Implementace Směrnice o „whistleblowingu“ v ČR
Česká republika, jakožto členský stát Evropské Unie, je povinna do 17. prosince 2021 implementovat do českého právního řádu Směrnici (EU) č. 2019/1937 ze dne 23. října 2019 o ochraně osob, které oznamují porušení práva Unie („Směrnice“). Implementace do českého právního řádu by měla být provedena návrhem zákona o ochraně oznamovatelů, který v současnosti projednává Poslanecká sněmovna jako sněmovní tisk č. 1150. Naposledy se návrhem zákona zabývaly výbory Poslanecké sněmovny po prvním čtení v červenci letošního roku, od té doby však návrh nebyl zatím dále projednáván.
S největší pravděpodobností tak schválení tohoto návrhu bude již úkolem pro nově zvolenou Poslaneckou sněmovnu po nadcházejících říjnových volbách.
Kdo je oznamovatel?
Účelem návrhu zákona je poskytnout ochranu tzv. oznamovatelům, tj. fyzickým osobám, které učiní oznámení o možném protiprávním jednání jiných osob, o kterém se dozví v souvislosti s jejich prací nebo jinou obdobnou činností. Oznamovateli tak budou často zaměstnanci, nicméně ochrana se týká např. i osob samostatně výdělečně činných spolupracujících s určitou právnickou osobou, nebo členů volených orgánů právnické osoby (např. členů představenstva, dozorčí rady).
Ochrana oznamovatele
Oznamovatelé jsou dle návrhu zákona chráněni před tzv. odvetnými opatřeními, kterými mohou být např. rozvázání pracovního poměru nebo snížení mzdy. Osoby, pro něž oznamovatel vykonává práci nebo jinou obdobnou činnost, jsou pak povinny zabránit, aby byli oznamovatelé odvetnému opatření vystaveni. Pokud k neoprávněnému odvetnému opatření vůči oznamovateli přeci jen dojde, má oznamovatel dle návrhu zákona právo na přiměřené zadostiučinění, byla-li mu odvetným opatřením způsobena nemajetková újma.
Na koho se povinnost vztahuje?
Povinnými subjekty jsou zejména:
- všichni zaměstnavatelé s více než 25 zaměstnanci (podle pozměňovacího návrhu č. 8379 s více než 50),
- veřejní zadavatelé (s výjimkou obce s méně než 5 000 obyvateli; to neplatí, jde-li o obec s rozšířenou působností),
- někteří zaměstnavatelé, bez ohledu na počet zaměstnanců, podnikající ve specifickém oboru, jako např. pojišťovny, banky, či určité osoby dle zákona o podnikání na kapitálovém trhu.
Co lze oznámit?
Protiprávním jednáním, o němž může oznamovatel učinit oznámení, je buď:
- jednání, které má znaky trestného činu nebo přestupku, nebo
- jednání porušující právní předpis nebo předpis Evropské Unie upravující určité vymezené oblasti jako např. oblast daně z příjmů právnických osob, zadávání veřejných zakázek, AML předpisy, hospodářské soutěže, ochrany osobních údajů, životního prostředí či ochrany spotřebitele a další taxativně vymezené oblasti.
Podání oznámení o protiprávním jednání se obecně nepovažuje za porušení bankovního tajemství nebo smluvní či zákonné povinnosti mlčenlivosti. Výjimkou jsou ale např. oznámení, jimiž je porušena mlčenlivost advokátů, notářů či soudců, nebo oznámení týkající se informací, jejichž vyzrazení by mohlo ohrozit probíhající trestní řízení.
Způsob podání oznámení
Oznamovatel může podat oznámení dvěma způsoby, a to buď prostřednictvím:
a) vnitřního oznamovacího systému, který má povinnost zřídit povinná osoba, nebo
b) prostřednictvím Ministerstva spravedlnosti.
Pro oznámení podané prostřednictvím vnitřního oznamovacího systému platí, že pokud tzv. příslušná osoba (k příslušné osobě viz dále) vyhodnotí oznámení jako odůvodněné, navrhne subjektu, jehož se oznámení týká, opatření k nápravě. Pokud takový subjekt navrhované opatření nepřijme, je povinen přijmout jiné vhodné opatření. O přijatém opatření pak musí být oznamovatel informován.
Oznámení je možné podat písemně, ústně a na žádost oznamovatele také osobně a povinný subjekt musí podání oznámení všemi těmito povolenými způsoby zajistit. Pro příjem oznámení ústní formou tak budou povinné subjekty muset například zřídit zvláštní telefonní linku. Rovněž bude potřeba stanovit postup, jak bude možné požádat o možnost podání oznámení osobně.
Při podání oznámení ústní formou má příslušná osoba dále povinnost pořídit zvukovou nahrávku nebo přepis ústního oznámení, ale pouze tehdy, pokud s tím oznamovatel vysloví souhlas.
Pokud je oznámení učiněno prostřednictvím Ministerstva spravedlnosti, musí ministerstvo v případě podezření ze spáchání protiprávního jednání neprodleně informovat příslušný orgán veřejné moci.
