Smernica EÚ o whistleblowingu: čo musí vedieť každá firma

Každá súkromná firma s 50 alebo viac zamestnancami a každý subjekt verejného sektora bez ohľadu na veľkosť je zo zákona povinná prevádzkovať interný oznamovací kanál podľa smernice (EÚ) 2019/1937 — s lehotou 7 dní na potvrdenie prijatia oznámení a 3 mesiacov na ich vyriešenie.

Kľúčové poznatky

• Smernica sa vzťahuje na súkromné firmy s 50+ zamestnancami a na všetky subjekty verejného sektora bez ohľadu na veľkosť.
• Oznámenia musia byť potvrdené do 7 dní a musia dostať odpoveď najneskôr do 3 mesiacov.
• Anonymné oznamovanie nie je podľa samotnej smernice povinné, ale niekoľko národných zákonov (Portugalsko, Nemecko) ho vyžaduje.
• Sankcie za nedodržanie musia byť „účinné, primerané a odrádzajúce“ (článok 23) — v praxi to zahŕňa pokuty a v niektorých krajinách aj trestnú zodpovednosť za odvetné opatrenia.
• Každý členský štát transponoval smernicu s vlastnými špecifikami — všeobecný kanál nestačí, ak ignoruje miestne požiadavky.

Kto musí spĺňať požiadavky

Smernica (EÚ) 2019/1937, prijatá v októbri 2019, stanovuje spoločný európsky štandard na ochranu osôb, ktoré oznamujú porušenia práva EÚ zistené v pracovnom kontexte. Jej rozsah pôsobnosti je zámerne široký:

• Súkromné firmy s 50 alebo viac zamestnancami — hranica, ktorá pokrýva väčšinu stredných a veľkých organizácií.
• Všetky subjekty verejného sektora, v niektorých členských štátoch vrátane obcí s menej ako 10 000 obyvateľmi, bez minimálneho počtu zamestnancov.
• Konkrétne regulované odvetvia (finančné služby, bezpečnosť dopravy, boj proti praniu špinavých peňazí), aj pod hranicou 50 zamestnancov, pretože odvetvová legislatíva EÚ už vyžadovala oznamovacie mechanizmy.

Firmy s 50 až 249 zamestnancami mali vo viacerých členských štátoch výhodu neskoršej lehoty na transpozíciu, ale toto prechodné obdobie takmer všade uplynulo — nesúlad už nie je otázkou „ešte nie“, ale reálnym právnym rizikom.

Dve zákonné lehoty: 7 dní a 3 mesiace

Tu sa compliance tímy mýlia najčastejšie, pretože nejde o jednu lehotu, ale o dve, ktoré na seba nadväzujú:

1. Potvrdenie prijatia — organizácia musí oznamovateľovi potvrdiť, že oznámenie bolo prijaté, do 7 kalendárnych dní.
2. Spätná väzba k oznámeniu — najneskôr do 3 mesiacov od potvrdenia prijatia (nie od pôvodného podania), musí organizácia poskytnúť oznamovateľovi zmysluplnú spätnú väzbu: aké opatrenia boli prijaté alebo sa plánujú, a prečo.

Zmeškanie ktorejkoľvek z týchto lehôt nie je len procesným zlyhaním — vo väčšine transpozícií je samostatne sankcionovateľné a podkopáva najdôležitejší faktor, ktorý určuje, či zamestnanci naozaj využívajú interný kanál namiesto eskalácie priamo k regulátorovi alebo médiám: dôveru, že sa niečo stane.

Anonymné oznamovanie: čo smernica skutočne vyžaduje

Smernica vo všetkých prípadoch chráni dôvernosť identity oznamovateľa — to je nespochybniteľné. Na uváženie členských štátov je ponechané, či organizácie musia prijímať aj úplne anonymné oznámenia (kde sa identita nikdy nezaznamenáva, ani interne).

• Portugalsko (Lei n.º 93/2021) a Nemecko (HinSchG) vyžadujú, aby organizácie prijímali a spracúvali anonymné oznámenia.
• Iné členské štáty to ponechávajú dobrovoľné, ale povoľujú — a v praxi anonymita výrazne zvyšuje počet oznámení, pretože odstraňuje hlavný dôvod mlčania: strach z odhalenia.

