Kim jest administrator sygnalistów i jakie są jego obowiązki?

Unijne wymogi dotyczące zgłaszania informacji o naruszeniach prawa wpłynęły na uchwalenie Ustawy z dnia 14 czerwca 2024 roku o ochronie sygnalistów. Nowe przepisy regulują szereg kwestii związanych z zasadami prawidłowego przekazywania informacji w zakresie potencjalnego naruszania prawa w firmach. Dotyczą one także tzw. administratorów sygnalistów. Z artykułu dowiesz się, kim jest administrator sygnalistów i jakie są jego obowiązki.

Kim są sygnaliści?

Zgodnie z treścią art. 4 ustawy o ochronie sygnalistów sygnalistą jest osoba fizyczna, która zgłasza lub ujawnia publicznie informację o naruszeniu prawa uzyskaną w kontekście związanym z pracą, w tym:

• pracownik;
• pracownik tymczasowy;
• osoba świadcząca pracę na innej podstawie niż stosunek pracy, w tym na podstawie umowy cywilnoprawnej;
• przedsiębiorca;
• prokurent;
• akcjonariusz lub wspólnik;
• członek organu osoby prawnej lub jednostki organizacyjnej nieposiadającej osobowości prawnej;
• osoba świadcząca pracę pod nadzorem i kierownictwem wykonawcy, podwykonawcy lub dostawcy;
• stażysta;
• wolontariusz;
• praktykant;
• funkcjonariusz w rozumieniu art. 1 ust. 1 Ustawy z dnia 18 lutego 1994 roku o zaopatrzeniu emerytalnym funkcjonariuszy Policji, Agencji Bezpieczeństwa Wewnętrznego, Agencji Wywiadu, Służby Kontrwywiadu Wojskowego, Służby Wywiadu Wojskowego, Centralnego Biura Antykorupcyjnego, Straży Granicznej, Straży Marszałkowskiej, Służby Ochrony Państwa, Państwowej Straży Pożarnej, Służby Celno-Skarbowej i Służby Więziennej oraz ich rodzin;
• żołnierz w rozumieniu art. 2 pkt 39 Ustawy z dnia 11 marca 2022 roku o obronie Ojczyzny.

Ustawę stosuje się także do osoby fizycznej, w przypadku zgłoszenia lub ujawnienia publicznego informacji o naruszeniu prawa uzyskanej w kontekście związanym z pracą przed nawiązaniem stosunku pracy lub innego stosunku prawnego stanowiącego podstawę świadczenia pracy lub usług lub pełnienia funkcji w podmiocie prawnym lub na rzecz tego podmiotu, lub pełnienia służby w podmiocie prawnym lub już po ich ustaniu.

Sygnalistami określamy więc wszystkie osoby, które chcą zgłosić nieprawidłowość w zakresie stosowania prawa pracy w danym przedsiębiorstwie. Ze względu na swój szczególny charakter podlegają one ochronie prawnej. Zakazane jest m.in. stosowanie działań odwetowych względem sygnalistów takich jak choćby zwolnienie z pracy czy nałożenie kar porządkowych.

Administrator sygnalistów

Proces zgłaszania podejrzenia naruszania prawa powinien opierać się na jasnych zasadach, które gwarantują pełną ochronę i anonimowość każdemu sygnaliście. Każde zgłoszenie zawiera dane osobowe podlegające ochronie prawnej, także w zakresie RODO. Przyjęcie zgłoszenia wiąże się z koniecznością przetwarzania takich informacji, chociażby w zakresie ustalenia, czy jest ono prawidłowe i dotyczy przypadku, który miał miejsce w rzeczywistości. Zgromadzone dane podlegają nie tylko weryfikacji, ale również archiwizacji. Wszystko to sprawia, że przyjmowanie informacji od sygnalistów wymaga utworzenia stanowiska administratora, zwanego również zarządcą sygnalistów.

W przedsiębiorstwie, w którym obowiązuje procedura zgłoszeń wewnętrznych, ustala się m.in. wewnętrzną jednostkę organizacyjną lub osobę w ramach struktury organizacyjnej podmiotu prawnego, lub podmiot zewnętrzny, upoważnione przez podmiot prawny do przyjmowania zgłoszeń wewnętrznych. Pracodawca ma więc możliwość powołania administratora sygnalistów spośród swoich pracowników, jak również osób niezatrudnionych w danej firmie. Dotyczy to zarówno osób fizycznych, jak i osób prawnych. Administrator zajmuje się nie tylko przyjmowaniem zgłoszeń od sygnalistów, ale także ich wstępną weryfikacją i porządkowaniem.

