Dziennik Ustaw - rok 2024 poz. 928

1) warunki objęcia ochroną sygnalistów zgłaszających lub ujawniających publicznie informacje o naruszeniach prawa;

2) środki ochrony sygnalistów zgłaszających lub ujawniających publicznie informacje o naruszeniach prawa;

3) zasady ustalania wewnętrznej procedury zgłaszania informacji o naruszeniach prawa i podejmowania działań następczych;

4) zasady zgłaszania informacji o naruszeniach prawa organowi publicznemu;

5) zasady ujawnienia publicznego informacji o naruszeniach prawa;

6) zadania Rzecznika Praw Obywatelskich związane ze zgłaszaniem informacji o naruszeniach prawa;

7) zadania organów publicznych związane ze zgłaszaniem informacji o naruszeniach prawa i z podejmowaniem działań następczych.

1) działaniu następczym - należy przez to rozumieć działanie podjęte przez podmiot prawny lub organ publiczny w celu oceny prawdziwości informacji zawartych w zgłoszeniu oraz w celu przeciwdziałania naruszeniu prawa będącemu przedmiotem zgłoszenia, w szczególności przez postępowanie wyjaśniające, wszczęcie kontroli lub postępowania administracyjnego, wniesienie oskarżenia, działanie podjęte w celu odzyskania środków finansowych lub zamknięcie procedury realizowanej w ramach wewnętrznej procedury dokonywania zgłoszeń naruszeń prawa i podejmowania działań następczych lub procedury przyjmowania zgłoszeń zewnętrznych i podejmowania działań następczych;

2) działaniu odwetowym - należy przez to rozumieć bezpośrednie lub pośrednie działanie lub zaniechanie w kontekście związanym z pracą, które jest spowodowane zgłoszeniem lub ujawnieniem publicznym i które narusza lub może naruszyć prawa sygnalisty lub wyrządza lub może wyrządzić nieuzasadnioną szkodę sygnaliście, w tym bezpodstawne inicjowanie postępowań przeciwko sygnaliście;

3) informacji o naruszeniu prawa - należy przez to rozumieć informację, w tym uzasadnione podejrzenie dotyczące zaistniałego lub potencjalnego naruszenia prawa, do którego doszło lub prawdopodobnie dojdzie w podmiocie prawnym, w którym sygnalista uczestniczył w procesie rekrutacji lub innych negocjacji poprzedzających zawarcie umowy, pracuje lub pracował, lub w innym podmiocie prawnym, z którym sygnalista utrzymuje lub utrzymywał kontakt w kontekście związanym z pracą, lub informację dotyczącą próby ukrycia takiego naruszenia prawa;

4) informacji zwrotnej - należy przez to rozumieć przekazaną sygnaliście informację na temat planowanych lub podjętych działań następczych i powodów takich działań;

5) kontekście związanym z pracą - należy przez to rozumieć przeszłe, obecne lub przyszłe działania związane z wykonywaniem pracy na podstawie stosunku pracy lub innego stosunku prawnego stanowiącego podstawę świadczenia pracy lub usług lub pełnienia funkcji w podmiocie prawnym lub na rzecz tego podmiotu, lub pełnienia służby w podmiocie prawnym, w ramach których uzyskano informację o naruszeniu prawa oraz istnieje możliwość doświadczenia działań odwetowych;

6) organie publicznym - należy przez to rozumieć naczelne i centralne organy administracji rządowej, terenowe organy administracji rządowej, organy jednostek samorządu terytorialnego, inne organy państwowe oraz inne podmioty wykonujące z mocy prawa zadania z zakresu administracji publicznej, właściwe do podejmowania działań następczych w dziedzinach wskazanych w art. 3 ust. 1;

7) osobie, której dotyczy zgłoszenie - należy przez to rozumieć osobę fizyczną, osobę prawną lub jednostkę organizacyjną nieposiadającą osobowości prawnej, której ustawa przyznaje zdolność prawną, wskazaną w zgłoszeniu lub ujawnieniu publicznym jako osoba, która dopuściła się naruszenia prawa, lub jako osoba, z którą osoba, która dopuściła się naruszenia prawa, jest powiązana;

8) osobie pomagającej w dokonaniu zgłoszenia - należy przez to rozumieć osobę fizyczną, która pomaga sygnaliście w zgłoszeniu lub ujawnieniu publicznym w kontekście związanym z pracą i której pomoc nie powinna zostać ujawniona;

9) osobie powiązanej z sygnalistą - należy przez to rozumieć osobę fizyczną, która może doświadczyć działań odwetowych, w tym współpracownika lub osobę najbliższą sygnalisty w rozumieniu art. 115 § 11 ustawy z dnia 6 czerwca 1997 r. - Kodeks karny (Dz. U. z 2024 r. poz. 17);

10) podmiocie prawnym - należy przez to rozumieć podmiot prywatny lub podmiot publiczny;

11) podmiocie prywatnym - należy przez to rozumieć osobę fizyczną prowadzącą działalność gospodarczą, osobę prawną lub jednostkę organizacyjną nieposiadającą osobowości prawnej, której ustawa przyznaje zdolność prawną, lub pracodawcę, jeżeli nie są podmiotami publicznymi;

12) podmiocie publicznym - należy przez to rozumieć podmiot wskazany w art. 3 ustawy z dnia 11 sierpnia 2021 r. o otwartych danych i ponownym wykorzystywaniu informacji sektora publicznego (Dz. U. z 2023 r. poz. 1524);

13) postępowaniu prawnym - należy przez to rozumieć postępowanie toczące się na podstawie przepisów prawa powszechnie obowiązującego, w szczególności postępowanie karne, cywilne, administracyjne, dyscyplinarne lub o naruszenie dyscypliny finansów publicznych, albo postępowanie toczące się na podstawie regulacji wewnętrznych wydanych w celu wykonania przepisów prawa powszechnie obowiązującego, w szczególności antymobbingowych;

14) ujawnieniu publicznym - należy przez to rozumieć podanie informacji o naruszeniu prawa do wiadomości publicznej;

15) zgłoszeniu - należy przez to rozumieć ustne lub pisemne zgłoszenie wewnętrzne lub zgłoszenie zewnętrzne, przekazane zgodnie z wymogami określonymi w ustawie;

16) zgłoszeniu wewnętrznym - należy przez to rozumieć ustne lub pisemne przekazanie podmiotowi prawnemu informacji o naruszeniu prawa;

17) zgłoszeniu zewnętrznym - należy przez to rozumieć ustne lub pisemne przekazanie Rzecznikowi Praw Obywatelskich albo organowi publicznemu informacji o naruszeniu prawa.

1) korupcji;

2) zamówień publicznych;

3) usług, produktów i rynków finansowych;

4) przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu;

5) bezpieczeństwa produktów i ich zgodności z wymogami;

6) bezpieczeństwa transportu;

7) ochrony środowiska;

8) ochrony radiologicznej i bezpieczeństwa jądrowego;

9) bezpieczeństwa żywności i pasz;

10) zdrowia i dobrostanu zwierząt;

11) zdrowia publicznego;

12) ochrony konsumentów;

13) ochrony prywatności i danych osobowych;

14) bezpieczeństwa sieci i systemów teleinformatycznych;

15) interesów finansowych Skarbu Państwa Rzeczypospolitej Polskiej, jednostki samorządu terytorialnego oraz Unii Europejskiej;

16) rynku wewnętrznego Unii Europejskiej, w tym publicznoprawnych zasad konkurencji i pomocy państwa oraz opodatkowania osób prawnych;

17) konstytucyjnych wolności i praw człowieka i obywatela - występujące w stosunkach jednostki z organami władzy publicznej i niezwiązane z dziedzinami wskazanymi w pkt 1-16.

2. Podmiot prawny może dodatkowo w ramach procedury zgłoszeń wewnętrznych przewidzieć możliwość zgłaszania informacji o naruszeniach dotyczących obowiązujących w tym podmiocie prawnym regulacji wewnętrznych lub standardów etycznych, które zostały ustanowione przez podmiot prawny na podstawie przepisów prawa powszechnie obowiązującego i pozostają z nimi zgodne. W takim przypadku nie stosuje się przepisów rozdziałów 4 i 5.

1) pracownik;

2) pracownik tymczasowy;

3) osoba świadcząca pracę na innej podstawie niż stosunek pracy, w tym na podstawie umowy cywilnoprawnej;

4) przedsiębiorca;

5) prokurent;

6) akcjonariusz lub wspólnik;

7) członek organu osoby prawnej lub jednostki organizacyjnej nieposiadającej osobowości prawnej;

8) osoba świadcząca pracę pod nadzorem i kierownictwem wykonawcy, podwykonawcy lub dostawcy;

9) stażysta;

10) wolontariusz;

11) praktykant;

12) funkcjonariusz w rozumieniu art. 1 ust. 1 ustawy z dnia 18 lutego 1994 r. o zaopatrzeniu emerytalnym funkcjonariuszy Policji, Agencji Bezpieczeństwa Wewnętrznego, Agencji Wywiadu, Służby Kontrwywiadu Wojskowego, Służby Wywiadu Wojskowego, Centralnego Biura Antykorupcyjnego, Straży Granicznej, Straży Marszałkowskiej, Służby Ochrony Państwa, Państwowej Straży Pożarnej, Służby Celno-Skarbowej i Służby Więziennej oraz ich rodzin (Dz. U. z 2023 r. poz. 1280, 1429 i 1834);

13) żołnierz w rozumieniu art. 2 pkt 39 ustawy z dnia 11 marca 2022 r. o obronie Ojczyzny (Dz. U. z 2024 r. poz. 248 i 834).

2. Ustawę stosuje się także do osoby fizycznej, o której mowa w ust. 1, w przypadku zgłoszenia lub ujawnienia publicznego informacji o naruszeniu prawa uzyskanej w kontekście związanym z pracą przed nawiązaniem stosunku pracy lub innego stosunku prawnego stanowiącego podstawę świadczenia pracy lub usług lub pełnienia funkcji w podmiocie prawnym lub na rzecz tego podmiotu, lub pełnienia służby w podmiocie prawnym lub już po ich ustaniu.

1) przepisami o ochronie informacji niejawnych oraz innych informacji, które nie podlegają ujawnieniu z mocy przepisów prawa powszechnie obowiązującego ze względów bezpieczeństwa publicznego;

2) tajemnicą zawodową zawodów medycznych oraz prawniczych;

3) tajemnicą narady sędziowskiej;

4) postępowaniem karnym - w zakresie tajemnicy postępowania przygotowawczego oraz tajemnicy rozprawy sądowej prowadzonej z wyłączeniem jawności.

2. Ustawy nie stosuje się do naruszeń prawa w zakresie zamówień w dziedzinach obronności i bezpieczeństwa w rozumieniu art. 7 pkt 36 ustawy z dnia 11 września 2019 r. - Prawo zamówień publicznych (Dz. U. z 2023 r. poz. 1605 i 1720), do których nie stosuje się tej ustawy, umów offsetowych zawieranych na podstawie ustawy z dnia 26 czerwca 2014 r. o niektórych umowach zawieranych w związku z realizacją zamówień o podstawowym znaczeniu dla bezpieczeństwa państwa (Dz. U. z 2022 r. poz. 1218) oraz innych środków podejmowanych w celu ochrony podstawowych lub istotnych interesów bezpieczeństwa państwa na podstawie art. 346 Traktatu o funkcjonowaniu Unii Europejskiej.

3. Przepisów rozdziału 5 nie stosuje się do naruszeń prawa bezpośrednio związanych z realizacją przez służby specjalne, o których mowa w art. 11 ustawy z dnia 24 maja 2002 r. o Agencji Bezpieczeństwa Wewnętrznego oraz Agencji Wywiadu (Dz. U. z 2024 r. poz. 812), ustawowych zadań mających na celu zapewnienie bezpieczeństwa narodowego.

4. Organem publicznym właściwym do przyjęcia zgłoszenia zewnętrznego dotyczącego naruszenia prawa przez służby specjalne, o których mowa w art. 11 ustawy z dnia 24 maja 2002 r. o Agencji Bezpieczeństwa Wewnętrznego oraz Agencji Wywiadu, oraz realizacji zadań, o których mowa w rozdziale 4, jest Prezes Rady Ministrów albo Minister - Koordynator Służb Specjalnych, w przypadku jego powołania.

2. W przypadku gdy informacja o naruszeniu prawa została anonimowo zgłoszona podmiotowi prawnemu, Rzecznikowi Praw Obywatelskich albo organowi publicznemu lub ujawniona publicznie, a następnie doszło do ujawnienia tożsamości sygnalisty i doświadczył on działań odwetowych, przepisy rozdziału 2 stosuje się, jeżeli zostały spełnione warunki wskazane w art. 6.

3. W przypadku gdy informacja o naruszeniu prawa została anonimowo zgłoszona, a podmiot prawny, Rzecznik Praw Obywatelskich albo organ publiczny przyjmują takie zgłoszenia, stosuje się ustawę, z wyjątkiem art. 32 ust. 3, 5 i 6, art. 34 ust. 1 pkt 6, art. 37, art. 38, art. 40 ust. 1 zdanie drugie i ust. 2 zdanie drugie oraz art. 41.

2. Przepisu ust. 1 nie stosuje się w przypadku, gdy ujawnienie jest koniecznym i proporcjonalnym obowiązkiem wynikającym z przepisów prawa w związku z postępowaniami wyjaśniającymi prowadzonymi przez organy publiczne lub postępowaniami przygotowawczymi lub sądowymi prowadzonymi przez sądy, w tym w celu zagwarantowania prawa do obrony przysługującego osobie, której dotyczy zgłoszenie.

3. Przed dokonaniem ujawnienia, o którym mowa w ust. 2, właściwy organ publiczny lub właściwy sąd powiadamia o tym sygnalistę, przesyłając w postaci papierowej lub elektronicznej wyjaśnienie powodów ujawnienia jego danych osobowych, chyba że takie powiadomienie zagrozi postępowaniu wyjaśniającemu lub postępowaniu przygotowawczemu, lub sądowemu.

4. Podmiot prawny albo organ publiczny po otrzymaniu zgłoszenia przetwarza dane osobowe w zakresie niezbędnym do przyjęcia zgłoszenia lub podjęcia ewentualnego działania następczego. Dane osobowe, które nie mają znaczenia dla rozpatrywania zgłoszenia, nie są zbierane, a w razie przypadkowego zebrania są niezwłocznie usuwane. Usunięcie tych danych osobowych następuje w terminie 14 dni od chwili ustalenia, że nie mają one znaczenia dla sprawy.

5. Przepisu art. 14 ust. 2 lit. f rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.³⁾), zwanego dalej „rozporządzeniem 2016/679”, nie stosuje się, chyba że sygnalista nie spełnia warunków wskazanych w art. 6 albo wyraził wyraźną zgodę na ujawnienie swojej tożsamości.

6. Przepisu art. 15 ust. 1 lit. g rozporządzenia 2016/679 w zakresie przekazania informacji o źródle pozyskania danych osobowych nie stosuje się, chyba że sygnalista nie spełnia warunków wskazanych w art. 6 albo wyraził wyraźną zgodę na takie przekazanie.

