Ashio whistleblowing software

Sep 23, 2026

Kary za brak rejestru zgłoszeń sygnalistów — realne sankcje

Kary za brak rejestru zgłoszeń sygnalistów — realne sankcje

Brak rejestru zgłoszeń sygnalistów to nie formalność, której nikt nie sprawdza — Państwowa Inspekcja Pracy regularnie kontroluje dokumentację, a grzywna za nieustanowienie procedury zgłoszeń wewnętrznych może sięgnąć kilkudziesięciu tysięcy złotych, a w skrajnych przypadkach zakończyć się karą pozbawienia wolności do roku. Konsekwencje nie ograniczają się do abstrakcyjnej „sankcji administracyjnej" — uderzają w konkretne osoby z zarządu i mogą obciążyć je osobiście. W tym artykule wyjaśniam, jakie dokładnie kary grożą za brak rejestru zgłoszeń sygnalistów, kto realnie odpowiada, kiedy sprawa z wykroczenia zmienia się w przestępstwo, co musi znaleźć się w dokumentacji, żeby uchronić się przed karą, oraz jak krok po kroku naprawić braki po kontroli PIP.

Spis treści

Najważniejsze wnioski

  • Brak wewnętrznej procedury zgłoszeń z istotnym naruszeniem wymogów ustawowych to wykroczenie zagrożone grzywną, karą ograniczenia wolności albo pozbawienia wolności do roku — odpowiedzialność spoczywa na osobie odpowiedzialnej za wdrożenie procedury, nie anonimowo na spółce.
  • Rejestr zgłoszeń musi zawierać numer zgłoszenia, datę, przedmiot naruszenia, dane niezbędne do identyfikacji zgłaszającego i osoby, której dotyczy zgłoszenie, oraz informacje o statusie i podjętych działaniach następczych — bez tego rejestr jest niezgodny z ustawą, nawet jeśli fizycznie istnieje.
  • Termin przechowywania danych w rejestrze wynosi 3 lata od zakończenia działań następczych, a obowiązkowe terminy odpowiedzi to 7 dni na potwierdzenie przyjęcia i 3 miesiące na informację zwrotną.
  • Kontrola PIP po kontroli PIP nie kończy się grzywną — niezgodny rejestr oznacza też ryzyko odpowiedzialności odszkodowawczej wobec sygnalisty, którego dane nie zostały poprawnie chronione, oraz utratę możliwości obrony w sporze sądowym.
  • Naprawa po kontroli wymaga czterech kroków: pisemnego ustalenia stanu faktycznego, wdrożenia lub aktualizacji procedury, założenia lub uzupełnienia rejestru i dokumentacji działań następczych oraz przeszkolenia osób obsługujących zgłoszenia.

Jakie konkretne kary grożą za brak rejestru zgłoszeń sygnalistów?

Sankcje za brak rejestru sygnalistów dzielą się na trzy warstwy, z których każda nakłada się na poprzednią i żadna nie wyklucza kolejnej. Pierwsza to odpowiedzialność karna za samo nieustanowienie procedury zgłoszeń wewnętrznych albo jej istotne naruszenie — zgodnie z art. 58 ustawy o ochronie sygnalistów sprawca podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do roku. Druga to odpowiedzialność za działania odwetowe wobec zgłaszającego, za ujawnienie jego tożsamości lub za utrudnianie dokonania zgłoszenia — tu górna granica kary rośnie nawet do trzech lat pozbawienia wolności. Trzecia, równie bolesna, to odpowiedzialność cywilna i odszkodowawcza wobec sygnalisty, który poniósł szkodę wskutek braku zgodnego kanału.

Ile wynosi górna granica grzywny w praktyce?

Grzywna z art. 58 ma charakter wykroczeniowy i jej wymiar ustala sąd, ale w sprawach o nieustanowienie procedury sądy orzekają kwoty od kilku do kilkudziesięciu tysięcy złotych, a w przypadku uporczywego ignorowania obowiązku i towarzyszących mu naruszeń (np. ujawnienia tożsamości) kwoty rosną. Kary z ustawy o ochronie sygnalistów przewidują zarówno grzywny, jak i karę pozbawienia wolności do trzech lat. Dla porządku — sama kara pozbawienia wolności do roku oznacza, że sprawa trafia do wykazu karalnego i utrudnia późniejsze pełnienie funkcji w organach spółek.

