Din virksomheds whistleblowerordning skal først og fremmest bestå af en sikker indberetningskanal, som overholder GDPR-reglerne og andre krav til sikkerhed. Din virksomhed skal selv sørge for at etablere og vedligeholde indberetningskanalen. Du vælger selv, om indberetningskanalen skal:

1. håndteres i din egen virksomhed,
2. bestå af et eksternt IT-håndteringssystem, hvor I som virksomhed håndterer sagerne og dialogen med whistlebloweren
3. eller om den skal håndteres af en ekstern partner (f.eks. en advokat eller revisor).

Indberetningskanalen er til for, at whistleblowere sikkert kan indberette alvorlige forhold, såsom lovovertrædelser, der sker i eller i forbindelse med din virksomhed. Dette omfatter, men er ikke begrænset til:

• Korruption
• Bestikkelse
• Tyveri
• Underslæb
• Bedrageri
• Seksuel chikane
• Grov chikane, f.eks. på grund af race, køn, farve, sprog, formueforhold, national eller social oprindelse, politisk eller religiøst tilhørsforhold.

Krav til indberetningskanalen

1. Whistleblowere skal kunne indberette mundtligt, skriftligt eller begge dele
2. Alle ansatte skal kunne indberette gennem indberetningskanalen
3. Øvrige personer, der er i forbindelse med din virksomhed, kan også gives mulighed for at bruge indberetningskanalen
4. De personer, der har ansvaret for indberetningskanalen, skal være upartiske og kompetente

Loven stiller også en række krav til indberetningsproceduren. Det vil sige, hvordan de indberettede oplysninger skal behandles, og hvordan whistleblowere skal beskyttes. Proceduren skal sikre, at indberetningen håndteres fortroligt og rettidigt, og at whistlebloweren ikke bliver udsat for repressalier grundet sin indberetning. Det er valgfrit for virksomheden, om man gør det muligt at foretage anonym indberetning.

Krav til proceduren

• Indberetningskanalen skal udformes på en måde, som sikrer fortrolighed i forhold til whistlebloweren samt de øvrige personer, der er nævnt i indberetningen
• Der skal udpeges en whistleblowerenhed, som har ansvar for at kommunikere med whistlebloweren og følge op på sagerne (kan med fordel være den samme ansatte eller afdeling, som tager imod indberetningerne)
• Whistlebloweren skal modtage en bekræftelse på indberetningen inden for syv dage
• Whistlebloweren skal modtage en tilbagemelding om sagens udfald samt en begrundelse herfor inden for tre måneder
• Der skal være klare og let tilgængelige oplysninger om, hvordan whistleblowere kan indberette oplysninger til eksterne whistleblowerordninger – f.eks. den generelle, eksterne whistleblowerordning, som administreres af Datatilsynet

Krav til whistleblowerbeskyttelse

• Alle whistleblowere, der benytter indberetningskanalen med rimelig grund, har krav på beskyttelse
• Whistleblowerens identitet må ikke videregives til uvedkommende
• Oplysningerne i indberetningen må kun videregives som led i opfølgning på sagen
• Behandling af personoplysninger skal følge GDPR-reglerne
• Indberetninger må kun opbevares så længe, det er nødvendigt
• Enhver form for trusler om og forsøg på repressalier mod whistleblowere eller øvrige beskyttede personer er forbudt.

Arbejdspladser med 50 eller flere ansatte kan etablere en koncernfælles whistleblowerordning. Det betyder, at der for en koncern vil kunne oprettes én whistleblowerordning, der kan modtage indberetninger for hele koncernen.