На 4 май 2023 г. влезе в сила Закона за защита на лицата, подаващи сигнали или публично оповестяващи информация за нарушения[1] (ЗЗЛПСПОИН), който възложи на задължените по него субекти редица задължения, в т.ч. и създаването на вътрешен канал за подаване на сигнали за нарушения, който трябва да отговаря на изискванията на закона, т. е. да се управлява по начин, който гарантира пълнотата, целостта и поверителността на информацията, да възпрепятства достъпа на неоправомощени лица до тази информация, както и да дава възможност за съхранение на записана на траен носител информация за нуждите на проверката по сигнала и за по-нататъшни разследвания.
В чл. 12, ал. 1 от закона са посочени и задължените субекти, сред които са работодателите от частния сектор с 50 и повече работници и служители, както и работодателите от частния сектор независимо от броя на работниците или служителите, ако осъществяваната от тях дейност попада в приложното поле на актовете на Европейския съюз, посочени в част I, буква „Б“ и част II от приложението към чл. 3, ал. 1 и 3 на закона.
Избраната законодателна техника, с която се препраща към актове на ЕС, поражда известни трудности при тълкуването особено като се вземе предвид и че част от тези актове принадлежат към вторичното право на Съюза и са били транспонирани по различни начини в националното ни законодателство. Пример е Директива (ЕС) 2015/849 на Европейския парламент и на Съвета от 20 май 2015 г. за предотвратяване използването на финансовата система за целите на изпирането на пари и финансирането на тероризма[2], посочена в част II, буква „А“, т. 2 а) на Приложението към чл. 3, ал. 3 на ЗЗЛПСПОИН.
Изискванията на Директива (ЕС) 2015/849 са въведени в българското законодателство със Закона за мерките срещу изпирането на пари (вж. § 3 от Допълнителните разпоредби на ЗМИП). Задължените субекти по ЗМИП са посочени в чл. 4, като техният брой е значителен. Все пак заслужава да се отбележат някои от тях като счетоводителите и регистрираните одитори, посредниците при сделки с недвижими имоти, лицата, които по занятие извършват правни консултации в предвидените случаи, нотариусите и частните съдебни изпълнители и др.
Изводът, който се налага от тълкуването на посочените разпоредби, е, че всички субекти, задължени по ЗМИП, се явяват задължени и по новия Закон за защита на лицата, подаващи сигнали или публично оповестяващи информация за нарушения.
Това заключение се потвърждава и в писмено становище на Комисията за защита на личните данни (КЗЛД) в качеството ѝ на централен орган за външно подаване на сигнали. Нещо повече, задължението за създаване на вътрешен канал за сигнали е предвидено и в новия Регламент (ЕС) 2024/1624 за предотвратяване на използването на финансовата система за целите на изпирането на пари или финансирането на тероризма[3]. Чл. 14, параграф 2 на Регламента гласи: „2. Задължените субекти създават канали за вътрешно подаване на сигнали, които отговарят на изискванията, определени в Директива (ЕС) 2019/1937[4].“ Директива (ЕС) 2019/1937 е транспонирана в българското законодателство със ЗЗЛПСПОИН (вж. § 2 от Допълнителните разпоредби на закона).
В следващия параграф на същия член е направено уточнението, че това задължение не се прилага, когато задълженият субект е физическо лице или юридическо лице, чиито дейности се извършват само от едно физическо лице.
Всички останали задължени субекти обаче следва да изпълнят задължението си по закон и да създадат такъв вътрешен канал за подаване на сигнали, да определят отговорни лица за приемането и регистрирането на сигнала, като те могат да бъдат както от тяхната структура, така и външни за нея, с това уточнение, че приемането на устен сигнал може да става само от лице от структурата на субекта съгласно разясненията, дадени от КЗЛД. Лицата, разглеждащи сигнала по същество обаче, следва задължително да са част от структурата.
Следва да бъде предвидена и процедура, по която сигналът да се разглежда, технически и организационни мерки, които да гарантират, че самоличността на подаващия сигнала ще остане в тайна за всички, които не са оправомощени, както и мерки за защита и подкрепа на подателя и свързаните с него лица.
За целта задълженията субект трябва да приеме вътрешни правила и да определи отговорните за изпълнението им лица, които да са запознати със задълженията си и да ги изпълняват в сроковете, определени от закона. Например, да регистрират незабавно получения сигнал, използвайки утвърдения от КЛЗД формуляр и снабдявайки се с уникален номер от сайта на Комисията.
При неизпълнение на тези задължения или част от тях ЗЗЛПСПОИН предвижда глоби и имуществени санкции в сериозни размери. Ако задълженият субект не е създал вътрешен канал, го заплашва глоба от 1000 до 5000 лева, а ако е юридическо лице – имуществената санкция е в границите от 5000 до 20 000 лева. Предвидени са санкции и в редица други хипотези, например възпрепятстване подаването на сигнал, предприемането на ответни мерки срещу подалия сигнала и др., като и там санкциите са в значителни размери, достигащи до 8 000 лева.
Като сравнително нов закон тълкуването и прилагането на ЗЗЛПСПОИН среща известни трудности и неясноти, които практиката ще преодолее с времето. Контролната дейност на КЗЛД в тази посока все още остава незадоволителна, може би и вследствие на прекалено многото отговорности, които са вменени на този орган. Това обаче не отменя задължението на лицата, посочени в приложното поле на закона, да създадат и поддържат свой канал за подаване на сигнали, както и да предоставят ясна и лесно достъпна информация за него в своите офиси и на своите сайтове.
[1] https://lex.bg/en/laws/ldoc/2137231156
[2] https://eur-lex.europa.eu/legal-content/bg/TXT/?uri=CELEX%3A32015L0849
[3] https://eur-lex.europa.eu/legal-content/BG/TXT/HTML/?uri=OJ:L_202401624
[4] https://eur-lex.europa.eu/legal-content/BG/TXT/HTML/?uri=CELEX:32019L1937
