Twoja organizacja potrzebuje wewnętrznego kanału zgłoszeń dla sygnalistów, jeśli jest firmą prywatną zatrudniającą 50 lub więcej pracowników, podmiotem sektora publicznego dowolnej wielkości albo należy do wąskiej grupy podmiotów regulowanych (usługi finansowe, bezpieczeństwo transportu, przeciwdziałanie praniu pieniędzy, ochrona środowiska), które muszą spełnić ten obowiązek niezależnie od liczby zatrudnionych na mocy dyrektywy (UE) 2019/1937. Poniżej tego progu, w sektorze prywatnym i poza wymienionymi działalnościami regulowanymi, obecnie nie istnieje żaden ogólnounijny obowiązek — choć grupy kapitałowe i małe podmioty publiczne mają możliwość korzystania ze wspólnego kanału zamiast budowania własnego przez każdy podmiot z osobna.
Artykuł 8 ust. 3 dyrektywy wyznacza podstawową zasadę: prywatne podmioty prawne zatrudniające 50 lub więcej pracowników muszą ustanowić wewnętrzny kanał zgłoszeń. Zespoły compliance najczęściej potykają się nie o samą liczbę, lecz o metodę liczenia. Dyrektywa nie narzuca jednej, ogólnounijnej formuły określania „50 pracowników”, dlatego krajowe przepisy wdrażające różnią się między sobą:
To jeden z obszarów, w których różnice między krajowymi przepisami wdrażającymi mają realne znaczenie w praktyce — zespół liczący 55 osób zatrudnionych w niepełnym wymiarze czasu pracy może przekraczać próg w kraju, który liczy pracowników według rzeczywistej ich liczby, a w kraju stosującym przeliczenie na pełne etaty (FTE) mieścić się poniżej niego.
Poniżej 50 pracowników czysto prywatna firma spoza wymienionych dalej sektorów regulowanych nie ma dziś żadnego ogólnounijnego obowiązku. Nie musi tak pozostać na stałe: art. 27 zobowiązuje Komisję Europejską do okresowej oceny, czy zakres dyrektywy powinien zostać rozszerzony, dlatego mniejsze firmy działające od lat na jednym rynku nie powinny zakładać, że próg pozostanie zamrożony na zawsze.
Artykuł 8 ust. 1 nie wyznacza żadnej granicy wielkości dla sektora publicznego. Gminy, władze regionalne, przedsiębiorstwa państwowe, uczelnie i inne podmioty publiczne muszą prowadzić wewnętrzny kanał zgłoszeń niezależnie od liczby zatrudnionych osób. W praktyce państwa członkowskie wykorzystały elastyczność, jaką daje art. 8 ust. 6, aby złagodzić ten wymóg dla najmniejszych jednostek samorządu terytorialnego — kilka z nich zwalnia gminy liczące poniżej 10 000 mieszkańców lub pozwala im łączyć zasoby (więcej na ten temat poniżej) — jednak zasada domyślna jest niezależna od wielkości: to sam fakt bycia podmiotem publicznym uruchamia obowiązek.
7-dniowy bezpłatny okres próbny z pełnym dostępem, karta kredytowa nie jest wymagana
Artykuł 8 ust. 4 wprowadza wyjątek, który obejmuje organizacje niewidoczne przy prostym sprawdzeniu liczby zatrudnionych. Jeśli Twoja firma mieści się w zakresie aktów unijnych wymienionych w częściach I.B i II załącznika do dyrektywy — mówiąc ogólnie: usługi finansowe, przeciwdziałanie praniu pieniędzy i finansowaniu terroryzmu, bezpieczeństwo transportu oraz ochrona środowiska — musisz mieć wewnętrzny kanał zgłoszeń nawet przy garstce pracowników. Sektory te już wcześniej podlegały obowiązkom zgłaszania na mocy wcześniejszych, sektorowych przepisów unijnych, a dyrektywa włącza je do tego samego standardu, zamiast tworzyć odrębny reżim. 12-osobowa firma doradztwa inwestycyjnego albo niewielki podwykonawca zajmujący się bezpieczeństwem transportu mogą mieć prawny obowiązek posiadania dokładnie takiej samej infrastruktury kanału wewnętrznego, jak producent zatrudniający 500 pracowników.
Budowanie w pełni odrębnego kanału dla każdego podmiotu prawnego w grupie to dokładnie ten rodzaj obciążenia, którego dyrektywa stara się unikać w przypadku mniejszych organizacji. Artykuł 8 ust. 6 pozwala państwom członkowskim zezwolić dwóm kategoriom podmiotów na dzielenie zasobów służących przyjmowaniu zgłoszeń i prowadzeniu postępowań wyjaśniających, zamiast prowadzenia własnego kanału przez każdy z nich:
Firmy zatrudniające 250 lub więcej pracowników nie mają tej możliwości — dyrektywa oczekuje, że podmioty powyżej tego progu będą prowadzić własny, dedykowany kanał. To, czy dane państwo członkowskie rzeczywiście wdrożyło opcję z art. 8 ust. 6 i jak dokładnie ją ukształtowało, ponownie zależy od krajowych przepisów wdrażających — zanim założysz, że wspólne rozwiązanie jest dostępne, warto to sprawdzić lokalnie.
