На 2 февруари 2023 г. в единадесети брой на Държавен вестник беше обнародван Закона за защита на лицата, подаващи сигнали или публично оповестяващи информация за нарушения („Закон“). Последният влиза в сила от 4 май 2023 г. Задълженията на работодателите в частния сектор, които имат между 50 и 249 служители, произтичащи от този Закон ще започнат да се прилагат от 17 декември 2023 г. Тук трябва да отбележим, че Законът за защита на лицата, подаващи сигнали или публично оповестяващи информация за нарушения транспонира Директива (ЕС) 2019/1937 на Европейския парламент и на Съвета от 23 октомври 2019 година относно защитата на лицата, които подават сигнали за нарушения на правото на Съюза. Срокът за транспониране на тази директива е изтекъл в края на 2021 г., следователно нейните разпоредби биха имали директен ефект.
Законът намира приложение във връзка с подаването и предотвратяването на нарушение в множество сфери на бизнеса като например мрежовата и информационната сигурност, защитата на потребителите, личната неприкосновеност, прането на пари, трудово правни въпроси и т.н.
Лицата, на които са възложени задължения със Закона, могат най-общо да бъдат разделени в три основни групи:
(i) работодателите в публичния сектор с изключение на някои общини;
(ii) работодателите в частния сектор с 50 и повече работници или служители;
(iii) работодателите в частния сектор независимо от броя на работниците, ако осъществяваната от тях дейност попада в определени сфери (напр. финансови услуги).
Както беше споменато по-горе, задълженията на работодателите от частния сектор с 50 до 249 служители ще влязат в сила през декември 2023 г. съгласно параграф 10 от Заключителните разпоредби на Закона.
Законът очертава широк кръг от лица, които имат право да подават сигнали, като са включени служители на задължените лица, лица на т. нар. граждански договори, свободни професии и др. Дадена е възможност и съответно закрила на съдружници, акционери и членове на управителни и контролни органи в дружествата, подизпълнители, кандидати за работа и т.н. Видно е, че Законът прави опит да стимулира максимално широк кръг от лица, които да докладват нарушенията.
Все пак е въведено някакво ограничение, като от този кръг лица са отпаднали например лицата, упражняващи правна професия и за които съществува задължение по закон за опазване на професионална тайна.
Задължените лица по този Закон ще трябва да изградят вътрешен канал за подаване на сигнали от лица. Същият може да включва техническа процедура, подаване на сигнали в писмена или устна форма, по телефон или на лична среща. Те ще трябва да предоставят ясна и детайлна информация относно реда за подаване на сигнали на своя уебсайт, както и в офисите си (когато такива се използват). Следва да бъдат определени и лица, които да отговарят за разглеждането на сигнали. Когато даденото дружество има длъжностно лице по защита на данните, то може да съвместява двете дейности – тук е отчетен високият стандарт заложен върху длъжностните лица по защита на данните при боравене с информация. Други възможности за изпълнение на задължението за изграждане на вътрешен сигнал за подаване на сигнали са вътрешно съвместителство, когато това не води до конфликт на интереси, както и сключване на договор с външни консултантски дружества.
Законодателят е предвидил и външен канал, през който могат да се подават сигнали по Закона. За централизиран орган е определена Комисията за защита на личните данни („КЗЛД“). За щастие са ѝ възложени и възможности за изграждане на специализиран екип за тази цел, защото и без това КЗЛД изглежда претоварена от задълженията си във връзка с GDPR. КЗЛД ще има правомощия да проверява сигналите, но и ще действа като разпределителен център, препращайки ги до съответния компетентен орган (напр. Комисията за защита на конкуренцията). Все пак КЗЛД няма да разкрива данните на подателя на сигнала, а ще бъде гарант за сигурността му.
Законът съдържа определен механизъм, който цели да се ограничи възможността за злоупотреби и от страна на самите податели на сигналите. Не всяко лице, подало сигнал, може да се ползва от защитата, дадена по силата на Закона. При подаване на сигнал през вътрешен канал подателят следва да е имал основателна причина да счита, че подадената информация за нарушението е била вярна към момента на подаването й и че тази информация попада в материалния обхват на Закона. Сходни са и изискванията за подаване на сигнал през външните канали, но тук има и допълнителни условия, които са алтернативни едно спрямо друго – да е преминат вътрешния ред за сигнали или да се счете, че е налице заплаха за обществения ред или има съществува риск от ответни действия или има вероятност нарушението да не бъде ефективно разгледано поради опасност от укриване или унищожаване на доказателства и т.н.
Мерките за защита за лицата, подали сигнал по надлежния ред, целят основно да ги предпазят от евентуални реваншистки мерки от страна на нарушителя, срещу когото сигналът е подаден. Обхватът на закрилата дори отива и по-далеч като включва лицата, които са спомогнали за подаването на сигнала, дружества, в които подателят на сигнала има дялово участие и т.н.
Самата защита на лицата включва забрана за уволнение, забрана за налагане на дисциплинарни мерки, за предсрочно прекратяване на договори за доставки и др. Освен това сигнализиращите лица не носят отговорност за придобиването на информацията, за която е подаден сигналът или която е публично оповестена, или за достъпа до нея, при условие че това придобиване или този достъп не съставлява самостоятелно престъпление. Изключени са и евентуални санкции от споразумения за конфиденциалност и неразкриване на информация.
Въведена е презумпция за умисъл за всяка вреда, причинена на сигнализиращо лице във връзка с подадения сигнал.
Нарушенията на Закона водят до налагането на имуществени санкции в размери от 400 до 30 000 лева – в зависимост от вида, тежестта и повторяемостта на нарушението. Наказанията се налагат от КЗЛД.