Niezależnie od obowiązku informacyjnego na temat przetwarzania danych, o którym mowa w rodo, organizacja musi spełnić obowiązek informacyjny dotyczący systemu ochrony sygnalistów.
Zgodnie z art. 24 ust. 6 u.o.s.:
6. Osobie ubiegającej się o pracę na podstawie stosunku pracy lub innego stosunku prawnego stanowiącego podstawę świadczenia pracy lub usług lub pełnienia funkcji, lub pełnienia służby podmiot prawny przekazuje informację o procedurze zgłoszeń wewnętrznych wraz z
- rozpoczęciem rekrutacji lub negocjacji
poprzedzających zawarcie umowy.
Z kolei zgodnie z motywem 59 dyrektywy:
(59)
- Osoby, które rozważają zgłoszenie naruszeń prawa Unii, powinny mieć możliwość podjęcia świadomej decyzji o tym, czy, jak i kiedy dokonać zgłoszenia.
- Podmioty prawne w sektorze prywatnym i publicznym, które ustanowiły wewnętrzne procedury dokonywania zgłoszeń, powinny być zobowiązanie do udzielania informacji na temat tych procedur, a także na temat zewnętrznych procedur dokonywania zgłoszeń do odpowiednich właściwych organów. Istotne jest, aby takie informacje były zrozumiałe i łatwo dostępne, w tym, o ile to możliwe, także dla osób innych niż pracownicy, które mają kontakt z danym podmiotem w ramach swojej działalności zawodowej, takich jak
- usługodawcy,
- dystrybutorzy,
- dostawcy i
- partnerzy handlowi.
- Przykładowo takie informacje mogą być umieszczane w widocznym miejscu dostępnym dla wszystkich takich osób oraz na stronie internetowej podmiotu, a także mogą być uwzględniane w programach kursów i szkoleń na temat etyki i uczciwości.
Organizacja nie ma obowiązku, podobnie jak na gruncie rodo, uzyskać dowodu, że osoba zapoznała się z klauzulą informacyjną, musi natomiast być w stanie wykazać, że dała możliwość zapoznania się. Najbardziej odpowiednim do tego miejscem jest strona www, natomiast informacja o tym, że pełna informacja znajduje się na www powinna być w miejscu gdzie następuje pierwszy kontakt z potencjalnym sygnalistą np. w ogłoszeniu rekrutacyjnym, w stopce maila który służy do kontaktu w tym rozpoczęcia negocjacji. Odebranie oświadczenia potencjalnego sygnalisty, że został poinformowany o procedurze jest uzasadnione tylko wtedy gdy nie ma dowodu, że osoba otrzymała taką informację, np. w postaci maila który miał w stopce informację o procedurze.
Należy przy tym zauważyć, że sytuacja w jakiej sygnalista powziął informację o naruszeniu, nazywana w ustawie „kontekstem związanym z pracą”, bardziej zasługuje na miano „kontekstu związanego z działalnością”, ponieważ dotyczy nie tylko pracowników, nie tylko zatrudnionych niepracowniczo ale również partnerów gospodarczych czyli innych przedsiębiorców, którzy mogą być sygnalistami. Natomiast co ważne sygnalistą nie może być konsument, czyli w przeciwieństwie do rodo, którego przedmiotem regulacji są głównie prawa (ochrona) konsumenta, ustawa i dyrektywa nie zajmują się naruszeniami dostrzeżonymi przez konsumenta – stąd też organizacja (np. apteka) nie ma obowiązku wywieszać klauzuli informacyjnej o procedurze dla klientów, którzy odwiedzają jej lokal.
Co kryje się pod pojęciem informacja o procedurze? Informacja o procedurze to informacja o zasadach ochrony sygnalistów w organizacji, czyli informację tę stanowi cała procedura ewentualnie wyciąg z niej (lub rozdział) zawierający najistotniejsze z pkt widzenia sygnalisty informacje. Najlepiej stosować podejście warstwowe i zamieszczać na www skrócony komunikat zawierający najważniejsze informacje o
- kanałach zgłoszeń,
- zakazie działań odwetowych,
- poufności zgłoszenia,
- warunkach podmiotowych i przedmiotowych zastosowania ustawy (statusie sygnalisty),
- odpowiedzialności za zgłoszenie/ujawnienie publiczne w złej wierze (karna) lub na skutek niedbalstwa czyli przy braku uzasadnionych podstaw by sądzić że informacja jest prawdziwa (cywilna i dyscyplinarna)
oraz dalej (np. pod kolejnym linkiem) całą procedurę.