Nowa dyrektywa unijna o sygnalistach

Grzegorz Lang

Ustanowienie regulacji nie jest równoznaczne z zapewnieniem jej przestrzegania. Często problemem jest samo uzyskanie wiadomości o naruszeniu. Zwykle natomiast takie wiadomości posiadają osoby pracujące wewnątrz organizacji, w której dopuszczono się naruszenia prawa. Stąd od lat dyskutuje się o potrzebie zapewnienia ochrony przed działaniami odwetowymi wobec osób, które gotowe byłyby przekazać takie informacje, czyli tzw. sygnalistów…

W ostatnim czasie ustalony został tekst dyrektywy w sprawie ochrony osób zgłaszających naruszenia prawa Unii[1]. Ponieważ projekt został już podpisany przez przewodniczącego Parlamentu Europejskiego i Przewodniczącego Rady, znamy jego ostateczną treść. Zmian w polskim prawie należy spodziewać się w 2021 roku. Biorąc pod uwagę, że nowe przepisy mogą przynieść zmiany w firmach, także mentalne, warto już dzisiaj zapoznać się z wybranymi rozwiązaniami przyszłej dyrektywy.

Cele nowej dyrektywy

Głównym celem nowej dyrektywy jest poprawa egzekwowania prawa i polityki Unii przez zapewnianie ochrony sygnalistom przed działaniami odwetowymi ze strony podmiotów, których dotyczy „sygnał”. Należy zaznaczyć, że nowe przepisy nie będą mogły osłabić już obowiązującej ochrony (art. 25). Dyrektywa będzie miała zastosowanie do naruszeń aktów prawa unijnego wymienionych w załączniku do dyrektywy (i wdrażającymi je przepisami krajowymi) lub naruszających interesy finansowe Unii, m.in. w obszarze zamówień publicznych, ochrony środowiska i podatków (art. 1 i 2)[2]. Ochroną będą objęci nie tylko pracownicy, ale także zatrudnieni na podstawie umów cywilnoprawnych, akcjonariusze i wspólnicy, członkowie organów organizacji, wolontariusze, stażyści, a nawet osoby pracujące pod nadzorem i kierownictwem wykonawców, dostawców i podwykonawców. Ochrona będzie kontynuowana także po zakończeniu relacji z daną osobą. Co więcej, ochrona obejmie osoby, które dowiedziały się o naruszeniach, ubiegając się o pracę. W niektórych przypadkach chronieni będą pomagający w zgłoszeniu naruszenia prawa i pracodawca zgłaszającego (np. kontrahent firmy, której dotyczy zgłoszenie). Jak widać, katalog osób chronionych jest bardzo szeroki (art. 4). Należy zatem wyraźnie podkreślić, że ochrona nie będzie przysługiwała wyłącznie pracownikom zatrudnionym na podstawie umowy o pracę. W myśl przepisu art. 6 ust. 1 ochronie podlegają osoby, które miały uzasadnione podstawy sądzić, że informacje o naruszeniach są prawdziwe w momencie zgłoszenia i są objęte zakresem stosowania dyrektywy. Z tego przepisu wynika, że zasadność zgłoszenia oceniana będzie z punktu widzenia zgłaszającego. Innymi słowy, sam fakt, że zarzut naruszenia prawa nie potwierdzi się, automatycznie nie pozbawi zgłaszającego ochrony, o ile jego przypuszczenia były rozsądne. Kluczowe jest przy tym, aby zgłoszenie zostało dokonane w „kontekście związanym z pracą”, czyli obecnymi lub przyszłymi działaniami związanymi z pracą, niezależnie od charakteru tych działań (art. 5 pkt 9).

