Ustawa o sygnalistach 2024. Co musisz wdrożyć w firmie, zanim będzie za późno

Twój programista odkrywa, że dane użytkowników są przetwarzane niezgodnie z RODO. Szuka w intranecie procedury zgłoszenia. Nie znajduje. Pisze do Rzecznika Praw Obywatelskich. Następnego dnia temat jest w mediach branżowych. A Ty dowiadujesz się, że za brak procedury grozi Ci — osobiście — kara grzywny.

To nie scenariusz abstrakcyjny. Ustawa o ochronie sygnalistów obowiązuje od 25 września 2024 r. Nakłada na pracodawców obowiązek wdrożenia wewnętrznej procedury zgłoszeń, uruchomienia zabezpieczonych kanałów zgłoszeniowych i ochrony sygnalistów przed odwetem. Odpowiedzialność karna za brak wdrożenia jest osobista — dotyczy nie firmy jako podmiotu, lecz konkretnej osoby odpowiedzialnej za ustanowienie procedury.

W tym artykule znajdziesz: kogo dotyczy ustawa, jakie obowiązki nakłada, jakie sankcje grożą za ich brak i co zrobić, żeby uporządkować ten temat w Twojej firmie — krok po kroku.

Najważniejsze pojęcia, które musisz znać

Zanim przejdziemy do obowiązków — krótki słownik. Ustawa posługuje się terminami, które warto rozumieć od razu.

Kogo dotyczy ustawa o sygnalistach

Próg 50 osób — jak go liczyć

Ustawa stosuje jeden próg: co najmniej 50 osób wykonujących pracę zarobkową na rzecz podmiotu prawnego (art. 23 ustawy). Nie istnieje w polskiej ustawie żaden dodatkowy podział na firmy 50–249 i 250+ pracowników. Podział ten pochodzi z dyrektywy UE 2019/1937 i miał wyłącznie charakter czasowy — nie został przeniesiony do prawa krajowego.

Do liczby 50 osób wlicza się:

1. Pracowników w przeliczeniu na pełne etaty (nie stan osobowy — dwóch pracowników na pół etatu to jeden etat)
2. Osoby świadczące pracę za wynagrodzeniem na innej podstawie niż stosunek pracy (umowy cywilnoprawne, B2B), jeżeli nie zatrudniają do tej pracy innych osób

Próg weryfikujesz dwa razy w roku: według stanu na 1 stycznia i 1 lipca.

Ministerstwo Rodziny, Pracy i Polityki Społecznej potwierdziło w oficjalnych materiałach, że jedynym progiem liczbowym jest próg 50 osób.

Wyjątki — kto musi wdrożyć procedurę niezależnie od liczby zatrudnionych

Obowiązek wdrożenia procedury bez względu na liczbę osób dotyczy podmiotów działających w zakresie:

1. Usług, produktów i rynków finansowych
2. Przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu (AML)
3. Bezpieczeństwa transportu
4. Ochrony środowiska

Firmy z tych sektorów muszą mieć procedurę od 25 września 2024 r. — bez możliwości skorzystania z „miękkiego” przesunięcia terminu.

Wyłączenie: jednostki organizacyjne gmin i powiatów liczących mniej niż 10 000 mieszkańców.

Podmioty poniżej progu 50 osób mogą wdrożyć procedurę dobrowolnie — wówczas obowiązują je wszystkie wymogi ustawy.

Kto może być sygnalistą — nie tylko pracownicy etatowi

Art. 4 ustawy zawiera otwarty katalog osób, które mogą uzyskać status sygnalisty. To znacznie szersza grupa niż „pracownicy”:

Ochrona przysługuje od chwili dokonania zgłoszenia, pod warunkiem działania w dobrej wierze.

Dla firm IT i SaaS, które łączą zatrudnienie etatowe z modelem B2B, ma to konkretne znaczenie: kontraktor świadczący usługi na podstawie umowy cywilnoprawnej ma takie same prawa do ochrony jak pracownik na umowie o pracę.

Skontaktuj się — sprawdzimy, czy Twoja firma podlega ustawie i jakie obowiązki musisz spełnić.

Jakie naruszenia prawa obejmuje ustawa

Ustawa (art. 3 ust. 1) chroni zgłoszenia dotyczące naruszeń prawa w 17 dziedzinach:

Kategorie 16 i 17 zostały dodane przez polskiego ustawodawcę — wykraczają poza minimum dyrektywy unijnej.

