Zgłoszenia wewnętrzne

Art. 23. 1. Przepisy niniejszego rozdziału stosuje się do podmiotu prawnego, na rzecz którego według stanu na dzień 1 stycznia lub 1 lipca danego roku wykonuje pracę zarobkową co najmniej 50 osób.

2. Do liczby 50 osób wykonujących pracę zarobkową na rzecz podmiotu prawnego wlicza się pracowników w przeliczeniu na pełne etaty lub osoby świadczące pracę za wynagrodzeniem na innej podstawie niż stosunek pracy, jeżeli nie zatrudniają do tego rodzaju pracy innych osób, niezależnie od podstawy zatrudnienia.

3. Próg, o którym mowa w ust. 1, nie ma zastosowania do podmiotu prawnego wykonującego działalność w zakresie usług, produktów i rynków finansowych oraz przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu, bezpieczeństwa transportu i ochrony środowiska, objętych zakresem stosowania aktów prawnych Unii Europejskiej wymienionych w części I.B i II załącznika do dyrektywy 2019/1937.

4. W przypadku podmiotów prawnych będących jednostkami samorządu terytorialnego obowiązki podmiotu prawnego określone w niniejszym rozdziale wykonują jednostki organizacyjne jednostek samorządu terytorialnego, z wyłączeniem art. 28 ust. 5.

5. Przepisów niniejszego rozdziału nie stosuje się do jednostek organizacyjnych gminy lub powiatu liczących mniej niż 10.000 mieszkańców.

Art. 24. 1. Podmiot prawny ustala wewnętrzną procedurę dokonywania zgłoszeń naruszeń prawa i podejmowania działań następczych, zwaną dalej "procedurą zgłoszeń wewnętrznych", zgodną z wymogami określonymi w niniejszym rozdziale.

2. Podmiot, na rzecz którego wykonuje pracę zarobkową mniej niż 50 osób, a także podmioty, o których mowa w art. 23 ust. 5, mogą ustalić procedurę zgłoszeń wewnętrznych.

3. Podmiot prawny ustala procedurę zgłoszeń wewnętrznych po konsultacjach z:

1) zakładową organizacją związkową albo zakładowymi organizacjami związkowymi, jeżeli w podmiocie prawnym działa więcej niż jedna zakładowa organizacja związkowa, albo

2) przedstawicielami osób świadczących pracę na rzecz podmiotu prawnego, wyłonionymi w trybie przyjętym w podmiocie prawnym, jeżeli nie działa w nim zakładowa organizacja związkowa.

4. Konsultacje, o których mowa w ust. 3, trwają nie krócej niż 5 dni i nie dłużej niż 10 dni od dnia przedstawienia przez podmiot prawny projektu procedury zgłoszeń wewnętrznych.

5. Procedura zgłoszeń wewnętrznych wchodzi w życie po upływie 7 dni od dnia podania jej do wiadomości osób wykonujących pracę w sposób przyjęty w podmiocie prawnym.

6. Osobie ubiegającej się o pracę na podstawie stosunku pracy lub innego stosunku prawnego stanowiącego podstawę świadczenia pracy lub usług lub pełnienia funkcji, lub pełnienia służby podmiot prawny przekazuje informację o procedurze zgłoszeń wewnętrznych wraz z rozpoczęciem rekrutacji lub negocjacji poprzedzających zawarcie umowy.

Art. 25. 1. Procedura zgłoszeń wewnętrznych określa:

1) wewnętrzną jednostkę organizacyjną lub osobę w ramach struktury organizacyjnej podmiotu prawnego, lub podmiot zewnętrzny, upoważnione przez podmiot prawny do przyjmowania zgłoszeń wewnętrznych;

2) sposoby przekazywania zgłoszeń wewnętrznych przez sygnalistę wraz z jego adresem korespondencyjnym lub adresem poczty elektronicznej, zwanymi dalej "adresem do kontaktu";

3) bezstronną wewnętrzną jednostkę organizacyjną lub osobę w ramach struktury organizacyjnej podmiotu prawnego, upoważnione do podejmowania działań następczych, włączając w to weryfikację zgłoszenia wewnętrznego i dalszą komunikację z sygnalistą, w tym występowanie o dodatkowe informacje i przekazywanie sygnaliście informacji zwrotnej; funkcję tę może pełnić wewnętrzna jednostka organizacyjna lub osoba, o których mowa w pkt 1, jeżeli zapewniają bezstronność;

4) tryb postępowania z informacjami o naruszeniach prawa zgłoszonymi anonimowo;

5) obowiązek potwierdzenia sygnaliście przyjęcia zgłoszenia wewnętrznego w terminie 7 dni od dnia jego otrzymania, chyba że sygnalista nie podał adresu do kontaktu, na który należy przekazać potwierdzenie;

6) obowiązek podjęcia, z zachowaniem należytej staranności, działań następczych przez wewnętrzną jednostkę organizacyjną lub osobę, o których mowa w pkt 3;

7) maksymalny termin na przekazanie sygnaliście informacji zwrotnej, nieprzekraczający 3 miesięcy od dnia potwierdzenia przyjęcia zgłoszenia wewnętrznego lub - w przypadku nieprzekazania potwierdzenia, o którym mowa w pkt 5 - 3 miesięcy od upływu 7 dni od dnia dokonania zgłoszenia wewnętrznego, chyba że sygnalista nie podał adresu do kontaktu, na który należy przekazać informację zwrotną;

8) zrozumiałe i łatwo dostępne informacje na temat dokonywania zgłoszeń zewnętrznych do Rzecznika Praw Obywatelskich albo organów publicznych oraz - w stosownych przypadkach - do instytucji, organów lub jednostek organizacyjnych Unii Europejskiej.

