Ashio whistleblowing software

Oct 12, 2026

Kto może być sygnalistą w firmie — krąg osób uprawnionych do zgłoszenia

Kto może być sygnalistą w firmie — krąg osób uprawnionych do zgłoszenia

Ustawa o ochronie sygnalistów nie chroni wyłącznie etatowych pracowników — zaskakująco szeroki krąg osób może skorzystać z ochrony, ale w praktyce wciąż powstaje pytanie: czy ta konkretna osoba się kwalifikuje? W polskim porządku prawnym odpowiedź na pytanie, kto może być sygnalistą, znajduje się przede wszystkim w ustawie z 14 czerwca 2024 r. o ochronie sygnalistów, która wdraża dyrektywę Parlamentu Europejskiego i Rady (UE) 2019/1937. Odpowiedź jest szersza, niż sugeruje potoczne rozumienie słowa „pracownik" — obejmuje ona zleceniobiorców, stażystów, byłych pracowników, a nawet osoby, które dopiero ubiegają się o zatrudnienie. Praktyka w małych i średnich firmach pokazuje jednak, że to właśnie ta pozornie prosta definicja bywa źródłem największych wątpliwości przy weryfikacji konkretnego zgłoszenia.

Spis treści

Najważniejsze wnioski

  • Sygnalistą może być nie tylko pracownik etatowy, lecz także zleceniobiorca, stażysta, praktykant, wspólnik, wolontariusz, a także kandydat do pracy i były pracownik — ustawa obejmuje ich ochroną na równi z obecnym personelem.
  • Warunkiem ochrony nie jest formalne potwierdzenie statusu, lecz racjonalne przekonanie osoby zgłaszającej, że informacja o naruszeniu była prawdziwa w momencie dokonania zgłoszenia.
  • Obowiązek ustalenia, kto zgłasza, spoczywa na podmiocie prywatnym — zbyt wąska lub zbyt pochopna weryfikacja podmiotowa może skutkować odpowiedzialnością odszkodowawczą wobec osoby, której ochrony odmówiono.
  • Status osoby zgłaszającej powinien być odnotowany w rejestrze zgłoszeń w sposób pozwalający na późniejszą weryfikację, ale bez ujawniania danych, które mogłyby zidentyfikować sygnalistę.
  • Kanał zgłoszeń powinien umożliwiać obsługę zarówno zgłoszeń anonimowych, jak i jawnych, ponieważ obie formy korzystają z ustawowej ochrony.

Kto może być sygnalistą w firmie — definicja z ustawy i kto ją spełnia

Sygnalistą jest każda osoba fizyczna, która zgłasza informację o naruszeniu prawa uzyskaną w kontekście związanym z pracą, niezależnie od tego, czy jej stosunek z firmą ma charakter etatowy, cywilnoprawny, czy jeszcze nie istnieje. Ustawa o ochronie sygnalistów z 14 czerwca 2024 r., implementująca dyrektywę 2019/1937, posługuje się szerokim pojęciem „kontekstu związanego z pracą" — obejmuje on zarówno aktywne wykonywanie obowiązków, jak i sytuacje, w których relacja z pracodawcą już ustała lub dopiero ma powstać.

W praktyce oznacza to, że krąg osób uprawnionych do zgłoszenia w firmie obejmuje co najmniej:

  • pracowników w rozumieniu Kodeksu pracy, w tym pracowników tymczasowych,
  • osoby świadczące pracę na podstawie umowy zlecenia, umowy o dzieło lub innej umowy cywilnoprawnej,
  • przedsiębiorców prowadzących jednoosobową działalność, współpracujących z firmą na podstawie umowy B2B,
  • wspólników i członków organów spółek,
  • stażystów, praktykantów i wolontariuszy,
  • byłych pracowników i zleceniobiorców,
  • kandydatów do pracy, którzy uzyskali informację o naruszeniu w toku rekrutacji.

