Whistleblowerordning: krav til indhold og håndtering

Hvad ordningen skal kunne – og hvad den ikke er

Reglerne står i Lov om beskyttelse af whistleblowere – whistleblowerloven. Loven ligger på Retsinformation som lov nr. 1436 af 2021; forslaget var L 213. Den gælder både private virksomheder og offentlige myndigheder.

Indholdskrav og håndteringskrav for en dansk whistleblowerordning er samlet i whistleblowerloven. Kravene omfatter minimumselementer, indberetningskanal, sagsbehandling, fortrolighed og beskyttelse mod repressalier.

Offentlige myndigheder er omfattet. Uddannelses- og Forskningsstyrelsen og Udlændinge- og Integrationsministeriet har egne ordninger, mens Datatilsynet varetager den eksterne ordning.

En whistleblowerordning er en sikker indberetningskanal plus procedurer. Medarbejdere skal kunne indberette alvorlige forhold i eller med tilknytning til virksomheden uden frygt for repressalier. Indberetninger skal behandles fortroligt, følges op, og whistlebloweren beskyttes mod negative konsekvenser.

Dansk Industri understreger, at ordningen ikke er en generel klagekanal for utilfredshed på arbejdspladsen. Den er primært til alvorlige forhold, som virksomheden har væsentlig interesse i at afdække og håndtere.

På en offentlig arbejdsplads kalder Uddannelses- og Forskningsstyrelsen ordningen et supplement til den direkte, daglige kommunikation – også om fejl og utilfredsstillende forhold. Målet er at opdage forhold, myndigheden ikke får kendskab til via eksisterende kanaler. Ordningen begrænser ikke offentligt ansattes ytringsfrihed.

Lovens krav er minimumskrav. Den enkelte arbejdsplads kan vælge at lade ordningen omfatte flere typer forhold, end loven kræver.

Hvem kan indberette, og hvilke forhold er omfattet?

Pligten omfatter private virksomheder med mindst 50 medarbejdere og offentlige myndigheder. Ifølge Dansk Erhverv skulle virksomheder med flere end 249 ansatte have en ordning senest 17. december 2021. Private med 50-249 ansatte blev først omfattet 17. december 2023.

Dansk Erhverv præciserer, at arbejdspladser med mindst 50 ansatte skal oprette en selvstændig, intern ordning. Virksomheder med 50-249 ansatte kan dele ressourcer og oprette en fælles ordning.

Dansk Industri oplyser, at virksomheder med under 50 medarbejdere som udgangspunkt ikke er forpligtede, men kan etablere en frivillig ordning som led i compliance-, ansvarligheds- eller risikostyringsarbejde.

Dansk Industri oplyser, at der forventes regelændringer i løbet af 2026 på baggrund af EU-Kommissionens igangværende evaluering af direktivet.

Personkredsen bør defineres konkret. Udlændinge- og Integrationsministeriet nævner arbejdstagere – fuldmægtige, konsulenter, chefer uden for direktionen, administrativt personale, IT-medarbejdere, studentermedhjælpere, sommerfuldmægtige og indlånte medarbejdere.

Også medlemmer af direktionen, lønnede og ulønnede praktikanter og personer, der arbejder for myndigheden under tilsyn og ledelse af kontrahenter, underleverandører og leverandører, fx inden for facility management, er omfattet.

Også tidligere ansatte og personer, hvis arbejdsmæssige forhold endnu ikke er påbegyndt, og som indberetter om forhold fra ansættelsesprocessen, er omfattet. Uddannelses- og Forskningsstyrelsen angiver tilsvarende ansatte, frivillige samt lønnede eller ulønnede praktikanter og tidligere ansatte. Personer uden for personkredsen kan ikke indberette, og deres indberetninger afvises som udgangspunkt.

Det skal beskrives, hvilke forhold ordningen dækker. Dansk Industri nævner som eksempler på alvorlige forhold: korruption og bestikkelse, bedrageri og økonomisk kriminalitet, tyveri og underslæb og overtrædelse af lovgivning. Også seksuel chikane, alvorlig chikane eller diskrimination, grove brud på interne politikker samt alvorlige sikkerheds- eller miljøforhold nævnes.

Udlændinge- og Integrationsministeriet peger desuden på overtrædelser af EU-retten, der er omfattet af whistleblowerdirektivet, herunder beskyttelse af privatlivets fred og sikkerheden i netværks- og informationssystemer. Ministeriet nævner også alvorlige lovovertrædelser som bestikkelse, dokumentfalsk og hacking. En virksomhed kan vælge at lade ordningen omfatte flere typer forhold end lovens minimumskrav.

Indholdskrav: det skal ordningen som minimum indeholde

En whistleblowerordning skal som minimum have tre elementer: en sikker indberetningskanal, en procedure for håndtering af indberetninger og en whistleblowerpolitik. Det er lovens minimumskrav. Fortrolighedskravet gælder ved etablering og håndtering.

