniejszają obowiązującą maksymalną karę o połowę. Egzekwowaniem zajmuje się Mecanismo Nacional Anticorrupção (MENAC).

Jak Vaelo pomaga zachować zgodność we wszystkich czterech jurysdykcjach

Utrzymywanie odrębnych systemów zgłoszeń dla każdego kraju to najczęstszy sposób, w jaki wielonarodowy zespół ds. zgodności marnuje budżet, a mimo to pozostaje z lukami — centrala wdraża politykę spełniającą wymogi HinSchG, ale pomijającą ochronę facilitateurs przewidzianą przez Loi Waserman, albo kanał hiszpańskiej spółki zależnej nie kieruje zgłoszeń tak, jak oczekuje tego AAI. Vaelo jest zbudowana jako jeden kanał, który dostosowuje się do jurysdykcji: każda jednostka biznesowa jest konfigurowana z terminami potwierdzenia i rozwiązania, zasadami przechowywania i ścieżkami eskalacji odpowiadającymi transpozycji jej kraju, podczas gdy twój zespół ds. zgodności utrzymuje jeden panel zamiast czterech odłączonych narzędzi. Jeśli masz już zmapowane obowiązki na poziomie unijnym, nasz przegląd unijnej dyrektywy o sygnalistach obejmuje podstawę, na której opierają się wszystkie te krajowe ustawy.

Najczęściej zadawane pytania

Czy wszystkie kraje UE egzekwują te same zasady dla sygnalistów? Nie. Dzielą ten sam minimalny standard ustanowiony przez dyrektywę (UE) 2019/1937 — próg 50 pracowników, potwierdzenie w ciągu 7 dni i okno rozwiązania 3 miesięcy — ale ustawy krajowe znacznie się różnią wysokością kar, tym, kto kwalifikuje się do ochrony, oraz tym, który organ egzekwuje przepisy.

Który kraj ma najwyższe kary za niezgodność? Hiszpańska Ley 2/2023 ustanawia najwyższy przedział spośród czterech krajów: od 600 001 € do 1 000 000 € dla podmiotów, które w ogóle nie mają kanału lub popełniają inne naruszenia "muy graves".

Czy firma zatrudniająca mniej niż 50 pracowników musi się dostosować? Zasadniczo nie, na podstawie żadnej z czterech ustaw, chyba że działa w sektorze regulowanym (np. usługi finansowe), gdzie specyficzne dla sektora przepisy unijne mogą obniżyć lub znieść próg zatrudnienia.

Czy jeden kanał zgłoszeń może spełnić wymogi wszystkich czterech krajów jednocześnie? Tak, pod warunkiem że kanał jest skonfigurowany według jurysdykcji — odzwierciedlając terminy, zasady przechowywania i integracje z organem każdego kraju — zamiast stosowania jednej ogólnej polityki wobec wszystkich spółek zależnych.

Czy dyrektywa wymaga anonimowego zgłaszania wszędzie? Nie. Dyrektywa unijna pozostawia tę decyzję państwom członkowskim. Niemiecki HinSchG wyraźnie wymaga kanałów zdolnych do przyjmowania zgłoszeń anonimowych; pozostałe trzy ustawy w tym porównaniu wymagają poufności tożsamości, ale nie nakładają powszechnego obowiązku, by kanały akceptowały w pełni anonimowe zgłoszenia.