Just Culture, czyli kultura sprawiedliwego traktowania, powinna chronić ludzi, którzy zgłaszają zagrożenia, popełniają niezamierzone błędy lub zostają wymienieni w raportach dotyczących zdarzeń lotniczych. Powinna również zapewniać, że ocena zachowania człowieka będzie oparta na faktach, obowiązujących wymaganiach i możliwym do zweryfikowania uzasadnieniu.

Nie może to być system, w którym ktoś arbitralnie przypisuje innemu człowiekowi winę, brak profesjonalizmu lub naruszenie procedur bez przedstawienia konkretnych dowodów i podstaw prawnych.

Art. 2 pkt 12 rozporządzenia (UE) nr 376/2014 definiuje Just Culture jako politykę, w ramach której operatorzy i inne osoby nie są karani za działania, zaniechania lub decyzje współmierne do ich doświadczenia i wyszkolenia, przy jednoczesnym braku tolerancji dla rażącego niedbalstwa, umyślnych naruszeń i działań powodujących szkody.

W praktyce istotne są jednak nie tylko granice ochrony, lecz również sposób funkcjonowania całego systemu. Kto przyjmuje zgłoszenia? Kto prowadzi analizę? Kto weryfikuje ustalenia? Kto może ujawnić tożsamość uczestnika? Jak sprawdzić, czy informacje o bezpieczeństwie nie zostały wykorzystane do niedozwolonych celów?

Pytania te dotyczą każdego rodzaju organizacji lotniczej, niezależnie od jej wielkości, struktury czy charakteru działalności.

W poprzednim opracowaniu „Ochrona informacji w badaniu zdarzeń lotniczych. Anonimizacja, minimalizacja danych i granice Just Culture” omówiłem szczegółowo ochronę informacji pochodzących ze zgłoszeń. Niniejszy artykuł dotyczy przede wszystkim jakości prowadzenia analiz, zasad oceny zachowania człowieka, odpowiedzialności organizacji oraz możliwości reagowania na nieprawidłowości.

Istotna jest również profilaktyka. Jeżeli dostrzegamy, że system zgłaszania i analizowania zdarzeń nie działa prawidłowo, nie musimy czekać, aż sami zostaniemy pokrzywdzeni. Możemy zgłosić nieprawidłowości, zanim doprowadzą do szkody.

1. Zgłoszenie zdarzenia nie stanowi dowodu winy

Art. 1 ust. 2 rozporządzenia 376/2014 określa podstawowy cel systemu raportowania: zapobieganie wypadkom i incydentom, a nie przypisywanie winy lub odpowiedzialności.

Art. 15 ust. 2 ogranicza wykorzystanie informacji pochodzących ze zgłoszeń do celów, dla których zostały zebrane, oraz zakazuje ich wykorzystywania do przypisywania winy lub odpowiedzialności albo do celów innych niż utrzymanie lub poprawa bezpieczeństwa lotniczego.

Raport może zawierać informacje o rzeczywistym zagrożeniu, ale również błędne interpretacje, subiektywne oceny i twierdzenia nieznajdujące potwierdzenia w pozostałym materiale.

Samo zgłoszenie nie tworzy domniemania prawdziwości wszystkich zawartych w nim informacji. Nie powoduje też, że osoba wymieniona w raporcie musi udowodnić swoją niewinność.

Należy rozróżnić cztery elementy:

1. Treść zgłoszenia.
2. Fakty ustalone podczas analizy.
3. Ocenę zagrożenia dla bezpieczeństwa.
4. Ocenę zachowania konkretnej osoby.

Nie można traktować tych elementów jako równoważnych.

Ustalenie, że zdarzenie mogło spowodować poważne zagrożenie, nie dowodzi automatycznie, że określony uczestnik dopuścił się rażącego niedbalstwa lub umyślnego naruszenia przepisów.

2. Rzetelna analiza wymaga ustalenia faktów

Art. 6 ust. 1 rozporządzenia 376/2014 przewiduje niezależną obsługę zgłoszeń przez osoby wyznaczone w organizacji.

Art. 7 ust. 3 wymaga odpowiedniej procedury kontroli jakości danych, a art. 13 reguluje analizowanie zdarzeń, identyfikowanie zagrożeń oraz działania następcze.

W przypadku operatorów lotniczych znaczenie mają również ORO.GEN.200 i ORO.GEN.220 rozporządzenia 965/2012, dotyczące systemu zarządzania i dokumentacji.

Przepisy nie ustanawiają jednolitej procedury przesłuchiwania uczestników ani sporządzania uzasadnienia na wzór decyzji administracyjnej.

Nie oznacza to jednak dowolności w ustalaniu faktów.

