Grupa przysłała gotową konfigurację systemu zgłoszeń, który działa już w spółce siostrzanej. Narzędzie jest sprawdzone. Platforma uruchomiona. A kanał zgłoszeń sygnalistów w polskim oddziale nadal nie spełnia wymogów ustawy.
Dlaczego? Bo ryzyka, które naprawdę bolą, nie siedzą w oprogramowaniu. Siedzą w tym, kto zasiada w komisji, kto doradza, gdzie leży rejestr i czy polska spółka przeprowadziła własną konsultację z załogą.
Ustawa z 14 czerwca 2024 r. o ochronie sygnalistów (Dz.U. 2024 poz. 928) obowiązuje od 25 września 2024 r. Przepisy o zgłoszeniach zewnętrznych weszły w życie 25 grudnia 2024 r. Obowiązek ustanowienia procedury zgłoszeń wewnętrznych spoczywa na każdym podmiocie prawnym zatrudniającym co najmniej 50 osób — nie na grupie kapitałowej jako całości (Ustawa Dz.U. 2024 poz. 928).
W pierwszym pełnym okresie sprawozdawczym (do 31 grudnia 2025 r.) organy publiczne odnotowały 1 908 zgłoszeń zewnętrznych (Sprawozdanie gov.pl 2024–2025). To pokazuje, że sygnaliści korzystają z kanałów — i jeśli Twój kanał wewnętrzny nie działa prawidłowo, zgłoszenie pójdzie do organu publicznego albo do mediów.
W tym artykule pokażę, co musi zrobić polska spółka zależna, żeby kanał zgłoszeń był zgodny z prawem — niezależnie od tego, jak dobrze działa narzędzie udostępnione przez grupę.
Podstawowe pojęcia, które musisz znać
Zanim przejdziemy dalej, warto uporządkować terminologię. Ustawa o ochronie sygnalistów i RODO posługują się pojęciami, które mają konkretne znaczenie prawne.
| Pojęcie | Co oznacza |
|---|---|
| Sygnalista | Osoba zgłaszająca naruszenie prawa — pracownik, współpracownik, kontrahent, kandydat, freelancer |
| Kanał wewnętrzny | Sposób, w jaki sygnalista składa zgłoszenie wewnątrz organizacji — formularz, spotkanie, linia telefoniczna |
| Procedura zgłoszeń wewnętrznych | Dokument opisujący zasady przyjmowania, badania i dokumentowania zgłoszeń — wymagany ustawą |
| Działania następcze | Czynności podjęte po otrzymaniu zgłoszenia: weryfikacja, wyjaśnienie, wdrożenie zmian |
| Osoba upoważniona | Osoba z pisemnym upoważnieniem do przetwarzania danych w ramach obsługi zgłoszeń (art. 27 ustawy) |
| Ocena skutków (DPIA) | Ocena skutków dla ochrony danych — obowiązkowa przy systemach zgłaszania nieprawidłowości (wykaz Prezesa UODO, M.P. 2019 poz. 666, poz. 9) |
| Umowa powierzenia | Umowa między administratorem danych a podmiotem przetwarzającym dane w jego imieniu (art. 28 RODO) |
| Decyzja adekwatności | Decyzja Komisji Europejskiej stwierdzająca, że państwo trzecie zapewnia odpowiedni poziom ochrony danych osobowych |
Dlaczego skopiowanie rozwiązania z grupy nie wystarczy
Wiele polskich oddziałów grup zagranicznych podchodzi do wdrożenia kanału zgłoszeń w ten sam sposób: centrala udostępnia platformę, spółka siostrzana dzieli się konfiguracją, a lokalny oddział „po prostu uruchamia system". Narzędzie jest dobre. Ale zgodność z prawem wymaga czegoś więcej niż sprawnej platformy.
