Obowiązek ustanowienia wewnętrznych kanałów zgłaszania nieprawidłowości oraz wewnętrznych procedur przyjmowania zgłoszeń i podejmowania działań następczych w związku ze zgłoszeniami będą miały zarówno podmioty prawne w sektorze publicznym jak i podmioty prawne w sektorze prywatnym.
Do podmiotów prawnych w sektorze publicznym, które będą miały obowiązek ustanowić wewnętrzne kanały zgłaszania nieprawidłowości oraz wewnętrzne procedury przyjmowania zgłoszeń i podejmowania działań następczych, należą:
a) administracja państwowa,
b) jednostki samorządu terytorialnego, przy czym zgodnie z projektem Dyrektywy obowiązku tego nie będą musiały spełnić gminy poniżej 10 000 mieszkańców (przy czym to jest standard minimum, polski ustawodawca może zdecydować, że wszystkie gminy będą zobowiązane),
c) inne podmioty podlegające prawu publicznemu.
Do podmiotów prawnych w sektorze prywatnym, które będą miały obowiązek ustanowić wewnętrzne kanały zgłaszania nieprawidłowości oraz wewnętrzne procedury przyjmowania zgłoszeń i podejmowania działań następczych, należą:
a) podmioty prawne zatrudniające co najmniej 50 pracowników;
b) podmioty prawne o rocznym obrocie handlowym lub rocznej sumie bilansowej w wysokości co najmniej 10 mln EUR;
c) prywatne podmioty prawne dowolnej wielkości prowadzące działalność w obszarze usług finansowych lub podmioty narażone na ryzyko związane z praniem pieniędzy lub finansowaniem terroryzmu, zgodnie z uregulowaniami zawartymi w aktach Unii.
Polski ustawodawca po dokonaniu odpowiedniej oceny ryzyka, uwzględniającej charakter działalności podmiotów i wynikający z niej poziom ryzyka, może zobowiązać małe prywatne podmioty prawne (małe czyli nie zatrudniające co najmniej 50 pracowników lub o rocznym obrocie handlowym lub rocznej sumie bilansowej w wysokości mniejszej niż 10 mln EUR) nie prowadzące działalność w obszarze usług finansowych lub nie narażone na ryzyko związane z praniem pieniędzy lub finansowaniem terroryzmu, do ustanowienia wewnętrznych kanałów zgłaszania nieprawidłowości i wewnętrznych procedur przyjmowania zgłoszeń.
O każdej takiej decyzji podjętej Polska będzie musiała powiadomić Komisję, podając uzasadnienie i kryteria zastosowane w ocenie ryzyka. Komisja informuje o tej decyzji pozostałe państwa członkowskie.
Zobacz: RODO
Zgodnie z Dyrektywą, to na Polsce (oraz innych państwach członkowskich) będzie ciążył obowiązek zapewnienia, by podmioty prawne w sektorach prywatnym i publicznym ustanowiły wewnętrzne kanały zgłaszania nieprawidłowości oraz wewnętrzne procedury przyjmowania zgłoszeń i podejmowania działań następczych w związku ze zgłoszeniami, po przeprowadzeniu, w stosownych przypadkach, konsultacji z partnerami społecznymi. Można stwierdzić, że obowiązek ten zostanie spełniony m.in. poprzez przyjęcie stosownej ustawy, a potem egzekucję przepisów przez wyznaczony organ państwowy.
Osobiście mam nadzieję, że Polska ustawa implementująca Dyrektywę do polskiego porządku prawnego wejdzie w życie z odpowiednio długim vacatio legis. Niestety, patrząc choćby na sposób wdrożenia RODO, istnieje duże ryzyko powtórki z historii.