§ 1. Definitions

For the purposes of this Procedure, the following definitions apply:

1. Directive – Directive (EU) 2019/1937 of the European Parliament and of the Council of 23 October 2019 on the protection of persons who report breaches of Union law.
2. Follow-up action – it means any action taken by a legal entity or a public authority to assess the accuracy of the information contained in the report and to prevent the Breach reported, in partic-ular through an investigation, initiation of control or administrative proceedings, prosecution, an action for recovery of funds or the closure of the procedure carried out under the internal reporting and follow-up procedure or the procedure for receiving and following up external reports;
3. Retaliation – it means any direct or indirect act or omission which occurs in the Work-related context, is prompted by reporting or by public disclosure, and which breaches or may breach the rights of the reporting person, or causes or may cause unjustified detriment to the reporting per-son, including the unjustified initiation of proceedings against the reporting person.
4. Information on breach – it means information, including reasonable suspicion, about actual or potential Breaches, which occurred or are very likely to occur in the legal entity in which the re-porting person was involved in recruitment or other pre-contractual negotiations, works or has worked or in another legal entity with which the reporting person is or was in contact through this person’s work, or about attempts to conceal such Breaches.
5. Feedback – it means the provision to the reporting person of information on the action envisaged or taken as follow-up and on the grounds for such follow-up.
6. Work-related context – it means past, present or future work activities on the basis of an employ-ment relationship or services, or the performance of functions in or for a legal entity, or the perfor-mance of service in a legal entity, through which persons acquire information on the Breaches and within which those persons could suffer the Retaliation experienced if they reported such infor-mation.
7. Breach – has the meaning given in § 3 para. 2 of this Procedure.
8. Person concerned – the person identified in the Report or public disclosure as the person who committed the infringement or with whom the person is associated.
9. Facilitator – it means a natural person who assists a reporting person in the reporting or public disclosing process in the Work-related context, and whose assistance should be confidential.
10. Person associated with the reporting person – it means a natural person who may experience the Retaliation in the Work-related context, including a co-worker or family member of the reporting person.
11. Person providing work on a basis other than employment – a person performing work on the basis of a civil law contract or other legal relationship.
12. Employer or Company – NFM POLAND sp. z o.o. seated in Lębork.
13. Report taker – a person responsible for receiving reports of suspected infringements or the Breaches of the law in connection with the performance of activities for NFM Poland sp. z o.o. seated in Lębork.
14. Employee – a person employed under a contract of employment with NFM POLAND sp. z o.o. seated in Lębork, regardless of the position held, form of employment, length of service.
15. Reporting person – means an individual who reports a Breach of the law in the Work-related context, regardless of his or her position, form of employment or cooperation, including an em-ployee, former employee, applicant for employment, person providing work on a basis other than employment, including under a civil law contract, entrepreneur, shareholder or partner, member of a body of a legal entity, person providing work under the supervision and direction of a contrac-tor, subcontractor or supplier, including under a civil law contract, trainee, volunteer.
16. Public disclosure – it means making of Information on breach available in the public domain.
17. Report – it means the oral or written internal reporting or external reporting communicated in ac-cordance with the requirements of the act.
18. Internal reporting – it means the oral or written communication of Information on breach to a legal entity.

§ 2. Purpose and scope of application

1. The procedure sets out the rules for the Company’s internal system for making, handling and following up on whistleblowing, as well as the obligations of the Company and its staff to prevent the Retaliation against those making or assisting in making a report.
2. This Procedure ensures the full anonymity of the Reporting person who does not wish to dis-close his/her data and provides adequate measures to protect the Reporting person in accord-ance with applicable law.
3. The purpose of this Procedure is to provide the Reporting person with a dedicated and inde-pendent channel for reporting the Breaches to support the Employer’s efforts to prevent the Breaches referred to in § 3 para. 2 below, to mitigate the legal and financial consequences in the event of early detection of the Breach, or to eliminate possible risks or occurrences of Breaches of law or the public interest.
4. The provisions of the Procedure also apply to persons assisting in making the report, to the Persons associated with the reporting person who may experience the Retaliation in the Work-related context, such as co-workers or family members of the Reporting person.
5. Each person who performs work in the Company is required to familiarise himself/herself with the contents of the Procedure (a new person who will perform work in the Company is required to familiarise himself/herself with the contents of the Procedure before being allowed to perform work).

§ 3. Subject of the Procedure

1. The Procedure applies to an individual who reports or publicly discloses information about the Breach of the law obtained in the Work-related context, as defined by current legislation.
2. The Reports referred to in § 2 para. 3 above may relate to the Breaches of the law, consisting of an unlawful act or omission or with the aim of circumventing the law relating to:
   a. corruption;
   b. public procurement;
   c. financial services, products and markets;
   d. counteracting money laundering and terrorist financing;
   e. product safety and compliance;
   f. transport security;
   g. environmental protection;
   h. radiation protection and nuclear safety;
   i. food and feed safety;
   j. animal health and welfare;
   k. public health;
   l. consumer protection;
   m. privacy and personal data protection;
   n. security of network and ITC systems;
   o. financial interests of the State Treasury of the Republic of Poland, a local government unit and the European Union;
   p. the internal market of the European Union, including public law competition and state aid rules and corporate taxation;
   q. constitutional rights and freedoms of a human being and a citizen – occurring in the relations of an individual with the public authorities and not related to the areas indicated in items a-p;
3. The Report takers, referred to in para. 1 above, and at the same time the persons responsible for carrying out the activities indicated in the Procedure are the person indicated in the resolu-tion of the Management Board of the Company on the introduction of this Procedure in the Company, and these persons are also entities authorised to take the Follow-up actions, includ-ing verification of the Report and further communication with the Reporting person, including requesting additional information and providing the Feedback to the Reporting person.

