EU:n ilmoittajansuojeludirektiivi: mitä jokaisen yrityksen tulee tietää

Jokaisen yksityisen yrityksen, jossa on vähintään 50 työntekijää, ja jokaisen julkisen sektorin yksikön koosta riippumatta on lain mukaan pidettävä yllä sisäistä ilmoituskanavaa direktiivin (EU) 2019/1937 mukaisesti — 7 päivän määräajalla ilmoitusten vastaanoton vahvistamiseen ja 3 kuukauden määräajalla niiden ratkaisemiseen.

Tärkeimmät huomiot

• Direktiiviä sovelletaan yksityisiin yrityksiin, joissa on vähintään 50 työntekijää, ja kaikkiin julkisen sektorin yksiköihin koosta riippumatta.
• Ilmoitukset on vahvistettava 7 päivän kuluessa ja niihin on annettava palaute viimeistään 3 kuukauden kuluessa.
• Direktiivi itsessään ei edellytä anonyymiä ilmoittamista, mutta useat kansalliset lait (Portugali, Saksa) sitä vaativat.
• Laiminlyönnin seuraamusten on oltava "tehokkaita, oikeasuhtaisia ja varoittavia" (23 artikla) — käytännössä tämä tarkoittaa sakkoja ja joissakin maissa rikosoikeudellista vastuuta vastatoimista.
• Jokainen jäsenvaltio on pannut direktiivin täytäntöön omilla erityispiirteillään — yleinen kanava ei riitä, jos se sivuuttaa paikalliset vaatimukset.

Ketä direktiivi koskee

Lokakuussa 2019 hyväksytty direktiivi (EU) 2019/1937 luo yhteisen eurooppalaisen vähimmäistason työhön liittyvässä yhteydessä havaittujen EU-oikeuden rikkomusten ilmoittajien suojelemiseksi. Sen soveltamisala on tarkoituksella laaja:

• Yksityiset yritykset, joissa on vähintään 50 työntekijää — kynnysarvo, joka kattaa valtaosan keskisuurista ja suurista yrityksistä.
• Kaikki julkisen sektorin yksiköt, mukaan lukien joissakin jäsenvaltioissa alle 10 000 asukkaan kunnat, ilman vähimmäishenkilöstömäärää.
• Tietyt säännellyt alat (rahoituspalvelut, liikenneturvallisuus, rahanpesun torjunta) jopa alle 50 työntekijän kynnysarvon, koska alakohtainen EU-lainsäädäntö edellytti jo ilmoitusmekanismeja.

Yritykset, joissa on 50–249 työntekijää, saivat useissa jäsenvaltioissa myöhemmän täytäntöönpanomääräajan, mutta tämä siirtymäaika on päättynyt lähes kaikkialla — vaatimustenvastaisuus ei ole enää kysymys "ei vielä", vaan todellinen oikeudellinen riski.

Kaksi lakisääteistä määräaikaa: 7 päivää ja 3 kuukautta

Tässä compliance-tiimit erehtyvät useimmin, koska kyse ei ole yhdestä määräajasta vaan kahdesta, jotka seuraavat toisiaan:

1. Vastaanoton vahvistaminen — organisaation on vahvistettava ilmoittajalle, että ilmoitus on vastaanotettu, 7 kalenteripäivän kuluessa.
2. Palaute ilmoituksesta — viimeistään 3 kuukauden kuluessa vahvistuksesta (ei alkuperäisestä jättämisestä), organisaation on annettava ilmoittajalle merkityksellinen palaute: mihin toimiin on ryhdytty tai aiotaan ryhtyä, ja miksi.

Kummankin määräajan laiminlyönti ei ole vain prosessivirhe — useimmissa täytäntöönpanoissa siitä voidaan rangaista itsenäisesti, ja se murentaa tärkeintä tekijää sen suhteen, käyttävätkö työntekijät todella sisäistä kanavaa sen sijaan, että he eskaloisivat asian suoraan valvontaviranomaiselle tai medialle: luottamusta siihen, että jotain tapahtuu.

Anonyymi ilmoittaminen: mitä direktiivi todella edellyttää

Direktiivi suojaa ilmoittajan henkilöllisyyden luottamuksellisuutta kaikissa tapauksissa — tästä ei tingitä. Jäsenvaltioiden harkintaan jää, onko organisaatioiden hyväksyttävä myös täysin anonyymejä ilmoituksia (joissa henkilöllisyyttä ei koskaan kerätä, ei edes organisaation sisällä).

• Portugali (Lei n.º 93/2021) ja Saksa (HinSchG) edellyttävät, että organisaatiot hyväksyvät ja käsittelevät anonyymejä ilmoituksia.
• Muut jäsenvaltiot jättävät sen valinnaiseksi mutta sallivat sen — ja käytännössä anonymiteetin tarjoaminen lisää merkittävästi ilmoitusten määrää, koska se poistaa suurimman vaikenemisen syyn: pelon tunnistetuksi tulemisesta.

