Новият режим за защита на подателите на сигнали – правила, задължения, мерки и последици

Общественият дебат за създаване на защитен механизъм за лицата, подали сигнал за определени нарушения, се разпали с нова сила през последните години. Потвърди се необходимостта от въвеждане на гаранции, че сигнализиращите лица няма да бъдат подложени на репресии, като същевременно бъдат защитени и засегнатите лица от атаки, клеветнически кампании, опити за изнудване и други подобни недопустими прояви.

Така, макар и с известно закъснение, България транспонира разпоредбите на Директива (ЕС) 2019/1937 на Европейския парламент и на Съвета от 23 октомври 2019 година относно защитата на лицата, които подават сигнали за нарушения на правото на Съюза (Директивата). Това се случи с приемането на Закона за защита на лицата, подаващи сигнали или публично оповестяващи информация за нарушения (Закона) от 48-то Народно събрание малко преди разпускането му.

Законът беше обнародван в Държавен вестник, бр. 11 от 2 февруари 2023 г., и влиза в сила от 4 май 2023 г. Определени разпоредби от Закона ще се прилагат по отношение на работодателите в частния сектор, които имат между 50 и 249 работници или служители, от 17 декември 2023 г.

Преди приемането на Закона в България липсваше цялостна нормативна уредба за защита на лицата, подаващи сигнали за нарушения. Приложение намираха отделни правила в различни български нормативни актове.

Например съгласно общия принцип, въведен с чл. 108, ал. 2 от Административнопроцесуалния кодекс, никой не може да бъде преследван само заради подаването на предложение или сигнал при условията и по реда на кодекса. Правен инструмент за защита на сигнализиращи за нарушения лица се открива и в Закона за мерките срещу изпиране на пари (ЗМИП). Задължените по смисъла на ЗМИП лица трябва да осигурят подходящи мерки за защита на своите служители и други определени лица, които подават вътрешни сигнали за потенциални или действително извършени нарушения, което да се извърши по определен, независим и анонимен начин, пропорционален на размера и естеството на стопанската дейност на задълженото лице. Според чл. 115, ал. 10 ЗМИП подаването на сигнал от служител или представител на задължено лице, или от лице в сходно положение не е основание за прекратяване на трудовото или служебното му правоотношение или прилагането на други дисциплинарни мерки или санкции спрямо него.

Какви нови правила се въвеждат с приемането на Закона?

Законът ще се прилага по отношение на сигнали или публично оповестяване на информация за извършени нарушения на българското законодателство или на посочените в приложението към Закона актове на Европейския съюз в областта на: обществените поръчки, финансовите услуги, продукти и пазари и предотвратяването на изпирането на пари и финансирането на тероризма; безопасността и съответствието на продуктите; безопасността на транспорта; опазването на околната среда; радиационната защита и ядрената безопасност; безопасността на храните и фуражите, здравето на животните и хуманното отношение към тях; общественото здраве; защитата на потребителите; защитата на неприкосновеността на личния живот и личните данни; сигурността на мрежите и информационните системи, както и за нарушения, които засягат финансовите интереси на Европейския съюз и т.н. Обхватът на Закона е разширен в сравнение с Директивата, като са добавени области, липсващи в Директивата, в това число нарушения на българското законодателство в областта на правилата за заплащане на дължими публични държавни и общински вземания, на трудовото законодателство, на законодателството, свързано с изпълнението на държавна служба. Извън приложното поле на Закона остават сигналите за определени прояви като например нарушения, които са станали известни на лица, упражняващи правна професия и за които съществува задължение по закон за опазване на професионална тайна, нарушения на поверителността на здравната информация и др.

Законът предвижда осигуряване на закрила на сигнализиращите лица от момента на подаването на сигнала или публичното оповестяване на информация за нарушението. Защитени са различни категории физически лица, основно такива, които в процеса на извършването на определена работа са научили за извършени нарушения. Това са работници, служители, доброволци, стажанти, съдружници, акционери в търговско дружество, членове на управителен или контролен орган на търговско дружество и т.н.
Подаването на сигнал се извършва чрез вътрешни или външни канали, отговарящи на посочените в Закона изисквания. Обект на дебати беше хипотезата за въвеждане на възможността за подаване на анонимен сигнал. Тази възможност е изключена от Закона, който предвижда, че производство по подаден анонимен сигнал не се образува. Въпреки това е въведен механизъм за защита при определени условия на лица, които са подали анонимен сигнал, но впоследствие са били идентифицирани и подложени на репресия.
Със Закона се въвеждат конкретни задължения за определени групи работодатели. Към задължените лица спадат работодателите в публичния сектор, с изключение на общините с население под 10 000 души или по-малко от 50 работници или служители (последните могат да споделят ресурси за получаване на сигнали за нарушения и за предприемане на последващи действия по тях при спазване на задължението за поверителност). Задължения носят и работодателите в частния сектор с 50 и повече работници или служители, както и работодателите в частния сектор независимо от броя на работниците или служителите, ако осъществяваната от тях дейност попада в приложното поле на определени актове на Европейския съюз, посочени в приложението към Закона.
Задължените лица трябва да създадат канал за вътрешно подаване на сигнал. Този канал следва да се управлява по начин, който гарантира пълнотата, целостта и поверителността на информацията, като трябва и да възпрепятства достъпа на неоправомощени лица до тази информация. Каналът за вътрешно подаване на сигнали следва да дава възможност за съхранение на записана на траен носител информация за нуждите на проверката по сигнала и за по-нататъшни разследвания.