Dlaczego PIP traktuje brak rejestru priorytetowo?

Państwowa Inspekcja Pracy prowadzi kontrole planowe i doraźne, a obowiązek prowadzenia rejestru zgłoszeń sygnalistów jest jednym z punktów sprawdzanych w pierwszej kolejności w podmiotach zatrudniających co najmniej 50 osób. Inspektor porównuje stan faktyczny z wymogami ustawy i sprawdza, czy procedura została nie tylko przyjęta, lecz także realnie wdrożona — to znaczy, czy istnieje zgodny kanał zgłoszeń, czy rejestr jest prowadzony na bieżąco i czy zachowano terminy odpowiedzi. Sam fakt posiadania papierowej instrukcji nie chroni przed zarzutem, że procedura została ustanowiona z istotnym naruszeniem wymogów.

Kto odpowiada za prowadzenie rejestru i kto ponosi karę — prezes, członek zarządu czy spółka?

Kto odpowiada za prowadzenie rejestru, zależy od tego, komu podmiot prywatny lub publiczny powierzył ustanowienie procedury — i to na tej osobie spoczywa osobista odpowiedzialność karna, nie anonimowo na spółce. W praktyce są to najczęściej członkowie zarządu, dyrektorzy jednoosobowych spółek lub osoby wyznaczone uchwałą, np. compliance officer czy dyrektor HR. Spółka jako osoba prawna może odpowiadać na zasadach ogólnych za własne zaniechania, ale przepisy karne ustawy o ochronie sygnalistów adresowane są do osób fizycznych wskazanych w art. 58 — odpowiedzialny za ustanowienie procedury.

Czy prezes zawsze odpowiada osobiście?

Nie zawsze — ale domniemanie działa na jego niekorzyść, jeśli nie wykaże, że wyznaczył inną osobę i wyposażył ją w realne narzędzia oraz uprawnienia do wdrożenia procedury. Samo formalne „zdjęcie odpowiedzialności" uchwałą nie wystarczy, jeśli osoba wyznaczona nie miała budżetu, dostępu do systemu zgłoszeń ani wsparcia zarządu. W oczach inspektora PIP to prezes pozostaje osobą de facto odpowiedzialną, ponieważ zaniechał faktycznego nadzoru.

Jak udowodnić, że odpowiedzialny jest kto inny?

Trzeba udokumentować trzy elementy: pisemne wyznaczenie osoby odpowiedzialnej, formalne przekazanie jej uprawnień (np. dostęp do systemu, prawo żądania wyjaśnień od działów) oraz regularny nadzór zarządu nad jej pracą. Bez tych trzech śladów trudno będzie obronić tezę, że odpowiedzialność spoczywa na kimś innym. Osobom odpowiedzialnym za prowadzenie rejestru warto zadbać o pisemny zakres obowiązków i o to, żeby uchwała zarządu nie była martwym zapisem.

Kiedy brak rejestru traktowany jest jako wykroczenie, a kiedy jako przestępstwo skarbowe?

Co grozi za brak rejestru zgłoszeń zależy od kwalifikacji czynu — w podstawowym scenariuszu mamy do czynienia z wykroczeniem z art. 58 ustawy o ochronie sygnalistów, zagrożonym grzywną, karą ograniczenia wolności albo pozbawienia wolności do roku. Sprawa kwalifikuje się poważniej, gdy brak rejestru towarzyszy ujawnieniu tożsamości sygnalisty, działaniom odwetowym lub świadomemu utrudnianiu dokonania zgłoszenia — wtedy górna granica kary sięga trzech lat pozbawienia wolności. Przestępstwo skarbowe pojawia się natomiast wtedy, gdy naruszeniu towarzyszą czyny z Kodeksu karnego skarbowego, np. fałszowanie dokumentacji prowadzonej dla celów podatkowych lub celnych — sam brak rejestru zwykle nie jest przestępstwem skarbowym, ale kontekst finansowy firmy może zmienić kwalifikację.

Czy zawsze chodzi o to samo przepisy karne?

Nie — ustawa przewiduje odrębne typy czynów zabronionych, w tym karę za nieustanowienie procedury (art. 58), karę za działania odwetowe wobec sygnalisty, karę za ujawnienie tożsamości osoby zgłaszającej lub pomagającej w zgłoszeniu, oraz karę za utrudnianie dokonania zgłoszenia. Każdy z tych czynów ma własne znamiona i własną górną granicę zagrożenia, a ich kumulacja w jednej sprawie jest możliwa i w praktyce obserwowana.

