Ochrona sygnalistów: ustawa, procedura zgłoszeń wewnętrznych i obowiązki pracodawcy

Sygnalista to osoba, która zgłasza informację o naruszeniu prawa uzyskaną w kontekście związanym z pracą. Nie musi być pracownikiem. Ustawa obejmuje także zleceniobiorców, współpracowników na kontraktach B2B, stażystów, praktykantów, wolontariuszy, akcjonariuszy i wspólników, członków organów spółki, a nawet osoby, których stosunek prawny dopiero ma powstać albo już wygasł. To szerokie ujęcie jest celowe, bo najczęściej o nieprawidłowościach wie ktoś, kto formalnie nie ma umowy o pracę.

Polska ustawa z 14 czerwca 2024 r. wdraża dyrektywę Parlamentu Europejskiego i Rady (UE) 2019/1937 w sprawie ochrony osób zgłaszających naruszenia prawa Unii. Została ogłoszona 24 czerwca 2024 r. w Dzienniku Ustaw pod pozycją 928 i weszła w życie 25 września 2024 r. Przepisy rozdziału o zgłoszeniach zewnętrznych, a także art. 5 ust. 4 i art. 25 ust. 1 pkt 8, zaczęły obowiązywać później, 25 grudnia 2024 r. Ta druga data ma znaczenie praktyczne: dopiero od niej działa ścieżka zgłoszeń do Rzecznika Praw Obywatelskich, do której procedura wewnętrzna musi odsyłać.

Sens całej konstrukcji jest prosty. Państwo woli, żeby nieprawidłowość została naprawiona wewnątrz firmy, zanim trafi do organu albo do mediów. Dlatego pracodawca dostaje obowiązek zbudowania kanału, który realnie działa, a osoba zgłaszająca dostaje ochronę przed konsekwencjami zgłoszenia.

Obowiązek ustalenia procedury zgłoszeń wewnętrznych ma podmiot prawny, na rzecz którego według stanu na dzień 1 stycznia lub 1 lipca danego roku wykonuje pracę zarobkową co najmniej 50 osób. Tak stanowi art. 23 ust. 1 ustawy i warto przeczytać to zdanie dokładnie, bo prawie każde słowo w nim coś zmienia.

Po pierwsze, ustawa mówi o osobach wykonujących pracę zarobkową, a nie o pracownikach. Art. 23 ust. 2 precyzuje, że do pięćdziesiątki wlicza się pracowników w przeliczeniu na pełne etaty oraz osoby świadczące pracę za wynagrodzeniem na innej podstawie niż stosunek pracy, o ile nie zatrudniają do tego rodzaju pracy innych osób. Zleceniobiorca liczy się więc do progu. Jednoosobowa działalność współpracująca z Tobą na stałe też, o ile sama nie ma podwykonawców do tej pracy. Firma, która ma 38 etatów i 15 stałych współpracowników B2B, jest nad progiem, choć w kadrach widnieje jako mała.

Po drugie, próg bada się dwa razy w roku, na 1 stycznia i na 1 lipca. To znaczy, że firma rosnąca w ciągu roku nie wpada w obowiązek z dnia na dzień, ale też że raz przekroczony próg trzeba obsłużyć bez zwłoki.

Po trzecie, próg w ogóle nie działa w części branż. Art. 23 ust. 3 wyłącza go wobec podmiotów działających w zakresie usług, produktów i rynków finansowych, przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu, bezpieczeństwa transportu oraz ochrony środowiska, w zakresie objętym aktami prawa Unii wymienionymi w części I.B i II załącznika do dyrektywy 2019/1937. Mała firma pośrednictwa finansowego czy biuro rachunkowe objęte obowiązkami AML może mieć obowiązek przy pięciu osobach.

Firmy poniżej progu mogą ustalić procedurę dobrowolnie i art. 24 ust. 2 wprost na to pozwala. Bywa to opłacalne, bo bez procedury wewnętrznej osoba, która chce zgłosić naruszenie, nie ma u Ciebie żadnej ścieżki i naturalnie idzie od razu na zewnątrz.

Procedury nie wprowadza się zarządzeniem z dnia na dzień. Art. 24 ust. 3 wymaga wcześniejszych konsultacji z zakładową organizacją związkową, a jeżeli w firmie nie działa żaden związek, z przedstawicielami osób świadczących pracę, wyłonionymi w trybie przyjętym u danego pracodawcy. Ustawa nie narzuca sposobu wyboru przedstawicieli, ale wymaga, żeby tryb był u Ciebie ustalony i dało się go odtworzyć.

