Unijna dyrektywa o sygnalistach: co musi wiedzieć każda firma

Każda prywatna firma zatrudniająca 50 lub więcej pracowników oraz każdy podmiot sektora publicznego, niezależnie od wielkości, jest prawnie zobowiązana do prowadzenia wewnętrznego kanału zgłoszeń zgodnie z dyrektywą (UE) 2019/1937 — z terminem 7 dni na potwierdzenie przyjęcia zgłoszeń i 3 miesięcy na ich rozpatrzenie.

Najważniejsze wnioski

• Dyrektywa dotyczy prywatnych firm zatrudniających 50+ pracowników oraz wszystkich podmiotów sektora publicznego, niezależnie od wielkości.
• Zgłoszenia muszą zostać potwierdzone w ciągu 7 dni, a odpowiedź udzielona w maksymalnym terminie 3 miesięcy.
• Sama dyrektywa nie wymaga anonimowego zgłaszania, ale kilka krajowych ustaw (Portugalia, Niemcy) tego wymaga.
• Kary za brak zgodności muszą być „skuteczne, proporcjonalne i odstraszające” (artykuł 23) — w praktyce obejmuje to kary pieniężne, a w niektórych krajach odpowiedzialność karną za działania odwetowe.
• Każde państwo członkowskie wdrożyło dyrektywę z własnymi specyfikami — ogólny kanał nie wystarczy, jeśli ignoruje lokalne wymogi.

Kogo to dotyczy

Dyrektywa (UE) 2019/1937, przyjęta w październiku 2019 r., ustanawia wspólny europejski standard ochrony osób zgłaszających naruszenia prawa UE stwierdzone w kontekście związanym z pracą. Jej zakres jest celowo szeroki:

• Prywatne firmy zatrudniające 50 lub więcej pracowników — próg obejmujący większość średnich i dużych organizacji.
• Wszystkie podmioty sektora publicznego, w niektórych państwach członkowskich w tym gminy liczące mniej niż 10 000 mieszkańców, bez minimalnej liczby pracowników.
• Określone regulowane sektory (usługi finansowe, bezpieczeństwo transportu, przeciwdziałanie praniu pieniędzy), nawet poniżej progu 50 pracowników, ponieważ sektorowe prawo UE już wymagało mechanizmów zgłaszania.

Firmy zatrudniające od 50 do 249 pracowników skorzystały w kilku państwach członkowskich z późniejszego terminu wdrożenia, ale ten okres przejściowy wygasł już niemal wszędzie — brak zgodności to już nie kwestia „jeszcze nie”, lecz realne ryzyko prawne.

Dwa ustawowe terminy: 7 dni i 3 miesiące

To tutaj zespoły compliance popełniają najwięcej błędów, ponieważ nie chodzi o jeden termin, lecz o dwa, następujące po sobie:

1. Potwierdzenie przyjęcia — organizacja musi potwierdzić sygnaliście, że zgłoszenie zostało przyjęte, w ciągu 7 dni kalendarzowych.
2. Informacja zwrotna dotycząca zgłoszenia — w maksymalnym terminie 3 miesięcy od potwierdzenia (a nie od pierwotnego zgłoszenia), organizacja musi przekazać sygnaliście merytoryczną informację zwrotną: jakie działania zostały podjęte lub są planowane i dlaczego.

Przekroczenie któregokolwiek z tych terminów to nie tylko błąd proceduralny — w większości implementacji podlega samodzielnej sankcji i osłabia najważniejszy czynnik decydujący o tym, czy pracownicy rzeczywiście korzystają z kanału wewnętrznego zamiast zgłaszać się bezpośrednio do organu regulacyjnego lub mediów: zaufanie, że coś się wydarzy.

Anonimowe zgłaszanie: czego naprawdę wymaga dyrektywa

Dyrektywa w każdym przypadku chroni poufność tożsamości sygnalisty — to nie podlega negocjacjom. Do uznania państw członkowskich pozostawiono, czy organizacje muszą również przyjmować w pełni anonimowe zgłoszenia (w których tożsamość nigdy nie jest rejestrowana, nawet wewnętrznie).

• Portugalia (Lei n.º 93/2021) i Niemcy (HinSchG) wymagają, aby organizacje przyjmowały i przetwarzały anonimowe zgłoszenia.
• Inne państwa członkowskie pozostawiają to jako opcjonalne, ale dopuszczają — a w praktyce oferowanie anonimowości znacząco zwiększa liczbę zgłoszeń, ponieważ eliminuje główny powód milczenia: strach przed identyfikacją.

