Visselblåsarlagar per Land: Tyskland, Frankrike, Spanien och Portugal

EU:s visselblåsardirektiv fastställer en gemensam lägstanivå, men lagen som faktiskt gäller för ditt företag är den nationella lag som ditt land använde för att införliva den — och dessa lagar skiljer sig åt vad gäller tidsfrister, tröskelvärden och böter. Tyska HinSchG, franska Loi Waserman, spanska Ley 2/2023 och portugisiska Lei n.º 93/2021 införlivar alla direktiv (EU) 2019/1937, men ett compliance-team som verkar i mer än ett av dessa länder kan inte bara tillämpa en generisk policy och anta att den uppfyller alla fyra.

Viktigaste slutsatserna

• Alla fyra lagar delar samma EU-omfattande lägstanivå: en intern rapporteringskanal för enheter med 50 eller fler anställda, konfidentialitet för visselblåsarens identitet och ett förbud mot repressalier.
• Tidsfrister och bötesbelopp skiljer sig åt per land — Portugal bötfäller avsaknad av en intern kanal med upp till 125 000 € för ett företag; Spanien bötfäller total avsaknad av någon kanal alls med upp till 1 000 000 €.
• Tyska HinSchG (i kraft sedan 2 juli 2023) och franska Loi Waserman (i kraft sedan 1 september 2022) går båda längre än EU-minimum i specifika avseenden — Tyskland gällande anonyma rapporter, Frankrike gällande vem som räknas som en skyddad "lanceur d'alerte".
• Spanien har inrättat en dedikerad tillsynsmyndighet, Autoridad Independiente de Protección del Informante (A.A.I.), medan Portugal tillämpar lagen via Mecanismo Nacional Anticorrupção (MENAC).
• En koncern som verkar i flera av dessa länder behöver en enda kanal som anpassar sitt arbetsflöde per jurisdiktion, inte fyra separata system.

Vad direktivet kräver överallt

Direktiv (EU) 2019/1937 fastställde en införlivandefrist till den 17 december 2021 för medlemsstaterna, med en ytterligare övergångsperiod fram till den 17 december 2023 för privata enheter med 50-249 anställda att inrätta sin interna kanal. Varje nationell lag ärver tre grundläggande skyldigheter: bekräfta mottagandet av en rapport inom 7 dagar, ge visselblåsaren återkoppling inom 3 månader (förlängningsbart till 6 i komplexa fall), och skydda visselblåsarens identitet från alla utanför dem som hanterar ärendet. De fyra länderna skiljer sig åt i hur strikt detta tillämpas, vad som räknas som en giltig rapport, och hur hårda böterna är för bristande efterlevnad.

Tyskland: HinSchG — brett tillämpningsområde, graderade böter

Hinweisgeberschutzgesetz (HinSchG) trädde i kraft den 2 juli 2023. Den kräver ett internt rapportmottagningskontor ("interne Meldestelle") för varje privat arbetsgivare med 50 eller fler anställda, där företag med 50-249 anställda fick tid fram till den 17 december 2023 att uppfylla kraven. Ett utmärkande drag hos den tyska lagen är att interna kanaler måste kunna ta emot anonyma rapporter, även om arbetsgivare inte är skyldiga att aktivt uppmuntra dem. Repressalier eller hindrande av en rapport kan bötfällas med upp till 50 000 € för en ansvarig person enligt § 40 HinSchG, och enligt § 30 OWiG kan denna grundbot multipliceras upp till tio gånger — upp till 500 000 € — när överträdaren är ett företag. En separat bot på upp till 20 000 € enbart för avsaknad av kanal trädde i kraft den 1 december 2023, efter att den inledande övergångsperioden löpt ut.

Frankrike: Loi Waserman — kretsen av skyddade personer utökades avsevärt

Lag nr 2022-401 av den 21 mars 2022, känd som Loi Waserman, trädde i kraft den 1 september 2022 tillsammans med dess tillämpningsdekret av den 3 oktober 2022. Den ändrar det tidigare Sapin II-ramverket i stället för att ersätta det helt. Dess viktigaste förändring: en visselblåsare behöver inte längre agera "désintéressé" (utan personligt intresse) för att vara skyddad — god tro räcker nu. Lagen utvidgar också skyddet till "facilitateurs" (kollegor, fackförbund eller föreningar som hjälper en visselblåsare) och till juridiska personer kopplade till visselblåsaren. Tröskeln på 50 anställda gäller företag samt offentliga organ och kommuner med fler än 10 000 invånare. Sanktionerna riktar sig mot hindrande, inte avsaknad av kanal: att hindra en rapport bestraffas med upp till 1 års fängelse och böter på 15 000 € enligt artikel 13 i den ändrade Sapin II-lagen, och en missbrukande eller fördröjande ("bâillon") rättsprocess mot en visselblåsare kan nu medföra ett civilrättsligt bötesbelopp på upp till 60 000 €.