Definicja naruszenia

Szeroka jest również definicja samego naruszenia. Zgodnie z art. 5 pkt 1(i), naruszenie oznacza przede wszystkim działania lub zaniechania, które są niezgodne z wybranymi aktami prawa unijnego. Trzeba podkreślić, że naruszeniami są także działania i zaniechania „sprzeczne z przedmiotem lub celem przepisów zawartych w aktach Unii i dziedzinach objętych zakresem przedmiotowym”. Tak otwarta formuła w wielu sytuacjach będzie mogła skutkować objęciem ochroną osób, zgłaszających naruszenie przepisu prawa polskiego, który wprawdzie nie stanowi wdrożenia przepisu prawa unijnego, ale jest ściśle z nim związany. Co więcej, informacja o naruszeniu może dotyczyć potencjalnych naruszeń, które prawdopodobnie nastąpią, lub prób ukrycia naruszeń (art. 5 pkt 2).
Dalsze przepisy dyrektywy określają sposób i zakres ochrony oraz obowiązki organizacji, w tym przedsiębiorstw. Głównym obowiązkiem organizacji prywatnych, w tym firm, będzie ustanowienie „kanałów i procedur” służących dokonywaniu tzw. zgłoszeń wewnętrznych. „Kanały” powinny umożliwić dokonywanie zgłoszeń na piśmie i ustnie (art. 9 ust. 2). W większości obszarów, w tym w obszarze zamówień publicznych, ochrony środowiska i opodatkowania, ten obowiązek będzie dotyczył zatrudniających od 50 pracowników[3].
Taki obowiązek będzie mógł być nałożony również na mniejsze podmioty podlegające przepisom w dziedzinie zdrowia publicznego i środowiska (art. 8 ust. 7). Bez względu na liczbę zatrudnionych kanały i procedury zgłoszeń będą musiały być ustanowione przez podmioty podlegające regulacjom w zakresie usług, produktów i rynków finansowych, zapobieganiu praniu pieniędzy i finansowaniu terroryzmu (art. 8 ust. 4)[4]. W myśl art. 9 ust. 1 dyrektywy wewnętrzne procedury powinny:

być zaprojektowane, ustanowione i obsługiwane w bezpieczny sposób zapewniający ochronę poufności tożsamości osoby dokonującej zgłoszenia i osoby trzeciej wymienionej w zgłoszeniu oraz uniemożliwiający uzyskanie do nich dostępu nieupoważnionym członkom personelu,
zapewniać osobie dokonującej zgłoszenia potwierdzenie przyjęcia zgłoszenia w terminie siedmiu dni od jego otrzymania,
obejmować wyznaczenie bezstronnej osoby lub bezstronnego wydziału właściwych do podejmowania działań następczych w związku ze zgłoszeniami, czyli działań podjętych przez odbiorcę zgłoszenia lub właściwy organ w celu oceny prawdziwości zarzutów zawartych w zgłoszeniu oraz zaradzenia naruszeniu będącemu przedmiotem zgłoszenia (np. przeprowadzenia dochodzenia wewnętrznego, postępowania wyjaśniającego, wniesienia oskarżenia, odzyskania środków) (art. 2 pkt 12),
zapewniać, że działania następcze są podejmowane z zachowaniem należytej staranności,
zapewniać rozsądny termin na przekazanie informacji zwrotnych, nieprzekraczający trzech miesięcy od potwierdzenia otrzymania zgłoszenia lub, w przypadku niewysłania potwierdzenia do osoby dokonującej zgłoszenia, trzech miesięcy od upływu 7 dni od dokonania zgłoszenia,
zapewniać zrozumiałe i łatwo dostępne informacje na temat procedur na potrzeby dokonywania zgłoszeń zewnętrznych do właściwych organów oraz, w stosownych przypadkach, do instytucji, organów lub jednostek organizacyjnych Unii.

Zgłoszenia mogą być także zewnętrzne, czyli dokonywane organom ustanowionym przez państwo. Takie organy muszą być niezależne i autonomiczne. Przepisy dyrektywy kładą w tym względzie szczególny nacisk na to, aby zewnętrzne kanały dokonywania zgłoszeń zostały zaprojektowane, ustanowione i obsługiwane w sposób zapewniający kompletność, integralność i poufność informacji oraz uniemożliwiający uzyskanie do nich dostępu osobom nieupoważnionym oraz pozwalały na przechowywanie informacji w sposób trwały, aby umożliwić prowadzenie dalszego postępowania wyjaśniającego (art. 11 ust. 1).

Wszystkie podmioty i organy będą zobowiązane do prowadzenia rejestru zgłoszeń (art. 18 ust. 1).

