015 – Whistleblowing w podmiocie leczniczym – Paweł Ludwiczak

Co może być przedmiotem zgłoszenia sygnalisty? Czy pacjent może być sygnalistą? Jakie granice whistleblowingu wyznacza tajemnica lekarska?

Między innymi na te pytania staramy się znaleźć odpowiedź z gościem dzisiejszego odcinka, którym jest Paweł Ludwiczak, radca prawny, audytor, ekspert w zakresie compliance i whistleblowingu, wiceprezes Stowarzyszenia Praktyków Compliance.

Największym wyzwaniem przy wdrożeniu systemu zgłoszeń w placówce medycznej nie jest napisanie regulaminu, tylko przekonanie ludzi, żeby z niego korzystali. System obejmuje co do zasady naruszenia wskazane w dyrektywie o ochronie sygnalistów, ale katalog jest otwarty i to sam podmiot decyduje, czy przyjmować także zgłoszenia spoza tej listy – na przykład dotyczące mobbingu, którego w wykazie nie ma. W ochronie zdrowia dochodzą dwa problemy specyficzne: personel lekarski pracuje najczęściej na kontraktach, co przy wąskim rozumieniu pojęcia pracownika zaburza liczenie progów, oraz tajemnica zawodowa, która wyznacza realną granicę tego, co lekarz może zgłosić i w jakiej formie.

Najważniejsze wnioski

• Whistleblowing nie jest w Polsce absolutną nowością. Systemy przyjmowania zgłoszeń funkcjonują od lat w bankach, w spółkach zależnych korporacji zagranicznych, w spółkach giełdowych oraz tam, gdzie stosuje się przepisy o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu (AML), gdzie wymagana jest anonimowość.
• Katalog naruszeń jest otwarty, a polski ustawodawca scedował decyzję na pracodawcę. Zdaniem gościa odcinka regulamin powinien obejmować każde naruszenie przepisów, bo dzielenie sygnalistów na chronionych i niechronionych zabija zaufanie do systemu wewnętrznego.
• Mobbingu i nadużycia kierowniczego w wykazie z dyrektywy nie ma – a pracownik i tak je zgłosi, bo nie będzie sprawdzał, czy akurat mieści się w regulaminie. Pracodawca zaś musi się mobbingiem zająć, choćby z uwagi na obowiązki wynikające z kodeksu pracy.
• Lekarz może być sygnalistą, ale jeśli zgłoszenie da się sformułować bez danych osobowych pacjenta, powinien je pominąć. Podmiot przyjmujący zgłoszenie ma obowiązek zapewnić poufność nie tylko sygnaliście, ale też osobom, których zgłoszenie dotyczy.
• Postępowania wyjaśniającego nie udźwignie jedna osoba. W zależności od sprawy potrzebni są różni specjaliści, od informatyki śledczej po biegłego rewidenta – stąd rekomendacja modelu hybrydowego: zespół wewnętrzny wsparty ekspertami z zewnątrz przy sprawach trudnych.
• Brak zgłoszeń oznacza, że system nie działa. To sygnał, że ludzie nie ufają albo nie wiedzą, jak zgłaszać – a nie że nie ma czego zgłaszać.

Skąd wziął się whistleblowing i dlaczego w Polsce budzi opór?

Instytucja powstała na Zachodzie, głównie w Stanach Zjednoczonych i Wielkiej Brytanii, i liczy tam sobie kilka dekad. Whistleblowing tłumaczy się u nas jako sygnalizowanie, a osoby zgłaszające bywają nazywane sygnalistami albo demaskatorami. Chodzi o osoby zgłaszające naruszenia prawa.

W Polsce nowość jest połowiczna. Systemy przyjmowania zgłoszeń funkcjonują od ponad dekady w bankach, od kilkunastu lat w spółkach zależnych korporacji zagranicznych i długo w spółkach notowanych na giełdzie. Wymuszały je stare rozporządzenie bankowe oraz przepisy AML.

Prawdziwą nowością – i pewną rewolucją kulturową – jest to dla całego sektora publicznego, liczącego kilkanaście tysięcy podmiotów, dla kilku tysięcy dużych przedsiębiorstw i dla ponad dwudziestu tysięcy średnich.

