Projekt ustawy o ochronie sygnalistów – co muszą przygotować MŚP w 2025 r.

zespół BazaPrawa | 12 marca 2025

Pracodawczyni odbiera zgłoszenie sygnalisty w biurze

Projekt ustawy o ochronie sygnalistów – co musi wiedzieć biznes w 2025 r.

1. Na jakim etapie są przepisy i kiedy zaczynają działać?

Data	Co się dzieje?	Podstawa
24 czerwca 2024	Ogłoszenie ustawy w Dzienniku Ustaw	([gov.pl][1])
25 września 2024	Wejście w życie przepisów (kanały wewnętrzne, ochrona sygnalistów)	([wolterskluwer][2])
1 stycznia 2025	Ocena progu 50 osób – nowe firmy, które go przekroczą, wchodzą pod ustawę	([infor][3])
1 lipca 2025	Druga w roku kontrola liczby zatrudnionych	([zbroja][4])
25 grudnia 2025	Start zgłoszeń zewnętrznych (RPO i organy sektorowe)	([gov.pl][1])

Najważniejsze: Obowiązek wdrożenia procedury zgłoszeń wewnętrznych dotyczy firm zatrudniających co najmniej 50 osób (w pewnych sektorach – każdej wielkości).

2. Kogo ustawa obejmuje?

Firmy prywatne 50+ pracowników – liczymy wszystkie osoby świadczące pracę (etat, B2B, zlecenie) i przeliczamy na pełne etaty.
Podmioty finansowe, AML i bezpieczeństwo transportu – niezależnie od wielkości.
Podmioty publiczne (urzędy, szkoły, szpitale) – zawsze.
Mikro- i małe firmy (less than 50 osób) – mogą wdrożyć system dobrowolnie; brak obowiązku, lecz pracownik pozostaje chroniony, jeśli zgłosi naruszenie na zewnątrz.

([lex.pl][7])

3. Kluczowe obowiązki pracodawcy

Obszar	Co musi zrobić MŚP?	Minimalny termin
Kanał zgłoszeń wewnętrznych	Zapewnić co najmniej jeden bezpieczny kanał (np. system online lub skrzynka szyfrowana); umożliwić zgłaszanie ustne i pisemne.	Przed 25 września 2024 / przed osiągnięciem progu 50 osób
Procedura + regulamin	Uchwalić (w konsultacji z załogą) regulamin przyjmowania i obsługi zgłoszeń; udostępnić na intranecie lub tablicy.	10 dni od utworzenia kanału
Rejestr zgłoszeń	Prowadzić elektroniczny/chroniony rejestr; przechowywać przez 5 lat; anonimowe identyfikatory zamiast danych osobowych.	Na bieżąco
Terminy reakcji	Potwierdzić przyjęcie zgłoszenia do 7 dni; przekazać informację zwrotną w ciągu 3 miesięcy.	Z chwilą pierwszego zgłoszenia
Ochrona danych	Rozszerzyć klauzulę RODO i wykonać ocenę skutków DPIA.	Przed uruchomieniem kanału
Szkolenia	Przeszkolić osoby obsługujące zgłoszenia z poufności i bezstronności.	Przed objęciem funkcji

4. Sankcje, o których warto pamiętać

Naruszenie	Ryzyko prawne	Źródło
Ujawnienie tożsamości sygnalisty	Grzywna, ograniczenie wolności, pozbawienie wolności do roku	([bieluk][5])
Działania odwetowe (np. wypowiedzenie, mobbing)	Grzywna do ponad milion złotych lub kara pozbawienia wolności do 2 lat	([bieluk][5])
Brak procedury w firmie 50+	Wykroczenie – grzywna do 5 000 zł	([hrlaw][6])
Fałszywe zgłoszenie w złej wierze	Grzywna, ograniczenie wolności lub pozbawienie wolności do 2 lat	([hrlaw][6])

5. Check-lista dla MŚP na 2025 r.

Sprawdź próg zatrudnienia na 1 stycznia i 1 lipca – jeśli zbliżasz się do 50, zacznij projekt już dziś.
Wybierz kanał techniczny – prosty formularz szyfrowany (open-source) lub komercyjna platforma; ważne, by dostęp miały wyłącznie osoby upoważnione.
Przygotuj regulamin (zgodny z art. 27 ustawy) i skonsultuj go z pracownikami; przechowuj dowody konsultacji.
Wyznacz zespół bezstronny – co najmniej dwie osoby; mogą być outsourcing compliance lub kancelaria.
Ustal procedurę feedbacku – szablony potwierdzeń i informacji zwrotnej; trzymaj się 7 dni / 3 miesiące.
Dokumentuj zgłoszenia – numer referencyjny, data, opis działań następczych; bez danych sygnalisty.
Połącz z RODO – zaktualizuj rejestr czynności i klauzule informacyjne; rozważ DPIA.
Ubezpieczenie OC kadry – sprawdź, czy polisa obejmuje działania odwetowe i błędy w procesie whistleblowing.
Komunikacja w firmie – kampania informacyjna, plakaty, FAQ; buduje zaufanie i zmniejsza ryzyko zgłoszeń zewnętrznych.
Monitoruj interpretacje RPO – pierwsze wytyczne spodziewane w IV kw. 2025.

6. FAQ

Pytanie	Krótka odpowiedź
Czy próg 50 osób liczy się na podstawie umów o pracę?	Nie. Wliczamy wszystkich, którzy świadczą pracę za wynagrodzeniem, nawet na B2B, i przeliczamy na pełne etaty ([lex.pl][7]).
Czy mogę obsłużyć zgłoszenia w Excelu?	Tak, jeśli plik jest zaszyfrowany, a dostęp mają tylko osoby upoważnione; trzeba jednak spełnić wymogi RODO (integrity, confidentiality).
Czy pracownik może zgłosić nieprawidłowość anonimowo?	Ustawa tego nie wymaga, ale nie zakazuje. Kanał anonimowy obniża ryzyko ujawnienia danych.
Ile czasu mam na odpowiedź sygnaliście?	Najpierw potwierdzenie w 7 dni, potem informacja o działaniach następczych w 3 miesiące od zgłoszenia.
Co grozi za opóźnienie?	Samo opóźnienie nie jest penalizowane, ale zwiększa ryzyko zgłoszenia zewnętrznego i postępowania RPO, które może zakończyć się grzywną.

Podsumowanie

Rok 2025 to ostatni moment, aby MŚP przygotowały skuteczny, zgodny z ustawą system ochrony sygnalistów. Kluczowe jest:

przekroczenie progu 50 osób – automatyczne wejście pod ustawę,
zaprojektowanie poufnego kanału i jasnej procedury,
szkolenie zespołu oraz połączenie procesu whistleblowing z RODO.

Dobrze wdrożony system redukuje ryzyko reputacyjne i kosztowne sankcje, a także wzmacnia kulturę organizacyjną opartą na zaufaniu.