Másfél éves késedelemmel ugyan, de a Parlament elfogadta a visszaélések-bejelentésére vonatkozó törvényt, amely alapján az 50 főnél több foglalkoztatottal működő szervezeteknek belső visszaélés-bejelentési rendszert kell majd működtetniük. A törvény a kihirdetése utáni 60. napon lép majd hatályba. (Frissítés 2023.05.24.: A köztársasági elnöki "vétót" követően elfogadásra került a törvény új változata, amely a belső visszaélés-bejelentési rendszerek - alábbiakban tárgyalt - főbb szabályait illetően nem tartalmaz érdemi eltérést az eredeti verzióhoz képest. Frissítés 2023.06.06.: A törvény (2023. XXV. törvény) május 25-én megjelent a Magyar Közlönyben, így 2023. július 24-én lép hatályba.) 

Ahogy arról korábban írtam, a tagállamoknak 2021. december 17-ig kellett (volna) átültetniük a nemzeti jogukba a 2019/1937. sz. irányelvet az uniós jog megsértését bejelentő személyek védelméről, de erre - több tagállam mellett - Magyarországon sem került sor a megadott határidőn belül. 

Az alábbiakban az elfogadott jogszabályszöveg alapján mutatom be a foglalkoztatók által létrehozandó belső visszaélés-bejelentési rendszerekre vonatkozó főbb szabályokat (lásd törvény II. fejezet 4-5. alcím). 

Mely foglalkoztatóknak kell visszaélés-bejelentési rendszer létrehozniuk?

Az alábbi foglalkoztatóknak kell belső visszaélés-bejelentési rendszert működtetniük: 

• legalább 50 főt foglalkoztatásra irányuló jogviszony keretében foglalkoztatók, 
• létszámtól függetlenül, azon foglalkoztatóknak, amelyek 
  1. a pénzmosás és a terrorizmus finanszírozása megelőzéséről és megakadályozásáról szóló 2017. évi LIII. törvény 1. § (1) és (1a) bekezdés hatálya alá tartoznak,
  2. a Magyarországon bejegyzett és az Európai Unió határain kívül engedélyesként vagy üzemeltetőként tengeri olaj- és gázipari tevékenységet folytatnak,
  3. a polgári légi közlekedési események jelentéséről, elemzéséről és nyomon követéséről, valamint a 996/2010/EU európai parlamenti és tanácsi rendelet módosításáról és a 2003/42/EK európai parlamenti és tanácsi irányelv, valamint az 1321/2007/EK bizottsági rendelet és az 1330/2007/EK bizottsági rendelet hatályon kívül helyezéséről szóló, 2014. április 3-i 376/2014/EU európai parlamenti és tanácsi rendelet hatálya alá tartoznak, és
  4. Magyarország területén tartózkodó magyar és nem magyar lobogójú, üzemben lévő úszólétesítményt üzemeltetnek.

Azon foglalkoztatók, amelyek legalább 50, de legfeljebb 249 személyt foglalkoztatásra irányuló jogviszony keretében foglalkoztatnak, a belső visszaélés-bejelentési rendszert közösen is létrehozhatják. A foglalkoztató akkor is létrehozhat belső visszaélés-bejelentési rendszert, ha a törvény alapján ilyen kötelezettsége nem áll fenn.

Az állami és önkormányzati szerveknél létrehozandó visszaélés-bejelentési rendszerekre vonatkozóan néhány további rendelkezést is tartalmaz a törvény, illetve külön alcímben foglalkozik az egyes állami szervek (pl. GVH, Integritás Hatóság, Közbeszerzési Hatóság, MNB, NAIH, NMHH SZTFH) által létrehozott elkülönített visszaélés-bejelentési rendszerekkel (erről részletesebben lásd a törvény 6-7. alcímében foglaltakat). 

Meddig kell a visszaélés-bejelentési rendszert létrehozniuk a foglalkoztatóknak?

A visszaélés-bejelentési rendszerre vonatkozó törvény az elfogadását követő 60. napon lép hatályba, így főszabály szerint, eddigre kell a belső visszaélés-bejelentési rendszert létrehozni. Ugyanakkor az 50-249 főt foglalkoztatók kapnak egy kis haladékot és a törvényből fakadó kötelezettségeiket 2023. december 17-től kell majd teljesíteniük. Ez a kivétel nem vonatkozik azon foglalkoztatókra, amelyek foglalkoztatotti létszámtól függetlenül kötelesek belső visszaélés-bejelentési rendszert létrehozni.    

