Din virksomheds whistleblowerordning skal først og fremmest bestå af en sikker indberetningskanal, som overholder GDPR-reglerne og andre krav til sikkerhed. Din virksomhed skal selv sørge for at etablere og vedligeholde indberetningskanalen. Du vælger selv, om indberetningskanalen skal:

1. håndteres i din egen virksomhed,
2. bestå af et eksternt IT-håndteringssystem, hvor I som virksomhed håndterer sagerne og dialogen med whistlebloweren
3. eller om den skal håndteres af en ekstern partner (f.eks. en advokat eller revisor).

Indberetningskanalen er til for, at whistleblowere sikkert kan indberette alvorlige forhold, såsom lovovertrædelser, der sker i eller i forbindelse med din virksomhed. Dette omfatter, men er ikke begrænset til:

• Korruption
• Bestikkelse
• Tyveri
• Underslæb
• Bedrageri
• Seksuel chikane
• Grov chikane, f.eks. på grund af race, køn, farve, sprog, formueforhold, national eller social oprindelse, politisk eller religiøst tilhørsforhold.

Krav til indberetningskanalen

1. Whistleblowere skal kunne indberette mundtligt, skriftligt eller begge dele
2. Alle ansatte skal kunne indberette gennem indberetningskanalen
3. Øvrige personer, der er i forbindelse med din virksomhed, kan også gives mulighed for at bruge indberetningskanalen
4. De personer, der har ansvaret for indberetningskanalen, skal være upartiske og kompetente

Loven stiller også en række krav til indberetningsproceduren. Det vil sige, hvordan de indberettede oplysninger skal behandles, og hvordan whistleblowere skal beskyttes. Proceduren skal sikre, at indberetningen håndteres fortroligt og rettidigt, og at whistlebloweren ikke bliver udsat for repressalier grundet sin indberetning. Det er valgfrit for virksomheden, om man gør det muligt at foretage anonym indberetning.

Krav til proceduren

• Indberetningskanalen skal udformes på en måde, som sikrer fortrolighed i forhold til whistlebloweren samt de øvrige personer, der er nævnt i indberetningen
• Der skal udpeges en whistleblowerenhed, som har ansvar for at kommunikere med whistlebloweren og følge op på sagerne (kan med fordel være den samme ansatte eller afdeling, som tager imod indberetningerne)
• Whistlebloweren skal modtage en bekræftelse på indberetningen inden for syv dage
• Whistlebloweren skal modtage en tilbagemelding om sagens udfald samt en begrundelse herfor inden for tre måneder
• Der skal være klare og let tilgængelige oplysninger om, hvordan whistleblowere kan indberette oplysninger til eksterne whistleblowerordninger – f.eks. den generelle, eksterne whistleblowerordning, som administreres af Datatilsynet

Krav til whistleblowerbeskyttelse

• Alle whistleblowere, der benytter indberetningskanalen med rimelig grund, har krav på beskyttelse
• Whistleblowerens identitet må ikke videregives til uvedkommende
• Oplysningerne i indberetningen må kun videregives som led i opfølgning på sagen
• Behandling af personoplysninger skal følge GDPR-reglerne
• Indberetninger må kun opbevares så længe, det er nødvendigt
• Enhver form for trusler om og forsøg på repressalier mod whistleblowere eller øvrige beskyttede personer er forbudt.

Arbejdspladser med 50 eller flere ansatte kan etablere en koncernfælles whistleblowerordning. Det betyder, at der for en koncern vil kunne oprettes én whistleblowerordning, der kan modtage indberetninger for hele koncernen.

Egne medarbejdere skal kunne indberette via whistleblowerordningen. Øvrige samarbejdspartnere, underleverandører osv., kan gives mulighed for at indberette, hvilket kan give mulighed for at håndtere flere sager internt, frem for at det bliver gjort eksternt.

Alvorlige lovovertrædelser og alvorlige forhold. Det gælder eksempelvis strafbare forhold, grove eller gentagne overtrædelser af lovgivning, grove personalerelaterede konflikter på arbejdspladsen og seksuel chikane jf. ligebehandlingsloven. Det er ikke tanken, at en whistleblowerordning skal erstatte eksisterende systemer, der håndtere konkrete tvister mellem medarbejdere – men der vil være snitflader mellem disse og whistleblowerordninger. Afgrænsningen vil blive udpenslet i Justitsministeriets vejledningsmaterialet.

Overtrædelser af interne retningslinjer af mindre alvorlig karakter og mindre grove personrelaterede konflikter. Herudover gælder der specifikke regler for eksempelvis klassificerede oplysninger og oplysninger som er omfattet af advokaters tavshedspligt. Hvis man er i tvivl om en indberetning hører hjemme i whistleblowerordningen eller ej, vil det være muligt at spørge Datatilsynet til råds.

Det er der som sådan ingen krav til ud over, at indberetningen skal ske i god tro, og den skal falde ind under whistleblowerområdet – hvor sker problemet, og hvad er problemet.

Et sted at starte er, at det bliver kommunikeret ud fra toppen. Det er vigtigt, at ledelsen viser, at de står bag.

Læs mere og hent DI's skabelon til din whistleblower-politik.

Direktivet giver mulighed for variation mellem EU-landende på dette område. I Danmark er det op til virksomheden selv, om og hvordan man vil behandle anonyme indberetninger. Det vil være muligt at indberette anonymt i den eksterne whistleblowerordning i Datatilsynet, som administrerer den offentlige whistleblowerordning, som er åben for alle.

Det er antal årsværk der tæller, herunder fuldtids- og deltidsansatte, ansatte med tidsbegrænsede ansættelseskontrakter, samt vikarer.