Article also available in Hungarian below

What does the new whistleblowing system entail?

In line with Directive (EU) 2019/1937 of the European Parliament and of the Council on the protection of persons who report breaches of Union law, the Hungarian Parliament adopted a new law on complaints, whistleblowing and rules for reporting breaches, which replaces previous legislation. Below we have summarized the key points of the new rules. This information has been prepared for private sector actors.

The new law establishes a three-stage reporting system in line with EU requirements:

• the first stage is the so-called internal reporting channel, which refers to the reporting of the breach within the entity;
• the second stage is the so-called external reporting channel, whereby the whistle-blower communicates the breach to the competent national authority designated by the Member State;
• the third stage is the public disclosure of the breach.

Of these, it is the so-called internal reporting channel that employers are obligated to establish.

What kinds of employers are required to set up an internal whistleblowing channel?

The provisions are applicable

• from the 60th day after promulgation for employers with 250 or more employees;
• from the 60th day after promulgation for certain employers to whom specific legislation applies (e.g. money laundering law), irrespective of the number of employees;
• from 17 December 2023 for employers with at least 50 but no more than 249 employees.

Employers with fewer than 50 employees, to whom the above obligation is not applied, may set up such a system on a voluntary basis.

To summarise, all employers with at least 50 employees, and in certain sectors regardless of the number of employees, should establish an internal whistleblowing reporting channel. The latter category includes, for example, service providers subject to the money laundering law.

It is important that employers with at least 50, but no more than 249 employees, be able to set up the whistleblowing system jointly, which could simplify the process significantly, particularly for employers in a joint group of companies.

Who should operate the internal whistleblowing channel?

In essence, there are two ways the channel may be operated:

• By a person or department designated for this purpose by the employer, who cannot be instructed in this task, which means that employees in other job positions may also perform this function, subject to training and appropriate contractual guarantees.
• By an external whistle-blower protection lawyer or other external third party, in which case the requirements and safeguards will of course apply to the whistle-blower protection lawyer or other external third party as well. This option eases the burden on employers, as they do not have to ensure the operation of the whistleblowing reporting channel within their own organization and by their own staff.

Who is entitled to make a report?

The new law contains a broader list than the current Complaints Act, taking into account that it is appropriate to extend the range of persons who despite not being employees, could play a key role in the detection of breaches and may find themselves in an economically exposed position in relation to their work-related activities. In addition to employees, other persons who are entitled to report breaches include former employees, persons with whom the procedure for the establishment of an employment relationship has been initiated, interns, volunteers, self-employed persons, sole proprietors if they have a contractual relationship with the employer, employer shareholders and members of the employer’s administrative, management or supervisory board, including non-executive members.

In which cases can a report be made?

Unlawful or allegedly unlawful acts or omissions, or other breaches, may be reported. Pursuant to the current legislation, employers can set rules of conduct for their employees to protect the public interest or significant private interests. In the event that the employer has laid down said rules of conduct, any breach of these rules may also be reported. Such rules of conduct must be made public in advance in order to ensure that the restrictions on employees’ rights do not go beyond what is strictly necessary and proportionate, and to ensure that the rules of conduct are communicated to a wider audience.

How are reports made?

A report can be made in writing or orally by telephone; through other means capable of reproducing the communication, or in person.

Employers can decide for themselves the specific type of internal reporting channel they want to set up. Examples include postal channels, actual complaint boxes, online platforms – intranet or internet and telephone hotlines – provided that the confidentiality of the identity of the whistle-blower is guaranteed. An important point for compliance is how the channel is set up by the employer.

How should reports be investigated?

The new law is based on the existing rules for the employer whistleblowing system under the Complaints Act, making it easier for employers who already operate said system to comply with the law.

The employer is obligated to:

• send an acknowledgement of receipt of the written report to the whistle-blower within 7 days of receipt;
• provide the whistle-blower with general information on the procedural and data protection rules under the act in the context of the acknowledgement;
• investigate the allegations in the report within the shortest time possible under the circumstances, but no later than 30 days from the receipt of the report.

In particularly justified cases, the investigation may be extended, but in no case should it exceed 3 months.

What could be potential consequences?

The investigation shall include the assessment of the relevance of the circumstances set out in the report and the adoption of appropriate measures to remedy the breach. If, based on the report, initiating criminal proceedings is needed, a police report should be filed. If the investigation reveals that the conduct in the report is not a criminal offence, but violates the employer’s rules of conduct, the employer may take employer action in accordance with the rules governing the employment relationship.

Data protection

The protection of personal data is particularly important because, if it is not guaranteed, it may discourage whistle-blowers from reporting breaches.

