Ochrona sygnalistów: jak dokumentować i archiwizować zgłoszenia w firmie

Nowy obowiązek dokumentacyjny w polskich firmach

Ustawa z dnia 14 czerwca 2024 r. o ochronie sygnalistów (Dz.U. 2024 poz. 928) weszła w zycie 25 wrzesnia 2024 roku i wprowadziła do polskiego porządku prawnego obowiązek stworzenia w firmach kanałów zgłaszania nieprawidłowości. To temat, który często jest omawiany wyłącznie od strony kadrowej i compliance, jednak ma również bardzo konkretny wymiar dokumentacyjny: każde zgłoszenie sygnalisty trzeba przyjąć, opisać, rozpatrzyć i przechować w sposób zgodny z ustawa oraz z przepisami o ochronie danych osobowych.

Kogo dotyczy obowiązek wdrożenia procedury

Zgodnie z ustawa podmioty prywatne oraz publiczne zatrudniające co najmniej 50 osób muszą ustanowić wewnetrzna procedurę zgłaszania naruszeń prawa. Firmy zatrudniające od 50 do 249 osób mogą, na mocy porozumienia, korzystać ze wspólnych zasobów do przyjmowania zgłoszeń i prowadzenia postępowania wyjaśniającego, co w praktyce oznacza dzielenie się infrastruktura, w tym systemem do rejestrowania i przechowywania dokumentacji.

Rownolegle z procedurami wewnętrznymi od 25 grudnia 2024 roku dziala kanał zgłoszeń zewnętrznych prowadzony przez Rzecznika Praw Obywatelskich oraz właściwe organy publiczne, co dodatkowo podnosi znaczenie rzetelnego prowadzenia rejestrów po stronie samych przedsiębiorstw.

Co dokładnie trzeba dokumentować

Ustawa wymaga, aby wewnetrzna procedura określała miedzy innymi:

• zakres naruszeń prawa objętych możliwością zgłoszenia,
• sposób przyjmowania zgłoszeń (kanał elektroniczny, telefoniczny, pisemny lub spotkanie osobiste),
• osobę lub zespol wewnętrzny odpowiedzialny za działania następcze, bezstronny i przeszkolony,
• terminy i sposób rozpatrywania zgłoszenia oraz informowania sygnalisty o podjętych działaniach,
• zasady przechowywania i archiwizowania dokumentacji zgłoszenia oraz całego postępowania wyjaśniającego.

W praktyce oznacza to prowadzenie rejestru zgłoszeń, przechowywanie korespondencji, notatek z rozmów wyjaśniających, decyzji końcowych oraz ewentualnej dokumentacji działań naprawczych. Rejestr ten, choć odrębny od akt osobowych, podlega podobnie rygorystycznym zasadom ograniczonego dostępu.

Poufność jako warunek brzegowy przechowywania danych

Kluczowa roznica w stosunku do standardowej archiwizacji firmowej dokumentacji polega na tym, ze tożsamość sygnalisty, osoby, której dotyczy zgłoszenie, oraz osób trzecich wymienionych w zgłoszeniu musi pozostać poufna dla wszystkich, którzy nie sa bezpośrednio upoważnieni do prowadzenia postępowania. Oznacza to konieczność oddzielenia tej kategorii dokumentów od ogólnego obiegu firmowego, ograniczenia listy osób z dostępem oraz prowadzenia ewidencji tego, kto i kiedy z dokumentacja się zapoznawał.

Ustawa nie narzuca jednego sztywnego okresu przechowywania danych związanych ze zgłoszeniem, jednak zgodnie z zasadami RODO dane te mogą być przetwarzane wyłącznie tak długo, jak jest to niezbędne, z uwzględnieniem terminów przedawnienia ewentualnych roszczeń związanych z postępowaniem wyjaśniającym oraz możliwych kontroli. Dlatego kazda firma powinna samodzielnie określić w wewnętrznej procedurze konkretny okres retencji i sposób bezpiecznego usuwania dokumentacji po jego upływie.

Sankcje za brak procedury lub działania odwetowe

Ustawa przewiduje odpowiedzialność karna dla osoby zobowiązanej do ustanowienia wewnętrznej procedury zgłoszeń, jeśli procedury nie ustanowi albo ustanowi ja z istotnym naruszeniem wymogów ustawowych. Odrebna, surowsza odpowiedzialność dotyczy działań odwetowych wobec sygnalisty, na przykład zwolnienia, obniżenia wynagrodzenia, degradacji czy mobbingu w związku ze zgłoszeniem: takie działania podlegają karze grzywny, ograniczenia wolności albo pozbawienia wolności do lat 2, a przy działaniu uporczywym do lat 3. Utrudnianie dokonania zgłoszenia z użyciem przemocy, groźby bezprawnej lub podstępu również zagrożone jest kara pozbawienia wolności do lat 3.

W praktyce oznacza to, ze braki w dokumentacji, na przykład niemożność wykazania, kiedy zgłoszenie wpłynęło, kto je rozpatrywał i jakie działania podjęto, mogą być dowodem na niewłaściwe wdrożenie procedury i naraić firmę na odpowiedzialność.

Praktyczna checklista dla firm

• Sprawdź, czy zatrudniasz co najmniej 50 osób i czy masz formalnie przyjeta procedurę zgłoszeń wewnętrznych.
• Wyznacz i przeszkol osobę lub zespol odpowiedzialny za przyjmowanie i rozpatrywanie zgłoszeń.
• Ustal dokładny obieg dokumentów: od rejestracji zgłoszenia, przez notatki z wyjaśnień, po decyzje koncowa.
• Odseparuj dokumentacje zgłoszeń od ogólnego archiwum firmowego i ogranicz do niej dostęp.
• Określ w procedurze konkretny okres przechowywania danych zgłoszenia oraz sposób ich bezpiecznego usuwania po jego upływie.
• Prowadź ewidencje osób, które miały dostęp do konkretnej sprawy, wraz z data i celem dostępu.
• Regularnie przeglądaj procedurę pod katem zgodności z aktualnym brzmieniem ustawy oraz praktyka orzecznicza.