Jednym z podstawowych obowiązków każdego administratora jest przekazywanie informacji sygnalistom w związku z dokonywanymi przez nich zgłoszeniami. Obowiązek ten wynika wprost z art. 13 RODO. Administrator musi poinformować zgłaszającego o:

• swojej tożsamości i danych kontaktowych oraz, gdy ma to zastosowanie, tożsamości i danych kontaktowych swojego przedstawiciela;
• danych kontaktowych inspektora ochrony danych;
• celach i podstawie prawnej przetwarzania danych osobowych;
• odbiorcach danych osobowych lub o kategoriach odbiorców;
• zamiarze przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej;
• okresie przechowywania danych osobowych sygnalisty lub zasadach ustalania takiego okresu;
• prawie do żądania od administratora dostępu do danych osobowych sygnalisty, ich sprostowania, usunięcia lub ograniczenia przetwarzania lub o prawie do wniesienia sprzeciwu wobec przetwarzania, a także o prawie do przenoszenia danych;
• prawie wniesienia skargi do organu nadzorczego;
• tym, czy podanie danych osobowych jest wymogiem ustawowym lub umownym lub warunkiem zawarcia umowy oraz czy osoba, której dane dotyczą, jest zobowiązana do ich podania i jakie są ewentualne konsekwencje niepodania danych;
• profilowaniu zgłoszeń sygnalistów.

W zależności od trybu dokonywania zgłoszeń przekazywanie ww. informacji może następować w różnej formie i czasie. Jeśli zgłoszenia dokonywane są elektronicznie, to w chwili składania zawiadomienia system powinien wyświetlić niezbędną klauzulę informacyjną. Jeśli zgłoszenia dokonywane są ustnie lub pisemnie, informacje muszą zostać podane w tej samej chwili przez osobę przyjmującą zgłoszenie – najlepiej w formie pisemnej.

Obowiązek informacyjny dotyczy jednak nie tylko samych sygnalistów. Przy zgłoszeniach podejrzenia naruszenia prawa dochodzi bowiem do ujawnienia danych innych osób – sprawców lub świadków zdarzenia. Informacje te również podlegają pełnej ochronie i są przetwarzane przez administratorów. W związku z tym muszą oni przekazać stosowną klauzulę informacyjną także względem wszystkich osób zgłoszonych do sprawy.

Przykład 1.

Pan Witold jest administratorem zajmującym się przyjmowaniem zgłoszeń od sygnalistów. W trakcie zgłoszenia przyjętego od pani Malwiny dowiedział się, że w sprawie występuje 3 świadków – pan Karol, pan Maciej i pan Mateusz. Dodatkowo naruszającym prawo ma być prawdopodobnie pani Monika. Kogo należy poinformować o klauzulach dotyczących ochrony danych osobowych w związku ze zgłoszoną sprawą? Będą to pani Malwina, pan Karol, pan Maciej, pan Mateusz i pani Monika. Administrator nie może jednak ujawnić, kto był sygnalistą w tej sprawie, kto występuje w charakterze świadka i przeciwko komu dokonywane jest zgłoszenie. Każda z ww. osób powinna zostać poinformowana osobno, że jej dane osobowe będą gromadzone i przetwarzane na potrzeby sprawy sygnalisty.

Rejestr zgłoszeń sygnalistów

Zarządca sygnalistów ma obowiązek przyjmowania wszelkich zgłoszeń dotyczących potencjalnego naruszania prawa pracy. To z kolei wymaga prowadzenia specjalnego rejestru, w którym muszą być zapisywane wszystkie zgłoszenia, nawet takie, które później okażą się nieprawdziwe. Tego rodzaju rejestry obejmują:

• numer zgłoszenia;
• przedmiot naruszenia prawa;
• dane osobowe sygnalisty oraz osoby, której dotyczy zgłoszenie, niezbędne do identyfikacji tych osób;
• adres do kontaktu sygnalisty;
• datę dokonania zgłoszenia;
• informację o podjętych działaniach następczych;
• datę zakończenia sprawy.

Dane osobowe oraz pozostałe informacje w rejestrze zgłoszeń wewnętrznych są przechowywane przez okres 3 lat po zakończeniu roku kalendarzowego, w którym zakończono działania następcze, lub po zakończeniu postępowań zainicjowanych tymi działaniami.

Administrator sygnalistów może zająć się stworzeniem i prowadzeniem stosownego rejestru, choć pracodawca może przekazać to zadanie osobie trzeciej, np. podmiotowi niewchodzącemu w skład struktury danej firmy. Teoretycznie możliwa jest więc sytuacja, w której ktoś inny będzie prowadził rejestr zgłoszeń, a ktoś inny udzielał informacji przy faktycznym przyjmowaniu zgłoszeń. Ze względów praktycznych lepiej jednak będzie, gdy wszystkie te obowiązki będą spoczywały na jednym administratorze sygnalistów.

Podsumowanie

Administrator sygnalistów to podmiot zajmujący się przyjmowaniem zgłoszeń dotyczących możliwości naruszania prawa pracy. Jego podstawowym obowiązkiem jest ochrona danych osobowych sygnalistów i osób uczestniczących w danej sprawie, ich gromadzenie, przetwarzanie, a także informowanie o dokonywanych czynnościach. Zarządcy sygnalistów mogą i w zasadzie powinni prowadzić rejestry zgłoszeń, w których odnotowywane są wszelkie informacje na temat danej sprawy – one również podlegają pełnej ochronie prawnej. Administratorem sygnalistów może być każdy pracownik danej firmy, a także podmiot zewnętrzny.