Przeniknięcie do sfery publicznej, np. za pośrednictwem mediów społecznościowych, informacji o naruszeniach prawa mających miejsce w spółce lub przedsiębiorstwie, może pociągać za sobą poważne straty wizerunkowe i spadek zaufania do firmy. Z kolei zawiadomienie o tym organów nadzoru lub ścigania grozi poniesieniem odpowiedzialności finansowej, dyscyplinarnej, a nawet karnej przez osoby kierujące danym podmiotem. Z ich perspektywy sygnalista to nie tyle „donosiciel”, co źródło wiedzy, a dokonane przez niego zgłoszenie wydaje się szansą na usunięcie zaistniałych nieprawidłowości i zapobieżenie powstaniu kolejnych. Dlatego tak ważne jest, aby procedura zgłoszeń wewnętrznych – obowiązkowa od dnia 25 września 2024 r. dla każdego podmiotu, na rzecz którego pracę zarobkową wykonuje co najmniej 50 osób oraz podmiotu z branży podlegającej unijnym regulacjom z zakresu przeciwdziałania praniu brudnych pieniędzy, finansowaniu terroryzmu, bezpieczeństwa transportu i ochrony środowiska, wymienionych w załączniku do dyrektywy 2019/1937 –umożliwiała sygnaliście przekazywanie zgłoszeń w sposób jak najmniej skomplikowany, a równocześnie zapewniający poufność i bezpieczeństwo jego danych osobowych.
Który kanał zgłoszeń wewnętrznych najlepiej zatem wybrać, aby zachęcić sygnalistę do skorzystania z wewnętrznej ścieżki informowania o naruszeniach?
Ustawodawca wymaga, żeby procedura zgłoszeń wewnętrznych przewidywała co najmniej ich ustną lub pisemną formę. Zgłoszenie ustne może być dokonane telefonicznie, za pośrednictwem środków komunikacji elektronicznej umożliwiających porozumiewanie się na odległość przy wykorzystaniu transmisji danych lub podczas bezpośredniego spotkania zorganizowanego na wniosek sygnalisty. Natomiast zgłoszenie pisemne może przybrać postać pisemną (w praktyce – wysyłane jest ono listem lub wrzucane do specjalnej skrzynki umieszczonej w oznaczonym miejscu w zakładzie pracy lub lokalu przedsiębiorstwa) bądź mailową. Niektóre podmioty na swoich stronach internetowych zamieszczają także formularz przeznaczony do dokonania zgłoszenia wewnętrznego.
Decyzja o wyborze konkretnego kanału należy do podmiotu zobowiązanego do wdrożenia procedury i obsługi zgłoszeń wewnętrznych (podmiotu prawnego w rozumieniu ustawy), który musi jednak zdawać sobie sprawę z zagrożeń związanych z przyjmowaniem zgłoszeń. Podmiot prawny staje się administratorem danych osobowych sygnalisty i osoby wymienionej w zgłoszeniu, powinien zatem dokonać analizy ryzyka dotyczącej bezpieczeństwa danego kanału i stosować się do zasad określonych w RODO.
Za najmniej bezpieczne sposoby przyjmowania zgłoszeń wewnętrznych można uznać drogę mailową oraz internetowy formularz. Chociaż konto e-mail jest tanie i łatwe do konfiguracji, cechuje się wysoką podatnością na włamania. Nie zapewnia także anonimowości – można wszak zidentyfikować zgłaszającego po numerze IP. Tożsame zastrzeżenie odnosi się do formularza, który ponadto uniemożliwia komunikację z sygnalistą, a tym samym – uzyskanie dodatkowych informacji, przydatnych do wyjaśnienia sprawy. W tym wypadku nie można również potwierdzić odebrania zgłoszenia. Anonimowości nie gwarantuje także zgłoszenie telefoniczne (identyfikacja zgłaszającego po głosie), niedające także możliwości potwierdzenia jego odebrania. Co więcej, droga telefoniczna nie pozwala na przekazanie dowodów w postaci zdjęć lub dokumentów. Zarówno dwukierunkowa komunikacja ze zgłaszającym, zawiadamianie o postępach w procedurze, jak i potwierdzenie odebrania zgłoszenia są niemożliwe w przypadku umieszczenia informacji o naruszeniu w dedykowanej temu skrzynce. Istnieje wówczas także ryzyko, że kartę ze zgłoszeniem wyciągnie osoba nieuprawniona.
Wybór konkretnego kanału zgłoszeń wewnętrznych uzależniony jest w dużej mierze od rozmiarów przedsiębiorstwa lub zakładu pracy, liczby osób zatrudnionych oraz specyfiki i charakteru działalności podmiotu prawnego. Zawsze należy jednak mieć na uwadze tak istotne kwestie, jak możliwość komunikacji zwrotnej z sygnalistą, obowiązek zachowania poufności i zapewnienie integralności danych. Nie można przy tym zapominać, że za ujawnienie, wbrew ustawie, tożsamości sygnalisty, osoby pomagającej w dokonaniu zgłoszenia lub osoby powiązanej z sygnalistą grozi odpowiedzialność karna – ustawodawca przewidział sankcję w postaci grzywny, kary ograniczenia wolności lub pozbawienia wolności do lat dwóch.
Jeżeli zastanawiasz się, który ze sposobów dokonywania zgłoszeń wewnętrznych wprowadzić w zarządzanym przez Ciebie podmiocie, zespół Kancelarii Adwokackiej Michał Ciupa i Partnerzy jest gotów udzielić Ci merytorycznego wsparcia i profesjonalnej pomocy prawnej. Zajmujemy się także przygotowaniem dokumentacji związanej z procedurą zgłoszeń wewnętrznych i ochroną sygnalistów, jak również obsługą zgłoszeń wewnętrznych. Zapraszamy do kontaktu!
