Procedura sygnalistów w firmie nie jest wyłącznie wewnętrzną instrukcją porządkową. Ustawa z dnia 14 czerwca 2024 r. o ochronie sygnalistów reguluje między innymi zasady zgłaszania informacji o naruszeniach prawa oraz podejmowania działań następczych. Dlatego przedsiębiorca powinien spojrzeć na procedurę jak na uporządkowany proces: od przyjęcia sygnału, przez ochronę danych, aż po przekazanie informacji zwrotnej.
W tym artykule omawiam praktyczne elementy takiego procesu: obowiązek ustanowienia procedury, wewnętrzne kanały zgłoszeń, zasady poufności, upoważnienia, rejestr zgłoszeń i dalszą obsługę sprawy. Przedstawiony stan oparto na ustawie z 14 czerwca 2024 r. oraz oficjalnych materiałach dostępnych w czasie researchu. Tekst ma charakter edukacyjny i nie zastępuje indywidualnej porady prawnej ani analizy ochrony danych osobowych.
Procedura sygnalistów w firmie – co reguluje i kogo dotyczy
Procedura sygnalistów w firmie powinna określać, jak pracownicy i inne uprawnione osoby mogą przekazywać informacje o naruszeniach prawa, kto odbiera zgłoszenie, jak jest ono rejestrowane oraz jakie działania następcze może podjąć firma. Ważne jest również opisanie praw sygnalisty, ochrony przed działaniami odwetowymi i sposobu przekazywania informacji zwrotnej.
Zgłoszenie wewnętrzne może być przekazane ustnie lub pisemnie. Sama możliwość wysłania wiadomości nie wystarcza jednak do stworzenia działającego rozwiązania. Procedura powinna wskazywać konkretne kanały komunikacji, osoby odpowiedzialne, zasady poufności i sposób dalszego kontaktu. Powinna też uwzględniać sytuacje, w których osoba przyjmująca zgłoszenie może być zaangażowana w opisywaną sprawę.
Co powinna obejmować procedura
W praktyce dokument warto zbudować wokół kilku obszarów:
- zakresu zgłoszeń i informacji, które mogą być przekazywane w ramach procedury;
- konkretnych kanałów zgłoszeń oraz sposobu ich obsługi;
- terminu i sposobu potwierdzenia przyjęcia zgłoszenia;
- zasad ochrony tożsamości sygnalisty i innych osób wskazanych w zgłoszeniu;
- kręgu osób upoważnionych do przyjmowania, weryfikowania i obsługi spraw;
- rodzajów działań następczych oraz sposobu przekazywania informacji zwrotnej.
To zakres elementów wynikających z przedstawionych źródeł. Szczegóły organizacyjne, takie jak skład zespołu czy sposób archiwizacji, powinny odpowiadać strukturze i ryzyku konkretnej firmy.
Kiedy mała firma musi wdrożyć procedurę zgłoszeń wewnętrznych
Co do zasady obowiązek ustanowienia procedury zgłoszeń wewnętrznych i podejmowania działań następczych dotyczy podmiotów prawnych, na rzecz których według stanu na 1 stycznia lub 1 lipca danego roku pracę wykonuje co najmniej 50 osób. Przy ocenie nie należy jednak poprzestawać na samej nazwie firmy ani na uproszczonym założeniu, że każda mała organizacja jest poza zakresem przepisów.
Odrębne obowiązki mogą dotyczyć sektora finansowego, także niezależnie od liczby osób. Próg 50 osób, terminy i ewentualne wyjątki branżowe należy sprawdzić względem aktualnego brzmienia ustawy przed wdrożeniem procedury. Research wykorzystany w tym materiale oparto na ustawie z 14 czerwca 2024 r. oraz oficjalnych materiałach dostępnych w czasie researchu.
Jak ocenić sytuację własnej firmy
Przed rozpoczęciem prac warto przejść przez krótką kolejność pytań:
- Czy firma działa jako podmiot prawny objęty zasadą ogólną?
- Ile osób wykonuje pracę na rzecz podmiotu według stanu na właściwą datę?
- Czy działalność należy do sektora, dla którego mogą obowiązywać szczególne zasady?
- Czy firma chce dobrowolnie uporządkować przyjmowanie sygnałów, nawet jeśli nie jest objęta obowiązkiem wynikającym z progu?
Dobrowolne wdrożenie procedury może uporządkować sposób reagowania na sygnały, ale nie przesądza samo w sobie o spełnieniu wszystkich obowiązków. Konkretna ocena wymaga odniesienia do aktualnych przepisów i sytuacji organizacji.
Jak zaprojektować wewnętrzne kanały zgłoszeń
Wewnętrzne kanały zgłoszeń powinny być opisane w sposób zrozumiały dla osób, które mają z nich korzystać. Ustawa dopuszcza zgłoszenia ustne lub pisemne, natomiast dobór konkretnego rozwiązania zależy od wielkości i struktury firmy. Mała organizacja może rozważyć jeden albo kilka kontrolowanych kanałów, na przykład dedykowany adres e-mail, formularz elektroniczny, kanał elektroniczny, przesyłkę papierową lub spotkanie z wyznaczoną osobą.