§ 4. Procedure for reports

1. The Reporting person can make the Reports using the following internal reporting method: – in writing, by e-mail to: whistleblower-poland@nfm.no or by post to the seat of NFM Poland Sp. z o.o. – ul. Słupska 1D, 84-300 Lębork, marked “Breach report – attn. HR Manager NFM Poland”.
2. The Reporting person may report the Breach to the impartial persons established internally by the Company, within the organisational structure, authorised to receive the Reports and take the Follow-up actions, including the verification of the Report and further communication with the Reporting person, including requesting additional information and providing the Feedback to the Reporting person, who shall be the persons indicated in the resolution of the Board of Directors of the Company on the implementation of this Procedure in the Company, in the man-ner set out in para. 1 above.
3. Subject to § 9 para. 6 of the Procedure, the entities indicated in para. 2 above shall be obliged to ensure the confidentiality of the content of the Report and the identity of the Reporting person in strict confidence. This also applies if the information provided will not constitute the Report within the meaning of the Procedure.
4. The Report should include at least:
   1) full name of the Reporting person;
   2) a description of the situation in which, in the opinion of the Reporting person, the Breach of the law has or may have occurred and, as far as possible, the provisions which have or may have been breached;
   3) the date of the Breach or the period during which the Breach occurred or may have oc-curred;
   4) the name of the infringer and, where this cannot be ascertained, a description of the infring-er’s position;
   5) an indication of the evidence (which the Reporting person already has or a description of how the evidence can be obtained);
   6) any other circumstances relevant to the Report;
   7) the means of contact with the Reporting person by authorised persons.
5. Anonymous Reports, making it impossible to verify the content of the Report, will not be pro-cessed. In special cases, authorised persons may decide otherwise, in particular where the content of the Report shows that it is possible to verify the infringement described in the Report.
6. The authorised persons shall, within 7 days of receipt of the Report, confirm to the Reporting person the acceptance of the Report, unless the Reporting person has not provided a contact address to which the confirmation should be forwarded.
7. The Report taker or a person authorised by him/her, shall acknowledge the receipt of the Report by drawing up a report containing the information referred to in para. 6 above and shall enter the information from the Report in accordance with § 5 below in the register of internal reports (the model register is annexed to the Procedure). The protocol shall be stored without allowing third party access. With the acknowledgement of receipt of the Report, the Report taker shall instruct the Reporting person of his/her rights.
8. The Company shall ensure that whistleblowing can be carried out in such a way as to preserve the confidentiality of the identity of the Reporting person as well as the protection of the personal data of the Persons concerned.
9. The Reporting person may also make an external Report to the Ombudsman or public authori-ties and, where appropriate, to European Union institutions, bodies or agencies.

§ 5. Procedure in the event of Report

1. The Report taker shall, with due diligence and confidentiality, undertake further investigations to verify the Report. To this end, the Report taker may, in particular, ask the Reporting person for further information concerning the Breach.
2. The Report taker shall investigate the circumstances described in the Report, in particular:
   1) determine whether the situation described in the Report actually occurred,
   2) determine whether the situation disclosed in the Report constitutes the Breach,
   3) identify the person or persons responsible for the Breach,
   4) establish the reasons for the Breach.
3. The Report shall be rejected if the information contained in the Report does not allow a reliable and exhaustive verification of the Breach described in the Report. However, this does not pre-clude the Employer from initiating an investigation. In other cases, an investigation is initiated.
4. The Employer shall take steps to eliminate or minimise the effects of the Breach committed. The activities carried out shall be documented.
5. The Employer shall have three (3) months to conduct an investigation and communicate the results in writing to the Reporting person (under no circumstances shall the conduct of such investigation lead to the disclosure of personal data of the Reporting person or the Person con-cerned). The Report may be considered unfounded if the circumstances of the case show that no Breach has occurred.
6. The Employer may also request the Reporting person to complete the Report, report the pos-sibility of a crime or offence to the relevant public authority, report the abuse to the relevant public entity or take sanctioning internal action.
7. Verification of the Report shall be carried out in consultation with the head of the Company’s organisational unit in which the Breach occurred and, where it concerns the head of the unit concerned, with his/her immediate superior.
8. The Report taker and the Employer are obliged to undertake, with due diligence, Follow-up actions understood as action taken to assess the truthfulness of the information contained in the Report and to counteract the Breach of the law that is the subject of the Report, in particular by way of investigation, initiation of inspection or administrative proceedings, prosecution, ac-tion taken to recover funds or closure of the procedure carried out under the internal whistle-blowing and Follow-up actions procedure or the external whistleblowing and Follow-up actions procedure.
9. The Reporting person who has made the Report maliciously, in bad faith or knowingly slanders another person, will be informed immediately and his/her Report will be rejected.
10. In the event that it is established that the Report knowingly contains untruths or conceals the truth, the Reporting person may be held liable under the provisions of the Labour Code and the special regulations, including the Employer’s internal regulations. Such conduct may also qual-ify as a grave breach of fundamental duties of the Employees or the Person providing work on a basis other than employment and as such result in termination of the employment/civil contract without notice.
11. In the event that it is determined that the Report knowingly contains untruths or conceals the truth, the Reporting person who is not an Employee of the Company will be liable under general law, in particular in respect of infringement of the personal interests of the Company and its Employees. The Company is entitled to claims for damages under the general rules.
12. The procedure for submitting the Reports referred to above does not apply to cases involving the private sphere of the Employees or persons referred to in § 3 para. 1 or their conflicts related to the activities performed, provided that the indicated cases are not directly related to the Com-pany’s business or do not constitute a source of the Breaches.

§ 6. Prohibition of retaliation

1. No Retaliation, as defined by current legislation, may be taken against the Reporting person who provides, has provided or is to provide work on the basis of an employment relationship, consisting in particular of:
   – refusal to establish an employment relationship, termination of employment without notice, failure to conclude a fixed-term employment contract after termination of a probationary contract, failure to conclude another fixed-term employment contract or failure to conclude an in-definite-term employment contract after termination of a fixed-term contract
   – where the Employee had a legitimate expectation that such a contract would be concluded, a reduction of remuneration, withholding of promotion or omission in promotion, omission of benefits other than remuneration related to work, transfer of an employee to a lower position, suspension from work or work duties, transfer of the Employee’s current duties to another Employee, an unfavourable change of the place of work or work schedule, a negative evaluation of the Employee’s performance or a negative opinion of the Employee, the imposition or application of a disciplinary measure, including a financial penalty or a measure of a similar nature, withholding or omission from participation in training courses for the improvement of professional qualifications, unjustified referral for a medical examination including psychiatric examinations, insofar as separate provisions provide for the possibility of referring an employee for such an examination, actions aimed at hindering future employment in a given sector or industry on the basis of an informal or formal sectoral or industry agreement
   – unless the Employer proves that he was guided by objective reasons.
2. Adverse treatment due to the making of the Report or public disclosure shall also be deemed to be a threat or attempted measure as defined in para. 1 above, unless the Employer proves that it was motivated by objective reasons.
3. The provisions of para. 1 and 2 shall apply to the Facilitator or the Person associated with the reporting person if they also have an employment relationship with the Employer employing the Reporting person.
4. No Retaliation may be taken against the Reporting person providing work on a basis other than employment, the Facilitator or the Person associated with the reporting person, unless the Em-ployer proves that it was motivated by objective reasons. A unilateral termination of the legal relationship by the Company due to the Report shall be ineffective against that person.
5. In the event that the Company commits any unfavourable treatment of the persons referred to in para. 4 above, other than termination or termination without notice of the legal relationship, such persons shall be entitled to compensation as defined by separate regulations.
6. The making of the Report or public disclosure may not give rise to liability, including liability for damages, for infringement of the rights of others or obligations under the law, provided that the Reporting person had reasonable grounds to believe that the Report or public disclosure was necessary to disclose the infringement under the act.
7. Provisions in employment contracts and other acts creating the employment relationship or shaping the rights and obligations of the parties to the employment relationship to the extent that they directly or indirectly restrict the right to make the Report or public disclosure are invalid.
8. The Employer shall take measures to ensure that, at a minimum, the Reporting person is pro-tected against punitive action, discrimination or other types of unfair treatment.
9. Taking any action of a repressive or discriminatory nature or any other kind of unfair treatment against the Reporting person will be treated as the breach of the Procedure and may result in liability for disciplinary action or termination of the contract linking the person committing the Retaliation with the Company.