Każdy podmiot prawny ma własne obowiązki
Dyrektywa (UE) 2019/1937 w art. 8 ust. 3 wskazuje wprost: obowiązek ustanowienia kanału wewnętrznego spoczywa na każdym podmiocie prawnym zatrudniającym co najmniej 50 osób — nie na grupie (Dyrektywa (UE) 2019/1937). Centralna platforma grupowa może być narzędziem technicznym, ale polska spółka musi posiadać:
- Własną procedurę zgłoszeń wewnętrznych — z 8 obligatoryjnymi elementami wskazanymi w art. 25 ust. 1 ustawy
- Własną konsultację z załogą — ze związkiem zawodowym albo przedstawicielami osób świadczących pracę (5–10 dni na ostatecznej treści procedury)
- Własny rejestr zgłoszeń wewnętrznych — obejmujący także zgłoszenia uznane za niezasadne
- Własną ocenę skutków dla ochrony danych (DPIA) — systemy zgłaszania nieprawidłowości są w wykazie Prezesa UODO
- Własne pisemne upoważnienia dla osób obsługujących zgłoszenia
Skopiowanie konfiguracji technicznej spółki siostrzanej żadnego z tych obowiązków nie zastępuje.
Odpowiedzialność jest lokalna
RODO przypisuje odpowiedzialność prawną administratorowi posiadającemu jednostkę organizacyjną w UE — nawet za naruszenia wiążących reguł korporacyjnych przez członków grupy spoza Unii (art. 47 ust. 2 lit. f RODO). Przetwarzanie danych pracowników w kontekście zatrudnienia w jednym państwie członkowskim podlega nadzorowi lokalnego organu nadzorczego (motyw 127 RODO).
To oznacza konkretną rzecz: Prezes UODO jest właściwy dla kanału zgłoszeń w polskiej spółce zależnej, niezależnie od tego, gdzie znajduje się centrala grupy. Ewentualna kontrola lub kara dotknie polską jednostkę.
Trzy ryzyka, które nie mają nic wspólnego z platformą
Analiza zanonimizowanego przypadku polskiego oddziału grupy zagranicznej ujawniła 14 pozycji w rejestrze ryzyk: 1 krytyczną, 7 wysokich i 6 średnich. Trzy najcięższe nie dotyczyły narzędzia.
Jednoosobowa komisja jako wąskie gardło
Jedna osoba przyjmująca zgłoszenia to pozornie prosty model. Ale generuje trzy problemy naraz:
- Ryzyko terminowe — każda nieobecność (urlop, choroba, delegacja) zagraża terminom ustawowym: 7 dni na potwierdzenie przyjęcia zgłoszenia i 3 miesiące na informację zwrotną (Rola PIP w systemie ochrony sygnalistów)
- Konflikt interesów — zgłoszenie dotyczące jedynego członka komisji trafia do niego samego. Brak trybu wyłączenia oznacza, że sygnalista pominie kanał wewnętrzny
- Brak bezstronności — ustawa wymaga wskazania bezstronnej osoby właściwej do podejmowania działań następczych (art. 26). Jedna osoba pełniąca obie funkcje — przyjmowania i badania — nie spełnia tego warunku w każdym scenariuszu
Co zrobić: powołaj co najmniej dwie osoby upoważnione. Opisz w procedurze tryb zastępstwa i wyłączenia członka komisji z konkretnej sprawy. Utwórz osobny kanał dla zgłoszeń dotyczących członka komisji i wskaż imiennie osobę bezstronną, która takie zgłoszenia zbada.
Nierozstrzygnięta rola działu prawnego grupy
Grupa chce, by jej dział prawny doradzał komisji „bez przekazywania danych identyfikujących sygnalistę". Model jest legalny. Ale rozsypuje się bez protokołu pseudonimizacji.
Rozmowa o sprawie szybko staje się rozmową o osobie — szczególnie w wątku e-mailowym. A ujawnienie tożsamości sygnalisty bez jego zgody to przestępstwo zagrożone grzywną, ograniczeniem wolności albo pozbawieniem wolności do roku (art. 56 ustawy).
Ustawa nie wymaga, aby prawnik był członkiem komisji. Wymaga wskazania osoby upoważnionej do przyjmowania zgłoszeń i bezstronnej osoby właściwej do działań następczych. To dwie odrębne funkcje.