Moim zdaniem prawidłowa analiza powinna obejmować:

1. Określenie przedmiotu i zakresu badania.
2. Odtworzenie chronologii zdarzenia.
3. Ustalenie informacji i możliwości dostępnych poszczególnym uczestnikom.
4. Wskazanie właściwych przepisów i obowiązujących procedur.
5. Ustalenie rzeczywistego zakresu odpowiedzialności.
6. Zebranie istotnych relacji i materiałów dowodowych.
7. Wyjaśnienie rozbieżności pomiędzy dowodami.
8. Rozpatrzenie informacji przemawiających zarówno na korzyść, jak i niekorzyść ocenianej osoby.
9. Zbadanie czynników technicznych, organizacyjnych i ludzkich.
10. Oddzielenie ustaleń faktycznych od oceny ryzyka i oceny zachowania.
11. Określenie działań zapobiegawczych.
12. Monitorowanie skuteczności podjętych działań.

Jeżeli określonego faktu nie udało się ustalić, należy to odnotować.

Jeżeli istnieją sprzeczne relacje, trzeba wyjaśnić, dlaczego jedną uznano za bardziej wiarygodną albo dlaczego rozbieżności nie udało się rozstrzygnąć.

Nie można zastępować brakujących dowodów przekonaniem osoby prowadzącej analizę.

3. Uczestnik powinien mieć możliwość odniesienia się do ustaleń

Sprawiedliwe traktowanie wymaga, aby osoba, której zachowanie jest oceniane, miała rzeczywistą możliwość przedstawienia istotnych wyjaśnień.

Dotyczy to również sytuacji, w której nie była autorem zgłoszenia.

Moim zdaniem wewnętrzne procedury powinny zapewniać możliwość:

• poznania istoty zarzutów w zakresie zgodnym z zasadami poufności;
• przedstawienia własnej relacji;
• wskazania istotnych dowodów;
• sprostowania nieprawidłowego zapisu wypowiedzi;
• zgłoszenia rozbieżności;
• przedstawienia zastrzeżeń do ustaleń;
• otrzymania informacji o sposobie rozpatrzenia tych zastrzeżeń.

Nie jest to jednolite, wyrażone wprost w rozporządzeniu 376/2014 prawo do uczestniczenia w każdym etapie analizy.

Jest to proponowany standard proceduralny służący ograniczaniu ryzyka błędnych ustaleń i arbitralnych ocen.

Nie powinno być sytuacji, w której istotne wyjaśnienia trafiają do organizacji, a następnie nie można ustalić, czy zostały uwzględnione i dlaczego je odrzucono.

4. Obowiązek musi wynikać z właściwego źródła

Zanim organizacja uzna, że określony uczestnik naruszył wymagania, powinna wskazać źródło tego obowiązku.

Może nim być przepis prawa, obowiązująca instrukcja, procedura organizacyjna albo odpowiedni standard profesjonalnej staranności.

Trzeba jednak ustalić treść obowiązku, jego adresata, zakres zastosowania oraz okoliczności zdarzenia.

Szczególne znaczenie ma wersja dokumentacji obowiązująca w chwili zdarzenia.

Późniejsza zmiana instrukcji nie może automatycznie stanowić podstawy przypisania wcześniejszego naruszenia.

Nie można też uznawać, że samo istnienie możliwości wykonania określonej czynności oznacza, iż każda osoba uczestnicząca w zdarzeniu miała obowiązek ją wykonać.

Jednocześnie brak szczegółowego zapisu w instrukcji nie wyłącza obowiązków wynikających bezpośrednio z przepisów lub właściwego standardu zawodowego.

W każdym przypadku należy jednak wykazać źródło i zakres wymagania.

5. CRM i standardy zachowania. Co wynika z prawa, a co z dokumentacji organizacji?

Crew Resource Management (CRM) obejmuje między innymi komunikację, współpracę, podejmowanie decyzji, świadomość sytuacyjną, monitorowanie i odpowiednie wykorzystywanie dostępnych zasobów.

W odniesieniu do załogi lotniczej podstawowe wymaganie dotyczące szkolenia CRM wynika z ORO.FC.115 rozporządzenia 965/2012.

Dla personelu pokładowego odpowiednie wymagania ustanawia między innymi ORO.CC.115.

Współpraca z personelem naziemnym i operacyjnym może być elementem szkolenia CRM, ale nie oznacza to, że obowiązki wszystkich tych osób są identyczne.

Poszczególne funkcje należy oceniać z uwzględnieniem właściwych wymagań i procedur.

AMC nie jest prawem powszechnie obowiązującym

Trzeba wyraźnie rozróżniać wiążące przepisy wykonawcze od niewiążących materiałów EASA.

ORO.FC.115 stanowi przepis rozporządzenia 965/2012.

AMC1 ORO.FC.115 jest natomiast akceptowalnym i niewiążącym sposobem spełnienia wymagań, czyli Acceptable Means of Compliance.

Operator powinien określić standardy w dokumentacji

AMC1 ORO.FC.115 lit. h pkt 4 przewiduje opisanie metodyki formalnej oceny CRM, wymaganych standardów i stosowanej terminologii w instrukcji operacyjnej.

