Witam Cię serdecznie w czwartym newsletterze poświęconym wdrożeniu dyrektywy o ochronie sygnalistów. Kontynuuję temat z poprzedniego maila i przesyłam kolejne wskazówki dotyczące wdrożenia. 

Zaczynamy dzisiejszy odcinek! ⬇ 

📋 Oto co dziś znajdziesz w newsletterze: 

• Ważne wskazówki do wdrożenia Dyrektywy. 
• TIP #3: outsourcing kanału zgłoszeń 
• TIP #4: procedury na potrzeby dokonywania zgłoszeń. 
• Q&A – odpowiedzi na Wasze pytania. 
• LINK: Sofia lat 13 z Alexandrii w Virginii pyta: „What is a whistleblower?” 🙂 Jak może być odpowiedź? Szczegóły na końcu maila. 

🗄 Jak przygotować firmę do wdrożenia postanowień o ochronie Sygnalistów? 

Dzisiaj będę kontynuował temat postawiony w tytułowym pytaniu. Tydzień temu zarekomendowałem dwie wskazówki dotyczące tego, jak wdrożyć przepisy o ochronie sygnalistów – teraz kolejne. 

Dziś wskazówka #3 i #4. 

📌 TIP #3 Rozważ możliwość skorzystania z podmiotu zewnętrznego do obsługi kanałów zgłoszeń. 

Mniejsze podmioty powinny poważnie rozważyć możliwość skorzystania z firm zewnętrznych w celu realizacji obowiązków wynikających z dyrektywy. 

Możliwość powierzenia obsługi zgłoszeń wynika z art. 8 ust 5 Dyrektywy. Czytamy w nim, że kanały dokonywania zgłoszeń mogą być obsługiwane wewnętrznie przez wyznaczoną do tego celu osobę lub dział lub zapewniane zewnętrznie przez osobę trzecią. 

Oczywiście, osoby trzecie (podmioty trzecie), którym powierzono obsługę kanałów dokonywania zgłoszeń, muszą zapewnić realizacje obowiązków wynikających z Dyrektywy, takich jako choćby zapewnienie poufności danych sygnalisty. 

Otwartą kwestią pozostaje to, czy podmioty działające w sektorze publicznym będą mogły powierzyć obsługę kanałów zdalnych podmiotom zewnętrznym, gdyż literalne brzmienie dyrektywy odnosi się jedynie do powierzenia obsługi kanałów dokonywania zgłoszeń na rzecz podmiotu prawnego w sektorze prywatnym. Wrócę do tej kwestii przy najbliższej okazji. 

📌 TIP #4 Stwórz procedury na potrzeby dokonywania zgłoszeń. 

Dyrektywa wymaga, co z pewnością powtórzy polski ustawodawca, aby podmioty prywatne i publiczne ustanowiły kanały i procedury na potrzeby dokonywanych zgłoszeń. 

Zanim jednak zaczniemy pisać procedurę od zera, warto zastanowić się, jak powinna ona wyglądać i czemu ma służyć? 

Jak każda procedura compliance, także procedura w zakresie kanałów dokonywania zgłoszeń, powinna być przede wszystkim; 

krótka, – napisana zrozumiałym językiem, w przystępny sposób, 

wyposażona w elementy graficzne – łatwiej będzie ją zapamiętać, 

zakomunikowana,  

dostępna dla wszystkich zainteresowanych.  

Procedury muszą opisywać sposób zorganizowania w przedsiębiorstwie kanałów do zgłaszania nieprawidłowości, a także opisywać proces postępowania ze zgłoszeniami, choćby dlatego, aby móc poinformować sygnalistę o przyjętym zgłoszeniu, a następnie o sposobie jego rozwiązania. 

Przyjęte procedury powinny także gwarantować zachowanie poufności danych i zobowiązywać osoby przyjmujące zgłoszenia do właściwego postępowania z danymi osobowymi sygnalistów, a także danych innych osób przekazanych w zgłoszeniu. 

Jeśli w ramach tego procesu wykorzystywany będzie system informatyczny, to również powinno to zostać opisane w procedurze. Przygotowując procedury na potrzeby dokonywania zgłoszeń koniecznie trzeba zaktualizować dokumentację w zakresie ochrony danych osobowych w taki sposób, aby po pierwsze, procedury wewnętrzne nie były ze sobą sprzeczne, a po drugie, obsługa zgłoszeń jest także procesem przetwarzania danych osobowych w rozumieniu RODO. 