§ 7. Register of reports

1. The Employer maintains a register of internal Reports and is the controller of the data collected in this register.
2. The following data shall be collected in the register of internal Reports:
   1) Report number;
   2) subject of the Breach;
   3) personal data of the Reporting person and the person concerned necessary to identify them;
   4) Reporting person’s contact details;
   5) date of the internal reporting;
   6) information on the Follow-up actions;
   7) date of closure of the case.
3. The data in the register of Reports shall be retained for a period of 3 years after the end of the calendar year in which the Follow-up actions have been completed or the proceedings initiated by these actions have been terminated.
4. The Reporting person’s personal data and other identifiable data shall not be disclosed, except with the Reporting person’s express consent.

§ 8. Personal data protection

1. The provisions of Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation: “GDPR”) shall apply to personal data contained in the Reports and disclosed personal data obtained in connection with the conduct of investigation.
2. In order to ensure the security and protection of personal data obtained in the course of applying the Procedure, the Company uses IT systems that guarantee the protection of personal data in accordance with the provisions of the GDPR.
3. The Controller of the personal data disclosed to the Company under this Procedure is NFM POLAND sp. z o.o. seated in Lębork at ul. Słupska 1D, 84 – 300 Lębork (“Controller”).
4. The Controller may process the following personal data of the person named in the reported Breach, the Reporting person and the persons subject to investigations under the Procedure:
   1) full name,
   2) phone number,
   3) e-mail address,
   4) address of residence or address for service,
5. Personal data will be processed by the Controller for the following purposes and on the following grounds:
   a) to carry out the processing of the Reports of Breaches, i.e. in particular to analyse the Re-port received, to keep a register of the Reports, to draw up summary reports of the activities carried out and to carry out statistical analyses of the archiving of documents, on the basis of art. 6(1)(c) of the GDPR (legal obligation incumbent on the Controller).
   b) asserting claims, defending against claims, and preserving documents for evidential pur-poses to secure information in the event of a legal need to prove facts, which is a legitimate interest of the Controller, on the basis of art. 6(1)(f) of the GDPR.
6. Personal data will be processed by the Controller for the period necessary for the registration and handling of the request, then stored to document the activities performed and in the event that new circumstances are revealed in the case of the request, the need to make the docu-mentation available to law enforcement authorities, control institutions, judicial authorities and in the event of claims for the period necessary for their resolution. As a general rule, personal data will be retained for the period prescribed by law for the archiving of documents and for the limitation period for claims.
7. Any person whose data is processed has the right to request access to his/her personal data, rectification and erasure, and moreover to request restriction of processing and data portability.
8. Every data subject has the right to object – on grounds relating to his/her particular situation – to processing necessary for the purposes of the legitimate interest of the Controller.
9. With regard to data processed on the basis of the consent given, the data subject shall have the right to withdraw the consent given at any time, whereby the withdrawal of consent shall not affect the lawfulness of the processing carried out on the basis of the consent given by the person prior to its withdrawal.
10. Personal data will be retained for the period necessary for the Controller to fulfil its obligations towards the authorities and until the expiry of the statute of limitations for counterclaims (which-ever occurs later).
11. Personal data collected and processed will be made available only to authorised persons within the meaning of the Procedure and only insofar as this is necessary for them to perform their duties as defined by the Procedure.
12. Personal data collected and processed may be made available to other recipients only for the purpose of these entities performing tasks related to the prevention and combating of crime or performing tasks related to the need to ensure compliance with applicable laws, i.e. in particular courts, law enforcement authorities and state administration authorities.

§ 9. Anonymity

1. The Company shall ensure complete anonymity of the Reporting person or person reporting reasonable suspicion of the Breach.
2. Any action by the Company, its Employees or anyone acting on its behalf to discover the identity of the Reporting person is prohibited.
3. Information from the Reporting person is of a confidential nature and is covered by complete confidentiality. The Company is obliged to protect the identity of the Reporting person and any details of the Breach.
4. Sharing of information on the Breaches is only permitted to authorised persons, including mem-bers of the Management Board and selected employees involved in the substantive investiga-tion of reported Breaches – as long as the communication of the indicated information is nec-essary for the resolution of the case.
5. The Company and the entities and persons acting on its behalf undertake to refrain from any action related to the intention to disclose the identity of the Reporting person.
6. An exception to the aforementioned principle of anonymity is when:
   1) mandatory legal provisions require the Company to disclose information concerning the Breach to the competent authorities,
   2) the Company entrusts the receiving and/or analysis of the reported Breaches to a qualified third party, pursuant to an entrustment agreement between the Company and such third party.
   3) The Reporting person expressly consents to the disclosure of his/her personal data allowing his/her identity to be established to unauthorised persons.

§ 10. Information on external reports

1. The Report may also be made to the Ombudsman or a public authority in any case without following the procedure provided for in the Procedure, in particular when: the Company fails to provide the Feedback to the Reporting person within the period established in the Procedure, or the Reporting person has reasonable grounds to believe that the Breach of the law may pose a direct or obvious threat to the public interest, in particular, there is a risk of irreparable harm, or making an internal report would expose the Reporting person to the Retaliation, or if an internal report is made, there is little likelihood of the Company effectively counteracting the Breach of the law due to the particular circumstances of the case, such as the possibility of concealment or destruction of evidence or the possibility of collusion between the Company and the violator of the law or the Company’s participation in the Breach of the law.
2. A report made to the Ombudsman or a public body bypassing an internal report does not have the effect of depriving the Reporting person of the protection guaranteed by the provisions of the Whistleblower Protection act.

§ 11. Final provisions

1. This Procedure shall enter into force 7 days after being made known to the Employees and persons referred to in § 3 para. 1 by posting at www.nfm.no and sending e-mail notification to all users of the Company’s electronic mailboxes.
2. This procedure is an internal act of the Company and does not exclude the application of the provisions of other internal documents of the Company and regulations and procedures, as well as generally applicable acts of law.
3. Compliance with this Procedure is the responsibility of the Company’s Employees and the per-sons referred to in § 3 para. 1.
4. Breach of the provisions of this Procedure may be subject to the sanctions set out in the generally applicable legislation.
5. The integral parts of the Procedure are:
   1) Template Register of Internal Reports
   2) Authorisation to Receive and Verify the Reports.