Kluczowym obowiązkiem będzie zachowanie w poufności zarówno tożsamości zgłaszającego, jak i wszelkich innych informacji, na podstawie których można bezpośrednio lub pośrednio go zidentyfikować. Poufne będą także dane osób, których dotyczy zgłoszenie (art. 21 ust. 3). Obowiązek zachowania poufności został nałożony również na osoby, które nie są odpowiedzialne za otrzymywanie zgłoszeń, ale do których takie zgłoszenie trafiło (art. 12 ust. 3). Dostęp do tych informacji będą mogły mieć tylko osoby, którym powierzono przyjmowanie zgłoszeń i podejmowanie działań następczych (art. 16 ust. 1). Informacje będą mogły być jednak ujawnione, gdy będzie to konieczne i obowiązkowe w prowadzonych przez organy władzy postępowaniach wyjaśniających i sądowych (art. 16 ust. 2). Jednocześnie przepis art. 16 ust. 4 zakazuje wykorzystywania i ujawniania informacji zawierających tajemnice przedsiębiorstw, chyba że jest to niezbędne do podejmowania działań następczych.

Przepisy dyrektywy przewidują ochronę osób, które dokonały publicznego ujawnienia naruszeń. Ochrona udzielana będzie takiej osobie w trzech sytuacjach. Po pierwsze, gdy zgłoszenie wewnętrzne lub zewnętrzne nie przyniosło żadnych odpowiednich działań następczych (art. 15 ust. 1 lit. a). Po drugie, gdy zgłaszający ma uzasadnione podstawy sądzić, że naruszenie może stanowić bezpośrednie lub oczywiste zagrożenie dla interesu publicznego, na przykład w przypadku sytuacji wyjątkowej lub ryzyka wystąpienia nieodwracalnej szkody (art. 15 ust. 1 lit. b (i)). Po trzecie, jeżeli zgłaszający ma podstawy sądzić, że w przypadku dokonania zgłoszenia zewnętrznego grozić mu będą działania odwetowe lub istnieje niewielkie prawdopodobieństwo skutecznego zaradzenia naruszeniu z uwagi na szczególne okoliczności sprawy, takie jak możliwość ukrycia lub zniszczenia dowodów, lub możliwość istnienia zmowy między organem a sprawcą naruszenia lub udziału organu w naruszeniu (art. 15 ust. 1 lit. b (ii)).

Jak już wspomniałem na wstępie, celem dyrektywy jest ochrona zgłaszających przed działaniami odwetowymi. Przepis art. 19 przewiduje zakaz działań odwetowych i prób ich podejmowania. Działaniami odwetowymi w rozumieniu dyrektywy są w szczególności:

zawieszenie, skierowanie na przymusowy urlop bezpłatny, zwolnienie lub inne równoważne środki,
degradacja lub wstrzymanie awansu,
przekazanie obowiązków, zmiana miejsca pracy, obniżenie wynagrodzenia, zmiana godzin pracy,
wstrzymanie szkoleń,
negatywna ocena wyników lub negatywna opinia o pracy,
nałożenie lub zastosowanie jakiegokolwiek środka dyscyplinarnego, nagana lub inna kara, w tym finansowa,
przymus, zastraszanie, mobbing lub wykluczenie,
dyskryminacja, niekorzystne lub niesprawiedliwe traktowanie,
nieprzekształcenie umowy o pracę na czas określony w umowę o pracę na czas nieokreślony, gdy pracownik mógł mieć uzasadnione oczekiwania, że zostanie mu zaoferowane stałe zatrudnienie,
nieprzedłużenie lub wcześniejsze rozwiązanie umowy o pracę na czas określony,
wyrządzenie innej szkody, w tym nadszarpnięcie reputacji danej osoby, zwłaszcza w mediach społecznościowych, lub strat finansowych, w tym strat gospodarczych i utraty dochodu,
umieszczenie na czarnej liście na podstawie nieformalnego lub formalnego porozumienia sektorowego lub branżowego, co może skutkować tym, że dana osoba nie znajdzie w przyszłości zatrudnienia w danym sektorze lub branży,
wcześniejsze rozwiązanie lub wypowiedzenie umowy dotyczącej towarów lub umowy o świadczenie usług,
odebranie licencji lub zezwolenia,
skierowanie na badania psychiatryczne lub lekarskie.