Co zrobić: rozstrzygnij na papierze jedną z dwóch opcji:
| Opcja | Rola działu prawnego grupy | Wymagania |
|---|---|---|
| Doradcza | Konsultuje zanonimizowany stan faktyczny, nie przyjmuje i nie bada zgłoszeń | Wpisz tę rolę do procedury, stwórz protokół pseudonimizacji, zakaż przenoszenia treści zgłoszeń do poczty e-mail |
| Członkostwo w komisji | Pełne uczestnictwo z dostępem do danych identyfikujących | Wydaj imienne pisemne upoważnienia, zobowiązanie do tajemnicy, udokumentuj podstawę transferu danych (dla UK — decyzja adekwatności) |
Rejestr zgłoszeń prowadzony poza systemem
Rejestr zgłoszeń wewnętrznych jest obowiązkowy — także dla zgłoszeń uznanych za niezasadne (art. 29 ustawy). Platformy zgłoszeniowe zwykle nie mają takiej funkcji.
Efekt: rejestr powstaje w arkuszu kalkulacyjnym na dysku współdzielonym. I staje się drugą, słabiej zabezpieczoną kopią danych identyfikujących sygnalistę — poza kontrolą dostępu i logowaniem zdarzeń.
Co zrobić: wskaż jedno miejsce i formę rejestru. Ogranicz do niego dostęp. Zakaż trzymania go w poczcie oraz na dyskach współdzielonych bez kontroli dostępu. Rejestr ma zawierać dane wymagane ustawą, bez pełnej treści zgłoszenia.
Co musi być gotowe przed uruchomieniem kanału
Poniższa lista kontrolna obejmuje obowiązki, które muszą być zamknięte przed dniem uruchomienia kanału — nie po fakcie.
Procedura i konsultacja
- Przygotuj procedurę zgłoszeń wewnętrznych z 8 elementami wymaganymi przez art. 25 ust. 1 ustawy
- Przeprowadź konsultację ostatecznej treści procedury ze związkiem zawodowym albo z przedstawicielami osób świadczących pracę (5–10 dni od przedstawienia projektu)
- Udokumentuj tryb wyboru przedstawicieli, jeśli nie masz związku zawodowego
- Opublikuj procedurę i zakomunikuj ją załodze z okresem vacatio przed wejściem w życie
- Przygotuj polską wersję formularza i procedury — nawet jeśli język roboczy firmy to angielski
Osoby i upoważnienia
- Powołaj co najmniej dwie osoby upoważnione do obsługi zgłoszeń, z czego jedną niezależną od kierownika jednostki
- Wydaj imienne pisemne upoważnienia do przetwarzania danych i zobowiązania do tajemnicy — obowiązujące także po ustaniu stosunku pracy
- Załóż ewidencję upoważnień i zablokuj dostęp do systemu każdemu, kto upoważnienia nie ma
- Wskaż imiennie osobę bezstronną do badania zgłoszeń dotyczących członka komisji
- Przeszkol wszystkie osoby upoważnione przed nadaniem im dostępu: poufność tożsamości, odpowiedzialność karna za jej ujawnienie, zakaz wynoszenia treści zgłoszeń poza system, obsługa narzędzia
Kanały zgłoszeń
- Uruchom formularz online na platformie zgłoszeniowej z gwarancją poufności
- Zapewnij kanał ustny: linię telefoniczną albo wprost opisany w procedurze tryb bezpośredniego spotkania na wniosek sygnalisty w terminie 14 dni
- Udostępnij kanał dla osób spoza organizacji: kontrahentów, kandydatów, współpracowników
- Jeśli dzielisz adres lub narzędzie z inną spółką grupy — rozdziel oznaczenia i adresy formularzy, potwierdź separację instancji
RODO i dostawca platformy
- Przeprowadź ocenę skutków dla ochrony danych (DPIA) — obowiązek niezależny od skali (wykaz Prezesa UODO, M.P. 2019 poz. 666, poz. 9)
- Wynegocjuj z dostawcą platformy model dostępu: wyłączenie lub przekazanie uprawnień administratora nadrzędnego, a jeśli dostęp pozostaje — wpisz jego zakres do umowy powierzenia
- Wymagaj od dostawcy imiennych upoważnień dla jego personelu i rejestrowania każdego wejścia do instancji
- Uzupełnij wykaz dalszych podmiotów przetwarzających w umowie powierzenia
- Udokumentuj podstawę transferu danych do państwa trzeciego (dla UK — decyzja adekwatności (UE) 2025/2574 z 19 grudnia 2025 r.)
