Hệ thống tố giác vi phạm (Whistleblowing): Nghĩa vụ, bảo vệ người tố giác và tuân thủ doanh nghiệp

Trong môi trường kinh doanh toàn cầu hóa, việc tố giác (whistleblowing) – báo cáo nội bộ hoặc bên ngoài về các hành vi vi phạm – là một thể chế then chốt của văn hóa doanh nghiệp và pháp quyền. Theo Chỉ thị Whistleblowing của EU (2019/1937/EU) được thông qua năm 2019, Hungary cũng đã điều chỉnh toàn diện lĩnh vực này: Luật số XXV năm 2023 về khiếu nại, tố giác vì lợi ích công cộng và các quy định liên quan đến báo cáo vi phạm (sau đây: Luật Whistleblowing) có hiệu lực từ ngày 24 tháng 7 năm 2023. Dưới đây chúng tôi trình bày các yếu tố bắt buộc của hệ thống, các đảm bảo bảo vệ người tố giác và các bước thực tiễn.

Khung pháp lý

Cấp độ EU

• Chỉ thị (EU) 2019/1937 của Nghị viện và Hội đồng Châu Âu (Chỉ thị Whistleblowing) – về bảo vệ người báo cáo vi phạm pháp luật Liên minh
• Chỉ thị này là biện pháp hài hòa tối thiểu: Các quốc gia thành viên có thể cung cấp mức bảo vệ cao hơn

Pháp luật Hungary

• Luật số XXV năm 2023 – về khiếu nại, tố giác vì lợi ích công cộng và các quy định liên quan đến báo cáo vi phạm (Luật Whistleblowing)
• Luật số I năm 2012 – Bộ luật Lao động (Mt.) – về hậu quả pháp lý lao động
• Luật số V năm 2013 – Bộ luật Dân sự (Ptk.) – quy định bồi thường thiệt hại
• GDPR (Quy định (EU) 2016/679) và Luật số CXII năm 2011 (Luật Thông tin) – quy định xử lý dữ liệu liên quan đến báo cáo

Những tổ chức nào có nghĩa vụ?

Nghĩa vụ thiết lập hệ thống báo cáo nội bộ (Luật Whistleblowing Điều 18)

Luật quy định nghĩa vụ với thời hạn phân biệt:

• Người sử dụng lao động có ít nhất 250 nhân viên: bắt buộc từ 17 tháng 12 năm 2023
• Người sử dụng lao động có 50–249 nhân viên: bắt buộc từ 17 tháng 12 năm 2025
• Tổ chức bắt buộc theo ngành (lĩnh vực tài chính, khu vực công v.v.) – không phụ thuộc quy mô nhân sự

Quan trọng: nghĩa vụ không chỉ gắn với quy mô nhân sự – các tổ chức thuộc phạm vi điều chỉnh của quy định chống rửa tiền và tài trợ khủng bố (Luật số LIII năm 2017) có nghĩa vụ không phụ thuộc quy mô nhân sự (Luật Whistleblowing Điều 18 khoản 2).

Các yếu tố bắt buộc của hệ thống báo cáo nội bộ

Yêu cầu vận hành (Luật Whistleblowing Điều 19–22)

Hệ thống báo cáo nội bộ phải tuân thủ các yêu cầu bắt buộc (không được phép sai lệch):

1. Kênh báo cáo (Điều 19)

Người tố giác phải có thể gửi báo cáo qua ít nhất các phương thức sau:

• Bằng văn bản (qua bưu điện, biểu mẫu điện tử, email)
• Bằng miệng (qua điện thoại hoặc buổi lắng nghe trực tiếp – buổi lắng nghe phải được cung cấp trong vòng 15 ngày theo yêu cầu)

2. Bảo mật và bảo vệ dữ liệu (Điều 29)

• Danh tính của người tố giác phải được xử lý bảo mật – không được tiết lộ cho bất kỳ ai ngoài người tiến hành điều tra mà không có sự đồng ý rõ ràng của người tố giác
• Người vận hành hệ thống có nghĩa vụ bảo mật
• Dữ liệu cá nhân trong báo cáo phải được xử lý theo quy định của GDPR và Luật Thông tin

Giải thích quan trọng: Luật bắt buộc bảo mật (xử lý bảo mật), không phải「tính ẩn danh hoàn toàn」về mặt kỹ thuật. Khả năng gửi báo cáo ẩn danh có thể được tổ chức cung cấp, nhưng luật không bắt buộc điều này – báo cáo ẩn danh có thể được điều tra (Điều 20 khoản 1), nhưng việc xử lý chúng không bắt buộc.