7. Dane osobowe przetwarzane w związku z przyjęciem zgłoszenia zewnętrznego oraz dokumenty związane z tym zgłoszeniem są przechowywane przez Rzecznika Praw Obywatelskich przez okres 12 miesięcy po zakończeniu roku kalendarzowego, w którym przekazano zgłoszenie zewnętrzne do organu publicznego właściwego do podjęcia działań następczych.

8. Dane osobowe przetwarzane w związku z przyjęciem zgłoszenia lub podjęciem działań następczych oraz dokumenty związane z tym zgłoszeniem są przechowywane przez podmiot prawny oraz organ publiczny przez okres 3 lat po zakończeniu roku kalendarzowego, w którym przekazano zgłoszenie zewnętrzne do organu publicznego właściwego do podjęcia działań następczych lub zakończono działania następcze, lub po zakończeniu postępowań zainicjowanych tymi działaniami.

9. W przypadku, o którym mowa w ust. 7 i 8, Rzecznik Praw Obywatelskich, podmiot prawny i organ publiczny usuwają dane osobowe oraz niszczą dokumenty związane ze zgłoszeniem po upływie okresu przechowywania. Ustawy z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach (Dz. U. z 2020 r. poz. 164) nie stosuje się.

10. Przepisu ust. 9 nie stosuje się w przypadku, gdy dokumenty związane ze zgłoszeniem stanowią część akt postępowań przygotowawczych lub spraw sądowych lub sądowoadministracyjnych.

2. Ustawa nie wyłącza stosowania przepisów odrębnych przewidujących szczególny tryb zgłaszania naruszeń prawa, w tym rozpatrywanie informacji o naruszeniu prawa zgłoszonych anonimowo.

1) odmowie nawiązania stosunku pracy;

2) wypowiedzeniu lub rozwiązaniu bez wypowiedzenia stosunku pracy;

3) niezawarciu umowy o pracę na czas określony lub umowy o pracę na czas nieokreślony po rozwiązaniu umowy o pracę na okres próbny, niezawarciu kolejnej umowy o pracę na czas określony lub niezawarciu umowy o pracę na czas nieokreślony po rozwiązaniu umowy o pracę na czas określony - w przypadku gdy sygnalista miał uzasadnione oczekiwanie, że zostanie z nim zawarta taka umowa;

4) obniżeniu wysokości wynagrodzenia za pracę;

5) wstrzymaniu awansu albo pominięciu przy awansowaniu;

6) pominięciu przy przyznawaniu innych niż wynagrodzenie świadczeń związanych z pracą lub obniżeniu wysokości tych świadczeń;

7) przeniesieniu na niższe stanowisko pracy;

8) zawieszeniu w wykonywaniu obowiązków pracowniczych lub służbowych;

9) przekazaniu innemu pracownikowi dotychczasowych obowiązków sygnalisty;

10) niekorzystnej zmianie miejsca wykonywania pracy lub rozkładu czasu pracy;

11) negatywnej ocenie wyników pracy lub negatywnej opinii o pracy;

12) nałożeniu lub zastosowaniu środka dyscyplinarnego, w tym kary finansowej, lub środka o podobnym charakterze;

13) przymusie, zastraszaniu lub wykluczeniu;

14) mobbingu;

15) dyskryminacji;

16) niekorzystnym lub niesprawiedliwym traktowaniu;

17) wstrzymaniu udziału lub pominięciu przy typowaniu do udziału w szkoleniach podnoszących kwalifikacje zawodowe;

18) nieuzasadnionym skierowaniu na badania lekarskie, w tym badania psychiatryczne, chyba że przepisy odrębne przewidują możliwość skierowania pracownika na takie badania;

19) działaniu zmierzającym do utrudnienia znalezienia w przyszłości pracy w danym sektorze lub w danej branży na podstawie nieformalnego lub formalnego porozumienia sektorowego lub branżowego;

20) spowodowaniu straty finansowej, w tym gospodarczej, lub utraty dochodu;

21) wyrządzeniu innej szkody niematerialnej, w tym naruszeniu dóbr osobistych, w szczególności dobrego imienia sygnalisty.

2. Za działania odwetowe z powodu dokonania zgłoszenia lub ujawnienia publicznego uważa się także próbę lub groźbę zastosowania środka określonego w ust. 1.

3. Na pracodawcy spoczywa ciężar dowodu, że podjęte działanie, o którym mowa w ust. 1 i 2, nie jest działaniem odwetowym.

2. Jeżeli praca lub usługi były, są lub mają być świadczone na podstawie innego niż stosunek pracy stosunku prawnego stanowiącego podstawę świadczenia pracy lub usług lub pełnienia funkcji, lub pełnienia służby, dokonanie zgłoszenia lub ujawnienia publicznego nie może stanowić podstawy działań odwetowych ani próby lub groźby zastosowania działań odwetowych, obejmujących w szczególności:

1) wypowiedzenie umowy, której stroną jest sygnalista, w szczególności dotyczącej sprzedaży lub dostawy towarów lub świadczenia usług, odstąpienie od takiej umowy lub rozwiązanie jej bez wypowiedzenia;

2) nałożenie obowiązku lub odmowę przyznania, ograniczenie lub odebranie uprawnienia, w szczególności koncesji, zezwolenia lub ulgi.

2. W przypadku wszczęcia postępowania prawnego dotyczącego odpowiedzialności, o której mowa w ust. 1, sygnalista może wystąpić o umorzenie takiego postępowania.

3. Uzyskanie informacji będących przedmiotem zgłoszenia lub ujawnienia publicznego lub dostęp do takich informacji nie mogą stanowić podstawy odpowiedzialności, pod warunkiem że takie uzyskanie lub taki dostęp nie stanowią czynu zabronionego.

2. Przepisy niniejszego rozdziału stosuje się odpowiednio do osoby prawnej lub innej jednostki organizacyjnej pomagającej sygnaliście lub z nim powiązanej, w szczególności stanowiącej własność sygnalisty lub go zatrudniającej.

2. Do liczby 50 osób wykonujących pracę zarobkową na rzecz podmiotu prawnego wlicza się pracowników w przeliczeniu na pełne etaty lub osoby świadczące pracę za wynagrodzeniem na innej podstawie niż stosunek pracy, jeżeli nie zatrudniają do tego rodzaju pracy innych osób, niezależnie od podstawy zatrudnienia.

3. Próg, o którym mowa w ust. 1, nie ma zastosowania do podmiotu prawnego wykonującego działalność w zakresie usług, produktów i rynków finansowych oraz przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu, bezpieczeństwa transportu i ochrony środowiska, objętych zakresem stosowania aktów prawnych Unii Europejskiej wymienionych w części I.B i II załącznika do dyrektywy 2019/1937.

4. W przypadku podmiotów prawnych będących jednostkami samorządu terytorialnego obowiązki podmiotu prawnego określone w niniejszym rozdziale wykonują jednostki organizacyjne jednostek samorządu terytorialnego, z wyłączeniem art. 28 ust. 5.

5. Przepisów niniejszego rozdziału nie stosuje się do jednostek organizacyjnych gminy lub powiatu liczących mniej niż 10 000 mieszkańców.

2. Podmiot, na rzecz którego wykonuje pracę zarobkową mniej niż 50 osób, a także podmioty, o których mowa w art. 23 ust. 5, mogą ustalić procedurę zgłoszeń wewnętrznych.