Oznamovatel má rovněž právo své oznámení zveřejnit (např. na sociálních sítích, na internetových stránkách apod.), pokud bylo podání oznámení výše uvedenými způsoby bezvýsledné, např. pokud nebylo přijato příslušným subjektem vhodné opatření nebo dokonce pokud se oznamovatel domnívá, že protiprávní jednání uvedené v oznámení může vést k bezprostřednímu nebo zjevnému ohrožení vnitřního pořádku a bezpečnosti, života nebo zdraví.
Povinnosti povinného subjektu
Povinným subjektům specifikovaným výše zákon ukládá řadu povinností. Níže uvádíme ty nejdůležitější:
- Vnitřní oznamovací systém
Nejvýznamnější povinností povinných subjektů je zřízení vnitřního oznamovacího systému k přijímání oznámení. V souvislosti s touto povinností musí také povinné subjekty uveřejnit na internetu informaci o způsobech podání oznámení prostřednictvím vnitřního oznamovacího systému i o způsobech podání prostřednictvím ministerstva.
Povinné subjekty mohou vedením vnitřního oznamovacího systému pověřit i třetí osobu, ale stále odpovídají za plnění svých povinností jakožto povinného subjektu. Povinný subjekt musí totiž například zajistit, že se s podanými oznámeními může seznamovat pouze příslušná osoba. V případě pověření třetí osoby vedením vnitřního oznamovacího systému tak musí být zabezpečeno, že třetí osoba nebude mít v rámci vedení vnitřního oznamovacího systému přístup k údajům uvedených v oznámení. Třetí osoba tak bude především zajišťovat pouze technický provoz vnitřního oznamovacího systému.
Některé povinné subjekty (např. zaměstnavatelé s více než 25 zaměstnanci), které v uplynulém kalendářním čtvrtletí zaměstnávali v průměru nejvíce 249 zaměstnanců, mohou využívat jeden sdílený vnitřní oznamovací systém. Podle pozměňovacího návrhu č. 8378 k návrhu zákona by ale tuto možnost měli mít všechny povinné subjekty bez ohledu na počet zaměstnanců, kteří jsou součástí podnikatelského seskupení.
- Určení příslušné osoby
Další významnou povinností je určení tzv. příslušné osoby, která má být zodpovědná za přijímání a posuzování oznámení. Příslušnou osobou může být jen fyzická osoba, která je zletilá, plně svéprávná a bezúhonná. Dle pozměňovacího návrhu č. 8575 by příslušnou osobou mohla být jen osoba, jejíž vzdělání, zkušenosti a morální vlastnosti zaručují, že bude tato osoba práva a povinnosti podle tohoto zákona řádně vykonávat. Návrh zákona předpokládá, že povinný subjekt může jmenovat i více příslušných osob, což může být vhodné pro zajištění nepřetržitého provozu k přijímání oznámení prostřednictvím vnitřního oznamovacího systému.
Příslušná osoba musí při přijímání oznámení dodržovat zákonem předepsaný postup a také lhůty stanovené pro určité úkony. V případě podání oznámení osobně musí příslušná osoba přijmout takové oznámení v přiměřené lhůtě, která nesmí být delší než 30 dnů. Obecně je příslušná osoba povinna vyrozumět oznamovatele o přijetí oznámení do 7 dnů ode dne, kdy oznámení přijala. Do 30 dnů pak musí příslušná osoba posoudit důvodnost oznámení a informovat o tom oznamovatele, přičemž ve složitějších případech lze tuto lhůtu prodloužit o dalších 30 dnů, nejvýše však dvakrát.
Příslušná osoba v případě důvodného oznámení navrhuje povinnému subjektu opatření k nápravě v návaznosti na podané oznámení. Pokud příslušná osoba neshledá oznámení jako důvodné, bez zbytečného odkladu o tom vyrozumí oznamovatele a zároveň ho poučí o právu podat oznámení prostřednictvím ministerstva.
Kromě dalších povinností je příslušná osoba povinna zachovávat mlčenlivost o skutečnostech, o nichž se při výkonu své činnosti dozví, a to i po skončení výkonu činnosti.
Informace o totožnosti příslušné osoby, její e-mail a telefonní číslo musí povinný subjekt uveřejnit na internetu.
- Ochrana informací a totožnosti oznamovatele a evidence oznámení
Jak již bylo zmíněno výše, povinný subjekt musí zajistit, že se s podanými oznámeními může seznamovat pouze příslušná osoba. Dále také platí, že příslušná osoba má povinnost neposkytnout jakékoliv třetí osobě informace, které by mohly zmařit nebo ohrozit účel oznámení, přičemž tuto povinnost má případně i třetí osoba, která neoprávněně získá přístup k oznámení.
Zároveň dle návrhu zákona příslušná osoba může poskytnout jakékoliv třetí osobě informace o totožnosti oznamovatele pouze se souhlasem oznamovatele. Pokud ale má příslušná osoba nebo pověřený zaměstnanec povinnost poskytnout informaci orgánům veřejné moci, jako např. v případě dožádání orgánů činných v trestním řízení, souhlas oznamovatele se nevyžaduje, nicméně oznamovatel o takovém poskytnutí informací o své totožnosti musí být předem informován.
