Požadavky na oznamovací kanály v rámci EU whistleblowingu: Přehled podle zemí

Normativní rámec směrnice EU o ochraně oznamovatelů

Cílem směrnice je chránit osoby, které oznamují porušení unijního práva v klíčových oblastech, jako jsou veřejné zakázky, finanční služby, předcházení praní špinavých peněz, bezpečnost výrobků, ochrana životního prostředí a ochrana osobních údajů. Členským státům však byla udělena pravomoc rozšířit tuto působnost i na porušení vnitrostátního práva, což vedlo k výrazným národním odchylkám.

Zatímco některé země se striktně držely minimálního rámce EU, jiné – včetně Německa, Švédska a Francie – rozšířily ochranu na veškeré trestné činy, závažné správní delikty či dokonce porušení interních etických kodexů. Tyto odlišnosti zásadně komplikují zajištění souladu u subjektů působících ve více jurisdikcích.

Směrnice zavádí třístupňovou strukturu oznamování, která zahrnuje interní kanály, externí kanály provozované příslušnými orgány a uveřejnění za přísně stanovených podmínek. Stanoví rovněž striktní lhůty pro reakci: potvrzení přijetí oznámení do sedmi dnů a poskytnutí zpětné vazby o šetření do tří měsíců.

Obecné požadavky na interní a externí oznamovací kanály

Povinnost zřídit interní oznamovací kanál se vztahuje na všechny právnické osoby v soukromém i veřejném sektoru s 50 a více zaměstnanci. V závislosti na lokální legislativě mohou být do tohoto limitu započítáni i agenturní pracovníci a zaměstnanci na částečný úvazek, přičemž regulované sektory musí požadavky splnit bez ohledu na počet zaměstnanců.

Tyto kanály musí splňovat přísná kritéria důvěrnosti a bezpečnosti, včetně omezení přístupu k totožnosti oznamovatele výhradně na pověřené nezávislé compliance pracovníky. Systém musí umožňovat podání písemně, ústně a na žádost i prostřednictvím osobního setkání, a to při plném dodržení GDPR, včetně minimalizace údajů a posouzení vlivu na ochranu osobních údajů (DPIA).

Externí oznamovací kanály a právo na přímé oznámení

Zásadním posunem, který směrnice přinesla, je zrušení povinnosti podat oznámení nejprve interně – oznamovatelé se mohou obrátit přímo na státní orgány. Pro firemní compliance to představuje významné riziko, neboť nedostatek důvěry v interní systém může vyvolat okamžité vyšetřování ze strany externích regulátorů.

Německo

Německý zákon o ochraně oznamovatelů (HinSchG) vstoupil v platnost 2. července 2023 a rozšířil působnost na veškeré vnitrostátní trestné činy a vybrané správní delikty. Německé oznamovací kanály musí umožňovat a zpracovávat anonymní oznámení a zajistit bezpečnou, obousměrnou anonymní komunikaci s oznamovatelem.

Společnosti s 50 až 249 zaměstnanci mohou sdílet provozní kapacity, například externí poskytovatele platforem, zatímco větší společnosti musí provozovat plně autonomní systémy. Porušení předpisů nebo odvetná opatření s sebou nesou přísné finanční sankce, přičemž pokuty za vyzrazení totožnosti nebo odvetná opatření dosahují až 50 000 EUR.

Francie

Francie směrnici implementovala prostřednictvím Wasermanova zákona, který novelizoval stávající protikorupční rámec Sapin II a zavedl jedna z nejpřísnějších pravidel v Evropě. Zákon zrušil požadavek, aby oznamovatel jednal nezištně; vyžaduje se pouze dobrá víra a absence přímé finanční odměny.

Francouzské orgány striktně vyžadují, aby dceřiné společnosti s více než 50 zaměstnanci měly lokálně dostupné oznamovací kanály, takže kompletní centralizace u zahraniční mateřské společnosti je nezákonná. Odvetná opatření mohou vést k neomezené náhradě škody, zatímco maření oznámení se trestá pokutou až 15 000 EUR pro fyzické osoby a 75 000 EUR pro právnické osoby.

