§ 1.[Zakres regulacji] Rozporządzenie określa:

1) sposób odbierania zgłoszeń naruszeń lub potencjalnych naruszeń przepisów rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 596/2014 z dnia 16 kwietnia 2014 r. w sprawie nadużyć na rynku (rozporządzenie w sprawie nadużyć na rynku) oraz uchylającego dyrektywę 2003/6/WE Parlamentu Europejskiego i Rady i dyrektywy Komisji 2003/124/WE, 2003/125/WE i 2004/72/WE (Dz. Urz. UE L 173 z 12.06.2014, str. 1, z późn. zm.³⁾), zwanego dalej „rozporządzeniem 596/2014”;

2) sposób odbierania zgłoszeń naruszeń lub potencjalnych naruszeń przepisów rozporządzenia Parlamentu Europejskiego i Rady (UE) 2017/1129 z dnia 14 czerwca 2017 r. w sprawie prospektu, który ma być publikowany w związku z ofertą publiczną papierów wartościowych lub dopuszczeniem ich do obrotu na rynku regulowanym oraz uchylenia dyrektywy 2003/71/WE (Dz. Urz. UE L 168 z 30.06.2017, str. 12, z późn. zm.⁴⁾), zwanego dalej „rozporządzeniem 2017/1129”;

3) sposób postępowania z odebranymi zgłoszeniami i ich przechowywania;

4) sposób informowania o sposobie odbierania zgłoszeń i o działaniach, jakie mogą być podejmowane po przyjęciu zgłoszenia.

§ 2.[Definicje] Ilekroć w rozporządzeniu jest mowa o:

1) Komisji – rozumie się przez to Komisję Nadzoru Finansowego;

2) osobie zgłaszającej – rozumie się przez to osobę zgłaszającą Komisji naruszenie lub potencjalne naruszenie przepisów rozporządzenia 596/2014 albo rozporządzenia 2017/1129;

3) osobie, której dotyczy zgłoszenie – rozumie się przez to osobę wskazaną przez osobę zgłaszającą jako naruszającą lub potencjalnie naruszającą przepisy rozporządzenia 596/2014 albo rozporządzenia 2017/1129;

4) Urzędzie – rozumie się przez to Urząd Komisji Nadzoru Finansowego;

5) zgłoszeniu – rozumie się przez to zgłoszenie dotyczące naruszenia lub potencjalnego naruszenia przepisów rozporządzenia 596/2014 albo rozporządzenia 2017/1129.

§ 3.[Osoby uprawnione do obsługi zgłoszeń] Komisja wyznacza osoby uprawnione do obsługi zgłoszeń spośród pracowników Urzędu, którzy odbyli szkolenie w zakresie:

1) procedur oraz regulacji prawnych związanych ze zgłoszeniami;

2) ochrony danych osobowych;

3) ochrony tajemnic ustawowo chronionych oraz służbowych i zawodowych wynikających z przepisów powszechnie obowiązujących, w tym ochrony tajemnicy przedsiębiorstwa w rozumieniu art. 11 ustawy z dnia 16 kwietnia 1993 r. o zwalczaniu nieuczciwej konkurencji (Dz. U. z 2019 r. poz. 1010 i 1649);

4) prawnokarnych skutków naruszenia tajemnic ustawowo chronionych oraz służbowych i zawodowych, w tym tajemnicy przedsiębiorstwa.

§ 4.[Obowiązki osób uprawnionych do obsługi zgłoszeń] 1. Osoby uprawnione do obsługi zgłoszeń, w szczególności:

1) przekazują osobom zainteresowanym informacje dotyczące procedur przekazywania zgłoszeń;

2) odbierają zgłoszenia oraz podejmują działania następcze w związku z tymi zgłoszeniami, umożliwiające podjęcie działań nadzorczych;

3) utrzymują kontakt z osobą zgłaszającą, która ujawniła swoją tożsamość;

4) na żądanie osoby zgłaszającej udzielają jej kompleksowych informacji w zakresie trybu i zasad dochodzenia roszczeń z tytułu niezgodnego z prawem rozwiązania umowy o pracę, umowy zlecenia, umowy o dzieło lub innej umowy o podobnym charakterze lub ochrony przed odwetem, dyskryminacją lub innymi rodzajami niesprawiedliwego traktowania w związku z zatrudnieniem, w tym procedur dochodzenia odszkodowania pieniężnego, oraz o możliwości uzyskania przez osobę zgłaszającą zaświadczenia potwierdzającego fakt dokonania zgłoszenia.

2. Przed odebraniem zgłoszenia, jednak nie później niż w momencie jego odbierania, osoba uprawniona do obsługi zgłoszeń powiadamia osobę zgłaszającą o udostępnionych przez Komisję na jej stronie internetowej informacjach, o których mowa w § 10 ust. 1.