- Włącz uwierzytelnianie wieloskładnikowe dla kont z dostępem do treści zgłoszeń
- Zaktualizuj rejestr czynności przetwarzania o czynność „obsługa zgłoszeń sygnalistów"
Procesy bieżące
- Wdróż proces przeglądu i usuwania danych zebranych przypadkowo i nieistotnych w terminie 14 dni od ustalenia, że nie mają znaczenia (art. 8 ustawy)
- Ustal retencję danych: 3 lata po zakończeniu roku kalendarzowego, w którym zakończono działania następcze
- Zaplanuj przegląd DPIA co najmniej raz na 12 miesięcy oraz przy każdej zmianie dostawcy, architektury lub składu komisji
Sankcje — co grozi Tobie osobiście
Ustawa o ochronie sygnalistów przewiduje sankcje karne, nie administracyjno-pieniężne. To odróżnia ten reżim od kar RODO i oznacza odpowiedzialność osobistą.
| Naruszenie | Podstawa prawna | Sankcja |
|---|---|---|
| Uniemożliwianie lub utrudnianie zgłoszenia | art. 54 ust. 1 | Grzywna, ograniczenie wolności albo pozbawienie wolności do 1 roku |
| Utrudnianie z użyciem przemocy, groźby lub podstępu | art. 54 ust. 2 | Pozbawienie wolności do 3 lat |
| Działania odwetowe wobec sygnalisty | art. 55 ust. 1 | Grzywna, ograniczenie wolności albo pozbawienie wolności do 2 lat |
| Ujawnienie tożsamości sygnalisty | art. 56 | Grzywna, ograniczenie wolności albo pozbawienie wolności do 1 roku |
| Brak procedury zgłoszeń wewnętrznych | art. 58 | Sankcja karna (szczegóły wymagają weryfikacji w pełnym tekście ustawy) |
Ale najpoważniejszy skutek operacyjny braku działającego kanału nie jest karą. Sygnalista pomija kanał wewnętrzny i idzie wprost do organu publicznego albo ujawnia sprawę publicznie. Prawo polskie (art. 30 ust. 1 ustawy) nie ustanawia obligatoryjnego pierwszeństwa kanału wewnętrznego — sygnalista ma prawo wybrać kanał zewnętrzny od razu.
Dane z pierwszego roku potwierdzają, że sygnaliści korzystają z tej możliwości: 1 908 zgłoszeń zewnętrznych wpłynęło do organów publicznych w okresie od 25 grudnia 2024 r. do 31 grudnia 2025 r. (Sprawozdanie gov.pl).
Najczęstsze scenariusze, w których model się rozsypuje
Poniższe sytuacje powtarzają się w polskich oddziałach grup zagranicznych. Każdy z nich prowadzi do naruszenia, które nie wynika z wady narzędzia.
Scenariusz 1: odbiorca zgłoszeń jedzie na urlop
Zgłoszenie wpływa pierwszego dnia dwutygodniowej nieobecności jedynego członka komisji. Termin 7 dni na potwierdzenie przyjęcia mija bez reakcji. Sygnalista nie dostaje potwierdzenia — i ma prawo uznać, że kanał wewnętrzny nie działa.
Zabezpieczenie: opisz w procedurze tryb zastępstwa z automatycznym przekierowaniem powiadomień.
Scenariusz 2: zgłoszenie dotyczy członka komisji
Zgłoszenie dotyczy jedynego członka jednoosobowej komisji — i trafia do niego samego. Nie ma za to kary, ale sygnalista pomija kanał wewnętrzny i idzie do organu publicznego albo do mediów. Firma traci kontrolę nad narracją.
Zabezpieczenie: utwórz osobny kanał i wskaż imiennie osobę bezstronną (np. członka zarządu spoza komisji).
Scenariusz 3: dwie spółki pod jednym adresem
Dwie spółki grupy korzystają z tej samej platformy. Osoba zatrudniona przez spółkę A wchodzi do komisji spółki B bez upoważnienia od administratora i bez podstawy udostępnienia danych między podmiotami.