Lit. h pkt 5 odnosi się do obserwowalnych zachowań, a pkt 6 do procedur stosowanych w przypadku nieosiągania wymaganych standardów.

Operator stosujący ten sposób wykazania zgodności powinien zatem odpowiednio określić własne standardy, metody oceny i procedury.

Niewiążący charakter AMC nie oznacza, że standardy wdrożone do obowiązującej dokumentacji operatora są pozbawione znaczenia.

Należy jednak odróżniać źródło obowiązku prawnego od metody wykazania zgodności oraz konkretnego standardu ustanowionego przez organizację.

Formalna ocena umiejętności CRM jest ponadto odrębna od wewnętrznej analizy zdarzenia.

Nie można automatycznie traktować każdej analizy jako formalnej oceny CRM ani zastępować ustalenia konkretnego naruszenia ogólną opinią o zachowaniu.

Jeżeli organizacja zarzuca naruszenie standardu, powinna wskazać jego treść, właściwy dokument, obowiązującą wersję i konkretne zachowanie, które uznaje za niezgodne z wymaganiem.

6. Ochrona obejmuje także osobę wymienioną w zgłoszeniu

Art. 16 ust. 9 rozporządzenia 376/2014 chroni pracowników i personel kontraktowy przed uszczerbkiem ze strony pracodawcy lub organizacji, na rzecz której świadczą usługi, wynikającym z informacji przekazanych przez zgłaszającego.

Ochrona obejmuje zarówno zgłaszającego, jak i osoby wymienione w zgłoszeniach dokonanych zgodnie z art. 4 i 5.

Art. 16 ust. 7 ogranicza wykorzystywanie informacji pochodzących ze zgłoszeń przeciwko chronionym osobom w postępowaniach dyscyplinarnych lub administracyjnych, z uwzględnieniem wyjątków.

Ochrona nie zależy zatem wyłącznie od tego, kto pierwszy zgłosił zdarzenie.

Nie oznacza to zakazu wyjaśniania zarzutów. Organizacja powinna je badać, ale bez przyznawania zgłaszającemu automatycznie uprzywilejowanej pozycji dowodowej.

Znaczenie ma również art. 135e ust. 3 polskiego Prawa lotniczego, który obejmuje określoną ochroną także osoby wymienione w zgłoszeniach.

7. Wyjątki z art. 16 ust. 10 wymagają dowodów

Art. 16 ust. 10 rozporządzenia 376/2014 przewiduje wyjątki od ochrony ustanowionej w ust. 6, 7 i 9.

Pierwszy dotyczy umyślnego naruszenia przepisów.

Drugi wymaga łącznego wystąpienia wyraźnego i poważnego zlekceważenia oczywistego ryzyka, poważnego zaniedbania zawodowego obowiązku zachowania staranności bezsprzecznie wymaganej w danych okolicznościach oraz skutku określonego w tym przepisie.

Sama wysoka ocena ryzyka nie wystarcza do zastosowania wyjątku.

Nie wystarczy też stwierdzenie błędu lub niezgodności z procedurą, aby automatycznie przypisać umyślność.

Każda przesłanka wymaga odrębnego ustalenia.

Moim zdaniem organizacja powinna dokumentować zastosowanie wyjątku, wskazując podstawę prawną, ustalone fakty, materiał dowodowy i sposób rozpatrzenia wyjaśnień zainteresowanego.

Samo zastosowanie art. 16 ust. 10 nie oznacza również nieograniczonego prawa do ujawniania danych osobowych, raportów i nagrań.

Ograniczenia wynikające z art. 15 oraz art. 16 ust. 2 nadal wymagają odrębnej oceny.

8. Organizacja systemu Just Culture. Niezależność i kontrola decyzji

Art. 16 ust. 11 rozporządzenia 376/2014 zobowiązuje organizacje do przyjęcia wewnętrznych zasad wdrażania Just Culture po konsultacji z przedstawicielami pracowników.

Nie wymaga natomiast powoływania konkretnej komisji ani nie określa jednolitego sposobu organizacji systemu.

Niektóre organizacje mogą ustanawiać specjalne komisje, inne przyjmować odmienne rozwiązania.

Istotne jest rzeczywiste zapewnienie przestrzegania prawa.

Procedury powinny jednoznacznie określać:

• kto przyjmuje zgłoszenia;
• kto prowadzi analizę;
• kto weryfikuje ustalenia;
• kto ocenia przesłanki wyjątków od ochrony;
• kto może zdecydować o ujawnieniu danych;
• jak dokumentuje się decyzje;
• jak zapobiega się konfliktom interesów;
• kto rozpatruje zastrzeżenia;
• jak kontrolowane jest działanie całego systemu.

Szczególną uwagę należy zwrócić na oddzielenie funkcji analizy bezpieczeństwa od decyzji personalnych lub dyscyplinarnych.