§ 1. Definicje

Do celów niniejszej Procedury stosuje się następujące definicje:

1. Dyrektywa – Dyrektywa Parlamentu Europejskiego i Rady (UE) 2019/1937 z dnia 23 października 2019 r. w sprawie ochrony osób zgłaszających naruszenia prawa Unii.
2. Działanie następcze – należy przez to rozumieć działanie podjęte przez podmiot prawny lub organ publiczny w celu oceny prawdziwości informacji zawartych w zgłoszeniu oraz w celu przeciwdzia-łania naruszeniu prawa będącemu przedmiotem zgłoszenia, w szczególności przez postępowanie wyjaśniające, wszczęcie kontroli lub postępowania administracyjnego, wniesienie oskarżenia, działanie podjęte w celu odzyskania środków finansowych lub zamknięcie procedury realizowanej w ramach wewnętrznej procedury zgłaszania naruszeń prawa i podejmowania działań następ-czych lub procedury przyjmowania zgłoszeń wewnętrznych i podejmowania działań następczych.
3. Działanie odwetowe – należy przez to rozumieć bezpośrednie lub pośrednie działanie lub zanie-chanie w kontekście związanym z pracą, które jest spowodowane zgłoszeniem lub ujawnieniem publicznym i które narusza prawa lub może naruszyć prawa zgłaszającego lub wyrządza lub może wyrządzić nieuzasadnioną szkodę zgłaszającemu, w tym niezasadne inicjowanie postępowań przeciwko zgłaszającemu.
4. Informacji o naruszeniu prawa – należy przez to rozumieć informację, w tym uzasadnione podej-rzenie, dotyczące zaistniałego lub potencjalnego naruszenia prawa, do którego doszło lub praw-dopodobnie dojdzie w podmiocie prawnym, w którym zgłaszający uczestniczył w procesie rekru-tacji lub innych negocjacji poprzedzających zawarcie umowy, pracuje lub pracował, lub w innym podmiocie prawnym, z którym zgłaszający utrzymuje lub utrzymywał kontakt w kontekście zwią-zanym z pracą, lub informację dotyczącą próby ukrycia takiego naruszenia prawa.
5. Informacji zwrotnej – należy przez to rozumieć przekazanie zgłaszającemu informacji na temat planowanych lub podjętych działań następczych i powodów takich działań.
6. Kontekście związanym z pracą – należy przez to rozumieć przeszłe, obecne lub przyszłe działania związane z wykonywaniem pracy na podstawie stosunku pracy lub usług lub pełnienia funkcji w podmiocie prawnym lub na rzecz tego podmiotu lub pełnienia służby w podmiocie prawnym, w ramach których uzyskano informację o naruszeniu prawa oraz istnieje możliwość doświadczenia działań odwetowych.
7. Naruszenie – ma znaczenie nadane w § 3 ust. 2 niniejszej Procedury.
8. Osoba, której dotyczy zgłoszenie – osoba wskazana w zgłoszeniu lub w ujawnieniu publicznym jako osoba, która dopuściła się naruszenia prawa lub z którą osoba ta jest powiązana.
9. Osoba pomagająca w dokonaniu zgłoszenia – należy przez to rozumieć osobę fizyczną, która pomaga zgłaszającemu w zgłoszeniu lub ujawnieniu publicznym w kontekście związanym z pracą i której pomoc nie powinna zostać ujawniona.
10. Osobie powiązanej ze zgłaszającym – należy przez to rozumieć osobę fizyczną, która może do-świadczyć działań odwetowych w kontekście związanym z pracą, w tym współpracownika lub członka rodziny zgłaszającego.
11. Osoba świadcząca pracę na innej podstawie niż stosunek pracy – osoba wykonująca pracę na podstawie umowy cywilnoprawnej lub na podstawie innego stosunku prawnego.
12. Pracodawca lub Spółka – NFM POLAND sp. z o.o. z siedzibą w Lęborku.
13. Przyjmujący zgłoszenie – osoba odpowiedzialna za przyjmowanie zgłoszeń dotyczących podej-rzenia naruszenia lub naruszenia prawa w związku z wykonywaniem czynności na rzecz NFM Poland sp. z o.o. z siedzibą w Lęborku.
14. Pracownik – osoba zatrudniona w oparciu o umowę o pracę w NFM POLAND sp. z o.o. z siedzibą w Lęborku, niezależnie od zajmowanego stanowiska, formy zatrudnienia, stażu pracy.
15. Zgłaszający – rozumie się przez to osobę fizyczną, która dokonuje zgłoszenia o naruszeniu prawa w kontekście związanym z pracą, niezależnie od zajmowanego stanowiska, formy za-trudnienia czy współpracy, w tym pracownika, byłego pracownika, osoby ubiegającej się o zatrudnienie, osoby świadczącej pracę na innej podstawie niż stosunek pracy, w tym na podstawie umowy cywilnoprawnej, przedsiębiorcy, akcjonariusza lub wspólnika, członka organu osoby prawnej, osoby świadczącej pracę pod nadzorem i kierownictwem wykonawcy, podwykonawcy lub dostawcy, w tym na podstawie umowy cywilnoprawnej, stażysty, wolontariusza.
16. Ujawnienie publiczne – należy przez to rozumieć podanie informacji o naruszeniu prawa do wia-domości publicznej.
17. Zgłoszenie – należy przez to rozumieć ustne lub pisemne zgłoszenie wewnętrzne lub zgłoszenie zewnętrzne, przekazane zgodnie z wymogami określonymi w ustawie.
18. Zgłoszenie wewnętrzne – należy przez to rozumieć pisemne przekazanie informacji o naruszeniu prawa podmiotowi prawnemu.

§ 2. Cel i zakres stosowania

1. Procedura określa zasady funkcjonowania wewnętrznego systemu dokonywania zgłaszania naruszeń w Spółce, ich rozpatrywania i podejmowania działań następczych, a także określa obowiązki Spółki i jej personelu w zakresie przeciwdziałania podejmowania działań odwetowych wobec osób dokonujących zgłoszenia lub osób pomagających w zgłoszeniu.
2. Niniejsza Procedura zapewnia pełną anonimowość Zgłaszającego, który nie chce ujawnić swoich danych oraz zapewnia odpowiednie środki ochrony Zgłaszającego, zgodnie z obowiązującymi przepisami prawa.
3. Celem niniejszej Procedury jest stworzenie dla Zgłaszającego specjalnego i niezależnego kanału zgłaszania Naruszeń, który wesprze działania Pracodawcy zmierzające do zapobiegania naruszeniom przepisów, o których mowa w § 3 ust. 2 poniżej, łagodzenia skutków prawnych i finansowych w przypadku wcześniejszego wykrycia Naruszenia, bądź eliminacji ewentualnych przypadków ryzyka lub zaistnienia łamania przepisów prawa lub interesu publicznego.
4. Postanowienia Procedury mają zastosowanie także do osób pomagających w dokonaniu zgłoszenia, do osób powiązanych ze zgłaszającym, które mogą doświadczyć działań odwetowych w kontekście związanym z pracą, takich jak współpracownicy lub członkowie rodziny zgłaszającego.
5. Każda z osób wykonujących pracę w Spółce zobowiązana jest do zapoznania się z treścią Procedury (nowa osoba, która będzie wykonywała pracę w Spółce zobowiązana jest zapoznać się z treścią Procedury przed dopuszczeniem do wykonywania pracy).

