Procedura zgłaszania naruszeń przepisów AML

1. Wstęp

1.1. Celem niniejszej procedury jest ustalenie zasad anonimowego zgłaszania przez pracowników CyberSafe Sp. z o.o. lub inne osoby wykonujące czynności na jej rzecz, rzeczywistych lub potencjalnych naruszeń przepisów z zakresu przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu.

1.2. Procedura jest realizacją art. 53 ustawy z 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (Dz. U. z 2022 r. poz. 593) oraz zapisów ustawy z 23 września 2022 r. o ochronie sygnalistów (Dz. U. poz. 2205).

2. Definicje

Ilekroć w niniejszej procedurze mowa jest o:

a. Obowiązanym - oznacza CyberSafe Sp. z o.o.,

b. Pracowniku - rozumie się przez to pracownika zgodnie z przepisami prawa pracy, jak również inne osoby wykonujące czynności na rzecz Obowiązanego,

c. Zgłaszającym - rozumie się przez to Pracownika lub inną osobę wykonującą czynności na rzecz instytucji obowiązanej, dokonujących zgłoszenia naruszenia przepisów z zakresu przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu,

d. Naruszeniu przepisów - oznacza rzeczywiste lub potencjalne naruszenie przepisów z zakresu przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu, do którego doszło lub prawdopodobnie dojdzie,

e. Zgłoszeniu - oznacza dostarczenie do Obowiązanego, we wskazany w niniejszej Procedurze sposób, informacji o rzeczywistym lub potencjalnym naruszeniach przepisów z zakresu przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu, do którego doszło lub prawdopodobnie dojdzie u Obowiązanego, u którego Zgłaszający uczestniczył w procesie rekrutacji lub innych negocjacji poprzedzających zawarcie umowy, pracuje lub pracował, lub w innym podmiocie prawnym, z którym Zgłaszający utrzymuje lub utrzymywał kontakt w kontekście związanym z pracą, lub informację dotyczącą próby ukrycia takiego naruszenia prawa,

f. Informacji zwrotnej – należy przez to rozumieć przekazaną Zgłaszającemu informację na temat planowanych lub podjętych działań następczych i powodów takich działań,

g. Kontekście związanym z pracą – należy przez to rozumieć przeszłe, obecne lub przyszłe działania związane z wykonywaniem pracy na podstawie stosunku pracy lub innego stosunku prawnego stanowiącego podstawę świadczenia pracy lub usług lub pełnienia funkcji u Obowiązanego lub na rzecz tego podmiotu, lub pełnienia służby u Obowiązanego, w ramach których uzyskano informację o naruszeniu prawa oraz istnieje możliwość doświadczenia działań odwetowych

h. Osobie, której dotyczy zgłoszenie – należy przez to rozumieć osobę fizyczną, osobę prawną lub jednostkę organizacyjną nieposiadającą osobowości prawnej, której ustawa przyznaje zdolność prawną, wskazaną w Zgłoszeniu jako osoba, która dopuściła się naruszenia przepisów, lub jako osoba, z którą osoba, która dopuściła się naruszenia prawa, jest powiązana

i. Osobie pomagającej w dokonaniu Zgłoszenia – należy przez to rozumieć osobę fizyczną, która pomaga Zgłaszającemu w Zgłoszeniu w kontekście związanym z pracą i której pomoc nie powinna zostać ujawniona

j. Osobie powiązanej ze Zgłaszającym – należy przez to rozumieć osobę fizyczną, która może doświadczyć działań odwetowych, w tym współpracownika lub osobę najbliższą Zgłaszającego.

3. Osoba odpowiedzialna za odbieranie Zgłoszeń

Osobą odpowiedzialną za odbieranie Zgłoszeń jest Anna Kowalska.

4. Sposób odbierania zgłoszeń

4.1. Zgłaszający może przekazać informację o Naruszeniu przepisów poprzez:

a. zgłoszenie anonimowe - zapewniające brak możliwości identyfikacji Zgłaszającego,

b. zgłoszenie nieposiadające cech anonimowości - zapewniające możliwość identyfikacji Zgłaszającego oraz przekazania mu Informacji zwrotnej.

