Ochrona sygnalistów – kluczowe informacje o nowej ustawie

Ochrona sygnalistów stała się trwałym elementem polskiego porządku prawnego. Od 25 września 2024 r. obowiązuje ustawa z 14 czerwca 2024 r. o ochronie sygnalistów, która wprowadziła kompleksowe mechanizmy zabezpieczające osoby zgłaszające naruszenia prawa. Regulacja ta implementuje dyrektywę Parlamentu Europejskiego i Rady (UE) 2019/1937 i nakłada na pracodawców konkretne obowiązki organizacyjne, proceduralne i informacyjne. Niedopełnienie tych obowiązków wiąże się nie tylko z odpowiedzialnością administracyjną, ale również karną, sięgającą nawet 3 lat pozbawienia wolności.

Zakres ustawy i definicja sygnalisty

Ustawa o ochronie sygnalistów obejmuje osoby zgłaszające naruszenia prawa Unii Europejskiej lub prawa krajowego, uzyskane w kontekście związanym z pracą. Sygnalistą może być nie tylko pracownik etatowy, ale również zleceniobiorca, osoba samozatrudniona, członek organu spółki, prokurent, stażysta, praktykant, wolontariusz, a nawet dostawca lub podwykonawca. Kluczowe znaczenie ma istnienie relacji zawodowej lub gospodarczej z danym podmiotem, a nie forma zatrudnienia.

Zakres zgłoszeń jest szeroki i obejmuje m.in. naruszenia przepisów o ochronie danych osobowych (RODO), przeciwdziałaniu praniu pieniędzy (AML), ochronie środowiska, rynkach finansowych, bezpieczeństwie produktów i transportu, zamówieniach publicznych czy korupcji. Zgłoszenia mogą być dokonywane również anonimowo, o ile pracodawca przewidział taką możliwość w procedurze wewnętrznej.

W 2026 r. obowiązek wdrożenia procedur dotyczy podmiotów zatrudniających co najmniej 50 pracowników (ustalanych według stanu na 1 stycznia lub 1 lipca danego roku), a także wszystkich organizacji działających w sektorach regulowanych, niezależnie od wielkości zatrudnienia.

Jakie są obowiązki pracodawców?

Pracodawcy objęci ustawą muszą wdrożyć wewnętrzną procedurę zgłaszania naruszeń prawa. Procedura ta powinna określać bezpieczne kanały zgłoszeń, zapewniające poufność tożsamości sygnalisty, takie jak dedykowany adres e-mail, numer telefonu, platforma online lub spotkanie bezpośrednie. Dopuszczalne jest korzystanie z rozwiązań zewnętrznych, w tym outsourcing obsługi zgłoszeń do wyspecjalizowanych podmiotów.

Konieczne jest wyznaczenie osoby lub jednostki organizacyjnej odpowiedzialnej za przyjmowanie zgłoszeń, ich weryfikację oraz prowadzenie działań następczych. Pracodawca ma obowiązek potwierdzić przyjęcie zgłoszenia oraz przekazać sygnaliście informację zwrotną o podjętych działaniach, co do zasady w terminie do 3 miesięcy od potwierdzenia przyjęcia zgłoszenia.

Istotnym elementem jest również prowadzenie rejestru zgłoszeń, przy czym dane pozwalające na identyfikację sygnalisty mogą być przetwarzane wyłącznie za jego wyraźną zgodą lub w przypadkach przewidzianych prawem. Pracodawca musi także poinformować pracowników i współpracowników o obowiązującej procedurze, np. poprzez regulamin pracy, intranet lub szkolenia.

Ochrona sygnalistów i zakaz działań odwetowych

Ustawa wprowadza szeroki katalog środków ochronnych przysługujących sygnalistom. Kluczowym elementem jest bezwzględny zakaz działań odwetowych, obejmujący m.in. rozwiązanie umowy, obniżenie wynagrodzenia, pozbawienie premii, pominięcie przy awansie, mobbing, dyskryminację czy niekorzystną zmianę warunków współpracy.

Sygnalista korzysta z ochrony od momentu dokonania zgłoszenia, o ile miał uzasadnione podstawy sądzić, że przekazywane informacje są prawdziwe. W razie sporu to pracodawca musi wykazać, że podjęte wobec sygnalisty działania nie miały charakteru odwetowego. Sygnalista może również skorzystać z kanałów zewnętrznych, kierując zgłoszenie do właściwych organów, takich jak prokuratura, Rzecznik Praw Obywatelskich czy organy nadzorcze.

Sankcje za naruszenie przepisów

Ustawa przewiduje dotkliwe sankcje za naruszenie obowiązków związanych z ochroną sygnalistów. Brak wdrożenia procedury może skutkować nałożeniem grzywny. Utrudnianie dokonania zgłoszenia, ujawnienie tożsamości sygnalisty lub podejmowanie działań odwetowych zagrożone jest odpowiedzialnością karną – w skrajnych przypadkach karą pozbawienia wolności do 3 lat.

Dodatkowo sygnalista ma prawo dochodzić odszkodowania lub zadośćuczynienia na drodze cywilnej. W sektorach regulowanych konsekwencje mogą obejmować również cofnięcie zezwoleń lub koncesji. W 2026 r. organy takie jak Państwowa Inspekcja Pracy oraz Urząd Ochrony Konkurencji i Konsumentów zapowiadają intensyfikację kontroli w obszarze compliance.

Jak przygotować organizację do wymogów ustawy?

Prawidłowe wdrożenie ochrony sygnalistów powinno rozpocząć się od audytu wewnętrznego, obejmującego strukturę zatrudnienia, profil działalności oraz obszary podwyższonego ryzyka, takie jak RODO czy AML. Następnie należy opracować i wdrożyć procedurę zgłoszeń, wyznaczyć osoby odpowiedzialne oraz zapewnić bezpieczne narzędzia komunikacji.

Niezbędnym elementem są szkolenia dla pracowników i kadry zarządzającej, które zwiększają zaufanie do systemu i ograniczają ryzyko nadużyć. Coraz częściej praktykowanym rozwiązaniem jest outsourcing obsługi zgłoszeń do wyspecjalizowanych firm compliance, co pozwala zachować niezależność i wysoki standard ochrony danych.