Przepisy ogólne

Art. 1. Ustawa reguluje:

1) warunki objęcia ochroną sygnalistów zgłaszających lub ujawniających publicznie informacje o naruszeniach prawa;

2) środki ochrony sygnalistów zgłaszających lub ujawniających publicznie informacje o naruszeniach prawa;

3) zasady ustalania wewnętrznej procedury zgłaszania informacji o naruszeniach prawa i podejmowania działań następczych;

4) zasady zgłaszania informacji o naruszeniach prawa organowi publicznemu;

5) zasady ujawnienia publicznego informacji o naruszeniach prawa;

6) zadania Rzecznika Praw Obywatelskich związane ze zgłaszaniem informacji o naruszeniach prawa;

7) zadania organów publicznych związane ze zgłaszaniem informacji o naruszeniach prawa i z podejmowaniem działań następczych.

Art. 2. Ilekroć w niniejszej ustawie jest mowa o:

1) działaniu następczym - należy przez to rozumieć działanie podjęte przez podmiot prawny lub organ publiczny w celu oceny prawdziwości informacji zawartych w zgłoszeniu oraz w celu przeciwdziałania naruszeniu prawa będącemu przedmiotem zgłoszenia, w szczególności przez postępowanie wyjaśniające, wszczęcie kontroli lub postępowania administracyjnego, wniesienie oskarżenia, działanie podjęte w celu odzyskania środków finansowych lub zamknięcie procedury realizowanej w ramach wewnętrznej procedury dokonywania zgłoszeń naruszeń prawa i podejmowania działań następczych lub procedury przyjmowania zgłoszeń zewnętrznych i podejmowania działań następczych;

2) działaniu odwetowym - należy przez to rozumieć bezpośrednie lub pośrednie działanie lub zaniechanie w kontekście związanym z pracą, które jest spowodowane zgłoszeniem lub ujawnieniem publicznym i które narusza lub może naruszyć prawa sygnalisty lub wyrządza lub może wyrządzić nieuzasadnioną szkodę sygnaliście, w tym bezpodstawne inicjowanie postępowań przeciwko sygnaliście;

3) informacji o naruszeniu prawa - należy przez to rozumieć informację, w tym uzasadnione podejrzenie dotyczące zaistniałego lub potencjalnego naruszenia prawa, do którego doszło lub prawdopodobnie dojdzie w podmiocie prawnym, w którym sygnalista uczestniczył w procesie rekrutacji lub innych negocjacji poprzedzających zawarcie umowy, pracuje lub pracował, lub w innym podmiocie prawnym, z którym sygnalista utrzymuje lub utrzymywał kontakt w kontekście związanym z pracą, lub informację dotyczącą próby ukrycia takiego naruszenia prawa;

4) informacji zwrotnej - należy przez to rozumieć przekazaną sygnaliście informację na temat planowanych lub podjętych działań następczych i powodów takich działań;

5) kontekście związanym z pracą - należy przez to rozumieć przeszłe, obecne lub przyszłe działania związane z wykonywaniem pracy na podstawie stosunku pracy lub innego stosunku prawnego stanowiącego podstawę świadczenia pracy lub usług lub pełnienia funkcji w podmiocie prawnym lub na rzecz tego podmiotu, lub pełnienia służby w podmiocie prawnym, w ramach których uzyskano informację o naruszeniu prawa oraz istnieje możliwość doświadczenia działań odwetowych;

6) organie publicznym - należy przez to rozumieć naczelne i centralne organy administracji rządowej, terenowe organy administracji rządowej, organy jednostek samorządu terytorialnego, inne organy państwowe oraz inne podmioty wykonujące z mocy prawa zadania z zakresu administracji publicznej, właściwe do podejmowania działań następczych w dziedzinach wskazanych w art. 3 ust. 1;