2. Procedura zgłoszeń wewnętrznych może dodatkowo objąć w szczególności:

1) wskazanie naruszeń, o których mowa w art. 3 ust. 2, jeżeli podmiot prawny przewidział możliwość zgłaszania takich naruszeń;

2) wskazanie czynników ryzyka odpowiadających profilowi działalności podmiotu prawnego, sprzyjających możliwości wystąpienia określonych naruszeń prawa związanych w szczególności z naruszeniem obowiązków regulacyjnych lub innych obowiązków określonych w przepisach prawa lub z ryzykiem korupcji;

3) wskazanie, że informacja o naruszeniu prawa może być w każdym przypadku zgłoszona również do Rzecznika Praw Obywatelskich albo organu publicznego z pominięciem procedury zgłoszeń wewnętrznych;

4) określenie systemu zachęt do korzystania z procedury zgłoszeń wewnętrznych, w przypadku gdy naruszeniu prawa można skutecznie zaradzić w ramach struktury organizacyjnej podmiotu prawnego, a sygnalista uważa, że nie zachodzi ryzyko działań odwetowych.

Art. 26. 1. Sposoby przekazywania zgłoszeń wewnętrznych, o których mowa w art. 25 ust. 1 pkt 2, obejmują co najmniej możliwość dokonywania zgłoszeń ustnie lub pisemnie.

2. Zgłoszenie ustne może być dokonane telefonicznie lub za pośrednictwem środków komunikacji elektronicznej w rozumieniu art. 2 pkt 5 ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (Dz. U. z 2020 r. poz. 344).

3. Zgłoszenie ustne dokonane za pośrednictwem nagrywanej linii telefonicznej lub innego nagrywanego systemu komunikacji głosowej jest dokumentowane za zgodą sygnalisty w formie:

1) nagrania rozmowy, umożliwiającego jej wyszukanie, lub

2) kompletnej i dokładnej transkrypcji rozmowy przygotowanej przez jednostkę lub osobę, lub podmiot, o których mowa w art. 25 ust. 1 pkt 1.

4. Zgłoszenie ustne dokonane za pośrednictwem nienagrywanej linii telefonicznej lub innego nienagrywanego systemu komunikacji głosowej jest dokumentowane w formie protokołu rozmowy, odtwarzającego dokładny jej przebieg, sporządzonego przez jednostkę lub osobę, lub podmiot, o których mowa w art. 25 ust. 1 pkt 1.

5. W przypadku, o którym mowa w ust. 3 pkt 2 oraz ust. 4, sygnalista może dokonać sprawdzenia, poprawienia i zatwierdzenia transkrypcji rozmowy lub protokołu rozmowy przez ich podpisanie.

6. Na wniosek sygnalisty zgłoszenie ustne może być dokonane podczas bezpośredniego spotkania zorganizowanego w terminie 14 dni od dnia otrzymania takiego wniosku. W takim przypadku za zgodą sygnalisty zgłoszenie jest dokumentowane w formie:

1) nagrania rozmowy, umożliwiającego jej wyszukanie, lub

2) protokołu spotkania, odtwarzającego jego dokładny przebieg, przygotowanego przez jednostkę lub osobę, lub podmiot, o których mowa w art. 25 ust. 1 pkt 1.

7. W przypadku, o którym mowa w ust. 6 pkt 2, sygnalista może dokonać sprawdzenia, poprawienia i zatwierdzenia protokołu spotkania przez jego podpisanie.

8. Zgłoszenie pisemne może być dokonane w postaci papierowej lub elektronicznej.

Art. 27. 1. Podmiot prawny gwarantuje, że procedura zgłoszeń wewnętrznych oraz związane z przyjmowaniem zgłoszeń przetwarzanie danych osobowych uniemożliwiają nieupoważnionym osobom uzyskanie dostępu do informacji objętych zgłoszeniem oraz zapewniają ochronę poufności tożsamości sygnalisty, osoby, której dotyczy zgłoszenie, oraz osoby trzeciej wskazanej w zgłoszeniu. Ochrona poufności dotyczy informacji, na podstawie których można bezpośrednio lub pośrednio zidentyfikować tożsamość takich osób.

2. Do przyjmowania i weryfikacji zgłoszeń wewnętrznych, podejmowania działań następczych oraz przetwarzania danych osobowych osób, o których mowa w ust. 1, mogą być dopuszczone wyłącznie osoby posiadające pisemne upoważnienie podmiotu prawnego. Osoby upoważnione są obowiązane do zachowania tajemnicy w zakresie informacji i danych osobowych, które uzyskały w ramach przyjmowania i weryfikacji zgłoszeń wewnętrznych, oraz podejmowania działań następczych, także po ustaniu stosunku pracy lub innego stosunku prawnego, w ramach którego wykonywały tę pracę.

