Dyrektywa unijna czekała na polską implementację prawie trzy lata. Trybunał Sprawiedliwości UE nałożył na Polskę karę 7 milionów euro za zwłokę. W czerwcu 2024 r. ustawa wreszcie weszła do Dziennika Ustaw, a od 25 września 2024 r. obowiązek wdrożenia wewnętrznego kanału zgłoszeń dotknął wszystkie firmy zatrudniające co najmniej 50 osób.
Jeśli prowadzisz firmę tej wielkości i nie masz jeszcze procedury — nie jesteś sam. Znaczna część polskich MŚP wciąż odkłada wdrożenie „na później”. Problem polega na tym, że „później” skończyło się prawie rok temu. Co konkretnie musisz przygotować, kto podlega ochronie i czym grozi brak wdrożenia — opisujemy poniżej.
Kim jest sygnalista i czego dotyczy ustawa
Sygnalista to osoba, która w kontekście pracy zgłasza naruszenie prawa popełnione przez pracodawcę, współpracownika lub kontrahenta. Kluczowe słowo: w kontekście pracy. Ustawa chroni nie tylko pracowników etatowych — obejmuje też zleceniobiorców, podwykonawców, wolontariuszy, a nawet osoby ubiegające się o pracę, które dowiedziały się o naruszeniu podczas rekrutacji.
Podstawą prawną jest ustawa z dnia 14 czerwca 2024 r. o ochronie sygnalistów (Dz.U. 2024 poz. 928), wdrażająca unijną dyrektywę 2019/1937 z dnia 23 października 2019 r. o ochronie osób zgłaszających naruszenia prawa Unii.
Ustawa wyznacza trzy ścieżki zgłaszania naruszeń:
- Zgłoszenie wewnętrzne — do firmy (kanał, który pracodawca musi ustanowić)
- Zgłoszenie zewnętrzne — do organu publicznego, np. Rzecznik Praw Obywatelskich, Urząd Ochrony Danych Osobowych, Komisja Nadzoru Finansowego
- Ujawnienie publiczne — do mediów lub opinii publicznej, gdy organy nie zareagowały
Co istotne: sygnalista nie musi najpierw korzystać z kanału wewnętrznego (art. 30 ust. 1). Może od razu iść do RPO czy innego właściwego organu. Dobrze działający kanał wewnętrzny zmniejsza ryzyko, że problemy wyjdą na zewnątrz — ale nie możesz wymagać go jako warunku wstępnego ani blokować drogi zewnętrznej.
Kogo dotyczy obowiązek — próg 50 pracowników
Art. 23 ustawy formułuje to precyzyjnie: obowiązek wdrożenia procedury zgłoszeń wewnętrznych dotyczy podmiotów, na rzecz których wykonuje pracę zarobkową co najmniej 50 osób — licząc według stanu na dzień 1 stycznia lub 1 lipca danego roku.
Kilka nieoczywistych szczegółów:
- Kto się liczy? Nie tylko pracownicy na umowę o pracę. Do progu wliczają się zleceniobiorcy i inne osoby wykonujące pracę zarobkową na podstawie umów cywilnoprawnych. Firmy korzystające intensywnie z umów zleceń — np. przy sezonowym zatrudnieniu — mogą zaskoczyć się, że już przekroczyły próg. Więcej o formach zatrudnienia sezonowego (studenci, zlecenia letnie) piszemy w artykule o zatrudnieniu studenta latem 2026.
- Kiedy liczymy? Stan na 1 stycznia lub 1 lipca. Jeśli na początku roku miałeś 48 osób, a teraz masz 52 — obowiązek może dotyczyć Cię od 1 lipca.
- Firmy poniżej 50 osób: nie mają obowiązku, ale mogą dobrowolnie wdrożyć kanał zgłoszeń. To dobra praktyka dla firm planujących wzrost lub obsługujących sektor publiczny i instytucje.
- Wyjątek sektora publicznego: jednostki samorządu terytorialnego liczące poniżej 10 000 mieszkańców mogą wspólnie ustanowić jedną procedurę zamiast każda osobno.
Kluczowa data dla sektora prywatnego: wewnętrzne kanały zgłoszeń muszą działać od 25 września 2024 r. Jeśli nie uruchomiłeś procedury przed tą datą — Twoja firma może od roku naruszać przepisy.
Co musi zawierać wewnętrzna procedura zgłoszeń
Procedura to nie tylko formularz e-mailowy ani skrzynka sugestii. Art. 25 ustawy wymienia elementy obowiązkowe:
1. Kto przyjmuje zgłoszenia
Musisz wskazać konkretną osobę lub jednostkę organizacyjną uprawnioną do przyjmowania i wstępnej weryfikacji zgłoszeń. Może to być wewnętrzna komórka — np. dział compliance, dział prawny, HR — albo podmiot zewnętrzny: kancelaria prawna lub wyspecjalizowany dostawca oprogramowania do zarządzania zgłoszeniami.
