Skal I have en whistleblowerordning? Kravet ved 50 ansatte

Kort svar: har I 50 ansatte eller derover, skal I have en intern whistleblowerordning. Har I færre, er den frivillig.

Pligten kom i to trin. Virksomheder med 250 eller flere ansatte har været omfattet siden 17. december 2021. For 50-249 ansatte trådte den i kraft 17. december 2023.

Hvem tælles med

Loven taler om arbejdsgivere med 50 ansatte eller derover.

Her skylder vi et forbehold: selve optællingsmetoden — hvem der tælles med, og om deltidsansatte omregnes — fremgår ikke af lovteksten selv, og vi har ikke fundet den afklaret i en kilde, vi vil henvise til. Ligger I tæt på grænsen, er det et spørgsmål at stille en rådgiver, ikke et vi vil svare på her.

Det væsentlige for en virksomhed omkring grænsen er, at antallet har det med at vokse. Ligger I på 45, er det værd at vide, at pligten indtræder uden varsel og uden at nogen skriver til jer om det.

De to frister

Begge er hårde, og begge tælles fra bestemte begivenheder:

• Kvittering senest 7 dage efter I har modtaget indberetningen. Ikke syv hverdage — syv dage.
• Feedback senest 3 måneder efter kvitteringen. Feedback betyder besked om, hvad der er sket i sagen: hvad I har gjort, og hvad I agter at gøre.

Fristerne løber, uanset om nogen kigger i systemet. Det er derfor, en whistleblowerordning i praksis er en frist-motor og ikke en formular.

Hvem må læse indberetningerne

En upartisk person eller afdeling, som I selv udpeger. Det er jeres beslutning og jeres ansvar — det er ikke noget, en leverandør kan gøre for jer, og ingen software kan overtage det.

Det centrale ord er upartisk. Ejeren eller direktøren er sjældent det rigtige valg, fordi han selv kan være genstand for en indberetning. Opgaven må gerne lægges hos en ekstern tredjepart, fx en advokat eller en revisor.

Virksomheder med 50-249 ansatte må dele ressourcer om ordningen. To virksomheder i samme koncern eller samme branche kan altså gå sammen om den upartiske enhed.

Hvad medarbejderne skal have at vide

I skal informere om ordningen: at den findes, hvordan man bruger den, og hvad der sker bagefter. En ordning, ingen kender, opfylder ikke informationspligten.

Medarbejderne skal også vide, at de kan indberette eksternt til Datatilsynets whistleblowerordning i stedet for internt. Den mulighed kan I ikke fjerne — og det er faktisk et argument for at gøre den interne kanal god: en indberetning, der lander hos jer, kan I nå at håndtere selv.

Hvad sker der, hvis I ikke har en ordning

Loven har en bødebestemmelse. Det skal siges først, fordi vi andre steder på sitet afliver en bøde, der ikke findes — så skal vi også nævne dem, der findes. § 30 hjemler bøde til en arbejdsgiver, der ikke lever op til §§ 10-13 og § 16, hvilket reelt også dækker det tilfælde, hvor ordningen slet ikke er etableret. Selskabet kan straffes efter straffelovens kapitel 5.

Men: der er ikke et opsøgende tilsyn. Ingen myndighed kommer forbi og beder om at se jeres whistleblowerordning, sådan som Arbejdstilsynet gør med APV'en, og vi er ikke bekendt med offentliggjorte bødesager om manglende ordning. Det er forskellen på den her pligt og APV'en: hjemlen er der, håndhævelsen er reaktiv.

Risikoen udløses altså, når nogen har noget at indberette:

• En medarbejder, der ikke har en intern kanal, går direkte til den eksterne ordning eller til offentligheden. I mister muligheden for at håndtere sagen selv.
• Gengældelse mod en whistleblower — afskedigelse, degradering, ændrede vilkår — udløser godtgørelse efter § 28, og bevisbyrden er omvendt (§ 29): det er jer, der skal bevise, at foranstaltningen ikke var en reaktion på indberetningen.
• Den manglende ordning bliver et selvstændigt tema i sagen: I havde ikke det, loven krævede.

Med andre ord: pligten koster ingenting at opfylde, og den er kun billig, indtil den dag nogen har brug for den.

Anonymitet: et valg, ikke et krav

Loven kræver ikke, at ordningen kan modtage anonyme indberetninger. I må selv bestemme, om I vil tage imod dem.

Vi mener, I bør — og vi har en interesse i det, så vej argumentet derefter. Grunden er, at den indberetning, I helst vil have, er den, der aldrig bliver sendt, fordi afsenderen er bange. Beskyttelsen mod gengældelse er stærk på papiret, men den virker først, efter noget er sket.

Vælger I anonymitet, er der en teknisk konsekvens, det er værd at kende: systemet må så ikke logge IP-adresser eller andet, der kan pege tilbage på en person. Det er ikke en indstilling, man slår til bagefter — det skal være bygget sådan. Spørg jeres leverandør, hvordan de gør det, og bed om et konkret svar.