§ 1.[Zakres przedmiotowy] Rozporządzenie określa:

1) sposób odbierania zgłoszeń naruszeń lub potencjalnych naruszeń przepisów:

a) ustawy z dnia 29 lipca 2005 r. o obrocie instrumentami finansowymi (Dz. U. z 2022 r. poz. 1500 i 1488), zwanej dalej "ustawą o obrocie instrumentami finansowymi",

b) rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 596/2014 z dnia 16 kwietnia 2014 r. w sprawie nadużyć na rynku (rozporządzenie w sprawie nadużyć na rynku) oraz uchylającego dyrektywę 2003/6/WE Parlamentu Europejskiego i Rady i dyrektywy Komisji 2003/124/WE, 2003/125/WE i 2004/72/WE (Dz. Urz. UE L 173 z 12.06.2014, str. 1, z późn. zm.³⁾), zwanego dalej "rozporządzeniem 596/2014",

c) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2017/1129 z dnia 14 czerwca 2017 r. w sprawie prospektu, który ma być publikowany w związku z ofertą publiczną papierów wartościowych lub dopuszczeniem ich do obrotu na rynku regulowanym oraz uchylenia dyrektywy 2003/71/WE (Dz. Urz. UE L 168 z 30.06.2017, str. 12, z późn. zm.⁴⁾), zwanego dalej "rozporządzeniem 2017/1129",

d) rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 575/2013 z dnia 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych oraz zmieniającego rozporządzenie (UE) nr 648/2012 (Dz. Urz. UE L 176 z 27.06.2013, str. 1, z późn. zm.⁵⁾), zwanego dalej "rozporządzeniem 575/2013",

e) rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 909/2014 z dnia 23 lipca 2014 r. w sprawie usprawnienia rozrachunku papierów wartościowych w Unii Europejskiej i w sprawie centralnych depozytów papierów wartościowych, zmieniającego dyrektywy 98/26/WE i 2014/65/UE oraz rozporządzenie (UE) nr 236/2012 (Dz. Urz. UE L 257 z 28.08.2014, str. 1, z późn. zm.⁶⁾), zwanego dalej "rozporządzeniem 909/2014",

f) rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 600/2014 z dnia 15 maja 2014 r. w sprawie rynków instrumentów finansowych oraz zmieniającego rozporządzenie (EU) nr 648/2012 (Dz. Urz. UE L 173 z 12.06.2014, str. 84, z późn. zm.⁷⁾), zwanego dalej "rozporządzeniem 600/2014",

g) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2019/2033 z dnia 27 listopada 2019 r. w sprawie wymogów ostrożnościowych dla firm inwestycyjnych oraz zmieniającego rozporządzenia (UE) nr 1093/2010, (UE) nr 575/2013, (UE) nr 600/2014 i (UE) nr 806/2014 (Dz. Urz. UE L 314 z 05.12.2019, str. 1, z późn. zm.⁸⁾), zwanego dalej "rozporządzeniem 2019/2033";

2) sposób postępowania z odebranymi zgłoszeniami i ich przechowywania;

3) sposób informowania o sposobie odbierania zgłoszeń i o działaniach, jakie mogą być podejmowane po przyjęciu zgłoszenia.

§ 2.[Definicje] Ilekroć w rozporządzeniu jest mowa o:

1) Komisji - rozumie się przez to Komisję Nadzoru Finansowego;

2) osobie zgłaszającej - rozumie się przez to osobę zgłaszającą Komisji naruszenie lub potencjalne naruszenie przepisów ustawy o obrocie instrumentami finansowymi, rozporządzenia 596/2014, rozporządzenia 2017/1129, rozporządzenia 575/2013, rozporządzenia 909/2014, rozporządzenia 600/2014 albo rozporządzenia 2019/2033;

3) osobie, której dotyczy zgłoszenie - rozumie się przez to osobę wskazaną przez osobę zgłaszającą jako naruszającą lub potencjalnie naruszającą przepisy ustawy o obrocie instrumentami finansowymi, rozporządzenia 596/2014, rozporządzenia 2017/1129, rozporządzenia 575/2013, rozporządzenia 909/2014, rozporządzenia 600/2014 albo rozporządzenia 2019/2033;

4) zgłoszeniu - rozumie się przez to zgłoszenie dotyczące naruszenia lub potencjalnego naruszenia przepisów ustawy o obrocie instrumentami finansowymi, rozporządzenia 596/2014, rozporządzenia 2017/1129, rozporządzenia 575/2013, rozporządzenia 909/2014, rozporządzenia 600/2014 albo rozporządzenia 2019/2033.