K zajištění ochrany informací a totožnosti oznamovatele je tak potřeba posoudit úroveň zabezpečení komunikačního kanálu, prostřednictvím kterého bude možné podávat oznámení v písemné formě. Rizikovým komunikačním kanálem v tomto ohledu může být například zasílání oznámení prostřednictvím e-mailu, povinné subjekty by ale měly pečlivě zvážit i rizika spojená s využitím cloudových technologií.
Příslušná osoba má dále povinnost vést v elektronické podobě evidenci veškerých oznámení, která musí obsahovat následující taxativně stanovené údaje:
- datum přijetí oznámení,
- jméno, popřípadě jména, příjmení, datum narození a kontaktní adresu oznamovatele, jsou-li tyto údaje příslušné osobě známy,
- shrnutí obsahu oznámení a identifikaci osoby, proti které oznámení směřovalo, je-li příslušné osobě její totožnost známa,
- datum ukončení posouzení důvodnosti oznámení příslušnou osobou nebo posouzení oznámení pověřeným zaměstnancem a jejich výsledek.
Souběh funkce příslušné osoby s jinou funkcí u povinného subjektu
V tuto chvíli není úplně jasné, zdali může funkci příslušné osoby vykonávat osoba, která již plní jinou funkci u povinné osoby. Přitom k zajištění řádné ochrany osobních údajů oznamovatelů by mohlo být praktické, pokud by byl příslušnou osobou jmenován např. pověřenec pro ochranu osobních údajů („DPO“), který již u povinného subjektu působí. Aktuální návrh zákona v tomto smyslu žádná omezení nestanoví. Příslušná osoba má pouze povinnost postupovat při výkonu své činnosti nestranně, tudíž příslušnou osobou by neměla být osoba, u níž hrozí střet zájmů. To ostatně uvádí i recitál č. 56 Směrnice, který ale souběh funkcí připouští a jako příklad osoby, která může vykonávat funkci příslušné osoby, uvádí výslovně „osobu pověřenou ochranou osobních údajů“. Tato možnost se však dle předmětného recitálu Směrnice má týkat jen „menších subjektů“. Co se rozumí pojmem „menší subjekty“ není stanoveno. Právní úprava tak přímo nezakazuje, aby příslušná osoba vedle své činnosti vykonávala pro povinný subjekt další funkci, ale podnikatelé by měli v souladu s výše uvedeným recitálem posoudit s ohledem na svou vnitřní strukturu, zdali bude splněn předpoklad nestrannosti funkce příslušné osoby, pokud tuto funkci bude vykonávat právě např. pověřenec pro ochranu osobních údajů.
Závěr
Přesto, že návrh zákona o ochraně oznamovatelů dosud nebyl Poslaneckou sněmovnou schválen, povinné subjekty by se na plnění povinností, které jim právní úprava ochrany oznamovatelů ukládá, měly začít připravovat. Podle aktuálního znění návrhu zákona jsou povinné subjekty povinny zavést vnitřní oznamovací systém do 31. března 2022. Při přípravě na implementaci ochrany oznamovatelů by přitom měly povinné subjekty zejména náležitě zohlednit požadavky na zajištění utajení totožnosti oznamovatelů a důvěrnosti informací. Zejména tak budou muset pečlivě zvážit vhodné nastavení a výběr vnitřního oznamovacího systému, jakož i výběr vhodné příslušné osoby, aby byly adekvátně zabezpečeny údaje o oznamovatelích a informace tvořící obsah oznámení.
Požadavek důvěrnosti informací a utajení totožnosti oznamovatele rovněž úzce souvisí i s právní úpravou ochrany osobních údajů, kterou bude třeba reflektovat. S ohledem na ochranu oznamovatelů by se měly povinné subjekty rovněž zamyslet, zdali není třeba zrevidovat postupy pro ochranu osobních údajů zaměstnanců a dalších osob, a případně také upravit interní dokumentaci informující zaměstnance o zpracování jejich osobních údajů.
Nové povinnosti pro povinné subjekty související s ochranou oznamovatelů přitom není radno podceňovat. Při jejich nesplnění může být podle aktuálního návrhu uložena povinným subjektům pokuta až 1 000 000 Kč nebo 5 % z čistého obratu za poslední ukončené účetní období. Za nesplnění povinností podle návrhu zákona může být dokonce sankcionována i příslušná osoba, a to pokutou až do výše 100 000 Kč. Na druhé straně je ale postihováno i podání vědomě nepravdivého oznámení, za což může být oznamovateli uložena pokuta do 50 000 Kč.
Michaela Vimpelová
Kryštof Lédl
PIERSTONE s.r.o., advokátní kancelář
Perlová 371/5
110 00 Praha 1
Tel.: +420 224 234 958
© EPRAVO.CZ – Sbírka zákonů, judikatura, právo | www.epravo.cz
