Tryb wprowadzenia procedury

Podmiot zobowiązany do ustalenia procedury zgłoszeń wewnętrznych lub podmiot, który mimo braku obowiązku chce wprowadzić taką procedurę, musi podjąć konsultacje z:

• działającymi w zakładzie organizacjami związkowymi; lub
• przedstawicielami osób świadczących pracę, wyłonionymi w trybie przyjętym w podmiocie, jeżeli nie działa w nim zakładowa organizacja związkowa.

Konsultacje rozpoczynają się od przedstawienia przez pracodawcę projektu procedury zgłoszeń wewnętrznych jednemu z ww. przedstawicielstw pracowniczych. Proces konsultacji powinien trwać co najmniej 5 i nie dłużej niż 10 dni. Warto zauważyć, że wymóg konsultacji nie jest równoważny z wymogiem osiągnięcia porozumienia. Należy go interpretować w ten sposób, że w toku konsultacji strona pracownicza ma możliwość zgłoszenia swoich uwag i zastrzeżeń, wyrażenia opinii, jednak ta opinia nie będzie miała charakteru wiążącego dla pracodawcy.

Po zakończeniu konsultacji pracodawca powinien podać procedurę do wiadomości osób świadczących pracę, w sposób przyjęty w danym zakładzie. Procedura wejdzie w życie po upływie 7 dni od daty ogłoszenia. Ponadto podmiot, w którym przyjęto procedurę zgłoszeń wewnętrznych, powinien każdorazowo informować o niej osoby, z którymi rozpoczęto negocjacje w sprawie zawarcia umowy lub wobec których rozpoczęto rekrutację.

Co powinna określać procedura zgłoszeń wewnętrznych?

Zgodnie z opublikowanym projektem ustawy procedura zgłoszeń wewnętrznych będzie musiała określać:

1. osobę (np. określony pracownik działu HR) lub jednostkę organizacyjną (np. dział HR) w strukturze pracodawcy albo podmiot zewnętrzny, upoważnione do przyjmowania zgłoszeń wewnętrznych,
2. sposoby przekazywania zgłoszeń wewnętrznych przez sygnalistę wraz z jego adresem korespondencyjnym lub adresem poczty elektronicznej,
3. bezstronną osobę lub jednostkę organizacyjną w strukturze pracodawcy, upoważnione do podejmowania działań następczych, w tym weryfikacji zgłoszenia i dalszej komunikacji z sygnalistą, m.in. występowanie o dodatkowe informacje i przekazywanie sygnaliście informacji zwrotnej (to może być ta sama osoba/jednostka co w punkcie a), o ile spełnia wymóg bezstronności),
4. tryb postępowania ze zgłoszeniami anonimowymi,
5. obowiązek potwierdzenia sygnaliście przyjęcia zgłoszenia w terminie 7 dni od dnia jego otrzymania, chyba że sygnalista nie podał adresu do kontaktu,
6. obowiązek podjęcia, z zachowaniem należytej staranności, działań następczych przez jednostkę organizacyjną lub osobę, o których mowa w punkcie c),
7. maksymalny termin na przekazanie sygnaliście informacji zwrotnej, nieprzekraczający 3 miesięcy od daty potwierdzenia otrzymania zgłoszenia lub od upływu 7 dni od dnia dokonania zgłoszenia (jeżeli nie potwierdzono otrzymania zgłoszenia przy zgłoszeniu anonimowym), chyba że sygnalista nie podał adresu do kontaktu,
8. zrozumiałe i łatwo dostępne informacje na temat dokonywania zgłoszeń zewnętrznych do RPO albo organów publicznych oraz do instytucji UE.

Fakultatywnie procedura zgłoszeń wewnętrznych może określać także katalog naruszeń związanych z aktami wewnętrznymi pracodawcy (np. regulaminy, procedury, standardy postępowania), jeżeli pracodawca zdecyduje o możliwości dokonywania tego typu zgłoszeń. Ponadto można zawrzeć w procedurze informacje o czynnikach ryzyka odpowiadających profilowi działalności pracodawcy, sprzyjających możliwości wystąpienia pewnych naruszeń. Projekt ustawy przewiduje także możliwość wskazania w procedurze, że zgłoszenie może być dokonane z pominięciem wewnętrznej procedury, bezpośrednio do RPO albo organu publicznego. Ustawodawca proponuje również ustanowienie systemu zachęt do korzystania z procedury zgłoszeń wewnętrznych. W uzasadnieniu do projektu ustawy autorzy wskazują, że powinny to być zachęty niematerialne, np. w postaci szkoleń, nie nagrody pieniężne.

Sposoby przekazywania zgłoszeń wewnętrznych

W myśl projektu ustawy osoby zatrudnione powinny mieć możliwość dokonywania zgłoszeń ustnie lub pisemnie – w formie papierowej lub elektronicznej (można przewidzieć dodatkowe kanały zgłoszeń). Zgłoszenia ustne mają być dokonywane telefonicznie lub za pośrednictwem środków komunikacji elektronicznej. Każda rozmowa prowadzona przy użyciu rejestrowanej linii powinna być, za zgodą sygnalisty, dokumentowana w postaci:

• nagrania; lub
• transkrypcji dokonanej przez osobę/jednostkę upoważnioną do przyjmowania zgłoszeń.

W przypadku zgłoszeń dokonanych za pośrednictwem nierejestrowanej linii należy udokumentować rozmowę poprzez protokół odtwarzający dokładny przebieg rozmowy, sporządzony przez osobę/jednostkę upoważnioną do przyjmowania zgłoszeń. Sygnalista będzie uprawniony do sprawdzenia, poprawienia i zatwierdzenia transkrypcji rozmowy lub protokołu poprzez jego podpisanie.

Oprócz powyższych sposobów, na wniosek sygnalisty, zgłoszenie ustne może być dokonane podczas bezpośredniego spotkania zorganizowanego w terminie 14 dni od dnia otrzymania takiego wniosku. Takie spotkanie będzie podlegać rejestracji, za zgodą sygnalisty, w postaci nagrania lub protokołu sporządzonego przez osobę/jednostkę upoważnioną do przyjmowania zgłoszeń. Sygnalista otrzyma w stosunku do protokołu spotkania tożsame uprawnienia, co w przypadku transkrypcji lub protokołu, o których mowa powyżej.

Upoważnienie do przyjmowania zgłoszeń wewnętrznych

Na pracodawcy będzie spoczywał obowiązek zagwarantowania przestrzegania przepisów o ochronie danych osobowych w kontekście przyjmowania i przetwarzania zgłoszeń wewnętrznych. Przede wszystkim procedura zgłoszeń wewnętrznych musi uniemożliwiać nieupoważnionym osobom uzyskanie dostępu do informacji objętych zgłoszeniem oraz gwarantować poufność tożsamości sygnalisty, osoby, której dotyczy zgłoszenie, oraz osoby trzeciej wskazanej w zgłoszeniu (chodzi tutaj o wszelkie informacje, które mogłyby prowadzić pośrednio lub bezpośrednio do identyfikacji tych osób).

W związku z powyższym przyjmowanie i weryfikacja zgłoszeń, podejmowanie działań następczych oraz przetwarzanie danych osobowych osób, których dotyczy zgłoszenie, będzie wymagało uzyskania pisemnego upoważnienia pracodawcy. Osoby upoważnione w ten sposób przez pracodawcę będą zobowiązane do zachowania w tajemnicy wszelkich informacji pozyskanych w związku z procesowanymi zgłoszeniami, także po ustaniu zatrudnienia.

Jeżeli pracodawca zdecyduje się powierzyć przyjmowanie zgłoszeń wewnętrznych podmiotowi zewnętrznemu, upoważnienie takiego podmiotu będzie wymagało zawarcia umowy w celu powierzenia obsługi przyjmowania zgłoszeń wewnętrznych, potwierdzania przyjęcia zgłoszenia, przekazywania informacji zwrotnej oraz dostarczania informacji na temat procedury zgłoszeń wewnętrznych z zastosowaniem rozwiązań technicznych i organizacyjnych zapewniających zgodność tych czynności z proponowaną ustawą. Ponadto taka umowa powinna określać prawa i obowiązki podmiotu zewnętrznego związane z przetwarzaniem danych osobowych na podstawie RODO.

Projekt ustawy zakłada, że podmioty, dla których świadczy pracę od 50 do 249 osób, będą mogły dzielić się zasobami w zakresie przyjmowania i weryfikacji zgłoszeń wewnętrznych oraz prowadzenia postępowania wyjaśniającego, ustalając w umowie wspólne zasady dotyczące tych czynności. W takim przypadku jednak każdy z pracodawców pozostanie osobnym administratorem danych pozyskanych w związku z przyjmowaniem i weryfikacją zgłoszeń i nie będzie miał dostępu do danych pozyskanych przez innego administratora (poza sytuacjami, gdy będzie to niezbędne do podjęcia działań następczych przez tego pracodawcę, który nie był w określonym przypadku administratorem). Autorzy projektu przewidzieli także możliwość ustalenia wspólnej procedury zgłoszeń wewnętrznych dla jednostek samorządu terytorialnego.

Co istotne, niezależnie od powierzenia przyjmowania zgłoszeń podmiotowi zewnętrznemu czy zawarcia umowy o wspólnym procesowaniu zgłoszeń z innym pracodawcą, nie zwolni to podmiotu od odpowiedzialności za ustalenie i przestrzeganie procedury zgłoszeń wewnętrznych, w szczególności związanej z zachowaniem poufności, udzieleniem informacji zwrotnej oraz podjęciem działań następczych.

Rejestr zgłoszeń wewnętrznych

Pracodawcy będą zobowiązani do prowadzenia rejestru zgłoszeń wewnętrznych, do którego będą dokonywali wpisów na podstawie dokonanych zgłoszeń. W myśl proponowanej ustawy pracodawca będzie mógł upoważnić do prowadzenia rejestru osobę lub jednostkę wewnętrzną, o których mowa powyżej.

Rejestr powinien zawierać następujące informacje w odniesieniu do każdego dokonanego zgłoszenia:

• numer zgłoszenia,
• przedmiot naruszenia,
• dane osobowe sygnalisty oraz osoby, której dotyczy zgłoszenie, niezbędne do identyfikacji tych osób,
• adres do kontaktu sygnalisty,
• datę dokonania zgłoszenia,
• informację o podjętych działaniach następczych,
• datę zakończenia sprawy.

Okres przechowywania informacji zawartych w rejestrze ma wynosić 3 lata po zakończeniu roku kalendarzowego, w którym zakończono działania następcze, lub po zakończeniu postępowań zainicjowanych tymi działaniami.

dr hab. Marcin Wujczyk, Bartosz Maciejewski