§ 3. Przedmiot Procedury

1. Procedurę stosuje się do osoby fizycznej, która zgłasza lub ujawnia publicznie informację o naruszeniu prawa uzyskaną w kontekście związanym z pracą, określonej w aktualnie obowiązujących przepisach prawa.
2. Zgłoszenia, o których mowa w § 2 ust. 3 powyżej, mogą dotyczyć naruszeń prawa, polegają-cych na działaniu lub zaniechaniu niezgodnym z prawem lub mającym na celu obejście prawa dotyczące:
   a. korupcji;
   b. zamówień publicznych;
   c. usług, produktów i rynków finansowych;
   d. przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu;
   e. bezpieczeństwa produktów i ich zgodności z wymogami;
   f. bezpieczeństwa transportu;
   g. ochrony środowiska;
   h. ochrony radiologicznej i bezpieczeństwa jądrowego;
   i. bezpieczeństwa żywności i pasz;
   j. zdrowia i dobrostanu zwierząt;
   k. zdrowia publicznego;
   l. ochrony konsumentów;
   m. ochrony prywatności i danych osobowych;
   n. bezpieczeństwa sieci i systemów teleinformatycznych;
   o. interesów finansowych Skarbu Państwa Rzeczypospolitej Polskiej, jednostki samo-rządu terytorialnego oraz Unii Europejskiej;
   p. rynku wewnętrznego Unii Europejskiej, w tym publicznoprawnych zasad konkurencji i pomocy państwa oraz opodatkowania osób prawnych;
   q. konstytucyjnych wolności i praw człowieka i obywatela – występujące w stosunkach jednostki z organami władzy publicznej i niezwiązane z dziedzinami wskazanymi w pkt a-p;
3. Przyjmującymi zgłoszenia, o których mowa w ust. 1 powyżej i jednocześnie osobami odpowiedzialnymi za wykonanie czynności wskazanych w Procedurze, są osoba / osoby wskazane w uchwale Zarządu Spółki w sprawie wprowadzenia do stosowania w Spółce niniejszej Procedury, przy czym osoby te, są jednocześnie podmiotami upoważnionymi do podejmowania działań następczych, włączając w to weryfikację zgłoszenia i dalszą komunikację ze zgłaszającym, w tym występowania o dodatkowe informacje i przekazywanie zgłaszającemu informacji zwrotnej.

§ 4. Tryb dokonywania zgłoszeń

1. Zgłaszający może dokonywać zgłoszeń za pomocą następującego, wewnętrznego sposobu zgłoszeń:
   – pisemnie, drogą elektroniczną na adres: whistleblower-poland@nfm.no lub korespondencyjnie na adres siedziby NFM Poland Sp. z o.o., ul. Słupska 1D, 84-300 Lębork, z dopiskiem „zgłoszenie naruszenia – do rąk własnych – Kierownik HR NFM Poland”.
2. Zgłaszający może zgłosić naruszenie do ustanowionych wewnętrznie przez Spółkę, w ramach struktury organizacyjnej, bezstronnych osób, upoważnionych do przyjmowania zgłoszeń oraz podejmowania działań następczych, włączając w to weryfikację zgłoszenia i dalszą komunika-cję ze zgłaszającym, w tym występowania o dodatkowe informacje i przekazywanie zgłaszają-cemu informacji zwrotnej, którymi są osoby wskazane w uchwale Zarządu Spółki w sprawie wprowadzenia do stosowania w Spółce niniejszej Procedury, w sposób określony w ust. 1 po-wyżej.
3. Z zastrzeżeniem § 9 ust. 6 Procedury, podmioty wskazane w ust. 2 powyżej, mają obowiązek zapewnienia poufności treści zgłoszenia oraz tożsamości Zgłaszającego w ścisłej tajemnicy. Dotyczy to również przypadku, kiedy przekazana informacja nie będzie stanowiła Zgłoszenia w rozumieniu Procedury.
4. Zgłoszenie powinno zawierać co najmniej:
   1) imię i nazwisko Zgłaszającego;
   2) opis sytuacji, w której zdaniem zgłaszającego doszło lub mogło dojść do naruszenia prze-pisów prawa oraz w miarę możliwości określenie przepisów, do naruszenia których doszło lub mogło dojść;
   3) datę naruszenia lub okres, w którym naruszenie nastąpiło lub mogło dojść do naruszenia;
   4) imię i nazwisko osoby naruszającej, a gdy ich ustalenie nie jest możliwe – opis stanowiska osoby naruszającej;
   5) wskazanie dowodów (które już Zgłaszający posiada lub opis, w jaki sposób można dowody pozyskać);
   6) wszelkie inne okoliczności mające znaczenie dla zgłoszenia;
   7) sposób kontaktu ze Zgłaszającym przez osoby upoważnione.
5. Zgłoszenia anonimowe, uniemożliwiające dokonanie weryfikacji treści zgłoszenia, nie będą rozpatrywane. W szczególnych przypadkach, osoby upoważnione mogą postanowić inaczej, w szczególności w sytuacji, gdy z treści zgłoszenia wynika, że możliwe jest dokonanie weryfikacji naruszenia opisanego w zgłoszeniu.
6. Osoby upoważnione, w terminie 7 dni od dnia otrzymania zgłoszenia potwierdzają Zgłaszają-cemu przyjęcie zgłoszenia, chyba że Zgłaszający nie podał adresu do kontaktu, na który należy przekazać potwierdzenie.
7. Przyjmujący zgłoszenie lub osoba przez niego upoważniona, potwierdza wpływ zgłoszenia po-przez sporządzenie protokołu, zawierającego informacje, o których mowa w ust. 6 powyżej oraz wpisuje informacje ze zgłoszenia zgodnie z § 5 poniżej do rejestru zgłoszeń wewnętrznych (wzór rejestru stanowi załącznik do Procedury). Protokół jest przechowywany bez umożliwienia dostępu osób trzecich. Wraz z potwierdzeniem przyjęcia zgłoszenia Przyjmujący zgłoszenie poucza Zgłaszającego o przysługujących mu prawach.
8. Spółka zapewnia możliwość dokonywania zgłoszeń naruszeń w sposób zapewniający zachowanie poufności tożsamości osoby dokonującej zgłoszenia a także ochrony danych osobowych osób, których dotyczy zgłoszenie.
9. Zgłaszający może również dokonać zgłoszenia zewnętrznego do Rzecznika Praw Obywatel-skich albo organów publicznych oraz, w stosownych przypadkach, do instytucji, organów lub jednostek organizacyjnych Unii Europejskiej.