Definicja sygnalisty w ustawie nie wymaga przy tym, by zgłoszenie dotyczyło wyłącznie stosunku pracy osoby zgłaszającej. Istotne jest, by informacja o naruszeniu została uzyskana w kontekście związanym z pracą — a więc przy okazji wykonywania obowiązków, korzystania z usług firmy, kontaktów służbowych czy relacji biznesowych. Dla specjalistów HR, którzy na co dzień weryfikują, czy konkretna osoba jest uprawniona do ochrony, oznacza to konieczność każdorazowego badania związku między informacją a kontekstem jej uzyskania, a nie tylko formalnego statusu zatrudnienia.

Czy zleceniobiorca, stażysta i praktykant są sygnalistami?

Zleceniobiorca, stażysta i praktykant są sygnalistami w rozumieniu ustawy, o ile zgłaszają informację o naruszeniu uzyskaną w kontekście współpracy z firmą. Ustawodawca celowo rozszerzył ochronę poza klasyczny stosunek pracy, ponieważ wiele naruszeń — zwłaszcza w obszarze zamówień publicznych, bezpieczeństwa produktów czy ochrony danych — ujawnianych jest właśnie przez osoby współpracujące na podstawie umów cywilnoprawnych lub w ramach krótkotrwałych programów stażowych.

W praktyce oznacza to, że ochroną objęci są:

  • Zleceniobiorcy i wykonawcy dzieła — także wtedy, gdy współpraca trwała zaledwie kilka tygodni, pod warunkiem że informacja o naruszeniu została uzyskana przy okazji realizacji zlecenia.
  • Stażyści i praktykanci — zarówno w ramach programów uczelnianych, jak i wewnętrznych programów rozwojowych firmy, ponieważ ustawa obejmuje osoby „nabywające doświadczenie zawodowe".
  • Wolontariusze — w tym osoby działające na rzecz organizacji pozarządowych współpracujących z firmą.
  • Pracownicy tymczasowi — zatrudnieni przez agencję pracy tymczasowej, ale wykonujący pracę na rzecz firmy-beneficjenta.
  • Wspólnicy i członków zarządu — w tym osoby pełniące funkcje w organach spółek zależnych i stowarzyszonych.

Wspólną cechą wszystkich tych sytuacji jest to, że osoba zgłaszająca uzyskała wiedzę o naruszeniu w ramach faktycznej współpracy z firmą, a nie jako zewnętrzny obserwator. W przypadku wątpliwości dotyczących statusu prawnego osoby, która dokonała zgłoszenia, materiał przygotowany z myślą o specjalistach ds. zgodności zwraca uwagę, że granicę ochrony wyznacza kontekst uzyskania informacji, a nie formalny tytuł umowy.

Co z byłym pracownikiem lub kandydatem do pracy?

Były pracownik i kandydat do pracy mogą być sygnalistami, jeśli uzyskali informację o naruszeniu odpowiednio w trakcie zatrudnienia lub w toku rekrutacji. Ustawa wyraźnie obejmuje ochroną osoby, których stosunek pracy już ustał, oraz osoby, które dopiero ubiegają się o zatrudnienie — pod warunkiem, że informacja o naruszeniu została pozyskana w ramach tej relacji. W praktyce HR oznacza to, że zgłoszenie od osoby, która odeszła z firmy dwa lata temu, ale dysponuje dokumentacją z czasu zatrudnienia, korzysta z pełnej ochrony ustawowej. Analogicznie kandydat, który podczas rozmowy kwalifikacyjnej zaobserwował nieprawidłowości, również spełnia ustawową definicję.

Jak rozpoznać osobę uprawnioną na etapie przyjmowania zgłoszenia?

Osobę uprawnioną rozpoznaje się przez ustalenie trzech elementów: jej statusu wobec firmy, kontekstu uzyskania informacji oraz dobrej wiary w momencie zgłoszenia. Weryfikacja podmiotowa nie powinna być tożsama z żądaniem pełnej dokumentacji zatrudnienia — ustawa chroni także osoby zgłaszające anonimowo, od których nie można wymagać okazania umowy o pracę.