Konsultacje mają sztywne ramy czasowe. Trwają nie krócej niż 5 dni i nie dłużej niż 10 dni od dnia przedstawienia projektu. Krótsze konsultacje to wada procedury, dłuższe niepotrzebnie przeciągają wdrożenie. Po konsultacjach procedurę podaje się do wiadomości osób wykonujących pracę w sposób przyjęty u pracodawcy, a wchodzi ona w życie dopiero po upływie 7 dni od tego dnia.

Realny kalendarz wdrożenia to więc minimum kilkanaście dni: przygotowanie projektu, od 5 do 10 dni konsultacji, ogłoszenie, 7 dni vacatio. Firma, która orientuje się 1 lipca, że przekroczyła próg, i tego samego dnia zaczyna pracę, i tak będzie miała działającą procedurę dopiero pod koniec miesiąca.

Osobnym, łatwym do przeoczenia obowiązkiem jest art. 24 ust. 6. Informację o procedurze zgłoszeń wewnętrznych przekazuje się osobie ubiegającej się o pracę wraz z rozpoczęciem rekrutacji lub negocjacji poprzedzających zawarcie umowy. Nie po podpisaniu umowy, tylko na starcie rozmów. W praktyce oznacza to dopisanie akapitu do ogłoszenia rekrutacyjnego albo do pierwszej wiadomości do kandydata.

Art. 26 ust. 1 wyznacza minimum: procedura musi umożliwiać dokonanie zgłoszenia co najmniej ustnie lub pisemnie. Zgłoszenie pisemne może mieć postać papierową albo elektroniczną. Zgłoszenie ustne można złożyć telefonicznie albo za pośrednictwem środków komunikacji elektronicznej.

Sposób dokumentowania zależy od kanału i ustawa jest tu drobiazgowa. Rozmowa na nagrywanej linii jest dokumentowana za zgodą sygnalisty jako nagranie umożliwiające jej wyszukanie albo jako kompletna i dokładna transkrypcja. Rozmowa na linii nienagrywanej wymaga protokołu odtwarzającego jej dokładny przebieg. W obu przypadkach sygnalista może sprawdzić, poprawić i zatwierdzić transkrypcję lub protokół przez podpisanie. Na wniosek sygnalisty zgłoszenie można też złożyć podczas bezpośredniego spotkania, które trzeba zorganizować w terminie 14 dni od otrzymania wniosku.

Zgłoszenia anonimowe budzą najwięcej pytań, więc warto rozdzielić dwie sprawy. Ustawa nie nakazuje przyjmowania zgłoszeń anonimowych. Nakazuje natomiast, żeby procedura określała tryb postępowania z informacjami o naruszeniach zgłoszonymi anonimowo. Możesz więc zdecydować, że anonimowych zgłoszeń nie rozpatrujesz, ale musisz to w procedurze napisać. Milczenie w tej sprawie jest brakiem obowiązkowego elementu.

Poufność to nie to samo co anonimowość i art. 27 traktuje ją bardzo poważnie. Rozwiązania organizacyjne i przetwarzanie danych muszą uniemożliwiać osobom nieupoważnionym dostęp do informacji objętych zgłoszeniem oraz chronić tożsamość sygnalisty, osoby, której zgłoszenie dotyczy, i osoby trzeciej w zgłoszeniu wskazanej. Ochrona obejmuje też informacje, na podstawie których można te osoby zidentyfikować pośrednio, a więc opis stanowiska czy szczegół zdarzenia wskazujący na jedną osobę. Do obsługi zgłoszeń można dopuścić wyłącznie osoby z pisemnym upoważnieniem, związane tajemnicą także po ustaniu zatrudnienia.

Obsługę można powierzyć podmiotowi zewnętrznemu na podstawie umowy, ale art. 28 ust. 4 przecina złudzenia: zawarcie takiej umowy nie uchyla odpowiedzialności podmiotu prawnego za dochowanie obowiązków, w szczególności poufności, informacji zwrotnej i działań następczych. Outsourcing zdejmuje pracę, nie odpowiedzialność.

Art. 11 formułuje zasadę ogólną: wobec sygnalisty nie można podejmować działań odwetowych ani prób lub gróźb ich zastosowania. Art. 12 ust. 1 rozwija to w listę 21 przykładów i ta lista jest w praktyce najważniejszym fragmentem ustawy dla działu HR, bo pokazuje, jak szeroko rozumiany jest odwet.

