Ustawa z dnia 14 czerwca 2024 r. o ochronie sygnalistów (Dz.U. z 2024 r., poz. 928) (dalej: „Ustawa”), która weszła w życie dnia 25 września 2024 r., nie licząc pewnych wyjątków, o których pisaliśmy w poprzednim artykule, a które wejdą w życie 25 grudnia 2024 r., wywołała niemałe zamieszanie, w szczególności po stronie przedsiębiorców zobowiązanych do wdrożenia jej przepisów, którzy muszą zmagać się obecnie z problemami interpretacyjnymi i praktycznymi wyzwaniami związanymi z jej wdrożeniem.

Termin wdrożenia procedury w przedsiębiorstwach

Ustawa o ochronie sygnalistów wprost wskazuje, że jej przepisy wchodzą w życie po upływie 3 miesięcy od jej ogłoszenia, tj. dnia 25 września 2024 r. Jednocześnie jednak zasady objęcia danego przedsiębiorcy obowiązkiem wdrożenia procedury wymagają ustalenia pułapu osób zatrudnionych i współpracujących, co zgodnie z przepisami ustawy, jest możliwe do zrealizowania dopiero dnia 1 stycznia 2025 r. Do kwestii tej odniosło się nieformalnie Ministerstwo Pracy i Polityki Społecznej wskazując, iż właściwym dniem na dostosowanie się do przepisów będzie dopiero 1 stycznia 2025 r., bowiem weryfikacji liczby zatrudnionych dokonuje się dwa razy do roku – 1 lipca i 1 stycznia każdego roku kalendarzowego, tym samym, pierwszym możliwym terminem dokonania weryfikacji i określenia, czy dana firma podlega obowiązkom wynikającym z ustawy będzie dopiero 1 stycznia 2025 r. Powyższe zasady nie dotyczą jednak specjalnych podmiotów objętych obowiązkiem wynikającym z Ustawy, o których mowa poniżej, niezależnie od liczby zatrudnionych.

Z uwagi na to, że organy państwowe nie wydały żadnego oficjalnego stanowiska, przedsiębiorcy dokonują wyboru jednego z wymienionych powyżej terminów i samodzielnie gromadzą argumenty przemawiające za przyjętym przez nich rozwiązaniem. Z uwagi na doniosłość tej kwestii i występujące ryzyka związane z brakiem wdrożenia przepisów ustawy w wymaganym terminie, warto zaczerpnąć w tym zakresie specjalistycznej wiedzy, aby uchronić się przed negatywnymi konsekwencjami przewidzianymi w ustawie.

Określenie pułapu osób zatrudnionych i współpracujących

Kluczową kwestią decydującą o objęciu danego przedsiębiorstwa regulacjami ustawy o ochronie sygnalistów jest ustalenie pułapu osób zatrudnionych i współpracujących, przy czym, w odniesieniu do osób współpracujących, do wskazanego pułapu zaliczane są jedynie osoby, które nie zatrudniają do tego rodzaju pracy innych osób. Jednakże ustalenie tego kto powinien zostać uwzględniony przy określaniu pułapu wynikającego z ustawy rodzi wiele wątpliwości i problemów. Trudno bowiem określić, czy np. dostawca jednorazowej usługi (np. transportowej) powinien być wliczany do puli osób przesądzającej o tym, że w danej firmie procedury dot. sygnalistów należy wdrożyć.

Ponadto, pułap osobowy nie ma zastosowania do przedsiębiorców wykonujących działalność w zakresie usług, produktów i rynków finansowych oraz przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu, bezpieczeństwa transportu i ochrony środowiska, objętych zakresem stosowania aktów prawnych Unii Europejskiej wymienionych w części I.B i II załącznika do dyrektywy 2019/1937. Już samo zapoznanie się z tymi załącznikami jest niemałym wyzwaniem. Co do zasady, przepis ten dotyczy tzw. instytucji zobowiązanych na gruncie ustawy o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu. Takimi podmiotami są m.in. banki, kantory, ubezpieczyciele i inne duże instytucje finansowe, ale także pośrednicy nieruchomości oraz biura rachunkowe świadczące usługi w zakresie prowadzenia ksiąg, doradztwa i rozliczeń podatkowych. Tym samym, podmioty te – bez wyjątku i bez względu na liczbę osób zatrudnionych – zobowiązane są do stosowania przepisów ustawy o ochronie sygnalistów i wdrożenia procedury.

Sygnaliści a RODO

Przetwarzanie danych osobowych w ramach dokonywanych przez sygnalistów zgłoszeń musi odpowiadać nie tylko regulacjom określonym w ustawie o ochronie sygnalistów, ale również przepisom RODO.

Wiele problemów związanych z zapewnieniem bezpieczeństwa danych pojawia się w szczególności w przypadku grup spółek, które wdrażają wspólny kanał zgłoszeń, w szczególności w sytuacji, kiedy dostęp do bazy zgłoszeń za pośrednictwem jednego konta w jednej firmie spowoduje umożliwienie dostępu od razu do danych zgromadzonych we wszystkich spółkach.

Bardzo ważną kwestią jest również udzielenie szeregu właściwie sformułowanych upoważnień oraz przygotowanie innych dokumentów umożliwiających dostęp do danych osobowych podmiotom odpowiedzialnym za przyjmowanie zgłoszeń.

Poza tym, często zdarza się, że przedsiębiorstwa nie mają świadomości, że przetwarzanie danych osobowych w ramach procedur zgłaszania nieprawidłowości przez sygnalistów wiąże się z obowiązkiem przeprowadzenia oceny skutków dla ochrony danych osobowych. Co więcej, przedsiębiorcy muszą mieć świadomość, że w takich przypadkach może dochodzić również do przetwarzania danych osobowych innych osób (nie tylko sygnalisty), co powoduje koniecznośc zrealizowania obowiązku informacyjnego również wobec nich.

Zapewnienie właściwej ochrony danych osobowych staje się problematyczne także w obszarze przyjmowanych kanałów dokonywania zgłoszeń przez sygnalistów. W przypadku wyboru formy elektronicznej, tj. skrzynki mailowej należy przestrzegać dwóch kluczowych zasad, tj. zasady ,,wiedzy koniecznej” oraz zasady zachowania poufności danych osobowych sygnalistów.

Wyzwań i problemów związanych z wprowadzeniem w życie przepisów Ustawy jest o wiele więcej, dlatego zachęcamy do kontaktu z podmiotami profesjonalnymi w celu wdrożenia ich w życie. Jednocześnie informujemy, że celem wsparcia naszych klientów w dostosowaniu się do nowych przepisów, nasza Kancelaria oferuje szkolenia wewnątrzfirmowe. Zachęcamy do kontaktu w celu uzyskania szczegółowych informacji.