Kanava, joka tukee vain luottamuksellista (ei anonyymiä) ilmoittamista, on vaatimustenmukainen joissakin maissa ja vaatimustenvastainen toisissa — mikä on välittömästi merkityksellistä jokaiselle useassa maassa toimivalle yritykselle.

Laiminlyönnin seuraamukset

Direktiivin 23 artikla edellyttää, että jäsenvaltiot säätävät "tehokkaita, oikeasuhtaisia ja varoittavia" seuraamuksia seuraaville:

• Luonnolliset tai oikeushenkilöt, jotka estävät tai yrittävät estää ilmoittamisen.
• Kaikki, jotka kohdistavat vastatoimia ilmoittajaan.
• Kaikki, jotka rikkovat velvollisuutta suojata ilmoittajan henkilöllisyyden luottamuksellisuutta.
• Organisaatiot, jotka eivät perusta tai ylläpidä vaadittua sisäistä kanavaa.

Tarkat summat vaihtelevat jäsenvaltioittain — jotkin asettavat kiinteät hallinnollisten sakkojen vaihteluvälit, toiset sitovat ne yrityksen liikevaihtoon, ja useat säätävät rikosoikeudellisesta vastuusta nimenomaan ilmoittajiin kohdistuvista vastatoimista. Kaikkialla yhteistä on, että "meillä ei ollut kanavaa" käsitellään raskauttavana seikkana, ei puolustuksena.

Kansalliset täytäntöönpanot lyhyesti

Kaikki jäsenvaltiot ovat panneet direktiivin täytäntöön, mutta yksityiskohdat eroavat — määräajat, anonymiteettivaatimukset ja seuraamusrakenteet eivät ole samat Lissabonista Helsinkiin. Muutamia esimerkkejä: Portugalin Lei n.º 93/2021, Saksan HinSchG, Ranskan Loi Waserman, Espanjan Ley 2/2023 ja Italian D.Lgs. 24/2023 lisäävät kukin paikallisia erityispiirteitä eurooppalaiseen perustaan. Yleinen kanava, joka on rakennettu abstraktia "EU-vaatimustenmukaisuutta" varten, jättää usein huomiotta ainakin yhden näistä paikallisista vaatimuksista — juuri sen aukon, jonka useille lainkäyttöalueille suunniteltu alusta täyttää.

Miten Vaelo auttaa sinua täyttämään vaatimukset minuuteissa, ei kuukausissa

Vaelo on isännöity ilmoitusalusta, joka on rakennettu erityisesti tämän direktiivin ja sen kansallisten täytäntöönpanojen ympärille. Se tarjoaa sinulle brändätyn, anonymiteettiin kykenevän ilmoituskanavan käyttöön minuuteissa — 7 päivän ja 3 kuukauden määräaikojen automaattisella seurannalla, kaksisuuntaisella anonyymillä viestinnällä ilmoittajan ja tutkijan välillä, salatulla todisteiden tallennuksella ja tapaustenhallinnan hallintapaneelilla, jota compliance-tiimisi voi todella käyttää määräaikojen paineessa, kaikilla EU:n 24 virallisella kielellä.

Usein kysytyt kysymykset

Mitä yrityksiä EU:n ilmoittajansuojeludirektiivi koskee? Jokaisen yksityisen organisaation, jossa on vähintään 50 työntekijää, sekä kaikkien julkisen sektorin yksiköiden koosta riippumatta on perustettava sisäinen ilmoituskanava direktiivin (EU) 2019/1937 mukaisesti.

Mikä on määräaika ilmoituksen vastaanottamisen vahvistamiselle? Organisaatioiden on vahvistettava ilmoituksen vastaanottaminen 7 päivän kuluessa ja annettava ilmoittajalle palautetta viimeistään 3 kuukauden kuluttua vahvistuksesta.

Edellyttääkö direktiivi anonyymiä ilmoittamista? Direktiivi itsessään jättää anonyymin ilmoittamisen EU-tasolla vapaaehtoiseksi, mutta useat kansalliset täytäntöönpanot (mm. Portugali ja Saksa) edellyttävät, että organisaatiot hyväksyvät anonyymit ilmoitukset ja suojaavat ilmoittajan henkilöllisyyden alusta loppuun.

Mitä tapahtuu, jos yritys ei noudata direktiiviä? 23 artikla edellyttää, että jäsenvaltiot säätävät tehokkaista, oikeasuhtaisista ja varoittavista seuraamuksista; käytännössä tämä vaihtelee hallinnollisista sakoista rikosoikeudelliseen vastuuseen ilmoittajiin kohdistuvista vastatoimista kansallisesta laista riippuen.