Sposoby przekazywania Zgłoszeń obejmują co najmniej możliwość dokonywania zgłoszeń ustnie lub pisemnie. Zgłoszenie ustne może być dokonane telefonicznie lub za pośrednictwem środków komunikacji elektronicznej. Zgłoszenie pisemne może być dokonane w postaci papierowej lub elektronicznej.

4.2. Sposoby przyjmowania zgłoszeń anonimowych:

a. pocztą elektroniczną - przesyłane na adres: [email protected],

b. telefonicznie - bezpośrednio pod numer +48 555 444 333,

c. korespondencyjnie, pocztą wewnętrzną lub zewnętrzną, przesłane na adres: ul. Kwiatowa 12, 00-001 Warszawa,

d. za pomocą anonimowego formularza zamieszczonego w Intranecie prowadzonym przez Obowiązanego.

4.3. Sposoby przyjmowania zgłoszeń, nieposiadających cech anonimowości:

a) pocztą elektroniczną - przesyłane na adres: [email protected],

b) telefonicznie - bezpośrednio pod numer +48 555 444 333,

c) korespondencyjnie, pocztą wewnętrzną lub zewnętrzną, przesłane na adres: ul. Kwiatowa 12, 00-001 Warszawa,

d) bezpośrednio do Anny Kowalskiej.

4.4. Zgłoszenie ustne dokonane za pośrednictwem nagrywanej linii telefonicznej lub innego nagrywanego systemu komunikacji głosowej jest dokumentowane za zgodą Zgłaszającego w formie:

1) nagrania rozmowy, umożliwiającego jej wyszukanie, lub

2) kompletnej i dokładnej transkrypcji rozmowy przygotowanej przez CyberSafe Sp. z o.o..

4.5. Zgłoszenie ustne dokonane za pośrednictwem nienagrywanej linii telefonicznej lub innego nienagrywanego systemu komunikacji głosowej jest dokumentowane w formie protokołu rozmowy, odtwarzającego dokładny jej przebieg, sporządzonego przez CyberSafe Sp. z o.o..

4.6. W przypadkach, o którym mowa w ust. 4 pkt 2 oraz ust. 5, Zgłaszający może dokonać sprawdzenia, poprawienia i zatwierdzenia transkrypcji rozmowy lub protokołu rozmowy przez ich podpisanie.

4.7. Na wniosek Zgłaszającego zgłoszenie ustne może być dokonane podczas bezpośredniego spotkania zorganizowanego w terminie 7 dni od dnia otrzymania takiego wniosku. W takim przypadku za zgodą Zgłaszającego zgłoszenie jest dokumentowane w formie:

1) nagrania rozmowy, umożliwiającego jej wyszukanie, lub

2) protokołu spotkania, odtwarzającego jego dokładny przebieg, przygotowanego przez CyberSafe Sp. z o.o.. W tym przypadku Zgłaszający może dokonać sprawdzenia, poprawienia i zatwierdzenia protokołu spotkania przez jego podpisanie.

4.8. Zgłoszenie powinno zawierać:

a) wskazanie, na czym polega zidentyfikowane Naruszenie przepisów,

b) wyczerpujące uzasadnienie zidentyfikowanego Naruszenia przepisów,

c) jeżeli jest to możliwe - datę Naruszenia przepisów,

d) w przypadku zgłoszeń, nieposiadających cech anonimowości - imię i nazwisko Zgłaszającego, nazwę firmy, w której jest zatrudniony oraz dane do kontaktu.

4.9. W przypadku Zgłoszenia nieposiadającego cech anonimowości, Zgłaszający jest informowany o przyjęciu zgłoszenia w terminie 7 dni od dnia jego otrzymania.

5. Sposób ochrony Zgłaszającego

5.1. Obowiązany zapewnia Zgłaszającemu całkowitą poufność co do wszystkich informacji przekazanych w zgłoszeniu oraz ochronę przed działaniami o charakterze represyjnym lub wpływającymi na pogorszenie jego sytuacji prawnej lub faktycznej, lub polegającymi na kierowaniu gróźb, w szczególności działań negatywnie wpływających na jego warunki pracy lub zatrudnienia.

