025 – Czy kwietniowy projekt ustawy o ochronie sygnalistów zmienia sytuacje podmiotów leczniczych – Paweł Ludwiczak

-> Jakie zmiany wprowadzono w kwietniowym projekcie ustawy o ochronie sygnalistów?
-> Czy przedmiotowe zmiany istotnie wpływają na sytuację podmiotów leczniczych?
-> Czy nowy projekt ustawy o ochronie sygnalistów faktycznie jest nowy?

Kwietniowy projekt ustawy o ochronie sygnalistów (z 6 kwietnia) to nie nowa ustawa, lecz kolejna, ewolucyjnie zmieniona wersja projektu październikowego – miejscami lepsza, miejscami gorsza. Z punktu widzenia podmiotów leczniczych najważniejsze jest to, że obowiązkiem wdrożenia procedur zostanie objęta szersza grupa podmiotów (m.in. przez lekarzy na kontraktach), a wiele przepisów – dotyczących zgłoszeń anonimowych, okresu przechowywania danych czy zlecania postępowań na zewnątrz – budzi poważne wątpliwości. Termin dla podmiotów zatrudniających od 50 do 249 osób to nadal 17 grudnia 2023 r. Rekomendacja ekspercka jest jedna: nie czekać na uchwalenie ustawy, tylko przygotowywać się już teraz.

Najważniejsze wnioski

• Kwietniowy projekt to kolejna wersja projektu październikowego – zmiany są ewolucyjne, a projekt oceniany jest jako „dostateczny”, choć zmierzający w dobrym kierunku.
• Obowiązkiem objęta zostanie szersza grupa podmiotów – zniknęły pojęcia „pracodawcy” i „pracownika”, a w podmiotach leczniczych znaczenie ma m.in. duża grupa lekarzy na kontraktach.
• Zgłoszenia anonimowe są niejasno uregulowane – zniknął wcześniejszy przepis pozwalający je przyjmować, co budzi wątpliwości.
• Okres przechowywania danych skrócono z 5 lat do 12 miesięcy bez wyjątków – co koliduje m.in. z toczącymi się postępowaniami karnymi.
• Zniknęła wyraźna możliwość zlecania postępowań następczych na zewnątrz – to problem zwłaszcza dla średnich i prywatnych podmiotów leczniczych.
• Termin dla podmiotów zatrudniających od 50 do 249 osób to 17 grudnia 2023 r. – a duże szpitale w większości już wdrożyły procedury.

Kogo obejmie obowiązek ochrony sygnalistów?

W kwietniowym projekcie obowiązek obejmie szerszą grupę podmiotów niż wcześniej, bo zniknęły pojęcia „pracodawcy” i „pracownika” na rzecz podmiotów publicznych i prywatnych oraz „osób wykonujących pracę na rzecz podmiotu”. To zmiana zgodna z dyrektywą i oceniana pozytywnie, choć pojawiła się pod nią definicja podmiotu publicznego, która może budzić wątpliwości (np. dla części spółek komunalnych i spółek Skarbu Państwa).

Problem w tym, że dla „osób wykonujących pracę na rzecz podmiotu” brakuje definicji legalnej. Zdaniem Pawła Ludwiczaka pojęcie to powinno obejmować wszystkie osoby świadczące pracę na rzecz podmiotu – niezależnie od tego, czy to umowa z Kodeksu pracy, umowa zlecenie, umowa o dzieło, B2B czy kontrakt menedżerski. Wskazał też, że w grupach kapitałowych spółki formalnie samodzielne, ale faktycznie zależne, warto traktować jako jeden podmiot i liczyć pracowników łącznie – inaczej jedna sieć (wszystko w jednym podmiocie) łapie się pod ustawę, a jej konkurent (każdy sklep jako osobna spółka poniżej 50 osób) już nie.

Dla podmiotów leczniczych ma to duże znaczenie, bo bardzo duża grupa lekarzy pracuje na kontraktach (współpracownicy, nie etatowcy). To znacząco zwiększy liczbę podmiotów zobowiązanych do wdrożenia procedur. Nowością jest też objęcie ochroną m.in. praktykantów i stażystów (istotna grupa w placówkach medycznych) oraz kandydatów do pracy i byłych pracowników.

Co można zgłosić – jak szeroki jest katalog naruszeń?

Katalog przedmiotowy nie zmienił się znacząco i najlepiej traktować go jako minimalny zakres, który musi zostać objęty regulacją. Paweł Ludwiczak jest zwolennikiem tego, by sygnalista mógł zgłaszać wszystkie naruszenia prawa i był chroniony – uważa za nieuczciwe różnicowanie ochrony w zależności od rodzaju naruszenia.

