Kongres Prawny EY Law 2022: Odpowiedzi na pytania uczestników, część I

Co do zasady, postanowienia projektu ustawy wdrażającej dyrektywę mają za zadanie ją doprecyzować i dostosować do lokalnych (krajowych) uwarunkowań, nie powinny więc być z nią sprzeczne, mogą natomiast nakładać na podmioty objęte zakresem uregulowań ustawy więcej obowiązków. Wśród projektowanych przepisów projektu ustawy, które nie zostały zawarte w dyrektywie lub których wprowadzenie w krajowym porządku prawnym zgodnie z dyrektywą było fakultatywne, należy wyróżnić:

• wyłączenie obowiązku wprowadzenia wewnętrznych kanałów zgłoszeń  dla gmin liczących mniej niż 10 tys. mieszkańców (art. 23 ust. 3 – w dyrektywie fakultatywne);

• rozszerzenie obligatoryjnego kręgu sygnalistów, którym powinno się umożliwić dokonanie zgłoszenia wewnętrznego, m.in. o wolontariuszy, stażystów, wspólników i in. (art. 4 ust. 1 – w dyrektywie obligatoryjny krąg sygnalistów obejmuje tylko pracowników);

• rozszerzenie katalogu zakazanych działań odwetowych (art. 12 – rozszerzenie m.in. o działania zakazane w przepisach Kodeksu pracy);

• wprowadzenie sankcji karnych za naruszenie przepisów dot. zgłaszania naruszeń (art. 51-55 – dyrektywa nie określa rodzaju sankcji za naruszenie jej przepisów);

• uregulowanie zasad dochodzenia odszkodowania za naruszenie przepisów dot. zgłaszania naruszeń, odpowiedzialności za dokonanie zgłoszenia, okresu przechowywania danych osobowych i in. (art. 14-16, art. 29 ust. 5 i in. – dyrektywa nie precyzuje tych zagadnień).

Warto ponadto wskazać, że obecne brzmienie projektu (art. 27) zrównuje ochronę danych sygnalisty i osoby, której dotyczy zgłoszenie, podczas gdy dyrektywa rozróżnia dwa poziomy ochrony (art. 16 i art. 22 dyrektywy). Aktualnie, w projekcie brakuje również m.in. rozwiązań dotyczących danych świadków i osób powiązanych z sygnalistą, czy też wyraźnej podstawy ustawowej do przetwarzania danych wrażliwych.

Projekt wciąż jest na etapie prac legislacyjnych w Radzie Ministrów, nie można więc wykluczyć dodatkowego doprecyzowania lub zmiany procedowanych przepisów.

Anonimowość dotyczy braku ujawnienia tożsamości sygnalisty w trakcie dokonywania przez niego zgłoszenia – zgodnie z aktualnym brzmieniem projektu ustawy wdrażającej dyrektywę, zapewnienie anonimowości jest fakultatywne i może (ale nie musi) zostać przewidziane w regulacjach wewnętrznych.

Poufność dotyczy natomiast ochrony tożsamości sygnalisty, jak i osoby, której zarzuca się dokonanie naruszenia, i obejmuje m.in. ograniczenia w przekazywaniu danych zawartych w zgłoszeniu osobom nieuprawnionym.

Zgodnie z projektowanymi przepisami, dostęp do danych zawartych w zgłoszeniu (w tym danych zgłaszającego, osoby której zarzuca się dokonanie naruszenia, jak i ew. osoby trzeciej) będą mogły mieć jedynie osoby będące częścią zespołu obsługującego zgłoszenie i co do zasady nie powinny ich dalej przekazywać.

Projekt ustawy w określonych wypadkach przewiduje odstępstwa od ww. zasady (np. w przypadku, gdy ujawnienie tożsamości zgłaszającego jest obowiązkiem wynikającym z innych przepisów prawa) – dokonanie każdego takiego ujawnienia powinno być natomiast zawsze skonsultowane z profesjonalnym doradcą, z uwagi na dotkliwe sankcje za naruszenie przepisów w tym względzie (zarówno na gruncie projektu ustawy, jak i RODO).

Wybór następuje na mocy uchwały rady nadzorczej. Rada jest ciałem kolegialnym, które podejmuje decyzje w formie uchwał. Uchwały zwykle zapadają zwykłą lub bezwzględną większością głosów. Sposób podejmowania uchwał może być określony w regulaminie rady nadzorczej. A zatem jeden członek rady, przyjmując że rada składa się minimum z trzech członków (sp. z o.o. i S.A., za wyjątkiem spółek publicznych, gdzie skład to minimum 5 osób), nie może sam zdecydować o powołaniu doradcy rady nadzorczej.