Visselblåsning: en säker kanal som fungerar i praktiken

Den vanligaste compliance-risken är att kanalen finns men att ansvar, behörigheter och återkoppling är otydliga. Då kan både rapportören och den utpekade personen skadas, samtidigt som bevisning går förlorad.

Visselblåsarlagen skyddar rapportering om missförhållanden som det finns ett allmänintresse av att de kommer fram. Vanliga personliga klagomål utan allmänintresse hanteras normalt i ordinarie HR-process.

• Privata och offentliga arbetsgivare med minst 50 arbetstagare ska ha interna rapporteringskanaler. Tröskeln bedöms vid kalenderårets början. Kommuner med färre än 10 000 invånare och vissa verksamheter har särskilda regler.
• Skyddet kan omfatta anställda, arbetssökande, egenföretagare, volontärer, praktikanter, personer i ledningsorgan och personer som arbetar under entreprenörers eller leverantörers kontroll.

1. 1. Tillgänglig kanal. Rapportering ska kunna ske skriftligt och muntligt samt, på begäran, vid ett fysiskt möte. Information om interna och externa kanaler ska vara tydlig och lättillgänglig.
2. 2. Oberoende mottagare. Endast behöriga personer får ha tillgång till rapporterna. Mottagare och utredare ska kunna agera självständigt och hantera intressekonflikter.
3. 3. Bekräftelse inom sju dagar. Den rapporterande personen ska normalt få en bekräftelse på mottagen rapport senast sju dagar efter att den kom in.
4. 4. Uppföljning och återkoppling. Uppgifterna ska bedömas, följas upp omsorgsfullt och återkopplas inom tre månader. Återkopplingen får begränsas om sekretess eller utredningen kräver det.
5. 5. Sekretess och dataskydd. Identitetsuppgifter skyddas av särskild sekretess och tystnadsplikt. Ovidkommande personuppgifter ska inte samlas in och uppgifter ska gallras senast två år efter att ett uppföljningsärende avslutats.
6. 6. Skydd mot repressalier. Arbetsgivaren får inte hindra rapportering eller utsätta rapportören, den som bistår eller närstående företag och personer för repressalier.

Skyddet gäller när rapportören hade skälig anledning att anta att uppgifterna var sanna och rapporteringen rör ett arbetsrelaterat sammanhang. Det kan vara allvarliga missförhållanden eller överträdelser inom bland annat offentlig upphandling, finans, penningtvätt, produktsäkerhet, miljö, livsmedel, folkhälsa och dataskydd.

Den som medvetet rapporterar falska uppgifter skyddas inte. Funktionen måste samtidigt skilja mellan en obestyrkt uppgift och en medvetet falsk rapport.

Arbetsmiljöverket utövar tillsyn över skyldigheten att inrätta interna kanaler och kan besluta om föreläggande eller förbud, normalt förenat med vite. Brott mot repressalieförbudet eller hindrande åtgärder kan ge rätt till skadestånd.

Personuppgiftshanteringen omfattas också av GDPR. Ett integritetsfel i visselblåsarprocessen kan därför få separata följder enligt dataskyddsreglerna.

1. Räkna antalet arbetstagare vid kalenderårets början och dokumentera bedömningen.
2. Utse en oberoende mottagarfunktion och fastställ hur intressekonflikter hanteras.
3. Säkra skriftlig, muntlig och fysisk rapportering samt tydlig information till berörda.
4. Sätt tidsfrister för bekräftelse inom sju dagar och återkoppling inom tre månader.
5. Begränsa åtkomst, logga handläggningen och besluta om gallring av personuppgifter.
6. Utbilda chefer så att rapportörer inte utsätts för repressalier.
7. Testa kanalen regelbundet och följ upp om rutinen fungerar i praktiken.

Vilka arbetsgivare måste ha en intern visselblåsarfunktion?

Arbetsgivare som vid kalenderårets början har 50 eller fler arbetstagare ska ha interna rapporteringskanaler och rutiner. Vissa verksamheter kan omfattas av särskilda regler oavsett storlek.

Måste rapportering kunna ske anonymt?

Lagen kräver inte att den interna kanalen tar emot anonyma rapporter. En arbetsgivare kan ändå välja det. Den som senare identifierar sig kan omfattas av lagens skydd om övriga villkor är uppfyllda.

Hur snabbt måste arbetsgivaren återkoppla?

Rapportören ska normalt få en bekräftelse inom sju dagar och återkoppling om vidtagna eller planerade åtgärder inom tre månader.

Får HR eller chefen ta emot rapporterna?

Funktionen ska hanteras av oberoende och självständiga personer eller enheter. Lösningen måste skydda identiteten och förebygga intressekonflikter. En extern leverantör får användas.

Vad innebär repressalieförbudet?

En person som rapporterar under lagens förutsättningar får inte straffas eller missgynnas, exempelvis genom uppsägning, omplacering, utebliven befordran eller negativa referenser.

Detta är en förenklad översikt, inte juridisk rådgivning. Kontrollera alltid den slutliga lagtexten.

Direktivet på EUR-LexArbetsmiljöverkets vägledningGDPR-guidenGör EU-kravkollen