Obowiązująca ustawa i zakres obowiązku
Ustawa z 14 czerwca 2024 r. została opublikowana 24 czerwca 2024 r. jako Dz.U. 2024 poz. 928. Większość przepisów obowiązuje od 25 września 2024 r., a wskazane przepisy i rozdział 4 od 25 grudnia 2024 r. Co do zasady procedura dotyczy podmiotu, na rzecz którego 1 stycznia lub 1 lipca pracę zarobkową wykonuje co najmniej 50 osób. Wyjątki sektorowe i jednostki organizacyjne gminy lub powiatu poniżej 10 000 mieszkańców wymagają osobnej oceny prawnej.
Kogo chroni ustawa i kiedy potrzebna jest procedura
Najpierw trzeba potwierdzić warunki ochrony zgłaszającego oraz sposób liczenia progu i ustawowych wyjątków.
Warunki ochrony
Ochrona dotyczy osoby, która uzyskała informację w kontekście pracy i miała uzasadnione podstawy sądzić, że była prawdziwa i dotyczyła naruszenia prawa.
Próg co najmniej 50 osób
Stan bada się 1 stycznia lub 1 lipca. Liczą się pracownicy w przeliczeniu na etaty oraz określone osoby świadczące odpłatną pracę na innej podstawie.
Wyjątki od progu
Próg nie ma zastosowania do objętych ustawą działalności m.in. w sektorze finansowym, AML/CFT, bezpieczeństwie transportu i ochronie środowiska.
Poufność i zakaz odwetu
Dostęp mają wyłącznie osoby upoważnione; tożsamość jest poufna poza ustawowymi wyjątkami, a działania odwetowe są zakazane.
Procedura: terminy, kanały i odpowiedzialność
Organizacja zatwierdza wymagania i procedurę po ich weryfikacji prawnej. Zespół techniczny konfiguruje kanał, MFA, uprawnienia, logi i backup oraz przeprowadza test odbiorowy. Narzędzie nie zastępuje decyzji organizacji ani osoby odpowiedzialnej za proces.
Konsultacje i wejście w życie
Projekt konsultuje się ze związkiem albo przedstawicielami od 5 do 10 dni. Procedura wchodzi w życie po upływie 7 dni od podania jej do wiadomości.
Potwierdzenie i informacja zwrotna
Przyjęcie potwierdza się w terminie 7 dni, chyba że brak adresu do kontaktu. Informację zwrotną przekazuje się w terminie nieprzekraczającym 3 miesięcy.
Kanały i anonimowość
Kanał umożliwia zgłoszenie ustnie lub pisemnie; spotkanie organizuje się na wniosek w 14 dni. Podmiot decyduje o przyjmowaniu zgłoszeń anonimowo, a procedura opisuje ich obsługę.
Upoważnienia, rejestr i retencja
Sprawy obsługują pisemnie upoważnione osoby. Rejestr przechowuje dane i informacje przez 3 lata po zakończeniu roku kalendarzowego wskazanego w ustawie.
Co powinna porządkować procedura i kanał
Dokument i system muszą tworzyć jeden proces. Przed konfiguracją narzędzia trzeba ustalić role, upoważnienia, zakres zgłoszeń, potwierdzenia, działania następcze, informację zwrotną, ewidencję i zasady ochrony danych.
- Właściciel procedury, osoby przyjmujące zgłoszenia, rozdział obowiązków i sposób postępowania przy konflikcie interesów.
- Kanał umożliwiający co najmniej zgłoszenie ustnie lub pisemnie oraz decyzja o przyjmowaniu zgłoszeń anonimowych i trybie ich obsługi.
- Potwierdzenie przyjęcia w terminie 7 dni oraz informacja zwrotna w terminie nieprzekraczającym 3 miesięcy, z wyjątkami ustawowymi.
- Ograniczenie dostępu do treści i tożsamości, imienne upoważnienia, dziennik operacji oraz bezpieczne uwierzytelnianie.
- Klasyfikacja sprawy, działania następcze, eskalacja, zamknięcie oraz udokumentowanie decyzji bez nadmiarowego kopiowania danych.
- Retencję rejestru przez 3 lata po zakończeniu właściwego roku kalendarzowego, usuwanie, kopie i incydenty uzgodnij z prawnikiem oraz inspektorem ochrony danych (IOD), jeżeli został wyznaczony.
Plan wdrożenia bez mieszania prawa z konfiguracją
Organizacja ustala proces, role i treść procedury przy wsparciu prawnika. Zespół techniczny przekłada zatwierdzone zasady na konfigurację kanału, dostęp, logi, backup, monitoring i test odbiorowy. Wymagania prawne i działanie systemu trzeba sprawdzić osobno.
- Potwierdź obowiązek, zakres podmiotów i decyzje prawne na aktualnym tekście ustawy.
- Zmapuj role, upoważnienia, zastępstwa, konflikty interesów i ścieżki eskalacji.
- Skonfiguruj kanał, szyfrowanie, MFA, minimalne uprawnienia, rejestr operacji i bezpieczną komunikację.
- Przetestuj zgłoszenie od początku do informacji zwrotnej, także przy nieobecności osoby prowadzącej sprawę.
- Zapisz protokół odbioru, listę ryzyk, decyzje właścicieli i termin ponownego przeglądu.
Powiązane obszary Virtline
Virtline może wesprzeć techniczną i organizacyjną warstwę wdrożenia po zatwierdzeniu wymagań prawnych. Zakres powinien jasno rozdzielać odpowiedzialność prawną, procesową, bezpieczeństwa informacji i utrzymania systemu.
Statlook
Moduł do obsługi zgłoszeń jako element szerszego, zatwierdzonego procesu organizacji.
Audyt zerowy ISO 27001
Przegląd ról, uprawnień, dowodów, incydentów i ochrony informacji w systemie zarządzania.
Cyberbezpieczeństwo
Kontrola dostępu, MFA, logi, monitoring, backup i reakcja na incydenty dotyczące kanału zgłoszeń.