Ochrona przed działaniami odwetowymi

Przedsiębiorcy powinni zwrócić szczególną uwagę na przepisy dotyczące środków ochrony przed działaniami odwetowymi. Przede wszystkim przepis art. 21 ust. 1 przewiduje, że osoby dokonujące zgłoszenia lub ujawnienia publicznego w trybie przewidzianym dyrektywą nie naruszają żadnych ograniczeń w zakresie ujawniania informacji i nie ponoszą żadnej odpowiedzialności w związku z takim zgłoszeniem lub ujawnieniem publicznym, pod warunkiem że miały uzasadnione podstawy sądzić, że zgłoszenie lub ujawnienie publiczne jest niezbędne do ujawnienia naruszenia. Osoby dokonujące zgłoszenia będą także zwolnione z odpowiedzialności za uzyskanie informacji będących przedmiotem zgłoszenia lub ujawnienia publicznego. Wyjątek stanowi uzyskanie lub dostęp do informacji, który stanowi odrębny czyn zabroniony. W preambule do dyrektywy podano przykłady takich sytuacji. Przykładowo, zwolnione z odpowiedzialności będą osoby, które uzyskały informację poprzez dostęp do poczty elektronicznej współpracownika lub plików, z których zwykle nie korzystają w swojej pracy, poprzez zrobienie zdjęć pomieszczeń organizacji lub poprzez dostęp do miejsc, do których nie mają zwykle dostępu. Natomiast w przypadku uzyskania informacji, dokumentów lub dostępu do nich w drodze przestępstwa, jak fizyczne wtargnięcie lub hakowanie, odpowiedzialność karna nadal będzie regulowana właściwym prawem krajowym (motyw 92 preambuły). Dyrektywa zwalnia z odpowiedzialności także w postępowaniach, które mogą być powiązane z przedmiotem zgłoszenia, np. dotyczących zniesławienia, naruszenia praw autorskich, naruszenia tajemnicy, naruszenia przepisów o ochronie danych, naruszenia tajemnicy przedsiębiorstwa lub roszczeń odszkodowawczych. Zgłaszający będą mogli wystąpić o umorzenie takich „powiązanych” postępowań, jeżeli miały podstawy sądzić, że zgłoszenie lub ujawnienie było niezbędne do ujawnienia naruszenia (art. 21 ust. 7 ak. 1). Dokonanie zgłoszenia lub ujawnienia publicznego zgodnie z dyrektywą zwolni także z odpowiedzialności za naruszenie tajemnicy przedsiębiorstwa. W myśl art. 21 ust. 7 ak. 2, zgłoszenie lub ujawnienie publiczne zawierające informacje objęte tajemnicą przedsiębiorstwa uznaje się bowiem za zgodne z prawem[5] (zob. art. 3 ust. 1 ustawy o zwalczaniu nieuczciwej konkurencji)[6].

Bardzo ważnym rozwiązaniem jest wzruszalne domniemanie, że szkoda wyrządzona osobie dokonującej zgłoszenie została wyrządzona w ramach działań odwetowych za zgłoszenie lub ujawnienie publiczne. Ciężar dowodu, że działania były uzasadnione i nie miały związku ze zgłoszeniem lub ujawnieniem, spoczywać będzie na osobie podejmującej te działania (art. 21 ust. 5). Innym rozwiązaniem w interesie zgłaszających (ujawniających) będzie ustawowy zakaz zrzeczenia się praw i środków ochrony prawnej przewidzianych w dyrektywie. Zakaz będzie obowiązywał także w postępowaniach pozasądowych, np. arbitrażowych (art. 24). Ponadto dyrektywa przewiduje ustanowienie mechanizmów wsparcia dla zgłaszających, np. poradnictwa i pomocy prawnej (art. 20 ust. 1).