5.2. Jeżeli praca była, jest lub ma być świadczona na podstawie stosunku pracy, wobec Zgłaszającego nie mogą być podejmowane działania odwetowe, polegające w szczególności na:

1) odmowie nawiązania stosunku pracy;

2) wypowiedzeniu lub rozwiązaniu bez wypowiedzenia stosunku pracy;

3) niezawarciu umowy o pracę na czas określony lub umowy o pracę na czas nieokreślony po rozwiązaniu umowy o pracę na okres próbny, niezawarciu kolejnej umowy o pracę na czas określony lub niezawarciu umowy o pracę na czas nieokreślony po rozwiązaniu umowy o pracę na czas określony – w przypadku gdy sygnalista miał uzasadnione oczekiwanie, że zostanie z nim zawarta taka umowa;

4) obniżeniu wysokości wynagrodzenia za pracę;

5) wstrzymaniu awansu albo pominięciu przy awansowaniu;

6) pominięciu przy przyznawaniu innych niż wynagrodzenie świadczeń związanych z pracą lub obniżeniu wysokości tych świadczeń;

7) przeniesieniu na niższe stanowisko pracy;

8) zawieszeniu w wykonywaniu obowiązków pracowniczych lub służbowych;

9) przekazaniu innemu pracownikowi dotychczasowych obowiązków sygnalisty;

10) niekorzystnej zmianie miejsca wykonywania pracy lub rozkładu czasu pracy;

11) negatywnej ocenie wyników pracy lub negatywnej opinii o pracy;

12) nałożeniu lub zastosowaniu środka dyscyplinarnego, w tym kary finansowej, lub środka o podobnym charakterze;

13) przymusie, zastraszaniu lub wykluczeniu;

14) mobbingu;

15) dyskryminacji;

16) niekorzystnym lub niesprawiedliwym traktowaniu;

17) wstrzymaniu udziału lub pominięciu przy typowaniu do udziału w szkoleniach podnoszących kwalifikacje zawodowe;

18) nieuzasadnionym skierowaniu na badania lekarskie, w tym badania psychiatryczne, chyba że przepisy odrębne przewidują możliwość skierowania pracownika na takie badania;

19) działaniu zmierzającemu do utrudnienia znalezienia w przyszłości pracy w danym sektorze lub w danej branży na podstawie nieformalnego lub formalnego porozumienia sektorowego lub branżowego;

20) spowodowaniu straty finansowej, w tym gospodarczej, lub utraty dochodu;

21) wyrządzeniu innej szkody niematerialnej, w tym naruszeniu dóbr osobistych, w szczególności dobrego imienia sygnalisty.

5.3. Za działania odwetowe z powodu dokonania Zgłoszenia uważa się także próbę lub groźbę zastosowania środka określonego w ust. 2.

5.4. Na Obowiązanym spoczywa ciężar dowodu, że podjęte działanie, o którym mowa w ust. 2 i 3, nie jest działaniem odwetowym.

5.5. Jeżeli praca lub usługi były, są lub mają być świadczone na podstawie innego niż stosunek pracy stosunku prawnego stanowiącego podstawę świadczenia pracy lub usług lub pełnienia funkcji, lub pełnienia służby, przepis ww. ust. 2-4 stosuje się odpowiednio, o ile charakter świadczonej pracy lub usług lub pełnionej funkcji, lub pełnionej służby nie wyklucza zastosowania wobec Zgłaszającego takiego działania.

5.6. Jeżeli praca lub usługi były, są lub mają być świadczone na podstawie innego niż stosunek pracy stosunku prawnego stanowiącego podstawę świadczenia pracy lub usług lub pełnienia funkcji, lub pełnienia służby, dokonanie Zgłoszenia nie może stanowić podstawy działań odwetowych ani próby lub groźby zastosowania działań odwetowych, obejmujących w szczególności:

1) wypowiedzenie umowy, której stroną jest Obowiązany, w szczególności dotyczącej sprzedaży lub dostawy towarów lub świadczenia usług, odstąpienie od takiej umowy lub rozwiązanie jej bez wypowiedzenia;

2) nałożenie obowiązku lub odmowę przyznania, ograniczenie lub odebranie uprawnienia, w szczególności koncesji, zezwolenia lub ulgi.

5.7 Zgłaszający, wobec którego dopuszczono się działań odwetowych, ma prawo do odszkodowania.

5.8 Osoba, która poniosła szkodę z powodu świadomego Zgłoszenia nieprawdziwych informacji przez Zgłaszającego, ma prawo do odszkodowania lub zadośćuczynienia za naruszenie dóbr osobistych od Zgłaszającego, który dokonał takiego Zgłoszenia.

