Whistleblowerpolitik — intern whistleblowerordning efter whistleblowerloven

Whistleblowerpolitikken i Danmark er et internt politikdokument, der beskriver virksomhedens whistleblowerordning — den kanal og de procedurer, der giver medarbejdere og andre mulighed for at indberette mistanke om lovovertrædelser og alvorlige uregelmæssigheder uden risiko for repressalier. Politikken er udformet i overensstemmelse med whistleblowerloven (lov nr. 1436 af 29. juni 2021 om beskyttelse af whistleblowere), der gennemfører Europa-Parlamentets og Rådets direktiv 2019/1937/EU om beskyttelse af personer, der indberetter overtrædelser af EU-retten.

Whistleblowerloven trådte i kraft den 17. december 2021 og pålægger virksomheder med 50 eller flere medarbejdere at etablere en intern whistleblowerordning. Virksomheder med 250 eller færre medarbejdere fik frem til 17. december 2023 til at opfylde kravet. Private virksomheder med under 50 medarbejdere er ikke lovpligtige til at have en ordning, men kan frivilligt etablere en. Manglende etablering af en obligatorisk ordning kan medføre bøde.

Formålet med whistleblowerordningen er at give whistleblowere — typisk medarbejdere, tidligere medarbejdere og samhandelspartnere — en sikker kanal til at indberette overtrædelser af lovgivningen. Whistlebloweren er beskyttet mod enhver form for repressalier som følge af en indberetning foretaget i god tro: opsigelse, forflyttelse, lønreduktion, chikane og andre ugunstige behandlinger er forbudt og kan udløse erstatningskrav og bøde mod arbejdsgiveren, jf. whistleblowerlovens §§ 16-17.

Whistleblowerordningen skal behandle alle indberetninger fortroligt. Identiteten på den person, der indberetter, må ikke afsløres uden whistleblowerens udtrykkelige samtykke — medmindre videregivelse er påkrævet ved lov, for eksempel i forbindelse med politianmeldelse. Fortrolighed gælder ligeledes for de personer, der er omtalt i indberetningen.

GDPR og databeskyttelse er en integreret del af whistleblowerordningen. Behandlingen af personoplysninger — om whistlebloweren, de indklagede og eventuelle vidner — er underlagt databeskyttelsesforordningen (GDPR) og databeskyttelsesloven (lov nr. 502 af 23/05/2018). Datatilsynet fører tilsyn med whistleblowerordninger og har udgivet en vejledning om behandling af personoplysninger i ordningerne. Personoplysninger i ordningen bør slettes senest 5 år efter sagens afslutning.

Den interne whistleblowerordning er suppleret af en ekstern kanal. Datatilsynets Whistleblowerenhed modtager indberetninger om overtrædelser af lovgivning inden for persondatabeskyttelse. EU-direktivet kræver desuden, at offentlige myndigheder opretter eksterne kanaler for relevante sektorer. Whistlebloweren kan frit vælge den interne kanal, en ekstern kanal hos myndigheder eller begge.

Whistleblowerpolitikken i Danmark er nødvendig i en række situationer, der enten er lovpligtige eller frivillige.

Første situation er virksomheder med 50 eller flere medarbejdere. Whistleblowerloven (lov nr. 1436 af 29/06/2021) § 9 forpligter virksomheder med 50 eller flere medarbejdere til at etablere en intern whistleblowerordning og vedtage en whistleblowerpolitik. Det er ikke tilstrækkeligt at have en ordning — politikken skal foreligge skriftligt og gøres tilgængelig for alle, der kan bruge den.

Anden situation er virksomheder i regulerede brancher med under 50 medarbejdere. Finansielle virksomheder — banker, forsikringsselskaber, fondsmæglere — er underlagt sektorspecifikke regler om whistleblowerordninger under Finanstilsynets tilsyn, uanset medarbejderantal. Disse virksomheder skal have en politk uanset størrelse.