Proceduren skal konkret beskrive, hvordan man indberetter til den interne whistleblowerordning. Den skal også beskrive opfordringen til at indberette internt, når en overtrædelse effektivt kan imødegås internt.

Organisatorisk skal ordningen have en upartisk modtager – én eller flere personer – udpeget til at modtage og håndtere indberetninger, kommunikere med whistleblowere, følge op og give feedback. Modtagelsen skal bekræftes inden for syv dage, og feedback skal gives inden for tre måneder fra bekræftelsen af modtagelsen (retsinformation.dk). Virksomheden kan overlade opgaven til en ekstern tredjepart.

Arbejdspladser med under 50 medarbejdere, der frivilligt etablerer en ordning uden at være omfattet af whistleblowerloven, skal behandle personoplysninger efter databeskyttelseslovgivningen eller anden lovgivning – ikke efter whistleblowerlovens § 22.

Minimumskravene kan ikke fraviges. Loven kræver både kanal, procedure og politik, og håndteringen skal følge lovens krav til fortrolighed, opfølgning og feedback.

Indretning af indberetningskanalen

Indberetning bør kunne ske skriftligt via en digital whistleblowerportal, hvor indberetteren kan være anonym. Det er modellen hos Uddannelses- og Forskningsstyrelsen. Alternativt kan oplysningerne sendes med brev til styrelsen att. Whistleblowerenheden, Haraldsgade 53, 2100 København Ø.

Ved indberetning via portalen får whistlebloweren en kvittering på skærmen og en 16-cifret nøglekode. Koden skal gemmes, fordi den af sikkerhedsmæssige årsager ikke kan gendannes. Med nøglekoden kan whistlebloweren tilgå sin indberetning og kommunikere med medarbejderne i whistleblowerenheden.

Uddannelses- og Forskningsstyrelsen fraråder almindelig mail, da der sædvanligvis ikke sker kryptering.

Det skal fremgå, at der også er en ekstern vej. Whistlebloweren kan vælge at indberette til den eksterne whistleblowerordning, som varetages af Datatilsynet, og skal ikke først henvende sig internt. Arbejdspladsen skal dog opfordre til intern indberetning, hvis en eventuel overtrædelse effektivt kan imødegås internt, og whistlebloweren ikke vurderer, at der er risiko for repressalier ved intern indberetning.

Kanalen er et lovkrav. Den skal være sikker, og ordningen skal tage stilling til anonymitet, kvittering og kryptering.

Modtagelse, frister og håndtering af en indberetning

Indberetningen skal modtages af en upartisk person eller flere – eller af en upartisk enhed – der håndterer sagen, kommunikerer med whistlebloweren, følger op og giver feedback inden for nærmere fastsatte frister. Det er lovens krav til modtagelse og behandling. Uddannelses- og Forskningsstyrelsen beskriver tilsvarende modtagelsen som lagt hos en upartisk enhed i styrelsen.

Modtagelse og behandling kan overlades til en ekstern tredjepart. Det ændrer ikke kravet om fortrolig behandling, opfølgning og feedback.

Kan en indberetning håndteres internt, skal arbejdspladsen opfordre whistlebloweren til den interne kanal, hvis overtrædelsen effektivt kan imødegås internt, og whistlebloweren ikke vurderer, at der er risiko for repressalier. Indberetninger fra personer uden for personkredsen afvises som udgangspunkt. Proceduren bør derfor beskrive, hvem der er omfattet.

Kommunikationen med whistlebloweren er en del af sagsbehandlingen. Sker indberetningen via en portal med nøglekode, foregår dialogen, når whistlebloweren logger ind med sin kode og kommunikerer med medarbejderne i den behandlende enhed. Håndteringen skal sikre fortrolig behandling, opfølgning og beskyttelse mod negative konsekvenser.

Modtagelsen skal bekræftes inden for syv dage, og fristen løber fra dagen efter modtagelsen. Feedback skal gives inden for tre måneder fra bekræftelsen af modtagelsen (retsinformation.dk).

Fortrolighed og behandling af personoplysninger

Ordningen skal sikre fortrolighed om identiteten på whistlebloweren, den berørte person i indberetningen og eventuelle andre nævnte personer. Det er et udtrykkeligt lovkrav. Fortrolighed gælder også ved etablering og håndtering.

Whistleblowerlovens § 22 gælder kun for ordninger, der er omfattet af loven. En frivillig ordning på en arbejdsplads med under 50 medarbejdere skal i stedet behandle personoplysninger efter databeskyttelseslovgivningen eller anden lovgivning.

For en lovpligtig ordning, der er oprettet efter whistleblowerloven, kan arbejdspladsen efter § 22 behandle personoplysninger, herunder følsomme oplysninger og oplysninger om strafbare forhold, hvis det er nødvendigt for at behandle en indberetning i ordningen. For en frivillig ordning uden for whistleblowerloven kan almindelige oplysninger behandles efter databeskyttelsesforordningens artikel 6 og oplysninger om strafbare forhold efter databeskyttelseslovens § 8 (retsinformation.dk). De øvrige databeskyttelsesregler, herunder krav til behandlingssikkerhed, gælder også.