Prawo pracy zostało świadomie wyłączone z katalogu na etapie prac parlamentarnych. Naruszenia takie jak mobbing czy dyskryminacja co do zasady nie są objęte systemem zgłoszeń zewnętrznych — chyba że jednocześnie mieszczą się w innej kategorii (np. ochrona prywatności, zdrowie publiczne, konstytucyjne prawa i wolności).

Art. 3 ust. 2 dopuszcza fakultatywne rozszerzenie procedury wewnętrznej na naruszenia regulacji wewnętrznych lub standardów etycznych (w tym z zakresu prawa pracy) — ale do takich zgłoszeń nie stosuje się przepisów o zgłoszeniach zewnętrznych.

Terminy — kiedy co weszło w życie

Dla podmiotów z sektorów regulowanych (finanse, AML, transport, środowisko) — obowiązek powstał już 25 września 2024 r., bez możliwości przesunięcia.

Brak klasycznych przepisów przejściowych różnicujących terminy wdrożenia dla różnych grup podmiotów.

Sankcje — co grozi za brak wdrożenia

Wykroczenie za brak procedury (art. 58 ustawy)

Brak wdrożenia procedury zgłoszeń wewnętrznych lub jej ustanowienie z istotnym naruszeniem wymogów ustawy to wykroczenie. Odpowiedzialność ponosi osoba fizyczna odpowiedzialna za ustanowienie procedury — nie firma jako podmiot.

Sankcja: kara grzywny od 20 do 5000 zł (widełki z art. 24 § 1 Kodeksu wykroczeń).

Kwota wydaje się niska, ale to nie jedyne ryzyko. Wadliwa procedura otwiera drogę do znacznie poważniejszych konsekwencji — odwetowych, odszkodowawczych i reputacyjnych.

Przestępstwa z art. 54–57 — surowsze sankcje

Grzywny za przestępstwa wymierzane są w stawkach dziennych (Kodeks karny) — potencjalnie wielokrotnie wyższe niż 5000 zł.

Roszczenia odszkodowawcze sygnalisty

Sygnalista, który doznał działań odwetowych, może dochodzić odszkodowania lub zadośćuczynienia. Minimalne odszkodowanie: nie niższe niż przeciętne miesięczne wynagrodzenie w gospodarce narodowej w poprzednim roku.

Ciężar dowodu jest odwrócony — to pracodawca musi wykazać, że podjęte działania nie były odwetem za zgłoszenie.

Wszelkie postanowienia umów ograniczające prawa sygnalisty są nieważne. Klauzula poufności w umowie B2B nie może blokować zgłoszenia naruszenia prawa.

Zgłoszenia zewnętrzne — kiedy sygnalista może pominąć kanał wewnętrzny

Art. 30 ust. 1 ustawy stanowi wprost: sygnalista może dokonać zgłoszenia zewnętrznego bez uprzedniego dokonania zgłoszenia wewnętrznego. Brak prawnego obowiązku wyczerpania kanału wewnętrznego.

To oznacza, że jeśli Twoja firma nie ma procedury albo sygnalista nie ufa wewnętrznemu kanałowi — może od razu pisać do RPO. A Ty tracisz kontrolę nad sytuacją.

Sytuacje, w których sygnalista typowo pomija kanał wewnętrzny:

1. Realne ryzyko działań odwetowych
2. Naruszenie dotyczy osób na wysokich stanowiskach w organizacji
3. Brak procedury wewnętrznej lub jej widoczna wadliwość
4. Wcześniejsze zgłoszenia wewnętrzne były ignorowane
5. Zagrożenie zdrowia publicznego, środowiska lub finansów publicznych

Kanały zgłoszeń do RPO (od 25 grudnia 2024 r.):

1. Dedykowany formularz online: sygnalisci.brpo.gov.pl
2. Poczta tradycyjna (ul. Puławska 99a, Warszawa, dopisek „Zgłoszenie naruszenia prawa”)
3. Nagrana infolinia telefoniczna
4. Spotkanie osobiste po wcześniejszym umówieniu

Uwaga: ogólna skrzynka ePUAP Biura RPO nie jest kanałem gwarantującym ochronę poufności.

Statystyki RPO z pierwszych miesięcy funkcjonowania systemu pokazują rosnące zainteresowanie: do 30 czerwca 2025 r. wpłynęło 412 spraw, z czego 144 zakwalifikowano jako zgłoszenia zewnętrzne. Dominujące kategorie: interesy finansowe Skarbu Państwa, ochrona danych osobowych, zamówienia publiczne, ochrona środowiska.

