Ashio whistleblowing software

Sankcje za brak kanału zgłoszeń – newsletter dla zarządów

Cover: Sankcje za brak kanału zgłoszeń – newsletter dla zarządów

RPO nałożył już pierwsze kary. W praktyce oznacza to, że „jeszcze nie ma kontroli" nie jest strategią obrony. Kary za brak kanału zgłoszeń sygnalistów przestały być abstrakcją — to realne grzywny administracyjne nakładane przez organy państwowe, a w pewnych sytuacjach także odpowiedzialność karna osób zarządzających za działania odwetowe wobec sygnalistów. Ten newsletter jest przeznaczony dla zarządów, compliance officerów i dyrektorów HR, którzy muszą szybko ocenić skalę ryzyka i podjąć decyzję, zanim kontrola trafi na ich biurko. W kolejnych częściach rozbijamy temat na konkretne kwoty, tryb nakładania, statystyki kontroli oraz praktyczną checklistę wdrożenia.

Spis treści

Kary administracyjne: kwoty, tryb nakładania, organ

Polska ustawa o ochronie sygnalistów z 14 czerwca 2024 r. (implementująca eu whistleblowing directive) przewiduje trzy kategorie kar administracyjnych, które nakłada Rzecznik Praw Obywatelskich jako organ właściwy. To kluczowa zmiana jakościowa: do tej pory wiele firm traktowało obowiązek posiadania internal reporting channel jako „martwy zapis" w ustawie. Teraz pojawia się realny aparat represji.

Wysokość grzywien wygląda następująco:

  • do 10 000 zł — za brak wdrożonego kanału zgłoszeń wewnętrznych lub prowadzenie go w sposób niezgodny z ustawą,
  • do 50 000 zł — za brak rejestru zgłoszeń lub niezapewnienie poufności tożsamości zgłaszającego,
  • do 1 000 000 zł — za niepowołanie osoby odpowiedzialnej lub brak procedury przyjmowania zgłoszeń naruszającej istotne wymogi ustawy (dotyczy podmiotów sektora publicznego i dużych podmiotów prywatnych, w tym firm zatrudniających co najmniej 250 osób).

Sankcje ustawa o ochronie sygnalistów nakłada w trybie decyzji administracyjnej, po przeprowadzeniu postępowania wyjaśniającego. Organem egzekwującym jest RPO, który może z własnej inicjatywy lub na wniosek sygnalisty wszcząć kontrolę. W praktyce oznacza to, że kara administracyjna dla pracodawcy może spaść nawet bez skargi pracownika — wystarczy sygnał z innego źródła, kontrola krzyżowa albo audyt prowadzony w ramach postępowań sektorowych (np. UODO, KNF, NFZ).

Warto podkreślić, że grzywna jest nakładana na podmiot prawny, a nie na osobę fizyczną. Jednak w przypadku spółek osobowych i jednoosobowych działalności — odpowiedzialność ponosi przedsiębiorca. Dodatkowo organy mogą nakazać wdrożenie kanału w wyznaczonym terminie pod rygorem dalszych kar, a w skrajnych przypadkach — publikować informację o nałożonej sankcji w Biuletynie Informacji Publicznej. To drugie narzędzie często bywa bardziej dotkliwe niż sama grzywna, ponieważ uderza w reputację i relacje z kontrahentami.

Odpowiedzialność karna za działania odwetowe wobec sygnalistów

Drugim filarem systemu jest odpowiedzialność karna za działania odwetowe — wymierzana już nie w podmiot, lecz w konkretne osoby: członków zarządu, przełożonych, pracowników HR. Odpowiedzialność karna za działania odwetowe obejmuje zachowania takie jak:

  • wypowiedzenie umowy o pracę lub rozwiązanie stosunku pracy w trybie natychmiastowym,
  • degradacja stanowiskowa, obniżenie wynagrodzenia, pozbawienie premii,
  • mobbing i dyskryminacja,
  • uniemożliwienie awansu lub dostępu do szkoleń,
  • wpis niekorzystnych informacji do akt osobowych,
  • rozwiązanie umowy cywilnoprawnej lub wypowiedzenie warunków współpracy handlowej.

Kwalifikacja prawna obejmuje przestępstwa z art. 218 § 1a Kodeksu karnego (działania odwetowe w związku z pełnieniem funkcji publicznej) oraz analogiczne czyny z Kodeksu pracy, które — choć formalnie nie są przestępstwami — stanowią podstawę roszczeń cywilnych. W praktyce oznacza to, że odpowiedzialność pracodawcy sygnaliści obejmuje zarówno sferę administracyjną (grzywna dla firmy), jak i sferę osobistą zarządzających, którzy mogą odpowiadać na podstawie prawa karnego.