Beskyttelse mod repressalier og kravet om god tro

Beskyttelsen er betinget. Uddannelses- og Forskningsstyrelsen kræver, at whistlebloweren på indberetningstidspunktet har rimelig grund til at tro, at oplysningerne er rigtige, og at de falder ind under lovens anvendelsesområde. Udlændinge- og Integrationsministeriet beskriver tilsvarende, at whistlebloweren skal have grund til at antage, at indholdet er korrekt, og at det handler om overtrædelser eller forhold omfattet af loven.

Whistlebloweren skal altså være i god tro om oplysningernes rigtighed.

Opfyldes betingelserne, må indberetningen ikke føre til repressalier mod whistlebloweren. Loven forbyder enhver form for repressalier. Udlændinge- og Integrationsministeriet siger, at whistlebloweren ikke må mødes med repressalier som følge af indberetningen; Dansk Industri formulerer det som indberetning uden frygt for repressalier og beskyttelse mod negative konsekvenser.

Omvendt kan bevidst indberetning af urigtige oplysninger straffes med bøde. Det fremgår af Uddannelses- og Forskningsstyrelsens oplysninger.

Beskyttelsen gælder ikke automatisk. Den forudsætter god tro og et forhold, der er omfattet af loven.

Tjekliste: krav til indhold og håndtering

Omfattet og afgrænset: Private med mindst 50 ansatte skal have en whistleblowerordning. Offentlige myndigheder er også omfattet. En frivillig ordning på en mindre arbejdsplads skal behandle personoplysninger efter databeskyttelseslovgivningen, ikke efter whistleblowerlovens § 22.

Myndigheder: Uddannelses- og Forskningsstyrelsen og Udlændinge- og Integrationsministeriet har egne whistleblowerordninger. Datatilsynet varetager den eksterne whistleblowerordning.

Formål: Ordningen skal være til alvorlige forhold og ikke en generel klagekanal for utilfredshed. Den er et supplement til den daglige kommunikation på arbejdspladsen.

Personkreds og forhold: Ordningen skal dække ansatte og ledelse, lønnede og ulønnede praktikanter, personer, der arbejder for myndigheden under tilsyn og ledelse af kontrahenter, underleverandører og leverandører, samt tidligere ansatte og ansøgere. Personer uden for personkredsen afvises som udgangspunkt.

Ordningen skal kunne bruges til korruption og bestikkelse, bedrageri, tyveri og underslæb, lovovertrædelser, seksuel chikane, alvorlig chikane eller diskrimination, grove brud på interne politikker samt alvorlige sikkerheds- og miljøforhold. Det skal besluttes, om ordningen skal omfatte mere end minimumskravene.

Kanal: Der skal findes en sikker indberetningskanal. Hos Uddannelses- og Forskningsstyrelsen er den fx en digital portal med mulighed for anonymitet, og styrelsen beskriver også en brevvej. Styrelsen fraråder almindelig mail på grund af manglende kryptering.

Kvittering: Modtagelsen skal bekræftes inden for syv dage, regnet fra dagen efter modtagelsen (retsinformation.dk). Hos Uddannelses- og Forskningsstyrelsen får whistlebloweren kvittering og en nøglekode, der kan gemmes og bruges til at tilgå indberetningen og kommunikere med medarbejderne i whistleblowerenheden. Koden kan ikke gendannes. Uddannelses- og Forskningsstyrelsen oplyser, at der er mulighed for at indberette til den eksterne ordning hos Datatilsynet.

Minimumsindhold: Ordningen skal som minimum have en sikker indberetningskanal, en procedure for håndtering af indberetninger og en whistleblowerpolitik. En upartisk instans – én eller flere personer – eller en upartisk enhed skal modtage og håndtere indberetninger, kommunikere med whistlebloweren, følge op og give feedback inden for tre måneder fra bekræftelsen af modtagelsen (retsinformation.dk). Opgaven kan lægges hos en ekstern tredjepart.

Intern indberetning: Arbejdspladsen skal opfordre til intern indberetning, når forholdet effektivt kan håndteres internt og uden risiko for repressalier.

Fortrolighed og databeskyttelse: Ordningen skal sikre fortrolighed om identiteten på whistlebloweren, den berørte person og andre nævnte. Behandlingen af personoplysninger skal leve op til databeskyttelsesreglerne.

God tro og sanktion: Beskyttelsen forudsætter rimelig grund til at tro, at oplysningerne er rigtige og omfattet af loven. Repressalier er forbudt, og bevidst indberetning af urigtige oplysninger kan straffes med bøde.

Lovgrundlag: Whistleblowerloven er lov nr. 1436 af 2021. Forslaget var L 213. Kravene til indhold og håndtering gælder både private og offentlige arbejdspladser.