§ 3.[Obsługiwanie zgłoszeń] Zgłoszenia są obsługiwane przez wyznaczonych przez Komisję pracowników Urzędu Komisji, którzy odbyli szkolenie w zakresie:

1) procedur Komisji oraz regulacji prawnych związanych ze zgłoszeniami;

2) przetwarzania i ochrony danych osobowych;

3) ochrony tajemnic prawnie chronionych, w tym służbowych i zawodowych oraz tajemnicy przedsiębiorstwa w rozumieniu art. 11 ustawy z dnia 16 kwietnia 1993 r. o zwalczaniu nieuczciwej konkurencji (Dz. U. z 2022 r. poz. 1233), a także skutków ich naruszenia w postaci sankcji karnych;

4) podstaw i zasad świadczenia pracy, w tym ustawy z dnia 26 czerwca 1974 r. - Kodeks pracy (Dz. U. z 2022 r. poz. 1510 i 1700) i ustawy z dnia 23 kwietnia 1964 r. - Kodeks cywilny (Dz. U. z 2022 r. poz. 1360) w zakresie dotyczącym umowy zlecenia i umowy o dzieło oraz innych umów o podobnym charakterze, a także przepisów dotyczących przeciwdziałania dyskryminacji lub innym rodzajom niesprawiedliwego traktowania w związku ze świadczeniem pracy.

§ 4.[Zadania wyznaczonego przez Komisję pracownika Urzędu Komisji] Wyznaczony przez Komisję pracownik Urzędu Komisji:

1) przekazuje osobie zainteresowanej informacje dotyczące przekazywania zgłoszeń;

2) odbiera zgłoszenia oraz podejmuje działania zgodne z procedurami przyjętymi przez Komisję;

3) kontaktuje się z osobą zgłaszającą, która ujawniła swoją tożsamość, zgodnie z procedurami przyjętymi przez Komisję;

4) na żądanie osoby zgłaszającej udziela jej kompleksowej informacji w zakresie trybu i zasad dochodzenia roszczeń z tytułu niezgodnego z prawem rozwiązania umowy o pracę, umowy zlecenia, umowy o dzieło lub innej umowy o podobnym charakterze lub ochrony przed odwetem, dyskryminacją lub innymi rodzajami niesprawiedliwego traktowania w związku ze świadczeniem pracy, w tym dochodzenia odszkodowania pieniężnego z tego tytułu, oraz o możliwości uzyskania przez osobę zgłaszającą zaświadczenia potwierdzającego fakt dokonania zgłoszenia.

§ 5.[Zapewnienie możliwości odbierania zgłoszeń] 1. Komisja zapewnia możliwość odbierania zgłoszeń dokonywanych:

1) na adres poczty elektronicznej wskazany przez Komisję;

2) na adres do doręczeń elektronicznych, o którym mowa w art. 2 pkt 1 ustawy z dnia 18 listopada 2020 r. o doręczeniach elektronicznych (Dz. U. z 2022 r. poz. 569 i 1002);

3) z wykorzystaniem udostępnionego przez Komisję narzędzia informatycznego umożliwiającego elektroniczne złożenie zgłoszenia;

4) na adres korespondencyjny wskazany przez Komisję;

5) pod numerem telefonu wskazanym przez Komisję, z możliwością nagrywania treści rozmowy po uzyskaniu zgody osoby zgłaszającej na takie nagranie;

6) osobiście, pod adresem wskazanym przez Komisję, z możliwością nagrywania treści rozmowy po uzyskaniu zgody osoby zgłaszającej na takie nagranie.

2. Nieudzielenie zgody, o której mowa w ust. 1 pkt 5 i 6, nie wyłącza możliwości odebrania zgłoszenia przez Komisję.

3. Na potrzeby odbierania zgłoszeń i działań, jakie mogą być podejmowane przez Komisję po odebraniu zgłoszenia, Komisja zapewnia niezależne od ogólnych sposobów komunikacji Komisji i Urzędu Komisji środki komunikacji, które:

1) zapewniają kompletność, integralność, bezpieczeństwo i poufność informacji, w tym ich zabezpieczenie przed dostępem osób nieuprawnionych;

2) umożliwiają przechowywanie informacji dotyczących zgłoszeń w sposób zapewniający prowadzenie dalszych czynności wyjaśniających.