Nie powinno dochodzić do sytuacji, w której te same osoby formułują zarzuty, samodzielnie je zatwierdzają, rozstrzygają o ograniczeniu ochrony i następnie uczestniczą w podejmowaniu decyzji dotyczących konsekwencji zawodowych.

Organizacja a RODO

Samo utworzenie komisji lub wyznaczenie zespołu nie daje jego członkom nieograniczonego prawa dostępu do chronionych informacji.

Art. 16 ust. 2 rozporządzenia 376/2014 ustanawia szczególne ograniczenia udostępniania danych osobowych pracownikom spoza grona osób wyznaczonych zgodnie z art. 6 ust. 1.

Każdą operację przetwarzania należy również oceniać na podstawie RODO.

Istotne jest ustalenie, jakie informacje są rzeczywiście niezbędne danym osobom do wykonania ich obowiązków.

Należy również uwzględnić rolę inspektora ochrony danych. Art. 38 ust. 6 RODO wymaga unikania konfliktów interesów przy powierzaniu mu dodatkowych zadań.

Organizacja powinna potrafić odtworzyć, kto otrzymał dane, w jakim celu i na jakiej podstawie.

9. RODO. Przetwarzanie danych wymaga konkretnej podstawy

Rozporządzenie 376/2014 nie wyłącza stosowania RODO.

Gromadzenie, utrwalanie, odsłuchiwanie, analizowanie, przekazywanie i dalsze wykorzystywanie danych osobowych stanowi ich przetwarzanie.

Art. 5 RODO ustanawia zasady legalności, rzetelności, przejrzystości, ograniczenia celu, minimalizacji, prawidłowości danych, ograniczenia przechowywania, bezpieczeństwa i rozliczalności.

Art. 6 określa podstawy legalności przetwarzania.

Organizacja powinna wskazać administratora danych, cel, podstawę prawną, zakres przetwarzania, odbiorców, okres przechowywania i środki zabezpieczenia.

Nie wystarczy ogólne stwierdzenie, że określona czynność jest potrzebna dla bezpieczeństwa lotniczego.

Trzeba wykazać, dlaczego konkretne dane są potrzebne do wykonania konkretnego zadania.

Szczegółowe zasady anonimizacji i minimalizacji danych omawiam w poprzednim artykule dotyczącym ochrony informacji.

10. Nagrywanie rozmów. Uczestnika nie powinno się zaskakiwać

Rozmowy prowadzone specjalnie na potrzeby analizy bezpieczeństwa nie powinny być nagrywane z zaskoczenia.

Jeżeli organizacja zamierza utrwalać wypowiedzi uczestnika, powinna zapewnić mu odpowiednią informację o nagrywaniu, jego celu, podstawie prawnej i zasadach wykorzystania materiału.

Wynika to z zasad przejrzystości i rzetelności przetwarzania oraz obowiązków informacyjnych określonych w art. 5 i 12–14 RODO.

Za właściwy standard uważam wyraźne uprzedzenie uczestnika przed rozpoczęciem nagrywania rozmowy organizowanej na potrzeby analizy.

Osoba powinna wiedzieć, kto jest administratorem danych, kto będzie miał dostęp do nagrania, jak długo będzie ono przechowywane i jakie prawa jej przysługują.

Informacje mogą zostać przekazane wcześniej w odpowiedniej procedurze, jeśli spełnia ona wymagania RODO i obejmuje dany sposób przetwarzania.

Nie każde nagranie wykonane bez uprzedzenia jest automatycznie nielegalne. Ocena zależy od okoliczności i właściwej podstawy prawnej.

Nie oznacza to jednak ogólnego uprawnienia organizacji do ukrytego nagrywania uczestników analiz bezpieczeństwa.

Należy również rozróżnić zwykłe nagrania rozmów od nagrań pochodzących z rejestratorów pokładowych i systemów ATS, do których mogą stosować się szczególne przepisy.

Legalne pozyskanie nagrania nie przesądza ponadto o dopuszczalności jego późniejszego wykorzystania w innym celu.

11. Dostęp do danych, sprostowanie i zabezpieczenie materiału

Art. 15 RODO przewiduje prawo dostępu do własnych danych osobowych.

Może ono obejmować informacje o celach przetwarzania, odbiorcach, okresie przechowywania i źródle danych.

W wyroku C-154/21 TSUE potwierdził, że co do zasady osoba może żądać wskazania konkretnych odbiorców swoich danych.

Wyrok C-487/21 dotyczy zakresu prawa do kopii danych, które w odpowiednich okolicznościach może wymagać udostępnienia fragmentów dokumentów, a nawet całych dokumentów.

Wyrok C-579/21 odnosi się między innymi do informacji o operacjach przeglądania danych oraz ograniczeń dotyczących ujawniania tożsamości pracowników administratora.

Prawo dostępu do danych nie oznacza automatycznie prawa otrzymania całych akt analizy bezpieczeństwa.