Налице е възможност и за външно подаване на сигнали. С функциите на компетентен орган по приемане и организиране на външно подадените сигнали е натоварена Комисията за защита на личните данни.

Работодателите – задължени лица по смисъла на Закона, определят един или повече служители, които да отговарят за получените сигнали, като работодателите от частния сектор могат да възлагат функциите по приемане и регистриране на сигнали за нарушения и на друго физическо или юридическо лице извън своята структура, при спазване изискванията на Закона, както и могат да използват канал за вътрешно подаване на сигнали, създаден от икономическата група, към която принадлежат, ако каналът отговаря на изискванията на Закона.

Задължените лица следва също да въведат правила за вътрешно подаване на сигнали и за последващи действия по тях, които правила подлежат на преглед най-малко веднъж на три години. Така също задължените лица трябва да създадат и поддържат поверителен регистър на подадените сигнали за нарушения, както и да предоставят ясна и лесно достъпна информация относно условията и реда за подаване на сигнали. Информацията се предоставя на интернет страниците на работодателите – задължени по закона лица, както и на видно място в офисите и работните помещения.

В процеса на приемане и обработка на подадените сигнали за нарушения задължените лица трябват да вземат мерки по защита на поверителността и на личните данни. Задължените субекти не следва да обработват лични данни, които явно не са от значение за разглеждане на конкретния сигнал. Ако бъдат случайно събрани лични данни, неотносими към сигнала, то същите подлежат на заличаване. В хода на този процес приложение имат разпоредбите на Общия регламент за защита на личните данни, както и местното законодателство за защита на личните данни при обработка на лични данни.

На преден план изниква въпросът за предприемане на действия по гарантиране на защитата на личните данни. Задължените лица следва да предприемат технически и организационни мерки с цел предотвратяване на инциденти с лични данни и спазване на изискванията на действащото законодателство. Такива мерки могат да включват провеждане на обучения на персонала, назначаване на служители с експертни познания в областта на защита на личните данни, въвеждане на информационни системи за защита на софтуер, както и много други.

Какви мерки за защита на сигнализиращите лица и засегнатите от сигналите лица се въвеждат със Закона?

Въведена е обща забрана за извършване на ответни действия спрямо сигнализиращите лица. Това са действия, имащи характера на репресия и поставящи лицата в неблагоприятно положение, както и заплахи или опити за такива действия. Такива действия могат да бъдат налагане на дисциплинарни мерки спрямо служители, дискриминация, накърняване на репутацията на съответното сигнализиращо лице, отрицателна оценка на работата, включително в препоръка за работа и т.н. Ако се допусне нарушение на законовата забрана, увреденото лице има право на обезщетение за понесените имуществени и неимуществени вреди. Вредите се считат за причинени умишлено до доказване на противното.
Според Закона сигнализиращите лица не носят отговорност за придобиването на информацията, за която е подаден сигналът или която е публично оповестена, или за достъпа до нея, при условие че това придобиване или този достъп не съставлява самостоятелно престъпление. Освен това, ако срещу лице има образувано наказателно, гражданско или административно производство във връзка с подаден от него сигнал или публично оповестена информация, то това лице има право да поиска прекратяване на това производство, ако е имало основателна причина да предполага, че подаването на сигнала или публичното оповестяване на информацията са били необходими за разкриване на нарушение.

Предвиден е защитен механизъм и за засегнатите от сигнал лица. Те имат право на справедлив процес, да бъдат изслушани и право на достъп до отнасящите се до тях документи. Засегнатите лица имат право на обезщетение за всички имуществени и неимуществени вреди, когато е установено, че сигнализиращото лице е подало сигнал с невярна информация или публично е оповестило невярна информация, както и когато според обстоятелствата е било длъжно да предположи, че информацията е невярна.

Какви са последиците от неспазване на Закона?

Предвидена е административнонаказателна отговорност в случай на нарушаване на разпоредбите на Закона, включително при неизпълнение на определени задължения по Закона от работодателите – задължени лица. Комисията за защита на личните данни може да налага глоби/имуществени санкции, които в определени случаи могат до достигнат до 30 000 лева.
В заключение, приемането на Закона за защита на лицата, подаващи сигнали или публично оповестяващи информация за нарушения, доведе до въвеждане на нов регулаторен режим в България, осигуряващ защитни механизми спрямо сигнализиращите и засегнатите лица, с които трябва да се съобразяваме. Законът предвижда канали за сигнализиране, които задължените по Закона лица следва да създадат при съобразяване на законовите изисквания за подаване и обработка на сигналите. За лицата, които нарушават нормите на Закона, е предвидена административнонаказателна отговорност.

Статията е обект на авторско право. Тя има информативен характер, изразява мнение на авторите и не следва да се приема като препоръка за предприемане на определени действия или правен, финансов, инвестиционен, данъчен или друг съвет.