Zgłoszenie od sygnalisty na biurku – co robić krok po kroku, żeby nie pogorszyć sytuacji

Zgłoszenie od sygnalisty trafiło na biurko. Ktoś z zespołu pyta, co dalej. HR nie wie, kto powinien przejąć sprawę. Menedżer zastanawia się, czy może porozmawiać z osobą wskazaną w zgłoszeniu. A czas biegnie – ustawa o ochronie sygnalistów daje Ci 7 dni na potwierdzenie przyjęcia zgłoszenia i 3 miesiące na informację zwrotną.

Brak jasnej procedury reagowania to jeden z najczęstszych problemów, z jakimi mierzą się firmy po wejściu w życie ustawy z dnia 14 czerwca 2024 r. o ochronie sygnalistów (Dz.U. 2024 poz. 928). Managerowie i działy HR nie wiedzą, kto weryfikuje fakty, kto podejmuje decyzje i jak komunikować status sprawy. Efekt: chaos, eskalacja i błędy prawne, które mogą kosztować firmę odszkodowanie, sankcje karne, a przede wszystkim – utratę zaufania zespołu.

W tym artykule znajdziesz gotowy algorytm postępowania ze zgłoszeniem sygnalisty – od momentu wpłynięcia, przez weryfikację i decyzję, po zamknięcie sprawy. Każdy krok opisuję z perspektywy pracodawcy, który chce chronić firmę i nie naruszyć praw zgłaszającego. Całość oparta jest na przepisach ustawy i doświadczeniach z obsługi prawnej firm technologicznych i usługowych.

Najważniejsze pojęcia, zanim przejdziesz dalej

Zanim przejdziemy do procedury, warto uporządkować kilka terminów, które pojawiają się w ustawie i w tym artykule.

Pierwsze 24 godziny po zgłoszeniu: czego nie wolno robić i dlaczego

Ustawa nie wyróżnia „pierwszych 24 godzin” jako odrębnego etapu. Ochrona sygnalisty powstaje z chwilą dokonania zgłoszenia (art. 6 ustawy) – nie po jego weryfikacji, nie po decyzji zarządu, nie po uznaniu zgłoszenia za zasadne. Jest natychmiastowa i bezwarunkowa, o ile sygnalista miał uzasadnione podstawy sądzić, że informacja jest prawdziwa.

To oznacza, że od pierwszej minuty po wpłynięciu zgłoszenia obowiązują trzy bezwzględne zakazy.

Zakaz działań odwetowych

Wobec sygnalisty nie mogą być podejmowane żadne negatywne działania spowodowane zgłoszeniem. Katalog z art. 12 ustawy jest otwarty i obejmuje m.in.:

1. Wypowiedzenie lub rozwiązanie umowy o pracę
2. Obniżenie wynagrodzenia lub wstrzymanie premii
3. Pominięcie przy awansie lub szkoleniu
4. Zmianę miejsca pracy lub rozkładu czasu pracy
5. Mobbing, dyskryminację, zastraszanie lub wykluczenie
6. Nałożenie środka dyscyplinarnego
7. Niezasadne inicjowanie postępowań przeciwko sygnaliście

Zakaz obejmuje nie tylko działania już podjęte, ale też próby i groźby ich zastosowania. Kara: pozbawienie wolności do lat 2, a przy działaniach uporczywych – do lat 3.

Zakaz naruszenia poufności

Tożsamość sygnalisty musi być chroniona od pierwszej chwili. Niedozwolone jest przekazywanie informacji o osobie zgłaszającej komukolwiek poza ściśle upoważnionym kręgiem osób. Dotyczy to rozmów na korytarzu, wzmianek na spotkaniach zespołu, wpisów w systemach IT czy korespondencji mailowej. Kara za ujawnienie tożsamości: pozbawienie wolności do roku.

Warto pamiętać, że poufność obejmuje dane, które mogą pośrednio wskazać sygnalistę – np. informację, że „ktoś z działu finansów złożył zgłoszenie”, jeśli w dziale pracują trzy osoby.

Zakaz utrudniania zgłoszenia

Odmowa przyjęcia zgłoszenia, „gubienie” dokumentu, blokowanie dostępu do kanału zgłoszeniowego czy wywieranie nacisku na wycofanie zgłoszenia – to wszystko jest penalizowane. Kara: pozbawienie wolności do roku, a przy stosowaniu przemocy lub groźby – do lat 3.