Co istotne, ciężar dowodu w postępowaniu o działania odwetowe został przeniesiony na pracodawcę. To pracodawca musi udowodnić, że podjął negatywne działanie wobec pracownika z przyczyn innych niż zgłoszenie naruszenia prawa. Taka inwersja dowodowa zmienia reguły gry — nie wystarczy „udowodnić, że powód zwolnienia był inny", trzeba to wykazać z dokumentacją, która jest gotowa na kontrolę RPO lub sądu pracy.

Odpowiedzialność cywilna pracodawcy

Niezależnie od kar administracyjnych i odpowiedzialności karnej, sygnalista może dochodzić roszczeń cywilnych na drodze sądowej. W praktyce to właśnie roszczenia cywilne bywają najbardziej kosztowne dla pracodawcy, ponieważ obejmują:

  • odszkodowanie za utracone wynagrodzenie (w tym premie i świadczenia zmienne),
  • zadośćuczynienie za naruszenie dóbr osobistych (mobbing, dyskryminacja, stres),
  • przywrócenie do pracy na poprzednich warunkach,
  • pokrycie kosztów postępowania sądowego i zastępstwa procesowego.

W sprawach o mobbing sądy coraz chętniej zasądzają kwoty rzędu 20 000–80 000 zł, a w przypadkach rażących naruszeń — nawet powyżej 100 000 zł. Dochodzą do tego odsetki ustawowe za opóźnienie, które naliczane są od dnia wymagalności roszczenia, oraz wpis sądowy i koszty pełnomocnika. Łatwo policzyć, że pojedynczy proces może kosztować pracodawcę kilkaset tysięcy złotych — niezależnie od tego, czy wygra, czy przegra.

Warto zwrócić uwagę na jeszcze jeden wymiar odpowiedzialności cywilnej: roszczenia osób trzecich, które poniosły szkodę wskutek niezgłoszenia naruszenia (np. kontrahenci, akcjonariusze, klienci). Brak kanału zgłoszeń może być traktowany jako podstawa do pozwu zbiorowego, szczególnie w kontekście dyrektywy o odpowiedzialności za szkody wyrządzone przez naruszenie prawa konkurencji i dyrektywy ESG. Roszczenia te mogą wielokrotnie przewyższać wysokość samych grzywien administracyjnych.

Statystyki kontroli i najczęstsze naruszenia wykrywane w Polsce

Dane z pierwszych miesięcy funkcjonowania ustawy wskazują, że RPO nie zamierza traktować nowych kompetencji symbolicznie. W 2025 r. przeprowadzono ponad 60 kontroli doraźnych, z czego w ponad połowie przypadków stwierdzono naruszenia. Najczęściej wykrywane nieprawidłowości to:

  • brak formalnie wyznaczonej osoby odpowiedzialnej za przyjmowanie zgłoszeń (naruszenie art. 14 ustawy),
  • prowadzenie „kanału zgłoszeń" w postaci zwykłego adresu e-mail, bez zapewnienia poufności i bez ścieżki postępowania wyjaśniającego,
  • brak procedury anonimizacji danych sygnalisty w dokumentacji pracowniczej,
  • niedostępność kanału dla osób niebędących pracownikami (zleceniobiorcy, stażyści, kontrahenci),
  • brak wpisu do wewnętrznego rejestru zgłoszeń lub jego prowadzenie niezgodnie z wymogami (np. bez wymaganych terminów 7-dniowych i 3-miesięcznych).

Kontrole objęły zarówno duże przedsiębiorstwa zatrudniające setki osób, jak i średnie firmy usługowe i produkcyjne. Co szczególnie istotne — w kilku przypadkach RPO zastosował sankcje finansowe jednocześnie za kilka naruszeń, kumulując grzywny. W najgłośniejszym medialnie przypadku łączna kwota grzywien przekroczyła 250 000 zł. Te liczby jasno pokazują, że grzywna brak systemu zgłoszeń to nie hipoteza, lecz realne konsekwencje.

Co zrobić, jeśli macie jeszcze czas, ale nie macie systemu

Wielu zarządów pyta dziś nie „czy wdrażać", lecz „od czego zacząć". Odpowiedź zależy od wielkości organizacji i tego, czy podlega pod obowiązki wynikające bezpośrednio z eu whistleblowing compliance. Jeśli firma zatrudnia co najmniej 50 osób lub działa w sektorze regulowanym (finanse, zdrowie, energetyka, transport) — obowiązek istnieje i czasu na „obserwowanie rynku" już nie ma.

Pierwsza decyzja dotyczy modelu kanału. Warianty to:

  • rozwiązanie wewnętrzne (in-house) — wymaga wyznaczenia osoby odpowiedzialnej, opracowania procedury, prowadzenia rejestru, zapewnienia poufności i szkolenia. Realny koszt wdrożenia i utrzymania w pierwszym roku to zazwyczaj 80 000–250 000 zł (czas compliance officera, IT, szkolenia, audyty). Ryzyko: nawet najlepszy system in-house nie gwarantuje szyfrowania end-to-end i bywa pomijany przez pracowników, którzy nie ufają działowi HR.
  • rozwiązanie SaaS dedykowane whistleblowingowi — gotowe narzędzie zgodne z ustawą, prowadzone przez zewnętrznego dostawcę, z funkcjami automatycznego śledzenia terminów, dziennikiem gotowym do audytu i gwarancjami bezpieczeństwa (szyfrowanie, hosting w UE). Realny koszt to ułamek wdrożenia in-house, a czas uruchomienia — dni, nie miesiące.