Większość narzędzi do obsługi zgłoszeń sygnalistów jest budowana z myślą o jednym podmiocie prawnym, co stawia grupy kapitałowe przed niewygodnym wyborem: płacić za osobne konto dla każdej spółki zależnej albo zmusić wszystkie podmioty do korzystania ze wspólnej, niezróżnicowanej skrzynki, w której nie sposób ustalić, kogo dane zgłoszenie właściwie dotyczy. Vaelo działa odwrotnie — jedno konto może obsługiwać wiele odrębnie oznakowanych i niezależnie skonfigurowanych kanałów zgłoszeń dla poszczególnych spółek zależnych czy gmin, z automatycznym kierowaniem zgłoszeń i prowadzeniem spraw osobno dla każdego podmiotu, a jednocześnie pozwala zespołowi compliance na poziomie grupy wspólnie korzystać z zasobów śledczych dokładnie tak, jak dopuszcza art. 8 ust. 6. Zyskujesz efektywność kosztową i wdrożeniową wspólnego kanału bez utraty rozliczalności na poziomie poszczególnych podmiotów — gotowe w kilka minut, bez potrzeby angażowania projektu IT.
Czy do progu 50 pracowników wlicza się pracowników zatrudnionych w niepełnym wymiarze czasu pracy? Zwykle tak — liczeni są jako całe osoby, a nie części etatu — jednak mniejszość państw członkowskich stosuje zamiast tego przeliczenie na pełne etaty (FTE), przez co ta sama liczba zatrudnionych może w jednym kraju przekraczać próg, a w innym nie. Zamiast zakładać, warto sprawdzić konkretne przepisy krajowe implementujące dyrektywę.
Czy podmioty sektora publicznego muszą mieć kanał zgłoszeń niezależnie od wielkości? Co do zasady tak — art. 8 ust. 1 nie przewiduje minimalnej liczby zatrudnionych dla sektora publicznego. Niektóre państwa członkowskie zwalniają z tego obowiązku gminy liczące poniżej 10 000 mieszkańców lub oferują im możliwość korzystania ze wspólnych zasobów, jednak domyślnie obowiązek obowiązuje niezależnie od wielkości podmiotu.
Które sektory muszą spełniać ten obowiązek nawet przy mniej niż 50 pracownikach? Usługi finansowe, przeciwdziałanie praniu pieniędzy i finansowaniu terroryzmu, bezpieczeństwo transportu oraz ochrona środowiska — zgodnie z art. 8 ust. 4 i załącznikiem do dyrektywy. Sektory te już wcześniej podlegały obowiązkom w zakresie zgłaszania nieprawidłowości na mocy wcześniejszych unijnych przepisów sektorowych.
Czy grupa kapitałowa z kilkoma spółkami zależnymi może korzystać z jednego wspólnego kanału zgłoszeń? Tak — w przypadku spółek zależnych zatrudniających od 50 do 249 pracowników art. 8 ust. 6 pozwala państwom członkowskim zezwolić na wspólne zasoby do przyjmowania zgłoszeń i prowadzenia postępowań wyjaśniających w ramach grupy, zamiast tworzenia w pełni odrębnego kanału dla każdego podmiotu. Podmioty zatrudniające 250 lub więcej pracowników nie mają takiej możliwości.
Co się dzieje, gdy moja firma przekroczy próg 50 pracowników w trakcie roku? Większość krajowych przepisów wdrażających nakłada obowiązek od momentu trwałego przekroczenia progu, często przewidując krótki okres przejściowy na uruchomienie kanału, a nie natychmiastowy termin. Szczegóły — data referencyjna, długość okresu przejściowego — zależą jednak od prawa krajowego, dlatego warto sprawdzić przepisy wdrażające w swoim państwie członkowskim, gdy tylko wzrost zatrudnienia zbliża firmę do progu.
7-dniowy bezpłatny okres próbny z pełnym dostępem, karta kredytowa nie jest wymagana
Praktyczne omówienie dyrektywy (UE) 2019/1937: kogo dotyczy, ustawowe terminy 7 dni i 3 miesięcy, wymagania dotyczące kanału zgłoszeń oraz kary za brak zgodności.
Unijna dyrektywa ustanawia wspólny minimalny standard, ale niemiecki HinSchG, francuska Loi Waserman, hiszpańska Ley 2/2023 i portugalska Lei 93/2021 znacznie różnią się terminami, progami i karami. Porównanie dla zespołów ds. zgodności działających w wielu krajach.
RODO nie zabrania zbadania zgłoszenia — określa, jak to zrobić. Podstawa prawna, prawa osoby, której dotyczy zgłoszenie, vs. poufność sygnalisty, okresy przechowywania i kiedy potrzebna jest OSOD.