§ 5. Tryb postępowania w przypadku zgłoszenia

1. Przyjmujący zgłoszenie podejmuje, z zachowaniem należytej staranności i tajemnicy, dalsze działania wyjaśniające w celu weryfikacji zgłoszenia. W tym celu przyjmujący zgłoszenie może w szczególności zwrócić się do zgłaszającego o dalsze informacje dotyczące naruszenia.
2. Przyjmujący zgłoszenie bada okoliczności opisane w zgłoszeniu, w szczególności:
   1) ustala, czy sytuacja opisana w zgłoszeniu rzeczywiście miała miejsce,
   2) ustala, czy sytuacja ujawniona w zgłoszeniu stanowi naruszenie przepisów prawa,
   3) ustala osobę lub osoby odpowiedzialne za dokonanie naruszenia,
   4) ustala przyczyny dokonanego naruszenia.
3. Odrzucenie zgłoszenia Naruszenia następuje w przypadku, gdy informacje zawarte w Zgłoszeniu nie pozwalają na rzetelne i wyczerpujące zweryfikowanie opisanego w zgłoszeniu naruszenia. Nie wyklucza to jednak możliwości wszczęcia przez Pracodawcę postępowania wyjaśnia-jącego. W innych przypadkach wszczynane jest postępowanie wyjaśniające.
4. Pracodawca podejmuje czynności zmierzające do zlikwidowania lub zminimalizowania skutków dokonanego naruszenia. Przeprowadzone czynności podlegają udokumentowaniu.
5. Pracodawca ma 3 (trzy) miesiące na przeprowadzenie postępowania wyjaśniającego i przekazanie jego wyników zgłaszającemu na piśmie (w żadnym wypadku prowadzenie takiego postępowania nie może prowadzić do ujawnienia danych osobowych Zgłaszającego lub osoby, której zgłoszenie dotyczy). Zgłoszenie może zostać uznane za bezzasadne, jeżeli z okoliczności sprawy wynika, że do naruszenia nie doszło.
6. Pracodawca może też wystąpić do Zgłaszającego w celu uzupełnienia zgłoszenia, zgłosić możliwość popełnienia przestępstwa lub wykroczenia odpowiedniemu organowi publicznemu, zgłosić nadużycie odpowiedniej jednostce publicznej bądź podjąć sankcjonujące działania wewnętrzne.
7. Weryfikacja Zgłoszenia następuje w porozumieniu z kierownikiem komórki organizacyjnej Spółki, w której doszło do Naruszenia, a w przypadku, w którym dotyczy kierownika danej komórki, z jego bezpośrednim przełożonym.
8. Przyjmujący zgłoszenie oraz Pracodawca mają obowiązek podjęcia, z zachowaniem należytej staranności, działań następczych rozumianych jako działanie podjęte w celu oceny prawdziwo-ści informacji zawartych w zgłoszeniu oraz w celu przeciwdziałaniu naruszeniu prawa będą-cemu przedmiotem zgłoszenia, w szczególności przez postępowanie wyjaśniające, wszczęcie kontroli lub postępowania administracyjnego, wniesienia oskarżenia, działania podjętego w celu odzyskania środków finansowych lub zamknięcie procedury realizowanej w ramach wewnętrznej procedury zgłaszania naruszeń prawa i podejmowania działań następczych lub procedury przyjmowania zgłoszeń zewnętrznych i podejmowania działań następczych.
9. Zgłaszający, który dokonał Zgłoszenia w sposób złośliwy, w złej wierze lub świadomie pomówi inną osobę, zostanie o tym niezwłocznie poinformowany, a jego zgłoszenie zostanie odrzucone.
10. W przypadku ustalenia że w zgłoszeniu świadomie podano nieprawdę lub zatajono prawdę, dokonujący zgłoszenia może zostać pociągnięty do odpowiedzialności porządkowej określonej w przepisach Kodeksu Pracy oraz w regulacjach szczególnych, w tym także w przepisach porządkowych obowiązujących u Pracodawcy. Zachowanie takie może być rów-nież zakwalifikowane jako ciężkie naruszenie podstawowych obowiązków pracowniczych lub osób wykonujących pracę zarobkową na innej podstawie niż stosunek pracy i jako takie skutkować rozwiązaniem umowy o pracę/umowy cywilnej bez zachowania okresu wypowie-dzenia.
11. W przypadku ustalenia, że w zgłoszeniu świadomie podano nieprawdę lub zatajono prawdę, dokonający zgłoszenia, który nie jest pracownikiem Spółki, podlega odpowiedzialności na za-sadach ogólnych w szczególności dot. naruszenia dóbr osobistych Spółki i jej pracowników. Spółce przysługują roszczenia odszkodowawcze na zasadach ogólnych.
12. Tryb zgłaszania Naruszeń, o którym mowa wyżej, nie ma zastosowania w stosunku do przy-padków obejmujących sferę życia prywatnego Pracowników lub osób, o których mowa w § 3 ust. 1 lub ich konfliktów związanych z wykonywanymi czynnościami pod warunkiem, że wskazane przypadki nie wiążą się bezpośrednio z działalnością Spółki lub nie stanowią źródła po-wstawania Naruszeń.