Praktyczna procedura weryfikacji powinna obejmować:

  • Ustalenie relacji z firmą — czy osoba zgłasza w ramach aktywnej współpracy, po jej zakończeniu czy przed jej rozpoczęciem.
  • Identyfikację kontekstu uzyskania informacji — czy informacja o naruszeniu została pozyskana przy okazji wykonywania obowiązków, kontaktów służbowych czy relacji biznesowych.
  • Ocenę dobrej wiary — czy w momencie zgłoszenia istniały racjonalne podstawy, by sądzić, że informacja jest prawdziwa.
  • Unikanie żądania danych identyfikujących — osoba zgłaszająca ma prawo zachować anonimowość, a żądanie ujawnienia tożsamości stanowi działanie odwetowe w rozumieniu ustawy.
  • Dokumentację ustaleń — w rejestrze zgłoszeń należy odnotować kategorię statusu osoby zgłaszającej, bez ujawniania danych, które mogłyby ją zidentyfikować.

Granicą ochrony nie jest przy tym brak formalnego statusu pracownika, lecz brak kontekstu związanego z pracą. Osoba postronna, która dowiedziała się o naruszeniu z mediów społecznościowych i zgłasza je bez własnego związku z firmą, nie korzysta z ochrony ustawowej. Natomiast wspólnik spółki zależnej, który uzyskał informację podczas posiedzenia zarządu, korzysta z niej w pełnym zakresie.

Czy zgłoszenie anonimowe ma taką samą ochronę jak jawne?

Tak — zgłoszenie anonimowe korzysta z pełnej ochrony ustawowej, pod warunkiem, że później możliwe jest nawiązanie kontaktu z osobą zgłaszającą. Ustawa o ochronie sygnalistów nie wymaga ujawnienia tożsamości jako warunku sine qua non ochrony. Anonimowe zgłoszenie traktowane jest na równi z jawnym, a organ przyjmujący ma obowiązek zapewnić kanał komunikacji, który pozwala na uzupełnienie informacji i przekazanie informacji zwrotnej bez ujawniania tożsamości.

Granice ochrony sygnalisty — kiedy ustawa nie działa?

Granice ochrony sygnalisty — kiedy ustawa nie działa? Ustawa nie działa w trzech sytuacjach: gdy informacja o naruszeniu nie została uzyskana w kontekście związanym z pracą, gdy zgłoszenie dotyczy wyłącznie interesów osobistych zgłaszającego oraz gdy zgłoszenie zostało dokonane w złej wierze. Każda z tych sytuacji wymaga od podmiotu prywatnego odrębnej oceny, przy czym ciężar dowodu braku ochrony spoczywa na podmiocie, który tej ochrony odmawia.

W praktyce oznacza to, że ochrona nie obejmuje:

  • Zgłoszeń dotyczących wyłącznie indywidualnego sporu pracowniczego — np. żądania wypłaty ekwiwalentu za urlop, które nie jest powiązane z naruszeniem prawa w rozumieniu dyrektywy 2019/1937.
  • Informacji uzyskanych przypadkowo, bez związku z wykonywaną pracą — np. przez osobę postronną, która przypadkiem zapoznała się z dokumentacją.
  • Zgłoszeń dokonanych w złej wierze — tj. ze świadomością, że informacja jest nieprawdziwa, lub z zamiarem wyrządzenia szkody zgłoszonemu podmiotowi.
  • Informacji już publicznie dostępnych — chyba że stanowią one część większego naruszenia wymagającego zgłoszenia.
  • Naruszeń wyłączonych z zakresu ustawy — np. niektórych naruszeń bezpieczeństwa państwa objętych odrębnymi przepisami.

Granicę tę wyznacza art. 3 dyrektywy 2019/1937, który wprost wymaga, by zgłoszenie dotyczyło naruszeń prawa Unii w obszarach takich jak zamówienia publiczne, usługi finansowe, bezpieczeństwo produktów, ochrona środowiska czy ochrona danych osobowych. W przypadku ustawy polskiej lista ta jest szersza i obejmuje dodatkowo m.in. prawo pracy, korupcję czy zamówienia publiczne. Sygnalista, którego zgłoszenie wykracza poza te obszary, nie może powoływać się na ochronę ustawową — choć nadal mogą mu przysługiwać inne środki ochrony na gruncie prawa powszechnie obowiązującego.