Art. 16 RODO przewiduje możliwość sprostowania nieprawidłowych danych oraz uzupełnienia danych niekompletnych.

Art. 18 umożliwia, po spełnieniu przewidzianych przesłanek, żądanie ograniczenia przetwarzania.

Art. 19 reguluje informowanie odbiorców o sprostowaniu, usunięciu lub ograniczeniu przetwarzania.

W przypadku ryzyka utraty istotnych nagrań lub dokumentów można odrębnie żądać ich zabezpieczenia.

Trzeba jednak odróżnić prawo do sprostowania błędnych danych od sporu o ocenę zdarzenia.

12. Gdy system raportowania sam staje się zagrożeniem

System zarządzania bezpieczeństwem również może działać nieprawidłowo.

Nieprawidłowości mogą dotyczyć sposobu przyjmowania zgłoszeń, jakości analiz, ochrony danych, niezależności osób prowadzących postępowania albo wykorzystywania informacji do niedozwolonych celów.

Szczególnie niepokojące są sytuacje, w których:

• uczestnicy obawiają się zgłaszać zagrożenia z powodu możliwych konsekwencji;
• nie wiadomo, kto ma dostęp do informacji identyfikujących osoby;
• nie istnieją przejrzyste kryteria oceny zachowania;
• zarzuty nie są weryfikowane;
• istotne wyjaśnienia pozostają bez rozpatrzenia;
• brak dokumentacji decyzji o ujawnieniu danych;
• nie można ustalić, kto odpowiada za zastosowanie wyjątków od ochrony;
• struktura organizacyjna nie zapewnia skutecznego zapobiegania konfliktom interesów;
• osoby prowadzące analizę mogą samodzielnie decydować o konsekwencjach wobec jej uczestników.

Nie każda pojedyncza nieprawidłowość dowodzi systemowego naruszenia prawa.

Powtarzające się problemy, brak możliwości ich wyjaśnienia i brak skutecznego nadzoru powinny jednak stanowić sygnał ostrzegawczy.

Właśnie wtedy należy rozważyć zgłoszenie zagrożenia, zanim doprowadzi ono do konkretnej szkody.

13. Nie czekaj, aż wadliwy system skrzywdzi właśnie ciebie

Jeżeli dostrzegasz, że system bezpieczeństwa w twojej organizacji nie działa prawidłowo, nie musisz czekać, aż sam zostaniesz pokrzywdzony.

Nie trzeba najpierw utracić stanowiska, reputacji czy możliwości wykonywania obowiązków zawodowych, aby zainteresować się legalnością zasad obowiązujących w organizacji.

System Just Culture powinien być oceniany również pod kątem tego, czy stwarza ryzyko przyszłych naruszeń.

Jeżeli procedury pozwalają na arbitralne oceny, niekontrolowane ujawnianie danych lub podejmowanie decyzji bez jasnych kryteriów, zagrożenie może istnieć niezależnie od tego, czy dotychczas wystąpiła konkretna szkoda.

Nie należy jednak utożsamiać każdego podejrzenia wadliwej procedury ze zdarzeniem podlegającym obowiązkowemu raportowaniu.

Trzeba ustalić charakter nieprawidłowości i wybrać właściwy kanał zgłoszenia.

Możliwe są między innymi zgłoszenie zagrożenia w systemie bezpieczeństwa, zawiadomienie o domniemanym naruszeniu art. 16 rozporządzenia 376/2014 lub poufne zgłoszenie do EASA, jeżeli sprawa dotyczy unijnych wymagań bezpieczeństwa i mieści się w kompetencjach Agencji.

Najważniejsze, aby zgłoszenie było konkretne. Powinno wskazywać fakty, dokumenty, istniejące ryzyko i przepisy, których naruszenie jest podejrzewane.

Nie trzeba udowadniać przyszłej szkody, aby wskazać realne zagrożenie. Nie wolno jednak przedstawiać własnego przypuszczenia jako ustalonego naruszenia prawa.

Jeżeli dziś widzisz niebezpieczny mechanizm, zgłoś go dziś. Jutro może on zostać wykorzystany wobec ciebie albo innego uczestnika systemu.

14. ECCAIRS 2. Zgłaszanie zdarzeń poza organizacją

ECCAIRS 2 jest europejską platformą zgłaszania i zarządzania informacjami o zdarzeniach, rozwijaną i utrzymywaną przez EASA na rzecz Komisji Europejskiej.

Portal umożliwia zgłaszanie zdarzeń przez osoby indywidualne, również bez konta organizacji.

Przewidziano możliwość zgłoszenia bez wskazywania danych identyfikacyjnych.

Trzeba jednak pamiętać, że anonimowość formularza nie gwarantuje braku możliwości pośredniej identyfikacji na podstawie szczegółów zdarzenia.

ECCAIRS 2 nie jest jednocześnie tożsamy z European Central Repository ani z krajowymi bazami zdarzeń.