§ 6. Zakaz podejmowania działań odwetowych

1. Wobec Zgłaszającego, który świadczy, świadczył lub ma świadczyć pracę na podstawie sto-sunku pracy, nie mogą być podejmowane działania odwetowe, określone w aktualnie obowiązujących przepisach prawa polegające w szczególności na:
   – odmowa nawiązania stosunku pracy, wypowiedzenie lub rozwiązanie bez wypowiedzenia stosunku pracy, nie zawarcie umowy o pracę na czas określony po rozwiązaniu umowy o pracę na okres próbny, nie zawarcie kolejnej umowy o pracę na czas określony lub nie zawarcie umowy o pracę na czas nieokreślony, po rozwiązaniu umowy o pracę na czas określony
   – w sytuacji gdy pracownik miał uzasadnione oczekiwanie, że zostanie z nim zawarta taka umowa, obniżenie wynagrodzenia za pracę, wstrzymanie awansu albo pominięcie przy awansowaniu, pominięcie przy przyznawaniu innych niż wynagrodzenie świadczeń związanych z pracą, przeniesienie pracownika na niższe stanowisko pracy, zawieszenie w wykonywaniu obowiązków pracowniczych lub służbowych, przekazanie innemu pracownikowi dotychczasowych obowiązków pracowniczych, niekorzystną zmianę miejsca wykonywania pracy lub rozkładu czasu pracy, negatywną ocenę wyników pracy lub negatywną opinię o pracy, nałożenie lub zastosowanie środka dyscyplinarnego, w tym kary finansowej, lub środka o podobnym charakterze, wstrzymanie udziału lub pominięcie przy typowaniu do udziału w szkoleniach podnoszących kwalifikacje zawodowe, nieuzasadnione skierowanie na badanie lekarskie, w tym badania psychiatryczne, o ile przepisy odrębne przewidują możliwość skierowania pracownika na takie badanie, działanie zmierzające do utrudnienia znalezienia w przyszłości zatrudnienia w danym sektorze lub branży na podstawie nieformalnego lub formal-nego porozumienia sektorowego lub branżowego
   – chyba że Pracodawca udowodni, że kierował się obiektywnymi powodami
2. Za niekorzystne traktowanie z powodu dokonania Zgłoszenia lub ujawnienia publicznego uważa się także groźbę lub próbę zastosowania środka określonego w ust. 1 powyżej, chyba że Pracodawca udowodni, że kierował się obiektywnymi powodami.
3. Przepisy ust. 1 i 2 mają zastosowanie w stosunku do osoby pomagającej w dokonaniu zgłoszenia lub osoby powiązanej ze Zgłaszającym, jeśli również pozostają w stosunku pracy z Praco-dawcą zatrudniającym Zgłaszającego.
4. Wobec Zgłaszającego, który świadczy czynności na podstawie inne niż stosunek pracy, osoby pomagającej Zgłaszającemu lub osoby powiązanej ze Zgłaszającym nie mogą być stosowane środki odwetowe z powodu dokonania zgłoszenia, chyba że Pracodawca udowodni, że kierował się obiektywnymi powodami. Jednostronne rozwiązanie stosunku prawnego przez Spółkę z powodu dokonania Zgłoszenia jest wobec tej osoby bezskuteczne.
5. W przypadku dopuszczenia się przez Spółkę niekorzystnego traktowania osób, o których mowa w ust. 4 powyżej, innego niż wypowiedzenie lub rozwiązanie bez wypowiedzenia stosunku prawnego, osoby te mają prawo do odszkodowania określonego w odrębnych przepisach.
6. Dokonanie zgłoszenia lub ujawnienia publicznego nie może stanowić podstawy odpowiedzialności, w tym odpowiedzialności za szkodę, z tytułu naruszenia praw innych osób lub obowiązków określonych w przepisach prawa, pod warunkiem, że Zgłaszający miał uzasadnione pod-stawy, by sądzić, że Zgłoszenie lub ujawnienie publiczne jest niezbędne do ujawnienia naruszenia prawa zgodnie z ustawą.
7. Postanowienia umów o pracę i innych aktów, na podstawie których powstaje stosunek pracy lub kształtujących prawa i obowiązki stron stosunku pracy w zakresie, w jakim bezpośrednio lub pośrednio ograniczają prawo do dokonania Zgłoszenia lub ujawnienia publicznego są nieważne.
8. Pracodawca podejmuje działania zapewniające co najmniej ochronę przed działaniami o charakterze represyjnym, dyskryminacją lub innymi rodzajami niesprawiedliwego traktowania osób dokonujących zgłoszenia naruszeń.
9. Podejmowanie jakichkolwiek działań o charakterze represyjnym, dyskryminacyjnym lub innego rodzaju niesprawiedliwe traktowanie wobec Sygnalisty, będą traktowane jako naruszenie Procedury i może skutkować odpowiedzialnością porządkową lub rozwiązaniem umowy łączącej dokonującego działań odwetowych z Spółką.

§ 7. Rejestr Zgłoszeń

1. Pracodawca prowadzi rejestr zgłoszeń wewnętrznych oraz jest administratorem danych zgro-madzonych w tym rejestrze.
2. W rejestrze zgłoszeń wewnętrznych gromadzi się następujące dane:
   1) numer zgłoszenia;
   2) przedmiot naruszenia prawa;
   3) dane osobowe Zgłaszającego oraz osoby, której dotyczy zgłoszenie, niezbędne do identyfikacji tych osób;
   4) adres do kontaktu sygnalisty;
   5) datę dokonania zgłoszenia;
   6) informację o podjętych działaniach następczych;
   7) datę zakończenia sprawy.
3. Dane w rejestrze zgłoszeń są przechowywane przez okres 3 lat po zakończeniu roku kalenda-rzowego, w którym zakończono działania następcze, lub po zakończeniu postępowań zainicjo-wanych tymi działaniami.
4. Dane osobowe Zgłaszającego oraz inne dane pozwalające na ustalenie jego tożsamości nie podlegają ujawnieniu, chyba że za wyraźną zgodą Zgłaszającego.