7) osobie, której dotyczy zgłoszenie - należy przez to rozumieć osobę fizyczną, osobę prawną lub jednostkę organizacyjną nieposiadającą osobowości prawnej, której ustawa przyznaje zdolność prawną, wskazaną w zgłoszeniu lub ujawnieniu publicznym jako osoba, która dopuściła się naruszenia prawa, lub jako osoba, z którą osoba, która dopuściła się naruszenia prawa, jest powiązana;

8) osobie pomagającej w dokonaniu zgłoszenia - należy przez to rozumieć osobę fizyczną, która pomaga sygnaliście w zgłoszeniu lub ujawnieniu publicznym w kontekście związanym z pracą i której pomoc nie powinna zostać ujawniona;

9) osobie powiązanej z sygnalistą - należy przez to rozumieć osobę fizyczną, która może doświadczyć działań odwetowych, w tym współpracownika lub osobę najbliższą sygnalisty w rozumieniu art. 115 § 11 ustawy z dnia 6 czerwca 1997 r. - Kodeks karny (Dz. U. z 2024 r. poz. 17);

10) podmiocie prawnym - należy przez to rozumieć podmiot prywatny lub podmiot publiczny;

11) podmiocie prywatnym - należy przez to rozumieć osobę fizyczną prowadzącą działalność gospodarczą, osobę prawną lub jednostkę organizacyjną nieposiadającą osobowości prawnej, której ustawa przyznaje zdolność prawną, lub pracodawcę, jeżeli nie są podmiotami publicznymi;

12) podmiocie publicznym - należy przez to rozumieć podmiot wskazany w art. 3 ustawy z dnia 11 sierpnia 2021 r. o otwartych danych i ponownym wykorzystywaniu informacji sektora publicznego (Dz. U. z 2023 r. poz. 1524);

13) postępowaniu prawnym - należy przez to rozumieć postępowanie toczące się na podstawie przepisów prawa powszechnie obowiązującego, w szczególności postępowanie karne, cywilne, administracyjne, dyscyplinarne lub o naruszenie dyscypliny finansów publicznych, albo postępowanie toczące się na podstawie regulacji wewnętrznych wydanych w celu wykonania przepisów prawa powszechnie obowiązującego, w szczególności antymobbingowych;

14) ujawnieniu publicznym - należy przez to rozumieć podanie informacji o naruszeniu prawa do wiadomości publicznej;

15) zgłoszeniu - należy przez to rozumieć ustne lub pisemne zgłoszenie wewnętrzne lub zgłoszenie zewnętrzne, przekazane zgodnie z wymogami określonymi w ustawie;

16) zgłoszeniu wewnętrznym - należy przez to rozumieć ustne lub pisemne przekazanie podmiotowi prawnemu informacji o naruszeniu prawa;

17) zgłoszeniu zewnętrznym - należy przez to rozumieć ustne lub pisemne przekazanie Rzecznikowi Praw Obywatelskich albo organowi publicznemu informacji o naruszeniu prawa.

Art. 3. 1. Naruszeniem prawa jest działanie lub zaniechanie niezgodne z prawem lub mające na celu obejście prawa, dotyczące:

1) korupcji;

2) zamówień publicznych;

3) usług, produktów i rynków finansowych;

4) przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu;

5) bezpieczeństwa produktów i ich zgodności z wymogami;

6) bezpieczeństwa transportu;

7) ochrony środowiska;

8) ochrony radiologicznej i bezpieczeństwa jądrowego;

9) bezpieczeństwa żywności i pasz;

10) zdrowia i dobrostanu zwierząt;

11) zdrowia publicznego;

12) ochrony konsumentów;

13) ochrony prywatności i danych osobowych;

14) bezpieczeństwa sieci i systemów teleinformatycznych;

15) interesów finansowych Skarbu Państwa Rzeczypospolitej Polskiej, jednostki samorządu terytorialnego oraz Unii Europejskiej;

16) rynku wewnętrznego Unii Europejskiej, w tym publicznoprawnych zasad konkurencji i pomocy państwa oraz opodatkowania osób prawnych;

17) konstytucyjnych wolności i praw człowieka i obywatela - występujące w stosunkach jednostki z organami władzy publicznej i niezwiązane z dziedzinami wskazanymi w pkt 1-16.