Kanał obsługujący wyłącznie zgłoszenia poufne (nie anonimowe) jest zgodny z prawem w niektórych krajach, a w innych nie — co ma bezpośrednie znaczenie dla każdej firmy działającej w kilku krajach.

Kary za brak zgodności

Artykuł 23 dyrektywy zobowiązuje państwa członkowskie do ustanowienia kar, które są „skuteczne, proporcjonalne i odstraszające”, wobec:

• Osób fizycznych lub prawnych utrudniających lub usiłujących utrudnić zgłaszanie.
• Każdego, kto podejmuje działania odwetowe wobec sygnalisty.
• Każdego, kto narusza obowiązek zachowania poufności tożsamości sygnalisty.
• Organizacji, które nie ustanawiają lub nie utrzymują wymaganego kanału wewnętrznego.

Dokładne kwoty różnią się w zależności od państwa członkowskiego — niektóre ustalają stałe przedziały kar administracyjnych, inne wiążą je z obrotem firmy, a kilka przewiduje odpowiedzialność karną szczególnie za działania odwetowe wobec sygnalistów. Wszędzie obowiązuje jedno: „nie mieliśmy kanału” traktowane jest jako okoliczność obciążająca, a nie jako obrona.

Krajowe implementacje w skrócie

Wszystkie państwa członkowskie wdrożyły dyrektywę, ale szczegóły się różnią — terminy, wymogi dotyczące anonimowości i struktury sankcji nie są identyczne od Lizbony po Helsinki. Kilka przykładów: portugalska Lei n.º 93/2021, niemiecka HinSchG, francuska Loi Waserman, hiszpańska Ley 2/2023 i włoska D.Lgs. 24/2023 dodają lokalną specyfikę do europejskiej podstawy. Ogólny kanał, zbudowany dla abstrakcyjnej „zgodności z UE”, często pomija co najmniej jeden z tych lokalnych wymogów — dokładnie tę lukę wypełnia platforma zaprojektowana dla wielu jurysdykcji.

Jak Vaelo pomaga osiągnąć zgodność w minuty, a nie miesiące

Vaelo to hostowana platforma zgłoszeniowa, zbudowana specjalnie wokół tej dyrektywy i jej krajowych implementacji. Zapewnia markowy, obsługujący anonimowość kanał zgłoszeń działający w kilka minut — z automatycznie monitorowanymi terminami 7 dni i 3 miesięcy, dwukierunkową anonimową komunikacją między sygnalistą a osobą prowadzącą postępowanie, szyfrowanym przechowywaniem dowodów oraz panelem zarządzania sprawami, którego zespół compliance może rzeczywiście używać pod presją terminów, we wszystkich 24 oficjalnych językach UE.

Najczęściej zadawane pytania

Które firmy muszą przestrzegać unijnej dyrektywy o sygnalistach? Każda prywatna organizacja zatrudniająca 50 lub więcej pracowników oraz wszystkie podmioty sektora publicznego, niezależnie od wielkości, muszą utworzyć wewnętrzny kanał zgłoszeń zgodnie z dyrektywą (UE) 2019/1937.

Jaki jest termin na potwierdzenie przyjęcia zgłoszenia? Organizacje muszą potwierdzić przyjęcie zgłoszenia w ciągu 7 dni i przekazać sygnaliście informację zwrotną w maksymalnym terminie 3 miesięcy od tego potwierdzenia.

Czy dyrektywa wymaga anonimowego zgłaszania? Sama dyrektywa pozostawia anonimowe zgłaszanie jako opcjonalne na poziomie UE, ale kilka krajowych implementacji (w tym Portugalia i Niemcy) wymaga, aby organizacje przyjmowały anonimowe zgłoszenia i w pełni chroniły tożsamość sygnalisty.

Co się dzieje, gdy firma nie przestrzega dyrektywy? Artykuł 23 wymaga, aby państwa członkowskie ustanowiły sankcje skuteczne, proporcjonalne i odstraszające; w praktyce obejmuje to zarówno kary administracyjne, jak i odpowiedzialność karną za działania odwetowe wobec sygnalistów, w zależności od prawa krajowego.