Skierowanie zgłoszenia przez europejski portal nie oznacza automatycznie, że sprawę rozpatrzy EASA zamiast właściwego organu krajowego.

EASA umożliwia osobom indywidualnym skierowanie do Agencji dobrowolnego zgłoszenia, zgodnie z zasadami portalu.

Nie zastępuje to jednak obowiązkowego raportowania, jeżeli taki obowiązek ma zastosowanie.

Portal:

https://aviationreporting.eu

Informacje EASA:

https://www.easa.europa.eu/en/domains/safety-management/aviation-safety-reporting/aviation-safety-reporting-individuals

15. EASA Confidential Safety Reporting. Gdy problem dotyczy naruszania wymagań bezpieczeństwa

EASA prowadzi Confidential Safety Reporting (CSR), czyli poufny system zgłaszania podejrzeń nieprawidłowości i naruszeń unijnych wymagań bezpieczeństwa lotniczego.

System działa na podstawie rozporządzenia 2018/1139 i uzupełnia standardowe kanały zgłaszania przewidziane w rozporządzeniu 376/2014.

Za jego pomocą można informować o podejrzeniach nieprawidłowości, które mogą podważać bezpieczeństwo lotnicze, również wtedy, gdy dotyczą funkcjonowania systemu zarządzania bezpieczeństwem lub wykonywania nadzoru.

Zgłoszenie powinno być konkretne, oparte na dostępnych faktach i, w miarę możliwości, poparte dokumentami.

CSR nie jest zwykłą procedurą odwoławczą od decyzji krajowego organu ani środkiem rozstrzygania sporów pracowniczych, kontraktowych czy karnych.

EASA zapewnia poufność danych identyfikacyjnych zgłaszającego na zasadach CSR. Jeżeli sprawa należy do kompetencji organu krajowego, odpowiednio przygotowane informacje mogą zostać mu przekazane do dalszego rozpatrzenia.

Dane osobowe zgłaszającego nie są przekazywane operatorom, organizacjom ani krajowym organom lotniczym bez jego zgody, zgodnie z zasadami przedstawionymi przez Agencję.

Formularz:

https://www.easa.europa.eu/en/confidential-safety-reporting

16. Ochrona wynikająca z Prawa lotniczego

Art. 135e Prawa lotniczego przewiduje ochronę pracowników i osób wykonujących czynności na podstawie umów cywilnoprawnych w związku ze zgłoszeniami zdarzeń.

Ustęp 3 rozciąga tę ochronę również na osoby wymienione w zgłoszeniach.

Wyjątki wynikają z odesłania do art. 16 ust. 10 rozporządzenia 376/2014.

Art. 209ui Prawa lotniczego przewiduje karę pieniężną w wysokości 25 000 zł za określone przypadki pociągnięcia pracownika lub kontraktora do odpowiedzialności wbrew art. 135e.

Nie każde niewłaściwe działanie organizacji automatycznie spełnia przesłanki tej sankcji. Konieczne jest ustalenie konkretnego naruszenia.

Art. 16 ust. 12 rozporządzenia 376/2014 przewiduje również możliwość zgłaszania domniemanych naruszeń ochrony Just Culture do organu wyznaczonego przez państwo członkowskie.

Pracownicy i personel kontraktowy mogą także informować o takich naruszeniach Komisję Europejską.

17. Ochrona cywilna i odpowiedzialność za naruszenie dobrego imienia

Just Culture nie wyłącza ochrony dóbr osobistych.

Art. 23 i 24 Kodeksu cywilnego chronią między innymi cześć i dobre imię.

Jeżeli dochodzi do bezprawnego rozpowszechniania nieprawdziwych zarzutów, możliwe jest dochodzenie odpowiednich roszczeń.

Mogą one obejmować żądanie zaniechania naruszenia, usunięcia jego skutków, złożenia odpowiedniego oświadczenia oraz, po spełnieniu ustawowych przesłanek, roszczenia pieniężne.

Znaczenie mogą mieć art. 448, 415 i 471 k.c.

Nie każda negatywna ocena zawodowa jest naruszeniem dóbr osobistych.

Trzeba ustalić treść zarzutu, okoliczności jego przekazania, bezprawność działania i przesłanki konkretnego roszczenia.

W przypadku materiałów pochodzących z systemu zgłaszania zdarzeń konieczne jest również uwzględnienie szczególnej ochrony informacji przewidzianej w rozporządzeniu 376/2014.

18. Odszkodowanie za naruszenie RODO

Art. 82 RODO przewiduje prawo do odszkodowania za szkodę majątkową lub niemajątkową poniesioną w wyniku naruszenia rozporządzenia.

Może to dotyczyć na przykład bezprawnego ujawnienia danych, wykorzystania ich w niedopuszczalnym celu albo niewłaściwego zabezpieczenia.