3. Podmiot prawny ustala procedurę zgłoszeń wewnętrznych po konsultacjach z:

1) zakładową organizacją związkową albo zakładowymi organizacjami związkowymi, jeżeli w podmiocie prawnym działa więcej niż jedna zakładowa organizacja związkowa, albo

2) przedstawicielami osób świadczących pracę na rzecz podmiotu prawnego, wyłonionymi w trybie przyjętym w podmiocie prawnym, jeżeli nie działa w nim zakładowa organizacja związkowa.

4. Konsultacje, o których mowa w ust. 3, trwają nie krócej niż 5 dni i nie dłużej niż 10 dni od dnia przedstawienia przez podmiot prawny projektu procedury zgłoszeń wewnętrznych.

5. Procedura zgłoszeń wewnętrznych wchodzi w życie po upływie 7 dni od dnia podania jej do wiadomości osób wykonujących pracę w sposób przyjęty w podmiocie prawnym.

6. Osobie ubiegającej się o pracę na podstawie stosunku pracy lub innego stosunku prawnego stanowiącego podstawę świadczenia pracy lub usług lub pełnienia funkcji, lub pełnienia służby podmiot prawny przekazuje informację o procedurze zgłoszeń wewnętrznych wraz z rozpoczęciem rekrutacji lub negocjacji poprzedzających zawarcie umowy.

1) wewnętrzną jednostkę organizacyjną lub osobę w ramach struktury organizacyjnej podmiotu prawnego, lub podmiot zewnętrzny, upoważnione przez podmiot prawny do przyjmowania zgłoszeń wewnętrznych;

2) sposoby przekazywania zgłoszeń wewnętrznych przez sygnalistę wraz z jego adresem korespondencyjnym lub adresem poczty elektronicznej, zwanymi dalej „adresem do kontaktu”;

3) bezstronną wewnętrzną jednostkę organizacyjną lub osobę w ramach struktury organizacyjnej podmiotu prawnego, upoważnione do podejmowania działań następczych, włączając w to weryfikację zgłoszenia wewnętrznego i dalszą komunikację z sygnalistą, w tym występowanie o dodatkowe informacje i przekazywanie sygnaliście informacji zwrotnej; funkcję tę może pełnić wewnętrzna jednostka organizacyjna lub osoba, o których mowa w pkt 1, jeżeli zapewniają bezstronność;

4) tryb postępowania z informacjami o naruszeniach prawa zgłoszonymi anonimowo;

5) obowiązek potwierdzenia sygnaliście przyjęcia zgłoszenia wewnętrznego w terminie 7 dni od dnia jego otrzymania, chyba że sygnalista nie podał adresu do kontaktu, na który należy przekazać potwierdzenie;

6) obowiązek podjęcia, z zachowaniem należytej staranności, działań następczych przez wewnętrzną jednostkę organizacyjną lub osobę, o których mowa w pkt 3;

7) maksymalny termin na przekazanie sygnaliście informacji zwrotnej, nieprzekraczający 3 miesięcy od dnia potwierdzenia przyjęcia zgłoszenia wewnętrznego lub - w przypadku nieprzekazania potwierdzenia, o którym mowa w pkt 5 - 3 miesięcy od upływu 7 dni od dnia dokonania zgłoszenia wewnętrznego, chyba że sygnalista nie podał adresu do kontaktu, na który należy przekazać informację zwrotną;

8) zrozumiałe i łatwo dostępne informacje na temat dokonywania zgłoszeń zewnętrznych do Rzecznika Praw Obywatelskich albo organów publicznych oraz - w stosownych przypadkach - do instytucji, organów lub jednostek organizacyjnych Unii Europejskiej.

2. Procedura zgłoszeń wewnętrznych może dodatkowo objąć w szczególności:

1) wskazanie naruszeń, o których mowa w art. 3 ust. 2, jeżeli podmiot prawny przewidział możliwość zgłaszania takich naruszeń;

2) wskazanie czynników ryzyka odpowiadających profilowi działalności podmiotu prawnego, sprzyjających możliwości wystąpienia określonych naruszeń prawa związanych w szczególności z naruszeniem obowiązków regulacyjnych lub innych obowiązków określonych w przepisach prawa lub z ryzykiem korupcji;

3) wskazanie, że informacja o naruszeniu prawa może być w każdym przypadku zgłoszona również do Rzecznika Praw Obywatelskich albo organu publicznego z pominięciem procedury zgłoszeń wewnętrznych;

4) określenie systemu zachęt do korzystania z procedury zgłoszeń wewnętrznych, w przypadku gdy naruszeniu prawa można skutecznie zaradzić w ramach struktury organizacyjnej podmiotu prawnego, a sygnalista uważa, że nie zachodzi ryzyko działań odwetowych.

2. Zgłoszenie ustne może być dokonane telefonicznie lub za pośrednictwem środków komunikacji elektronicznej w rozumieniu art. 2 pkt 5 ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (Dz. U. z 2020 r. poz. 344).

3. Zgłoszenie ustne dokonane za pośrednictwem nagrywanej linii telefonicznej lub innego nagrywanego systemu komunikacji głosowej jest dokumentowane za zgodą sygnalisty w formie:

1) nagrania rozmowy, umożliwiającego jej wyszukanie, lub

2) kompletnej i dokładnej transkrypcji rozmowy przygotowanej przez jednostkę lub osobę, lub podmiot, o których mowa w art. 25 ust. 1 pkt 1.

4. Zgłoszenie ustne dokonane za pośrednictwem nienagrywanej linii telefonicznej lub innego nienagrywanego systemu komunikacji głosowej jest dokumentowane w formie protokołu rozmowy, odtwarzającego dokładny jej przebieg, sporządzonego przez jednostkę lub osobę, lub podmiot, o których mowa w art. 25 ust. 1 pkt 1.

5. W przypadku, o którym mowa w ust. 3 pkt 2 oraz ust. 4, sygnalista może dokonać sprawdzenia, poprawienia i zatwierdzenia transkrypcji rozmowy lub protokołu rozmowy przez ich podpisanie.

6. Na wniosek sygnalisty zgłoszenie ustne może być dokonane podczas bezpośredniego spotkania zorganizowanego w terminie 14 dni od dnia otrzymania takiego wniosku. W takim przypadku za zgodą sygnalisty zgłoszenie jest dokumentowane w formie:

1) nagrania rozmowy, umożliwiającego jej wyszukanie, lub

2) protokołu spotkania, odtwarzającego jego dokładny przebieg, przygotowanego przez jednostkę lub osobę, lub podmiot, o których mowa w art. 25 ust. 1 pkt 1.

7. W przypadku, o którym mowa w ust. 6 pkt 2, sygnalista może dokonać sprawdzenia, poprawienia i zatwierdzenia protokołu spotkania przez jego podpisanie.

8. Zgłoszenie pisemne może być dokonane w postaci papierowej lub elektronicznej.

2. Do przyjmowania i weryfikacji zgłoszeń wewnętrznych, podejmowania działań następczych oraz przetwarzania danych osobowych osób, o których mowa w ust. 1, mogą być dopuszczone wyłącznie osoby posiadające pisemne upoważnienie podmiotu prawnego. Osoby upoważnione są obowiązane do zachowania tajemnicy w zakresie informacji i danych osobowych, które uzyskały w ramach przyjmowania i weryfikacji zgłoszeń wewnętrznych, oraz podejmowania działań następczych, także po ustaniu stosunku pracy lub innego stosunku prawnego, w ramach którego wykonywały tę pracę.

2. Umowa, o której mowa w ust. 1, określa szczegółowe prawa i obowiązki podmiotu zewnętrznego związane z przetwarzaniem danych osobowych, o których mowa w szczególności w art. 28 ust. 3 rozporządzenia 2016/679.