§ 5.[Odbieranie zgłoszeń] 1. Komisja zapewnia możliwość odbierania zgłoszeń dokonywanych:

1) na wskazany przez Komisję adres poczty elektronicznej Komisji;

2) na wskazany przez Komisję adres do korespondencji;

3) pod wskazanym przez Komisję numerem telefonu, z możliwością nagrywania treści rozmowy po uzyskaniu zgody osoby zgłaszającej na takie nagranie;

4) osobiście pod wskazanym przez Komisję adresem, z możliwością nagrywania treści rozmowy po uzyskaniu zgody osoby zgłaszającej na takie nagranie.

2. Nieudzielenie przez osobę zgłaszającą zgody na nagranie rozmowy, o której mowa w ust. 1 pkt 3 lub 4, nie wyłącza możliwości odebrania zgłoszenia przez Komisję.

3. Na potrzeby odbierania zgłoszeń i działań, jakie mogą być podejmowane przez Komisję po odebraniu zgłoszenia, Komisja zapewnia środki komunikacji niezależne od ogólnych sposobów komunikacji Komisji i Urzędu.

4. Środki komunikacji, o których mowa w ust. 3:

1) zapewniają kompletność, integralność, bezpieczeństwo i poufność informacji, w tym ich zabezpieczenie przed dostępem osób nieuprawnionych, oraz

2) umożliwiają przechowywanie informacji dotyczących zgłoszeń w sposób zapewniający prowadzenie dalszych czynności wyjaśniających.

5. Zgłoszenia telefoniczne, w przypadku gdy osoba zgłaszająca wyraziła zgodę na nagrywanie treści rozmowy, są dokumentowane przez Komisję w postaci nagrania rozmowy z osobą zgłaszającą w formie trwałej i możliwej do wyszukania lub przez sporządzenie przez osobę uprawnioną do obsługi zgłoszeń kompletnego i dokładnego zapisu rozmowy.

6. Zgłoszenia telefoniczne, w przypadku gdy osoba zgłaszająca nie wyraziła zgody na nagrywanie treści rozmowy, są dokumentowane przez sporządzenie przez osobę uprawnioną do obsługi zgłoszeń dokładnego protokołu z rozmowy.

7. Zgłoszenia osobiste, w przypadku gdy osoba zgłaszająca wyraziła zgodę na nagrywanie treści rozmowy, są dokumentowane przez Komisję w postaci nagrania rozmowy z osobą zgłaszającą w formie trwałej i możliwej do wyszukania.

8. Zgłoszenia osobiste, w przypadku gdy osoba zgłaszająca nie wyraziła zgody na nagrywanie treści rozmowy, są dokumentowane przez sporządzenie przez osobę uprawnioną do obsługi zgłoszeń kompletnego i dokładnego protokołu ze spotkania.

9. W przypadku zgłoszenia dokumentowanego przez sporządzenie zapisu rozmowy, protokołu z rozmowy albo protokołu ze spotkania osoba uprawniona do obsługi zgłoszeń umożliwia osobie zgłaszającej, która nie zastrzegła anonimowości zgłoszenia, zapoznanie się z protokołem lub zapisem rozmowy, zgłoszenie do niego poprawek oraz jego zatwierdzenie przez złożenie pod nim podpisu w siedzibie Urzędu.

10. W przypadku wskazania przez osobę zgłaszającą adresu korespondencyjnego lub adresu poczty elektronicznej Komisja niezwłocznie potwierdza odebranie zgłoszenia przez przesłanie pisemnego potwierdzenia na ten adres. Jeżeli osoba zgłaszająca sprzeciwia się przesłaniu potwierdzenia lub przesłanie potwierdzenia może zagrozić ochronie tożsamości tej osoby, Komisja odstępuje od jego przesyłania.

11. W przypadku otrzymania przez Komisję zgłoszenia dokonanego w sposób inny niż wskazany w ust. 1 zgłoszenie to niezwłocznie i bez wprowadzania zmian jest przekazywane w sposób określony w ust. 1 osobie uprawnionej do obsługi zgłoszeń.

§ 6.[Przechowywanie odebranych zgłoszeń przez Komisję] 1. Komisja przechowuje odebrane zgłoszenia w sposób zapewniający poufność danych osobowych.

2. Komisja zapewnia dostęp do odebranych zgłoszeń wyłącznie członkom Komisji oraz pracownikom Urzędu, którym taki dostęp jest niezbędny do wypełniania przez nich obowiązków zawodowych.

3. Komisja może zwrócić się do osoby zgłaszającej o wyjaśnienia w zakresie przekazanych informacji lub o dodatkowe informacje, jakie mogą być w posiadaniu osoby zgłaszającej, z wykorzystaniem środka komunikacji, za pośrednictwem którego zgłoszenie zostało odebrane, albo z wykorzystaniem adresu do korespondencji lub adresu poczty elektronicznej wskazanego przez osobę zgłaszającą. Jeżeli osoba zgłaszająca sprzeciwia się przesyłaniu żądań wyjaśnień lub dodatkowych informacji lub przesłanie takich żądań może zagrozić ochronie tożsamości tej osoby, Komisja odstępuje od żądania wyjaśnień lub dodatkowych informacji.