Beyond the protection of whistle-blowers’ personal data, there should also be safeguards in place for those individuals that are the subject of reports, as they may be adversely affected by a lack of protection of their personal information.

The scope of the personal data that is processed is determined by the data controllers. Only data strictly necessary for the investigation of the report may be processed for this purpose.

To do’s

Employers to whom the legislation applies should establish an internal reporting channel or, where one is already in operation, review it to ensure compliance with the new provisions.

Új whistleblowing rendszer Magyarországon

Bevezetés

Összhangban az uniós jog megsértését bejelentő személyek védelméről szóló 2019/1937 európai parlamenti és tanácsi irányelvvel a Parlament elfogadta a panaszokról, a közérdekű bejelentésekről, valamint a visszaélések bejelentésével összefüggő szabályokról szóló új törvényt, amely a korábbi szabályozás helyébe lép. Az alábbiakban összefoglaljuk az új szabályozással kapcsolatos tudnivalókat. Tájékoztatónk a piaci szereplők számára készült.

A törvény az Uniós elvárásoknak megfelelően három lépcsős bejelentési rendszert hoz létre:

• az első lépcső az ún. belső bejelentési csatorna, amely a jogsértésnek az adott jogalanyon belül történő bejelentését jelenti;
• a második lépcső az ún. külső bejelentési csatorna, amely során a bejelentő a jogsértést a tagállam által kijelölt illetékes nemzeti hatósággal közli;
• a harmadik lépcső a jogsértés nyilvánosságra hozatala.

A fentiek közül az ún. belső bejelentési csatorna az, amelynek kialakítására a munkáltatók kötelezettsége.

Mely munkáltatóknak kell belső visszaélésbejelentési rendszert létrehozniuk?

A rendelkezések

• a legalább 250 főt foglalkoztató munkáltatók esetén a kihirdetést követő 60. naptól;
• meghatározott jogszabályok (pl. pénzmosási törvény) hatálya alá tartozó foglalkoztatók esetén a foglalkoztatottak számától függetlenül a kihirdetést követő 60. naptól;
• a legalább 50, de legfeljebb 249 személyt foglalkoztató munkáltatók esetén 2023. december 17-től alkalmazandóak.

Azon 50 főnél kevesebb munkavállalót alkalmazó munkáltatók, akikre nem vonatkozik ez a kötelezettség, önkéntes alapon létrehozhatnak ilyen rendszert.

Összegezve tehát minden legalább 50 főt foglalkoztató munkáltatónak, illetve bizonyos szektorokban, a foglalkoztatottak számától függetlenül ki kell alakítani a visszaélés-bejelentési rendszert. Ez utóbbi kategóriába tartoznak például a pénzmosási törvény hatálya alá tartozó szolgáltatók.

Fontos, hogy a legalább 50, de legfeljebb 249 személyt foglalkoztató munkáltatók közösen is létrehozhatják a visszaélés-bejelentési rendszert, amely főként a közös vállalatcsoportba tartozó munkáltatók számára lehet jelentős könnyítés.

Kinek kell működtetni a belső bejelentőrendszert?

A bejelentőrendszer működtetése alapvetően kétféleképpen lehetséges:

• A foglalkoztatónál egy erre a célra kijelölt, e feladatkörében nem utasítható személy vagy szervezeti egység által, amely azt jelenti, hogy más munkakört betöltő munkavállalók is megkaphatják ezt a feladatot tréning és megfelelő szerződéses garanciák biztosítása mellett.
• Külső bejelentővédelmi ügyvéd vagy más külső szervezet által, amely esetben a követelményeket és biztosítékokat természetesen a bejelentővédelmi ügyvédre vagy a külső szervezetre is alkalmazni kell.

E lehetőség könnyíti a foglalkoztatók terheit, hiszen így a visszaélés-bejelentési rendszer működtetését nem saját szervezetük és személyi állományuk keretében kell biztosítaniuk.

Ki tehet bejelentést?

A jelenleg hatályos Panasztörvényben foglaltakhoz képest bővebb listát tartalmaz az új törvény, figyelembe véve azt, hogy olyan személyekre is célszerű kiterjeszteni a személyi kört, akik – noha nem minősülnek munkavállalónak – kulcsszerepet játszhatnak a jogsértések feltárásában, és munkavégzéssel kapcsolatos tevékenységükkel összefüggésben gazdaságilag kiszolgáltatott helyzetben találhatják magukat. Bejelentést tehet tehát a munkavállalón kívül többek között a volt munkavállaló, az olyan személy, akivel a foglalkoztatásra irányuló jogviszony létesítésére vonatkozó eljárás megkezdődött, a gyakornok, az önkéntes, az egyéni vállalkozó, az egyéni cég, ha a foglalkoztatóval szerződéses kapcsolatban áll, a foglalkoztató tekintetében tulajdonosi részesedéssel rendelkező személy, valamint a foglalkoztató ügyviteli, ügyvezető, illetve felügyelő testületéhez tartozó személy, ideértve a nem ügyvezető tagot is.