§ 6.[Dokumentowanie zgłoszeń] 1. Zgłoszenia, o których mowa w § 5 ust. 1 pkt 5:

1) są dokumentowane przez Komisję w postaci nagrania rozmowy z osobą zgłaszającą, w formie trwałej i możliwej do wyszukania, lub przez sporządzenie przez pracownika Urzędu Komisji wyznaczonego przez Komisję do obsługi zgłoszeń kompletnego i dokładnego zapisu rozmowy - w przypadku gdy osoba zgłaszająca wyraziła zgodę na nagrywanie treści rozmowy;

2) są dokumentowane przez sporządzenie przez pracownika Urzędu Komisji wyznaczonego przez Komisję do obsługi zgłoszeń protokołu z rozmowy - w przypadku gdy osoba zgłaszająca nie wyraziła zgody na nagrywanie treści rozmowy.

2. Zgłoszenia, o których mowa w § 5 ust. 1 pkt 6:

1) są dokumentowane przez Komisję w postaci nagrania rozmowy z osobą zgłaszającą, w formie trwałej i możliwej do wyszukania - w przypadku gdy osoba zgłaszająca wyraziła zgodę na nagrywanie treści rozmowy;

2) są dokumentowane przez sporządzenie przez pracownika Urzędu Komisji wyznaczonego przez Komisję do obsługi zgłoszeń protokołu ze spotkania - w przypadku gdy osoba zgłaszająca nie wyraziła zgody na nagrywanie treści rozmowy.

3. W przypadku zgłoszenia dokumentowanego przez sporządzenie zapisu rozmowy, protokołu z rozmowy albo protokołu ze spotkania pracownik Urzędu Komisji wyznaczony przez Komisję do obsługi zgłoszeń umożliwia osobie zgłaszającej, która nie zastrzegła anonimowości zgłoszenia, zapoznanie się z tym protokołem lub zapisem, zgłoszenie do niego poprawek oraz jego zatwierdzenie przez złożenie pod nim podpisu albo podpisu elektronicznego.

4. W przypadku wskazania przez osobę zgłaszającą adresu korespondencyjnego lub adresu poczty elektronicznej Komisja niezwłocznie potwierdza odebranie zgłoszenia przez przesłanie pisemnego potwierdzenia na ten adres. Jeżeli osoba zgłaszająca nie wyraża zgody na przesłanie przez Komisję takiego potwierdzenia lub jeżeli jego przesłanie może zagrozić ochronie tożsamości tej osoby, Komisja odstępuje od potwierdzenia odebrania zgłoszenia.

5. W przypadku otrzymania przez Komisję zgłoszenia dokonanego w sposób inny niż określony w § 5 ust. 1 zgłoszenie to jest przekazywane niezwłocznie, w postaci niezmienionej, pracownikowi Urzędu Komisji wyznaczonemu przez Komisję do obsługi zgłoszeń, w sposób określony w § 5 ust. 1.

§ 7.[Przechowywanie zgłoszeń] 1. Komisja przechowuje zgłoszenia w sposób zapewniający ochronę danych osobowych osoby zgłaszającej i osoby, której dotyczy zgłoszenie, oraz okoliczności sprawy, których ujawnienie mogłoby doprowadzić do identyfikacji tych osób.

2. Informacje związane ze zgłoszeniami są przekazywane wyłącznie członkom Komisji oraz pracownikom Urzędu Komisji, którym takie informacje są niezbędne do wypełniania przez nich obowiązków zawodowych.

3. Komisja może zwrócić się do osoby zgłaszającej o wyjaśnienia w zakresie przekazanych informacji lub o dodatkowe informacje, jakie mogą być w posiadaniu osoby zgłaszającej, w sposób, w jaki zostało przekazane zgłoszenie, albo z wykorzystaniem adresu korespondencyjnego lub adresu poczty elektronicznej wskazanego przez osobę zgłaszającą. Jeżeli osoba zgłaszająca nie wyraża zgody na przesłanie przez Komisję takiego żądania lub jeżeli jego przesłanie może zagrozić ochronie tożsamości tej osoby, Komisja odstępuje od żądania takich wyjaśnień lub dodatkowych informacji.

4. Komisja w terminie nie dłuższym niż 14 dni od dnia przyjęcia zgłoszenia przekazuje osobie zgłaszającej, która ujawniła swoją tożsamość, informacje o wynikach zgłoszenia naruszenia, jakich osoba zgłaszająca może oczekiwać w związku z tym zgłoszeniem.

§ 8.[Przekazywanie informacji związanych ze zgłoszeniem] Informacje związane ze zgłoszeniem są przekazywane członkom Komisji, pracownikom Urzędu Komisji lub innemu uprawnionemu organowi z zachowaniem ochrony danych osobowych osoby zgłaszającej i osoby, której dotyczy zgłoszenie, oraz okoliczności sprawy, których ujawnienie mogłoby doprowadzić do identyfikacji tych osób.