Co dokładnie musi być udokumentowane, aby rejestr był zgodny z ustawą i uchronił przed karą?

Wewnętrzna dokumentacja zgłoszeń obejmuje dwie warstwy: sam rejestr zgłoszeń oraz dokumentację działań następczych. W rejestrze należy odnotować unikalny numer zgłoszenia, datę jego wpływu, przedmiot naruszenia, dane niezbędne do identyfikacji zgłaszającego oraz osoby, której zgłoszenie dotyczy, klasyfikację naruszenia i informacje o statusie sprawy. Poza tym ustawa wymaga, żeby każde zgłoszenie otrzymało potwierdzenie przyjęcia w terminie 7 dni oraz informację zwrotną o planowanych lub podjętych działaniach następczych w terminie nieprzekraczającym 3 miesięcy. Bez tych elementów rejestr jest niezgodny z ustawą, nawet jeśli fizycznie istnieje.

Jakie pola rejestru są obowiązkowe?

W praktyce niezgodny z ustawą jest rejestr, który zawiera wyłącznie liczbę zgłoszeń w roku, nie pozwala na odtworzenie przebiegu sprawy ani nie umożliwia wykazania, że zachowano terminy odpowiedzi. Bez podstawowych pól — daty wpływu, krótkiego opisu przedmiotu, statusu (przyjęte, w toku, zamknięte) i informacji o podjętych działaniach następczych — rejestr nie spełnia funkcji dowodowej, jakiej oczekuje inspektor PIP i sąd pracy.

Jak długo przechowywać dane w rejestrze?

Termin przechowywania danych w rejestrze wynosi 3 lata od dnia zakończenia działań następczych — to wystarczająco długo, żeby zabezpieczyć dokumentację na potrzeby kontroli PIP, postępowań wyjaśniających i ewentualnych sporów sądowych z sygnalistą. Po upływie tego terminu dane powinny zostać usunięte lub zanonimizowane, chyba że odrębne przepisy nakazują ich dalsze przechowywanie.

Czy Excel wystarczy jako rejestr?

Excel jako nośnik danych może technicznie spełniać funkcję rejestru, ale tylko pod warunkiem, że spełnia wymogi ustawy: zapewnia poufność tożsamości zgłaszającego, ogranicza dostęp do ściśle wyznaczonych osób, nie pozwala na niekontrolowane kopiowanie i umożliwia prowadzenie dziennika aktywności potrzebnego do audytu. W praktyce wiele firm prowadzi rejestr w arkuszu udostępnionym całemu działowi HR — to klasyczne naruszenie wymogu poufności i jeden z najczęstszych zarzutów podczas kontroli. Dla osób, które chcą mieć pewność, że dokumentacja jest zgodna i gotowa na audyt, Ashio dla specjalistów compliance udostępnia kanał z niezmiennym dziennikiem aktywności i szyfrowaniem end-to-end.

Jak skorygować braki w rejestrze po kontroli PIP — krok po kroku

Jak skorygować braki w rejestrze po kontroli PIP — krok po kroku Kontrola PIP po kontroli nie musi kończyć się procesem sądowym, jeśli firma potraktuje ją poważnie i przeprowadzi korektę protokołu zanim sprawa trafi do sądu. Kluczem jest szybkość i systemowość — pojedyncze „załatanie" braków nie wystarczy, bo inspektor zwróci uwagę na kompletność dokumentacji w całym okresie objętym kontrolą.

Krok 1: Ustal stan faktyczny i zakres braków

Zbierz pisemnie, co dokładnie zarzuca protokół: brak procedury, brak rejestru, brak potwierdzeń w terminie 7 dni, brak informacji zwrotnej w terminie 3 miesięcy, brak ochrony tożsamości. Sporządź mapę braków w podziale na poszczególne zgłoszenia i okresy — to pozwoli ustalić, które sprawy wymagają ponownego potwierdzenia przyjęcia, a gdzie trzeba uzupełnić dokumentację działań następczych.

