Ustawa o ochronie sygnalistów uchwalona 14 czerwca 2024 roku, która wchodzi w życie 25 września 2024 roku, nakłada na niektóre podmioty prawne, w tym na podmioty prywatne, obowiązek ustalania wewnętrznej procedury zgłaszania informacji o naruszeniach prawa i podejmowania działań następczych („procedura zgłoszeń wewnętrznych”).

Podmiotem prawnym jest podmiot prywatny lub podmiot publiczny.

Podmiotem prywatnym jest natomiast osoba fizyczna prowadzącą działalność gospodarczą, osoba prawna lub jednostka organizacyjna nieposiadająca osobowości prawnej, której ustawa przyznaje zdolność prawną, lub pracodawca, jeżeli nie są podmiotami publicznymi.

Podmiot prawny, na rzecz którego według stanu na dzień 1 stycznia lub 1 lipca danego roku wykonuje pracę zarobkową co najmniej 50 osób ma obowiązek ustalić wewnętrzną procedurę dokonywania zgłoszeń naruszeń prawa i podejmowania działań następczych.

Do liczby 50 osób wykonujących pracę zarobkową na rzecz podmiotu prawnego wlicza się pracowników w przeliczeniu na pełne etaty lub osoby świadczące pracę za wynagrodzeniem na innej podstawie niż stosunek pracy, jeżeli nie zatrudniają do tego rodzaju pracy innych osób, niezależnie od podstawy zatrudnienia.

Podmiot, na rzecz którego wykonuje pracę zarobkową mniej niż 50 osób, może ustalić procedurę zgłoszeń wewnętrznych.

Procedura zgłoszeń wewnętrznych ustalana jest po konsultacjach z:

1) zakładową organizacją związkową albo zakładowymi organizacjami związkowymi, jeżeli w podmiocie prawnym działa więcej niż jedna zakładowa organizacja związkowa, albo

2) przedstawicielami osób świadczących pracę na rzecz podmiotu prawnego, wyłonionymi w trybie przyjętym w podmiocie prawnym, jeżeli nie działa w nim zakładowa organizacja związkowa.

Konsultacje trwają nie krócej niż 5 dni i nie dłużej niż 10 dni od dnia przedstawienia projektu procedury zgłoszeń wewnętrznych.

Procedura zgłoszeń wewnętrznych wchodzi w życie po upływie 7 dni od dnia podania jej do wiadomości osób wykonujących pracę w sposób przyjęty w podmiocie prawnym.

Procedura zgłoszeń wewnętrznych określa:

1) wewnętrzną jednostkę organizacyjną lub osobę w ramach struktury organizacyjnej podmiotu prawnego, lub podmiot zewnętrzny, upoważnione przez podmiot prawny do przyjmowania zgłoszeń wewnętrznych;

2) sposoby przekazywania zgłoszeń wewnętrznych przez sygnalistę wraz z jego adresem korespondencyjnym lub adresem poczty elektronicznej, zwanymi dalej „adresem do kontaktu”;

3) bezstronną wewnętrzną jednostkę organizacyjną lub osobę w ramach struktury organizacyjnej podmiotu prawnego, upoważnione do podejmowania działań następczych, włączając w to weryfikację zgłoszenia wewnętrznego i dalszą komunikację z sygnalistą, w tym występowanie o dodatkowe informacje i przekazywanie sygnaliście informacji zwrotnej; funkcję tę może pełnić wewnętrzna jednostka organizacyjna lub osoba, o których mowa w pkt 1, jeżeli zapewniają bezstronność;

4) tryb postępowania z informacjami o naruszeniach prawa zgłoszonymi anonimowo;

5) obowiązek potwierdzenia sygnaliście przyjęcia zgłoszenia wewnętrznego w terminie 7 dni od dnia jego otrzymania, chyba że sygnalista nie podał adresu do kontaktu, na który należy przekazać potwierdzenie;

6) obowiązek podjęcia, z zachowaniem należytej staranności, działań następczych przez wewnętrzną jednostkę organizacyjną lub osobę, o których mowa w pkt 3;

7) maksymalny termin na przekazanie sygnaliście informacji zwrotnej, nieprzekraczający 3 miesięcy od dnia potwierdzenia przyjęcia zgłoszenia wewnętrznego lub – w przypadku nieprzekazania potwierdzenia, o którym mowa w pkt 5 – 3 miesięcy od upływu 7 dni od dnia dokonania zgłoszenia wewnętrznego, chyba że sygnalista nie podał adresu do kontaktu, na który należy przekazać informację zwrotną;

8) zrozumiałe i łatwo dostępne informacje na temat dokonywania zgłoszeń zewnętrznych do Rzecznika Praw Obywatelskich albo organów publicznych oraz – w stosownych przypadkach – do instytucji, organów lub jednostek organizacyjnych Unii Europejskiej.

Procedura zgłoszeń wewnętrznych może dodatkowo objąć w szczególności:

1) wskazanie naruszeń dotyczących obowiązujących w podmiocie prawnym regulacji wewnętrznych lub standardów etycznych, które zostały ustanowione przez podmiot prawny na podstawie przepisów prawa powszechnie obowiązującego i pozostają z nimi zgodne, jeżeli podmiot prawny przewidział możliwość zgłaszania takich naruszeń;

2) wskazanie czynników ryzyka odpowiadających profilowi działalności podmiotu prawnego, sprzyjających możliwości wystąpienia określonych naruszeń prawa związanych w szczególności z naruszeniem obowiązków regulacyjnych lub innych obowiązków określonych w przepisach prawa lub z ryzykiem korupcji;

3) wskazanie, że informacja o naruszeniu prawa może być w każdym przypadku zgłoszona również do Rzecznika Praw Obywatelskich albo organu publicznego z pominięciem procedury zgłoszeń wewnętrznych;

4) określenie systemu zachęt do korzystania z procedury zgłoszeń wewnętrznych, w przypadku gdy naruszeniu prawa można skutecznie zaradzić w ramach struktury organizacyjnej podmiotu prawnego, a sygnalista uważa, że nie zachodzi ryzyko działań odwetowych.