Co to oznacza dla pracodawcy w pierwszych godzinach

Nie oceniaj zgłoszenia „z góry”. Nie dzwoń do osoby wskazanej w zgłoszeniu, żeby „wyjaśnić sprawę nieformalnie”. Nie rozmawiaj o zgłoszeniu z menedżerami, którzy nie są upoważnieni. Nie podejmuj żadnych decyzji kadrowych wobec sygnalisty.

Pamiętaj o odwróconym ciężarze dowodu: jeśli sygnalista zostanie potraktowany niekorzystnie, to Twoja firma musi wykazać, że działanie nie miało związku ze zgłoszeniem. Im krótszy czas między zgłoszeniem a niekorzystną decyzją, tym trudniej będzie to udowodnić.

Napisz do nas

Kto w organizacji odpowiada za zgłoszenia – role, uprawnienia, eskalacja

Ustawa nie wskazuje wprost, jakie stanowisko powinno obsługiwać zgłoszenia. Daje trzy opcje: upoważniony pracownik, wewnętrzna jednostka organizacyjna albo podmiot zewnętrzny (np. kancelaria prawna). Wybór zależy od wielkości firmy, struktury i specyfiki działalności.

Cztery modele stosowane w organizacjach

Niezależnie od modelu, osoba odpowiedzialna za zgłoszenia nie może być osobą, której zgłoszenie może dotyczyć – np. członkiem zarządu, jeśli zgłoszenie dotyczy decyzji zarządu. To warunek bezstronności, który wynika wprost z logiki systemu.

Obowiązki podmiotu odpowiedzialnego

1. Zarządzanie kanałami zgłoszeniowymi (pisemne, ustne, elektroniczne)
2. Prowadzenie rejestru zgłoszeń z bieżącym odnotowywaniem każdego wpływu
3. Potwierdzenie przyjęcia zgłoszenia w terminie 7 dni
4. Wstępna weryfikacja formalna i merytoryczna
5. Organizowanie postępowań wyjaśniających
6. Przekazywanie sygnaliście informacji zwrotnej w terminie 3 miesięcy
7. Zapewnienie poufności tożsamości sygnalisty i osób wskazanych w zgłoszeniu
8. Ograniczenie dostępu do zgłoszenia wyłącznie do osób upoważnionych (zasada „need to know”)
9. Posiadanie pisemnego upoważnienia do przetwarzania danych osobowych

Kiedy i jak eskalować

Nie każde zgłoszenie wymaga zaangażowania zarządu. Drobne nieprawidłowości proceduralne może rozpatrzyć pełnomocnik we współpracy z właściwym działem. Natomiast zgłoszenia dotyczące poważnych naruszeń prawa, działań korupcyjnych, naruszeń bezpieczeństwa danych lub zachowań członków zarządu powinny trafiać do komisji ds. działań następczych i być raportowane najwyższemu kierownictwu.

Podmiot odpowiedzialny za zgłoszenia musi mieć bezpośredni dostęp do najwyższego kierownictwa. Decyzja o zawiadomieniu organów zewnętrznych (np. Rzecznika Praw Obywatelskich) powinna należeć do zarządu.

Współpraca z innymi działami

Obsługa zgłoszenia rzadko zamyka się w jednym dziale. HR angażuje się przy naruszeniach dotyczących stosunku pracy. Dział IT – przy incydentach związanych z bezpieczeństwem danych. Audyt wewnętrzny – przy systemowych nieprawidłowościach. Podmiot odpowiedzialny za zgłoszenia koordynuje te działania, ale zachowuje samodzielność w ocenie, czy dane zgłoszenie jest objęte ustawą.

Weryfikacja zgłoszenia: jak oddzielić fakty od interpretacji

Ustawa posługuje się pojęciami „postępowania wyjaśniającego” i „działań następczych”, ale nie zawiera zoperacjonalizowanych kryteriów weryfikacji zgłoszeń. Żaden organ publiczny – ani RPO, ani UODO, ani PIP – nie opublikował szczegółowych standardów oceny wiarygodności. Ciężar wypracowania tych standardów spoczywa na wewnętrznych procedurach Twojej organizacji.

Trzy kategorie treści w zgłoszeniu

Każde zgłoszenie zawiera mieszankę trzech rodzajów informacji. Ich rozdzielenie to pierwszy krok weryfikacji.

Standard „uzasadnionych podstaw”

Sygnalista nie musi udowodnić naruszenia ponad wszelką wątpliwość. Wystarczy, że miał szczere przekonanie oparte na obiektywnie rozsądnych przesłankach, że doszło do naruszenia prawa. Ochrona przysługuje nawet wtedy, gdy zgłoszenie okaże się niezasadne – o ile sygnalista działał w dobrej wierze.