3. Thời hạn thủ tục (Điều 22)

• Trong 7 ngày: xác nhận bằng văn bản về việc nhận báo cáo
• Trong 30 ngày: tiến hành điều tra và thông báo kết quả cho người tố giác
• Gia hạn: trong trường hợp phức tạp, thời hạn 30 ngày có thể được gia hạn một lần thêm 30 ngày (tổng tối đa 60 ngày), kèm thông báo đồng thời cho người tố giác (Điều 22 khoản 4)

Có thể báo cáo những gì?

Đối tượng báo cáo (Luật Whistleblowing Điều 1, 16)

Các vi phạm sau có thể được báo cáo qua hệ thống báo cáo nội bộ:

• Vi phạm pháp luật EU trong các lĩnh vực được liệt kê trong phụ lục Chỉ thị (mua sắm công, dịch vụ tài chính, an toàn sản phẩm, bảo vệ môi trường, gian lận thuế, bảo vệ người tiêu dùng v.v.)
• Vi phạm pháp luật Hungary – liên quan đến hoạt động của tổ chức
• Vi phạm nghiêm trọng quy định nội bộ

Quan trọng: sự bảo vệ của luật chỉ áp dụng cho người tố giác có cơ sở hợp lý tin rằng thông tin được báo cáo là đúng tại thời điểm báo cáo (yêu cầu thiện chí – Điều 4 khoản 1).

Kênh báo cáo bên ngoài

Thủ tục của Ủy viên Quyền Cơ bản (Luật Whistleblowing Điều 24–28)

Ngoài kênh nội bộ – hoặc thay thế – người tố giác có thể sử dụng kênh báo cáo bên ngoài. Tại Hungary, cơ quan được chỉ định tiếp nhận báo cáo bên ngoài là Ủy viên Quyền Cơ bản (Ombudsman).

Việc báo cáo bên ngoài không phụ thuộc vào việc người tố giác đã sử dụng kênh nội bộ trước đó hay chưa – người tố giác được tự do lựa chọn giữa các kênh.

Bảo vệ người tố giác: Cấm trả thù

Phạm vi bảo vệ (Luật Whistleblowing Điều 41–43)

Luật cung cấp sự bảo vệ nghiêm ngặt cho người tố giác chống lại hành vi trả thù (retortion) liên quan đến báo cáo:

Các biện pháp trả thù bị cấm (Điều 41 khoản 2) – bao gồm:

• Sa thải, chấm dứt hợp đồng
• Thuyên chuyển, giáng chức
• Kỷ luật
• Phân biệt đối xử
• Đe dọa, quấy rối
• Giữ lại các khoản thanh toán

Chuyển gánh nặng chứng minh (Điều 43 khoản 5)

Một trong những đảm bảo quan trọng nhất của bảo vệ người tố giác là chuyển gánh nặng chứng minh:

• Nếu người tố giác chịu bất lợi sau khi báo cáo, luật thiết lập suy đoán có thể bác bỏ (praesumptio iuris): bất lợi xảy ra do báo cáo
• Người sử dụng lao động phải chứng minh rằng biện pháp được thực hiện vì lý do hợp pháp độc lập với báo cáo
• Đây là suy đoán có thể bác bỏ (không phải không thể bác bỏ!) – người sử dụng lao động có thể bác bỏ suy đoán bằng phản chứng thành công

Lưu ý: giữa「suy đoán không thể bác bỏ」(praesumptio iuris et de iure) và「suy đoán có thể bác bỏ」(praesumptio iuris tantum) có sự khác biệt bản chất. Luật chứa suy đoán có thể bác bỏ: người sử dụng lao động có thể bác bỏ suy đoán bằng bằng chứng. Đối với suy đoán không thể bác bỏ, không có phản chứng nào được chấp nhận.