Co grozi za odmowę ochrony osobie uprawnionej?

Odmowa ochrony osobie uprawnionej stanowi działanie odwetowe w rozumieniu ustawy i rodzi odpowiedzialność odszkodowawczą podmiotu prywatnego. Ustawa o ochronie sygnalistów penalizuje nie tylko bezpośrednie działania odwetowe, ale także pośrednie formy ograniczania praw osoby zgłaszającej — w tym odmowę potwierdzenia statusu sygnalisty, opóźnianie weryfikacji zgłoszenia czy ujawnianie informacji o osobie zgłaszającej osobom nieupoważnionym. W skrajnych przypadkach osoba, której odmówiono ochrony, może dochodzić roszczeń odszkodowawczych na zasadach określonych w Kodeksie cywilnym, a także zawiadomić Rzecznika Praw Obywatelskich, który prowadzi postępowania w sprawach naruszeń ustawy.

Jak udokumentować status osoby zgłaszającej w rejestrze zgłoszeń?

Status osoby zgłaszającej dokumentuje się w rejestrze zgłoszeń przez odnotowanie kategorii relacji z firmą, daty i sposobu uzyskania informacji oraz podstawy dobrej wiary — bez ujawniania danych umożliwiających identyfikację osoby zgłaszającej. Rejestr zgłoszeń wewnętrznych musi spełniać wymogi określone w ustawie o ochronie sygnalistów, a jednocześnie podlega przepisom RODO, co oznacza, że dane osobowe osoby zgłaszającej mogą być przechowywane wyłącznie w zakresie niezbędnym do realizacji obowiązków ustawowych.

W praktyce dokumentacja powinna obejmować:

  • Kategorię statusu osoby zgłaszającej — np. „pracownik", „zleceniobiorca", „były pracownik", „kandydat", „anonimowy sygnalista".
  • Datę i sposób uzyskania informacji o naruszeniu — bez szczegółów umożliwiających identyfikację osoby.
  • Opis kontekstu związanego z pracą — krótka notatka wskazująca, w jakich okolicznościach informacja została pozyskana.
  • Podstawę dobrej wiary — odnotowanie, że w momencie zgłoszenia istniały racjonalne przesłanki do uznania informacji za prawdziwą.
  • Datę potwierdzenia przyjęcia zgłoszenia — z zachowaniem ustawowego terminu 7 dni.
  • Datę przekazania informacji zwrotnej — z zachowaniem ustawowego terminu 3 miesięcy.

Rejestr powinien być prowadzony w formie elektronicznej, z ograniczonym dostępem do osób upoważnionych, i przechowywany przez okres wymagany przepisami RODO. Dane osobowe osoby zgłaszającej, które nie są niezbędne do prowadzenia postępowania, powinny zostać niezwłocznie usunięte. Wyłącznie w przypadku, gdy zgłoszenie jest przedmiotem postępowania sądowego lub administracyjnego, dane mogą być przechowywane do momentu prawomocnego zakończenia postępowania.

Dokumentacja statusu osoby zgłaszającej pełni podwójną funkcję: z jednej strony umożliwia późniejszą weryfikację zasadności ochrony w razie kontroli, z drugiej — chroni firmę przed zarzutami dyskryminacji lub odwetu. Brak takiej dokumentacji jest jedną z najczęstszych przyczyn negatywnych wyników audytów prowadzonych przez organy nadzoru i stanowi podstawę do stwierdzenia naruszenia obowiązków ustawowych przez podmiot prywatny. W przypadku wątpliwości dotyczących zakresu dokumentacji pomocne mogą być materiały z bazy wiedzy poświęcone prowadzeniu rejestru zgłoszeń.