Uwaga praktyczna: osoba przyjmująca nie powinna być bezpośrednim przełożonym sygnalisty — to byłby konflikt interesów. W mniejszych firmach (50–100 osób) często wyznacza się zewnętrznego doradcę lub kancelarię.
2. Sposób i forma zgłoszenia
Art. 26 ustawy wymaga co najmniej dwóch form:
- Pisemna — mailowo, przez dedykowany formularz, w zamkniętej kopercie
- Ustna — telefonicznie, przez nagranie głosu lub spotkanie na żądanie sygnalisty
Forma anonimowa jest opcjonalna — jeśli zdecydujesz się ją dopuścić, procedura musi opisywać, jak obsługujesz takie zgłoszenia.
3. Terminy odpowiedzi
- W ciągu 7 dni od otrzymania zgłoszenia: potwierdzenie do sygnalisty, że przyjęłeś sprawę i zarejestrowałeś ją
- W ciągu 3 miesięcy od potwierdzenia: informacja zwrotna o podjętych działaniach lub planowanych krokach
Oba terminy są twarde. Brak potwierdzenia w ciągu 7 dni to naruszenie procedury — nawet jeśli zgłoszenie jest bezzasadne.
4. Bezstronność działań następczych
Podmiot prowadzący postępowanie wyjaśniające musi być bezstronny wobec zgłoszonej sprawy. Jeśli zgłoszenie dotyczy prezesa, nie może nim zajmować się asystentka prezesa. Tu też często warto sięgnąć po zewnętrzny podmiot.
5. Dane kontaktowe RPO
Procedura musi zawierać dane Rzecznika Praw Obywatelskich jako organu zewnętrznego. Sygnalista musi wiedzieć, że ma alternatywę i możesz zachęcać do wewnętrznego zgłoszenia, ale nie możesz go ukrywać.
Jak formalnie uchwalić procedurę
Przed wdrożeniem obowiązuje konsultacja z zakładową organizacją związkową (jeśli działa) lub — przy jej braku — z przedstawicielami pracowników. Konsultacje trwają 5 do 10 dni. Po ich zakończeniu procedura wchodzi w życie 7 dni od podania jej do wiadomości pracownikom.
Jakie naruszenia może zgłaszać sygnalista
Art. 3 ust. 1 ustawy wymienia 17 kategorii naruszeń, których zgłoszenie jest chronione. To szerszy zakres niż powszechnie się sądzi:
- Korupcja
- Zamówienia publiczne
- Usługi finansowe, produkty finansowe, rynki finansowe
- Przeciwdziałanie praniu pieniędzy (AML) i finansowaniu terroryzmu
- Bezpieczeństwo produktów i ich zgodność z wymogami
- Bezpieczeństwo transportu (lotnictwo, kolej, drogi, żegluga)
- Ochrona środowiska naturalnego
- Bezpieczeństwo żywności i pasz
- Ochrona konsumentów
- Ochrona prywatności i danych osobowych — naruszenia RODO
- Bezpieczeństwo sieci i systemów informacyjnych — cyberbezpieczeństwo
- Interesy finansowe Unii Europejskiej (wyłudzenie dotacji, nadużycia)
- Interesy finansowe Skarbu Państwa RP
- Rynek wewnętrzny UE, w tym zasady konkurencji i pomocy publicznej
- Konstytucyjne wolności i prawa człowieka
Dwie obserwacje istotne dla właściciela firmy:
Naruszenia prawa pracy same w sobie nie są przedmiotem tej ustawy — od tego jest Państwowa Inspekcja Pracy. Sygnalista zgłasza naruszenia z powyższej listy 17 kategorii, nie np. niepłacenie nadgodzin czy łamanie BHP.
Zgłoszenie musi dotyczyć naruszenia prawa, nie tylko nieetycznego zachowania. Działanie moralnie wątpliwe, ale legalne — nie jest objęte ochroną tej ustawy.
Jak firma chroni sygnalistę — zakaz działań odwetowych
To najważniejsza część ustawy z perspektywy pracodawcy, bo błąd w tym obszarze generuje realne ryzyko finansowe i karne.
Art. 11–13 ustanawiają bezwzględny zakaz działań odwetowych. Odwetem jest każde celowe pogorszenie sytuacji sygnalisty w związku ze zgłoszeniem, w tym:
- zwolnienie lub wypowiedzenie umowy
- degradacja, przeniesienie na gorsze stanowisko
- obniżenie wynagrodzenia
- negatywna ocena, pominięcie przy awansie
- mobbing, poniżanie, wykluczenie ze spotkań
- odmowa udzielenia referencji
- niekorzystne warunki kolejnej umowy
Zakaz dotyczy nie tylko samego sygnalisty — obejmuje też osoby pomagające (np. kolega, który doradzał przed zgłoszeniem) i osoby powiązane (np. współpracownik sygnalisty).