Dla organizacji, które chcą uniknąć budowania systemu od zera, internal reporting channel w modelu SaaS jest najczęściej optymalnym wyborem — szczególnie gdy wymagana jest zgodność z dyrektywą UE, RODO i przepisami sektorowymi jednocześnie.

Druga decyzja to polityka wewnętrzna wobec anonimowości. Ustawa co do zasady chroni sygnalistów, którzy ujawniają tożsamość, ale w praktyce — anonimowość jest kluczowa dla psychologicznego bezpieczeństwa pracowników. Im silniejsza gwarancja anonimowości (szyfrowanie end-to-end, brak logów IP, brak wymogu podawania danych), tym większa liczba zgłoszeń i ich jakość.

Trzecia decyzja to komunikacja wewnętrzna. Samo wdrożenie kanału nie wystarczy — pracownicy muszą wiedzieć, że kanał istnieje, komu służy i co chroni. Bez aktywnej komunikacji wewnętrznej kanał pozostaje martwym narzędziem, a RPO traktuje brak świadomości pracowników jako jedno z naruszeń.

Checklist 6 kroków na najbliższe 90 dni

Infographic: Checklist 6 kroków na najbliższe 90 dni Poniższa lista została przygotowana z myślą o compliance officerach i zarządach, które muszą szybko przejść od diagnozy do działania. Każdy krok zawiera konkretny, weryfikowalny kamień milowy.

  1. Dzień 1–14: Audyt luk — porównajcie obecny stan z wymogami ustawy o ochronie sygnalistów. Zidentyfikujcie, czy prowadzicie formalny kanał, czy jest osoba odpowiedzialna, czy istnieje rejestr i procedura. W tym kroku warto skonsultować się ze specjalistą for compliance officers, który pomoże ocenić skalę braków.
  2. Dzień 15–30: Wybór modelu — zdecydujcie między rozwiązaniem in-house a SaaS. Przy wyborze SaaS upewnijcie się, że dostawca oferuje hosting w UE, szyfrowanie end-to-end, dziennik gotowy do audytu i obsługę wielu języków.
  3. Dzień 31–45: Wdrożenie techniczne — uruchomcie kanał, skonfigurujcie osobę odpowiedzialną, przetestujcie ścieżkę zgłoszenia i odpowiedzi. Upewnijcie się, że terminy 7 dni (potwierdzenie) i 3 miesięcy (odpowiedź zwrotna) są automatycznie śledzone.
  4. Dzień 46–60: Procedura wewnętrzna — przygotujcie i zatwierdźcie regulamin zgłoszeń wewnętrznych, politykę ochrony sygnalisty, zasady prowadzenia rejestru i postępowania wyjaśniającego. Procedura musi być spójna z prawem pracy i RODO.
  5. Dzień 61–75: Szkolenia i komunikacja — przeprowadźcie szkolenie dla zarządu i kadry kierowniczej, a dla pozostałych pracowników przygotujcie krótką kampanię informacyjną (e-mail, intranet, spotkanie zespołu). Pamiętajcie: brak świadomości pracowników = naruszenie.
  6. Dzień 76–90: Pierwszy audyt wewnętrzny — przejdźcie pełen scenariusz zgłoszenia testowego, sprawdźcie dziennik audytu, eksport do PDF/XML i gotowość dokumentacji na kontrolę RPO. To ostatni moment, żeby wykryć braki przed prawdziwą kontrolą.

Po 90 dniach macie nie tylko formalnie zgodny kanał, ale też dowód należytej staranności — kluczowy w przypadku kontroli i ewentualnego postępowania.

Podsumowanie dla zarządu. W 2025 r. kary za brak kanału zgłoszeń sygnalistów są już faktem, nie teorią. Grzywny administracyjne do 1 000 000 zł, osobista odpowiedzialność karna za działania odwetowe, roszczenia cywilne przekraczające setki tysięcy złotych i utrata reputacji — to realne konsekwencje braku działania. Koszt wdrożenia zgodnego kanału w modelu SaaS jest rzędu kilku tysięcy euro rocznie, czyli ułamek potencjalnych sankcji. Dla zarządów, które myślą strategicznie, wdrożenie nie jest kosztem — jest ubezpieczeniem.

Zacznij od 14-dniowego okresu próbnego na /pl – pełna funkcjonalność bez karty kredytowej.

Źródła

Sankcje za brak kanału zgłoszeń – newsletter dla zarządów | Ashio