Whistleblowerlove efter land: Tyskland, Frankrig, Spanien og Portugal

EU's whistleblowerdirektiv fastsætter et fælles minimum, men den lov, der reelt gælder for din virksomhed, er den nationale lov, dit land brugte til at implementere den — og disse love adskiller sig i frister, tærskler og bøder. Den tyske HinSchG, den franske Loi Waserman, den spanske Ley 2/2023 og den portugisiske Lei n.º 93/2021 gennemfører alle direktiv (EU) 2019/1937, men et compliance-team, der opererer i mere end ét af disse lande, kan ikke bare anvende én generisk politik og antage, at den opfylder alle fire.

Vigtigste pointer

• Alle fire love deler samme EU-dækkende minimum: en intern indberetningskanal for enheder med 50 eller flere ansatte, fortrolighed om indberetterens identitet og et forbud mod repressalier.
• Frister og bødebeløb varierer efter land — Portugal bøder manglen på en intern kanal med op til 125.000 € for en virksomhed; Spanien bøder den fuldstændige mangel på enhver kanal med op til 1.000.000 €.
• Den tyske HinSchG (i kraft siden 2. juli 2023) og den franske Loi Waserman (i kraft siden 1. september 2022) går begge videre end EU-minimummet på specifikke punkter — Tyskland vedrørende anonyme indberetninger, Frankrig vedrørende hvem der tæller som en beskyttet "lanceur d'alerte".
• Spanien har oprettet en dedikeret myndighed, Autoridad Independiente de Protección del Informante (A.A.I.), mens Portugal håndhæver loven gennem Mecanismo Nacional Anticorrupção (MENAC).
• En koncern, der opererer i flere af disse lande, har brug for én kanal, der tilpasser sit workflow pr. jurisdiktion, i stedet for fire separate systemer.

Hvad direktivet kræver overalt

Direktiv (EU) 2019/1937 fastsatte en implementeringsfrist til 17. december 2021 for medlemsstaterne, med yderligere en overgangsperiode frem til 17. december 2023 for private enheder med 50-249 ansatte til at etablere deres interne kanal. Hver national lov arver tre grundlæggende forpligtelser: bekræfte modtagelsen af en indberetning inden for 7 dage, give indberetteren tilbagemelding inden for 3 måneder (forlængeligt til 6 i komplekse sager), og beskytte indberetterens identitet mod alle uden for dem, der behandler sagen. De fire lande adskiller sig i, hvor strengt dette håndhæves, hvad der tæller som en gyldig indberetning, og hvor hårdt manglende overholdelse straffes.

Tyskland: HinSchG — bredt anvendelsesområde, trinvise bøder

Hinweisgeberschutzgesetz (HinSchG) trådte i kraft den 2. juli 2023. Den kræver et internt indberetningskontor ("interne Meldestelle") for enhver privat arbejdsgiver med 50 eller flere ansatte, hvor virksomheder med 50-249 ansatte fik frist til 17. december 2023 til at efterleve kravene. Et særpræget træk ved den tyske lov er, at interne kanaler skal kunne modtage anonyme indberetninger, selvom arbejdsgivere ikke er forpligtet til aktivt at opfordre til dem. Repressalier eller hindring af en indberetning kan bødesanktioneres med op til 50.000 € for en ansvarlig person i henhold til § 40 HinSchG, og i henhold til § 30 OWiG kan denne grundbøde multipliceres op til ti gange — op til 500.000 € — når overtræderen er en virksomhed. En separat bøde på op til 20.000 € for blot at mangle en kanal trådte i kraft den 1. december 2023, efter udløbet af den indledende overgangsperiode.

Frankrig: Loi Waserman — kredsen af beskyttede personer er blevet markant udvidet

Lov nr. 2022-401 af 21. marts 2022, kendt som Loi Waserman, trådte i kraft den 1. september 2022 sammen med gennemførelsesdekretet af 3. oktober 2022. Den ændrer den tidligere Sapin II-ramme i stedet for at erstatte den fuldstændigt. Den mest markante ændring: en indberetter skal ikke længere handle "désintéressé" (uden personlig interesse) for at være beskyttet — god tro er nu tilstrækkeligt. Loven udvider også beskyttelsen til "facilitateurs" (kolleger, fagforeninger eller foreninger, der hjælper en indberetter) og til juridiske enheder forbundet med indberetteren. Tærsklen på 50 ansatte gælder for virksomheder samt for offentlige organer og kommuner med mere end 10.000 indbyggere. Sanktioner rammer hindring, ikke manglen på en kanal: at hindre en indberetning straffes med op til 1 års fængsel og en bøde på 15.000 € i henhold til artikel 13 i den ændrede Sapin II-lov, og et misbrugende eller forhalende ("bâillon") søgsmål mod en indberetter kan nu medføre en civil bøde på op til 60.000 €.