2. Podmiot prawny może dodatkowo w ramach procedury zgłoszeń wewnętrznych przewidzieć możliwość zgłaszania informacji o naruszeniach dotyczących obowiązujących w tym podmiocie prawnym regulacji wewnętrznych lub standardów etycznych, które zostały ustanowione przez podmiot prawny na podstawie przepisów prawa powszechnie obowiązującego i pozostają z nimi zgodne. W takim przypadku nie stosuje się przepisów rozdziałów 4 i 5.

Art. 4. 1. Sygnalistą jest osoba fizyczna, która zgłasza lub ujawnia publicznie informację o naruszeniu prawa uzyskaną w kontekście związanym z pracą, w tym:

1) pracownik;

2) pracownik tymczasowy;

3) osoba świadcząca pracę na innej podstawie niż stosunek pracy, w tym na podstawie umowy cywilnoprawnej;

4) przedsiębiorca;

5) prokurent;

6) akcjonariusz lub wspólnik;

7) członek organu osoby prawnej lub jednostki organizacyjnej nieposiadającej osobowości prawnej;

8) osoba świadcząca pracę pod nadzorem i kierownictwem wykonawcy, podwykonawcy lub dostawcy;

9) stażysta;

10) wolontariusz;

11) praktykant;

12) funkcjonariusz w rozumieniu art. 1 ust. 1 ustawy z dnia 18 lutego 1994 r. o zaopatrzeniu emerytalnym funkcjonariuszy Policji, Agencji Bezpieczeństwa Wewnętrznego, Agencji Wywiadu, Służby Kontrwywiadu Wojskowego, Służby Wywiadu Wojskowego, Centralnego Biura Antykorupcyjnego, Straży Granicznej, Straży Marszałkowskiej, Służby Ochrony Państwa, Państwowej Straży Pożarnej, Służby Celno-Skarbowej i Służby Więziennej oraz ich rodzin (Dz. U. z 2023 r. poz. 1280, 1429 i 1834);

13) żołnierz w rozumieniu art. 2 pkt 39 ustawy z dnia 11 marca 2022 r. o obronie Ojczyzny (Dz. U. z 2024 r. poz. 248 i 834).

2. Ustawę stosuje się także do osoby fizycznej, o której mowa w ust. 1, w przypadku zgłoszenia lub ujawnienia publicznego informacji o naruszeniu prawa uzyskanej w kontekście związanym z pracą przed nawiązaniem stosunku pracy lub innego stosunku prawnego stanowiącego podstawę świadczenia pracy lub usług lub pełnienia funkcji w podmiocie prawnym lub na rzecz tego podmiotu, lub pełnienia służby w podmiocie prawnym lub już po ich ustaniu.

Art. 5. 1. Ustawy nie stosuje się do informacji objętych:

1) przepisami o ochronie informacji niejawnych oraz innych informacji, które nie podlegają ujawnieniu z mocy przepisów prawa powszechnie obowiązującego ze względów bezpieczeństwa publicznego;

2) tajemnicą zawodową zawodów medycznych oraz prawniczych;

3) tajemnicą narady sędziowskiej;

4) postępowaniem karnym - w zakresie tajemnicy postępowania przygotowawczego oraz tajemnicy rozprawy sądowej prowadzonej z wyłączeniem jawności.