3. Podmioty prywatne, na rzecz których wykonuje pracę zarobkową co najmniej 50, lecz nie więcej niż 249 osób, mogą na podstawie umowy ustalić wspólne zasady dotyczące przyjmowania i weryfikacji zgłoszeń wewnętrznych oraz prowadzenia postępowania wyjaśniającego, pod warunkiem zapewnienia zgodności wykonywanych czynności z ustawą. Przepisy art. 23 ust. 1 i 2 stosuje się odpowiednio.

4. Zawarcie umowy, o której mowa w ust. 1 i 3, nie uchyla odpowiedzialności podmiotu prawnego za dochowanie obowiązków określonych w niniejszym rozdziale, w szczególności dotyczących zachowania poufności, udzielenia informacji zwrotnej oraz podjęcia działań następczych.

5. Jednostki samorządu terytorialnego mogą ustalić wspólną procedurę zgłoszeń wewnętrznych w ramach wspólnej obsługi, o której mowa w art. 10a ustawy z dnia 8 marca 1990 r. o samorządzie gminnym (Dz. U. z 2024 r. poz. 609 i 721), art. 6a ustawy z dnia 5 czerwca 1998 r. o samorządzie powiatowym (Dz. U. z 2024 r. poz. 107) i art. 8c ustawy z dnia 5 czerwca 1998 r. o samorządzie województwa (Dz. U. z 2024 r. poz. 566), pod warunkiem zapewnienia jej odrębności i niezależności od procedury przyjmowania zgłoszeń zewnętrznych i podejmowania działań następczych.

6. Podmioty, o których mowa w ust. 3, są odrębnymi administratorami danych osobowych pozyskanych w związku z przyjmowaniem i weryfikacją zgłoszeń. Administrator nie ma dostępu do danych osobowych pozyskanych przez innego administratora.

7. Przepis ust. 6 nie ma zastosowania w przypadku, gdy w toku postępowania wyjaśniającego ustalono, że właściwy do przyjęcia zgłoszenia wewnętrznego lub obowiązany do podjęcia działań następczych jest inny administrator niż ten, do którego wpłynęło zgłoszenie, lub właściwych jest co najmniej dwóch administratorów. Administratorowi udostępnia się tylko te dane osobowe, które są niezbędne do podjęcia działań następczych.

8. Podmioty prywatne należące do grupy kapitałowej w rozumieniu art. 4 pkt 14 ustawy z dnia 16 lutego 2007 r. o ochronie konkurencji i konsumentów (Dz. U. z 2024 r. poz. 594) mogą ustalić wspólną procedurę zgłoszeń wewnętrznych, pod warunkiem zapewnienia zgodności wykonywanych czynności z ustawą.

1) prowadzi rejestr zgłoszeń wewnętrznych;

2) jest administratorem danych osobowych zgromadzonych w rejestrze zgłoszeń wewnętrznych.

2. Podmiot prawny może upoważnić wewnętrzną jednostkę organizacyjną lub osobę, o których mowa w art. 25 ust. 1 pkt 1 lub 3, do prowadzenia rejestru zgłoszeń wewnętrznych.

3. Wpisu do rejestru zgłoszeń wewnętrznych dokonuje się na podstawie zgłoszenia wewnętrznego.

4. Rejestr zgłoszeń wewnętrznych obejmuje:

1) numer zgłoszenia;

2) przedmiot naruszenia prawa;

3) dane osobowe sygnalisty oraz osoby, której dotyczy zgłoszenie, niezbędne do identyfikacji tych osób;

4) adres do kontaktu sygnalisty;

5) datę dokonania zgłoszenia;

6) informację o podjętych działaniach następczych;

7) datę zakończenia sprawy.

5. Dane osobowe oraz pozostałe informacje w rejestrze zgłoszeń wewnętrznych są przechowywane przez okres 3 lat po zakończeniu roku kalendarzowego, w którym zakończono działania następcze, lub po zakończeniu postępowań zainicjowanych tymi działaniami.

2. Zgłoszenie zewnętrzne jest przyjmowane przez Rzecznika Praw Obywatelskich albo organ publiczny.

3. Rzecznik Praw Obywatelskich oraz organ publiczny są odrębnymi administratorami w zakresie danych osobowych podanych w zgłoszeniu zewnętrznym, które zostało przyjęte przez te organy.

1) ustala procedurę przyjmowania zgłoszeń zewnętrznych, która określa w szczególności tryb postępowania z informacjami o naruszeniach prawa zgłoszonymi anonimowo;

2) przyjmuje zgłoszenia zewnętrzne o naruszeniach prawa w dziedzinach wskazanych w art. 3 ust. 1 pkt 1-16, dokonuje ich wstępnej weryfikacji i przekazuje je organowi publicznemu właściwemu do podjęcia działań następczych;

3) przyjmuje i rozpatruje zgłoszenia zewnętrzne - w przypadku gdy zgłoszenie dotyczy naruszenia prawa w dziedzinie wskazanej w art. 3 ust. 1 pkt 17 i żaden inny organ publiczny nie jest właściwy do podjęcia działań następczych;

4) zapewnia powszechny dostęp do informacji na temat praw i środków ochrony prawnej sygnalistów oraz osób, o których mowa w art. 21, przed działaniami odwetowymi oraz praw osób, których dotyczy zgłoszenie zewnętrzne, w szczególności przez zamieszczanie tych informacji na swojej stronie w Biuletynie Informacji Publicznej;

5) udziela sygnalistom, osobom, o których mowa w art. 21, oraz osobom, których dotyczy zgłoszenie zewnętrzne, porad w zakresie, o którym mowa w pkt 4;

6) udziela sygnalistom oraz osobom, o których mowa w art. 21, informacji o organach, które w zakresie realizowanych zadań mogą podjąć działania służące ochronie sygnalistów przed działaniami odwetowymi, oraz - w odpowiednich przypadkach - wsparcia w kontaktach z takimi organami, w szczególności przez poinformowanie właściwych organów o dostrzeżonej konieczności objęcia sygnalisty ochroną.

2. Rozpatrywanie zgłoszeń zewnętrznych przez Rzecznika Praw Obywatelskich, o których mowa w ust. 1 pkt 3, obejmuje czynności określone w art. 11, art. 12 oraz art. 13 ust. 1, 2 i 3 ustawy z dnia 15 lipca 1987 r. o Rzeczniku Praw Obywatelskich (Dz. U. z 2023 r. poz. 1058 oraz z 2024 r. poz. 928).

2. Jeżeli zgłoszenie zewnętrzne dotyczy informacji o naruszeniu prawa, Rzecznik Praw Obywatelskich niezwłocznie, nie później jednak niż w terminie 14 dni od dnia dokonania zgłoszenia, przekazuje zgłoszenie do organu publicznego właściwego do podjęcia działań następczych.

3. Rzecznik Praw Obywatelskich informuje sygnalistę o przekazaniu zgłoszenia zewnętrznego. Informacja obejmuje co najmniej wskazanie organu publicznego, do którego zgłoszenie zewnętrzne zostało przekazane, oraz datę przekazania.

4. Rzecznik Praw Obywatelskich odstępuje od przekazania zgłoszenia zewnętrznego, jeżeli zgłoszenie nie dotyczy informacji o naruszeniu prawa.

5. Rzecznik Praw Obywatelskich informuje sygnalistę o odstąpieniu od przekazania zgłoszenia zewnętrznego, podając ustalenia ze wstępnej weryfikacji zgłoszenia.