Odwrotne domniemanie. Jeśli sygnalista zostanie zwolniony po zgłoszeniu — pracodawca musi udowodnić, że powód jest niezwiązany z sygnalizowaniem. Nie sygnalista wykazuje szykanowanie — to firma wykazuje, że decyzja kadrowa miała uzasadnienie niezależne od zgłoszenia.
Odszkodowanie (art. 14): sygnalista, wobec którego zastosowano działania odwetowe, ma prawo do odszkodowania w wysokości nie niższej niż przeciętne miesięczne wynagrodzenie w gospodarce narodowej w poprzednim roku (wartość publikuje GUS corocznie) lub do zadośćuczynienia za krzywdy niemajątkowe. Do tego dochodzą koszty postępowania sądowego.
Kary dla pracodawcy za brak wdrożenia
Ustawa penalizuje kilka kategorii naruszeń w rozdziale 10 (art. 54–59):
| Naruszenie | Sankcja |
|---|---|
| Utrudnianie lub uniemożliwianie zgłoszenia (art. 54) | Grzywna, ograniczenie wolności lub do 1 roku pozbawienia wolności |
| Utrudnianie z użyciem przemocy lub groźby (art. 54) | Do 3 lat pozbawienia wolności |
| Działania odwetowe wobec sygnalisty (art. 55) | Do 2 lat pozbawienia wolności |
| Uporczywe działania odwetowe (art. 55) | Do 3 lat pozbawienia wolności |
| Ujawnienie tożsamości sygnalisty (art. 56) | Grzywna, ograniczenie wolności lub do 1 roku |
| Złożenie fałszywego zgłoszenia (art. 57) | Grzywna, ograniczenie lub do 2 lat |
| Brak wymaganej procedury wewnętrznej (art. 58) | Grzywna |
Kary dotyczą konkretnych osób fizycznych odpowiedzialnych za wdrożenie i decyzje kadrowe — nie tylko spółki jako podmiotu.
Ostrzeżenie: działania odwetowe wobec sygnalisty to przestępstwo z art. 55, zagrożone nawet 3 latami pozbawienia wolności. Firma może mieć procedurę „na papierze” i wciąż narazić się na tę sankcję, jeśli menedżer zdecyduje o zwolnieniu sygnalisty. Procedura to nie wszystko — kluczowe jest przeszkolenie kadry zarządzającej.
Jak wdrożyć system w praktyce — 5 kroków dla MŚP
Wdrożenie nie musi być drogie ani skomplikowane. Dla firm z 50–200 pracownikami wystarczy kilka tygodni pracy i umiarkowany budżet.
1. Wyznacz osobę lub podmiot odpowiedzialny
Opcja wewnętrzna: dział prawny, compliance officer lub HR — o ile nie ma konfliktu interesów z osobami, które mogłyby być przedmiotem zgłoszenia. Dla firm z 50–100 pracownikami popularną opcją jest zewnętrzna kancelaria lub doradca compliance obsługujący kilka podmiotów (shared compliance). Typowy koszt zewnętrznej obsługi: 200–600 zł miesięcznie — wielokrotnie mniej niż koszt zatrudnienia compliance officera na pełny etat.
2. Uruchom kanał zgłoszeń
Minimalny standard to dedykowany adres e-mail plus możliwość rozmowy ustnej (spotkanie lub telefon z zapewnieniem poufności). Wyższy standard to dedykowane oprogramowanie do obsługi zgłoszeń — szyfrowanie end-to-end, anonimizacja, automatyczne potwierdzenia, archiwum zgłoszeń. Takie narzędzia dostępne są od 200 zł miesięcznie dla małych firm.
3. Przygotuj procedurę i skonsultuj z pracownikami
Dokument nie musi mieć 50 stron — wystarczą 4–6 stron obejmujących wszystkie elementy z art. 25. Skonsultuj z reprezentacją pracowników lub związkiem zawodowym (5–10 dni). Podaj do wiadomości pracownikom i odczekaj 7 dni przed wejściem w życie.
4. Przeszkol kadrę zarządzającą
Najczęstsze ryzyko nie leży w braku procedury — leży w nieświadomości menedżerów liniowych. Przełożony, który „w odwecie” nie przedłuży umowy sygnaliście, może narazić spółkę na odpowiedzialność karną — niezależnie od tego, czy jako CEO wiedziałeś o zgłoszeniu w ogóle. Wystarczy szkolenie 2-godzinne dla całej kadry zarządzającej.