Tredje situation er virksomheder, der er del af en koncern. En modervirksomhed kan etablere en fælles ordning for hele koncernen. Whistleblowerloven tillader, at virksomheder med 50-249 medarbejdere deler en fælles ordning, hvis ordningen er effektiv og fortrolig for alle enheder.

Fjerde situation er virksomheder, der modtager offentlige tilskud. Offentlige tilskudsgivere og EU-midler stiller i stigende grad krav om en etableret whistleblowerordning som betingelse for tilskud. En skriftlig whistleblowerpolitik dokumenterer, at ordningen er etableret.

Femte situation er virksomheder, der ønsker at styrke compliance-kulturen. Selv virksomheder med under 50 medarbejdere kan vælge at etablere en frivillig whistleblowerordning som led i en ansvarlig virksomhedskultur. En synlig ordning signalerer, at ledelsen ønsker åbenhed om fejl og uregelmæssigheder og forebygger eskalering til myndighederne.

Sjette situation er virksomheder, der handler med offentlige myndigheder. Offentlige ordregivere og leverandøraftaleparter kræver i stigende grad dokumentation for etablerede whistleblowerordninger som led i leverandørscreening og compliance-krav.

Syvende situation er virksomheder efter en hændelse. Virksomheder, der har oplevet svindel, bedrageri, seksuel chikane eller andre alvorlige hændelser, der opdages for sent, etablerer ofte en whistleblowerordning som en forebyggende foranstaltning, der kan opdage sådanne forhold tidligere.

En effektiv whistleblowerpolitik i Danmark skal indeholde en række centrale elementer, der opfylder kravene i whistleblowerloven og sikrer, at ordningen fungerer i praksis.

Formål og lovgrundlag er udgangspunktet. Politikken bør indledningsvis fastslå formålet med ordningen og det lovmæssige grundlag — whistleblowerloven (lov nr. 1436 af 29/06/2021) og EU-direktiv 2019/1937/EU. Angivelse af lovgrundlaget signalerer, at ordningen er etableret for at overholde loven, og forebygger tvivl om formålet.

Kredsen af indberetningsberettigede — hvem kan indberette — skal fremgå klart. Whistleblowerloven § 4 beskytter: nuværende og tidligere medarbejdere, jobansøgere, selvstændige, aktionærer, bestyrelsesmedlemmer, leverandører og andre, der i en arbejdsmæssig sammenhæng har fået oplysningerne. Politikken bør specificere denne kreds og gøre det klart, at ordningen ikke er til personaletvister eller private konflikter.

Hvad der kan indberettes — indberetningens genstand — er et centralt element. Ordningen dækker overtrædelser af EU-ret og dansk ret inden for whistleblowerlovens bilag, herunder finansielle ydelser, hvidvask, databeskyttelse og GDPR, produktsikkerhed, miljøret, folkesundhed, fødevaresikkerhed og korruption. Politikken bør desuden angive, om den dækker virksomhedens interne politikker — for eksempel antikorruptionspolitikken og etikkodens regler.

Indberetningskanal og procedure er praktisk vigtige. Politikken fastlægger, hvilken kanal der bruges — e-mail, en dedikeret platform, telefon eller personligt møde — og hvem der er ansvarlig for at modtage og behandle indberetninger. Kanalen skal sikre fortrolighed. Whistleblowerloven § 12 kræver, at virksomheden giver en kvittering for modtagelse inden 7 dage og en tilbagemelding om opfølgning inden 3 måneder.

Fortrolighed er fundamentalt. Identiteten på whistlebloweren må ikke afsløres uden samtykke. Fortrolighed gælder ligeledes for de omtalte personer, der har krav på fair behandling og ikke bør identificeres over for andre end de, der er direkte involveret i sagsbehandlingen.

Beskyttelse mod repressalier er lovens kerne. Whistleblowerloven §§ 16-17 forbyder repressalier mod whistleblowere. Politikken skal eksplicit forklare, hvad repressalier er — opsigelse, forflyttelse, lønreduktion, chikane, udelukkelse fra forfremmelse — og konsekvenserne for dem, der udøver dem. Whistleblowere, der er offer for repressalier, kan kræve erstatning og godtgørelse.

