Obowiązki podmiotów prawnych w zakresie wdrażania procedury zgłoszeń wewnętrznych – analiza polskiej legislacji i praktyki wskutek implementacji Dyrektywy Parlamentu Europejskiego i Rady (UE) 2019/1937 z 23.10.2019 r. w sprawie ochrony osób zgłaszających naruszenia prawa Unii

Praca poświęcona jest obowiązkom podmiotów prawnych w zakresie wdrażania procedury zgłoszeń wewnętrznych, wynikającym z implementacji do polskiego porządku prawnego Dyrektywy Parlamentu Europejskiego i Rady (UE) 2019/1937 z 23.10.2019 r. w sprawie ochrony osób zgłaszających naruszenia prawa Unii. Jej głównym celem jest zbadanie, w jaki sposób przyjęte przez polskiego ustawodawcę rozwiązania legislacyjne determinują obowiązki, do których dostosować muszą się podmioty prawne, w szczególności podmioty z sektora prywatnego, a także analiza sposobu, w jaki polski ustawodawca skorzystał z marginesu swobody implementacyjnej pozostawionego mu przez prawodawcę unijnego przy kształtowaniu niektórych rozwiązań. Niniejsza praca podzielona jest na pięć rozdziałów merytorycznych: pierwszy z nich omawia pojęcie sygnalisty, warunki objęcia go ochroną oraz katalog zakazanych wobec sygnalisty działań odwetowych, drugi koncentruje się na samym obowiązku ustanowienia procedury zgłoszeń wewnętrznych – w tym na kryterium liczby zatrudnionych, sytuacji grup kapitałowych i jednostek samorządu terytorialnego oraz wyłączeniach dotyczących sektora finansowego – a trzeci analizuje obligatoryjne i fakultatywne elementy samej procedury, w tym sposób przyjmowania zgłoszeń oraz system zachęt do korzystania ze zgłoszeń wewnętrznych. Czwarty rozdział poświęcony jest obowiązkowi prowadzenia rejestru zgłoszeń wewnętrznych i granicom przetwarzania danych osobowych sygnalisty, natomiast piąty i ostatni rozdział analizuje system sankcji karnych przewidzianych zarówno wobec sprawców działań odwetowych, jak i wobec sygnalistów nadużywających przyznanej im ochrony. Analiza ta pozwala na całościową ocenę funkcjonowania procedury zgłoszeń wewnętrznych w polskiej praktyce w świetle wymogów wynikających z implementowanej dyrektywy.

The thesis examines the obligations of legal entities regarding the implementation of internal reporting procedures, arising from the transposition into Polish law of Directive (EU) 2019/1937 of the European Parliament and of the Council of 23 October 2019 on the protection of persons who report breaches of Union law. Its main objective is to analyse how the legislative solutions adopted by the Polish legislator shape the obligations that legal entities — in particular those from the private sector — must comply with, as well as to assess how the Polish legislator exercised the margin of discretion left by the EU legislator when shaping certain solutions. The thesis is divided into five substantive chapters. The first discusses the concept of a reporting person, the conditions for granting protection, and the prohibition of retaliation, including the catalogue of prohibited retaliatory measures. The second focuses on the obligation to establish internal reporting channels, addressing the employee-headcount threshold, the situation of corporate groups and local government units, and the exemptions applicable to the financial sector. The third analyses the mandatory and optional elements of the internal reporting procedure itself, including the methods of receiving reports and the system of incentives for using internal reporting channels. The fourth chapter is devoted to the obligation to maintain a register of internal reports and the limits on the processing of reporting persons' personal data, while the fifth and final chapter analyses the system of criminal sanctions provided for both perpetrators of retaliatory actions and reporting persons who abuse the protection granted to them. This analysis allows for a comprehensive assessment of the functioning of the internal reporting procedure in Polish practice in light of the requirements stemming from the implemented Directive.