§ 8. Ochrona danych osobowych

1. Wobec danych osobowych zawartych w Zgłoszeniach, ujawnionych danych osobowych uzyskanych w związku z prowadzeniem postępowania wyjaśniającego mają zastosowanie prze-pisy Rozporządzenia Parlamentu i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych osobowych: „RODO”).
2. W celu zapewnienia bezpieczeństwa i ochrony danych osobowych pozyskanych w trakcie sto-sowania Procedury, Spółka stosuje systemy informatyczne, które gwarantują ochronę danych osobowych zgodną z postanowieniami RODO.
3. Administratorem danych osobowych ujawnionych Spółce na podstawie niniejszej Procedury jest NFM POLAND sp. z o.o. z siedzibą w Lęborku przy ul. Słupskiej 1D, 84 – 300 Lębork („Administrator”).
4. Administrator może przetwarzać następujące dane osobowe osoby wymienionej w zgłoszeniu Naruszeń, Zgłaszający oraz osób objętych postępowaniami wyjaśniającymi prowadzonymi na podstawie Procedury:
   1) imię i nazwisko,
   2) numer telefonu,
   3) adres e-mail,
   4) adres zamieszkania lub adres do doręczeń,
5. Dane osobowe będą przetwarzane przez Administratora w następujących celach i na następujących podstawach:
   a) prowadzenia obsługi dotyczącej Zgłoszeń w przedmiocie naruszeń prawa, tj. w szczególności analizy otrzymanego Zgłoszenia, prowadzenia rejestru zgłoszeń naruszeń, sporządzania raportów podsumowujących prowadzone działania oraz przeprowadzenie analiz statystycznych archiwizacji dokumentów, na podstawie art. 6 ust. 1 lit. c) RODO (obowiązek prawny ciążący na Administratorze).
   b) dochodzenia roszczeń, obrony przed roszczeniami, a także przechowywania dokumentów w celach dowodowych dla zabezpieczenia informacji na wypadek prawnej potrzeby wyka-zania faktów, co jest prawnie uzasadnionym interesem Administratora, na podstawie art. 6 ust. 1 lit. f RODO.
6. Dane osobowe Administrator przetwarzać będzie przez okres konieczny do zarejestrowania oraz obsługi zgłoszenia, następnie przechowywania dla udokumentowania wykonanych czyn-ności oraz na wypadek ujawnienia nowych okoliczności w sprawie zgłoszenia, konieczności udostępnienia dokumentacji organom ścigania, instytucjom kontroli, organom sądowym oraz w razie wystąpienia roszczeń przez okres niezbędny do ich rozstrzygnięcia. Co do zasady dane osobowe będą przechowywane przez okres wyznaczony przepisami prawa w zakresie archiwizacji dokumentów oraz przez okres przedawnienia roszczeń.
7. Każdej osobie, której dane są przetwarzane przysługuje prawo do żądania dostępu do swoich danych osobowych, ich sprostowania oraz usunięcia, a nadto do żądania ograniczenia prze-twarzania oraz do przenoszenia danych.
8. Każdej osobie, której dane są przetwarzane przysługuje prawo do wniesienia sprzeciwu – z przyczyn związanych ze szczególną sytuacją – wobec przetwarzania niezbędnego do celów wynikających z prawnie uzasadnionego interesu Administratora.
9. W zakresie danych przetwarzanych na podstawie udzielonej zgody osobie, której dane są prze-twarzane, przysługuje prawo do cofnięcia wyrażonej zgody w dowolnym momencie, przy czym cofnięcie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano na pod-stawie wyrażonej przez osobę zgody, przed jej cofnięciem.
10. Dane osobowe będą przechowywane przez okres niezbędny do wypełnienia przez Administratora obowiązków względem organów oraz do czasu upływu przedawnienia wzajemnych roszczeń (w zależności od tego, która ze wskazanych okoliczności zaistnieje później).
11. Zgromadzone i przetwarzane dane osobowe będą udostępniane wyłącznie uprawnionym w ro-zumieniu Procedury osobom i wyłącznie w zakresie, w jakiem jest to konieczne do wykonywa-nia przez nich obowiązków określonych Procedurą.
12. Zgromadzone i przetwarzane dane osobowe mogą być udostępniane innym odbiorcom wyłącz-nie w celu realizacji przez te podmioty zadań związanych z zapobieganiem i zwalczaniem prze-stępczości lub realizacji zadań związanych z koniecznością zapewnienia przestrzegania obo-wiązujących przepisów prawa tj. w szczególności sądom, organom ścigania oraz organom administracji państwowej.

§ 9. Anonimowość

1. Spółka zapewnia całkowitą anonimowość Zgłaszającego naruszenie bądź uzasadnione podejrzenie jego wystąpienia.
2. Zabronione są jakiekolwiek działania Spółki, jej pracowników lub innych osób działających w jej imieniu zmierzające do odkrycia tożsamości Zgłaszającego.
3. Informacje pochodzące od Zgłaszającego mają charakter niejawny i objęte są całkowitą pouf-nością. Spółka ma obowiązek ochrony tożsamości Zgłaszającego oraz wszelkich szczegółów dotyczących naruszeń.
4. Dzielenie się informacjami o Naruszeniach dopuszczalne jest jedynie w stosunku do uprawnio-nych osób, w tym członków Zarządu i wybranych pracowników zaangażowanych w proces me-rytorycznego wyjaśniania zgłoszonych Naruszeń – o ile przekazanie wskazanych informacji jest konieczne dla rozstrzygnięcia sprawy.
5. Spółka oraz działające w jej imieniu podmioty i osoby zobowiązują się do powstrzymywania od jakichkolwiek działań związanych z zamiarem ujawnienia tożsamości Zgłaszającego.
6. Wyjątek od wyżej wskazanej zasady anonimowości stanowi sytuacja, w której:
   1) bezwzględnie obowiązujące przepisy prawa wymagają od Spółki ujawnienia informacji do-tyczących Naruszenia właściwym organom,
   2) nastąpi powierzenie przyjmowania i/lub analizy zgłoszonych Naruszeń wykwalifikowanemu podmiotowi zewnętrznemu przez Spółkę, na podstawie zawartej umowy powierzenia danych osobowych pomiędzy Spółką a takim podmiotem.
   3) Zgłaszający wyrazi w sposób wyraźny zgodę na ujawnienie swoich danych osobowych po-zwalających na ustalenie swojej tożsamości osobom nieupoważnionym.

§ 10. Informacje dot. zgłoszeń zewnętrznych

1. Zgłoszenie może w każdym przypadku nastąpić również do Rzecznika Praw Obywatelskich lub organu publicznego z pominięciem procedury przewidzianej w Procedurze, w szczególności gdy: w terminie na przekazanie informacji zwrotnej ustalonym w Procedurze Spółka nie przekaże informacji zwrotnej Zgłaszającemu lub Zgłaszający ma uzasadnione podstawy by sądzić, że naruszenie prawa może stanowić bezpośrednie lub oczywiste zagrożenie dla interesu publicznego, w szczególności istnieje ryzyko nieodwracalnej szkody, lub dokonanie zgłoszenia wewnętrznego narazi go na działania odwetowe, lub w przypadku dokonania zgłoszenia wewnętrznego istnieje niewielkie prawdopodobieństwo skutecznego przeciwdzia-łania naruszeniu prawa przez Spółkę z uwagi na szczególne okoliczności sprawy, takie jak możliwość ukrycia lub zniszczenia dowodów lub możliwość istnienia zmowy między Spółką a sprawcą naruszenia prawa lub udziału Spółki w naruszeniu prawa.
2. Zgłoszenie dokonane do Rzecznika Praw Obywatelskich lub organu publicznego z pominię-ciem zgłoszenia wewnętrznego nie skutkuje pozbawieniem Zgłaszającego ochrony gwarantowanej przepisami ustawy o ochronie sygnalistów.

§ 11. Postanowienia końcowe

1. Niniejsza Procedura wchodzi w życie po upływie 7 dni od dnia podania jej do wiadomości Pracowników i osób, o których mowa w § 3 ust. 1 poprzez umieszczenie pod adresem sieciowym www.nfm.no oraz powiadomienie pocztą elektroniczną wszystkich użytkowników elektronicznych skrzynek pocztowych Spółki.
2. Niniejsza procedura stanowi akt wewnętrzny Spółki i nie wyłącza stosowania postanowień innych dokumentów wewnętrznych Spółki oraz regulaminów i procedur, jak również aktów prawa powszechnie obowiązujących.
3. Przestrzeganie niniejszej Procedury stanowi obowiązek Pracowników Spółki i osób, o których mowa w § 3 ust. 1.
4. Naruszenie postanowień niniejszej Procedury może podlegać sankcjom określonym w przepisach powszechnie obowiązujących.
5. Integralną część Procedury stanowią:
   1) Wzór Rejestr zgłoszeń wewnętrznych
   2) Upoważnienie do przyjmowania i weryfikacji zgłoszeń.