❓ Sesja Q&A 

Dziś przedstawiam odpowiedzi na pytania, które wpłynęły na moją skrzynkę po poprzednim wydaniu newslettera. Cytuje je dosłownie, wraz z moją odpowiedzią. Jeśli otrzymam kolejne pytania, również opublikuję je w newsletterze. 

Pytanie: Spółka (będąca w 100% własnością miasta), jednak będącą spółką kapitałową ( sp. o.o), jest podmiotem publicznym, co oznacza że bez względu na liczbę pracowników, musi wdrożyć obowiązki do 17.12.2021 r? Czy też jest spółką prywatną, i w związku z tym ilość pracowników ma znaczenie w kwestii terminu wdrożenia❓ 

Odpowiedź: Dyrektywa nie pozostawia w tym zakresie wątpliwości. Zgodnie z art. 8 ust. 9 ustanowienie kanałów i procedur na potrzeby dokonywania zgłoszeń wewnętrznych i podejmowania działań następczych stosuje się do wszystkich podmiotów prawnych w sektorze publicznym, w tym do podmiotów będących własnością lub znajdujących się pod kontrolą takich podmiotów. 

Państwa członkowskie mogą zwolnić z obowiązku, o którym mowa w ust. 1, gminy liczące mniej niż 10 000 mieszkańców lub zatrudniające mniej niż 50 pracowników lub inne podmioty, o których mowa w akapicie pierwszym niniejszego ustępu zatrudniające mniej niż 50 pracowników. 

Państwa członkowskie mogą wprowadzić przepisy przewidujące, że wewnętrzne kanały dokonywania zgłoszeń mogą być wspólne dla kilku gmin lub obsługiwane przez wspólne organy gminne zgodnie z prawem krajowym pod warunkiem, że wspólne wewnętrzne kanały dokonywania zgłoszeń są odrębne i niezależne od odpowiednich zewnętrznych kanałów dokonywania zgłoszeń. 

Innymi słowy spółki prawa handlowego kontrolowane przez JST muszą wprowadzić przepisy bez względu na liczbę pracowników, chyba że przepisy krajowe będą przewidywały wyjątki od tej zasady. Nie spodziewam się tego jednak. 

Pytanie: Czy Zakład Usług Komunalnych, będący własnością miasta, nie będący spółką kapitałową, musi wdrożyć system we własnej organizacji, czy może być objęty systemem wdrożonym przez miasto – właściciela❓ 

Odpowiedź: Uważam, że JST powinna wdrożyć kanały i system ochrony sygnalistów wspólny dla wszystkich swoich jednostek i zakładów oraz dla spółek kontrolowanych przez JST. Będzie to spójne i transparentne. 

Pytanie: Czy sygnalista, zanim skorzysta z zewnętrznego lub publicznego kanału, musi skorzystać wcześniej z kanału wewnętrznego, czy tylko powinien❓ 

Odpowiedź: W tym zakresie dyrektywa wskazuje, aby państwa członkowskie zachęcały do zgłaszania za pośrednictwem wewnętrznych kanałów, przed dokonaniem zgłoszenie zewnętrznego lub publicznego. Jednakże, co wyczytamy z motywów dyrektywy, jeśli osoba dokonująca zgłoszenia ma uzasadnione obawy przed podjęciem działań odwetowych będzie objęta ochroną, jeśli dokona zgłoszenia zewnętrznego lub publicznego z pominięciem zgłoszenie wewnętrznego. 

Poza tym, pracodawca lub podmiot, może nie mieć wdrożonych mechanizmów do zgłaszania nieprawidłowości – wówczas w zasadzie zgłoszenie zewnętrzne lub publiczne będzie jedynie możliwe. W związku z tym, warunkiem objęcia ochroną nie jest, w mojej opinii, wcześniejsze zgłoszenie wewnętrzne. W wielu przypadkach gdyby tak uznać, dokonanie zgłoszenia byłoby niemożliwe lub ochrona takiej osoby czysto iluzoryczna. 

Intencja dyrektywy sprowadza się do tego, aby podmioty zachęcały do dokonywania zgłoszeń wewnętrznych, aby przez to następował proces „samooczyszczenie się”, naprawienia nieprawidłowości. 

🔗 Linki: 

Sofia lat 13 pyta: „What is a whistleblower?” 

Oto odpowiedź: „Have you ever seen a referee blow the whistle when a player in a game does something wrong? 

When they blow the whistle, referees are alerting others that something bad is happening. They are also telling the person who is not following the rules to stop.” 

Cały artykuł dostępny jest tutaj: Curious Kids: What is a whistleblower?