W wyroku C-300/21 TSUE wskazał, że samo naruszenie RODO nie wystarcza do uzyskania odszkodowania.

Konieczne jest wykazanie szkody oraz związku przyczynowego.

Nie można jednak wymagać przekroczenia określonego progu powagi szkody niemajątkowej.

Art. 77 RODO przewiduje prawo do skargi do organu nadzorczego, a art. 79 możliwość skorzystania z sądowego środka ochrony prawnej.

19. Odpowiedzialność karna za określone nadużycia

W określonych przypadkach zachowanie uczestników lub osób przetwarzających informacje może również podlegać ocenie na podstawie prawa karnego.

Art. 212 k.k. dotyczy pomówienia o postępowanie lub właściwości mogące poniżyć osobę w opinii publicznej albo narazić ją na utratę zaufania potrzebnego do wykonywania stanowiska, zawodu lub działalności.

Art. 234 k.k. dotyczy fałszywego oskarżenia przed właściwym organem o popełnienie czynu wskazanego w przepisie.

Art. 238 k.k. reguluje określone przypadki zawiadomienia o przestępstwie, którego nie popełniono.

Art. 107 ustawy o ochronie danych osobowych przewiduje odpowiedzialność za określone przypadki niedopuszczalnego lub nieuprawnionego przetwarzania danych.

Nie każde nieprawdziwe zgłoszenie stanowi przestępstwo. Nie każde naruszenie RODO uzasadnia odpowiedzialność karną.

W każdym przypadku trzeba wykazać wszystkie ustawowe znamiona konkretnego czynu.

Należy również uwzględnić szczególne zasady ochrony zgłaszających i informacji o zdarzeniach lotniczych.

20. Co powinien kontrolować nadzór lotniczy?

Nadzór lotniczy nie powinien ograniczać się do sprawdzania, czy organizacja posiada deklarację Just Culture i odpowiednie procedury.

Powinien weryfikować rzeczywiste funkcjonowanie systemu.

Moim zdaniem kontrola powinna obejmować w szczególności:

1. Czy zasady Just Culture ustanowiono po wymaganych konsultacjach?
2. Czy wyraźnie określono kompetencje osób obsługujących zgłoszenia?
3. Czy zachowano niezależność funkcji bezpieczeństwa?
4. Czy analizy obejmują istotny materiał i wyjaśnienia uczestników?
5. Czy ustalenia faktyczne są oddzielane od ocen ryzyka i zachowania?
6. Czy organizacja stosuje właściwe przepisy i standardy wynikające z jej dokumentacji?
7. Czy odróżnia wiążące przepisy od niewiążących AMC?
8. Czy zastosowanie art. 16 ust. 10 zostało należycie udokumentowane?
9. Czy przestrzegano ograniczeń dotyczących ujawniania danych?
10. Czy sposób nagrywania rozmów i wykorzystywania materiałów odpowiada wymaganiom prawa?
11. Czy struktura organizacyjna zapobiega konfliktom interesów?
12. Czy istnieją możliwości zgłaszania zastrzeżeń i wykrywania nieprawidłowości?
13. Czy podejmowane działania naprawcze są skuteczne?

Nie wszystkie rozwiązania wskazane powyżej są dosłownymi obowiązkami wynikającymi z jednego przepisu.

Część stanowi postulowany standard właściwego wdrożenia i nadzorowania zasad Just Culture.

Nie należy również utożsamiać kompetencji nadzoru lotniczego z kompetencjami organu ochrony danych osobowych.

Naruszenie ochrony informacji może jednak wpływać na zaufanie do systemu raportowania, a tym samym na bezpieczeństwo lotnicze.

21. Odpowiedzialność kierownictwa. Zapobieganie kosztuje mniej niż naprawianie szkód

Just Culture nie może funkcjonować jak sąd kapturowy, w którym ktoś arbitralnie przypisuje innemu człowiekowi naruszenie, brak profesjonalizmu albo winę bez wskazania faktów, dokumentów, obowiązujących standardów i podstaw prawnych.

Każdy zarzut powinien być jasny i możliwy do zweryfikowania.

Jeżeli istnieją sprzeczne relacje, należy je rozpatrzyć.

Jeżeli zainteresowany przedstawia istotne wyjaśnienia i dowody, nie powinny być pomijane wyłącznie dlatego, że nie odpowiadają pierwotnie przyjętej wersji zdarzenia.

Kierownictwo organizacji powinno zapewnić prawidłową strukturę, przejrzyste procedury, odpowiedni podział odpowiedzialności i skuteczną kontrolę decyzji.

Nie wystarczy przyjąć wewnętrznych zasad Just Culture i uznać, że obowiązek został wykonany.

Trzeba jeszcze zapewnić ich rzeczywiste przestrzeganie.

Ma to również wymiar prawny, finansowy i wizerunkowy.