4. Komisja przekazuje osobie zgłaszającej, która ujawniła swoją tożsamość, informacje na temat wyników zgłoszenia naruszenia, jakich może oczekiwać osoba zgłaszająca w związku z tym zgłoszeniem, w terminie nie dłuższym niż 14 dni od przyjęcia zgłoszenia.

§ 7.[Przyjęcie procedur ochrony danych osobowych] 1. Przekazywanie informacji związanych ze zgłoszeniem członkom Komisji, pracownikom Urzędu lub innemu uprawnionemu organowi następuje z zachowaniem poufności danych osobowych osoby zgłaszającej i osoby, której dotyczy zgłoszenie, oraz wszelkich okoliczności sprawy, których ujawnienie mogłoby doprowadzić do identyfikacji tych osób.

2. Komisja przyjmuje procedury ochrony danych osobowych osoby zgłaszającej i osoby, której dotyczy zgłoszenie.

§ 8.[Przegląd procedur przyjętych na potrzeby odbierania zgłoszeń] Komisja dokonuje przeglądu procedur przyjętych na potrzeby odbierania zgłoszeń oraz działań, jakie mogą być podejmowane przez Komisję po odebraniu zgłoszenia, a także procedur ochrony danych osobowych osoby zgłaszającej i osoby, której dotyczy zgłoszenie, nie rzadziej niż raz na 2 lata, w celu ich dostosowania do doświadczeń nadzorczych, rozwoju technologicznego i sytuacji rynkowej.

§ 9.[Ochrona uzasadnionych interesów osoby zgłaszającej] W przypadku gdy w związku z odebranym zgłoszeniem zachodzi potrzeba ochrony uzasadnionych interesów osoby zgłaszającej, Komisja współpracuje z odpowiednimi organami zaangażowanymi w ochronę osób wykonujących pracę na podstawie umowy o pracę, umowy zlecenia, umowy o dzieło albo innej umowy o podobnym charakterze oraz wymienia z tymi organami informacje niezbędne do zapewnienia tej ochrony.

§ 10.[Informacje dotyczące odbierania zgłoszeń oraz działań podejmowanych przez Komisję po odebraniu zgłoszenia] 1. Komisja udostępnia na stronie internetowej w oddzielnej, łatwo dostępnej zakładce informacje dotyczące odbierania zgłoszeń oraz działań, jakie mogą być podejmowane przez Komisję po odebraniu zgłoszenia, obejmujące w szczególności:

1) sposób odbierania zgłoszeń, ze wskazaniem, że zgłoszenia można dokonać również anonimowo, oraz:

a) numeru telefonu, pod którym można dokonać zgłoszenia, oraz informacji, czy rozmowy są nagrywane, a także godzin, w których takie zgłoszenia są odbierane,

b) adresu do korespondencji i adresu poczty elektronicznej wraz z informacją, że zapewniają one bezpieczeństwo i poufność obsługi zgłoszeń,

c) adresu, pod którym zgłoszenia są odbierane osobiście, oraz godzin, w których takie zgłoszenia są odbierane;

2) sposób ewentualnej komunikacji z osobami zgłaszającymi w odniesieniu do działań, jakie mogą być podejmowane przez Komisję po odebraniu zgłoszenia, oraz w odniesieniu do wyników zgłoszenia naruszenia, jakich może oczekiwać osoba zgłaszająca;

3) procedury mające zastosowanie do obsługi zgłoszeń, w tym informacje o treści § 6 ust. 3;

4) zasady zachowania poufności mające zastosowanie do zgłoszeń, ze wskazaniem przypadków, w których dane osoby zgłaszającej mogą zostać ujawnione;

5) zasady ochrony osób wykonujących pracę na podstawie umowy o pracę, umowy zlecenia, umowy o dzieło lub innej umowy o podobnym charakterze;

6) oświadczenie, że osoby zgłaszające nie zostaną pociągnięte do jakiejkolwiek odpowiedzialności w związku z ujawnieniem w zgłoszeniu informacji, których obowiązek zachowania poufności wynika z obowiązujących przepisów prawa lub umowy, w tym informacji podlegających ochronie na podstawie przepisów o tajemnicy zawodowej, a także że zgłoszenie nie będzie stanowić przyczyny rozwiązania z osobą zgłaszającą umowy o pracę, umowy zlecenia, umowy o dzieło lub innej umowy o podobnym charakterze.

2. Informacja, o której mowa w ust. 1 pkt 4, wskazuje możliwość wystąpienia sytuacji, w których zagwarantowanie poufności danych może nie być możliwe, w tym przypadki, w których ujawnienie danych jest koniecznym i proporcjonalnym obowiązkiem wymaganym przepisami prawa w związku z wszczynanym lub toczącym się postępowaniem administracyjnym, przygotowawczym lub sądowym, w tym w celu zabezpieczenia wolności innych osób, włącznie z prawem do obrony przysługującym osobie, której dotyczy zgłoszenie.

§ 11.[Wejście w życie] Rozporządzenie wchodzi w życie po upływie 14 dni od dnia ogłoszenia.⁵⁾