(A törvény helyi önkormányzatra, helyi önkormányzat irányítása vagy felügyelete alatt álló költségvetési szervre, vagy a helyi önkormányzat tulajdonában vagy tulajdonosi joggyakorlása alatt álló szervezetre, gazdasági társaságra vonatkozó szabályait 2025. január 1-jétől kell alkalmazni.) 

Ki működtetheti a belső visszaélés-bejelentési rendszert?

A belső visszaélés-bejelentési rendszert:

• a foglalkoztatónál egy erre a célra kijelölt, pártatlan személy vagy szervezeti egység működtetheti, illetve 
• - szerződés keretében - bejelentővédelmi ügyvéd vagy más külső szervezet is működtetheti (külső szervezet megbízása esetén a külső szervezetre a bejelentővédelmi ügyvédre irányadó összeférhetetlenségi és pártatlansági szabályokat alkalmazni kell).

Mi a teendő a bejelentések alapján?

A belső visszaélés-bejelentési rendszerbe érkező bejelentések kapcsán az alábbi folyamati lépések megtételére kerül sor: 

Milyen határidőkre kell figyelemmel lenni a bejelentések kezelése kapcsán?

Hogyan lehet megtenni a bejelentéseket?

A bejelentéseket szóban (személyesen vagy telefonon/más hangüzenetküldő rendszer útján) és írásban lehet majd megtenni. 

Milyen kötelezettségek teljesítésére kell felkészülniük a rendszer üzemeltetésére köteles foglalkoztatóknak? 

A törvény alapján az alábbi kötelezettségek teljesítésére fel kell készülniük a foglalkoztatóknak, a rendszer működtetőinek: 

• szóbeli, írásbeli bejelentések fogadása, megfelelő csatornák kialakítása, 
• világos és könnyen hozzáférhető információ nyújtása a rendszer működésére, a bejelentéssel kapcsolatos eljárásra, valamint a törvény szerinti visszaélés-bejelentési rendszerekre és eljárásokra vonatkozóan,
• a szóban tett bejelentés tartós és visszakereshető formában történő rögzítése (az adatvédelmi szabályok betartása mellett) vagy írásba foglalása és a másodpéldány átadása a bejelentőnek, 
• szóbeli bejelentés esetén a bejelentő figyelmének felhívása a rosszhiszemű bejelentés következményeire, a bejelentés kivizsgálására irányadó eljárási szabályokra és arra, hogy személyazonosságát – ha az annak megállapításához szükséges adatokat megadja – a vizsgálat valamennyi szakaszában bizalmasan kezelik,
• írásbeli bejelentés esetén, annak kézhezvételétől számított 7 napon belül a bejelentés megtételéről visszaigazolás küldése és általános tájékoztatás nyújtása az eljárási és adatkezelési szabályokról, 
• a bejelentés kivizsgálása legfeljebb a bejelentés beérkezésétől számított 30 napon belül (ezt a határidőt különösen indokolt esetben, a bejelentő egyidejű tájékoztatása mellett lehet meghosszabbítani, de a bejelentés kivizsgálásának és a bejelentőnek a kivizsgálás eredményére vonatkozó tájékoztatásának határideje a meghosszabbítás esetén sem haladhatja meg a 3 hónapot),
• kapcsolattartás a bejelentővel, 
• a bejelentésben foglalt körülmények helytállóságának értékelése, és a visszaélések orvoslására alkalmas intézkedések meghozatala,
• ha a bejelentés alapján büntetőeljárás kezdeményezése indokolt, akkor intézkedni kell a feljelentés megtételéről,
• a bejelentés kivizsgálásáról vagy annak mellőzéséről és a mellőzés indokáról, a bejelentés kivizsgálásának eredményéről, a megtett vagy tervezett intézkedésekről a bejelentő írásban történő tájékoztatása (kivételesen mellőzhető az írásbeli tájékoztatás, ha a tájékoztatás szóban megtörténik és a bejelentő ezt tudomásul veszi).

Milyen adatvédelmi követelményeket állapít meg a törvény?

A belső visszaélés-bejelentési rendszerekkel kapcsolatban az alábbi adatvédelmi követelmények is érvényesülnek, így különösen 