Krok 2: Wdróż lub zaktualizuj procedurę zgłoszeń wewnętrznych

Jeśli procedury nie było, przyjmij ją uchwałą zarządu i wskaż osobę odpowiedzialną za jej prowadzenie, kanał zgłoszeń oraz terminy. Jeśli procedura istniała, ale była wadliwa, zaktualizuj ją tak, by obejmowała wszystkie wymagane elementy: poufność, ochronę tożsamości, obowiązek potwierdzenia w 7 dni i informacji zwrotnej w 3 miesiące, zakaz działań odwetowych oraz katalog naruszeń. Pamiętaj, że sama uchwała nie wystarczy — inspektor zapyta o dowody, że procedura została faktycznie wdrożona w organizacji.

Krok 3: Uzupełnij rejestr i dokumentację działań następczych

Odtwórz na podstawie dostępnych śladów (maile, notatki, korespondencja) brakujące wpisy w rejestrze, w tym daty wpływu, przedmiot zgłoszenia, klasyfikację, status i podjęte działania następcze. Jeśli braki są tak duże, że nie da się odtworzyć stanu faktycznego, udokumentuj to w protokole wewnętrznym i poinformuj inspektora — uczciwe opisanie skali braków działa lepiej niż ich ukrywanie. Jednocześnie przejdź na narzędzie, które od tej pory zapewni niezmienny dziennik aktywności i gotowość do audytu — w ofercie Ashio dostępny jest szyfrowany, hostowany w Szwajcarskich centrach danych kanał zgłoszeń zaprojektowany z myślą o takich kontrolach.

Krok 4: Przeszkol osoby obsługujące zgłoszenia i monitoruj terminy

Przeszkol compliance officera, HR i przełożonych z zakresu terminów, ochrony tożsamości i zakazu działań odwetowych, a następnie wdróż stały monitoring: kto odpowiada za przypomnienia o terminie 7 dni i 3 miesięcy, kto zatwierdza wpisy w rejestrze, kto ma prawo żądać wyjaśnień od działów merytorycznych. Bez tego ten sam scenariusz powtórzy się przy kolejnej kontroli.

Często zadawane pytania

Czy brak rejestru zgłoszeń to wykroczenie czy przestępstwo?

Brak rejestru zgłoszeń sygnalistów stanowi wykroczenie z art. 58 ustawy o ochronie sygnalistów, zagrożone grzywną, karą ograniczenia wolności albo pozbawienia wolności do roku. Sprawa może zostać zakwalifikowana poważniej, gdy brak rejestru towarzyszy ujawnieniu tożsamości, działaniom odwetowym lub świadomemu utrudnianiu zgłoszenia — wtedy górna granica kary rośnie do trzech lat pozbawienia wolności.

Kto realnie ponosi karę — spółka czy konkretna osoba?

Karę z art. 58 ponosi osoba fizyczna odpowiedzialna za ustanowienie procedury zgłoszeń wewnętrznych — najczęściej członek zarządu, dyrektor lub wyznaczony pisemnie compliance officer. Spółka odpowiada na zasadach ogólnych za własne zaniechania, ale przepisy karne adresowane są do konkretnej osoby, którą inspektor PIP wskazuje z imienia i nazwiska w protokole.

Czy wystarczy, że procedura istnieje na papierze?

Nie — inspektor PIP ocenia, czy procedura została nie tylko przyjęta, lecz także realnie wdrożona. Sam dokument bez działającego kanału, bez rejestru i bez zachowanych terminów odpowiedzi traktowany jest jako „procedura ustanowiona z istotnym naruszeniem wymogów", co wypełnia znamiona czynu z art. 58.

Jak długo trzeba przechowywać dane w rejestrze?

Termin przechowywania danych w rejestrze wynosi 3 lata od dnia zakończenia działań następczych. Po upływie tego okresu dane powinny zostać usunięte lub zanonimizowane, chyba że odrębne przepisy nakazują dalsze przechowywanie.

Czy można poprawić rejestr po kontroli, żeby uniknąć kary?

Tak — można uzupełnić braki w dokumentacji i wdrożyć procedurę zgłoszeń wewnętrznych, ale trzeba liczyć się z tym, że wcześniejsze naruszenia i tak mogą stanowić podstawę do wymierzenia grzywny. Korekta po kontroli jest konieczna, ale nie zwalnia z odpowiedzialności za okres, w którym rejestr nie spełniał wymogów ustawy.

Źródła