W praktyce, opiniując regulaminy, radzi jedno z dwojga: albo wpisać, że przyjmuje się każde naruszenie prawa (bez wyliczania), albo – jeśli chce się wyliczać – wymienić przynajmniej minimalny zakres z ustawy i rozporządzenia. Przy wyliczaniu robi się jednak absurdalnie: szpital musiałby wymienić np. przestępstwa z zakresu nasiennictwa, które nie mają z nim nic wspólnego.

Uwagę zwraca też zniknięcie wcześniejszego, jasnego przepisu pozwalającego podmiotowi rozszerzyć przyjmowanie zgłoszeń o „inne przepisy” – teraz mowa tylko o kodeksie etyki i przepisach wewnętrznych. Gość zakłada, że skoro nie ma zakazu, rozszerzenie nadal jest dozwolone, a samo wykreślenie to prawdopodobnie błąd edycyjny, który powinien zostać poprawiony.

Czy tajemnica medyczna wyłącza zgłoszenie sygnalisty?

Projekt (art. 5) wyłącza stosowanie ustawy m.in. do informacji objętych tajemnicą zawodów medycznych i prawniczych – ale przy zawodach medycznych rodzi to praktyczne wątpliwości. Paweł Ludwiczak zwraca uwagę, że wcześniejsze, szersze rozwiązanie podobało mu się bardziej, a obecne zawężenie wymagałoby doprecyzowania.

O ile przy tajemnicy lekarskiej można w oparciu o inne przepisy ustalić, że dotyczy ona wszystkiego, co związane ze zdrowiem pacjenta, o tyle problem pojawia się przy osobach, które nie wykonują zawodu medycznego w ścisłym rozumieniu – jak sekretarki medyczne czy rejestratorki. Osoby te mają dostęp do informacji wrażliwych, często wcześniej niż lekarz czy pielęgniarka (pacjent przychodzi się zarejestrować z wynikami).

Rodzi to konkretne pytania na etapie postępowania wyjaśniającego: o co można zapytać rejestratorkę, czego można się dowiedzieć i co może być elementem postępowania. Z drugiej strony pojawia się ryzyko „zamiatania spraw pod dywan” przez maksymalnie szerokie zasłanianie się tajemnicą medyczną. W praktyce te wątpliwości trafią do rozstrzygnięcia prawnikom, a stosowana praktyka może się różnić między podmiotami.

Czy zgłoszenia anonimowe będą dopuszczalne?

W kwietniowym projekcie nie ma pewności, czy zgłoszenia anonimowe są dopuszczone – zniknął wcześniejszy przepis, który pozwalał podmiotowi je przyjmować (albo zapisać, że ich nie przyjmuje). To krok wstecz wobec wersji październikowej, która miała przynajmniej jedno wyraźne zdanie na ten temat.

Paweł Ludwiczak wskazuje na niekonsekwencję: anonimowość jest wymagana w innych regulacjach (prawo bankowe, ubezpieczeniowe, dotyczące spółek giełdowych, AML dotyczący także małych przedsiębiorców jak biura rachunkowe), a tu nagle znika. Dodano wprawdzie przepis, że jeśli poznamy tożsamość anonimowego sygnalisty, chronimy jego poufność jak przy zgłoszeniu poufnym.

Paweł opowiada się za tym, by wymagany był co najmniej jeden kanał anonimowy (nie wszystkie – w większości przypadków anonimowości nie da się zapewnić), bo to anonimowość najlepiej chroni sygnalistę, zwłaszcza pracownika wewnętrznego narażonego na działania odwetowe. Zwraca uwagę na polską praktykę: jeśli podmiot nie musi czegoś zrobić, to tego nie zrobi – nawet gdy najprostszy kanał anonimowy kosztuje kilkaset złotych miesięcznie.

Jak długo przechowywać dane sygnalisty?

Projekt skraca okres przechowywania danych z 5 lat do 12 miesięcy, i to bez wyjątków – co Paweł Ludwiczak ocenia jako zmianę fatalną i w bardzo złym kierunku. Choć samo skrócenie w duchu minimalizacji danych mogłoby być zasadne, brak zastrzeżeń dla sytuacji szczególnych jest niebezpieczny.

Dane ze zgłoszenia bywają dowodem lub potencjalnym dowodem w postępowaniu karnym, a przepis nakazuje je usunąć – mimo że przedawnienie poważniejszych przestępstw jest znacznie dłuższe, a postępowania potrafią trwać latami. Problem pogłębiają roszczenia cywilne osoby, której dotyczy zgłoszenie (nawet 10-letni okres), oraz – w sektorze publicznym – przepisy o archiwach państwowych, które różnie kwalifikują takie dokumenty (od kategorii B3 po nawet kategorię A, czyli przechowywanie wieczyste).