5 kroków wdrożenia procedury zgłoszeń wewnętrznych

Krok 1: audyt stanu obecnego i weryfikacja progu

Sprawdź, czy Twoja firma przekracza próg 50 osób (w przeliczeniu na pełne etaty + współpracownicy B2B i zleceniobiorcy, którzy nie zatrudniają do tej pracy innych osób). Zweryfikuj, czy nie działasz w sektorze objętym obowiązkiem niezależnie od wielkości (finanse, AML, transport, środowisko).

Jeśli masz jakąkolwiek istniejącą procedurę — porównaj ją z wymogami ustawy. Połowiczne wdrożenie (np. formularz na intranecie wymagający logowania firmowym kontem, co uniemożliwia anonimowość) nadal skutkuje karą grzywny.

Krok 2: opracuj pisemną procedurę zgłoszeń wewnętrznych

Procedura musi zawierać co najmniej:

Oba terminy (7 dni i 3 miesiące) muszą być wyraźnie wskazane w treści procedury — ich brak oznacza wadliwość procedury i ryzyko sankcji z art. 58.

Bieg terminu 3 miesięcy liczy się od dnia potwierdzenia przyjęcia zgłoszenia. Jeśli potwierdzenie nie zostało przekazane — od upływu 7 dni od dnia dokonania zgłoszenia.

Warto wiedzieć, że doświadczenia z sektora AML — gdzie procedura whistleblowingu funkcjonuje od 2018 r. — dostarczają praktycznych wzorców. Firmy z sektora finansowego już przeszły przez ten proces. Wymogi ustawy o sygnalistach nie są zupełnie nowe — różnią się zakresem, ale logika jest analogiczna.

Krok 3: uruchom kanały zgłoszeniowe

Ustawa wymaga minimum dwóch kanałów: pisemnego i głosowego.

Kanały muszą:

1. Umożliwiać anonimowe zgłoszenia (nie wystarczy formularz z opcjonalnym polem „imię i nazwisko” — system musi uniemożliwiać identyfikację urządzenia, w tym adresu IP)
2. Zapewniać anonimowy kontakt zwrotny z sygnalistą (np. przez unikalny numer zgłoszenia)
3. Być oddzielone od zwykłych kanałów komunikacji firmowej — dedykowany adres e-mail na firmowym serwerze, do którego ma dostęp dział HR, nie spełnia tego wymogu
4. Gwarantować poufność, integralność i dostępność przechowywanych zgłoszeń

Dlaczego zwykły e-mail nie wystarczy: firmowy serwer pocztowy loguje adresy IP, nagłówki wiadomości i metadane. Administrator IT może zidentyfikować nadawcę. To oznacza brak rzeczywistej anonimowości — a procedura wdrożona z takim kanałem jest wdrożona „z istotnym naruszeniem wymogów ustawy”.

Na polskim rynku dostępne są dedykowane platformy SaaS do obsługi zgłoszeń sygnalistów (m.in. Whistlelink, Sygnanet, Sygnalisto). Koszty abonamentu wahają się od kilkuset do kilku tysięcy złotych miesięcznie — zależą od wielkości organizacji i zakresu funkcji.

Krok 4: przeprowadź konsultacje z przedstawicielami pracowników

Przed wdrożeniem procedury musisz przeprowadzić konsultacje z przedstawicielami pracowników. Schemat jest analogiczny do procedury konsultacyjnej przy wdrażaniu regulaminu pracy zdalnej:

1. Wybierz co najmniej dwóch przedstawicieli pracowników
2. Przeprowadź z nimi konsultacje projektu procedury
3. Sporządź protokół konsultacji
4. Nie musisz uwzględnić ich sugestii w finalnej treści — ale musisz udokumentować, że konsultacje się odbyły

Krok 5: przeszkol zespół i uruchom rejestr zgłoszeń

Szkolenia powinny objąć dwie grupy:

1. Kadra zarządzająca i team leaderzy: co to jest działanie odwetowe, jak rozpoznać zgłoszenie sygnalisty, czego absolutnie nie robić po otrzymaniu informacji o zgłoszeniu. To menedżerowie najczęściej — nawet nieświadomie — podejmują działania, które kwalifikują się jako odwet (np. odsunięcie od projektu, zmiana zakresu obowiązków, nieprzedłużenie umowy B2B)
2. Wszyscy pracownicy i współpracownicy: jak zgłaszać naruszenia, jakie mają prawa, jaka jest ochrona, gdzie znaleźć procedurę

Rejestr zgłoszeń wewnętrznych — obowiązkowe elementy:

Okres przechowywania danych: 3 lata po zakończeniu roku kalendarzowego, w którym zakończono działania następcze. Dane nieistotne dla sprawy: usunięcie w terminie 14 dni od stwierdzenia ich zbędności.