Przykłady te nie tworzą zamkniętego katalogu ustawowego. Najważniejsze jest to, aby procedura jasno określała, gdzie zgłoszenie trafia, kto je odbiera, jak zostaje zarejestrowane i jak chroniony jest dostęp do treści. Warto przewidzieć także dalszy kontakt z sygnalistą, jeżeli poda on dane kontaktowe potrzebne do przekazania potwierdzenia lub informacji zwrotnej.
Co opisać przy każdym kanale
Przy każdym kanale należy określić co najmniej:
- konkretnego odbiorcę zgłoszenia i osobę odpowiedzialną za obsługę;
- sposób rejestracji oraz nadania identyfikatora sprawy;
- zasady ograniczenia dostępu do wiadomości, dokumentów i danych;
- sposób potwierdzania przyjęcia zgłoszenia;
- możliwość dalszej komunikacji z sygnalistą;
- rozwiązanie na wypadek nieobecności osoby odpowiedzialnej lub konfliktu interesów.
Trzeba też odróżnić anonimowość od poufności. Kanał poufny chroni tożsamość przed osobami nieupoważnionymi, ale nie oznacza automatycznie, że firma nie zna danych sygnalisty. Procedura nie powinna obiecywać pełnej anonimowości, jeśli organizacja zapewnia wyłącznie poufność.
Poufność i ochrona danych sygnalisty
Ochrona danych sygnalisty nie ogranicza się do nieujawniania jego imienia i nazwiska. Poufność obejmuje również informacje, które pośrednio pozwalają ustalić jego tożsamość. Chronione powinny być także dane osoby, której dotyczy zgłoszenie, oraz osób trzecich wskazanych w jego treści.
Dostęp do zgłoszeń należy ograniczyć do osób, których udział wynika z procedury i które mają odpowiednie upoważnienia. Nie należy automatycznie udostępniać spraw całemu zarządowi, działowi HR ani zespołowi IT. Zakres dostępu powinien wynikać z rzeczywistej roli danej osoby w obsłudze konkretnego zgłoszenia.
Minimalizacja danych w praktyce
Podmiot prawny przetwarza dane osobowe w zakresie niezbędnym do przyjęcia zgłoszenia lub podjęcia działań następczych. W praktyce oznacza to, że rejestr zgłoszeń i dokumentacja sprawy nie powinny stawać się miejscem gromadzenia pełnych kopii dokumentów ani informacji niezwiązanych ze zgłoszeniem.
Dane zebrane przypadkowo, które nie mają znaczenia dla sprawy, należy usunąć w terminie 14 dni od ustalenia ich braku znaczenia. Rejestr i materiały robocze powinny być zabezpieczone przed dostępem osób nieupoważnionych. Procedura powinna opisywać nie tylko przechowywanie dokumentów, ale również odpowiedzialność za ich ochronę i ograniczanie zakresu danych.
Upoważnienia, bezstronność i podział ról
Do przyjmowania i weryfikacji zgłoszeń, podejmowania działań następczych oraz przetwarzania danych mogą być dopuszczone wyłącznie osoby posiadające pisemne upoważnienie podmiotu prawnego. Osoby te są zobowiązane do zachowania tajemnicy także po ustaniu zatrudnienia lub innego stosunku prawnego.
W małej firmie jedna osoba może pełnić kilka funkcji, ale taki model wymaga szczególnej ostrożności. Procedura powinna określać, kto przyjmuje zgłoszenie, kto dokonuje wstępnej weryfikacji, kto prowadzi działania następcze i kto przekazuje informację zwrotną. Nie chodzi o narzucenie jednego składu zespołu, lecz o jasność odpowiedzialności i minimalny dostęp do danych.
Minimalny model odpowiedzialności
Podstawowy model może obejmować:
- wyznaczonego odbiorcę zgłoszeń;
- osobę lub osoby uprawnione do weryfikacji informacji;
- osoby prowadzące działania następcze;
- osobę odpowiedzialną za rejestr i terminy;
- zasady zastępstwa oraz wyłączenia w razie konfliktu interesów.
Osoba, której dotyczy zgłoszenie, nie powinna samodzielnie prowadzić sprawy. Bezstronność trzeba uwzględnić już na etapie projektowania procedury, a nie dopiero po otrzymaniu sygnału.
Rejestr zgłoszeń i obsługa sprawy krok po kroku
Rejestr zgłoszeń pomaga uporządkować sprawy, pilnować terminów i wykazać, jakie działania podjęto. Nie powinien jednak zawierać więcej informacji, niż jest to potrzebne do obsługi konkretnego zgłoszenia. Proces warto opisać jako następujące po sobie etapy:
- Otrzymanie zgłoszenia – odbiorca sprawdza, czy kanał działa i czy zgłoszenie trafiło do właściwej osoby.