Największy problem z wdrożeniem wynika z kultury. Na Zachodzie obywatele traktują władzę jak swoją – zgłaszając naruszenie, dbają o interes własnego państwa. U nas, od czasów zaborów i PRL, pokutuje przekonanie, że ta władza nasza nie jest. W efekcie sygnalista bywa mylony z donosicielem i przykleja mu się negatywna łatka.

Kto i od kiedy musi mieć system zgłoszeń?

Terminy wynikające z dyrektywy są dwa. Do 17 grudnia 2021 r. systemy przyjmowania zgłoszeń i podejmowania działań następczych powinny funkcjonować w całym sektorze publicznym – administracji rządowej i samorządowej, spółkach skarbu państwa, spółkach komunalnych i pozostałych jednostkach szeroko pojętego sektora publicznego – oraz u dużych przedsiębiorców, czyli zatrudniających powyżej 250 pracowników. Średni przedsiębiorcy dostali dwa lata więcej, do 17 grudnia 2023 r.

Przełożone na ochronę zdrowia oznacza to, że system powinny mieć publiczne szpitale i pozostałe jednostki publiczne, także te mniejsze, oraz jednostki z udziałem skarbu państwa, a po stronie prywatnej opieki zdrowotnej – podmioty zatrudniające powyżej 250 pracowników.

Na dzień nagrania sytuacja prawna była jednak niepełna: termin wdrożenia dyrektywy minął, ustawy nie było, a projekt znajdował się w Rządowym Centrum Legislacji i zebrał liczne uwagi wskazujące na błędy legislacyjne. Dyrektywa wymaga inkorporacji i nie jest stosowana wprost, więc sama w sobie nie chroniła.

Wśród praktyków compliance powstała w związku z tym koncepcja „małej ochrony sygnalisty”: sygnalista mógłby przed sądem powołać się bezpośrednio na dyrektywę, której państwo nie wdrożyło, i dochodzić odszkodowania od państwa na gruncie art. 417 kodeksu cywilnego. Czy okaże się skuteczna, nie wiadomo – zanim taka sprawa dotrze do Sądu Najwyższego, mijają trzy, cztery lata, a ukształtowanie linii orzeczniczej to kolejny okres.

Czy lekarz na kontrakcie liczy się do progu 250 pracowników?

To jedno z kluczowych pytań dla ochrony zdrowia – i jeden z głównych zarzutów wobec projektu ustawy. Polski projekt ograniczał rozumienie pojęcia pracownika do etatowców, co bywało oceniane jako naruszenie dyrektywy.

Zdaniem gościa odcinka ten zarzut jest uzasadniony: do limitu powinny być wliczane wszystkie osoby, niezależnie od tego, czy pracują na umowę o pracę, czy na umowach cywilnoprawnych. W ochronie zdrowia ma to znaczenie fundamentalne, bo personel lekarski jest od lat zatrudniany głównie na tak zwanych kontraktach, które są niczym innym niż umowami cywilnoprawnymi.

Dla jednostek publicznych, które i tak muszą wdrożyć system, niewiele to zmienia. Sporo zmienia natomiast po stronie prywatnej, gdzie sposób zatrudnienia mógłby decydować o istnieniu obowiązku – a to prowadzi do nierówności podmiotów. Jak ujął to gość: jedna placówka zatrudnia lekarzy na umowy cywilnoprawne i nie musi wdrażać systemu, a druga, zatrudniająca na etat, musi.

Osobny postulat dotyczy liczenia progów łącznie w grupach kapitałowych i w sektorze publicznym wraz z jednostkami podległymi. Dyrektywa dopuszcza, by jeden system – wdrożony na przykład przez miasto – obejmował wszystkie jednostki organizacyjne. Tworzenie osobnego systemu przez każdą szkołę i każdy szpital podniosłoby koszty i obniżyło efektywność.

Co powinno być objęte systemem zgłoszeń?

Formalnie to, co wynika z dyrektywy – ale katalog jest otwarty i to podmiot decyduje, czy przyjmować więcej. Zakres przedmiotowy w projekcie ustawy został przeniesiony z dyrektywy niemal jeden do jednego.