Spanien: Ley 2/2023 — de högsta böterna och en dedikerad myndighet

Ley 2/2023, de 20 de febrero, trädde i kraft den 13 mars 2023 och skapade, ovanligt bland de fyra länderna, en fristående tillsynsmyndighet: Autoridad Independiente de Protección del Informante, A.A.I., som driver den externa kanalen och har sanktionsbefogenheter, inklusive möjligheten att utesluta ett icke-efterlevande företag från offentlig upphandling. Spaniens bötesstruktur är den strängaste i gruppen: enheter som helt saknar en intern kanal, eller som begår andra "muy graves"-överträdelser, riskerar böter från 600 001 € till 1 000 000 €. Tröskeln på 50 anställda återspeglar EU-minimum, och företag med 50-249 anställda fick samma EU-omfattande övergångsperiod.

Portugal: Lei n.º 93/2021 — den mest detaljerade bötesskalan

Lei n.º 93/2021, de 20 de dezembro, trädde i kraft den 18 juni 2022. Den gäller privata enheter med 50 eller fler anställda och offentliga enheter oavsett storlek, och fastställer samma tidsfrister — 7 dagar för bekräftelse och 3 månader för lösning — som EU:s grund. Artikel 27 i lagen delar in överträdelser i två nivåer med exakta bötesintervall: "mycket allvarliga" överträdelser — inklusive hindrande av en rapport, repressalier, brott mot konfidentialitet eller total avsaknad av en extern kanal — medför böter från 1 000 € till 25 000 € för en fysisk person eller 10 000 € till 250 000 € för en juridisk person; "allvarliga" överträdelser, inklusive enbart avsaknad av en intern kanal, medför böter från 500 € till 12 500 € för en fysisk person eller 1 000 € till 125 000 € för en juridisk person. Både oaktsamhet och försök halverar den tillämpliga maxboten. Tillsynen sköts av Mecanismo Nacional Anticorrupção (MENAC).

Så hjälper Vaelo dig att efterleva reglerna i alla fyra jurisdiktioner

Att upprätthålla separata visselblåsarsystem per land är det vanligaste sättet ett flerlands-compliance-team slösar budget på och ändå slutar med luckor — ett huvudkontor rullar ut en policy som uppfyller HinSchG men missar skyddet för facilitateurs enligt Loi Waserman, eller så dirigerar en spansk dotterbolagskanal inte rapporter så som AAI förväntar sig. Vaelo är byggt som en enda kanal som anpassar sig per jurisdiktion: varje affärsenhet konfigureras med de bekräftelse- och lösningsfrister, bevarranderegler och eskaleringsvägar som matchar dess lands införlivande, medan ditt compliance-team behåller en enda instrumentpanel istället för fyra frikopplade verktyg. Om du redan har kartlagt de EU-omfattande skyldigheterna täcker vår översikt över EU:s visselblåsardirektiv den grund som alla dessa nationella lagar bygger på.

Vanliga frågor

Tillämpar alla EU-länder samma regler för visselblåsare? Nej. De delar samma lägstanivå som fastställs av direktiv (EU) 2019/1937 — tröskel på 50 anställda, bekräftelse inom 7 dagar och ett lösningsfönster på 3 månader — men de nationella lagarna skiljer sig markant åt vad gäller bötesbelopp, vem som kvalificerar för skydd, och vilken myndighet som tillämpar reglerna.

Vilket land har de högsta böterna för bristande efterlevnad? Spanska Ley 2/2023 fastställer det högsta intervallet av de fyra länderna: från 600 001 € till 1 000 000 € för enheter som helt saknar en kanal eller begår andra "muy graves"-överträdelser.

Måste ett företag med färre än 50 anställda efterleva reglerna? I allmänhet inte, enligt någon av de fyra lagarna, såvida det inte verkar i en reglerad sektor (till exempel finansiella tjänster) där sektorsspecifika EU-regler kan sänka eller ta bort tröskeln för antal anställda.

Kan en enda visselblåsarkanal uppfylla kraven i alla fyra länder samtidigt? Ja, förutsatt att kanalen är konfigurerad per jurisdiktion — och återspeglar varje lands tidsfrister, bevarranderegler och integrationer med myndigheten — istället för att tillämpa en generisk policy på alla dotterbolag.

Kräver direktivet anonym rapportering överallt? Nej. EU-direktivet lämnar detta åt medlemsstaterna. Tyska HinSchG kräver uttryckligen kanaler som kan ta emot anonyma rapporter; de tre andra lagarna i denna jämförelse kräver konfidentialitet för identiteten men föreskriver inte universellt att kanaler måste acceptera helt anonyma inlämningar.