Direktiva EU o zaščiti prijaviteljev: kaj mora vedeti vsako podjetje

Vsako zasebno podjetje z 50 ali več zaposlenimi in vsak subjekt javnega sektorja ne glede na velikost je pravno zavezan upravljati notranji prijavni kanal v skladu z Direktivo (EU) 2019/1937 — z rokom 7 dni za potrditev prejema prijav in 3 mesecev za njihovo rešitev.

Ključne ugotovitve

• Direktiva velja za zasebna podjetja z 50+ zaposlenimi in vse subjekte javnega sektorja, ne glede na velikost.
• Prijave je treba potrditi v 7 dneh in nanje odgovoriti najpozneje v 3 mesecih.
• Anonimno prijavljanje ni obvezno po sami direktivi, vendar ga zahtevajo nekateri nacionalni zakoni (Portugalska, Nemčija).
• Kazni za neskladnost morajo biti „učinkovite, sorazmerne in odvračilne“ (člen 23) — v praksi to vključuje globe, v nekaterih državah pa tudi kazensko odgovornost za povračilne ukrepe.
• Vsaka država članica je direktivo prenesla s svojimi posebnostmi — splošen kanal ne zadostuje, če prezre lokalne zahteve.

Kdo mora biti skladen

Direktiva (EU) 2019/1937, sprejeta oktobra 2019, vzpostavlja skupni evropski standard za zaščito oseb, ki prijavijo kršitve prava EU, ugotovljene v delovnem okolju. Njeno področje uporabe je namerno široko:

• Zasebna podjetja s 50 ali več zaposlenimi — prag, ki zajema večino srednje velikih in velikih organizacij.
• Vsi subjekti javnega sektorja, v nekaterih državah članicah vključno z občinami z manj kot 10.000 prebivalci, brez minimalnega števila zaposlenih.
• Določeni regulirani sektorji (finančne storitve, varnost prometa, preprečevanje pranja denarja), tudi pod pragom 50 zaposlenih, ker je sektorska zakonodaja EU že zahtevala mehanizme prijavljanja.

Podjetja s 50 do 249 zaposlenimi so v več državah članicah izkoristila poznejši rok za prenos, vendar je to prehodno obdobje skoraj povsod že poteklo — neskladnost ni več vprašanje „še ne“, temveč resnično pravno tveganje.

Dva zakonska roka: 7 dni in 3 mesece

Tu se ekipe za skladnost najpogosteje zmotijo, ker ne gre za en rok, temveč za dva, ki si sledita:

1. Potrditev prejema — organizacija mora prijavitelju potrditi, da je bila prijava prejeta, v roku 7 koledarskih dni.
2. Povratna informacija o prijavi — najpozneje v 3 mesecih od potrditve (ne od prvotne predložitve), mora organizacija prijavitelju zagotoviti smiselno povratno informacijo: katere ukrepe je sprejela ali jih načrtuje in zakaj.

Zamuda katerega koli od teh rokov ni le postopkovna napaka — v večini prenosov je samostojno kaznjiva in spodkopava najpomembnejši dejavnik, ki določa, ali zaposleni resnično uporabljajo notranji kanal namesto neposredne eskalacije k regulatorju ali medijem: zaupanje, da se bo nekaj zgodilo.

Anonimno prijavljanje: kaj direktiva dejansko zahteva

Direktiva v vseh primerih ščiti zaupnost identitete prijavitelja — to ni predmet pogajanj. Državam članicam je prepuščeno, ali morajo organizacije sprejemati tudi popolnoma anonimne prijave (kjer identiteta nikoli ni zabeležena, niti interno).

• Portugalska (Lei n.º 93/2021) in Nemčija (HinSchG) zahtevata, da organizacije sprejemajo in obravnavajo anonimne prijave.
• Druge države članice to prepuščajo izbiri, vendar to dovoljujejo — v praksi pa ponudba anonimnosti znatno poveča število prijav, saj odpravi glavni razlog za molk: strah pred prepoznavo.