Dla ochrony zdrowia istotny jest motyw 13 dyrektywy, wskazujący na zagrożenia dla zdrowia publicznego oraz na ochronę konsumentów – którą w tym kontekście można czytać jako ochronę pacjentów, w ujęciu indywidualnym i zbiorowym. Kierunek pokazuje też lista dyrektyw stanowiąca załącznik: pojawiają się tam podmioty lecznicze, wyroby medyczne, a także tkanki i komórki. Ustawodawca unijny traktuje ten obszar maksymalnie szeroko.

Problem w tym, czego na liście nie ma: mobbingu, nadużycia kierowniczego, a także – co było przedmiotem odrębnych zarzutów – bezpieczeństwa i higieny pracy.

Unijny ustawodawca zostawił furtkę: państwa mogą rozszerzyć zakres, docelowo na wszystkie naruszenia prawa. Polski projekt tej możliwości nie wykorzystał i – jak podsumował to gość – scedował decyzję piętro niżej, na pracodawcę. Stąd najczęstsze pytanie klientów: to co my mamy właściwie objąć tym systemem?

Dlaczego warto przyjąć podejście szerokie?

Bo pracownik, który widzi problem, nie będzie sprawdzał, czy mieści się w regulaminie. Po prostu go zgłosi – a mobbingiem pracodawca i tak musi się zająć, choćby z uwagi na obowiązki z kodeksu pracy.

Argumenty za szerokim ujęciem, obejmującym każde naruszenie przepisów, są trzy:

1. Nie można wymagać od zgłaszającego znajomości regulaminu ani zmuszać go do sprawdzania, czy w danym przypadku będzie mu przysługiwała ochrona. To byłoby wobec niego nieuczciwe.
2. Podział na sygnalistów chronionych i niechronionych zabije system. Gdy rozejdzie się, że jednego chronimy, a drugiego spotyka krzywda, zgłoszeń wewnętrznych po prostu nie będzie, a reputacja podmiotu ucierpi.
3. Zgłoszenia nie znikną – przejdą poziom wyżej. Zamiast trafić do pracodawcy, powędrują do inspekcji pracy, do służb, do prasy, ewentualnie kanałem zgłoszeń zewnętrznych.

W sektorze publicznym dochodzi argument formalny: jeżeli wpłynie zawiadomienie o przestępstwie, kodeks postępowania administracyjnego (KPA) nakazuje jego przekazanie do prokuratury. Nie można więc zapisać w regulaminie, że wszystko poza dyrektywą zostawiamy bez rozpatrzenia i odkładamy na półkę.

Technicznie rozwiązanie jest proste. Nie chodzi o wyliczanie kolejnych kategorii „w szczególności”, tylko o jedną definicję na wyższym poziomie ogólności: naruszenie to każde naruszenie przepisu. Regulamin ma pozostać krótki – jeśli procedura przekracza kilkanaście stron, nikt jej nie przeczyta i zostanie „półkownikiem”, który kurzy się na półce.

Czy pacjent może być sygnalistą?

Tu autorzy się różnią – i warto znać oba stanowiska.

Zdaniem Pawła Ludwiczaka nie ma przeszkód: pacjent korzysta ze świadczenia, może być ofiarą błędu lekarskiego, może zauważyć naruszenie standardów medycznych i to zgłosić. Sensu largo jest więc osobą zgłaszającą. Z jednym zastrzeżeniem praktycznym: pacjent raczej nie jest narażony na działania odwetowe, chyba że placówka zaczęłaby mu utrudniać dostęp do opieki – co zdarzać się nie powinno.

Maciek ma stanowisko węższe. Dyrektywa posługuje się pojęciem osoby, która dowiedziała się o naruszeniu w kontekście wykonywanej pracy, a katalog osób niewykonujących pracy, które mogą być sygnalistami, jest wskazany wyraźnie. W jego ocenie pacjent w tym zakresie podmiotowym się nie mieści – choć oczywiście nikt nie może go powstrzymać przed zgłoszeniem.

Co ważne, żadne z tych stanowisk nie ogranicza pacjenta, który dysponuje odrębnymi drogami: skargą do Rzecznika Praw Pacjenta czy do Narodowego Funduszu Zdrowia (NFZ).