§ 9.[Procedury ochrony danych osobowych] 1. Komisja przyjmuje procedury ochrony danych osobowych osoby zgłaszającej i osoby, której dotyczy zgłoszenie, oraz procedury odbierania zgłoszeń oraz działań, jakie mogą być podejmowane przez Komisję po odebraniu zgłoszenia.

2. Komisja dokonuje przeglądu procedur, o których mowa w ust. 1, nie rzadziej niż raz na 2 lata, w celu ich dostosowania do doświadczeń nadzorczych, rozwoju technologicznego i sytuacji rynkowej.

§ 10.[Współpraca z organami zaangażowanymi w ochronę osób wykonujących pracę] W przypadku gdy w związku z odebranym zgłoszeniem zachodzi potrzeba ochrony uzasadnionych interesów osoby zgłaszającej, Komisja współpracuje z organami zaangażowanymi w ochronę osób wykonujących pracę na podstawie umowy o pracę, umowy zlecenia, umowy o dzieło albo innej umowy o podobnym charakterze oraz wymienia z tymi organami informacje niezbędne do zapewnienia tej ochrony.

§ 11.[Udostępnienie informacji dotyczących odbierania zgłoszeń] 1. Komisja udostępnia na stronie internetowej, w oddzielnej, łatwo dostępnej zakładce, informacje dotyczące odbierania zgłoszeń oraz działań, jakie mogą być przez nią podejmowane po odebraniu zgłoszenia, obejmujące w szczególności:

1) sposób odbierania zgłoszeń, ze wskazaniem, że zgłoszenia można dokonać również z zastrzeżeniem anonimowości, oraz wskazaniem:

a) numeru telefonu, pod którym można dokonać zgłoszenia, oraz informacji, czy rozmowy są nagrywane, a także godzin, w których takie zgłoszenia są odbierane,

b) adresu korespondencyjnego i adresu poczty elektronicznej oraz narzędzia informatycznego umożliwiającego elektroniczne złożenie zgłoszenia wraz z informacją, że zapewniają one bezpieczeństwo i poufność obsługi zgłoszeń,

c) adresu, pod którym zgłoszenia są odbierane osobiście, godzin, w których takie zgłoszenia są odbierane, oraz numeru telefonu, pod którym można ustalić termin osobistego odbioru zgłoszenia;

2) środki komunikacji z osobami zgłaszającymi w odniesieniu do działań, jakie mogą być podejmowane przez Komisję po odebraniu zgłoszenia, oraz w odniesieniu do wyników zgłoszenia naruszenia, jakich może oczekiwać osoba zgłaszająca;

3) procedury mające zastosowanie do obsługi zgłoszeń, w tym informacje o uprawnieniach Komisji, o których mowa w § 7 ust. 3;

4) zasady zachowania poufności, które mają zastosowanie do zgłoszeń, ze wskazaniem przypadków, w których dane osoby zgłaszającej mogą zostać ujawnione;

5) zasady ochrony osób wykonujących pracę na podstawie umowy o pracę, umowy zlecenia, umowy o dzieło lub innej umowy o podobnym charakterze;

6) oświadczenie, że osoby zgłaszające nie zostaną pociągnięte do jakiejkolwiek odpowiedzialności w związku z ujawnieniem w zgłoszeniu informacji, których obowiązek zachowania poufności wynika z obowiązujących przepisów prawa lub umowy, w tym informacji podlegających ochronie na podstawie przepisów o tajemnicy bankowej i zawodowej, a także że zgłoszenie nie może stanowić przyczyny rozwiązania z osobą zgłaszającą umowy o pracę, umowy zlecenia, umowy o dzieło lub innej umowy o podobnym charakterze.

2. Informacja, o której mowa w ust. 1 pkt 4, wskazuje możliwość wystąpienia sytuacji, w których zagwarantowanie poufności danych może nie być możliwe, w tym przypadki, w których ujawnienie danych jest koniecznym i proporcjonalnym obowiązkiem Komisji wymaganym przepisami prawa w związku z wszczynanym lub toczącym się postępowaniem administracyjnym, przygotowawczym lub sądowym, w tym w celu zabezpieczenia wolności innych osób, włącznie z prawem do obrony przysługującym osobie, której dotyczy zgłoszenie.

3. Przed odebraniem zgłoszenia, jednak nie później niż w momencie jego odbierania, pracownik Urzędu Komisji wyznaczony przez Komisję do obsługi zgłoszeń powiadamia osobę zgłaszającą o zakresie informacji udostępnionych przez Komisję na jej stronie internetowej zgodnie z ust. 1.

§ 12.[Wejście w życie] Rozporządzenie wchodzi w życie po upływie 14 dni od dnia ogłoszenia.⁹⁾