Art. 28. 1. Upoważnienie podmiotu zewnętrznego, o którym mowa w art. 25 ust. 1 pkt 1, wymaga zawarcia umowy w celu powierzenia obsługi przyjmowania zgłoszeń wewnętrznych, potwierdzania przyjęcia zgłoszenia, przekazywania informacji zwrotnej oraz dostarczania informacji na temat procedury zgłoszeń wewnętrznych z zastosowaniem rozwiązań technicznych i organizacyjnych zapewniających zgodność tych czynności z ustawą.

2. Umowa, o której mowa w ust. 1, określa szczegółowe prawa i obowiązki podmiotu zewnętrznego związane z przetwarzaniem danych osobowych, o których mowa w szczególności w art. 28 ust. 3 rozporządzenia 2016/679.

3. Podmioty prywatne, na rzecz których wykonuje pracę zarobkową co najmniej 50, lecz nie więcej niż 249 osób, mogą na podstawie umowy ustalić wspólne zasady dotyczące przyjmowania i weryfikacji zgłoszeń wewnętrznych oraz prowadzenia postępowania wyjaśniającego, pod warunkiem zapewnienia zgodności wykonywanych czynności z ustawą. Przepisy art. 23 ust. 1 i 2 stosuje się odpowiednio.

4. Zawarcie umowy, o której mowa w ust. 1 i 3, nie uchyla odpowiedzialności podmiotu prawnego za dochowanie obowiązków określonych w niniejszym rozdziale, w szczególności dotyczących zachowania poufności, udzielenia informacji zwrotnej oraz podjęcia działań następczych.

5. Jednostki samorządu terytorialnego mogą ustalić wspólną procedurę zgłoszeń wewnętrznych w ramach wspólnej obsługi, o której mowa w art. 10a ustawy z dnia 8 marca 1990 r. o samorządzie gminnym (Dz. U. z 2024 r. poz. 609 i 721), art. 6a ustawy z dnia 5 czerwca 1998 r. o samorządzie powiatowym (Dz. U. z 2024 r. poz. 107) i art. 8c ustawy z dnia 5 czerwca 1998 r. o samorządzie województwa (Dz. U. z 2024 r. poz. 566), pod warunkiem zapewnienia jej odrębności i niezależności od procedury przyjmowania zgłoszeń zewnętrznych i podejmowania działań następczych.

6. Podmioty, o których mowa w ust. 3, są odrębnymi administratorami danych osobowych pozyskanych w związku z przyjmowaniem i weryfikacją zgłoszeń. Administrator nie ma dostępu do danych osobowych pozyskanych przez innego administratora.

7. Przepis ust. 6 nie ma zastosowania w przypadku, gdy w toku postępowania wyjaśniającego ustalono, że właściwy do przyjęcia zgłoszenia wewnętrznego lub obowiązany do podjęcia działań następczych jest inny administrator niż ten, do którego wpłynęło zgłoszenie, lub właściwych jest co najmniej dwóch administratorów. Administratorowi udostępnia się tylko te dane osobowe, które są niezbędne do podjęcia działań następczych.

8. Podmioty prywatne należące do grupy kapitałowej w rozumieniu art. 4 pkt 14 ustawy z dnia 16 lutego 2007 r. o ochronie konkurencji i konsumentów (Dz. U. z 2024 r. poz. 594) mogą ustalić wspólną procedurę zgłoszeń wewnętrznych, pod warunkiem zapewnienia zgodności wykonywanych czynności z ustawą.

Art. 29. 1. Podmiot prawny:

1) prowadzi rejestr zgłoszeń wewnętrznych;

2) jest administratorem danych osobowych zgromadzonych w rejestrze zgłoszeń wewnętrznych.

2. Podmiot prawny może upoważnić wewnętrzną jednostkę organizacyjną lub osobę, o których mowa w art. 25 ust. 1 pkt 1 lub 3, do prowadzenia rejestru zgłoszeń wewnętrznych.

3. Wpisu do rejestru zgłoszeń wewnętrznych dokonuje się na podstawie zgłoszenia wewnętrznego.

4. Rejestr zgłoszeń wewnętrznych obejmuje:

1) numer zgłoszenia;

2) przedmiot naruszenia prawa;

3) dane osobowe sygnalisty oraz osoby, której dotyczy zgłoszenie, niezbędne do identyfikacji tych osób;

4) adres do kontaktu sygnalisty;

5) datę dokonania zgłoszenia;

6) informację o podjętych działaniach następczych;

7) datę zakończenia sprawy.

5. Dane osobowe oraz pozostałe informacje w rejestrze zgłoszeń wewnętrznych są przechowywane przez okres 3 lat po zakończeniu roku kalendarzowego, w którym zakończono działania następcze, lub po zakończeniu postępowań zainicjowanych tymi działaniami.