Czasu na wdrożenie nie jest dużo, a zmiany w uchwalonej ustawie sprawiły, że obowiązek wdrożenia systemu obsługi sygnalistów obejmie zdecydowanie większą liczbę podmiotów leczniczych niż pierwotnie się wydawało. Jak dużą? Między innymi o tym rozmawiam z dzisiejszym gościem, którym jest Agata Michalak, radca prawny w dziale prawnym Gardens Tax & Legal.
Z odcinka dowiesz się między innymi:
-> Które podmioty lecznicze będą miały obowiązek wdrożenia systemu obsługi sygnalistów?
-> Co trzeba zrobić aby wdrożyć system?
-> Ile czasu mają placówki medyczne na przygotowanie się do nowych obowiązków?
Ustawa o ochronie sygnalistów obejmie każdy podmiot, na rzecz którego pracę zarobkową wykonuje co najmniej 50 osób – a do tego progu wlicza się nie tylko pracowników w przeliczeniu na pełne etaty, ale też osoby na umowach zlecenia i kontraktach B2B. Dla placówek medycznych to zmiana kluczowa, bo znacząco poszerza krąg podmiotów zobowiązanych do wdrożenia systemu zgłoszeń wewnętrznych. Wdrożenie obejmuje m.in. procedurę zgłoszeń przyjmowaną po konsultacjach trwających od 5 do 10 dni, rejestr zgłoszeń z trzyletnim okresem przechowywania danych oraz aktualizację dokumentacji RODO. Odcinek nagrywaliśmy po podpisaniu ustawy przez Prezydenta, ale przed jej ogłoszeniem w Dzienniku Ustaw – ustawa wchodzi w życie po upływie trzech miesięcy od dnia ogłoszenia.
Najważniejsze wnioski
- Próg 50 osób weryfikuje się dwa razy do roku – na dzień 1 stycznia i 1 lipca danego roku.
- Do progu wlicza się osoby na umowach cywilnoprawnych (zlecenia, kontrakty B2B), co w placówkach małych i średnich z szeroką kadrą medyczną na kontraktach często przesądza o objęciu obowiązkiem.
- Prawo pracy nie znalazło się w katalogu obszarów objętych ustawą – w tym zakresie pozostaje odwołanie do przepisów Kodeksu pracy. Pracodawca może jednak dobrowolnie objąć systemem regulacje wewnętrzne, np. politykę antymobbingową.
- Ustawy nie stosuje się do informacji objętych tajemnicą zawodową zawodów medycznych – wymieniono farmaceutę, fizjoterapeutę, lekarza i lekarza dentystę, pielęgniarkę i położną.
- Procedura zgłoszeń wewnętrznych wchodzi w życie po upływie 7 dni od dnia podania jej do wiadomości w sposób przyjęty w danym podmiocie.
- Ustawa nie przewiduje administracyjnych kar pieniężnych, ale przewiduje odpowiedzialność karną, w tym karę grzywny – a równolegle obowiązują inne przepisy, choćby RODO.
Kogo obejmie ustawa o ochronie sygnalistów?
Ustawa będzie miała zastosowanie do podmiotu, na rzecz którego wykonuje pracę zarobkową co najmniej 50 osób. Liczbę tę trzeba będzie sprawdzać dwa razy do roku – na dzień 1 stycznia i na dzień 1 lipca danego roku.
Kluczowa jest jednak metoda liczenia. Do progu 50 osób wliczamy pracowników w przeliczeniu na pełne etaty, ale również osoby świadczące pracę za wynagrodzeniem na innej podstawie niż stosunek pracy – a więc umowy zlecenia i kontrakty B2B.
Warto się tu cofnąć historycznie. Wersji projektu było bardzo dużo i do pewnego momentu ustawa obejmowała tylko pracowników. To się znacząco zmieniło i dla branży medycznej ma znaczenie zasadnicze.
W dużych placówkach powyżej 50 etatów to standard. Ale w placówkach małych i średnich pracowników etatowych – liczonych w przeliczeniu na pełne etaty – może być mniej niż 50, a jednocześnie funkcjonuje tam szeroka kadra medyczna zatrudniona na umowach cywilnoprawnych. Tę kadrę również wliczamy. W ten sposób katalog placówek objętych obowiązkiem wdrożenia systemu zgłoszeń gwałtownie się poszerza.
Jakie obszary naruszeń mają znaczenie dla placówek medycznych?