Bezpodstawne zarzuty, naruszenie dobrego imienia, nieuprawnione ujawnienie danych lub wykorzystanie informacji o zdarzeniach do niedozwolonych celów mogą prowadzić do skarg, postępowań nadzorczych, sporów sądowych i roszczeń odszkodowawczych.

Nie każda skarga czy publiczna krytyka świadczy o naruszeniu prawa przez organizację. Brak przejrzystej dokumentacji i przekonującego uzasadnienia własnych decyzji może jednak poważnie utrudnić ich późniejszą obronę.

Sprawa, którą można było prawidłowo wyjaśnić wewnątrz organizacji, może przerodzić się w wieloletni spór i publiczną dyskusję o jakości zarządzania bezpieczeństwem.

Dlatego kierownictwo powinno zadbać o sprawiedliwe traktowanie, zanim dojdzie do naruszenia praw uczestnika.

Sprawiedliwe traktowanie powinno opłacać się również organizacji. Znacznie rozsądniej jest zapobiegać arbitralnym decyzjom niż później ponosić ich konsekwencje.

22. Reaguj, zanim sam zostaniesz pokrzywdzony

Największym sprawdzianem Just Culture nie jest sprawa, w której wszyscy zgadzają się co do przebiegu zdarzenia.

Jest nim sytuacja sporna, wymagająca rozpatrzenia sprzecznych relacji, różnych dowodów i możliwych naruszeń obowiązków.

W takich przypadkach znaczenie mają fakty, obowiązujące wymagania, dokumentacja, uzasadnienia i rzeczywista niezależność osób prowadzących analizę.

Nie można uznać systemu za bezpieczny wyłącznie dlatego, że dotychczas nikt nie zakwestionował jego działania.

Jeżeli widzisz, że procedury są niejasne, dostęp do chronionych informacji pozostaje niekontrolowany, ustalenia nie podlegają weryfikacji albo nie istnieją skuteczne zabezpieczenia przed arbitralnym traktowaniem uczestników, warto podjąć działania już teraz.

Zgłaszaj konkretne nieprawidłowości właściwymi kanałami. Wskazuj fakty, obowiązujące wymagania i potencjalne zagrożenia. Korzystaj z niezależnych możliwości raportowania, gdy jest to uzasadnione charakterem sprawy.

Nie trzeba czekać, aż nieprawidłowo funkcjonujący system doprowadzi do krzywdy konkretnej osoby.

System bezpieczeństwa powinien przecież identyfikować i ograniczać zagrożenia, zanim wystąpi szkoda.

Ta sama zasada powinna obowiązywać przy ocenie jego własnego funkcjonowania.

---

Podstawy prawne i materiały

Prawo unijne

• Rozporządzenie (UE) nr 376/2014 – zgłaszanie zdarzeń, analiza, poufność i Just Culture.
• Rozporządzenie wykonawcze (UE) 2015/1018 – klasyfikacja zdarzeń podlegających obowiązkowemu zgłaszaniu.
• Rozporządzenie (UE) nr 965/2012 – wymagania operacyjne i system zarządzania.
• EASA Easy Access Rules for Air Operations – ORO.GEN.110, ORO.GEN.120, ORO.GEN.200, ORO.FC.115, ORO.CC.115 i właściwe AMC.
• EASA – AMC i AltMoC – charakter prawny sposobów wykazywania zgodności.
• Rozporządzenie (UE) 2018/1139 – podstawowe rozporządzenie EASA.
• Rozporządzenie (UE) nr 996/2010 – badanie wypadków i incydentów oraz ochrona określonych informacji.
• RODO – rozporządzenie (UE) 2016/679.

Prawo krajowe

• Prawo lotnicze, Dz.U. z 2026 r. poz. 1407 – w szczególności art. 21, 135e i 209ui.
• Kodeks pracy – art. 22² i 22³.
• Kodeks cywilny – art. 23, 24, 415, 448 i 471.
• Kodeks karny – art. 212–213, 234 i 238.
• Ustawa o ochronie danych osobowych – art. 107.
• Ustawa z 14 czerwca 2024 r. o ochronie sygnalistów – w szczególności art. 3, 4, 6 oraz przepisy dotyczące zgłoszeń zewnętrznych.

Orzecznictwo TSUE

• C-154/21 – informacje o odbiorcach danych.
• C-487/21 – zakres prawa do kopii danych.
• C-579/21 – informacje o operacjach przetwarzania danych.
• C-300/21 – odszkodowanie za naruszenie RODO.

Zgłaszanie zdarzeń i nieprawidłowości

• Europejski portal ECCAIRS 2.
• EASA – raportowanie zdarzeń przez osoby indywidualne.
• EASA – Confidential Safety Reporting.
• Naruszenia Just Culture – informacje krajowego organu nadzoru.
• Urząd Ochrony Danych Osobowych.

Powiązane opracowanie

Ochrona informacji w badaniu zdarzeń lotniczych. Anonimizacja, minimalizacja danych i granice Just Culture.