Pamiętaj: procedura zgłoszeń nie jest wyłącznie kwestią prawa pracy. Wymaga koordynacji z polityką ochrony danych osobowych (RODO) — ochrona danych dotyczy zarówno sygnalisty, jak i osoby wskazanej w zgłoszeniu.

4 scenariusze, które mogą dotknąć Twoją firmę

Scenariusz 1: brak procedury → zgłoszenie zewnętrzne → utrata kontroli nad narracją

Programista w firmie SaaS odkrywa, że dane użytkowników są przetwarzane niezgodnie z RODO. Szuka procedury zgłoszenia — nie znajduje. Pisze do RPO. Firma ponosi podwójne konsekwencje: za naruszenie RODO i za brak procedury sygnalistów.

Scenariusz 2: nieświadomy odwet → odpowiedzialność karna team leadera

Team leader dowiaduje się, że jego podwładny złożył zgłoszenie. Następnego tygodnia nie przedłuża mu umowy B2B — nawet jeśli powód jest obiektywny, ciężar dowodu przesunięty jest na pracodawcę. Brak udokumentowanej polityki antyodwetowej i szkolenia oznacza, że firma nie ma argumentów.

Scenariusz 3: pozorna anonimowość → wadliwa procedura

Firma IT wdraża formularz na intranecie jako kanał zgłoszeniowy, ale formularz wymaga logowania firmowym kontem. Brak anonimowości oznacza, że procedura jest wdrożona z istotnym naruszeniem ustawy — nadal grozi grzywna.

Scenariusz 4: nieumyślne ujawnienie tożsamości → kara pozbawienia wolności

HR Manager otrzymuje zgłoszenie od sygnalisty i w dobrej wierze informuje o nim bezpośredniego przełożonego sygnalisty, chcąc wyjaśnić sprawę. Nieświadomie ujawnia tożsamość — naraża się na karę pozbawienia wolności do 1 roku.

Jak możemy pomóc

Wdrożenie procedury zgłoszeń wewnętrznych to nie jednorazowe zadanie dokumentacyjne. Wymaga spójnego podejścia: od audytu stanu obecnego, przez opracowanie procedury i uruchomienie kanałów, po szkolenia i bieżącą obsługę zgłoszeń.

Łączymy prawo pracy z kontekstem biznesowym — IP, strukturą właścicielską i planami rozwoju — dzięki czemu decyzje kadrowe są spójne z kierunkiem firmy. Nie wdrażamy standardowych polityk. Projektujemy zasady dopasowane do modelu działania organizacji.

Nasze wsparcie obejmuje:

1. Audyt gotowości — weryfikacja progu zatrudnienia, analiza istniejących procedur, identyfikacja luk
2. Opracowanie procedury zgłoszeń wewnętrznych — zgodnej z ustawą, dostosowanej do struktury organizacji (w tym modeli B2B i pracy zdalnej)
3. Dobór i konfiguracja kanałów zgłoszeniowych — rekomendacja narzędzi spełniających wymogi anonimowości i poufności
4. Przeprowadzenie konsultacji z przedstawicielami pracowników — przygotowanie dokumentacji konsultacyjnej
5. Szkolenia dla kadry zarządzającej i zespołu — jak reagować na zgłoszenia, czego unikać, jak prowadzić komunikację
6. Bieżące wsparcie — obsługa zgłoszeń, monitoring zmian przepisów, aktualizacja procedur

Rozpatrywanie zgłoszeń przez zewnętrzną kancelarię prawną daje dodatkowe zabezpieczenie: kancelaria przechowuje dane sygnalisty wyłącznie u siebie, nie przekazując ich pracodawcy — co spełnia ustawowy wymóg zachowania anonimowości i niezależności.

Napisz do nas — sprawdzimy stan wdrożenia w Twojej firmie i wskażemy, co wymaga korekty.

Ustawa o sygnalistach — podsumowanie i kolejne kroki

Ustawa obowiązuje. Terminy wdrożenia minęły. Odpowiedzialność za brak procedury jest osobista i karna. Sygnalista może pominąć kanał wewnętrzny i zgłosić naruszenie bezpośrednio do RPO — a ciężar dowodu w sporze o odwet spoczywa na pracodawcy.