- Wstępna weryfikacja i rejestracja – sprawa otrzymuje identyfikator, a zakres zapisanych danych jest ograniczany do niezbędnych informacji.
- Potwierdzenie przyjęcia – sygnaliście należy potwierdzić przyjęcie zgłoszenia w terminie 7 dni od jego otrzymania, chyba że nie podał adresu do kontaktu potrzebnego do przekazania potwierdzenia.
- Działania następcze – firma planuje i prowadzi czynności odpowiednie do sprawy.
- Informacja zwrotna – należy ją przekazać w terminie do 3 miesięcy od dnia potwierdzenia przyjęcia zgłoszenia.
Oś czasu obsługi zgłoszenia
Najważniejsze terminy warto umieścić w procedurze i rejestrze. Po otrzymaniu zgłoszenia firma rejestruje sprawę i ocenia, jakie działania są potrzebne. Potwierdzenie przyjęcia powinno nastąpić w ciągu 7 dni, jeśli istnieje adres do kontaktu. Następnie prowadzone są działania następcze, a informacja zwrotna powinna zostać przekazana najpóźniej w ciągu 3 miesięcy od potwierdzenia przyjęcia.
Informacja zwrotna nie musi oznaczać ostatecznego zakończenia sprawy. Może opisywać działania już podjęte albo planowane, również wtedy, gdy ustalenia nadal trwają. Nie każde zgłoszenie musi zakończyć się potwierdzeniem naruszenia, sankcją czy konkretnym raportem końcowym.
Co może zawierać dokumentacja sprawy
Dokumentacja może obejmować identyfikator sprawy, datę otrzymania zgłoszenia, informacje o potwierdzeniu przyjęcia, istotne ustalenia, podjęte działania i przekazaną informację zwrotną. Forma dokumentu końcowego może wynikać z procedury. Ustawa nie narzuca jednej nazwy takiego dokumentu, dlatego firma może posługiwać się raportem, protokołem, wnioskami lub inną przyjętą formą, o ile odpowiada ona przebiegowi sprawy.
Działania następcze mogą obejmować weryfikację prawdziwości informacji, postępowanie wyjaśniające, kontrolę, czynności zmierzające do przeciwdziałania naruszeniu albo zamknięcie procedury. Dokumentacja powinna pokazywać przebieg obsługi, ale nie powinna zawierać przypadkowych danych niezwiązanych ze zgłoszeniem.
Najczęstsze błędy przy wdrażaniu procedury
Nawet formalnie przyjęta procedura może być trudna do zastosowania, jeśli nie określa odpowiedzialności i zasad dostępu. Ryzyko rośnie również wtedy, gdy firma traktuje dokument jako jednorazowe zadanie, bez sprawdzania, czy kanały, role i terminy odpowiadają rzeczywistej organizacji pracy.
Checklista przed uruchomieniem procedury
Przed uruchomieniem warto sprawdzić:
- czy procedura wskazuje zakres zgłoszeń i konkretne kanały komunikacji;
- czy wiadomo, kto odbiera zgłoszenie i kto może uzyskać dostęp do danych;
- czy osoby uczestniczące w obsłudze mają pisemne upoważnienia i obowiązek tajemnicy;
- czy określono zasady zastępstwa oraz wyłączenia w konflikcie interesów;
- czy rejestr zawiera tylko informacje niezbędne do obsługi sprawy;
- czy procedura uwzględnia potwierdzenie w ciągu 7 dni i informację zwrotną do 3 miesięcy;
- czy opisano działania następcze i sposób dokumentowania ustaleń;
- czy przewidziano okresowy przegląd procedury.
Do typowych błędów należą także udostępnianie zgłoszeń zbyt szerokiemu gronu, brak zasad usuwania danych nieistotnych oraz prowadzenie sprawy przez osobę objętą zgłoszeniem. Dobór kanału, składu zespołu, archiwizacji i zabezpieczeń wymaga oceny ryzyka w konkretnej firmie. W razie potrzeby warto rozważyć konsultację prawną lub konsultację z inspektorem ochrony danych.
Podsumowując, procedura sygnalistów w firmie powinna łączyć sześć elementów: prawidłowe ustalenie obowiązku, jasno opisane kanały zgłoszeń, poufność, pisemne upoważnienia, chroniony rejestr zgłoszeń oraz uporządkowane działania następcze. W obsłudze spraw trzeba pamiętać o potwierdzeniu przyjęcia w ciągu 7 dni i informacji zwrotnej w terminie do 3 miesięcy od potwierdzenia. Przed wdrożeniem należy sprawdzić aktualny stan prawny oraz dopasować rozwiązanie do struktury i ryzyka firmy. Sprawdź inne materiały Łączy nas Biznes i rozwijaj firmę w oparciu o praktyczną, aktualną wiedzę.
