EU's whistleblowerdirektiv 2019/1937: En praktisk guide

Hvem gælder det for?

Direktivet gælder for alle juridiske enheder i den private sektor med 50 eller flere ansatte. I den offentlige sektor gælder det for alle enheder uanset størrelse, selvom medlemsstaterne kan fritage kommuner med færre end 10.000 indbyggere.

Det betyder, at langt de fleste mellemstore og store organisationer i hele Europa er forpligtet til at overholde direktivet. Medlemsstaterne havde også frihed til at udvide dækningen til mindre organisationer i deres nationale implementering.

Hvad kræver direktivet?

Artikel 8 i direktivet fastlægger kernekravet: organisationer skal etablere interne indberetningskanaler, der giver medarbejdere mulighed for at indberette overtrædelser sikkert og fortroligt. Specifikt:

• Indberetningskanaler skal tillade indberetninger skriftligt eller mundtligt, eller begge dele (artikel 9, stk. 2)
• Identiteten på den indberettende person skal holdes fortrolig (artikel 16)
• Modtagelse af en indberetning skal bekræftes inden for 7 dage (artikel 9, stk. 1, litra b)
• En upartisk person eller afdeling skal udpeges til at følge op på indberetninger (artikel 9, stk. 1, litra c)
• Feedback skal gives til den indberettende person inden for 3 måneder (artikel 9, stk. 1, litra f)
• Klar og tilgængelig information om indberetningsprocedurer skal stilles til rådighed (artikel 9, stk. 1, litra g)
• Kanaler skal designes og drives på en sikker måde, der sikrer fortrolighed (artikel 9, stk. 1, litra a)

Hvordan beskyttes whistleblowere?

Kapitel VI i direktivet etablerer et omfattende forbud mod repressalier. Artikel 19 forbyder enhver form for repressalier, herunder afskedigelse, degradering, chikane, diskrimination eller enhver anden ugunstig behandling.

Afgørende vender artikel 21 bevisbyrden om: hvis en indberettende person lider en ulempe, skal arbejdsgiveren bevise, at ulempen ikke var forbundet med indberetningen. Dette er en betydelig juridisk beskyttelse, der gør repressalier omkostningstunge og vanskelige at forsvare.

Artikel 20 giver støtteforanstaltninger til indberettende personer, herunder adgang til retshjælp, økonomisk bistand og psykologisk støtte, hvor det er tilgængeligt i henhold til national lovgivning.

Hvad kan rapporteres?

Direktivet dækker overtrædelser af EU-lovgivning inden for specifikke områder anført i bilagets del I, herunder:

• Offentlige indkøb
• Finansielle tjenesteydelser og forebyggelse af hvidvaskning af penge
• Produktsikkerhed og overholdelse
• Transportsikkerhed
• Miljøbeskyttelse
• Strålingsbeskyttelse og nuklear sikkerhed
• Fødevare- og fodersikkerhed, dyresundhed og dyrevelfærd
• Folkesundhed
• Forbrugerbeskyttelse
• Privatliv og databeskyttelse (GDPR)
• EU's finansielle interesser og konkurrence på det indre marked

Medlemsstaterne kan udvide dette anvendelsesområde i deres nationale gennemførelse. Mange har gjort det for at dække yderligere områder såsom national skatteret, arbejdsret og korruption.

Intern, ekstern og offentlig rapportering

Direktivet etablerer en tretrinsramme for rapportering:

1. Intern rapportering — Gennem organisationens egen rapporteringskanal. Direktivet opfordrer til intern rapportering som det foretrukne første skridt, hvor overtrædelsen effektivt kan håndteres internt.
2. Ekstern rapportering — Til en kompetent national myndighed. Rapporterende personer kan gå direkte til eksterne kanaler uden først at rapportere internt.
3. Offentliggørelse — Som en sidste udvej, hvor intern eller ekstern rapportering ikke har resulteret i passende handling, eller i tilfælde af overhængende fare eller uoprettelig skade på offentlighedens interesse.

Gennemførelsesfrister

Direktivet trådte i kraft den 16. december 2019. Medlemsstaterne skulle gennemføre det i national lovgivning senest:

• 17. december 2021 — for alle bestemmelser vedrørende organisationer med 250 eller flere medarbejdere
• 17. december 2023 — for bestemmelser vedrørende organisationer med 50–249 medarbejdere

Alle EU-medlemsstater har nu gennemført direktivet, selvom specifikke krav varierer. Ikke-EU EØS-stater (Norge, Island, Liechtenstein) har vedtaget tilsvarende lovgivning.

Sådan hjælper Report Securely dig med at overholde reglerne

Report Securely er en digital whistleblowerplatform bygget specifikt til overholdelse af EU-direktiv 2019/1937. Den opfylder direktivets krav direkte:

• Sikre, fortrolige rapporteringskanaler tilgængelige via web — opfylder artikel 9(1)(a)
• Anonyme og fortrolige rapporteringsmuligheder — opfylder artikel 16
• Kvittering for modtagelse og opfølgningssporing — opfylder artikel 9(1)(b) og (f)
• Tildeling af udpeget sagsbehandler med revisionsspor — opfylder artikel 9(1)(c)
• Understøttelse af 28 europæiske sprog — sikrer tilgængelighed for medarbejdere på tværs af grænser
• Valgfri håndtering via partneradvokatfirma for uafhængig, ekstern gennemgang af whistleblowerrapporter
• AI-tekstomformulering til stylometrisk anonymisering — yderligere identitetsbeskyttelse