Legea whistleblower: Cum ne pregătim pentru implementarea noilor obligații

Legea nr. 361/2022 stabilește o serie de măsuri destinate protecției celor care atrag atenția asupra unor nereguli întâlnite într-o companie, ce sunt aplicabile companiilor cu peste 250 de angajați încă de la momentul intrării în vigoare a acestei legi - 22 decembrie -, iar pentru cele care au între 50 și 249 de angajați din 17 decembrie 2023.

Într-o sinteză recentă arătam care sunt entitățile publice și private care trebuie să aibă canale interne de raportare pentru avertizorii de integritate, proceduri aferente și un reponsabil numit (intern sau extern) și concluzionam că micii angajatori sunt scutiți de toate aceste formalități, dar că, chiar și așa, nu sunt cu totul ocoliți de imperativele noii legi. 

La ora actuală, în mediul privat din România există companii care au implementate proceduri pentru „whistlebloweri” (avertizorii de integritate) încă de ceva vreme, unele entități având oricum impuse prin alte acte normative astfel de cerințe de ani buni. Așa cum subliniam recent, cei obligați până acum prin alte acte normative să aibă canale interne de raportare trebuie să le mențină în continuare, indiferent de numărul de lucrători. 

Pentru companiile care aveau deja proceduri pentru avertizori și canale interne de raportare, fără să fie obligate de un act normativ (deci benevol), e nevoie doar de corelarea și adaptarea la noua lege, în vigoare din 22 decembrie. 

Pentru cei care pentru care obligația de a avea canal intern de raportare, procedură pusă la punct și un responsabil desemnat, termenul din 22 decembrie, de intrare în vigoare a Legii Whistleblower, e un semn de exclamare că lucrurile trebuie puse în mișcare cât mai curând posibil, pentru a nu risca impunerea unor amenzi, mai târziu (care ajung până la 40.000 de lei).

Ne aducem aminte, cu ocazia aceasta, de o serie de recomandări făcute de specialiștii PwC România, pe vremea când proiectul de lege încă era în lucru. Chiar dacă discuția celor de la PwC avea în vedere o perioadă de pregătire anterioară intrării în vigoare a noii legi, recomandările sunt încă valabile pentru cei care sunt pentru prima oară puși în fața noii reglementări:

În primul rând, specialiștii recomandă revizuirea și actualizarea politicilor de conformitate pentru a răspunde cerințelor noii legi. 

Apoi, o atenție deosebită trebuie acordată aspectelor relevante privind protecția datelor cu caracter personal, cum ar fi adaptarea politicilor de protecția datelor, redactarea sau revizuirea notelor de informare aferente acestor noi activități de prelucrare. În noua lege scrie că datele cu caracter personal care nu sunt necesare pentru soluționarea unei anumite raportări nu se colectează sau, dacă sunt colectate în mod accidental, se șterg.

(Re)informarea și încurajarea angajaților cu privire la posibilitățile de raportare. Toți angajații trebuie să știe: (a) ce înseamnă avertizor de integritate și care e protecția oferită acestuia prin lege; (b) cum se fac raportările interne (procedura + cui se adresează); (c) ce alte modalități de raportare există, în lipsa canalelor interne.

Desemnarea și instruirea unei / unor persoane imparțiale cu atribuții de primire și investigare a sesizărilor primite. De avut în vedere, spuneau specialiștii, că persoana care primește sesizarea nu trebuie să fie și cea care efectuează investigația. De altfel, formarea unei echipe de investigație și selectarea procedurilor de investigație sunt aspecte foarte importante și poate afecta rezultatul investigației. Echipa de investigație trebuie să fie formată din oameni care au experiența, cunoștințele și abilitățile necesare pentru a efectua investigația, iar metodele selectate (interviuri, analiza de documente, computer forensic, etc) trebuie sa asigure identificarea faptelor relevante. De exemplu, investigația unei raportări financiare frauduloase presupune ca în echipa să fie o persoană cu cunoștințe economice. Surse importante de informații în investigații sunt interviurile și echipamentele IT. Prin urmare, în echipă trebuie să fie un investigator experimentat care știe ce să întrebe și când să întrebe, respectiv o persona experimentată în computer forensic. Cadrul legal este, de asemenea, vital de observat în orice investigație.

Evaluarea resurselor necesare implementării și gestionării canalelelor interne de raportare și, în funcție de nevoie, luarea în considerare a posibilității de a contracta serviciile unor furnizori existenți în piața de servicii de tip forensic, care pot oferi suport și consultanță integrată (1) cu implementarea și evaluarea canalelor de raportare; (2) cu investigarea sesizărilor primite, mai ales atunci când cazurile sunt complexe și riscante pentru o companie (ex. investigații de sesizări de acte de corupție, spălare de bani, hărțuire, scheme complexe de frauda, cazuri de hărțuire etc).

Procedurile de raportare internă și de efectuare de acțiuni subsecvente trebuie să cuprindă următoarele elemente:

a) conceperea, instituirea și gestionarea modalității de primire a raportărilor astfel încât să fie protejată confidențialitatea identității avertizorului în interes public și a oricărei părți terțe menționate în raportare și să se împiedice accesul la raportare al personalului neautorizat;

b) obligația de a transmite avertizorului în interes public confirmarea primirii raportării, în termen de cel mult 7 zile calendaristice de la primirea acesteia;

c) desemnarea unei persoane, a unui compartiment sau a unui terț, cu atribuții în ceea ce privește primirea, înregistrarea, examinarea, efectuarea de acțiuni subsecvente și soluționarea raportărilor, care să acționeze cu imparțialitate și care să fie independent în exercitarea acestor atribuții;

d) efectuarea cu diligență a acțiunilor subsecvente de către persoana desemnată;

e) obligația de informare a avertizorului în interes public cu privire la stadiul acțiunilor subsecvente, în termen de cel mult 3 luni de la data confirmării de primire sau, în cazul în care nu i s-a confirmat primirea raportării, de la expirarea termenului de 7 zile prevăzut la lit. b), precum și, ulterior, ori de câte ori sunt înregistrate evoluții în desfășurarea acțiunilor subsecvente, cu excepția cazului în care informarea ar putea periclita desfășurarea acestora;

f) obligația de informare a conducătorilor autorităților, instituțiilor publice, altor persoane juridice de drept public, precum și persoanelor juridice de drept privat, cu privire la modalitatea de soluționare a raportării;

g) obligația de a furniza informații clare și ușor accesibile privind procedurile de raportare externă către autoritățile competente și, după caz, către instituțiile, organele, oficiile sau agențiile Uniunii Europene;

h) obligația de informare a avertizorului în interes public cu privire la modalitatea de soluționare a raportării.