5.9 Przepisy niniejszego rozdziału stosuje się odpowiednio do osoby pomagającej w dokonaniu Zgłoszenia oraz osoby powiązanej ze Zgłaszającym.

6. Sposób ochrony danych osobowych

6.1. Dane osobowe Zgłaszającego, osób wymienionych w treści zgłoszenia oraz osoby, której dotyczy Zgłoszenie, podlegają ochronie zgodnie z przepisami o ochronie danych osobowych, a w szczególności zgodnie z przepisami rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.Urz. UE L 119/1).

6.2. Obowiązany przechowuje dane osobowe zawarte w przekazanym zgłoszeniu, przez czas prowadzenia postępowania wyjaśniającego, a po jego zakończeniu przez okres niezbędny do usunięcia konsekwencji ustalonych nieprawidłowości i pociągnięcia do odpowiedzialności osób zaangażowanych w zidentyfikowane działania, gdyby wymagały tego przepisy prawa powszechnie obowiązującego, nie krócej jednak niż 5 lat od dnia dokonania Zgłoszenia.

6.3. Obowiązany uniemożliwia dostęp do danych osobowych Zgłaszającego, osób wymienionych w treści zgłoszenia oraz osoby, której dotyczy Zgłoszenie, podmiotom do tego nieupoważnionym oraz zapewnia ochronę poufności tożsamości Zgłaszającego, osoby, której dotyczy zgłoszenie, oraz osoby trzeciej wskazanej w zgłoszeniu. Ochrona poufności dotyczy informacji, na podstawie których można bezpośrednio lub pośrednio zidentyfikować tożsamość takich osób.

6.4. Dane osobowe Zgłaszającego, pozwalające na ustalenie jego tożsamości, podlegają ujawnieniu za jego wyraźną zgodą.

6.5. Przepisu ust. 4 nie stosuje się w przypadku, gdy ujawnienie jest koniecznym i proporcjonalnym obowiązkiem wynikającym z przepisów prawa w związku z postępowaniami wyjaśniającymi prowadzonymi przez organy publiczne lub postępowaniami przygotowawczymi lub sądowymi prowadzonymi przez sądy, w tym w celu zagwarantowania prawa do obrony przysługującego osobie, której dotyczy zgłoszenie.

6.6. Obowiązany po otrzymaniu Zgłoszenia przetwarza dane osobowe w zakresie niezbędnym do przyjęcia Zgłoszenia lub podjęcia ewentualnego działania następczego. Dane osobowe, które nie mają znaczenia dla rozpatrywania Zgłoszenia, nie są zbierane, a w razie przypadkowego zebrania są niezwłocznie usuwane. Usunięcie tych danych osobowych następuje w terminie 3 dni od chwili ustalenia, że nie mają one znaczenia dla sprawy.

6.7. Do przyjmowania i weryfikacji Zgłoszeń, podejmowania działań następczych oraz przetwarzania danych osobowych osób, o których mowa w ust. 1, mogą być dopuszczone wyłącznie osoby posiadające pisemne upoważnienie Obowiązanego. Osoby upoważnione są obowiązane do zachowania tajemnicy w zakresie informacji i danych osobowych, które uzyskały w ramach przyjmowania i weryfikacji Zgłoszeń oraz podejmowania działań następczych, także po ustaniu stosunku pracy lub innego stosunku prawnego, w ramach którego wykonywały tę pracę.

7. Zasady zachowania poufności w przypadku ujawnienia tożsamości osób zaangażowanych

7.1. W przypadku ujawnienia tożsamości Zgłaszającego oraz osoby, której dotyczy Zgłoszenie, lub gdy ich tożsamość jest możliwa do ustalenia, Obowiązany zapewnia ponadprzeciętne środki dotyczące zachowania poufności. W szczególności Obowiązany zapewnia ponadprzeciętną ochronę przed działaniami o charakterze dyskryminacyjnym lub odwetowym.

7.2. W przypadku zaistnienia działań niepożądanych osoba, którą spotkały takie działania, może powiadomić Annę Kowalską, o okolicznościach i rodzaju działań, jakie ją dotknęły. Po otrzymaniu takiego powiadomienia, niezwłocznie powinny zostać wdrożone działania, mające na celu minimalizację lub całkowite wyeliminowanie działań niepożądanych, dostosowane do zaistniałej sytuacji.