W tle jest szerszy wybór między dwiema wykładniami. Legalistyczna przyjmuje, że sygnalistą jest wyłącznie osoba wskazana w przepisach. Szeroka – że jest nią każdy, kto ma wiedzę o naruszeniu i nam ją zgłasza. Wybór ma wpływ na obowiązki i sankcje, więc każdy podmiot musi zmapować własne ryzyka prawne i odpowiednio się otworzyć. Zgodni obaj rozmówcy są za to w jednym: informacja jest bogactwem i nie warto zamykać placówki na jej źródła.

Czy tajemnica lekarska wyklucza zgłoszenie?

Nie wyklucza, ale wyznacza granicę – i to najtrudniejsze zagadnienie całej rozmowy. W jednostkach ochrony zdrowia tajemnicy zawodowej jest dużo: lekarska, farmaceutów, a także innych grup zawodowych. Zarówno dyrektywa, jak i projekt polskiej ustawy regulowały tę kwestię, przy czym mocno inaczej, a projektowi zarzucano zawężenie do samej tajemnicy lekarskiej.

Zdaniem Pawła Ludwiczaka lekarz może być sygnalistą – podobnie jak urzędnik służby cywilnej związany tajemnicą urzędniczą. Sygnalista działa bowiem w interesie publicznym albo w interesie osoby, której dzieje się krzywda. Jeśli lekarz zgłasza naruszenie praw pacjenta, błąd lekarski albo nieprzestrzeganie procedur narażające pacjentów, nie można powiedzieć, że nie powinien tego zgłaszać, bo obowiązuje go tajemnica.

Kluczowe jest jednak ograniczenie co do zakresu danych:

• Jeżeli zgłoszenie da się sformułować bez danych osobowych pacjenta – należy te dane pominąć. Dotyczy to na przykład zgłoszeń o procedurach szpitalnych, gdzie dane konkretnych pacjentów nie są potrzebne do wyjaśnienia sprawy.
• Jeżeli dane są niezbędne – bo trzeba wiedzieć, komu udzielić pomocy albo bez tego nie da się sprawy wyjaśnić – podać je należy.
• Podmiot przyjmujący zgłoszenie musi zapewnić poufność nie tylko sygnaliście, lecz także osobom, których zgłoszenie dotyczy. To trochę konstrukcja na zasadzie stanu wyższej konieczności: chronimy mniej tajemnicę i dane pacjenta, żeby ochronić dobro ważniejsze.

Maciek zgadza się bez zastrzeżeń co do zgłoszeń takich jak nieprawidłowości w rozliczeniach z NFZ. Ma natomiast poważną wątpliwość przy zgłaszaniu błędu innego lekarza: taka informacja jest ściśle powiązana z wykonaniem konkretnego świadczenia wobec konkretnego pacjenta, dochodzi kwestia kodeksu etyki lekarskiej, a więc jego zdaniem system zgłoszeń sygnalistów akurat do tego przeznaczony nie jest.

Kontrargument gościa jest jednak mocny i wart przemyślenia: a czy te inne drogi działają? W compliance funkcjonuje mit „innej procedury, która to wykryje”. Jego odpowiedź brzmi zawsze tak samo – proszę pokazać tę procedurę i przykłady, kiedy zadziałała. Często okazuje się, że albo jej nie ma, albo jest kolejnym półkownikiem. Jeżeli więc błędy nie wychodzą innymi kanałami – także z powodu źle pojętej solidarności środowiskowej – to albo trzeba te kanały poprawić, albo dopuścić do nich system zgłoszeń.

Kto powinien prowadzić postępowanie wyjaśniające?

Zespół, a nie jedna osoba – bo katalog źródeł dowodowych jest bardzo szeroki. Napisanie regulaminu i rejestru zgłoszeń nie jest żadną sztuką, dokładnie jak przy RODO nie jest nią przygotowanie polityki ochrony danych. Sztuką jest wyjaśnienie zgłoszenia.

W zależności od sprawy potrzebni są różni specjaliści: od informatyki śledczej przy dowodach cyfrowych, przez znawcę zamówień publicznych, po biegłego rewidenta w sprawach finansowych. Trzeba przy tym umieć rozmawiać z ludźmi i przeprowadzać rozmowy ze świadkami, zachowując poufność – i wszystko to w ograniczonym terminie. Warto też odróżnić kontrolę wewnętrzną i audyt, czyli sprawdzanie zgodności, od działania dochodzeniowo-śledczego, które jest czymś innym. Takich specjalistów po prostu nie ma zbyt wielu.