Na plus zmieniono za to podejście do RODO: pojawiły się wyłączenia stosowania niektórych przepisów (m.in. art. 14-20) na czas postępowań następczych. Gość wolałby tu jednak rozwiązanie proste („krótka piłka”) – wyraźne wyłączenie tych przepisów do zakończenia postępowania.

Czym są działania odwetowe i jak chronieni są sygnaliści?

Katalog działań odwetowych poszerzono – jest otwarty (słowo „w szczególności”), a wśród nowych elementów pojawiły się groźby i próby. To interesujący kierunek, choć groźba powinna mieć realny charakter (odwołanie do Kodeksu karnego), a „próby” wymagałyby doprecyzowania.

Znacznie słabiej potraktowano kwestię naprawienia szkody. Ustawodawca podszedł do odszkodowań „po macoszemu”: polski model bywa „śmieszny” kwotowo (np. trzymiesięczne wynagrodzenie z Kodeksu pracy), a model amerykański z wielomilionowymi odszkodowaniami wykrzywia rynek. W tle przewija się szersza kwestia mentalności i „znieczulicy społecznej” oraz mylenia sygnalisty z donosicielem – podczas gdy sygnalista to osoba zgłaszająca naruszenie prawa, której zależy na praworządności.

Jak zorganizować kanały zgłoszeń i czy można je zlecić na zewnątrz?

Największą kontrowersją jest zniknięcie w kwietniowej wersji wyraźnej możliwości zlecania na zewnątrz postępowań następczych (w tym wyjaśniających). Można nadal samodzielnie przyjmować zgłoszenia albo zlecić to na zewnątrz, ale zapis o outsourcingu samych postępowań zniknął.

Samo przyjmowanie zgłoszeń jest proste (to kwestia zaufania), ale prowadzenie postępowań wyjaśniających to największy i najtrudniejszy element, często wymagający specjalistycznej, szerokiej wiedzy. Obecna redakcja przepisu skłania się raczej ku interpretacji, że podmiot zewnętrzny nie może prowadzić tych postępowań – a polska praktyka organów to zwykle wykładnia językowa („jak nie ma napisane, że możesz, to nie możesz”), z nadzieją dopiero w sądach (gdzie na orzeczenie czeka się latami). Prawdopodobnie to również kwestia redakcyjna do poprawienia.

Dla podmiotów leczniczych skutki są zróżnicowane. Duże placówki najpewniej oprą się na zespołach wewnętrznych (z ewentualnym wsparciem zewnętrznym), choć duże jednostki publiczne mogą nie mieć środków na nowe etaty i obowiązki spadną na istniejące osoby (np. inspektora ochrony danych – IOD, doradców prawnych). Dla średnich i prywatnych podmiotów, które chciałyby te czynności outsourcować, brak takiej możliwości może okazać się bardzo problematyczny.

Jeśli chodzi o same kanały: dyrektywa wymaga kanału ustnego (telefonicznego albo osobistego) i pisemnego (papierowego albo elektronicznego). Kanał ustny nie musi oznaczać obowiązkowo telefonu – powinien być możliwy wybór, także spotkania bezpośredniego (kanał telefoniczny nie zapewnia anonimowości). Kanał pisemny również powinien dawać wybór, ale nie może być „skrzynką z dziurką pod kamerą”, bo to przekreśla poufność. Odpowiedzialność za system ponosi podmiot i jego zarząd, dlatego – choć konsultacja regulaminu ze związkami bywa trudna – warto konsultować go ze stroną społeczną lub bezpośrednio z pracownikami.

Jakie sankcje grożą i od kiedy przepisy obowiązują?

Termin wdrożenia procedur dla podmiotów zatrudniających od 50 do 249 osób to nadal 17 grudnia 2023 r., a przepisy karne przewidują kary do 3 lat. W kwietniowej wersji kary generalnie obniżono, a ustawodawca wprowadził kazuistykę (inna kara za jedno, a inna za większą liczbę działań odwetowych).

Paweł powtarza istotny zarzut: nie powinno się karać za „brak papieru” (procedury), bo prowadzi to do kupowania dokumentacji odkładanej na półkę. Dyrektywa nie wymaga posiadania procedury, lecz skutecznego systemu przyjmowania zgłoszeń, prowadzenia postępowań następczych i ochrony sygnalistów. Skuteczniejsza od groźby kary do 3 lat byłaby – jego zdaniem – wysoka kara finansowa za brak systemu lub jego pozorność. Wprowadzono też dwumiesięczne vacatio legis oraz miesięczny okres na wdrożenie procedur przez podmioty, które powinny je mieć już od 17 grudnia poprzedniego roku.

Co powinny zrobić podmioty lecznicze już teraz?

