TFL Vsebine / TFLGlasnik

1. Uvod

Zakon o zaščiti prijaviteljev (ZZPri)¹ oziroma »žvižgačev« bo v slovenski pravni red prenesel Direktivo o zaščiti oseb, ki prijavijo kršitve prava Unije (Direktiva 2019/1937), in bo kmalu zavezancem naložil podobne izzive, ki smo jim že od leta 2018 priča pri varstvu osebnih podatkov. Predlog je novembra precej prepričljivo prestal splošno razpravo (tj. prvo javno branje zakona) na plenarni seji Državnega zbora,² tako da lahko pričakujemo njegovo uveljavitev– če ne bo ločene tretje obravnave in veta Državnega sveta – že v prvi polovici februarja 2023.³ V tem prispevku bom opredelila najprej zavezance v skladu z zakonom, nato eno od osrednjih nalog (vzpostavitev notranje prijavne poti) in nekaj pomislekov glede predloga, za konec pa opozorila na rdečo nit prispevka, tj. nujnost resnega in takojšnjega pristopa k urejanju področja znotraj posamezne institucije – zavezanca.

Nedvomno bo zakon za zavezance prinesel več obveznosti, za implementacijo nekaterih od teh pa zelo verjetno ne bo dovolj časa. Razmere bodo verjetno podobne kot pri Splošni uredbi o varstvu osebnih podatkov⁴ oziroma vseh obveznostih, ki so od leta 2018 naložene različnim subjektom v javnem in zasebnem sektorju. Uveljavitev ZZPri bo verjetno časovno celo zelo blizu uveljavitvi novega Zakona o varstvu osebnih podatkov (ZVOP-2),⁵ ki bo v Sloveniji kot pravzaprav zadnji državi članici Evropske unije implementiral Splošno uredbo o varstvu podatkov. Za zavezance oziroma njihove službe za zagotavljanje skladnosti poslovanja to pomeni dodatno težavo, tudi sicer pa se zdi, da so občutki zavezancev v teh mesecih pred uveljavitvijo ZZPri podobni, kot so bili leta 2018 z uveljavitvijo obveznosti Splošne uredbe o varstvu podatkov: veliko zahtevnih nalog, pomanjkanje izkušenj (gre za povsem nove zahteve) in (pre)malo časa.

2. Kdo vse mora biti pozoren na nove zahteve

Ena od pomembnejših zahtev ZZPri bo vzpostavitev notranjih prijavnih poti. Kaj je to, bo predstavljeno v naslednjem razdelku, zato bom tu najprej opredelila naslovnike. Predlog ZZPri v 33. členu, tj. v okviru prehodnih in končnih določb, vse zavezance v zasebnem sektorju, ki zaposlujejo 250 ali več ljudi, ter vse zavezance v javnem sektorju zavezuje, da morajo vzpostaviti poti za notranjo prijavo v 90. dneh od uveljavitve tega zakona, vse zavezance v zasebnem sektorju, ki zaposlujejo do 249 zaposlenih, pa najpozneje do 17. decembra 2023. Pri tem velja, da so zavezanci za vzpostavitev notranje prijavne poti vsi subjekti javnega in zasebnega prava, ki zaposlujejo 50 ali več oseb (drugi odstavek 9. člena predloga ZZPri).

Toda ob teh je še veliko dodatnih zavezancev, saj predlog ZZPri določa izjeme od pravila najmanj 50 zaposlenih oseb. To so denimo javni in/ali zasebni subjekti, ki imajo vsaj 10 zaposlenih in svojo glavno registrirano dejavnost opravljajo na področju zdravstva ali na področjih zbiranja, prečiščevanja in distribucije vode, ravnanja z odplakami, zbiranja in odvoza odpadkov ter ravnanja z njimi in pridobivanja sekundarnih surovin ter na področjih saniranja okolja in drugega ravnanja z odpadki. Enako velja za vse subjekte zasebnega sektorja, ki imajo manj kot 50 zaposlenih, če tako določajo drugi zakoni, s katerimi se prenašajo akti EU, ali neposredno veljavni predpisi EU iz delov I.B in II Priloge Direktive 2019/1937. Pri tem gre za subjekte, ki jih zavezujejo pravila o vzpostavitvi regulativnega in nadzornega okvira, pravila o preprečevanju uporabe finančnega sistema za pranje denarja in financiranje terorizma ter pravila o zaščiti potrošnikov ali vlagateljev na področju trgov finančnih storitev in kapitalskih trgov, bančništva, kreditov, naložb, zavarovalnic in pozavarovalnic, poklicnih ali osebnih pokojninskih produktov, vrednostnih papirjev, investicijskih skladov, plačilnih storitev ter drugih storitev, ki jih lahko opravljajo banke ali investicijska podjetja, pravila glede varnosti v prometu na področju poročanja, analize in spremljanja dogodkov v civilnem letalstvu ter pravila o varstvu okolja na področju varnosti naftnih in plinskih dejavnosti na morju. Je pa res, da si zavezanci iz zasebnega sektorja (na primer povezane družbe in holdingi) lahko delijo sredstvo za prejemanje prijav in preiskave kršitev, če imajo manj kot 250 zaposlenih.