2. Ustawy nie stosuje się do naruszeń prawa w zakresie zamówień w dziedzinach obronności i bezpieczeństwa w rozumieniu art. 7 pkt 36 ustawy z dnia 11 września 2019 r. - Prawo zamówień publicznych (Dz. U. z 2023 r. poz. 1605 i 1720), do których nie stosuje się tej ustawy, umów offsetowych zawieranych na podstawie ustawy z dnia 26 czerwca 2014 r. o niektórych umowach zawieranych w związku z realizacją zamówień o podstawowym znaczeniu dla bezpieczeństwa państwa (Dz. U. z 2022 r. poz. 1218) oraz innych środków podejmowanych w celu ochrony podstawowych lub istotnych interesów bezpieczeństwa państwa na podstawie art. 346 Traktatu o funkcjonowaniu Unii Europejskiej.

3. Przepisów rozdziału 5 nie stosuje się do naruszeń prawa bezpośrednio związanych z realizacją przez służby specjalne, o których mowa w art. 11 ustawy z dnia 24 maja 2002 r. o Agencji Bezpieczeństwa Wewnętrznego oraz Agencji Wywiadu (Dz. U. z 2024 r. poz. 812), ustawowych zadań mających na celu zapewnienie bezpieczeństwa narodowego.

4. Organem publicznym właściwym do przyjęcia zgłoszenia zewnętrznego dotyczącego naruszenia prawa przez służby specjalne, o których mowa w art. 11 ustawy z dnia 24 maja 2002 r. o Agencji Bezpieczeństwa Wewnętrznego oraz Agencji Wywiadu, oraz realizacji zadań, o których mowa w rozdziale 4, jest Prezes Rady Ministrów albo Minister - Koordynator Służb Specjalnych, w przypadku jego powołania.

Art. 6. Sygnalista podlega ochronie określonej w przepisach rozdziału 2 od chwili dokonania zgłoszenia lub ujawnienia publicznego, pod warunkiem że miał uzasadnione podstawy sądzić, że informacja będąca przedmiotem zgłoszenia lub ujawnienia publicznego jest prawdziwa w momencie dokonywania zgłoszenia lub ujawnienia publicznego i że stanowi informację o naruszeniu prawa.

Art. 7. 1. Podmiot prawny, Rzecznik Praw Obywatelskich oraz organ publiczny mogą przyjmować zgłoszenia dokonane anonimowo.

2. W przypadku gdy informacja o naruszeniu prawa została anonimowo zgłoszona podmiotowi prawnemu, Rzecznikowi Praw Obywatelskich albo organowi publicznemu lub ujawniona publicznie, a następnie doszło do ujawnienia tożsamości sygnalisty i doświadczył on działań odwetowych, przepisy rozdziału 2 stosuje się, jeżeli zostały spełnione warunki wskazane w art. 6.

3. W przypadku gdy informacja o naruszeniu prawa została anonimowo zgłoszona, a podmiot prawny, Rzecznik Praw Obywatelskich albo organ publiczny przyjmują takie zgłoszenia, stosuje się ustawę, z wyjątkiem art. 32 ust. 3, 5 i 6, art. 34 ust. 1 pkt 6, art. 37, art. 38, art. 40 ust. 1 zdanie drugie i ust. 2 zdanie drugie oraz art. 41.

Art. 8. 1. Dane osobowe sygnalisty, pozwalające na ustalenie jego tożsamości, nie podlegają ujawnieniu nieupoważnionym osobom, chyba że za wyraźną zgodą sygnalisty.

2. Przepisu ust. 1 nie stosuje się w przypadku, gdy ujawnienie jest koniecznym i proporcjonalnym obowiązkiem wynikającym z przepisów prawa w związku z postępowaniami wyjaśniającymi prowadzonymi przez organy publiczne lub postępowaniami przygotowawczymi lub sądowymi prowadzonymi przez sądy, w tym w celu zagwarantowania prawa do obrony przysługującego osobie, której dotyczy zgłoszenie.

3. Przed dokonaniem ujawnienia, o którym mowa w ust. 2, właściwy organ publiczny lub właściwy sąd powiadamia o tym sygnalistę, przesyłając w postaci papierowej lub elektronicznej wyjaśnienie powodów ujawnienia jego danych osobowych, chyba że takie powiadomienie zagrozi postępowaniu wyjaśniającemu lub postępowaniu przygotowawczemu, lub sądowemu.