Zabezpieczenie: rozdziel instancje, wydaj upoważnienia od właściwego administratora, udokumentuj podstawę udostępnienia danych.
Scenariusz 4: dostawca platformy widzi treść zgłoszeń
Dostawca zachowuje uprawnienia administratora nadrzędnego. Technicznie jego personel może wejść do środowiska z treścią zgłoszeń — a umowa powierzenia o tym milczy.
Zabezpieczenie: wynegocjuj wyłączenie lub przekazanie uprawnień administratora nadrzędnego. Jeśli dostęp pozostaje — wpisz jego zakres do umowy powierzenia, wymagaj imiennych upoważnień i rejestrowania każdego wejścia.
Scenariusz 5: „anonimowość" w kilkuosobowym zespole
Zgłoszenie jest formalnie anonimowe, ale sama jego treść jednoznacznie wskazuje autora. W kilkuosobowym zespole anonimowość proceduralna nie jest anonimowością faktyczną. Mała skala obniża prawdopodobieństwo naruszenia poufności, ale podnosi jego skutek dla konkretnej osoby.
Zabezpieczenie: zgłoszenia anonimowe nie są obowiązkiem ustawowym — to fakultatywny element procedury. Niezależnie od decyzji, zabezpiecz poufność tożsamości przez ograniczenie dostępu i szkolenie osób upoważnionych.
Ocena skutków (DPIA) — dlaczego jest obowiązkowa niezależnie od skali
Systemy służące do zgłaszania nieprawidłowości są wymienione w wykazie Prezesa UODO (M.P. 2019 poz. 666, poz. 9). Ocena skutków jest obowiązkowa niezależnie od liczby pracowników czy spodziewanej liczby zgłoszeń (DPIA w kontekście zgłaszania naruszeń — UODO).
Niezależnie od wykazu, spełnione są co najmniej dwa kryteria z wytycznych WP248 rev.01 Europejskiej Rady Ochrony Danych:
- Dane o wysoce osobistym charakterze — zgłoszenia mogą zawierać informacje o naruszeniach prawa, relacjach służbowych, zachowaniach osób
- Osoby w słabszej pozycji — sygnaliści to pracownicy, współpracownicy, kandydaci — osoby zależne od podmiotu, wobec którego składają zgłoszenie
DPIA musi być przeprowadzona przed uruchomieniem kanału i poddana przeglądowi co najmniej raz na 12 miesięcy oraz przy każdej zmianie dostawcy, architektury lub składu komisji.
W analizowanym przypadku rejestr ryzyk DPIA objął 14 pozycji. Po wdrożeniu środków o najwyższym priorytecie ryzyko rezydualne zeszło do poziomu średniego — co pozwoliło uruchomić kanał bez uprzednich konsultacji z Prezesem UODO (art. 36 RODO).
Możemy Ci w tym pomóc
Zgodność kanału zgłoszeń rozstrzyga się w modelu organizacyjnym — w tym, kto przyjmuje zgłoszenia, kto je bada, kto doradza i jak zabezpieczone są dane. Narzędzie jest tylko jednym z elementów.
Wspieramy polskie spółki zależne i oddziały grup zagranicznych w trzech wariantach:
| Zakres | Co obejmuje |
|---|---|
| Przegląd procedury i listy kontrolnej | Weryfikacja istniejącej procedury pod kątem 8 elementów ustawowych, identyfikacja luk, rekomendacje zmian |
| Procedura + upoważnienia + konsultacja + DPIA | Przygotowanie procedury od podstaw, wydanie upoważnień, przeprowadzenie konsultacji z załogą, ocena skutków dla ochrony danych |
| Pełne zabezpieczenie | Kompletny system obsługi sygnalistów: procedura, upoważnienia, DPIA, przegląd umowy powierzenia z dostawcą, szkolenie osób upoważnionych, cykliczny przegląd |
Łączymy prawo pracy, RODO i ustawę o sygnalistach w jednym procesie — bo w obsłudze kanału zgłoszeń te trzy obszary się przecinają.
