Najkrócej
Ustawa działa w dwóch warstwach. Chroni osobę fizyczną, która zgłasza naruszenie prawa poznane w kontekście pracy (art. 4), niezależnie od formy współpracy. Obowiązek procedury zgłoszeń wewnętrznych ciąży natomiast na podmiotach, zwykle od 50 osób wykonujących pracę, a w wybranych branżach bez względu na liczbę osób. O swojej pozycji rozstrzyga to, czy zgłaszasz naruszenie, czy organizujesz kanał zgłoszeń. Ten serwis informacyjny o ochronie sygnalistów opisuje stan prawny na 9 listopada 2026 r., nie przyjmuje zgłoszeń i nie udziela porad indywidualnych.
- Kto jest chroniony: osoba fizyczna zgłaszająca lub ujawniająca naruszenie prawa poznane w kontekście związanym z pracą (art. 4), niezależnie od formy współpracy.
- Kto jeszcze: osoby pomagające w zgłoszeniu, osoby powiązane z sygnalistą oraz osoby prawne i jednostki z nim związane.
- Kto musi mieć procedurę wewnętrzną: podmioty prywatne i publiczne od 50 osób, a bez progu podmioty z obszaru finansów, AML, bezpieczeństwa transportu i ochrony środowiska; organy publiczne ustalają procedurę zgłoszeń zewnętrznych.
- Wyjątek: gminy i powiaty poniżej 10 000 mieszkańców.
- Granica ochrony: świadomie fałszywe zgłoszenie jest przestępstwem.
Kogo ustawa chroni jako sygnalistę
Decyduje kontekst związany z pracą, a nie wielkość pracodawcy ani rodzaj umowy. Sygnalistą jest osoba fizyczna, która zgłasza albo ujawnia publicznie informację o naruszeniu prawa, jeśli dowiedziała się o nim w związku z wykonywaną lub dawniej wykonywaną pracą. Może to być:
- pracownik, także tymczasowy,
- osoba na umowie cywilnoprawnej,
- przedsiębiorca współpracujący z firmą,
- prokurent, akcjonariusz lub wspólnik, członek organu,
- osoba pracująca pod nadzorem wykonawcy, podwykonawcy lub dostawcy,
- stażysta, wolontariusz i praktykant.
Ochrona obejmuje także służbę, w tym wojskową. Działa też na osoby, które zgłaszają naruszenie przed nawiązaniem stosunku pracy lub innego stosunku prawnego albo po jego ustaniu. Kandydat do pracy i były współpracownik są więc w tym samym kręgu co etatowy pracownik. Ochrona zaczyna się od chwili zgłoszenia lub ujawnienia publicznego, o ile osoba miała uzasadnione podstawy, by sądzić, że informacja jest prawdziwa.
Kto nie może być sygnalistą?
Ochrony nie dostaje osoba, która nie ma związku z pracą, nie miała uzasadnionych podstaw do zgłoszenia albo świadomie zgłosiła nieprawdę. Zgłoszenie świadomie nieprawdziwe zagrożone jest grzywną, ograniczeniem wolności lub pozbawieniem wolności do 2 lat. Ustawa nie przesuwa tej granicy nawet dla kogoś, kto formalnie spełnia kryterium zatrudnienia.
Kto jeszcze korzysta z ochrony
Ochrona nie kończy się na samym sygnaliście. Obejmuje osobę pomagającą w zgłoszeniu, osobę powiązaną z sygnalistą oraz osoby prawne i jednostki, które pomagają sygnaliście albo są z nim powiązane, na przykład podmiot będący jego własnością lub jego pracodawca. Ten ostatni krąg dotyczy firm, nie ludzi.
Zanim ktoś założy, że chroni go ustawa, powinien ustalić, w której roli faktycznie występuje: zgłaszającego, pomocnika czy osoby bliskiej. Od roli zależy, na czym opiera się ochrona.
Kogo obowiązuje procedura zgłoszeń wewnętrznych
Obowiązek dotyczy podmiotów, nie osób: to organizacja ma ustanowić procedurę zgłoszeń wewnętrznych i podejmować działania następcze. Podmiotem prywatnym jest przedsiębiorca będący osobą fizyczną, osoba prawna, jednostka bez osobowości prawnej z ustawową zdolnością prawną lub pracodawca.
| Grupa podmiotów | Warunek | Podstawa |
|---|---|---|
| Podmioty prawne (prywatne i publiczne) | co najmniej 50 osób wykonujących lub świadczących pracę, według stanu na 1 stycznia lub 1 lipca | gov.pl |
| Usługi, produkty i rynki finansowe, bezpieczeństwo transportu, ochrona środowiska (w zakresie aktów UE z części I.B i II załącznika do dyrektywy) | obowiązek bez względu na liczbę osób | gov.pl |
| Instytucje obowiązane w rozumieniu dyrektywy AML 2015/849 | obowiązek bez względu na liczbę osób | dyrektywa 2015/849 |
| Organy publiczne | obowiązek ustanowienia procedury zgłoszeń zewnętrznych | gov.pl |
| Gminy i powiaty poniżej 10 000 mieszkańców | wyłączone z obowiązku | gov.pl |
Instytucje obowiązane to między innymi notariusze, adwokaci, radcowie prawni, doradcy podatkowi, biegli rewidenci i zewnętrzni księgowi. Pełny katalog wynika z dyrektywy i ustawy, dlatego jego zakres sprawdza się w ISAP.
Czy każda firma musi mieć sygnalistę?
Nie, firma musi ustanowić kanał zgłoszeń, a sygnalistą jest każda osoba, która z niego korzysta albo zgłasza naruszenie. Poniżej 50 osób procedura jest dobrowolna, chyba że podmiot należy do branży objętej obowiązkiem bez progu. Mała firma, która takiej procedury nie ma, nie łamie ustawy, ale jej pracownik nie traci przez to ochrony. Może skorzystać ze zgłoszenia zewnętrznego.
Co odróżnia obowiązek od ochrony
Obowiązek jest po stronie organizacji i zależy od jej wielkości lub branży. Ochrona jest po stronie osoby i zależy od kontekstu pracy oraz uzasadnionych podstaw zgłoszenia. Sygnalista jest chroniony bez względu na to, ilu ludzi zatrudnia jego pracodawca.
Pracodawca poniżej progu nie ma obowiązku wdrożyć procedurę zgłoszeń wewnętrznych, a zgłaszający i tak może wybrać kanał zewnętrzny. Nie musi też najpierw zgłaszać wewnętrznie: ustawa daje wybór między kanałem wewnętrznym a zewnętrznym. Zgłoszenia zewnętrzne przyjmuje między innymi Rzecznik Praw Obywatelskich.
Dalsze kroki
Tekst ustawy, jej strukturę i obowiązki podmiotów opisuje osobny materiał o ustawie o ochronie sygnalistów. Podstawą jest ustawa z 14 czerwca 2024 r., Dz.U. 2024 poz. 928, a aktualne brzmienie przepisów sprawdza się w ISAP. Serwis nie jest kanałem zgłoszeń, a w sprawie konkretnego naruszenia należy skontaktować się z właściwą instytucją lub Rzecznikiem Praw Obywatelskich.