Świadome przekazanie fałszywych informacji to inna sytuacja – zagrożona karą pozbawienia wolności do lat 2 (art. 57 ustawy). Pracodawca nie ma jednak prawa samodzielnie przesądzać, że zgłoszenie jest fałszywe, i na tej podstawie odmawiać ochrony.

Kryteria oceny wiarygodności

Ustawa nie podaje gotowej checklisty, ale z ogólnych zasad i praktyki organów można wyprowadzić następujące kryteria:

Kryteria formalne:

1. Czy sygnalista się zidentyfikował (z wyjątkiem zgłoszeń anonimowych)
2. Czy wskazał podmiot, którego zgłoszenie może dotyczyć
3. Czy określił obszar naruszenia w rozumieniu art. 3 ustawy
4. Czy zgłoszenie wpłynęło przewidzianym kanałem
5. Czy opis naruszenia jest wystarczająco precyzyjny

Kryteria merytoryczne:

1. Wewnętrzna spójność opisu zdarzeń
2. Zgodność z innymi dostępnymi źródłami (dokumentacja, logi IT, korespondencja)
3. Prawdopodobieństwo opisywanych zachowań w danym kontekście organizacyjnym
4. Brak oczywistych sprzeczności z ustalonym stanem prawnym

Ochrona osoby wskazanej w zgłoszeniu

Poufność dotyczy obu stron. Osoba wskazana jako naruszająca prawo również ma prawo do ochrony tożsamości i dóbr osobistych. W przypadku świadomego zgłoszenia fałszywych informacji może domagać się odszkodowania na podstawie art. 15 ustawy i przepisów Kodeksu cywilnego.

Komunikacja ze zgłaszającym: obowiązki informacyjne i terminy ustawowe

Ustawa precyzuje trzy terminy, których przekroczenie naraża firmę na zarzut naruszenia przepisów. Warto je mieć pod ręką.

Potwierdzenie przyjęcia zgłoszenia

Potwierdzenie powinno trafić do sygnalisty w tej samej lub adekwatnej formie, w jakiej dokonano zgłoszenia. Termin 7 dni liczy się od dnia faktycznego wpływu zgłoszenia do organizacji, nie od dnia wysłania przez sygnalistę.

Jeśli sygnalista nie podał adresu do kontaktu (np. zgłoszenie anonimowe bez kanału zwrotnego), obowiązek potwierdzenia nie powstaje. Dlatego warto, żeby system zgłoszeniowy umożliwiał anonimową komunikację zwrotną – np. przez unikalny numer sprawy.

Informacja zwrotna po 3 miesiącach

Informacja zwrotna powinna obejmować: czy wszczęto postępowanie wyjaśniające, jakie działania podjęto i jaki jest ich wynik. Ustawa nie precyzuje wymaganej treści ani formy – ale im bardziej konkretna odpowiedź, tym mniejsze ryzyko zarzutu bierności.

Jeśli postępowanie nie zostało zakończone w ciągu 3 miesięcy, przekaż sygnaliście informację o bieżącym statusie i planowanych dalszych krokach. Brak jakiejkolwiek odpowiedzi może skłonić sygnalistę do skorzystania ze ścieżki zewnętrznej – zgłoszenia do RPO.

Obowiązek informowania o ścieżce zewnętrznej

Procedura zgłoszeń wewnętrznych musi zawierać zrozumiałe informacje o możliwości dokonywania zgłoszeń zewnętrznych do Rzecznika Praw Obywatelskich albo właściwych organów publicznych. Nie możesz projektować procedury w sposób sugerujący, że jedyną dopuszczalną ścieżką jest zgłoszenie wewnętrzne.

Zasady komunikacji

Cała komunikacja z sygnalistą musi odbywać się z zachowaniem poufności. Nie używaj imiennych adresów e-mail, które mogą zostać odczytane przez osoby nieupoważnione. Nie prowadź rozmów w przestrzeni otwartej. Ogranicz krąg osób mających dostęp do danych sygnalisty do absolutnego minimum – na zasadzie „need to know”.

Zamknięcie sprawy: dokumentacja, wnioski i działania naprawcze

Ustawa wymaga prowadzenia rejestru zgłoszeń wewnętrznych (art. 29 ustawy). Dane przechowujesz przez 3 lata od dnia przyjęcia zgłoszenia. Ustawa nie zawiera wzorca raportu końcowego – to Twoja procedura wewnętrzna powinna określać, jak wygląda zamknięcie sprawy.

Co powinien zawierać raport końcowy

Na podstawie wymogów ustawowych i dobrych praktyk organizacyjnych raport zamykający sprawę powinien obejmować:

1. Numer sprawy i datę zgłoszenia – zgodnie z rejestrem
2. Opis zgłoszenia – przedmiot naruszenia, obszar, wskazane osoby
3. Przebieg postępowania wyjaśniającego – jakie czynności podjęto, z kim rozmawiano, jakie dokumenty zbadano
4. Ustalenia faktyczne – co potwierdzono, czego nie potwierdzono, jakie rozbieżności stwierdzono
5. Ocena prawna – czy stwierdzone fakty stanowią naruszenie prawa w rozumieniu art. 3 ustawy
6. Podjęte działania naprawcze – zmiany procedur, sankcje wobec osób naruszających, szkolenia, korekty procesów
7. Działania zapobiegawcze – co zmienić w organizacji, żeby podobna sytuacja się nie powtórzyła
8. Data zamknięcia sprawy
9. Informacja o przekazaniu informacji zwrotnej sygnaliście – data i forma

Rejestr zgłoszeń – obowiązkowe elementy

Zgodnie z art. 29 ustawy rejestr musi zawierać:

1. Numer zgłoszenia
2. Przedmiot naruszenia
3. Dane osobowe sygnalisty i osoby, której dotyczy zgłoszenie (chyba że zgłoszenie anonimowe)
4. Adres do kontaktu zgłaszającego
5. Datę dokonania zgłoszenia
6. Informację o podjętych działaniach następczych
7. Datę zakończenia sprawy

Działania naprawcze i zapobiegawcze

Zamknięcie sprawy to nie tylko wpis w rejestrze. Jeśli postępowanie potwierdziło naruszenie, firma powinna wdrożyć konkretne zmiany: zaktualizować procedury, przeszkolić zespół, zmienić sposób nadzoru lub podjąć działania dyscyplinarne wobec osób odpowiedzialnych za naruszenie.

Każde zgłoszenie – nawet nieuzasadnione – dostarcza informacji o tym, jak organizacja jest postrzegana przez pracowników i współpracowników. Warto traktować je jako sygnał diagnostyczny.

Najczęstsze błędy pracodawców przy obsłudze zgłoszeń – i jak ich uniknąć

Jak możemy Ci pomóc w obsłudze zgłoszeń sygnalistów

Wdrożenie procedury to dopiero początek. Prawdziwe wyzwanie zaczyna się, gdy zgłoszenie wpływa i trzeba podjąć konkretne decyzje – kto prowadzi postępowanie, jak zabezpieczyć poufność, jak komunikować się z sygnalistą, co zrobić z wynikami weryfikacji.

W ramach obsługi prawnej firm wspieramy organizacje na każdym etapie tego procesu:

1. Projektujemy procedury zgłoszeń wewnętrznych dopasowane do struktury i modelu działania Twojej firmy – nie kopiujemy szablonów
2. Wyznaczamy role i ścieżki eskalacji – ustalamy, kto przyjmuje zgłoszenia, kto prowadzi postępowanie, kto podejmuje decyzje
3. Prowadzimy postępowania wyjaśniające jako podmiot zewnętrzny – co zapewnia niezależność i oddziela obsługę zgłoszeń od struktury wewnętrznej
4. Szkolimy menedżerów i HR z zakresu obowiązków, terminów i zakazów wynikających z ustawy
5. Przygotowujemy dokumentację zamykającą – raporty, wpisy do rejestru, informacje zwrotne dla sygnalisty
6. Monitorujemy zmiany przepisów i aktualizujemy procedury, gdy pojawiają się nowe interpretacje lub stanowiska organów

Przekazanie obsługi zgłoszeń kancelarii prawnej ma konkretne zalety: sprawy prowadzą osoby z doświadczeniem w prawie pracy i rozwiązywaniu sporów, kancelaria przechowuje dane sygnalisty wyłącznie u siebie (bez przekazywania ich pracodawcy), a Ty zyskujesz pewność, że wymóg poufności jest spełniony.

Uporządkowana procedura zgłoszeń to ochrona firmy i zespołu

Zgłoszenie od sygnalisty nie musi oznaczać kryzysu. Jeśli masz jasną procedurę, wyznaczone role i pilnujesz terminów – firma reaguje sprawnie, a ryzyko błędów prawnych spada.