Sankcje za złamanie postanowień dyrektywy

Przepis art. 23 nakazuje państwom członkowskim ustanowienie skutecznych, proporcjonalnych i odstraszających sankcji wobec osób fizycznych lub prawnych za złamanie postanowień dyrektywy. Sankcjami mają być zagrożone co najmniej: utrudnianie lub usiłowanie utrudniania dokonywania zgłoszeń, podejmowanie działań odwetowych wobec zgłaszających lub ujawniających, wszczynanie uciążliwych postępowań wobec tych osób, naruszenia poufności tożsamości osób dokonujących zgłoszenia (art. 23 ust. 1). Sankcjom i odpowiedzialności odszkodowawczej podlegać będą także osoby, które świadomie dokonały zgłoszenia lub ujawnienia nieprawdziwych informacji (art. 23 ust. 2).
Wstępnie można ocenić, że prawodawca unijny wyraźnie staje po stronie sygnalistów, w praktyce roztaczając nad nimi szeroki parasol ochronny. Należy jednak podkreślić, że podstawową przesłanką zastosowania nowych przepisów będzie to, że zgłoszenie lub ujawnienie naruszenia prawa jest prawdziwe, a przynajmniej były podstawy, by sądzić, że jest prawdziwe. Oczywiście nie sposób dzisiaj stwierdzić, czy praktyka stosowania przepisów będzie dla sygnalistów wyrozumiała czy rygorystyczna. Liberalne podejście sądów będzie rodziło istotne ryzyka dla firm, bowiem szkody wynikłe z nieprawdziwego oskarżenia o naruszenie prawa mogą być znaczne. Z tego względu niewątpliwie ważne będzie, z jednej strony, ustanowienie rzetelnych kanałów dla zgłoszeń wewnętrznych, a z drugiej – wzmocnienie ochrony kluczowych tajemnic przedsiębiorstw. Jeżeli pracownicy i kontrahenci będą mieli zaufanie do wewnętrznych procedur, będzie można zapobiec niepotrzebnej eskalacji zagrożeń. Nie można jednak wykluczyć, że nowe instytucje będą wykorzystywane do wymuszania szczególnych i nieuzasadnionych korzyści. Stąd istotne będzie zwiększenie kontroli nad przepływem informacji i dokumentami w firmach, aby dostęp do nich miały tylko osoby, które faktycznie ich potrzebują.

[1]Wniosek Dyrektywa Parlamentu Europejskiego i Rady w sprawie ochrony osób zgłaszających przypadki naruszenia prawa Unii, COM (2018) 218; PE 78 2019 REV 1.

[2]Załącznik do dyrektywy wymienia kilkadziesiąt aktów prawa unijnego w dziedzinach: (i) zamówienia publiczne; (ii) usługi, produkty i rynki finansowe oraz zapobieganie praniu pieniędzy i finansowaniu terroryzmu; (iii) bezpieczeństwo produktów i ich zgodność z wymogami; (iv) bezpieczeństwo transportu; (v) ochrona środowiska; (vi) ochrona radiologiczna i bezpieczeństwo jądrowe; (vii) bezpieczeństwo żywności i pasz, zdrowie i dobrostan zwierząt; (viii) zdrowie publiczne; (ix) ochrona konsumentów; (x) ochrona prywatności i danych osobowych oraz bezpieczeństwo sieci i systemów informacyjnych.

[3]Podmioty prywatne zatrudniające od 50 do 249 osób będą miały odroczony obowiązek ustanawiania wewnętrznych kanałów; będzie on odroczony o 4 lata, czyli prawdopodobnie do 2023 r.

[4]Podmiotami zobowiązanymi są m.in. przedsiębiorcy w rozumieniu ustawy z dnia 6 marca 2018 r. – Prawo przedsiębiorców w zakresie, w jakim przyjmują lub dokonują płatności za towary w gotówce o wartości równej lub przekraczającej równowartość 10 000 euro, bez względu na to, czy transakcja jest przeprowadzana jako pojedyncza operacja, czy kilka operacji, które wydają się ze sobą powiązane (art. 2 pkt 23 ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, Dz. U. z 2019, poz. 1115 z późn. zm.).

[5]O ile spełnione zostaną warunki przewidziane w art. 3 ust. 2 dyrektywy (UE) 2016/943: „2. Pozyskiwanie, wykorzystywanie lub ujawnianie tajemnicy przedsiębiorstwa uznaje się za zgodne z prawem w zakresie, w jakim takiego pozyskiwania, wykorzystywania lub ujawniania wymaga prawo unijne lub krajowe lub w jakim na nie zezwala”. Dyrektywa Parlamentu Europejskiego i Rady (UE) 2016/943 z dnia 8 czerwca 2016 r. w sprawie ochrony niejawnego know-how i niejawnych informacji handlowych (tajemnic przedsiębiorstwa) przed ich bezprawnym pozyskiwaniem, wykorzystywaniem i ujawnianiem, Dz. Urz. L 157 z 15.06.2016, s. 1.

[6]Art. 3. 1. Czynem nieuczciwej konkurencji jest działanie sprzeczne z prawem lub dobrymi obyczajami, jeżeli zagraża lub narusza interes innego przedsiębiorcy lub klienta (podkreślenie autora, Dz. U. z 2019 r., poz. 1010 i 1649).