Trzy rzeczy do zrobienia teraz:

1. Sprawdź, czy Twoja firma przekracza próg 50 osób (pamiętaj o kontraktach B2B i zleceniach)
2. Zweryfikuj, czy posiadasz procedurę zgłoszeń wewnętrznych spełniającą wymogi ustawy — w tym zabezpieczone kanały zapewniające anonimowość
3. Upewnij się, że kadra zarządzająca wie, czym są działania odwetowe i jak ich unikać

Jeśli potrzebujesz wsparcia w audycie, opracowaniu procedury lub przeszkoleniu zespołu — skontaktuj się z nami. Pomożemy Ci uporządkować ten temat, zanim pojawi się pierwsze zgłoszenie.

Najczęściej zadawane pytania

Czy ustawa dotyczy mojej firmy, jeśli zatrudniam 30 osób na umowę o pracę i 40 na B2B?

To zależy od sposobu liczenia. Do progu 50 osób wliczasz pracowników w przeliczeniu na pełne etaty plus osoby świadczące pracę na innej podstawie (B2B, zlecenie), jeżeli nie zatrudniają do tej pracy innych osób. Jeśli po zsumowaniu obu grup przekroczysz 50 — ustawa Cię dotyczy. Próg weryfikujesz według stanu na 1 stycznia i 1 lipca.

Czy mogę użyć dedykowanego adresu e-mail jako kanału zgłoszeniowego?

Zwykły e-mail firmowy nie spełnia wymogów ustawy. Serwer pocztowy loguje adresy IP, nagłówki i metadane — administrator IT może zidentyfikować nadawcę. Kanał zgłoszeniowy musi uniemożliwiać identyfikację urządzenia i być oddzielony od zwykłych systemów komunikacji firmowej. Rozważ dedykowaną platformę SaaS zaprojektowaną pod obsługę zgłoszeń sygnalistów.

Co konkretnie jest „działaniem odwetowym” — czy reorganizacja zespołu po zgłoszeniu automatycznie się kwalifikuje?

Działania odwetowe to wszelkie negatywne konsekwencje wobec sygnalisty wynikające z faktu dokonania zgłoszenia. Katalog jest otwarty i obejmuje m.in. zwolnienie, degradację, obniżenie wynagrodzenia, mobbing, pominięcie przy szkoleniach, zmianę stanowiska. Reorganizacja zespołu nie jest automatycznie odwetem — ale ciężar dowodu spoczywa na pracodawcy. To Ty musisz wykazać, że decyzja nie była związana ze zgłoszeniem.

Kto w firmie powinien obsługiwać zgłoszenia — HR, prawnik, zarząd czy osoba zewnętrzna?

Masz trzy opcje: komisja wewnętrzna (pracownicy firmy), podmiot zewnętrzny (np. kancelaria prawna) lub organ mieszany (przedstawiciel pracodawcy + prawnik zewnętrzny). Osoba obsługująca zgłoszenia musi być niezależna — nie może to być osoba, której zgłoszenia mogą dotyczyć, ani jej bezpośredni podwładny. Przekazanie obsługi kancelarii zewnętrznej ogranicza ryzyko konfliktu interesów i ułatwia zachowanie anonimowości sygnalisty.

Ile czasu mam na potwierdzenie przyjęcia zgłoszenia i przekazanie informacji zwrotnej?

7 dni na potwierdzenie przyjęcia zgłoszenia (od dnia otrzymania) i maksymalnie 3 miesiące na informację zwrotną o podjętych działaniach. Termin 3 miesięcy biegnie od dnia potwierdzenia przyjęcia — lub od upływu 7 dni od zgłoszenia, jeśli potwierdzenie nie zostało przekazane. Oba terminy muszą być wyraźnie wskazane w treści Twojej procedury.

Jak ochronić się przed fałszywymi zgłoszeniami składanymi w złej wierze?

Ustawa przewiduje sankcję za świadome zgłoszenie nieprawdziwych informacji — karę grzywny, ograniczenia wolności albo pozbawienia wolności do 2 lat (art. 57). Ochrona przysługuje wyłącznie sygnaliście działającemu w dobrej wierze. Procedura wewnętrzna powinna zawierać mechanizm weryfikacji zgłoszeń i dokumentowania ustaleń — to pozwala odróżnić zgłoszenia zasadne od nadużyć.