Як професійний постачальник каналів повідомлення для викривачів ми постійно моніторимо оновлення законодавства. Щодо Польщі, ми писали раніше. Та нарешті, 14 червня вийшов Закон про захист викривачів в Польщі.
.jpg?width=697&height=399&name=DALL%C2%B7E%202024-08-07%2010.43.14%20-%20Vector%20illustration%20of%20a%20whistleblower%20in%20Poland%20standing%20in%20Warsaw.%20The%20image%20is%20primarily%20in%20blue%20and%20green%20colors%20on%20a%20white%20background%2c%20with%20a%20sty%20copy%202%20(1).jpg)
Давайте поглянемо, що в ньому особливого по відношенню до інших схожих законів та що особливого? Що він вимагає від бізнесу? Скільки лишилось часу?
Окремо задаємо собі питання - чи важко йому відповідати підприємствам та організаціям?
І звичайно ж, приміряємо вимоги закону до нашої платформи - щоб полегшити роботу нашим існуючим і майбутнім клієнтам.
Найголовніше коротко:
- Якщо у вас більше 50 співробітників, мусите мати процедуру внутрішніх повідомлень про порушення законодавства.
- Кінцевий строк - 3 місяці - тобто 14 вересня 2024 року.
- Невстановлення процедури чи його неякісне встановлення - карається штрафом.
- Відповідати вимогам Закону просто. Все можна закрити співпрацею з сертифікованим незалежним постачальником Етиконтроль.
- Є пару дискусійних моментів, які можуть суттєво завадити належній ефективності Закону.
Щодо відповідності до Директиви:
- Досить широка сфера покриття (ст.3)
- Досить широке трактування викривача (ст.4), в тому числі волонтери і військовослужбовці (хоч і з обмеженнями щодо договорів у сфері оборони і безпеки чи дій розвідки).
- Право приймати анонімні звернення (ст.7)
- Захист конфіденційності (ст.8)
- Належне поводження з персональними даними, обмежена обробка і зберігання.
- Маленьким організаціям (до 249 осіб) можна мати спільні канали “спільні правила прийняття та перевірки внутрішніх звітів і проведення розслідувань” (ст.28) за умови, що вони є “окремими контролерами”, які не мають доступу до персональних даних, отриманих іншим контролером.
- Вимога юридичним особам встановити “внутрішню процедуру повідомлення” (ст.24).
- Обовязок підтвердити викривачу отримання внутрішнього повідомлення протягом 7 днів з моменту його отримання (ст.25).
- Максимальний строк для надання зворотного зв'язку викривачу - 3 місяці.
Цілком очевидно, що платформа Етиконтроль, яка на ринку більше 7 років цілком відповідає вимогам Директиви, тому надалі ми будемо коментувати наявність функціональності лише щодо особливостей.
Особливості Закону:
|
Вимога закону |
Реалізація в Етиконтроль |
Коментар щодо реалізації |
|
Згідно ст.3 п.2 до сфери покриття механізму можна віднести не лише порушення законодавства, а й порушення “внутрішніх правил або етичних стандартів”. Добре, що про це писали - бо ми досі знаємо організації, де існує одночасно по два механізми. |
Повністю |
Наш довідник порушень містить більше 70 елементів та містить мепінг до Директиви і Закону. Довідник адаптується під документи клієнта. |
|
Чітко визначено орган уповноважений приймати повідомлення про порушення закону спеціальними службами. (ст.5) |
Повністю |
Платформа містить ряд ролей, якими можна розмежувати відповідальність за бізнес процес. |
|
Викривач набуває статусу з моменту викриття (ст.6). Це більш прогресивно ніж з моменту відкриття відповідного провадження і рішення суду чи органу, але менше прогресивно ніж якби було з моменту прийняття рішення чи початку підготовки до викриття. |
Повністю |
Користувач платформи набуває всіх можливостей незалежно від стадії розгляду |
|
Згідно ст.8 п.4 з'являється заборона збирання даних, що не мають відношення до обробки повідомлення та обовʼязок їх видалення протягом 14 днів. |
Повністю |
Можливість робити попередній огляд звернень та їх кваліфікацію. Можливість видалення некваліфікованих звернень. |
|
Обовязок видаляти персональні дані і документи після 3 років. (ст.29 п.5) |
Повністю |
Нагадування щодо ручного видалення або автоматичні правила видалення. |
|
Кейси можна не видаляти, якщо стосується “матеріалів досудового провадження, судових або адміністративних справ.” (ст.8 п.10) |
Повністю |
Можливість призначати відповідний атрибут кейсу, щоб захистити від видалення |
|
Право на фінансову компенсацію викривачу за репресивні дії в розмірі “не нижчому за середньомісячну заробітну плату в національній економіці за попередній рік” (ст.14). |
Не застосовується до платформи |
|
|
Маленькі організації (до 50 осіб) теж мають право створити внутрішні процедуру повідомлення і користуватись правами і обов'язками згідно Закону. (ст.24) |
Повністю |
Маємо доступний тарифний план Початковий |
|
Обов'язок провести консультації з профспілкою чи представниками колективу (ст.24) |