6. Odstępując od przekazania zgłoszenia zewnętrznego, Rzecznik Praw Obywatelskich może poinformować sygnalistę, że informacja objęta zgłoszeniem podlega rozpatrzeniu w trybie przewidzianym w przepisach odrębnych, w szczególności jako przedmiot powództwa cywilnego, zawiadomienia o podejrzeniu popełnienia przestępstwa, skargi do sądu administracyjnego, skargi, wniosku lub petycji, lub może zostać przedstawiona właściwym organom do rozpatrzenia w innym trybie. Poinformowanie sygnalisty nie wpływa w szczególności na dopuszczalność wniesionego później środka prawnego, na bieg terminów ani na treść rozstrzygnięcia lub sposób zakończenia postępowania. Informacja przekazana sygnaliście zawiera pouczenie w tym zakresie.

7. Przekazanie zgłoszenia, o którym mowa w ust. 2, oraz odstąpienie od przekazania zgłoszenia, o którym mowa w ust. 4, nie stanowią czynności, o których mowa w art. 3 § 2 pkt 4 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2023 r. poz. 1634, 1705 i 1860).

1) przyjmuje zgłoszenie zewnętrzne;

2) dokonuje wstępnej weryfikacji zgłoszenia zewnętrznego, polegającej na ustaleniu, czy zgłoszenie dotyczy informacji o naruszeniu prawa, oraz na ustaleniu, czy zgłoszenie dotyczy naruszeń prawa w dziedzinie należącej do zakresu działania tego organu, a jeżeli nie należy - na ustaleniu organu publicznego właściwego do podjęcia działań następczych;

3) rozpatruje zgłoszenie zewnętrzne - w przypadku gdy zgłoszenie dotyczy naruszeń prawa w dziedzinie należącej do zakresu działania tego organu;

4) przekazuje zgłoszenie zewnętrzne niezwłocznie, nie później jednak niż w terminie 14 dni od dnia dokonania zgłoszenia, a w uzasadnionych przypadkach - nie później niż w terminie 30 dni, do organu publicznego właściwego do podjęcia działań następczych - w przypadku gdy zgłoszenie dotyczy naruszeń prawa w dziedzinie nienależącej do zakresu działania tego organu - oraz informuje o tym sygnalistę;

5) podejmuje działania następcze z zachowaniem należytej staranności;

6) przekazuje sygnaliście informację zwrotną.

2. Przepisy art. 32 ust. 4-6 stosuje się odpowiednio.

3. W przypadku gdy informacja o naruszeniu prawa jest przedmiotem jednocześnie dokonanego zgłoszenia zewnętrznego oraz wniesionej skargi, o której mowa w art. 227 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz. U. z 2024 r. poz. 572), lub gdy z treści wniesionego pisma wynika, że dokonano zgłoszenia zewnętrznego, stosuje się wyłącznie przepisy niniejszego rozdziału.

4. W przypadku gdy przepisy odrębne nie pozwalają ustalić organu właściwego do rozstrzygnięcia sporu o właściwość między organami publicznymi, w zakresie rozpatrzenia zgłoszenia zewnętrznego lub podjęcia działań następczych, stosuje się odpowiednio przepisy art. 22 i art. 23 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego.

2. Jeżeli w zgłoszeniu zewnętrznym nie podano adresu do kontaktu ani nie jest możliwe ustalenie tego adresu na podstawie posiadanych danych:

1) Rzecznik Praw Obywatelskich nie realizuje obowiązku, o którym mowa w art. 32 ust. 3 i 5, art. 37 oraz art. 40 ust. 1 zdanie drugie;

2) organ publiczny nie realizuje obowiązku, o którym mowa w art. 32 ust. 5, art. 37, art. 38, art. 40 ust. 2 zdanie drugie oraz art. 41.

2. Zgłoszenie zewnętrzne w formie dokumentowej może być dokonane:

1) w postaci papierowej - na adres do korespondencji wskazany przez Rzecznika Praw Obywatelskich lub organ publiczny przyjmujący zgłoszenie;

2) w postaci elektronicznej - na adres poczty elektronicznej lub adres elektronicznej skrzynki podawczej, lub adres do doręczeń elektronicznych, wskazane przez Rzecznika Praw Obywatelskich lub organ publiczny przyjmujący zgłoszenie, lub za pośrednictwem przeznaczonego do tego formularza internetowego lub aplikacji wskazanej przez organ publiczny jako aplikacja właściwa do dokonywania zgłoszeń w postaci elektronicznej.

2. W uzasadnionych przypadkach w celu przeprowadzenia postępowania wyjaśniającego organ publiczny może przekazać zgłoszenie zewnętrzne:

1) jednostkom organizacyjnym podległym lub nadzorowanym;

2) innej jednostce organizacyjnej, której powierzono zadania w drodze porozumienia.

3. Do podmiotów, o których mowa w ust. 2, przepisy art. 42-44 stosuje się odpowiednio.

4. Rzecznik Praw Obywatelskich albo organ publiczny przekazuje bez zbędnej zwłoki właściwym instytucjom, organom lub jednostkom organizacyjnym Unii Europejskiej informacje zawarte w zgłoszeniu zewnętrznym w celu prowadzenia działań następczych w trybie stosowanym przez takie instytucje, organy lub jednostki, jeżeli przewidują to przepisy odrębne.

2. Organ publiczny może nie podjąć działań następczych w przypadku, gdy w zgłoszeniu zewnętrznym dotyczącym sprawy będącej już przedmiotem wcześniejszego zgłoszenia przez tego samego lub innego sygnalistę nie zawarto istotnych nowych informacji na temat naruszeń prawa w porównaniu z wcześniejszym zgłoszeniem zewnętrznym. Organ publiczny informuje sygnalistę o niepodjęciu działań następczych, podając uzasadnienie, a w razie kolejnego zgłoszenia - pozostawia je bez rozpoznania i nie informuje o tym sygnalisty.

3. W przypadkach, o których mowa w ust. 1 i 2, Rzecznik Praw Obywatelskich albo organ publiczny odnotowuje ten fakt wraz z uzasadnieniem w rejestrze, o którym mowa w art. 45 albo art. 46.

2. W uzasadnionych przypadkach organ publiczny przekazuje sygnaliście informację zwrotną w terminie nieprzekraczającym 6 miesięcy od dnia przyjęcia zgłoszenia zewnętrznego, po poinformowaniu o tym sygnalisty przed upływem terminu, o którym mowa w ust. 1.

3. Organ publiczny informuje sygnalistę także o ostatecznym wyniku postępowań wyjaśniających wszczętych na skutek zgłoszenia zewnętrznego.

1) są niezależne od kanałów komunikacji wykorzystywanych w ramach zwykłej działalności tych organów;

2) zapewniają kompletność, poufność i integralność danych, w tym ich zabezpieczenie przed dostępem osób nieupoważnionych;

3) pozwalają na przechowywanie informacji w sposób trwały w celu umożliwienia prowadzenia dalszego postępowania wyjaśniającego.

2. Kanały komunikacji wykorzystywane przez Rzecznika Praw Obywatelskich oraz organ publiczny do innych celów niż przyjmowanie zgłoszeń zewnętrznych mogą zostać wykorzystane także na potrzeby przyjmowania takich zgłoszeń, o ile spełniają warunki określone w ust. 1.

1) uniemożliwiają uzyskanie dostępu do informacji objętych zgłoszeniem nieupoważnionym osobom;

2) zapewniają ochronę poufności tożsamości sygnalisty oraz osoby, której dotyczy zgłoszenie.

2. Ochrona poufności, o której mowa w ust. 1 pkt 2, dotyczy informacji, na podstawie których można bezpośrednio lub pośrednio zidentyfikować tożsamość sygnalisty oraz osoby, której dotyczy zgłoszenie.

1) przyjmowania zgłoszeń zewnętrznych, dokonywania ich wstępnej weryfikacji oraz informowania sygnalisty - zgodnie z art. 32 ust. 3, 5 i 6;

2) przekazywania zainteresowanym osobom informacji na temat procedury przyjmowania zgłoszeń zewnętrznych.