5. Archiwizuj dokumentację
Każde zgłoszenie musi być zarejestrowane, a dokumentacja przechowywana. Czas przechowywania nie jest wprost określony w ustawie — rekomenduje się minimum 5 lat (analogia do przepisów AML i RODO). Archiwum zgłoszeń podlega przepisom o ochronie danych osobowych — dostęp musi być ograniczony do upoważnionych osób.
Na co uważać — typowe błędy MŚP przy wdrożeniu
Po ponad roku obowiązywania ustawy pojawiły się wzorce, które powtarzają się w firmach wdrażających kanał zgłoszeń naprędce lub bez konsultacji prawnej.
Błąd 1: Procedura istnieje, ale nikt jej nie zna
Sam fakt uchwalenia dokumentu i wrzucenia go na intraneta nie wystarczy. Pracownicy — szczególnie ci nowo zatrudnieni — muszą wiedzieć, że procedura istnieje, gdzie ją znaleźć i jak z niej skorzystać. Ustawa wymaga podania procedury do wiadomości, a nie tylko jej formalnego uchwalenia. Warto wdrożyć krótkie szkolenie lub moduł onboardingowy, który każdy nowy pracownik przechodzi w pierwszym tygodniu.
Błąd 2: Kanał prowadzony przez bezpośredniego przełożonego
Zgłoszenie wysłane do menedżera, który jest stroną lub świadkiem naruszenia, traci sens. Co więcej: jeśli menedżer powstrzyma sygnalistę od zgłoszenia do organu zewnętrznego lub zablokuje postępowanie wyjaśniające — naraża firmę na art. 54 (utrudnianie zgłoszenia, do 1 roku więzienia). Osoba przyjmująca zgłoszenia musi być wyznaczona bez konfliktu interesów.
Błąd 3: Brak odpowiedzi na zgłoszenie w terminie
Termin 7-dniowy na potwierdzenie przyjęcia zgłoszenia jest twardy. Firmy, które skonfigurowały skrzynkę mailową „[email protected]” i zapomniały przypisać ją do konkretnej osoby, ryzykują autorespondem lub ciszą — co narusza procedurę. Każdy kanał zgłoszeń wymaga jasno zdefiniowanego właściciela i zastępcy na czas urlopu lub choroby.
Błąd 4: Procedura nie obejmuje osób na zleceniu i B2B
Ustawa chroni szerokie grono osób współpracujących z firmą — nie tylko pracowników etatowych. Jeśli w Twojej firmie pracują freelancerzy, konsultanci B2B, podwykonawcy lub agenci — mają prawo do skorzystania z kanału zgłoszeń. Procedura powinna jasno określać, że jest dostępna dla wszystkich, nie tylko dla osób z umową o pracę.
Błąd 5: Traktowanie zgłoszenia jako skargi pracowniczej
Zgłoszenie sygnalisty to nie skarga do HR na zły klimat w zespole. To formalny akt o potencjalnym naruszeniu prawa — i musi być tak traktowany. Firma powinna mieć jasny protokół: kto prowadzi postępowanie wyjaśniające, jak dokumentuje kroki, kiedy angażuje zewnętrznych doradców lub organy ścigania. Brak protokołu nie jest neutralny — przy ewentualnym sporze sądowym brak dokumentacji działa na niekorzyść pracodawcy.
Podsumowanie
Ustawa o ochronie sygnalistów (Dz.U. 2024 poz. 928) działa od ponad roku. Firmy z co najmniej 50 pracownikami zobowiązane były do wdrożenia wewnętrznych kanałów zgłoszeń od 25 września 2024 r. — czyli obowiązek nie jest nowy, ale wciąż wielu pracodawców go odkłada.
- Próg: 50 osób (pracownicy + zleceniobiorcy) według stanu na 1 stycznia lub 1 lipca
- Procedura musi zawierać m.in. kanał zgłoszeń, terminy odpowiedzi (7 dni i 3 miesiące) oraz dane RPO
- Sygnalista zgłasza 17 kategorii naruszeń prawa — od korupcji po cyberbezpieczeństwo i naruszenia RODO
- Zakaz działań odwetowych dotyczy sygnalisty, osób mu pomagających i osób powiązanych
- Brak procedury to grzywna; działania odwetowe — nawet 3 lata więzienia dla osoby odpowiedzialnej
Wskazówka: wdrożenie kanału zgłoszeń dla firmy z 50–150 pracownikami to wydatek rzędu 300–700 zł miesięcznie przy outsourcing compliance. Znacznie mniej niż koszty jednego postępowania z sygnalistą, który trafi do sądu lub prasy. Jeśli chcesz ocenić, co konkretnie musisz wdrożyć w swojej firmie — chętnie to sprawdzimy razem.