Gdzie ich szukać? Gość radził sięgać do działów prawnych, gdzie jest wiedza prawna i znajomość KPA, a umiejętności śledcze da się dobudować szkoleniem, oraz do działów kontroli wewnętrznej i audytu. Zaobserwował natomiast trend przerzucania tych systemów na inspektorów ochrony danych (IOD) – z uzasadnieniem, że IOD jest już niezależny i przetwarza dane osobowe – i przyjął go ze zdziwieniem. To zupełnie inny zakres obowiązków, a rzetelne wykonywanie funkcji IOD samo w sobie zajmuje bardzo dużo czasu.

Rekomendacja to model hybrydowy: trzon wewnątrz podmiotu, bo taka osoba zna ludzi, ma nieformalne kanały informacji i wewnętrzny autorytet, plus wsparcie zewnętrznych ekspertów przy sprawach przekraczających jej kompetencje. Z praktyki podmiotów, w których systemy działają od lat, wynika, że poważniejsze sprawy trafiają się dwa, trzy, cztery razy w roku. Nie ma sensu trzymać armat w gotowości na komara – armaty wyciąga się wtedy, gdy pojawi się dinozaur.

Osobnym, najtrudniejszym przypadkiem są zgłoszenia dotyczące najwyższego kierownictwa. W spółce zależnej można odwołać się do spółki matki, w spółce komunalnej do gminy, przy prezesie zarządu bywa rada nadzorcza. W publicznych jednostkach medycznych funkcjonuje też Rada Społeczna, która – wbrew pozorom – jest w tym kontekście istotnym organem.

Jak przekonać personel medyczny do korzystania z systemu?

Przykładem idącym z góry, prostotą i zaufaniem – bo to, a nie regulamin, decyduje o powodzeniu. Branża medyczna jest na nowe procedury nastawiona nieufnie, co dobrze widać było przy RODO: znowu kolejne dokumenty, znowu trzeba o czymś myśleć, a przecież przychodzi pacjent i chcemy leczyć.

Kilka rzeczy, które w praktyce robią różnicę:

• Zgłoszenie musi być rzetelne, żeby dało się je wyjaśnić. Informacja, że „Kowalski coś kradnie”, nie wnosi nic – zwłaszcza gdy w szpitalu pracuje trzydziestu Kowalskich. Potrzebne są konkrety, dowody, świadkowie.
• System zgłoszeń musi być prosty. Jeśli wypełnienie zgłoszenia wymaga kilku stron, nikt tego nie zrobi, bo nie ma czasu.
• System nie musi ograniczać się do naruszeń prawa. Tym samym kanałem można przyjmować incydenty medyczne, epidemiologiczne, dotyczące ochrony danych i cyberbezpieczeństwa, sygnały o problemach wewnętrznych, a nawet pomysły racjonalizatorskie i optymalizacyjne.
• To ma być komunikacja dwustronna, a nie skrzynka, do której sygnalista coś wrzuca i na tym się kończy.

Co do samych ludzi, gość odwołał się do szacunków socjologicznych (podanych bez źródła): około 10-15% osób nie zgłosi nigdy niczego – odwrócą wzrok i nie będą się angażować. Drugie 10-15% to społecznicy, którzy zgłoszą z wrodzonej uczciwości, jeśli tylko dostaną prosty kanał. O resztę trzeba zawalczyć, a decyduje o tym przykład z góry.

Ilustracja jest brutalnie prosta: lakiernia, opary łatwopalne, tabliczka z zakazem palenia, przeprowadzone szkolenia – i prezes, który wchodzi na halę i pali papierosa. Odpowiedź na pytanie, czy pracownicy będą przestrzegać zakazu, każdy zna.

Argument dla kadry zarządzającej brzmi natomiast: bezpieczeństwo. Pozyskanie wiedzy o problemie wewnętrznie pozwala rozwiązać go samodzielnie i ugasić pożar w zarodku, zamiast czekać, aż przyjdzie pismo z instytucji albo kontrola stwierdzi nieprawidłowe rozliczenie kontraktu. Chroni to podmiot, dyrekcję i samych pracowników.

