Polityka ochrony sygnalistów – które firmy muszą ją posiadać i co powinna zawierać?

Przez Mallbutiken · Dane zweryfikowane 30 września 2026 r. · Czas czytania: ok. 9 minut

Podmioty prowadzące działalność, które zatrudniały 50 lub więcej pracowników na początku roku kalendarzowego, muszą posiadać wewnętrzne kanały zgłaszania nieprawidłowości oraz procedury zgłaszania i podejmowania działań następczych zgodnie z ustawą o sygnalistach. Ustawa nie wymaga, aby dokument nazywał się „polityką sygnalistów”, jednak procedury muszą być udokumentowane na piśmie, a firma musi zapewniać jasne informacje na temat działania systemu.

Jakie firmy muszą posiadać wewnętrzne kanały dla sygnalistów?

Zgodnie z rozdziałem 5 § 2 ustawy (2021:890) o ochronie osób zgłaszających nieprawidłowości, obowiązek ten dotyczy podmiotu, który na początku roku kalendarzowego zatrudniał co najmniej 50 pracowników.

Szwedzki Urząd ds. Środowiska Pracy (Arbetsmiljöverket) wskazuje, że przy ustalaniu liczby pracowników bierze się pod uwagę wszystkie formy zatrudnienia. Dlatego ważne jest, aby dokonać oceny na podstawie faktycznej liczby personelu na początku roku, a nie tylko liczby osób zatrudnionych na czas nieokreślony.

50–249 pracowników

Prywatne podmioty zatrudniające od 50 do 249 pracowników mogą, pod pewnymi warunkami, dzielić między sobą wewnętrzne kanały zgłaszania i niektóre procedury. Nie zdejmuje to z danego podmiotu odpowiedzialności za spełnienie wymogów prawnych.

Poniżej 50 pracowników

Ogólny obowiązek wynikający z rozdz. 5 § 2 nie dotyczy podmiotów poniżej tego progu. Mniejsza firma może jednak dobrowolnie wdrożyć kanał zgłoszeniowy lub podlegać innym przepisom szczególnym w zależności od charakteru działalności. Jeśli system jest wprowadzany dobrowolnie, powinno być jasne, jak obsługiwane są zgłoszenia oraz jakie prawa i ograniczenia obowiązują.

Polityka dla sygnalistów a procedura zgłaszania pełnią różne funkcje

Ustawa koncentruje się na tym, aby kanały i procedury działały i były udokumentowane – nie na nazewnictwie dokumentów. Z perspektywy użytkownika często wyraźniejsze jest rozdzielenie polityki od wewnętrznej procedury operacyjnej.

Jak powinny działać wewnętrzne kanały zgłoszeniowe?

Kanały muszą umożliwiać dokonywanie zgłoszeń zarówno pisemnie, jak i ustnie, a na żądanie osoby zgłaszającej – również podczas spotkania osobistego w rozsądnym terminie.

Potwierdzenie w ciągu siedmiu dni

Osoba zgłaszająca powinna co do zasady otrzymać potwierdzenie przyjęcia zgłoszenia w ciągu siedmiu dni. Wyjątki dotyczą sytuacji, w których osoba ta zrzekła się potwierdzenia lub gdy odbiorca ma powody sądzić, że potwierdzenie ujawniłoby tożsamość zgłaszającego.

Odpowiedź zwrotna w ciągu trzech miesięcy

W ciągu trzech miesięcy od potwierdzenia należy w rozsądnym zakresie przekazać informację zwrotną o działaniach następczych i ich powodach. Jeśli potwierdzenie nie zostało wysłane (i nie wynika to z winy zgłaszającego), termin, zgodnie ze szczególną zasadą ustawy, liczy się od siedmiu dni po otrzymaniu zgłoszenia.

Kto może obsługiwać zgłoszenia sygnalistów?

Podmiot prowadzący działalność musi wyznaczyć bezstronne i niezależne osoby lub jednostki uprawnione do przyjmowania zgłoszeń, kontaktu ze zgłaszającymi, prowadzenia działań następczych i udzielania odpowiedzi.

Mogą to być pracownicy wewnętrzni lub osoby zewnętrzne zatrudnione do tego zadania. Organizacja musi jednocześnie zaplanować mechanizmy przeciwdziałania konfliktom interesów. Zgłoszenie dotyczące osoby, która zazwyczaj obsługuje takie sprawy, musi móc zostać przekazane komuś innemu.

Ograniczenie dostępu

Dane identyfikacyjne i inne wrażliwe dane dotyczące spraw nie powinny być dostępne dla całego działu HR, kierownictwa ani działu IT. Dostęp musi być ograniczony do osób uprawnionych, a systemy zaprojektowane tak, aby zapewnić poufność i identyfikowalność.