2. Organ publiczny upoważnia spośród pracowników urzędu obsługującego ten organ osoby uprawnione do:

1) przyjmowania zgłoszeń zewnętrznych, dokonywania ich wstępnej weryfikacji, podejmowania działań następczych oraz związanego z tym przetwarzania danych osobowych;

2) kontaktu z sygnalistą w celu przekazywania informacji zwrotnych i - w razie potrzeby - zwracania się o wyjaśnienia lub dodatkowe informacje w zakresie przekazanych informacji, jakie mogą być w jego posiadaniu;

3) przekazywania zainteresowanym osobom informacji na temat procedury zgłoszeń zewnętrznych.

3. Osoby, o których mowa w ust. 1 lub 2, są wyznaczane na podstawie kwalifikacji zawodowych, w szczególności wiedzy fachowej na temat prawa i praktyk w dziedzinie ochrony danych osobowych oraz umiejętności wypełniania powierzonych zadań.

4. Upoważnieni pracownicy Biura Rzecznika Praw Obywatelskich oraz urzędu obsługującego organ publiczny są obowiązani do zachowania tajemnicy w zakresie informacji i danych osobowych, które uzyskali w ramach przyjmowania i weryfikacji zgłoszeń zewnętrznych lub podejmowania działań następczych, także po ustaniu stosunku pracy. Informacje stanowiące tajemnicę przedsiębiorstwa mogą być wykorzystywane wyłącznie w celu podjęcia działań następczych.

5. Upoważnieni pracownicy Biura Rzecznika Praw Obywatelskich oraz urzędu obsługującego organ publiczny przechodzą szkolenia w zakresie, o którym mowa w ust. 1 lub 2.

6. Jeżeli zgłoszenie zewnętrze zostało przyjęte przez nieupoważnionego pracownika Biura Rzecznika Praw Obywatelskich albo urzędu obsługującego organ publiczny, pracownik ten jest obowiązany do:

1) nieujawniania informacji mogących skutkować ustaleniem tożsamości sygnalisty lub osoby, której dotyczy zgłoszenie;

2) niezwłocznego przekazania zgłoszenia upoważnionemu pracownikowi odpowiednio Biura Rzecznika Praw Obywatelskich albo urzędu obsługującego organ publiczny - bez wprowadzania zmian w tym zgłoszeniu.

7. Przepis ust. 6 stosuje się odpowiednio w przypadku, gdy zgłoszenie zewnętrzne otrzymano za pośrednictwem innych środków komunikacji niż przyjęte zgodnie z procedurą przyjmowania zgłoszeń zewnętrznych lub procedurą zgłoszeń zewnętrznych.

1) prowadzi rejestr zgłoszeń zewnętrznych;

2) jest administratorem danych osobowych zgromadzonych w rejestrze zgłoszeń zewnętrznych.

2. Wpisu do rejestru zgłoszeń zewnętrznych dokonuje się na podstawie zgłoszenia zewnętrznego.

3. Rejestr zgłoszeń zewnętrznych obejmuje:

1) numer zgłoszenia;

2) przedmiot naruszenia prawa;

3) dane osobowe sygnalisty oraz osoby, której dotyczy zgłoszenie, niezbędne do identyfikacji tych osób;

4) datę dokonania zgłoszenia;

5) wskazanie organu publicznego właściwego do podjęcia działań następczych, do którego zgłoszenie zostało przekazane, oraz datę przekazania;

6) datę poinformowania sygnalisty o przekazaniu zgłoszenia organowi publicznemu właściwemu do podjęcia działań następczych;

7) informacje o niepodejmowaniu dalszych działań w przypadku, o którym mowa w art. 40 ust. 1.

4. Dane osobowe oraz pozostałe informacje zawarte w rejestrze zgłoszeń zewnętrznych są przechowywane przez okres 12 miesięcy po zakończeniu roku kalendarzowego, w którym przekazano zgłoszenie zewnętrzne do organu publicznego właściwego do podjęcia działań następczych.

1) prowadzi rejestr zgłoszeń zewnętrznych;

2) jest administratorem danych osobowych zgromadzonych w rejestrze zgłoszeń zewnętrznych.

2. Wpisu do rejestru zgłoszeń zewnętrznych dokonuje się na podstawie zgłoszenia zewnętrznego.

3. Rejestr zgłoszeń zewnętrznych obejmuje:

1) numer zgłoszenia;

2) przedmiot naruszenia prawa;

3) dane osobowe sygnalisty oraz osoby, której dotyczy zgłoszenie, niezbędne do identyfikacji tych osób;

4) datę dokonania zgłoszenia;

5) informację o podjętych działaniach następczych;

6) informację o wydaniu zaświadczenia, o którym mowa w art. 38;

7) datę zakończenia sprawy;

8) informacje o niepodejmowaniu dalszych działań w przypadku, o którym mowa w art. 40 ust. 2;

9) szacunkową szkodę majątkową, jeżeli została stwierdzona, oraz kwoty odzyskane w wyniku postępowań dotyczących naruszeń prawa będących przedmiotem zgłoszenia - o ile organ publiczny posiada te dane.

4. Dane osobowe oraz pozostałe informacje zawarte w rejestrze zgłoszeń zewnętrznych są przechowywane przez okres 3 lat po zakończeniu roku kalendarzowego, w którym zakończono działania następcze, lub po zakończeniu postępowań zainicjowanych tymi działaniami.

1) liczbę przyjętych zgłoszeń zewnętrznych;

2) liczbę postępowań wyjaśniających i postępowań wszczętych w wyniku przyjętych zgłoszeń zewnętrznych oraz informacje na temat wyniku tych postępowań;

3) szacunkową szkodę majątkową, jeżeli została stwierdzona, oraz kwoty odzyskane w wyniku postępowań dotyczących naruszeń prawa będących przedmiotem zgłoszenia zewnętrznego - o ile organ publiczny posiada te dane.

2. Dane statystyczne, o których mowa w ust. 1, nie obejmują danych osobowych ani informacji stanowiących tajemnicę przedsiębiorstwa.

3. Sprawozdanie, o którym mowa w ust. 1, organ publiczny przekazuje Rzecznikowi Praw Obywatelskich w terminie do dnia 31 marca roku następującego po roku, za jaki sprawozdanie jest sporządzane.

4. Rzecznik Praw Obywatelskich na podstawie sprawozdań organów publicznych sporządza sprawozdanie za dany rok kalendarzowy i przekazuje je Sejmowi, Senatowi i Komisji Europejskiej nie później niż do dnia 31 grudnia roku następującego po roku, za jaki sprawozdanie jest sporządzane. Sprawozdanie jest publikowane na stronie Rzecznika Praw Obywatelskich w Biuletynie Informacji Publicznej.

5. Rada Ministrów, po zasięgnięciu opinii Rzecznika Praw Obywatelskich, określi, w drodze rozporządzenia, wzór formularza sprawozdania, o którym mowa w ust. 1, biorąc pod uwagę zakres wymaganych danych, konieczność zapewnienia zupełności i przejrzystości przedstawianych informacji oraz uproszczenia agregacji danych.