4. Podmiot prawny albo organ publiczny po otrzymaniu zgłoszenia przetwarza dane osobowe w zakresie niezbędnym do przyjęcia zgłoszenia lub podjęcia ewentualnego działania następczego. Dane osobowe, które nie mają znaczenia dla rozpatrywania zgłoszenia, nie są zbierane, a w razie przypadkowego zebrania są niezwłocznie usuwane. Usunięcie tych danych osobowych następuje w terminie 14 dni od chwili ustalenia, że nie mają one znaczenia dla sprawy.

5. Przepisu art. 14 ust. 2 lit. f rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.), zwanego dalej "rozporządzeniem 2016/679", nie stosuje się, chyba że sygnalista nie spełnia warunków wskazanych w art. 6 albo wyraził wyraźną zgodę na ujawnienie swojej tożsamości.

6. Przepisu art. 15 ust. 1 lit. g rozporządzenia 2016/679 w zakresie przekazania informacji o źródle pozyskania danych osobowych nie stosuje się, chyba że sygnalista nie spełnia warunków wskazanych w art. 6 albo wyraził wyraźną zgodę na takie przekazanie.

7. Dane osobowe przetwarzane w związku z przyjęciem zgłoszenia zewnętrznego oraz dokumenty związane z tym zgłoszeniem są przechowywane przez Rzecznika Praw Obywatelskich przez okres 12 miesięcy po zakończeniu roku kalendarzowego, w którym przekazano zgłoszenie zewnętrzne do organu publicznego właściwego do podjęcia działań następczych.

8. Dane osobowe przetwarzane w związku z przyjęciem zgłoszenia lub podjęciem działań następczych oraz dokumenty związane z tym zgłoszeniem są przechowywane przez podmiot prawny oraz organ publiczny przez okres 3 lat po zakończeniu roku kalendarzowego, w którym przekazano zgłoszenie zewnętrzne do organu publicznego właściwego do podjęcia działań następczych lub zakończono działania następcze, lub po zakończeniu postępowań zainicjowanych tymi działaniami.

9. W przypadku, o którym mowa w ust. 7 i 8, Rzecznik Praw Obywatelskich, podmiot prawny i organ publiczny usuwają dane osobowe oraz niszczą dokumenty związane ze zgłoszeniem po upływie okresu przechowywania. Ustawy z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach (Dz. U. z 2020 r. poz. 164) nie stosuje się.

10. Przepisu ust. 9 nie stosuje się w przypadku, gdy dokumenty związane ze zgłoszeniem stanowią część akt postępowań przygotowawczych lub spraw sądowych lub sądowoadministracyjnych.

Art. 9. Ustawa nie wyłącza stosowania przepisów dotyczących praw pracowników do konsultacji ze związkami zawodowymi, do ochrony przed nieuzasadnionym szkodliwym działaniem w wyniku takich konsultacji, do zrzeszania się i do zawierania układów zbiorowych.

Art. 10. 1. Ustawę stosuje się w zakresie nieuregulowanym w przepisach aktów normatywnych ustanowionych przez instytucje Unii Europejskiej, wymienionych w części II załącznika do dyrektywy Parlamentu Europejskiego i Rady (UE) 2019/1937 z dnia 23 października 2019 r. w sprawie ochrony osób zgłaszających naruszenia prawa Unii (Dz. Urz. UE L 305 z 26.11.2019, str. 17, z późn. zm.), zwanej dalej "dyrektywą 2019/1937", oraz w przepisach implementujących albo wykonujących te akty.

2. Ustawa nie wyłącza stosowania przepisów odrębnych przewidujących szczególny tryb zgłaszania naruszeń prawa, w tym rozpatrywanie informacji o naruszeniu prawa zgłoszonych anonimowo.