GDPR og databeskyttelse er obligatoriske. Politikken fastlægger, at behandlingen af personoplysninger sker som dataansvarlig i overensstemmelse med GDPR og databeskyttelsesloven (lov nr. 502 af 23/05/2018). Personoplysninger opbevares fortroligt og slettes senest 5 år efter sagens afslutning. Datatilsynet fører tilsyn. Registrerede har rettigheder, men indsigt kan begrænses under sagsbehandlingen. forms-legal.com tilbyder en gratis whistleblowerpolitik-skabelon med alle disse elementer.

Ekstern indberetning skal nævnes. Politikken informerer whistlebloweren om muligheden for at indberette til Datatilsynets Whistleblowerenhed eller andre kompetente myndigheder som alternativ eller supplement til den interne ordning.

Korrekt udfyldelse af whistleblowerpolitikken kræver klarhed om virksomhedens ordning, ansvarsfordelingen og GDPR-forpligtelserne.

Trin 1 — identificér virksomheden: Angiv virksomhedens fulde firmanavn, CVR-nummer og adresse. Politikken gælder for hele virksomheden og eventuelle datterselskaber, der er omfattet af ordningen.

Trin 2 — udpeg den ansvarlige: Udpeg en specifik person eller funktion som ansvarlig for at modtage og behandle indberetninger — typisk en Compliance Officer, HR-chef eller en ekstern whistleblowerbehandler. Den ansvarlige skal have tilstrækkelig viden om whistleblowerloven og GDPR og skal være uafhængig nok til at behandle indberetninger om ledelsen.

Trin 3 — fastlæg indberetningskanalen: Vælg en sikker og fortrolig kanal — en dedikeret e-mailadresse, et digitalt whistleblower-system eller en telefonhotline. Kanalen bør sikres teknisk, så kun den ansvarlige har adgang, og systemer, der sikrer fortrolighed, bør foretrækkes.

Trin 4 — afklar, hvad der kan indberettes: Beskriv præcist, hvilke typer overtrædelser der kan indberettes — EU-ret, dansk ret og interne politikker. Vær klar på, at ordningen ikke er til personaletvister og private konflikter.

Trin 5 — fastlæg proceduren for behandling: Beskriv, hvad der sker med en indberetning fra modtagelse til afslutning: kvitteringsfrist (7 dage), opfølgningstilbagemelding (3 måneder), sagsbehandling, eventuel politianmeldelse og sletning. En klar procedure giver whistlebloweren tryghed.

Trin 6 — regulér fortrolighed og GDPR: Fastlæg, at identiteten på whistlebloweren og de omtalte ikke afsløres. Opret en GDPR-behandlingshjemmel (typisk legitim interesse eller opfyldelse af retlig forpligtelse). Fastlæg opbevaringsperiode på max 5 år.

Trin 7 — gør politikken tilgængelig: Publicér politikken på intranettet, i personalehåndbogen og på virksomhedens hjemmeside. Orienter alle medarbejdere og leverandører om ordningen.

Trin 8 — vedtag og ikraftsæt: Politikken vedtages af ledelsen og træder i kraft på ikrafttrædelsesdatoen. Opdatér politikken ved ændringer i whistleblowerloven eller virksomhedens organisation.

Whistleblowerpolitikken i Danmark er underlagt en specifik retlig ramme, der primært udgøres af whistleblowerloven og GDPR.

Whistleblowerloven: Lov nr. 1436 af 29. juni 2021 om beskyttelse af whistleblowere (whistleblowerloven) gennemfører EU-direktiv 2019/1937/EU. Loven forpligter virksomheder med 50 eller flere medarbejdere til at etablere en intern whistleblowerordning (§ 9). Ordningen skal have sikre kanaler til fortrolig indberetning, en sagkyndig ansvarlig, kvittering inden 7 dage og tilbagemelding inden 3 måneder (§ 12). Manglende etablering kan medføre bøde (§ 24).