1. a bejelentőnek és annak a személynek, akinek a magatartása vagy mulasztása a bejelentésre okot adott, vagy aki a bejelentésben foglaltakról érdemi információval rendelkezhet, a bejelentés kivizsgálásához elengedhetetlenül szükséges személyes adatai kizárólag a bejelentés kivizsgálása és a bejelentés tárgyát képező magatartás orvoslása vagy megszüntetése céljából kezelhetők, és a bejelentés kivizsgálásában közreműködő bejelentővédelmi ügyvéd, illetve külső szervezet részére továbbíthatóak,
2. adatok közül haladéktalanul törölni kell a fenit i. pont hatálya alá nem tartozó személyes adatokat (azaz azokat az adatokat, amelyek a bejelentés kivizsgálásához nem elengedhetetlenül szükségesek),
3. a bejelentő  személyes adatai eljárás lefolytatására hatáskörrel rendelkező szerv részére átadhatóak, ha e szerv annak kezelésére törvény alapján jogosult, vagy az adatai továbbításához a bejelentő egyértelműen hozzájárult, kivéve ha nyilvánvalóvá vált, hogy a bejelentő rosszhiszeműen, valótlan adatot vagy információt közölt és a) ezzel bűncselekmény vagy szabálysértés elkövetésére utaló körülmény merül fel, személyes adatait az eljárás lefolytatására jogosult szerv vagy személy részére át kell adni, b) alappal valószínűsíthető, hogy másnak jogellenes kárt vagy egyéb jogsérelmet okozott, személyes adatait az eljárás kezdeményezésére, illetve lefolytatására jogosult szervnek vagy személynek kérelmére át kell adni, 
4. ha a bejelentés természetes személyre vonatkozik, az e természetes személyt megillető, a személyes adatok védelmére vonatkozó előírások szerinti, a tájékoztatáshoz és hozzáféréshez való joga gyakorlása során a bejelentő személyes adatai nem tehetők megismerhetővé a tájékoztatást kérő személy számára,
5. a rendszer keretei között kezelt adatok más államba vagy nemzetközi szervezet részére történő továbbítására kizárólag a továbbítás címzettje által tett, a bejelentésre vonatkozó, a törvényben foglalt szabályok betartására irányuló jogi kötelezettségvállalás esetén és a személyes adatok védelmére vonatkozó előírások figyelembevételével kerülhet sor, 
6. a rendszert úgy kell kialakítani, hogy a személyazonosságát felfedő bejelentő vagy a bejelentésben érintett személy (illetve a bejelentésben foglaltakról érdemi információval rendelkező személy) személyes adatait a bejelentést kivizsgáló személyeken kívül más ne ismerhesse meg, 
7. a bejelentésben érintett személyt (illetve a bejelentésben foglaltakról érdemi információval rendelkező személyt) a vizsgálat megkezdésekor részletesen tájékoztatni kell a bejelentésről, a személyes adatai védelmével kapcsolatban őt megillető jogairól, valamint az adatai kezelésére vonatkozó szabályokról (a bejelentésben érintett személy tájékoztatására kivételesen, indokolt esetben később is sor kerülhet, ha az azonnali tájékoztatás meghiúsítaná a bejelentés kivizsgálását).

Mely hatóság(ok) ellenőrizheti(k) a belső visszaélés-bejelentési rendszerrel kapcsolatos szabályok betartását és milyen következményekkel járhat a szabályok megsértése?

A foglalkoztatókra vonatkozó kötelezettségek teljesítését a foglalkoztatás-felügyeleti hatóság ellenőrzi. A kötelezettségek megsértése esetén a foglalkoztatást elősegítő szolgáltatásokról és támogatásokról, valamint a foglalkoztatás felügyeletéről szóló 2020. évi CXXXV. törvény szerinti rendelkezések irányadóak azzal az eltéréssel, hogy bírság és tevékenység végzésétől történő eltiltás nem alkalmazható. (Kérdés, hogy ezen jogkövetkezmények hiányában a foglalkoztatók mennyire lesznek motiváltak a visszaélés-bejelentési rendszerek létrehozatalára és megfelelő működtetésére.) 

Ezen túlmenően természetesen a visszaélés-bejelentési rendszerek jellegénél fogva az adatvédelmi kérdéseknek nagyon komoly jelentősége van a rendszer működtetése során, így az adatvédelmi hatóság (NAIH) szerepe is kiemelt a működés ellenőrzése kapcsán. Vélhetően a foglalkoztatók által működtetett visszaélés-bejelentési rendszerek számának jelentős növekedése miatt (ami a rendszerek működtetésére kötelezett kör jelentős bővítése miatt elkerülhetetlen) az ilyen rendszerekkel és a visszaélés-bejelentésekhez kapcsolódó adatkezelésekkel kapcsolatos adatvédelmi ügyek száma is növekedhet.

Továbbá a szabálysértési törvénybe beemelésre kerül új tényállásként a bejelentő üldözése, amely azon személyekkel szemben lesz alkalmazható, akik a bejelentővel szemben hátrányos intézkedést tesznek vagy akik visszaélés-bejelentés megtételét akadályozzák vagy megkísérlik akadályozni.