Itálie

Italský legislativní dekret č. 24/2023 propojuje whistleblowing přímo s programy corporate compliance podle dekretu č. 231/2001 (Modello 231). Každá společnost, která zaměstnává alespoň 50 osob nebo uplatňuje Modello 231 bez ohledu na počet zaměstnanců, musí zřídit kanál pokrývající jak porušení práva EU, tak porušení interního modelu.

Před spuštěním interního kanálu musí zaměstnavatelé provést konzultace s podnikovými odbory (RSU), což zvyšuje administrativní složitost a může vést ke zpoždění implementace. Národní protikorupční úřad (ANAC) může za odvetná opatření nebo nezřízení systému uložit pokuty až do výše 50 000 EUR.

Španělsko

Španělský zákon č. 2/2023 zavedl přísný režim řízení interních informačních systémů a stanovil povinnost přijímat a zpracovávat anonymní oznámení. Správní rada nese přímou osobní odpovědnost za jmenování a odvolání správce systému, který musí být registrován u nezávislého regulačního úřadu (A.A.I.).

Španělsko zavedlo mimořádně přísné finanční sankce – závažná porušení mohou pro právnické osoby znamenat pokutu až do výše 1 000 000 EUR. Neplnícím organizacím navíc hrozí zákaz získávání veřejných zakázek a dotací po dobu až čtyř let.

Nizozemsko

Nizozemský zákon o ochraně oznamovatelů, účinný od února 2023, výrazně rozšířil pravomoci specializovaného Úřadu pro oznamovatele (Huis voor klokkenluiders). Ačkoli zákon striktně nenařizuje plné prošetření anonymních oznámení při nedostatku informací, zabezpečené komunikační platformy umožňující anonymní dialog jsou důrazně doporučovány.

Oznamovatelé v Nizozemsku mohou interní kanály zcela obejít a obrátit se přímo na Úřad pro oznamovatele, který disponuje vyšetřovacími pravomocemi srovnatelnými s orgány činnými v trestním řízení. Pro společnosti, které nemají důvěryhodné interní kanály, to zvyšuje riziko okamžitého zásahu regulatorních orgánů.

Polsko

Polsko schválilo svůj zákon o ochraně oznamovatelů v červnu 2024, přičemž většina ustanovení vstoupila v platnost 25. září 2024. Zaměstnavatelé musí před formálním přijetím interních oznamovacích postupů provést povinné konzultace s odbory nebo zástupci zaměstnanců v délce 5 až 10 dnů.

Přijímání anonymních oznámení zůstává v Polsku volitelné a musí být výslovně upraveno ve vnitřních předpisech společnosti. K vynucení souladu zavedlo Polsko přímou trestní odpovědnost, kdy odvetná opatření nebo maření oznámení trestá odnětím svobody až na tři roky.

Česká republika

Český zákon o ochraně oznamovatelů, účinný od 1. srpna 2023, pokrývá trestné činy, přestupky s horní hranicí pokuty alespoň 100 000 Kč a standardní oblasti stanovené směrnicí EU. Přestože prošetřování anonymních oznámení je nepovinné, plná zákonná ochrana před odvetnými opatřeními se uplatní okamžitě, jakmile vyjde totožnost anonymního oznamovatele najevo.

Na rozdíl od standardní tříměsíční lhůty pro zpětnou vazbu podle směrnice EU ukládá Česká republika podstatně kratší, 30denní lhůtu pro vyřízení oznámení, kterou lze prodloužit pouze dvakrát. Nesplnění povinnosti zavést vnitřní oznamovací systém může být potrestáno pokutou až do výše 1 000 000 Kč.

Rakousko

Rakouský zákon o ochraně oznamovatelů (HSchG), účinný od února 2023, vyžaduje, aby osobní setkání bylo umožněno do 14 dnů od podání žádosti. Odvetná opatření nebo pokus o ně vůči oznamovatelům mohou vést ke správním pokutám až do výše 20 000 EUR, v případě opakovaného porušení až 40 000 EUR.

Belgie

Belgie transponovala směrnici pro soukromý sektor na konci roku 2022 a zavedla povinnost přijímat anonymní oznámení pro společnosti s 250 a více zaměstnanci. Sankce podle sociálního trestního zákoníku mohou dosáhnout až 24 000 EUR nebo zahrnovat trest odnětí svobody pro vedoucí pracovníky až na tři roky.