Kanal, ki podpira le zaupno (ne anonimno) prijavljanje, je v nekaterih državah skladen, v drugih pa ne — kar je takoj pomembno za vsako podjetje, ki posluje v več državah.

Kazni za neskladnost

Člen 23 direktive zahteva, da države članice določijo kazni, ki so „učinkovite, sorazmerne in odvračilne“, zoper:

• Fizične ali pravne osebe, ki ovirajo ali poskušajo ovirati prijavljanje.
• Kogar koli, ki sprejme povračilne ukrepe proti prijavitelju.
• Kogar koli, ki krši dolžnost varovanja zaupnosti identitete prijavitelja.
• Organizacije, ki ne vzpostavijo ali ne vzdržujejo zahtevanega notranjega kanala.

Natančni zneski se razlikujejo glede na državo članico — nekatere določijo fiksne razpone upravnih glob, druge jih vežejo na promet podjetja, več pa jih predvideva kazensko odgovornost posebej za povračilne ukrepe proti prijaviteljem. Povsod je skupno, da se „nismo imeli kanala“ obravnava kot oteževalna okoliščina, ne kot obramba.

Nacionalni prenosi na kratko

Vse države članice so prenesle direktivo, vendar se podrobnosti razlikujejo — roki, zahteve glede anonimnosti in strukture kazni od Lizbone do Helsinkov niso enaki. Nekaj primerov: portugalski Lei n.º 93/2021, nemški HinSchG, francoski Loi Waserman, španski Ley 2/2023 in italijanski D.Lgs. 24/2023 vsak dodaja lokalne posebnosti evropski osnovi. Splošen kanal, zgrajen za abstraktno „skladnost z EU“, pogosto spregleda vsaj eno od teh lokalnih zahtev — točno to vrzel zapolni platforma, zasnovana za več jurisdikcij.

Kako vam Vaelo pomaga doseči skladnost v minutah, ne mesecih

Vaelo je gostovana platforma za prijavljanje, zgrajena posebej okoli te direktive in njenih nacionalnih prenosov. V nekaj minutah vam omogoči blagovno znamko podprt, anonimnosti zmožen prijavni kanal — z avtomatsko spremljanimi roki 7 dni in 3 mesecev, dvosmerno anonimno komunikacijo med prijaviteljem in preiskovalcem, šifriranim shranjevanjem dokazov ter nadzorno ploščo za upravljanje primerov, ki jo vaša ekipa za skladnost lahko dejansko uporablja pod pritiskom rokov, v vseh 24 uradnih jezikih EU.

Pogosta vprašanja

Katera podjetja morajo biti skladna z Direktivo EU o zaščiti prijaviteljev? Vsaka zasebna organizacija s 50 ali več zaposlenimi ter vsi subjekti javnega sektorja ne glede na velikost morajo v skladu z Direktivo (EU) 2019/1937 vzpostaviti notranji prijavni kanal.

Kakšen je rok za potrditev prejema prijave? Organizacije morajo potrditi prejem prijave v 7 dneh in prijavitelju zagotoviti povratno informacijo najkasneje v 3 mesecih po tej potrditvi.

Ali direktiva zahteva anonimno prijavljanje? Direktiva sama po sebi na ravni EU pušča anonimno prijavljanje neobvezno, vendar več nacionalnih prenosov (vključno s Portugalsko in Nemčijo) zahteva, da organizacije sprejemajo anonimne prijave in v celoti ščitijo identiteto prijavitelja.

Kaj se zgodi, če podjetje ne upošteva direktive? Člen 23 zahteva, da države članice določijo učinkovite, sorazmerne in odvračilne kazni; v praksi se to giblje od upravnih glob do kazenske odgovornosti za povračilne ukrepe proti prijaviteljem, odvisno od nacionalnega prava.