Spanien: Ley 2/2023 — de højeste bøder og en dedikeret myndighed

Ley 2/2023, de 20 de febrero, trådte i kraft den 13. marts 2023 og skabte, usædvanligt blandt de fire lande, en selvstændig tilsynsmyndighed: Autoridad Independiente de Protección del Informante, A.A.I., som driver den eksterne kanal og har sanktionsbeføjelser, herunder muligheden for at udelukke en ikke-efterlevende virksomhed fra offentlige kontrakter. Spaniens bødestruktur er den strengeste i gruppen: enheder, der slet ingen intern kanal har, eller som begår andre "muy graves"-overtrædelser, står over for bøder fra 600.001 € til 1.000.000 €. Tærsklen på 50 ansatte afspejler EU-minimummet, og virksomheder med 50-249 ansatte fik den samme EU-dækkende overgangsperiode.

Portugal: Lei n.º 93/2021 — den mest detaljerede bødeskala

Lei n.º 93/2021, de 20 de dezembro, trådte i kraft den 18. juni 2022. Den gælder for private enheder med 50 eller flere ansatte og for offentlige enheder uanset størrelse, og fastsætter de samme frister på 7 dage for bekræftelse og 3 måneder for løsning som EU-basen. Lovens artikel 27 inddeler overtrædelser i to niveauer med præcise bødeintervaller: "meget alvorlige" overtrædelser — herunder at hindre en indberetning, repressalier, brud på fortrolighed eller fuldstændig mangel på en ekstern kanal — medfører bøder fra 1.000 € til 25.000 € for en fysisk person eller 10.000 € til 250.000 € for en juridisk person; "alvorlige" overtrædelser, herunder blot manglen på en intern kanal, medfører bøder fra 500 € til 12.500 € for en fysisk person eller 1.000 € til 125.000 € for en juridisk person. Uagtsomhed og forsøg halverer begge den gældende maksimale bøde. Håndhævelsen varetages af Mecanismo Nacional Anticorrupção (MENAC).

Sådan hjælper Vaelo dig med at overholde reglerne i alle fire jurisdiktioner

At vedligeholde separate whistleblowersystemer per land er den mest almindelige måde, et compliance-team på tværs af lande spilder budget på og alligevel ender med huller — et hovedkontor udruller en politik, der opfylder HinSchG, men mangler beskyttelsen af facilitateurs under Loi Waserman, eller en spansk datterselskabs kanal videresender ikke indberetninger, som AAI forventer. Vaelo er bygget som én kanal, der tilpasser sig pr. jurisdiktion: hver forretningsenhed konfigureres med de bekræftelses- og løsningsfrister, opbevaringsregler og eskaleringsveje, der matcher landets implementering, mens dit compliance-team bevarer ét dashboard i stedet for fire adskilte værktøjer. Hvis du allerede har kortlagt de EU-dækkende forpligtelser, dækker vores overblik over EU's whistleblowerdirektiv det grundlag, som alle disse nationale love bygger på.

Ofte stillede spørgsmål

Håndhæver alle EU-lande de samme regler for whistleblowere? Nej. De deler samme minimum fastsat af direktiv (EU) 2019/1937 — tærskel på 50 ansatte, bekræftelse inden for 7 dage og et løsningsvindue på 3 måneder — men de nationale love afviger markant i bødebeløb, i hvem der kvalificerer til beskyttelse, og i hvilken myndighed der håndhæver reglerne.

Hvilket land har de højeste bøder for manglende overholdelse? Den spanske Ley 2/2023 fastsætter det højeste interval af de fire: fra 600.001 € til 1.000.000 € for enheder, der slet ingen kanal har, eller som begår andre "muy graves"-overtrædelser.

Skal en virksomhed med færre end 50 ansatte overholde reglerne? Generelt ikke, under nogen af de fire love, medmindre den opererer i en reguleret sektor (finansielle tjenesteydelser, for eksempel), hvor sektorspecifikke EU-regler kan sænke eller fjerne medarbejdertærsklen.

Kan én whistleblowerkanal opfylde alle fire lande på én gang? Ja, forudsat at kanalen er konfigureret pr. jurisdiktion — der afspejler hvert lands frister, opbevaringsregler og integrationer med myndigheden — i stedet for at anvende én generisk politik på alle datterselskaber.

Kræver direktivet anonym indberetning overalt? Nej. EU-direktivet overlader dette til medlemsstaterne. Den tyske HinSchG kræver eksplicit kanaler, der kan modtage anonyme indberetninger; de tre andre love i denne sammenligning kræver fortrolighed om identitet, men pålægger ikke universelt, at kanaler skal acceptere fuldstændigt anonyme indberetninger.