Katalog naruszeń prawa z art. 3 ustawy jest rozbudowany, ale dla placówki medycznej najważniejsze będą: korupcja, zamówienia publiczne, ochrona środowiska, zdrowie publiczne, ochrona konsumentów, ochrona prywatności i danych osobowych, bezpieczeństwo sieci i systemów teleinformatycznych oraz konstytucyjne wolności i prawa człowieka i obywatela (na przykład wolność słowa czy prawo własności).
Kilka z tych obszarów warto opatrzyć gwiazdką, bo na pierwszy rzut oka mogą wydawać się odległe od medycyny:
- Ochrona środowiska – odpady medyczne. Rzecz niezwykle istotna.
- Ochrona konsumentów – to bywa zaskoczeniem, ale pamiętajmy o jednej podstawowej rzeczy: każdy pacjent jest konsumentem, a więc w grę wchodzą też uprawnienia konsumenckie.
- Bezpieczeństwo sieci i systemów teleinformatycznych – istotne choćby w kontekście systemów, w których przetwarzane są dane medyczne. To bardzo naturalnie łączy się z ochroną prywatności i danych osobowych.
Dlaczego brak prawa pracy w katalogu jest problemem?
Prawo pracy nie zostało objęte ustawą o ochronie sygnalistów – w tym zakresie trzeba będzie odwołać się po prostu do przepisów Kodeksu pracy.
W odcinku pada wobec tej zmiany ocena krytyczna: to bardzo duży błąd, a argumentacja przemawiająca za wyłączeniem tego obszaru – zarówno ze strony Senatu, jak i różnych instytucji – jest nietrafiona i świadczy o niezrozumieniu samej idei sygnalistów.
Jest jednak pewien „ratunek” w cudzysłowie. Art. 3 ma oprócz ustępu pierwszego również ustęp drugi, a w nim furtkę – opartą jednak na dobrowolności działania pracodawcy.
Na tej podstawie można ująć w systemie zgłoszeń regulacje wewnętrzne: regulamin wynagradzania, regulamin pracy, procedurę czy politykę antymobbingową albo antydyskryminacyjną – i tym sposobem objąć systemem część problemów z zakresu prawa pracy.
Kluczowe słowo brzmi jednak: można, a nie trzeba. Wcześniejsze brzmienie przepisów gwarantowało, że te obszary były objęte ochroną sygnalistów z mocy prawa. Teraz decyzję będzie podejmował indywidualnie każdy pracodawca – i będzie to miało znaczenie przy kształtowaniu systemu.
Kto może być sygnalistą?
Sygnalistą jest osoba fizyczna, która zgłasza informację o naruszeniu uzyskaną w kontekście związanym z pracą. Ustawa wylicza tu:
- pracownika i pracownika tymczasowego,
- osobę świadczącą pracę na podstawie umowy cywilnoprawnej,
- przedsiębiorcę, prokurenta, akcjonariusza lub wspólnika,
- członka organu osoby prawnej lub jednostki organizacyjnej nieposiadającej osobowości prawnej,
- osobę świadczącą pracę pod nadzorem i kierownictwem wykonawcy, podwykonawcy lub dostawcy,
- stażystę, wolontariusza, praktykanta.
Co najważniejsze, sygnalistą będzie również osoba zgłaszająca lub ujawniająca informację o naruszeniu prawa przed nawiązaniem stosunku pracy lub innego stosunku prawnego, a także już po jego ustaniu.
Jakie ma to przełożenie praktyczne?
Dwa konkretne skutki, o których warto pomyśleć od razu.
Po pierwsze, na etapie rekrutacji lub negocjacji poprzedzających zawarcie umowy pracodawca będzie zobowiązany przedstawić kandydatowi procedurę – czyli poinformować, że system zgłoszeń istnieje i że jeżeli coś nie będzie tak, jak być powinno, kandydat ma prawo dokonać zgłoszenia.
Po drugie, skoro wśród potencjalnych sygnalistów mamy przedsiębiorców, kontrahentów i pracowników kontrahentów, konieczne będzie wprowadzenie zmian w treści umów – wskazanie ścieżki zgłoszeń wewnętrznych. Ma to również istotne znaczenie w kontekście zawieranych umów o zachowaniu poufności (NDA).
Czego ustawa nie obejmie w branży medycznej?
Zgodnie z art. 5 ustawy nie stosuje się jej do informacji objętych tajemnicą zawodową zawodów medycznych. Wymienione zawody to farmaceuta, fizjoterapeuta, lekarz i lekarz dentysta, pielęgniarka i położna.