Kanál, ktorý podporuje iba dôverné (nie anonymné) oznamovanie, je v niektorých krajinách v súlade a v iných nie — čo je okamžite relevantné pre každú firmu pôsobiacu vo viacerých krajinách.

Sankcie za nedodržanie

Článok 23 smernice vyžaduje, aby členské štáty stanovili sankcie, ktoré sú „účinné, primerané a odrádzajúce“, voči:

• Fyzickým alebo právnickým osobám, ktoré bránia alebo sa pokúšajú brániť oznamovaniu.
• Komukoľvek, kto sa dopustí odvetných opatrení voči oznamovateľovi.
• Komukoľvek, kto poruší povinnosť zachovávať dôvernosť identity oznamovateľa.
• Organizáciám, ktoré nezriadia alebo neudržiavajú požadovaný interný kanál.

Presné sumy sa líšia podľa členského štátu — niektoré stanovujú pevné rozpätia správnych pokút, iné ich viažu na obrat firmy a viaceré zavádzajú trestnú zodpovednosť špecificky za odvetné opatrenia voči oznamovateľom. Všade platí, že „nemali sme kanál“ sa posudzuje ako priťažujúca okolnosť, nie ako obhajoba.

Národné transpozície v skratke

Všetky členské štáty transponovali smernicu, ale detaily sa líšia — lehoty, požiadavky na anonymitu a štruktúry sankcií nie sú od Lisabonu po Helsinki totožné. Niekoľko príkladov: portugalský Lei n.º 93/2021, nemecký HinSchG, francúzsky Loi Waserman, španielsky Ley 2/2023 a taliansky D.Lgs. 24/2023 pridávajú ku spoločnému európskemu základu vlastné miestne špecifiká. Všeobecný kanál navrhnutý pre abstraktný „súlad s EÚ“ často opomína aspoň jednu z týchto miestnych požiadaviek — presne túto medzeru vypĺňa platforma navrhnutá pre viacero jurisdikcií.

Ako vám Vaelo pomôže dosiahnuť súlad za minúty, nie mesiace

Vaelo je hostovaná oznamovacia platforma, postavená špecificky okolo tejto smernice a jej národných transpozícií. Poskytuje vám značkový oznamovací kanál s podporou anonymity, spustený za pár minút — s automaticky sledovanými lehotami 7 dní a 3 mesiacov, obojsmernou anonymnou komunikáciou medzi oznamovateľom a vyšetrovateľom, šifrovaným úložiskom dôkazov a dashboardom na správu prípadov, ktorý váš compliance tím môže skutočne používať pod tlakom termínov, vo všetkých 24 úradných jazykoch EÚ.

Často kladené otázky

Ktoré firmy musia dodržiavať smernicu EÚ o whistleblowingu? Každá súkromná organizácia s 50 alebo viac zamestnancami a všetky subjekty verejného sektora bez ohľadu na veľkosť musia podľa smernice (EÚ) 2019/1937 zriadiť interný oznamovací kanál.

Aká je lehota na potvrdenie prijatia oznámenia? Organizácie musia potvrdiť prijatie oznámenia do 7 dní a poskytnúť oznamovateľovi spätnú väzbu najneskôr do 3 mesiacov od tohto potvrdenia.

Vyžaduje smernica anonymné oznamovanie? Samotná smernica ponecháva anonymné oznamovanie na úrovni EÚ nepovinné, ale niekoľko národných transpozícií (vrátane Portugalska a Nemecka) vyžaduje, aby organizácie prijímali anonymné oznámenia a plne chránili identitu oznamovateľa.

Čo sa stane, ak firma nedodrží smernicu? Článok 23 vyžaduje, aby členské štáty stanovili účinné, primerané a odrádzajúce sankcie; v praxi to siaha od správnych pokút po trestnú zodpovednosť za odvetné opatrenia voči oznamovateľom, v závislosti od vnútroštátneho práva.