Pri določitvi števila »zaposlenih« je treba biti pozoren na namen Direktive 2019/1937. Po njej (tudi) pri določanju števila ne gre zgolj za uradno zaposlene na podlagi sklenjenih pogodb o zaposlitvi, temveč tudi za zunanje izvajalce, agencijske delavce, morebitne prekarne delavce, celo osebe, ki tam sploh niso sklenile nobenega pravnega posla, ki bi jim omogočal delo (na primer neizbrani kandidati).⁶ To pomeni, da bodo morali vsi zavezanci v javnem in zasebnem sektorju, ki imajo 250 ali več zaposlenih oseb predvidoma že v prvi polovici maja 2023 izpolnjevati vse zahteve glede vzpostavitve notranje prijavne poti, imenovanjem zaupnika ter seveda sprejeti ustrezne notranje pravne akte, vse z namenom, da bodo poslovno »skladni« (angl. compliant) z zahtevami, ki jih bo določalo končno sprejeto besedilo ZZPri.

Glede javnega sektorja pa velja dolžnost vzpostavitve notranje poti za prijavo – in to ne glede na število zaposlenih – tudi za vsa ministrstva, upravne enote, vladne službe, javne agencije, Urad predsednika, Državno odvetništvo, Ustavno sodišče, Računsko sodišče, Varuha človekovih pravic, Informacijskega pooblaščenca, Komisijo za preprečevanje korupcije, Državno revizijsko komisijo in Zagovornika načela enakosti ter samoupravne lokalne skupnosti. Slednje lahko vzpostavijo skupno notranjo pot za prejem prijav, ki jo upravlja ena od vključenih samoupravnih lokalnih skupnosti ali skupna občinska uprava, kljub temu pa mora vsaka samoupravna lokalna skupnost, če ima 50 ali več zaposlenih, imenovati svojega zaupnika. Nadalje lahko vse osnovne šole, vrtci, glasbene šole ter zavodi za vzgojo in izobraževanje otrok, mladostnikov s posebnimi potrebami ter srednje šole, višje šole ter dijaški domovi na območju iste samoupravne lokalne skupnosti vzpostavijo skupno notranjo pot za prijavo, ki jo upravlja eden od vključenih zavodov; izjemoma, ko je govora o osnovnem šolstvu, vrtcih, glasbenih šolah in omenjenih zavodih, tudi zadevna občina sama.

3. Kaj sploh je notranja prijavna pot?

Pri odgovoru na vprašanje iz naslova tega razdelka je treba najprej pojasniti, da je predlog ZZPri namenjen zaščiti prijaviteljev kot posameznikov, ki so zaradi zaščite javnega interesa prijavili kršitev predpisov, za katero so ti izvedeli v njihovem delovnem okolju.

V skladu s tem mora sistem za vzpostavitev notranje prijave zagotavljati zaščito identitete prijavitelja in zaupnost vseh prejetih informacij, saj je že na njihovi podlagi mogoče neposredno ali posredno sklepati o identiteti prijavitelja. Notranja pot mora omogočati natančno evidentiranje prijav in njihove vsebine brez možnosti posega tretjih nepooblaščenih oseb in vodstva. Hkrati mora biti taka, da zaupniku onemogoča poseganje v vsebino prijave in vsega prejetega gradiva, ki prijavo spremlja.

Zakon določa več možnih načinov notranje prijavne poti, in sicer se lahko za ta namen vzpostavijo poseben elektronski naslov za prejemanje prijav, telefonska številka oziroma drugi komunikacijski kanali, kot je denimo informacijsko podprt sistem za sprejem, evidentiranje in obdelavo prijav.

Ob danih možnosti za vzpostavitev notranjega kanala za prijave je zelo malo verjetno, da bodo zavezanci varni pred denarnimi globami, če bodo vzpostavili zgolj elektronski naslov ali telefonsko številko,⁷ saj tak način prijaviteljem (zlasti v manjših delovnih organizacijah) ne bo dajal občutka varnosti pred razkritjem njihove identitete in pred povračilnimi ukrepi. Prav tako obstaja večja verjetnost, da bodo imeli prijavitelji manj zaupanja v zaupnika in v celoten sistem notranjega kanala za prijave. Vsak sistem, ki ne bo informacijsko podprt, ne bo zagotavljal absolutne hrambe in zaščite vseh prejetih informacij s strani prijavitelja, med katerimi bodo lahko tudi poslovne skrivnosti, zato mora biti vsakemu zavezancu v interesu, da vzpostavi notranji kanal, ki bo zagotavljal največjo stopnjo varnosti in zaupnosti in ki bo onemogočal zlorabe. Hkrati pa bo tak sistem vsaki organizaciji omogočal izpolnjevanje zakonskih zavez glede postavljenih rokov (zaupnik mora preveriti procesne predpostavke za prijavo v sedmih dneh in prijavitelju poslati potrdilo, končno poročilo o obravnavi pa mora prijavitelju poslati v treh mesecih od prejema prijave) in navsezadnje reševanje vseh spornih zadev izključno znotraj lastne organizacije. Hitro in učinkovito reševanje vseh spornih zadev pa omogoča zgolj dvostranska komunikacija med prijaviteljem in zaupnikom. Če zaupnik ne bo zmožen obdelati prijav v zakonsko določenih rokih, pa ima vsak prijavitelj zagotovljeno zakonsko zaščito tudi v primeru javnega razkritja (18. člen predloga zakona).