Sygnalizowanie a dane osobowe

Sprawy sygnalistów często zawierają informacje zarówno o osobie zgłaszającej, osobie zgłaszanej, jak i innych osobach, których sprawa dotyczy. Ustawa o ochronie sygnalistów zawiera szczególne zasady dotyczące przetwarzania danych osobowych, które współgrają z RODO.

Szwedzki organ ochrony prywatności (Integritetsskyddsmyndigheten) wskazuje m.in., że przetwarzane mogą być tylko dane osobowe niezbędne do prowadzenia danej sprawy, dane oczywiście nieistotne powinny być niezwłocznie usuwane, a dane osobowe co do zasady nie powinny być przechowywane dłużej niż dwa lata po zamknięciu sprawy. W przypadku podmiotów publicznych mogą mieć zastosowanie odrębne zasady archiwizacji.

Jeśli kanał prowadzi zewnętrzny dostawca przetwarzający dane osobowe w Twoim imieniu, konieczna jest ocena ról zgodnie z RODO. Przeczytaj kiedy potrzebna jest umowa powierzenia przetwarzania danych osobowych.

Co powinna zawierać polityka i procedura zgłaszania?

• Cel i zakres zgłoszeń.
• Kto może korzystać z kanałów.
• Jak dokonać zgłoszenia pisemnego, ustnego lub podczas spotkania.
• Dane kontaktowe i kanały techniczne.
• Jakie osoby/jednostki są uprawnione do obsługi.
• Sposób zapewnienia niezależności i unikania konfliktów interesów.
• Potwierdzenie, działania następcze i informację zwrotną.
• Ochronę tożsamości i innych danych.
• Zasady przeciwdziałania działaniom odwetowym i informacje o ochronie.
• Dane osobowe, dostęp, usuwanie danych i dokumentację.
• Jak można korzystać z zewnętrznych kanałów zgłaszania u właściwych organów.
• Jak sprawy są zamykane, raportowane wewnętrznie i monitorowane na poziomie zagregowanym.

Informuj o więcej niż tylko linku wewnętrznym

Ustawa wymaga jasnych i łatwo dostępnych informacji o tym, jak przebiega zgłaszanie wewnętrzne, jak można dokonać zgłoszenia przez zewnętrzne kanały właściwych organów oraz, w stosownych przypadkach, informacji o wolności słowa i prawie do informowania.

Częste błędy

• Używanie zwykłej skrzynki mailowej HR jako kanału zgłoszeniowego. Uprawnienia i niezależność mogą stać się niejasne.
• Oferowanie tylko formularza internetowego. Ustawa wymaga więcej sposobów dokonywania zgłoszeń.
• Brak osoby odpowiedzialnej za terminy. Siedem dni i trzy miesiące muszą być operacyjnie monitorowane.
• Zbyt wiele osób ma dostęp do sprawy. Ogranicz uprawnienia i dokumentuj odpowiedzialność.
• Polityka obiecująca pełną anonimowość w każdej sytuacji. Formułuj ochronę i poufność poprawnie, w oparciu o faktyczny system i prawo.
• Zapisywanie danych osobowych bez planu. Zdefiniuj usuwanie danych i obsługę prawną od samego początku.

Potrzebujesz udokumentować politykę i obsługę spraw?

Pakiet Mallbutiken zawiera politykę sygnalistów, procedurę zgłaszania i monitorowania, formularz zgłoszeniowy, protokół dochodzenia oraz listę kontrolną wdrożenia w formatach Word/PDF. Cena w sklepie: 199 SEK.

Zobacz pakiet sygnalistów

Często zadawane pytania

Czy firma musi posiadać politykę, jeśli zatrudnia 50 osób?

Ustawa wymaga wewnętrznych kanałów zgłaszania i procedur oraz pisemnej dokumentacji tych procedur. Nie wymaga, aby konkretny dokument nosił tytuł „polityka”.

Czy dział HR może sam obsługiwać wszystkie zgłoszenia?

Nie automatycznie. Osoby lub jednostki uprawnione muszą być niezależne w rozumieniu ustawy. Organizacja musi również zarządzać konfliktami interesów.

Czy można korzystać z zewnętrznego serwisu dla sygnalistów?

Tak, ustawa pozwala na to, aby osobami uprawnionymi byli pracownicy podmiotu zewnętrznego wynajętego do obsługi. Podmiot prowadzący działalność musi jednak zapewnić spełnienie wymogów ustawowych i ochrony danych.