Beskyttelse mod repressalier: Whistleblowerloven §§ 16-17 forbyder enhver form for repressalie mod whistleblowere. Repressalier kan medføre erstatning til whistlebloweren og bøde til den ansvarlige. Bevisbyrden er vendt: det er arbejdsgiveren, der skal bevise, at en negativ handling ikke er en repressalie, hvis whistlebloweren sandsynliggør, at handlingen skyldes indberetningen.

Fortrolighed og identitetsbeskyttelse: Whistleblowerens identitet må ikke afsløres uden samtykke, medmindre videregivelse er påkrævet ved lov — for eksempel til politiet ved strafbare forhold (§ 14).

GDPR og databeskyttelse: Behandlingen af personoplysninger i whistleblowerordningen er underlagt GDPR og databeskyttelsesloven (lov nr. 502 af 23/05/2018). Datatilsynet har udgivet en vejledning og fører tilsyn med ordningerne. Personoplysninger opbevares i henhold til proportionalitetsprincippet og slettes senest 5 år efter sagens afslutning.

Hvidvaskloven: Ordningen bør integreres med hvidvaskovervågning (LBK nr. 1062 af 19/05/2021 med ændringer), da mistanke om hvidvask eller terrorfinansiering skal indberettes til Statsadvokaten for Særlig Kriminalitet (SSK) via Hvidvasksekretariatet.

Strafansvaret: Overtrædelse af forbuddet mod repressalier er strafbart med bøde, jf. whistleblowerlovens § 24. Forsætlig afsløring af whistleblowerens identitet i strid med loven kan ligeledes medføre bøde.

Ekstern rapportering: Datatilsynets Whistleblowerenhed er den centrale eksterne indberetningskanal for overtrædelser af persondatabeskyttelseslovgivning. Andre myndigheder har tilsvarende eksterne kanaler for deres respektive sektorer, jf. EU-direktivets krav.

Hyppige fejl i whistleblowerpolitikker og -ordninger i Danmark resulterer i manglende lovopfyldelse, sårbare ordninger og manglende tillid fra medarbejderne.

Fejl 1 — politikken eksisterer, men ordningen fungerer ikke i praksis: Den hyppigste fejl er en whistleblowerpolitik, der er vedtaget pro forma, men hvis kanal ikke er sikret fortrolig, og hvis ansvarlige ikke er uddannet i at håndtere indberetninger. Det korrekte er at sikre, at kanalen teknisk er sikret mod uautoriseret adgang, og at den ansvarlige kender whistleblowerloven og GDPR.

Fejl 2 — ordningen bruges til personaletvister: Mange medarbejdere forveksler whistleblowerordningen med en generel klagemekanisme for personaleforhold. Det korrekte er at tydeliggøre i politikken, at ordningen alene er til overtrædelser af lovgivningen og alvorlige interne overtrædelser — ikke til løn- og ansættelsestvister.

Fejl 3 — for sent svar til whistlebloweren: Whistleblowerloven § 12 kræver kvittering inden 7 dage og tilbagemelding inden 3 måneder. Manglende reaktion signalerer, at ordningen ikke tages alvorligt. Det korrekte er en klar procedure med automatisk kvittering og opfølgning.

Fejl 4 — manglende GDPR-regulering: Mange politikker adresserer ikke GDPR-forpligtelserne. Behandlingen af personoplysninger — om whistlebloweren og de indklagede — kræver en behandlingshjemmel, en opbevaringspolitik og en sletningsprocedure. Manglende GDPR-overholdelse kan udløse bøder fra Datatilsynet.

Fejl 5 — utilstrækkelig beskyttelse af whistleblowerens identitet: Politikken specificerer ikke, hvem der har adgang til indberetningerne. En for bred adgang risikerer at afsløre whistleblowerens identitet og underminerer ordningens troværdighed. Det korrekte er streng adgangsstyring til ordningens oplysninger og en klar intern fortrolighedsinstruks.