Hậu quả bồi thường

Trong trường hợp trả thù trái pháp luật, người tố giác có thể thực hiện quyền theo quy định bồi thường chung của Bộ luật Dân sự (Điều 6:519–6:534):

• Thiệt hại tài sản: thu nhập bị mất, chi phí
• Thiệt hại phi tài sản: bồi thường vi phạm quyền nhân thân theo Điều 2:52 Bộ luật Dân sự (sérelemdíj)

Số tiền bồi thường được tòa án xác định trên cơ sở tất cả các tình tiết của vụ việc – luật không quy định số tiền cố định hoặc hệ số nhân.

Chế tài đối với người sử dụng lao động

Hậu quả hành chính

• Cơ quan có thẩm quyền có thể phạt tiền nếu không thiết lập hoặc vận hành không đúng hệ thống báo cáo nội bộ
• Thanh tra Lao động có thể kiểm tra các khía cạnh luật lao động
• Cơ quan giám sát ngành (ví dụ: Ngân hàng Trung ương Hungary trong lĩnh vực tài chính) có thể hành động trong phạm vi thẩm quyền

Trách nhiệm hình sự

• Trả thù người tố giác trong một số trường hợp (ví dụ: cưỡng ép, quấy rối) có thể làm phát sinh trách nhiệm hình sự (Bộ luật Hình sự Điều 195 – cưỡng ép, Điều 222 – quấy rối)
• Che giấu vi phạm cũng có thể cấu thành tội phạm

Khía cạnh bảo vệ dữ liệu

Tuân thủ GDPR (Luật Whistleblowing Điều 29–34)

Vận hành hệ thống báo cáo nội bộ đòi hỏi sự chú ý đặc biệt đến yêu cầu bảo vệ dữ liệu:

• Chuẩn bị thông báo bảo vệ dữ liệu cho người tố giác và chủ thể dữ liệu
• Thực hiện Đánh giá Tác động Bảo vệ Dữ liệu (DPIA) – hệ thống báo cáo thường thuộc loại xử lý dữ liệu rủi ro cao
• Thời hạn lưu giữ: dữ liệu liên quan đến báo cáo có thể được lưu giữ tối đa 5 năm sau khi kết thúc điều tra, sau đó phải xóa (Điều 34)
• Hạn chế truy cập: chỉ những người có thẩm quyền tiến hành điều tra mới được truy cập dữ liệu

Lời khuyên thực tiễn

Cho doanh nghiệp

1. Lựa chọn hệ thống: hệ thống báo cáo có thể được vận hành nội bộ (bộ phận tuân thủ nội bộ) hoặc thuê ngoài (nhà cung cấp dịch vụ bên ngoài, ví dụ: văn phòng luật sư) – Điều 18 khoản 5 cho phép rõ ràng việc thuê ngoài
2. Xây dựng quy chế: ban hành quy chế whistleblowing nội bộ bao gồm các kênh báo cáo, quy trình và thời hạn phản hồi
3. Đào tạo: thông tin định kỳ cho quản lý và nhân viên về các phương thức báo cáo và lệnh cấm trả thù
4. Lưu trữ hồ sơ: lưu trữ cẩn thận tất cả báo cáo và điều tra – do chuyển gánh nặng chứng minh, người sử dụng lao động phải sẵn sàng chứng minh tính hợp pháp của mọi biện pháp đã thực hiện

Cho người lao động (người tố giác tiềm năng)

1. Thiện chí: báo cáo chỉ được bảo vệ nếu người tố giác có cơ sở hợp lý tin rằng thông tin là đúng
2. Lựa chọn kênh: người tố giác được tự do lựa chọn giữa kênh nội bộ và bên ngoài (Ombudsman)
3. Lưu trữ hồ sơ: nên ghi lại các tình tiết liên quan đến báo cáo (ngày tháng, giao tiếp, nhân chứng)
4. Tư vấn pháp lý: trong trường hợp phức tạp, nên tìm kiếm tư vấn pháp luật trước khi báo cáo

Hệ thống tố giác không chỉ là nghĩa vụ pháp lý mà còn là công cụ quản trị doanh nghiệp và văn hóa kinh doanh đạo đức. Luật số XXV năm 2023, chuyển hóa Chỉ thị EU, cung cấp khung pháp lý vững chắc cho cả bảo vệ người tố giác và nghĩa vụ tuân thủ của tổ chức – việc áp dụng đúng hệ thống phục vụ lợi ích chung của người sử dụng lao động và người lao động.