8. Działania podejmowane po odebraniu zgłoszenia

8.1. Otrzymane zgłoszenie należy niezwłocznie przekazać do Działu Compliance, odpowiedzialnego za przeprowadzenie postępowania wewnętrznego, dotyczącego zgłoszenia Naruszenia przepisów (dalej: Dział Compliance), który w pierwszej kolejności powinien dokonać weryfikacji Zgłoszenia.

8.2. Postępowanie wewnętrzne trwa nie dłużej niż 30 dni od dnia otrzymania Zgłoszenia, a w sprawach szczególnie skomplikowanych, termin ten może ulec przedłużeniu o kolejne 15 dni. W trakcie postępowania Dział Compliance podejmuje działania z zachowaniem należytej staranności. W szczególności dopuszczalna jest komunikacja ze Zgłaszającym, w tym występowanie o dodatkowe informacje, niezbędne do prawidłowego przeprowadzenia postępowania.

8.3. Z postępowania wewnętrznego jest sporządzany raport, który zawiera dokładny opis dokonanego zgłoszenia i wskazanych w nim Naruszeń przepisów, działania podjęte przez Dział Compliance, wskazanie osób zaangażowanych i ich rolę w ramach Zgłoszenia oraz ostateczne ustalenia w zakresie informacji przekazanych w Zgłoszeniu.

8.4. Raport z postepowania wyjaśniającego jest niezwłocznie, najpóźniej w ciągu 3 dni roboczych, przekazywany do Dyrektora ds. Bezpieczeństwa działającego u Obowiązanego, który dokonuje jego analizy według wewnętrznej procedury i wydaje stosowne decyzje w stosunku do zaangażowanych osób.

8.5. W przypadku ustalenia, że zgłoszone Naruszenie przepisów, stanowi naruszenie przepisów prawa powszechnie obowiązującego, Dyrektor ds. Bezpieczeństwa zawiadamia o tym właściwe organy bezpośrednio lub za pośrednictwem dedykowanej do tego Jednostki AML, działającej w strukturach Obowiązanego.

8.6. W przypadku Zgłoszenia nieposiadającego cech anonimowości, Zgłaszający jest informowany o wyniku postepowania wyjaśniającego poprzez przekazanie informacji zwrotnej w terminie 30 dni od dnia potwierdzenia przyjęcia Zgłoszenia.

8.7. W przypadku Zgłoszenia anonimowego, postępowania prowadzone jest na takich samych zasadach, jak w przypadku Zgłoszenia nieposiadającego cech anonimowości, z tym że w trakcie trwania postępowania nie podejmuje się jakichkolwiek działań celem ustalenia tożsamości Zgłaszającego czy próby pozyskania od niego uzupełniających informacji, a Zgłaszający nie jest informowany o wyniku postepowania wyjaśniającego.

9. Pozostałe obowiązki

9.1. Dział Compliance prowadzi Rejestr Zgłoszeń, z podziałem na Zgłoszenia anonimowe oraz Zgłoszenia nieposiadające cech anonimowości;

9.2. Rejestr Zgłoszeń obejmuje:

1) numer zgłoszenia;

2) przedmiot naruszenia prawa;

3) dane osobowe Zgłaszającego oraz osoby, której dotyczy zgłoszenie, niezbędne do identyfikacji tych osób;

4) adres do kontaktu Zgłaszającego;

5) datę dokonania zgłoszenia;

6) informację o podjętych działaniach następczych;

7) datę zakończenia sprawy.

9.3. Dane osobowe oraz pozostałe informacje w Rejestrze Zgłoszeń są przechowywane przez 5 lat po zakończeniu roku kalendarzowego, w którym zakończono działania następcze, lub po zakończeniu postępowań zainicjowanych tymi działaniami.

9.4. Dla skutecznego wdrożenia systemu zgłaszania rzeczywistych lub potencjalnych naruszeń przepisów z zakresu przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu Obowiązany podejmuje stosowne działania związane z edukacją wewnętrzną oraz szkoleniami, kierowane do pracowników oraz osób odpowiedzialnych za prowadzenie wewnętrznych postępowań wyjaśniających.

10. Postanowienia końcowe

Za wdrożenie niniejszej procedury, jej stosowanie i aktualność zawartych w niej zapisów odpowiada Anna Kowalska.