Rekomendacja jest jednoznaczna: nie czekać na uchwalenie ustawy, tylko przygotowywać się już teraz. Napisanie regulaminu to kwestia tygodnia lub dwóch (do trzech z konsultacją związkową), ale realne wdrożenie – szkolenia, kampania informacyjna, zmiana mentalności – zajmuje miesiące, a nawet lata.

Duże szpitale i jednostki w większości już wdrożyły procedury, mimo braku ustawy – i to dobrze, bo później wystarczy dostosować regulamin do przepisów. Gość ostrzega jednak przed pułapką znaną z RODO: samo kupienie dokumentacji i odłożenie jej na półkę daje złudne poczucie bezpieczeństwa, jak „miecz Damoklesa nad szyją”. Chodzi o skuteczny system, a nie o gruby segregator pokrywający się kurzem.

Czy kwietniowy projekt jest faktycznie nowy?

Nie – to nie nowy projekt, lecz kolejna wersja projektu październikowego. Zmiany są ewolucyjne, w kilku czy kilkunastu miejscach, czasem na plus, czasem na minus.

Projekt trafił do Ministerstwa Pracy, stąd spojrzenie bardziej „od strony pracodawcy”, a po licznych uwagach naniesiono zmiany (część uwzględniono, część nie, a miejscami zapewne wycięto za dużo). Gość ocenia wersję kwietniową na „dostateczny” – jest nieco lepsza niż październikowa, kierunek jest dobry, ale nadal nie jest to dobry projekt. Co do terminu uchwalenia rozmówcy są ostrożni: raczej nie przed wakacjami, a szansą – zależnie od sytuacji politycznej – może być jesień.

FAQ

Do kiedy Polska miała wdrożyć przepisy o ochronie sygnalistów? Zgodnie z dyrektywą unijną – do 17 grudnia 2021 r. Termin nie został dotrzymany, a kwietniowy projekt (z 6 kwietnia) to kolejna wersja prac nad ustawą.

Kogo obejmie obowiązek wdrożenia procedur? Podmioty publiczne i prywatne, a ochrona ma dotyczyć „osób wykonujących pracę na rzecz podmiotu” (nie tylko pracowników). W podmiotach leczniczych znaczenie mają m.in. lekarze na kontraktach oraz praktykanci i stażyści.

Czy zgłoszenia anonimowe będą dopuszczalne? Nie jest to jasne – zniknął wcześniejszy przepis pozwalający je przyjmować. Gość odcinka opowiada się za wymogiem co najmniej jednego kanału anonimowego.

Jak długo można przechowywać dane ze zgłoszenia? Projekt skraca okres z 5 lat do 12 miesięcy, bez wyjątków – co koliduje z toczącymi się postępowaniami karnymi oraz roszczeniami cywilnymi.

Czy tajemnica medyczna wyłącza możliwość zgłoszenia? Projekt (art. 5) wyłącza informacje objęte tajemnicą zawodów medycznych i prawniczych, ale przy zawodach medycznych – i osobach takich jak rejestratorki – rodzi to wątpliwości wymagające doprecyzowania.

Czy prowadzenie postępowań można zlecić na zewnątrz? W kwietniowej wersji zniknęła wyraźna możliwość zlecania postępowań następczych na zewnątrz, co może być problematyczne zwłaszcza dla średnich i prywatnych podmiotów leczniczych.

Od kiedy obowiązuje termin dla mniejszych podmiotów? Dla podmiotów zatrudniających od 50 do 249 osób termin to 17 grudnia 2023 r. Wprowadzono też dwumiesięczne vacatio legis i miesięczny okres na wdrożenie procedur.

Co powinny zrobić podmioty lecznicze już teraz? Nie czekać na ustawę, tylko przygotowywać się i realnie wdrażać system (nie tylko kupować dokumentację), bo realne wdrożenie i zmiana mentalności zajmują miesiące lub lata.

Podsumowanie

Kwietniowy projekt ustawy o ochronie sygnalistów nie jest rewolucją, lecz kolejną, ewolucyjnie poprawioną wersją wcześniejszego projektu – z realnymi skutkami dla podmiotów leczniczych, które w coraz większej liczbie będą musiały wdrożyć procedury. Najwięcej wątpliwości budzą zgłoszenia anonimowe, skrócony okres przechowywania danych oraz zniknięcie możliwości zlecania postępowań na zewnątrz. Kierunek zmian oceniany jest jako dobry, ale przepisy wymagają dopracowania, a kluczowa rekomendacja pozostaje niezmienna: przygotować się i realnie wdrożyć skuteczny system, zamiast czekać na ustawę i odkładać dokumentację na półkę.

Całą, szczegółową rozmowę o kwietniowym projekcie ustawy o ochronie sygnalistów i jego wpływie na podmioty lecznicze znajdziesz w 25. odcinku podcastu „Recepta na przepis” – rozmowie Macieja Łokaja z Pawłem Ludwiczakiem.