Do tego dochodzi nowa ustawa o zawodach medycznych, na mocy której zawodów medycznych pojawiło się zdecydowanie więcej – katalog robi się więc dosyć szeroki.
Sam zapis budzi jednak wątpliwości. Ustawa mówi o „tajemnicy zawodowej zawodów medycznych”, podczas gdy dyrektywa posługuje się pojęciem „tajemnicy medycznej”. A tajemnica medyczna – jak wynika z preambuły do dyrektywy – obejmuje nie tylko tajemnicę zawodów medycznych, ale również kwestie dokumentacji medycznej i ochrony tajemnicy dokumentacji medycznej.
Przepis w ustawie jest w tym zakresie mało precyzyjny i nie został zmieniony. Owszem, tajemnica dokumentacji medycznej wynika z innych przepisów – ale powinna była znaleźć się tutaj w sposób wyraźny. Zostaje znak zapytania.
Jakie są rodzaje zgłoszeń?
Ustawa reguluje trzy rodzaje zgłoszeń: wewnętrzne (wewnątrz organizacji), zewnętrzne oraz ujawnienie publiczne.
W przypadku zgłoszeń zewnętrznych podmiotem, do którego są one kierowane, jest przede wszystkim Rzecznik Praw Obywatelskich (RPO), ale również inne organy publiczne.
Z punktu widzenia placówki medycznej najistotniejsze są zgłoszenia wewnętrzne – czyli to, co dzieje się już wewnątrz konkretnej organizacji.
Jak placówka medyczna powinna wdrożyć system zgłoszeń?
Wdrożenie warto podzielić na dwie części: prawną (to, co wynika z przepisów) i pozaprawną (zmiana sposobu myślenia w organizacji). Ta druga potrwa zdecydowanie dłużej.
Część prawna – krok po kroku
1. Rozpoznanie sytuacji w organizacji. Chodzi o to, żeby pracownicy mogli jak najbardziej efektywnie korzystać z przygotowanego systemu zgłaszania naruszeń.
2. Ustalenie formy zgłoszeń. Mamy tu możliwość wyboru:
- ustnie – telefonicznie, twarzą w twarz (sygnalista może zawnioskować o takie spotkanie), również w formie zwykłej rozmowy,
- pisemnie – listownie albo środkami komunikacji elektronicznej.
3. Konsultacje wewnętrzne. Procedurę wdraża się po konsultacjach. Jeżeli w placówce nie ma zakładowej organizacji związkowej, konsultacje przeprowadza się z przedstawicielami osób świadczących pracę na rzecz placówki. Konsultacje powinny trwać nie krócej niż 5 dni i nie dłużej niż 10 dni od przedstawienia projektu procedury. Procedurę trzeba więc przygotować odpowiednio wcześnie, żeby ten minimalny czas mógł upłynąć.
4. Wejście procedury w życie. Procedura wchodzi w życie po upływie 7 dni od dnia podania jej do wiadomości w sposób przyjęty w danym podmiocie prawnym – czyli po prostu po zakomunikowaniu jej pracownikom, współpracownikom i wszystkim osobom w ten czy inny sposób u nas zatrudnionym.
5. Przedstawianie procedury przy rekrutacji. Po wdrożeniu procedurę trzeba przedstawić drugiej stronie wraz z rozpoczęciem rekrutacji lub negocjacji poprzedzających zawarcie umowy.
6. Rejestr zgłoszeń. Powinien zawierać m.in. opis zgłoszenia, które do nas trafiło, a przede wszystkim informacje o podjętych działaniach następczych. Dane w rejestrze co do zasady przechowuje się przez trzy lata.
7. Zmiany w dokumentacji. Konieczne będą zmiany w regulaminie pracy, ale także w dokumentacji RODO – wprowadzamy nowe podmioty, których dane przetwarzamy, więc aktualizacja jest nieunikniona. W praktyce dotyczy to rejestru czynności i analizy ryzyka. W ramach zgłoszeń przetwarzamy dane osobowe i obowiązują nas określone zasady poufności.
8. Decyzja, kto będzie przyjmował i obsługiwał zgłoszenia. Możliwości są dwie: pracownicy już zatrudnieni w placówce (prawdopodobnie spadnie to na szeroko rozumiane działy HR i kadr) albo podmiot zewnętrzny, z którym zostanie podpisana odpowiednia umowa. Ustawodawca wprost przewidział furtkę pozwalającą delegować prowadzenie etapu pozgłoszeniowego.