Często zadawane pytania

Czy zgłoszenie anonimowe ma taką samą moc jak jawne?

Tak, zgłoszenie anonimowe korzysta z pełnej ochrony ustawowej, pod warunkiem że możliwe jest późniejsze nawiązanie dwukierunkowej komunikacji z osobą zgłaszającą. Ustawa nie wymaga ujawnienia tożsamości, a organy przyjmujące zgłoszenia są zobowiązane zapewnić kanał komunikacji umożliwiający zadawanie pytań uzupełniających i przekazywanie informacji zwrotnej bez ujawniania danych osobowych. W praktyce oznacza to, że zgłoszenie anonimowe podlega tym samym terminom weryfikacji (7 dni na potwierdzenie, 3 miesiące na informację zwrotną) co zgłoszenie jawne.

Czy wspólnik spółki z o.o. może być sygnalistą?

Tak, wspólnik spółki z o.o. może być sygnalistą, jeśli uzyskał informację o naruszeniu w kontekście związanym z pełnieniem funkcji w spółce. Ustawa o ochronie sygnalistów obejmuje ochroną osoby fizyczne pełniące funkcje w organach spółek, wspólników oraz osoby należące do organów nadzorczych. Ochrona obejmuje zarówno sytuacje, w których wspólnik działa w ramach zgromadzenia wspólników, jak i te, w których informacja uzyskana została nieformalnie — np. podczas kontaktów z kadrą zarządzającą. Warunkiem pozostaje związek informacji z kontekstem współpracy ze spółką.

Co z byłym pracownikiem — czy zgłoszenie po odejściu z firmy jest chronione?

Tak, zgłoszenie dokonane przez byłego pracownika jest chronione, o ile informacja o naruszeniu została uzyskana w okresie zatrudnienia lub w ramach relacji z firmą. Ustawa wyraźnie obejmuje ochroną osoby, których stosunek pracy lub współpracy ustał, ponieważ wiele naruszeń ujawnianych jest z opóźnieniem lub po zakończeniu zatrudnienia — np. gdy były pracownik dysponuje dokumentacją lub pamięcią o zdarzeniach z okresu zatrudnienia. Weryfikacja statusu byłego pracownika wymaga ustalenia, kiedy i w jakich okolicznościach informacja została pozyskana, a nie tylko formalnej daty zakończenia współpracy.

Czy każda firma prywatna musi prowadzić kanał zgłoszeń dla zleceniobiorców?

Tak, każda firma prywatna zobowiązana do wdrożenia wewnętrznego kanału zgłoszeń na podstawie ustawy o ochronie sygnalistów musi umożliwić dokonywanie zgłoszeń wszystkim osobom objętym ochroną, w tym zleceniobiorcom. Obowiązek ten wynika z art. 4 ustawy, który nakłada na podmioty prywatne zatrudniające co najmniej 50 osób obowiązek ustanowienia wewnętrznej procedury zgłoszeń, a katalog osób uprawnionych do jej stosowania jest tożsamy z katalogiem osób objętych ochroną. Wyłączenie zleceniobiorców z kręgu osób uprawnionych stanowi naruszenie ustawy i może skutkować odpowiedzialnością odszkodowawczą.

Jak odróżnić dobrego sygnalistę od osoby działającej w złej wierze?

Dobry sygnalista to osoba, która w momencie zgłoszenia działa w uzasadnionym przekonaniu, że informacja o naruszeniu jest prawdziwa; działanie w złej wierze oznacza świadome podanie nieprawdziwych informacji lub dokonanie zgłoszenia wyłącznie w celu wyrządzenia szkody. Granicę tę wyznacza art. 6 ustawy o ochronie sygnalistów, który chroni osobę zgłaszającą działającą w dobrej wierze, a nie wymaga, by zgłoszenie okazało się ostatecznie zasadne. W praktyce ocena dobrej wiary wymaga każdorazowego badania, czy istniały racjonalne przesłanki do dokonania zgłoszenia, nawet jeśli postępowanie wyjaśniające nie potwierdziło naruszenia.

Źródła