Trzy rzeczy do zapamiętania:

1. Ochrona sygnalisty działa od chwili zgłoszenia – nie od Twojej decyzji
2. Poufność to fundament systemu – bez niej kanał zgłoszeniowy traci sens
3. Terminy są konkretne: 7 dni, 14 dni, 3 miesiące – ich przekroczenie generuje ryzyko

Jeśli Twoja firma nie ma jeszcze procedury zgłoszeń wewnętrznych albo chcesz sprawdzić, czy istniejąca procedura spełnia wymogi ustawy – napisz do nas. Pomożemy Ci ułożyć system, który chroni firmę, zespół i osoby zgłaszające.

Najczęściej zadawane pytania

Czy firma musi przyjąć zgłoszenie anonimowe?

Ustawa nie nakłada obowiązku przyjmowania zgłoszeń anonimowych – to zależy od Twojej procedury wewnętrznej. Możesz zdecydować, że Twój system obsługuje zgłoszenia anonimowe, ale nie musisz. Jeśli jednak zdecydujesz się je przyjmować, traktuj je na równi z innymi zgłoszeniami – prowadź postępowanie wyjaśniające i dokumentuj działania następcze. Warto wdrożyć system umożliwiający anonimową komunikację zwrotną (np. przez unikalny numer sprawy), żeby móc przekazać informację zwrotną nawet anonimowemu sygnaliście.

Czy zgłoszenie dotyczące naruszenia prawa pracy jest objęte ustawą o ochronie sygnalistów?

Sejm wykreślił prawo pracy z katalogu obszarów objętych ustawą (art. 3). Zgłoszenia dotyczące wyłącznie naruszeń Kodeksu pracy nie podlegają ochronie w rozumieniu ustawy o sygnalistach. Wiele naruszeń z obszaru prawa pracy ma jednak komponent związany z innymi dziedzinami – np. ochroną danych osobowych pracowników, interesami finansowymi czy konstytucyjnymi prawami pracowników. W takich przypadkach zgłoszenie może być objęte ustawą. Ocena wymaga każdorazowej analizy.

Kto powinien rozpatrywać zgłoszenia – pracownik wewnętrzny czy podmiot zewnętrzny?

Oba rozwiązania są dopuszczalne. Podmiot zewnętrzny (np. kancelaria prawna) zapewnia niezależność, doświadczenie w prowadzeniu postępowań i łatwiejsze spełnienie wymogu poufności – dane sygnalisty pozostają poza strukturą firmy. Model wewnętrzny sprawdza się w organizacjach z wyodrębnionym działem compliance. Możliwe jest też rozwiązanie mieszane: pracownik wewnętrzny przyjmuje zgłoszenie, a podmiot zewnętrzny prowadzi postępowanie wyjaśniające.

Co jeśli zgłoszenie dotyczy członka zarządu?

Zgłoszenie dotyczące członka zarządu powinno być rozpatrywane z pominięciem zarządu w ścieżce decyzyjnej. Sprawę należy skierować do rady nadzorczej lub podmiotu zewnętrznego. Osoba odpowiedzialna za zgłoszenia musi mieć w procedurze opisaną ścieżkę eskalacji na wypadek takiej sytuacji – w przeciwnym razie ryzykujesz konflikt interesów i naruszenie poufności.

Czy sygnalista może zgłosić naruszenie bezpośrednio do organu zewnętrznego, pomijając firmę?

Tak. Sygnalista ma prawo skierować zgłoszenie zewnętrzne do Rzecznika Praw Obywatelskich lub właściwego organu publicznego. Kanały zgłoszeń zewnętrznych do RPO obejmują: formularz elektroniczny na sygnalisci.gov.pl, pocztę tradycyjną z adnotacją „Zgłoszenie naruszenia prawa”, nagrywaną infolinię telefoniczną oraz bezpośrednie spotkanie z pracownikiem Zespołu ds. Sygnalistów. Procedura wewnętrzna firmy musi informować o tej możliwości – nie możesz sugerować, że zgłoszenie wewnętrzne to jedyna dopuszczalna ścieżka.

Ile kosztuje firmę brak procedury zgłoszeń wewnętrznych?

Bezpośrednie koszty to potencjalne sankcje karne (grzywna, ograniczenie wolności, pozbawienie wolności do lat 2 za utrudnianie zgłoszenia) oraz odszkodowanie dla sygnalisty w wysokości nie niższej niż przeciętne miesięczne wynagrodzenie w gospodarce narodowej. Pośrednie koszty obejmują: utratę zaufania zespołu, ryzyko zgłoszeń zewnętrznych (które mogą być bardziej dotkliwe dla firmy), a także brak kontroli nad przebiegiem postępowania, jeśli sprawa trafi bezpośrednio do organów publicznych.