Treba je poudariti, da se lahko prijava opravi na več možnih načinov, tj. »znotraj« svoje delovne organizacije (tako imenovanemu zaupniku), zunanjim pristojnim institucijam ali celo z javnim razkritjem. Pri tem je treba poudariti, da že bežno branje Direktive 2019/1937 izkazuje, da je njena ureditev izrecno naklonjena prvi možnosti, tj. tako imenovani notranji prijavni poti znotraj delovne organizacije v javnem ali zasebnem sektorju, kjer se je prijavitelj tudi neposredno seznanil s to kršitvijo. Ta namen je jasno opredeljen že v uvodnih izjavah k tej direktivi.⁸ To vse pomeni, da je prav ta pot prijave bistvena za doseganje sistemskega cilja, h kateremu stremi Direktiva 2019/1937 kot celota: zaščiti javnega interesa, čeprav za ceno drugih, tudi poslovnih interesov. Če je notranja pot prijave neustrezna, prijavitelj ohranja zaščito po tem zakonu, če uporabi zunanjo prijavno pot (prijavo naslovi neposredno na nadzorni organ).

Naloga in odgovornost, da lahko ta notranja prijavna pot resnično deluje, pa je tako po direktivi kot seveda tudi po predlogu ZZPri postavljena na (singularna) pleča zaupnika kot zaupanja vredne osebe ali notranje organizacijske enote za prejem in obravnavo notranjih prijav pri delodajalcu (zavezancu), ki je hkrati odvisen od kanala, ki ga bo za prijave vzpostavil delodajalec. Glede zaupnika je predlog zakona precej podnormiran, saj mu razen podrobnejše opredelitve njegovih nalog in dejstva, da zaupnik pač »mora biti«, ne nameni prav nobene (dodatne) zaščite, kar je možnost, ki jo izrecno dopušča Direktiva 2019/1937. Če je namreč glede na njeno uvodno izjavo 36 temeljni razlog za podelitev zaščitnih ukrepov prijavitelju njegova ekonomska ranljivost v razmerju do osebe, od katere je prijavitelj dejansko odvisen zaradi dela, ta razlog enako velja tudi za zaupnike, če se upošteva dejstvo, da so ti po predlogu ZZPri lahko izključno ene od pri zavezancu neposredno zaposlenih oseb.

Opombe:

¹ EPA 369-IX.
² Izid glasovanja o primernosti ZZPri za nadaljnjo obravnavo v zakonodajnem postopku je bil 53 glasov poslancev »za« in 21 »proti«. Glej: ; zavihek: »Predlogi zakonov«.
³ Predlog ZZPri je bil namreč uvrščen na terminski program Državnega zbora za januar 2023. 9HAUi_AQ7gaKBfkBsaCgDMULav/dz/d5/L2dBISEvZ0FBIS9nQSEh/> (17. 12. 2022).
⁴ Uredba (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ ES (Uradni list EU 2016, L 119, str. 1; in popravek v Uradnem listu EU 2018, L 127, str. 2).
⁵ EPA 189-IX.
⁶ Glej uvodni izjavi 38 in 39 k Direktivi 2019/1937 ter njen 4. člen.
⁷ Postavlja se vprašanje anonimnosti, saj je vedno možno izslediti naslov IP, telefonsko številko, hkrati pa ni omogočena komunikacija s prijaviteljem, kar lahko ogrozi celotni postopek obdelave prijave in prijavitelja motivira za zunanjo prijavo.
⁸ Pri tem je treba poudariti zlasti uvodno izjavo 33, iz katere med drugim izhaja, da se prijavitelji običajno lažje odločijo za notranjo prijavo, razen če imajo razloge za zunanjo prijavo. Empirične študije kažejo, da se večina žvižgačev odloči za notranjo prijavo znotraj organizacije, v kateri delajo. Notranja prijava je tudi najboljši način, da se informacije posredujejo osebam, ki bi lahko pripomogle k hitri in učinkoviti odpravi tveganj za javni interes. Prav tako je pomembna uvodna izjava 47, ki poudarja, da je bistveno, da informacije o kršitvah hitro dosežejo tiste, ki so najbližje viru težave, ki so najbolj usposobljeni za preiskovanje in ki imajo po možnosti pooblastila za odpravo te težave. Načeloma bi bilo treba prijavitelje zato spodbujati, da najprej uporabijo notranje kanale za prijavo in zadevo prijavijo svojemu delodajalcu, če so jim taki kanali na voljo in je mogoče razumno pričakovati, da bodo delovali.

Celoten članek je dostopen za naročnike!