EU:s visselblåsardirektiv 2019/1937: En praktisk guide

Vem gäller det för?

Direktivet gäller alla juridiska personer i den privata sektorn med 50 eller fler anställda. I den offentliga sektorn gäller det alla enheter oavsett storlek, även om medlemsstaterna kan undanta kommuner med färre än 10 000 invånare.

Detta innebär att den stora majoriteten av medelstora och stora organisationer i Europa är skyldiga att följa direktivet. Medlemsstaterna hade också möjlighet att utvidga tillämpningsområdet till mindre organisationer i sin nationella implementering.

Vad kräver direktivet?

Artikel 8 i direktivet fastställer kärnförpliktelsen: organisationer måste upprätta interna rapporteringskanaler som gör det möjligt för arbetstagare att rapportera överträdelser på ett säkert och konfidentiellt sätt. Specifikt:

• Rapporteringskanaler måste tillåta rapporter skriftligt eller muntligt, eller både och (artikel 9(2))
• Den rapporterande personens identitet måste hållas konfidentiell (artikel 16)
• Mottagande av en rapport måste bekräftas inom 7 dagar (artikel 9(1)(b))
• En opartisk person eller avdelning måste utses för att följa upp rapporter (artikel 9(1)(c))
• Återkoppling måste ges till den rapporterande personen inom 3 månader (artikel 9(1)(f))
• Tydlig och tillgänglig information om rapporteringsförfaranden måste tillhandahållas (artikel 9(1)(g))
• Kanaler måste utformas och drivas på ett säkert sätt som säkerställer konfidentialitet (artikel 9(1)(a))

Hur skyddas visselblåsare?

Kapitel VI i direktivet fastställer ett omfattande förbud mot repressalier. Artikel 19 förbjuder alla former av repressalier, inklusive uppsägning, degradering, trakasserier, diskriminering eller annan ogynnsam behandling.

Kritiskt är att artikel 21 vänder på bevisbördan: om en rapporterande person drabbas av en negativ åtgärd måste arbetsgivaren bevisa att åtgärden inte var kopplad till rapporten. Detta är ett betydande rättsligt skydd som gör repressalier kostsamma och svåra att försvara.

Artikel 20 tillhandahåller stödåtgärder för rapporterande personer, inklusive tillgång till rättshjälp, ekonomiskt stöd och psykologiskt stöd där det finns tillgängligt enligt nationell lag.

Vad kan rapporteras?

Direktivet omfattar överträdelser av EU-lagstiftning inom specifika områden som anges i bilaga I, inklusive:

• Offentlig upphandling
• Finansiella tjänster och förebyggande av penningtvätt
• Produktsäkerhet och efterlevnad
• Transportsäkerhet
• Miljöskydd
• Strålskydd och kärnsäkerhet
• Livsmedels- och fodersäkerhet, djurhälsa och djurskydd
• Folkhälsa
• Konsumentskydd
• Integritet och dataskydd (GDPR)
• EU:s finansiella intressen och konkurrens på den inre marknaden

Medlemsstaterna kan utvidga detta tillämpningsområde i sin nationella implementering. Många har gjort det för att omfatta ytterligare områden såsom nationell skattelagstiftning, arbetsrätt och korruption.

Intern, extern och offentlig rapportering

Direktivet fastställer ett trestegssystem för rapportering:

1. Intern rapportering — Genom organisationens egen rapporteringskanal. Direktivet uppmuntrar intern rapportering som det föredragna första steget när överträdelsen kan hanteras effektivt internt.
2. Extern visselblåsning — Till en behörig nationell myndighet. Rapporterande personer kan gå direkt till externa kanaler utan att först rapportera internt.
3. Offentliggörande — Som en sista utväg, när intern eller extern rapportering inte har resulterat i lämpliga åtgärder, eller i fall av överhängande fara eller irreversibel skada på det allmänna intresset.

Implementeringsfrister

Direktivet trädde i kraft den 16 december 2019. Medlemsstaterna var skyldiga att implementera det i nationell lagstiftning senast:

• 17 december 2021 — för alla bestämmelser som rör organisationer med 250 eller fler anställda
• 17 december 2023 — för bestämmelser som rör organisationer med 50–249 anställda

Alla EU-medlemsstater har nu implementerat direktivet, även om specifika krav varierar. EES-stater utanför EU (Norge, Island, Liechtenstein) har antagit motsvarande lagstiftning.

Hur Report Securely hjälper dig att uppfylla kraven

Report Securely är en digital visselblåsningsplattform byggd specifikt för att uppfylla EU-direktiv 2019/1937. Den adresserar direktivets krav direkt:

• Säkra, konfidentiella rapporteringskanaler tillgängliga via webben — uppfyller artikel 9(1)(a)
• Anonyma och konfidentiella rapporteringslägen — uppfyller artikel 16
• Mottagningsbekräftelse och uppföljningsspårning — uppfyller artikel 9(1)(b) och (f)
• Tilldelning av utsedd handläggare med revisionsspår — uppfyller artikel 9(1)(c)
• Stöd för 28 europeiska språk — säkerställer tillgänglighet för arbetstagare över gränserna
• Valfri hantering via partnerad advokatbyrå för oberoende, extern granskning av visselblåsningsrapporter
• AI-textomformulering för stylometrisk anonymisering — ytterligare identitetsskydd