Severské země

Švédsko, Dánsko a Finsko kladou velký důraz na transparentnost. Švédsko vyžaduje nezávislou funkci pro přijímání a prošetřování oznámení pod aktivním dohledem Úřadu pro pracovní prostředí. Dánský úřad pro ochranu osobních údajů provozuje národní externí kanál a uplatňuje přísná pravidla pro nahrávání ústních oznámení.

Ve Finsku zákon o oznamovatelích považuje neoprávněné vyzrazení totožnosti oznamovatele za trestný čin, za který hrozí trest odnětí svobody až na dva roky. Tato přísná ochrana vyžaduje vysoce bezpečné nakládání s údaji a precizní opatření řízení přístupu napříč všemi severskými provozy.

Srovnávací analýza národních požadavků

Odlišnosti v národních transpozicích vytvářejí pro nadnárodní korporace působící v Evropské unii velmi spletitou síť právních povinností. Pokusy o nasazení jediného univerzálního globálního formuláře pro oznamování často selhávají kvůli přímé neslučitelnosti regionálních pravidel.

Za druhé, přístup k anonymním oznámením sahá od povinného přijímání ve Španělsku a Německu až po striktně dobrovolný režim v Polsku a České republice.

V neposlední řadě představují provozní výzvu reakční lhůty, kdy je standardní tříměsíční období podle českého práva zkráceno na pouhých 30 dnů. Systémy pro správu incidentů proto musí dynamicky sledovat geografický původ každého oznámení, aby bylo zajištěno dodržení lokálních lhůt.

Přehled vybraných vnitrostátních rámců

Výzvy při navrhování celoskupinových systémů whistleblowingu

Hlavní právní a operativní překážkou pro mezinárodní skupiny je stanovisko Expertní skupiny Evropské komise pro whistleblowing. Podle tohoto výkladu musí každá dceřiná společnost v EU s 50 a více zaměstnanci zřídit svůj vlastní, samostatný a lokálně dostupný oznamovací kanál.

Evropská komise odmítla modely, v nichž dceřiné společnosti zaměstnance pouze odkazují na centrální kanál mateřské společnosti. Ačkoli dceřiné společnosti s 50 až 249 zaměstnanci mohou sdílet vyšetřovací kapacity, lokální odpovědnost a možnost podat oznámení v místním jazyce musí zůstat plně zachovány.

Společné správcovství podle GDPR a přeshraniční toky údajů

Whistleblowingový systém zahrnuje zpracování vysoce citlivých údajů. Delegování šetření z dceřiné společnosti na centralizovaný compliance tým v jiné zemi proto představuje přeshraniční předávání údajů. Toto uspořádání vyžaduje striktní soulad s předpisy EU o ochraně osobních údajů.

Podle článku 26 GDPR vystupují mateřská a dceřiná společnost často jako společní správci, což vyžaduje formální dohodu vymezující jejich vzájemné povinnosti. Pokud mateřská společnost sídlí mimo EU, je pro řízení regulatorních rizik nezbytné implementovat standardní smluvní doložky a posouzení dopadů předávání (TIA).

Jak Anywhere.legal zajišťuje soulad s whistleblowingovými předpisy

Dosažení souladu napříč vícero evropskými jurisdikcemi nelze vyřešit pouhým pořízením krabicového softwaru nebo najmutím nesouvisejících lokálních advokátních kanceláří. Vyžaduje jednotný, technologicky řízený workflow, který hladce propojuje digitální systémy s regionálními právními experty.

Umožňuje organizacím udržovat centralizované rozhraní pro správu a zároveň technicky oddělovat případy do jednotlivých kanálů odpovídajících lokálním předpisům.

Pro maximální efektivitu podporují hybridní model compliance přímo v platformě bezpečné nástroje s asistencí AI, které provádějí prvotní třídění a vícejazyčné překlady. Tyto nástroje strukturují fakta případu a provádějí předběžná hodnocení rizik, přičemž konečné právní posouzení vždy provádějí výhradně lidští experti.

V případech vyžadujících specifickou lokální expertizu propojuje Anywhere.legal interní compliance týmy s ověřenými regionálními advokáty a daňovými poradci.