Повністю |
Матеріали консультацій є можливість розмістити на порталі для викривачів |
|
Обов'язок довести до відома цільової аудиторії щодо існування механізму. В тому числі кандидатів на посади. (ст.24 п.6) |
Повністю |
Ми допомагаємо клієнтам з проведенням комунікаційної кампанії, як на рівні планування, так і на рівні виконання. Даємо шаблони, робимо графічні та відеоматеріали. |
|
Процедура внутрішніх повідомлень має мати закріплений відповідальний та неупереджений внутрішній підрозділ, або незалежного підрядника на зразок Етиконтроль. |
Повністю |
Справжня неупередженість це лише професійний незалежний постачальник, якого обрали на відкритій і справедливій закупівельній процедурі |
|
Необхідність інформувати про порядок роботи з інформацією. |
Повністю |
Є можливість розмістити політики і процедуру на порталі для викривачів |
|
Обов'язок сповіщати потенційних викривачів про можливість подання зовнішніх повідомлень омбудсмену чи органами державної влади (ст.25, п.8) Щодо цього обов'язку - кінцевий строк реалізації - 6 місяців згідно ст.64. |
Повністю |
Можливість адаптації порталу викривачів |
|
Засоби передачі внутрішніх повідомлень мають бути в усній або письмовій формі. |
Повністю |
Підтримка веб-порталу та е-мейл каналу. Підтримка створення звернень внутрішніми користувачами |
|
Усне повідомлення має мати запис розмови з можливістю пошуку, або повну і точну розшифровку інтерв'ю (ст.26 п.3)) Викривач може переглянути, виправити та затвердити стенограму інтерв'ю або протокол інтерв'ю, підписавши його. (ст.26 п.5) |
Повністю |
Ми не рекомендуємо першу опцію з записами розмов, бо вважаємо це не конфіденційним і небезпечним для заявників. В разі замовлення послуг нашого кол-центру, наші консультанти готують розшифровку розмови і зберігають в системі. Розшифровка розмови доступна заявнику через особистий кабінет. |
|
На прохання викривача усне повідомлення може бути зроблено під час особистої зустрічі, організованої протягом 14 днів з моменту отримання такого прохання. |
Повністю |
Є додаткова кнопка на порталі для замовлення зустрічей, яку можна інтегрувати з календарем для зустрічей. |
|
Обов'язок унеможливлювати доступ осіб до інформації, про яку йдеться у повідомленні (ст.27) |
Повністю |
Передбачено процедури автоматичної ескалації з відповідним обмеженням доступу |
|
Розмежування доступу до персональних даних між різними контролерами даних (ст.28) |
Повністю |
Забезпечуються розмежуванням доступу на основі ролей, процедур та підрозділів |
|
Обов'язок вести реєстр внутрішніх повідомлень (ст.29) що має включити сім обов'язкових атрибутів (номер, предмет, контактні дані, дата реєстрації, заходи та дата закриття) |
Повністю |
Реєстр подій та кейс менеджмент є доступними у всіх тарифних планах. Атрибутів набагато більше ніж згаданих сім. Наявний експорт таблиць. |
Дискусійні питання:
- Яким штрафом карається невстановлення і неякісне встановлення - невідомо. Як і достеменно невідомо, який саме орган буде відповідати за перевірку накладення покарань.
- Що таке “істотне порушення вимог”? Які саме критерії? Підозрюємо, що такими критеріями можуть бути:
- Невстановлення відповідальної особи та її упередженість
- Непроведення попередніх консультації з профспілкою чи представниками колективу
- Відсутність укладеної угоди про доручення обробки повідомлень
- Недостатній захист від доступу сторонніх осіб
- Порушення строків надання підтвердження отримання чи зворотного зв'язку
- Обов'язком видалення нерелевантних персональних даних протягом 14 днів (ст.8) деякі підприємства можуть зловживати. Адже п.4 не деталізує, чи мова стосується всього кейсу чи лише персональних даних в ньому. На практичному рівні - це може означати - якщо вам надійшло звернення і ви вирішили його не обробляти (як нерелевантне, дублікат чи спам) - то зобов'язані видалити персональні дані або його повністю.
- Право на компенсацію шкоди внаслідок “завідомо неправдивого повідомлення або розголошення викривачем інформації” (ст 15). Дуже цікава норма. 😱 Так, компенсацію, увага, має здійснювати - викривач. Це означає, що за кожним повідомленням яке не підтвердилось (нагадаємо таких в за бенчмарками більше 50%), можна звернутись з цивільним позовом до викривача і це не буде тиском на нього чи переслідуванням, а лише законним правом на компенсацію збитків. На нашу думку, ця норма може стати небезпечною для викривачів і може демотивувати небайдужих людей на такі дії.
- Обов'язок сповіщати про наявність каналів повідомлення претендентів на посади (ст.24 п.6) є гарною практикою, однак визначення викривача та перелік осіб зі Статті 4 не містить згадки про кандидатів на посади.