Jest też dobra wiadomość. Wbrew obiegowej opinii o polskiej „kulturze donosicielstwa” – którą obaj rozmówcy uznają za nadużycie – badania pokazują, że pracownicy chętnie zgłaszają problemy wewnętrznie, bo wolą powiedzieć przełożonemu niż biegać po instytucjach zewnętrznych. Muszą być jednak spełnione dwa warunki: zaufanie, że ktoś na zgłoszenie zareaguje, oraz szacunek wobec zgłaszającego. Jeśli strzela się do posłańców złych wieści, przepływu informacji nie będzie.

FAQ

Kto w ochronie zdrowia musi wdrożyć system zgłoszeń? Zgodnie z terminami z dyrektywy: sektor publiczny, w tym publiczne szpitale i mniejsze jednostki publiczne oraz jednostki z udziałem skarbu państwa, a po stronie prywatnej podmioty zatrudniające powyżej 250 pracowników. Dla średnich przedsiębiorców termin był o dwa lata późniejszy.

Czy lekarz na kontrakcie liczy się do progu zatrudnienia? Zdaniem gościa odcinka powinien, bo dyrektywa nie ogranicza pojęcia do osób na etacie. Projekt polskiej ustawy przewidywał węższe ujęcie, co było przedmiotem zarzutów.

Czy mobbing można zgłosić przez system dla sygnalistów? W wykazie z dyrektywy mobbingu nie ma, ale katalog jest otwarty i podmiot może objąć nim każde naruszenie przepisów. Gość odcinka rekomenduje właśnie takie szerokie ujęcie.

Czy pacjent może być sygnalistą? Zdania są podzielone. Zdaniem Pawła Ludwiczaka może dokonać zgłoszenia, choć raczej nie grożą mu działania odwetowe. Zdaniem Maćka pacjent nie mieści się w zakresie podmiotowym, bo dyrektywa mówi o wiedzy uzyskanej w kontekście wykonywanej pracy. Niezależnie od tego pacjent ma odrębne drogi: skargę do Rzecznika Praw Pacjenta i do NFZ.

Czy lekarz może zgłosić naruszenie mimo tajemnicy lekarskiej? Tak, jeśli działa w interesie publicznym lub w interesie osoby, której dzieje się krzywda. Powinien jednak pominąć dane osobowe pacjenta, o ile nie są niezbędne do wyjaśnienia sprawy lub udzielenia pomocy.

Kto powinien odpowiadać za system w placówce? Rekomendowany jest zespół, najlepiej wielobranżowy, a nie jedna osoba. Warto szukać kandydatów w działach prawnych oraz kontroli wewnętrznej i audytu. Automatyczne przypisywanie tej funkcji inspektorowi ochrony danych budzi wątpliwości.

Czy brak zgłoszeń oznacza, że w placówce nie ma problemów? Nie. Zdaniem praktyków brak zgłoszeń oznacza, że system nie działa – ludzie nie ufają albo nie wiedzą, jak z niego korzystać.

Czy można kupić gotową dokumentację systemu? Nie ma to sensu. System trzeba dopasować do podmiotu, podobnie jak dokumentację RODO – jeden potrzebuje dużego parasola, drugi składanej parasolki.

Podsumowanie

Whistleblowing w podmiocie leczniczym rozstrzyga się nie na poziomie regulaminu, tylko na poziomie kultury organizacyjnej. Można napisać najlepszą procedurę, zatrudnić najlepszych ludzi, kupić system i powiesić plakaty – bez komunikacji i bez zaufania to nie będzie działało.

Specyfika ochrony zdrowia dokłada do tego dwa realne problemy: formę zatrudnienia personelu lekarskiego, która przy wąskim rozumieniu pojęcia pracownika wypacza liczenie progów, oraz tajemnicę zawodową, przy której granica między tym, co zgłosić można, a czego nie, pozostaje przedmiotem uzasadnionego sporu. Sami rozmówcy nie byli w tej kwestii zgodni – i to chyba najlepiej pokazuje, jak trudna jest to materia.

Całej rozmowy Maćka Łokaja z Pawłem Ludwiczakiem, radcą prawnym, audytorem i wiceprezesem Stowarzyszenia Praktyków Compliance, posłuchasz w 15. odcinku podcastu „Recepta na przepis”.