Milyen esetekben lehet bejelentést tenni?

A jogellenes vagy jogellenesnek feltételezett cselekményre vagy mulasztásra, illetve egyéb visszaélésre vonatkozó információt lehet bejelenteni, illetve a hatályos szabályozáshoz hasonlóan a munkáltató a közérdeket vagy nyomós magánérdeket védő magatartási szabályokat állapíthat meg a munkavállalói részére. Amennyiben a munkáltató ilyen magatartási szabályokat állapít meg, ezek megsértése esetén is bejelentés tehető. Ezen magatartási szabályokat előzetesen nyilvánosságra kell hoznia annak érdekében, hogy a munkavállalók jogainak korlátozása ne terjedhessen túl a feltétlenül szükséges és arányos mértéken, egyben e szabályok meghatározását a nyilvánosság ereje is biztosíthassa, szükség esetén kikényszeríthesse, illetve, hogy ezen magatartási szabályok eljussanak a kibővített érintetti körhöz.

Milyen módon tehető meg a bejelentés?

A bejelentés megtehető írásban vagy szóban telefonon vagy más, a kommunikáció visszaidézésére alkalmas eszköz útján, illetve személyesen.

A munkáltatók maguk dönthetik el, hogy konkrétan milyen típusú belső visszaélés-bejelentési rendszereket hoznak létre. Megfelelő például a postai út, tényleges panaszdobozok, online – intranetes vagy internetes – platformok, telefonos forródrót, feltéve, hogy a bejelentő személy személyazonosságának bizalmas jellege biztosított. Fontos pont a megfelelés szempontjából, hogy a rendszer hogyan kerül kialakításra a munkáltatónál.

Hogyan kell vizsgálni a bejelentéseket?

Az új törvény a bejelentések elintézésére a hatályos, Panasztörvény szerinti munkáltatói visszaélés-bejelentési rendszerre vonatkozó szabályokat veszi alapul, könnyítve ezzel azon foglalkoztatók jogalkalmazását, amelyek már jelenleg is működtetnek munkáltatói visszaélés-bejelentési rendszert.

A munkáltató köteles:

• írásbeli bejelentés kézhezvételétől számított 7 napon belül a bejelentés megtételéről visszaigazolást küldeni a bejelentő számára;
• a visszaigazolás keretében a bejelentő részére általános tájékoztatást nyújtani a törvény szerinti eljárási és adatkezelési szabályokról;
• bejelentésben foglaltakat a körülmények által lehetővé tett legrövidebb időn belül, de legfeljebb a bejelentés beérkezésétől számított 30 napon belül kivizsgálni.

Különösen indokolt esetben meg lehet hosszabbítani a vizsgálatot, de ez esetben sem haladhatja meg a 3 hónapot.

Melyek lehetnek a következmények?

A bejelentés kivizsgálása során értékelni kell a bejelentésben foglalt körülmények helytállóságát, és meg kell hozni azon intézkedéseket, amelyek alkalmasak a visszaélések orvoslására. Ha a bejelentés alapján büntetőeljárás kezdeményezése indokolt, akkor intézkedni kell a feljelentés megtételéről. Amennyiben a bejelentésben foglalt magatartás a vizsgálat alapján nem bűncselekmény, de sérti a munkáltató által meghatározott magatartási szabályokat, a munkáltató a foglalkoztatásra irányuló jogviszonyra vonatkozó szabályoknak megfelelően munkáltatói intézkedést alkalmazhat.

Adatkezelés

A személyes adatok védelme különösen fontos, hiszen, ha ez nincs garantálva, akkor ez eltántoríthatja a bejelentőt a visszaélések jelzésétől.

A bejelentő személyes adatainak védelmén túl rendelkezni kell a bejelentésben érintett személyre vonatkozó garanciális szabályokról is, mivel a bejelentésben érintett személyt ezek hiányában hátrány érheti.

A kezelendő adatok körét az adatkezelők határozzák meg azzal, hogy egyébként kizárólag a bejelentés kivizsgálásához elengedhetetlenül szükséges adatok kezelhetőek e célból.

Teendők

A jogszabály hatálya alá tartozó foglalkoztatóknak visszaélés bejelentő rendszert kell létrehozni, illetve, amennyiben már működik ilyen rendszer azt felül kell vizsgálni az új rendelkezéseknek való megfelelés érdekében.