Warto też pamiętać, że na rynku dostępne są już kompleksowe rozwiązania informatyczne obsługujące zgłoszenia. Placówki nie mają obowiązku z nich korzystać, ale mogą to rozważyć.
Część pozaprawna – zmiana sposobu myślenia
To etap dłuższy i trudniejszy: uświadamianie zarówno pracowników, jak i pracodawców. Nie oszukujmy się – sygnalista póki co nie kojarzy się pozytywnie i można spodziewać się oporu oraz dystansu do samego tematu.
Tymczasem placówkom medycznym powinno zależeć na pozyskiwaniu informacji od sygnalistów. Osoby pracujące dla placówki i będące z nią w relacjach biznesowych w zasadzie jako pierwsze dowiadują się o zagrożeniach czy ewentualnych naruszeniach – a najlepiej zwalczyć problem w zarodku. Wiedza o lukach w organizacji może stanowić asumpt do wprowadzenia pozytywnych zmian, a w konsekwencji prowadzić do poprawy reputacji i wizerunku placówki.
Narzędzia? Szkolenia i różnego rodzaju spotkania uświadamiające. To będzie cały proces i potrwa długo, bo to zmiana sposobu myślenia po obu stronach.
U podstaw leży zaufanie: pracownik musi wiedzieć, że może pójść do pracodawcy – pod imieniem i nazwiskiem albo anonimowo, bo ustawa pozwala na zgłoszenia anonimowe – i że pracodawca faktycznie się sprawą zajmie.
Czy sygnalista musi działać w dobrej wierze?
Tak. Sygnaliści powinni działać w dobrej wierze, a ich celem powinien być interes publiczny – interes danego podmiotu prawa. W przeciwnym razie tak naprawdę nie są sygnalistami i ustawa ich nie chroni.
Wymóg działania w ochronie szeroko pojętego dobra społecznego stanowi niezbędne zabezpieczenie przed zgłoszeniami w złej wierze, zgłoszeniami niepoważnymi czy stanowiącymi nadużycie. Najprościej ująć to tak, że sygnalista powinien działać dla dobra ogółu.
Czy system wewnętrzny wyłącza zgłoszenia do organów publicznych?
Nie. Istnienie wewnętrznego systemu zgłoszeń w placówce medycznej nie ma żadnego negatywnego wpływu na możliwość zgłaszania nieprawidłowości do organów publicznych. Jedno drugiego nie wyłącza.
Przykład: jeżeli pracownik dostrzeże, że nieprawidłowo działa określony system informatyczny, co powoduje zagrożenie np. wyciekiem danych medycznych pacjentów, może zgłosić to zarówno swojemu pracodawcy, jak i bezpośrednio do Urzędu Ochrony Danych Osobowych (UODO). Ma do tego prawo.
Z perspektywy pracodawcy lepiej oczywiście, żeby w pierwszej kolejności trafił z tym do niego. Zresztą i tak, jeżeli do naruszenia doszło, pracodawca na podstawie innych przepisów będzie miał obowiązek zgłoszenia.
Czym są działania odwetowe i co grozi za ich stosowanie?
Obawa przed działaniami odwetowymi jest dziś główną przyczyną rezygnacji sygnalistów ze zgłaszania zastrzeżeń czy podejrzeń – i to właśnie ustawa ma uregulować.
Do działań odwetowych zalicza się m.in. odmowę nawiązania stosunku pracy, wypowiedzenie lub rozwiązanie umowy o pracę, pominięcie przy premiowaniu oraz brak awansu.
Sygnalista, wobec którego dopuszczono się takich działań, ma prawo do odszkodowania lub do zadośćuczynienia.
Bardzo istotne jest przy tym rozłożenie ciężaru dowodu: to na pracodawcy będzie spoczywał ciężar wykazania, że podjęte wobec sygnalisty działanie nie jest działaniem odwetowym.
Jaka odpowiedzialność grozi za naruszenie przepisów?
W ustawie o ochronie sygnalistów nie ma odpowiedzialności o charakterze pieniężnym uregulowanej na wzór kar administracyjnych – jest natomiast odpowiedzialność karna, w tym odpowiedzialność polegająca na nałożeniu kary grzywny. Finansowe konsekwencje mogą się więc pojawić, ale w innym trybie.
To rozróżnienie warto zapamiętać, bo przy RODO przyzwyczailiśmy się do administracyjnych kar pieniężnych. Tu mechanizm jest inny.