1) danych kontaktowych umożliwiających dokonanie zgłoszenia zewnętrznego, w szczególności adres do korespondencji, adres poczty elektronicznej, adres do doręczeń elektronicznych, odrębny adres elektronicznej skrzynki podawczej, adres strony internetowej, na której znajduje się formularz elektroniczny w rozumieniu art. 3 pkt 25 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (Dz. U. z 2024 r. poz. 307), lub numer telefonu wraz ze wskazaniem, czy rozmowy są nagrywane;

2) warunkach objęcia sygnalisty ochroną;

3) trybie postępowania mającym zastosowanie w przypadku zgłoszenia zewnętrznego, w tym o wymaganym sposobie wyjaśnienia informacji będących przedmiotem zgłoszenia lub przedstawienia dodatkowych informacji;

4) terminie przekazania informacji zwrotnej oraz rodzaju i zawartości takiej informacji;

5) zasadach poufności mających zastosowanie do zgłoszeń zewnętrznych;

6) zasadach przetwarzania danych osobowych, o których mowa w art. 8, a także zasadach przetwarzania danych osobowych oraz informacji podawanych w przypadku zbierania danych od osoby, której dane dotyczą, uregulowanych odpowiednio w art. 5 i art. 13 rozporządzenia 2016/679, art. 13 dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/680 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylającej decyzję ramową Rady 2008/977/WSiSW (Dz. Urz. UE L 119 z 04.05.2016, str. 89, z późn. zm.⁵⁾) albo art. 15 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1725 z dnia 23 października 2018 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje, organy i jednostki organizacyjne Unii i swobodnego przepływu takich danych oraz uchylenia rozporządzenia (WE) nr 45/2001 i decyzji nr 1247/2002/WE (Dz. Urz. UE L 295 z 21.11.2018, str. 39);

7) charakterze działań następczych podejmowanych w związku ze zgłoszeniem zewnętrznym;

8) środkach ochrony prawnej i procedurach służących ochronie przed działaniami odwetowymi oraz dostępności poufnej porady dla osób rozważających dokonanie zgłoszenia zewnętrznego;

9) warunkach, na jakich sygnalista jest chroniony przed ponoszeniem odpowiedzialności za naruszenie poufności zgodnie z art. 16;

10) zachęcie do korzystania z procedury zgłoszeń wewnętrznych podmiotu prawnego w przypadku, gdy naruszeniu prawa można skutecznie zaradzić w ramach struktury organizacyjnej podmiotu prawnego, a sygnalista uważa, że nie zachodzi ryzyko działań odwetowych;

11) danych kontaktowych Rzecznika Praw Obywatelskich.

2. Rzecznik Praw Obywatelskich umieszcza na swojej stronie w Biuletynie Informacji Publicznej w oddzielnej, łatwo identyfikowalnej i dostępnej sekcji oraz w sposób zrozumiały dla sygnalisty w szczególności informacje, o których mowa w ust. 1 pkt 1-3, 5 i 6 oraz 8-11.

1) Rzecznik Praw Obywatelskich dokonuje przeglądu procedury przyjmowania zgłoszeń zewnętrznych;

2) organ publiczny dokonuje przeglądu procedury zgłoszeń zewnętrznych.

2. Rzecznik Praw Obywatelskich oraz organ publiczny dostosowują procedury, o których mowa w ust. 1, odpowiednio do wyników dokonanego przeglądu oraz doświadczenia własnego lub innych organów publicznych.

1) zgłoszenia wewnętrznego, a następnie zgłoszenia zewnętrznego, a podmiot prawny, a następnie organ publiczny w terminie na przekazanie informacji zwrotnej ustalonym w procedurze wewnętrznej, a następnie w terminie na przekazanie informacji zwrotnej ustalonym w procedurze zewnętrznej organu publicznego nie podejmą żadnych odpowiednich działań następczych ani nie przekażą sygnaliście informacji zwrotnej lub

2) od razu zgłoszenia zewnętrznego, a organ publiczny w terminie na przekazanie informacji zwrotnej ustalonym w swojej procedurze zewnętrznej nie podejmie żadnych odpowiednich działań następczych ani nie przekaże sygnaliście informacji zwrotnej

- chyba że sygnalista nie podał adresu do kontaktu, na który należy przekazać taką informację.

2. Sygnalista dokonujący ujawnienia publicznego podlega ochronie także w przypadku, gdy ma uzasadnione podstawy sądzić, że:

1) naruszenie może stanowić bezpośrednie lub oczywiste zagrożenie interesu publicznego, w szczególności gdy istnieje ryzyko nieodwracalnej szkody, lub

2) dokonanie zgłoszenia zewnętrznego narazi sygnalistę na działania odwetowe, lub

3) w przypadku dokonania zgłoszenia zewnętrznego istnieje niewielkie prawdopodobieństwo skutecznego przeciwdziałania naruszeniu prawa z uwagi na szczególne okoliczności sprawy, takie jak możliwość ukrycia lub zniszczenia dowodów, istnienia zmowy między organem publicznym a sprawcą naruszenia lub udziału organu publicznego w naruszeniu.

podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do roku.

2. Jeżeli sprawca czynu określonego w ust. 1 stosuje wobec innej osoby przemoc, groźbę bezprawną lub podstęp,

podlega karze pozbawienia wolności do lat 3.

podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 2.

2. Jeżeli sprawca czynu określonego w ust. 1 działa w sposób uporczywy,

podlega karze pozbawienia wolności do lat 3.

podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do roku.

podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 2.

podlega karze grzywny.

1) w art. 1 dodaje się ust. 5 w brzmieniu:

„5. Rzecznik wykonuje zadania określone w ustawie z dnia 14 czerwca 2024 r. o ochronie sygnalistów (Dz. U. poz. 928).”;

2) w art. 19 dodaje się ust. 5 w brzmieniu:

„5. Rzecznik raz na dwa lata przekazuje Sejmowi i Senatowi sprawozdanie z wykonania ustawy, o której mowa w art. 1 ust. 5.”.

„Art. 4¹. Nieodpłatna pomoc prawna i nieodpłatne poradnictwo obywatelskie przysługują osobie chcącej dokonać zgłoszenia naruszenia prawa w rozumieniu ustawy z dnia 14 czerwca 2024 r. o ochronie sygnalistów (Dz. U. poz. 928). Przepisów art. 4 nie stosuje się.”.

2. Pierwsze sprawozdanie, o którym mowa w art. 19 ust. 5 ustawy zmienianej w art. 60, Rzecznik Praw Obywatelskich przekazuje Sejmowi i Senatowi po 2 latach od dnia wejścia w życie niniejszej ustawy.

Prezydent Rzeczypospolitej Polskiej: A. Duda

¹⁾ Niniejsza ustawa w zakresie swojej regulacji wdraża dyrektywę Parlamentu Europejskiego i Rady (UE) 2019/1937 z dnia 23 października 2019 r. w sprawie ochrony osób zgłaszających naruszenia prawa Unii (Dz. Urz. UE L 305 z 26.11.2019, str. 17, Dz. Urz. UE L 347 z 20.10.2020, str. 1, Dz. Urz. UE L 265 z 12.10.2022, str. 1 oraz Dz. Urz. UE L 150 z 09.06.2023, str. 40).

²⁾ Niniejszą ustawą zmienia się ustawy: ustawę z dnia 15 lipca 1987 r. o Rzeczniku Praw Obywatelskich oraz ustawę z dnia 5 sierpnia 2015 r. o nieodpłatnej pomocy prawnej, nieodpłatnym poradnictwie obywatelskim oraz edukacji prawnej.

³⁾ Zmiany wymienionego rozporządzenia zostały ogłoszone w Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 04.03.2021, str. 35.

⁴⁾ Zmiany wymienionej dyrektywy zostały ogłoszone w Dz. Urz. UE L 347 z 20.10.2020, str. 1, Dz. Urz. UE L 265 z 12.10.2022, str. 1 oraz Dz. Urz. UE L 150 z 09.06.2023, str. 40.

⁵⁾ Zmiana wymienionej dyrektywy została ogłoszona w Dz. Urz. UE L 127 z 23.05.2018, str. 10.