Znajdziemy tam rzeczy oczywiste, jak wypowiedzenie umowy, obniżenie wynagrodzenia, przeniesienie na niższe stanowisko czy zawieszenie w obowiązkach. Ale także takie, które w firmie łatwo uznać za zwykłe decyzje zarządcze: wstrzymanie awansu lub pominięcie przy awansowaniu, negatywna ocena wyników pracy, niekorzystna zmiana miejsca pracy lub rozkładu czasu pracy, przekazanie obowiązków sygnalisty innemu pracownikowi, pominięcie przy typowaniu na szkolenia, nieuzasadnione skierowanie na badania lekarskie. Na liście jest wprost mobbing (pkt 14) i dyskryminacja (pkt 15), a także działanie zmierzające do utrudnienia znalezienia pracy w danej branży.

Kluczowy jest jednak art. 12 ust. 3: ciężar dowodu, że podjęte działanie nie było działaniem odwetowym, spoczywa na pracodawcy. To odwraca normalny układ. Jeżeli pracownik zgłosił naruszenie, a trzy miesiące później dostał najniższą ocenę roczną i nie awansował, to firma musi wykazać, że jedno z drugim nie ma związku. Bez dokumentacji ocen sprzed zgłoszenia jest to bardzo trudne. Praktyczny wniosek jest taki, że po przyjęciu zgłoszenia warto szczególnie starannie dokumentować przesłanki każdej decyzji kadrowej dotyczącej tej osoby.

Sygnalista, wobec którego dopuszczono się działań odwetowych, ma prawo do odszkodowania w wysokości nie niższej niż przeciętne miesięczne wynagrodzenie w gospodarce narodowej w poprzednim roku albo do zadośćuczynienia. Przeciętne wynagrodzenie w gospodarce narodowej w 2025 r. wyniosło 8 903,56 zł, co ogłosił Prezes GUS komunikatem z 9 lutego 2026 r. (M.P. 2026 poz. 192). To dolna granica, a nie kwota z góry ustalona.

Ochrona jest niezbywalna. Art. 17 zakazuje zrzeczenia się tych praw, a art. 19 uznaje za nieważne postanowienia umów o pracę, które bezpośrednio lub pośrednio ograniczają prawo do zgłoszenia albo przewidują środki odwetowe. Klauzula poufności w umowie nie wyłącza prawa do zgłoszenia naruszenia.

Tu warto uważać, bo w internecie krąży sporo zawyżonych kwot. Art. 58 ustawy stanowi, że kto, będąc odpowiedzialnym za ustanowienie procedury zgłoszeń wewnętrznych, wbrew przepisom ustawy jej nie ustanawia albo ustanawia ją z istotnym naruszeniem wymogów, podlega karze grzywny. Art. 59 przesądza, że orzeka się w trybie Kodeksu postępowania w sprawach o wykroczenia. Ustawa nie określa własnej górnej granicy tej grzywny, więc stosuje się zasadę ogólną z art. 24 § 1 Kodeksu wykroczeń: grzywnę wymierza się w wysokości od 100 do 5 000 zł. Sam brak procedury nie jest więc karą liczoną w dziesiątkach tysięcy złotych.

Prawdziwe ryzyko leży gdzie indziej i jest znacznie poważniejsze. Rozdział 6 ustawy zawiera przepisy karne, a nie wykroczeniowe. Kto uniemożliwia innej osobie dokonanie zgłoszenia lub istotnie je utrudnia, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do roku, a przy użyciu przemocy, groźby bezprawnej lub podstępu do 3 lat (art. 54). Kto podejmuje działania odwetowe wobec sygnalisty, osoby pomagającej w zgłoszeniu lub osoby z sygnalistą powiązanej, podlega karze do 2 lat, a przy działaniu uporczywym do 3 lat (art. 55). Kto wbrew przepisom ujawnia tożsamość sygnalisty, podlega karze do roku (art. 56).

Odpowiedzialność działa też w drugą stronę. Kto dokonuje zgłoszenia lub ujawnienia publicznego, wiedząc, że do naruszenia prawa nie doszło, podlega karze do 2 lat (art. 57), a osoba poszkodowana świadomie nieprawdziwym zgłoszeniem ma wobec sygnalisty roszczenie odszkodowawcze z art. 15. Ustawa chroni zgłaszających w dobrej wierze, nie donosicieli.

