Оновлення
Ми досі не знаємо остаточного формулювання Закону про захист осіб, які повідомляють про порушення закону (так званого Закону про захист викривачів), але враховуючи наближення термінів виконання зобов’язань, покладених на значну групу суб’єктів приватного та державного секторів, роботу над розробкою ефективної системи викриття порушень в організації слід розпочати якомога швидше.
На які установи поширюються ці правила?
Зрештою, правила захисту так званих викривачів застосовуватимуться до суб'єктів як державного, так і приватного секторів.
Внутрішні правила щодо викривачів повинні бути впроваджені:
- державні установи та органи місцевого самоврядування, що мають понад 50 працівників
- приватні організації, які мають понад 250 працівників, до 17 грудня 2021 року.
- приватні організації, що мають від 50 до 250 працівників, до 17 грудня 2023 року.
- Приватні організації, які мають менше 50 працівників, можуть встановити внутрішню процедуру звітності.
Зобов'язання створити канали повідомлення
Директива Європейського Парламенту та Ради про захист осіб, які повідомляють про порушення законодавства ЄС, вимагає, серед іншого, від зобов’язаних суб’єктів створення каналів повідомлення. Ці канали повинні забезпечувати, щоб уповноважені особи могли повідомляти інформацію про порушення законодавства.
Регламенти ЄС не визначають типи каналів звітності або пов’язані з ними вимоги. В останньому проекті польського закону від 6 квітня 2022 року зазначено, що внутрішнє звітування може здійснюватися усно, на папері або в електронному вигляді. Тому організація зобов’язана створити принаймні один із цих каналів.
Усні виступи
Найсуворішим типом каналів у чинному законопроекті є усні заяви.
До першої групи належать повідомлення, зроблені телефоном або іншими системами голосового зв'язку за згодою сторони, що повідомляє, які мають бути задокументовані у вигляді відновлюваного запису розмови або повної та точної стенограми розмови. Однак, якщо використовується незаписана телефонна лінія або інша система голосового зв'язку без запису, необхідно підготувати стенограму розмови. В обох випадках сторона, що повідомляє, повинна мати можливість переглянути, виправити та затвердити стенограму або розшифровку, підписавши її.
Друга група – це особисті повідомлення. На прохання сторони, що повідомляє, це може бути зроблено шляхом особистої зустрічі, організованої протягом семи днів з моменту отримання запиту. У такому випадку, за згодою сторони, що повідомляє, повідомлення документується у формі запису розмови, який можна відновити, або детальної стенограми зустрічі. У цьому випадку сторона, що повідомляє, повинна мати можливість переглянути, виправити та затвердити стенограму або протокол, підписавши його.
Письмові та електронні подання
Інші типи каналів повідомлення, передбачені законодавчим органом, включають письмові та електронні канали. Для цих каналів не встановлено жодних конкретних зобов’язань чи вимог.
На практиці найпоширенішими каналами з цих груп є поштові звіти, паперові звіти на призначену поштову скриньку в організації, виділена електронна адреса, опитування, доступні як частина популярних офісних послуг або спеціальне програмне забезпечення (яких на ринку з'являється все більше).
Під час розробки процедур та вибору методу звітності важливо враховувати усунення фінансових, репутаційних та юридичних ризиків. Також важливо враховувати, чи дозволяє канал двосторонній, зашифрований та повністю конфіденційний зв'язок з викривачем.
Які канали обрати?
Важливо пам’ятати, що кожного разу, коли вибирається канал або канали повідомлення, слід проводити ретельний аналіз. Головна мета — захистити конфіденційність викривача, правопорушника та інших осіб, які можуть бути причетні (наприклад, свідків).
Кожен канал генерує різні ризики, які можуть призвести до порушення конфіденційності особистих даних. Нижче наведено кілька прикладів.
- Письмові звіти – моніторинг кімнати, де розташована скринька для звітів.
- Повідомлення листом – ненадання на конверті відповідної анотації, що призвело до ознайомлення з кореспонденцією сторонніми особами.
- Звіти про електронну пошту – злом поштової скриньки/додатку (недостатній рівень безпеки, включаючи відсутність двофакторного входу) або відсутність контролю над надісланими та отриманими повідомленнями (можливість видалення із сервера).
- Звіти через застосунок – відсутність належних заходів безпеки (наприклад, незашифрованих каналів), відсутність належної підзвітності за діяльність програми або контролю доступу.
Крім того, слід враховувати потенційну ефективність створеної системи викриття неправомірних дій. У виробничій компанії підійдуть різні канали, ніж у консалтинговій компанії. Також можуть бути організації, де підійде кілька каналів повідомлення, залежно від відділу, підрозділу та персоналу.
Ця стаття призначена лише для ознайомлення та не є юридичною консультацією.
Правовий статус станом на 20 вересня 2023 року.
автор:
