举报人制度（Whistleblowing）：义务、举报人保护与企业合规

在全球化的商业环境中，举报（whistleblowing）——对违法行为的内部或外部报告——是企业文化和法治的关键制度。继2019年通过的EU举报人保护指令（2019/1937/EU）之后，匈牙利也全面规范了这一领域：2023年第XXV号关于投诉、公益举报及违规行为举报相关规定的法律（以下简称：举报人法）于2023年7月24日生效。以下介绍该制度的强制要素、举报人保护的保障措施和实务操作。

法律框架

EU层面

• 欧洲议会和理事会指令（EU）2019/1937（举报人保护指令）——关于保护举报欧盟法律违规行为的人
• 该指令是最低限度协调措施：成员国可提供更高水平的保护

匈牙利法律

• 2023年第XXV号法律——关于投诉、公益举报及违规行为举报相关规定（举报人法）
• 2012年第I号法律——劳动法典（Mt.）——劳动法后果
• 2013年第V号法律——民法典（Ptk.）——损害赔偿规定
• GDPR（条例（EU）2016/679）及2011年第CXII号法律（信息法）——与举报相关的数据处理规定

哪些组织有义务？

建立内部举报系统的义务（举报人法第18条）

法律规定了分阶段的义务时限：

• 雇员250人以上的雇主：自2023年12月17日起强制
• 雇员50–249人的雇主：自2025年12月17日起强制
• 按行业强制的组织（金融领域、公共部门等）——不论雇员人数

重要： 义务不仅与雇员人数挂钩——受反洗钱和反恐融资规定（2017年第LIII号法律）约束的组织不论雇员人数均有义务（举报人法第18条第2款）。

内部举报系统的强制要素

运营要求（举报人法第19–22条）

内部举报系统必须符合以下强制性（不得偏离）要求：

1. 举报渠道（第19条）

举报人必须至少能通过以下方式提交举报：

• 书面（邮寄、电子表格、电子邮件）
• 口头（电话或面对面听取——后者须在请求后15日内提供）

2. 保密与数据保护（第29条）

• 举报人的身份必须保密处理——未经举报人明确同意，不得向调查人员以外的任何人披露
• 系统运营者承担保密义务
• 举报中包含的个人数据必须按照GDPR和信息法的规定处理

重要说明： 法律强制要求保密（保密处理），而非技术意义上的「完全匿名」。组织可以提供匿名举报的功能，但法律不强制要求——匿名举报可以被调查（第20条第1款），但处理它们并非强制性的。

3. 程序期限（第22条）

• 7日内：举报接收的书面确认
• 30日内：进行调查并将结果通知举报人
• 延长：在复杂案件中，30日期限可延长一次，最多再延长30日（总计最长60日），同时通知举报人（第22条第4款）

可以举报什么？

举报对象（举报人法第1条、第16条）

可通过内部举报系统报告以下领域的违法行为：

• 指令附件所列领域的EU法律违规（公共采购、金融服务、产品安全、环境保护、税务欺诈、消费者保护等）
• 匈牙利法律违规——与组织活动相关
• 内部规定的严重违反

重要： 法律保护仅适用于合理相信所举报信息在举报时为真实的举报人（善意要求——第4条第1款）。

外部举报渠道

基本权利专员的程序（举报人法第24–28条）

除内部渠道外——或替代内部渠道——举报人可使用外部举报渠道。在匈牙利，指定接收外部举报的机构是基本权利专员（监察专员）。

外部举报不取决于举报人之前是否使用了内部渠道——举报人可自由选择渠道。

举报人保护：禁止报复

保护范围（举报人法第41–43条）

法律为举报人提供严格保护，防止与举报相关的报复：

被禁止的报复措施（第41条第2款）——包括：

• 解雇、终止合同
• 调岗、降级
• 纪律处分
• 歧视
• 恐吓、骚扰
• 扣留薪酬

举证责任倒置（第43条第5款）

举报人保护最重要的保障之一是举证责任倒置：

• 如果举报人在举报后遭受不利，法律设立可推翻的推定（praesumptio iuris）：不利是因举报而发生的
• 雇主必须证明该措施是基于与举报无关的合法理由而采取的
• 这是可推翻的推定（不是不可推翻的！）——雇主可以通过成功的反证推翻推定

注意：「不可推翻的推定」（praesumptio iuris et de iure）与「可推翻的推定」（praesumptio iuris tantum）之间存在本质区别。法律包含可推翻的推定：雇主可以用证据推翻推定。对于不可推翻的推定，不允许任何反证。

赔偿后果

在违法报复的情况下，举报人可根据民法典的一般损害赔偿规定（第6:519–6:534条）主张权利：

• 财产损害：收入损失、费用
• 非财产损害：根据民法典第2:52条的人格权侵害赔偿（sérelemdíj）

赔偿金额由法院根据案件的所有情节确定——法律不规定固定金额或倍数。

对雇主的制裁

行政后果

• 未建立或不当运营内部举报系统的，主管机关可处以罚款
• 劳动监察局可检查劳动法方面
• 行业监管机构（如金融领域的匈牙利中央银行）可在自身权限内采取措施

刑事责任

• 对举报人的报复在某些情况下（如强迫、骚扰）可产生刑事责任（刑法第195条——强迫，第222条——骚扰）
• 掩盖违法行为也可构成犯罪

数据保护方面

GDPR合规（举报人法第29–34条）

运营内部举报系统时需特别注意数据保护要求：

• 为举报人和数据主体准备数据保护通知
• 进行数据保护影响评估（DPIA）——举报系统通常属于高风险数据处理
• 保留期限：与举报相关的数据在调查结束后最多保留5年，之后必须删除（第34条）
• 访问限制：仅经授权的调查人员可访问数据

实务建议

给企业的建议

1. 系统选择：举报系统可内部运营（内部合规部门）或外包（外部服务提供商，如律师事务所）——第18条第5款明确允许外包
2. 制度建设：制定内部举报制度，包含举报渠道、程序规则和反馈期限
3. 培训：定期向管理层和员工宣传举报途径和禁止报复的规定
4. 记录文档：仔细记录所有举报和调查——由于举证责任倒置，雇主必须准备好证明所采取的每项措施的合法性

给劳动者（潜在举报人）的建议

1. 善意：举报仅在举报人合理相信信息真实时才受保护
2. 渠道选择：举报人可自由选择内部和外部（监察专员）渠道
3. 记录文档：建议记录与举报相关的情况（日期、通讯、证人）
4. 法律咨询：在复杂情况下，建议在举报前寻求法律顾问意见

举报人制度不仅是法律义务，更是企业治理和商业道德文化的工具。2023年第XXV号法律转化了EU指令，为举报人保护和组织的合规义务提供了坚实的法律框架——该制度的正确适用符合雇主和劳动者的共同利益。