Do tego dochodzi koszt cywilny i wizerunkowy. Odszkodowanie z art. 14, ciężar dowodu z art. 12 ust. 3 i publiczny charakter sporu sądowego z odwetu bywają dla firmy dotkliwsze niż każda grzywna z art. 58. Brak procedury oznacza również, że sprawa idzie od razu do Rzecznika Praw Obywatelskich albo organu publicznego, bez etapu, na którym dałoby się ją naprawić po cichu.

To jedno z najczęściej mylonych zagadnień, a od 5 listopada 2026 r. stanie się jeszcze bardziej praktyczne. Mobbing i zgłoszenie sygnalisty to dwie odrębne instytucje z osobnymi podstawami prawnymi, ale stykają się w kilku punktach.

Pierwszy punkt styku jest w art. 12 ust. 1 pkt 14 ustawy o ochronie sygnalistów: mobbing wymieniono wprost jako jedną z form działań odwetowych. Jeżeli pracownik zgłosił naruszenie prawa, a potem zaczął być nękany, mamy zarówno sprawę mobbingową na gruncie Kodeksu pracy, jak i odwet na gruncie ustawy o sygnalistach, z odrębnymi roszczeniami i odrębną odpowiedzialnością karną z art. 55.

Drugi punkt to zakres przedmiotowy. Zgłoszenie sygnalisty dotyczy naruszenia prawa w obszarach wskazanych w ustawie, a nie każdego konfliktu w pracy. Sam mobbing wobec zgłaszającego nie czyni z niego automatycznie sygnalisty. Osoba, która zgłasza wyłącznie nękanie jej samej, idzie zwykle ścieżką antymobbingową, opisaną szerzej na stronie o przeciwdziałaniu mobbingowi, gdzie omawiamy nową definicję mobbingu i zadośćuczynienie od sześciokrotności minimalnego wynagrodzenia.

Trzeci punkt jest organizacyjny i najbardziej praktyczny. Od 5 listopada 2026 r. pracodawca zatrudniający co najmniej 10 pracowników musi określić reguły, procedury i częstotliwość działań przeciwdziałania mobbingowi w regulaminie pracy albo w odrębnym regulaminie antymobbingowym. Powstaje więc firma z dwoma równoległymi kanałami zgłoszeń: antymobbingowym i sygnalistowskim. Warto je zaprojektować razem, tak żeby pracownik wiedział, gdzie iść, a osoba przyjmująca zgłoszenie umiała je zakwalifikować. Progi są przy tym różne (10 pracowników dla reguł antymobbingowych, 50 osób dla procedury sygnalistów), więc część firm będzie miała tylko jeden z tych obowiązków.

Warto też pamiętać, że oba reżimy przewidują odwrócony ciężar dowodu na niekorzyść pracodawcy. Zbieżność jest tu celowa: ustawodawca zakłada, że dowody leżą po stronie organizacji, nie osoby zgłaszającej.

Sygnalista nie ma obowiązku wyczerpania drogi wewnętrznej. Może od razu zgłosić naruszenie do Rzecznika Praw Obywatelskich albo do organu publicznego właściwego w danej sprawie. Procedura wewnętrzna może wprost o tym informować i art. 25 ust. 2 pkt 3 wymienia taką wzmiankę jako element fakultatywny. Niezależnie od tego informacja o możliwości zgłoszenia zewnętrznego jest elementem obowiązkowym z art. 25 ust. 1 pkt 8.

To ma znaczenie strategiczne dla pracodawcy. Skoro droga wewnętrzna nie jest obowiązkowa dla zgłaszającego, jedynym powodem, dla którego pracownik wybierze ją zamiast RPO, jest przekonanie, że firma potraktuje sprawę poważnie i że nie spotka go za to nic złego. Art. 25 ust. 2 pkt 4 pozwala nawet wpisać do procedury system zachęt do korzystania ze ścieżki wewnętrznej, gdy naruszeniu można skutecznie zaradzić w ramach organizacji, a sygnalista nie widzi ryzyka odwetu.

Ujawnienie publiczne, na przykład przekazanie sprawy mediom, jest trzecią ścieżką i podlega dodatkowym warunkom. Gdy informacja trafia bezpośrednio do prasy, stosuje się Prawo prasowe. Osobno art. 16 chroni sygnalistę przed odpowiedzialnością za samo zgłoszenie: dokonanie zgłoszenia nie może stanowić podstawy odpowiedzialności za zniesławienie, naruszenie dóbr osobistych, praw autorskich, ochrony danych osobowych ani za naruszenie tajemnicy przedsiębiorstwa, pod warunkiem że sygnalista miał uzasadnione podstawy sądzić, że zgłoszenie było niezbędne do ujawnienia naruszenia.