Kanał zgłoszeń to nie projekt IT — to projekt organizacyjny
Polska spółka zależna ma własne obowiązki, których grupa za nią nie wykona. Procedura, konsultacja z załogą, rejestr, DPIA, upoważnienia, szkolenia — to zadania lokalne, niezależne od tego, jak sprawne narzędzie udostępniła centrala.
Trzy najcięższe ryzyka w analizowanym przypadku nie dotyczyły platformy. Dotyczyły jednoosobowej komisji, nierozstrzygniętej roli działu prawnego grupy i rejestru prowadzonego w arkuszu kalkulacyjnym na dysku współdzielonym.
Jeśli uruchamiasz kanał zgłoszeń albo chcesz sprawdzić, czy ten już działający spełnia wymogi — napisz do nas. Pomożemy Ci rozstrzygnąć role, przygotować procedurę, przeprowadzić konsultację z załogą i zamknąć DPIA przed uruchomieniem.
Najczęściej zadawane pytania
Czy nasz prawnik lub dział prawny grupy musi zasiadać w komisji?
Nie. Ustawa nie wymaga, aby prawnik był członkiem komisji. Wymaga wskazania osoby upoważnionej do przyjmowania zgłoszeń i bezstronnej osoby właściwej do działań następczych. Dział prawny grupy może pełnić rolę doradczą — pod warunkiem, że ta rola jest wpisana do procedury, konsultacja odbywa się na zanonimizowanym stanie faktycznym, a osoby po stronie grupy mają pisemne upoważnienia i zobowiązania do tajemnicy przed każdym dostępem do danych identyfikujących.
Grupa ma działający system w innym kraju — ile z tego mogę przenieść do polskiej spółki?
Możesz przenieść narzędzie (platformę). Nie możesz przenieść procedury, konsultacji z załogą, rejestru zgłoszeń, DPIA ani upoważnień. Każdy z tych elementów musi powstać na poziomie polskiego podmiotu prawnego. Dyrektywa (UE) 2019/1937 dopuszcza współdzielenie zasobów wyłącznie przez podmioty zatrudniające 50–249 osób, z zachowaniem poufności i niezależności (Dyrektywa (UE) 2019/1937).
Czy musimy przyjmować zgłoszenia anonimowe?
Nie. Zgłoszenia anonimowe to fakultatywny element procedury — decyzja projektowa, nie obowiązek ustawowy. W kilkuosobowej jednostce sama treść zgłoszenia zwykle i tak wskazuje autora. Niezależnie od decyzji, zabezpiecz poufność tożsamości przez ograniczenie dostępu i szkolenie osób upoważnionych.
Czy ocena skutków (DPIA) jest obowiązkowa przy małej skali przetwarzania?
Tak. Systemy zgłaszania nieprawidłowości są wymienione w wykazie Prezesa UODO (M.P. 2019 poz. 666, poz. 9). Obowiązek przeprowadzenia DPIA nie zależy od liczby pracowników ani spodziewanej liczby zgłoszeń. Spełnione są co najmniej dwa kryteria z wytycznych Europejskiej Rady Ochrony Danych: dane o wysoce osobistym charakterze i dane osób w słabszej pozycji.
Co grozi mnie osobiście, jeśli tożsamość sygnalisty wycieknie?
Ujawnienie tożsamości sygnalisty bez jego zgody to przestępstwo zagrożone grzywną, ograniczeniem wolności albo pozbawieniem wolności do roku (art. 56 ustawy). Odpowiedzialność jest osobista — dotyczy konkretnej osoby, która ujawniła dane, nie tylko organizacji.
Czy formularz w narzędziu biurowym albo firmowa skrzynka e-mail wystarczą jako kanał zgłoszeń?
Bezpłatny formularz w narzędziu biurowym jest niedopuszczalny — brak umowy powierzenia i gwarancji poufności. Dedykowany adres e-mail jako wyłączny kanał również nie spełnia wymogów: brak poufności w obiegu korespondencji, brak dostępu dla osób spoza organizacji, brak możliwości dialogu z anonimowym sygnalistą. Kanał musi zapewniać poufność, dostępność i możliwość dwustronnej komunikacji.