Poznatky ze zprávy Evropské komise o implementaci z roku 2024

Ve své monitorovací zprávě z roku 2024 Evropská komise poukázala na přetrvávající nedostatky v národních transpozicích a kritizovala neúplnou osobní působnost i slabé vymáhání sankcí. Tato zpětná vazba naznačuje nadcházející vlnu novelizací vnitrostátních předpisů zaměřenou na zpřísnění dohledu a zvýšení pokut.

Přechod od formální k materiální compliance

Počáteční fáze implementace v letech 2021 až 2023 se nesla ve znamení formálního plnění povinností, kdy společnosti zřizovaly základní oznamovací kanály jen proto, aby vyhověly liteře zákona. Současný trend se posouvá k materiální compliance se zaměřením na skutečnou kvalitu vyšetřování.

Regulátoři a soudy stále podrobněji zkoumají, zda jsou vyšetřovatelé skutečně nezávislí, jak jsou řízeny střety zájmů a jaká konkrétní opatření chrání oznamovatele před skrytými odvetnými kroky. Organizace, které nemají strukturované vyšetřovací postupy, čelí značným právním i finančním rizikům.

Propojení s rámci ESG a CSRD

Whistleblowing se stal klíčovým ukazatelem výkonnosti (KPI) v rámci nefinančního reportingu podle směrnice o podávání zpráv o udržitelnosti podniků (CSRD). Transparentní, funkční a bezpečný oznamovací kanál slouží jako základní stavební kámen pilíře správy a řízení (Governance) pro institucionální investory i auditorské orgány.

Závěr

Regulatorní roztříštěnost napříč Evropskou unií zůstává pro nadnárodní korporace dlouhodobou výzvou. Pochybení v jediné dceřiné společnosti může vést k vysokým firemním sankcím i osobní odpovědnosti managementu, kvůli čemuž je fragmentovaný přístup mimořádně rizikový.

Klíčem k úspěchu je centralizovaný ekosystém schopný dynamicky přizpůsobovat pracovní postupy lokálním pravidlům při současném zachování bezpečného nakládání s daty.

Potřebujete mezinárodní právní podporu? Spojte se s námi prostřednictvím Anywhere.legal.

Často kladené otázky

1. Jaký je minimální požadavek pro většinu společností v EU ohledně interních oznamovacích kanálů?
   Všechny soukromé i veřejné subjekty s 50 a více zaměstnanci musí zřídit interní kanál umožňující písemné, ústní a na žádost i osobní oznámení. Systém musí zaručit důvěrnost totožnosti, potvrdit přijetí oznámení do sedmi dnů a poskytnout zpětnou vazbu do tří měsíců.

2. Musí nadnárodní holding zřídit samostatný kanál pro každou dceřinou společnost v EU?
   Ano, podle striktního výkladu Evropské komise musí mít každá dceřiná společnost v EU s 50 a více zaměstnanci vlastní, lokálně dostupný kanál. Skupinový centrální kanál může povinné lokální řešení pouze doplňovat, nikoli nahrazovat.

3. Jaké jsou hlavní rozdíly mezi vnitrostátními zákony o whistleblowingu?
   Klíčové rozdíly spočívají v povinnosti zpracovávat anonymní oznámení, která je povinná ve Španělsku, Německu a Belgii, ale dobrovolná v Polsku a České republice. Liší se také lhůty pro vyřízení – Česká republika ukládá namísto standardních tří měsíců krátkou 30denní lhůtu.

4. Jak mohou společnosti vyvážit centralizovanou compliance s lokálními požadavky?
   Společnosti mohou nasadit hybridní provozní model s využitím centralizovaného digitálního ekosystému, jako je Anywhere.legal, který zajišťuje globální přehled a zároveň odděluje lokální kanály v souladu s vnitrostátními zákony. Tento přístup umožňuje hladce zapojit do procesu lokální compliance officery nebo externí regionální právní poradce.

5. Může umělá inteligence samostatně vyhodnocovat oznámení?
   Nikoli, umělá inteligence nesmí v procesech whistleblowingu činit samostatná právní ani compliance rozhodnutí. V zabezpečených systémech, jako je Anywhere.legal, slouží AI jako administrativní podpora při překladu cizích jazyků, strukturování faktů případu a mapování předpisů, zatímco rozhodovací pravomoc zůstává výhradně na lidech.