I rzecz kluczowa: naruszenie przepisów tej ustawy może narazić pracodawcę na odpowiedzialność karną, ale w żaden sposób nie wyłącza innych obowiązujących przepisów – choćby RODO i konsekwencji finansowych na tle ochrony danych osobowych. Te przepisy obowiązują równolegle, a wyeliminowanie ryzyka osiągniemy właśnie dzięki wcześniejszym zgłoszeniom.
Jest też druga strona tej odpowiedzialności. Osoba, która poniosła szkodę dlatego, że ktoś świadomie zgłosił nieprawdziwe informacje, ma prawo do odszkodowania lub zadośćuczynienia za naruszenie dóbr osobistych od tej osoby. To odpowiedzialność „sygnalisty w złej wierze” – czyli, ściśle rzecz biorąc, kogoś, kto sygnalistą w rozumieniu ustawy nie jest.
Ile czasu mają placówki medyczne na wdrożenie?
Odpowiedź jest prosta: wcale nie tak dużo. Ustawa wchodzi w życie po upływie trzech miesięcy od dnia ogłoszenia w Dzienniku Ustaw.
Odcinek nagrywaliśmy już po podpisaniu ustawy przez Prezydenta, ale jeszcze przed ogłoszeniem – stąd ostrożna prognoza, że wejście w życie przepisów przypadnie na przełom września i października. Czasu na przygotowanie i wdrożenie nie ma zatem dużo, mimo okresu wakacyjnego.
FAQ
Czy każda placówka medyczna musi wdrożyć system zgłoszeń dla sygnalistów? Nie. Obowiązek dotyczy podmiotów, na rzecz których pracę zarobkową wykonuje co najmniej 50 osób. Liczbę tę sprawdza się na dzień 1 stycznia i 1 lipca danego roku.
Czy lekarze na kontraktach wliczają się do progu 50 osób? Tak. Do progu wlicza się pracowników w przeliczeniu na pełne etaty oraz osoby świadczące pracę za wynagrodzeniem na innej podstawie niż stosunek pracy – w tym umowy zlecenia i kontrakty B2B.
Czy zgłoszenia mogą być anonimowe? Tak, ustawa pozwala na zgłoszenia anonimowe.
Czy naruszenia z zakresu prawa pracy można zgłaszać jako sygnalista? Prawo pracy nie zostało objęte katalogiem ustawowym – w tym zakresie stosuje się przepisy Kodeksu pracy. Pracodawca może jednak dobrowolnie objąć swoim systemem regulacje wewnętrzne, takie jak regulamin pracy, regulamin wynagradzania czy polityka antymobbingowa i antydyskryminacyjna.
Ile trwają konsultacje procedury zgłoszeń wewnętrznych? Nie krócej niż 5 dni i nie dłużej niż 10 dni od przedstawienia projektu procedury. Sama procedura wchodzi w życie po upływie 7 dni od dnia podania jej do wiadomości.
Jak długo trzeba przechowywać dane z rejestru zgłoszeń? Co do zasady przez trzy lata.
Czy obsługę zgłoszeń można powierzyć firmie zewnętrznej? Tak. Ustawodawca wprost przewidział możliwość delegowania prowadzenia etapu pozgłoszeniowego podmiotowi zewnętrznemu na podstawie odpowiedniej umowy.
Czy za brak wdrożenia grożą kary pieniężne jak przy RODO? Ustawa nie przewiduje kar pieniężnych na wzór administracyjnych kar z RODO, ale przewiduje odpowiedzialność karną, w tym karę grzywny. Równolegle obowiązują też inne przepisy, w tym RODO.
Podsumowanie
Ustawa o ochronie sygnalistów obejmie znacznie więcej placówek medycznych, niż mogłoby się wydawać na pierwszy rzut oka – przesądza o tym sposób liczenia progu 50 osób, do którego wliczamy również kadrę na umowach cywilnoprawnych. Sama część prawna wdrożenia jest wykonalna: procedura, konsultacje, rejestr zgłoszeń, aktualizacja dokumentacji RODO i decyzja, kto zgłoszenia obsłuży. Trudniejsza i dłuższa będzie część druga, czyli zbudowanie w organizacji przekonania, że zgłoszenie problemu to nie donos, tylko szansa na naprawienie czegoś, zanim zrobi się z tego realne naruszenie.
Terminy są napięte, a wdrożenie wymaga zaplanowania z wyprzedzeniem – choćby ze względu na obowiązkowy czas konsultacji. Całości warto posłuchać w 62. odcinku podcastu „Recepta na przepis”.
Materiał ma charakter informacyjny i nie stanowi porady prawnej.