Private virksomheder med mindst 50 ansatte skal have en fungerende whistleblowerordning. Kravene omfatter sikre indberetningskanaler, upartisk sagsbehandling, beskyttelse mod gengældelse og klare tidsfrister for kvittering og feedback. Manglende eller mangelfuld efterlevelse kan udløse bøde, og utilstrækkelig beskyttelse af whistleblowere kan medføre krav på godtgørelse.
Pligt og sanktioner
Virksomheder med 50–249 medarbejdere skulle have implementeret ordningen senest den 17. december 2023. Enheder med over 250 medarbejdere har allerede været omfattet siden 2021. Mindre virksomheder under 50 medarbejdere er ikke forpligtede, men kan med fordel etablere en ordning for at styrke kontrol og kultur.
Ordningen skal sikre, at medarbejdere trygt kan indberette overtrædelser af relevant lovgivning, herunder bl.a. offentlige udbud, produktsikkerhed, miljøbeskyttelse og GDPR. Forbuddet mod negative følger beskytter indberetteren mod degradering, afskedigelse eller andre repressalier. Overtrædelse kan udløse godtgørelse og bøder.
Krav til ordningen
Virksomheden skal etablere interne kanaler og procedurer for indberetning og opfølgning. Kanalerne kan drives internt af en udpeget enhed eller af en ekstern tredjepart, men den ansvarlige funktion skal være upartisk og uafhængig af den daglige ledelse. Adgangen til indberetninger skal begrænses, så både identitet og indhold beskyttes mod uautoriseret adgang.
Indberetning kan tilbydes skriftligt, mundtligt eller begge dele. Hvor mundtlig indberetning er mulig, har whistlebloweren ret til et fysisk møde. Den ansvarlige enhed skal kvittere for modtagelse, foretage passende opfølgning og give feedback inden for lovens frister. Disse processer kræver klare, dokumenterede arbejdsgange og logning.
Implementering og dokumentation
Virksomheden skal skriftligt dokumentere etableringen af ordningen, procedurerne og udpegningen af en whistleblowerenhed. Ud over interne procedurer skal der foreligge instrukser om indberetning til den eksterne myndighed, her Datatilsynet. Samtidig skal virksomheden håndtere personoplysninger i overensstemmelse med GDPR, herunder sikre fortrolighed, dataminimering og passende tekniske og organisatoriske foranstaltninger.
Følgende elementer bør som minimum være på plads for at sikre robust efterlevelse:
- Politikker for de områder, ordningen omfatter, og afgrænsning af indberetningsplads.
- Beskrivelse af roller og ansvar samt retningslinjer for sagsbehandling.
- Udpegning af en upartisk enhed eller person til at modtage indberetninger.
- Tilgængelig information til potentielle whistleblowere om indhold, adgang og rettigheder.
- Håndtering af sager inden for de gældende frister for kvittering, opfølgning og feedback.
En velfungerende whistleblowerordning er ikke kun et lovkrav, men et praktisk styringsværktøj, der kan forebygge skader, styrke virksomhedens integritet og reducere risikoen for retlige og omdømmemæssige konsekvenser.
