EU:s visselblåsardirektiv: vad varje företag måste veta

Varje privat företag med 50 eller fler anställda, och varje offentlig aktör oavsett storlek, är juridiskt skyldiga att driva en intern rapporteringskanal enligt direktiv (EU) 2019/1937 — med en frist på 7 dagar för att bekräfta mottagna rapporter och 3 månader för att lösa dem.

Det viktigaste i korthet

• Direktivet gäller privata företag med 50+ anställda och alla offentliga aktörer, oavsett storlek.
• Rapporter måste bekräftas inom 7 dagar och få återkoppling inom senast 3 månader.
• Anonym rapportering krävs inte enligt själva direktivet, men flera nationella lagar (Portugal, Tyskland) kräver det.
• Sanktioner vid bristande efterlevnad måste vara "effektiva, proportionerliga och avskräckande" (artikel 23) — i praktiken omfattar det böter och i vissa länder straffrättsligt ansvar för repressalier.
• Varje medlemsstat har genomfört direktivet med egna särdrag — en generisk kanal räcker inte om den ignorerar lokala krav.

Vem som måste följa direktivet

Direktiv (EU) 2019/1937, antaget i oktober 2019, fastställer en gemensam europeisk lägstanivå för att skydda personer som rapporterar överträdelser av EU-rätten som de har uppmärksammat i ett arbetsrelaterat sammanhang. Dess tillämpningsområde är medvetet brett:

• Privata företag med 50 eller fler anställda — tröskeln som omfattar merparten av medelstora och stora organisationer.
• Alla offentliga aktörer, i vissa medlemsstater inklusive kommuner med färre än 10 000 invånare, utan minsta antal anställda.
• Specifika reglerade sektorer (finansiella tjänster, transportsäkerhet, bekämpning av penningtvätt), även under tröskeln på 50 anställda, eftersom sektorsspecifik EU-lagstiftning redan krävde rapporteringsmekanismer.

Företag med 50 till 249 anställda gynnades i flera medlemsstater av en senare genomförandefrist, men denna övergångsperiod har nu löpt ut nästan överallt — bristande efterlevnad är inte längre en fråga om "inte än", utan en verklig juridisk risk.

De två lagstadgade fristerna: 7 dagar och 3 månader

Det är här compliance-team oftast gör fel, eftersom det inte handlar om en frist utan om två, som följer på varandra:

1. Bekräftelse av mottagande — organisationen måste bekräfta för anmälaren att rapporten har mottagits, inom 7 kalenderdagar.
2. Återkoppling om rapporten — senast 3 månader efter bekräftelsen (inte från det ursprungliga inlämnandet), måste organisationen ge anmälaren meningsfull återkoppling: vilka åtgärder som vidtagits eller planeras, och varför.

Att missa någon av dessa frister är inte bara ett processfel — i de flesta genomföranden kan det sanktioneras separat, och det urholkar den viktigaste faktorn för om anställda faktiskt använder den interna kanalen i stället för att eskalera direkt till en tillsynsmyndighet eller media: förtroendet för att något kommer att hända.

Anonym rapportering: vad direktivet faktiskt kräver

Direktivet skyddar konfidentialiteten för anmälarens identitet i alla fall — det är inte förhandlingsbart. Det som lämnas till medlemsstaternas bedömning är om organisationer även måste acceptera helt anonyma rapporter (där identiteten aldrig registreras, inte ens internt).

• Portugal (Lei n.º 93/2021) och Tyskland (HinSchG) kräver att organisationer accepterar och hanterar anonyma rapporter.
• Andra medlemsstater gör det frivilligt, men tillåter det — och i praktiken ökar möjligheten till anonymitet antalet rapporter betydligt, eftersom det tar bort den huvudsakliga anledningen till tystnad: rädslan för att bli identifierad.

En kanal som endast stödjer konfidentiell (inte anonym) rapportering är förenlig i vissa länder och inte i andra — vilket är omedelbart relevant för alla företag som verkar i flera länder.

Sanktioner vid bristande efterlevnad

Artikel 23 i direktivet kräver att medlemsstaterna fastställer sanktioner som är "effektiva, proportionerliga och avskräckande" mot:

• Fysiska eller juridiska personer som hindrar eller försöker hindra rapportering.
• Alla som vidtar repressalier mot en anmälare.
• Alla som bryter mot skyldigheten att skydda konfidentialiteten för en anmälares identitet.
• Organisationer som inte inrättar eller upprätthåller den obligatoriska interna kanalen.

De exakta beloppen varierar mellan medlemsstaterna — vissa fastställer fasta intervall för administrativa böter, andra kopplar dem till företagets omsättning, och flera föreskriver straffrättsligt ansvar specifikt för repressalier mot anmälare. Genomgående gäller att "vi hade ingen kanal" behandlas som en försvårande omständighet, inte som ett försvar.

Nationella genomföranden i korthet

Alla medlemsstater har genomfört direktivet, men detaljerna skiljer sig åt — frister, anonymitetskrav och sanktionsstrukturer är inte identiska från Lissabon till Helsingfors. Några exempel: Portugals Lei n.º 93/2021, Tysklands HinSchG, Frankrikes Loi Waserman, Spaniens Ley 2/2023 och Italiens D.Lgs. 24/2023 lägger var och en till lokala särdrag ovanpå den europeiska grunden. En generisk kanal, byggd för en abstrakt "EU-efterlevnad", missar ofta minst ett av dessa lokala krav — precis det gap som en plattform utformad för flera jurisdiktioner täcker.

Så hjälper Vaelo dig att uppfylla kraven på minuter, inte månader

Vaelo är en hostad rapporteringsplattform, byggd specifikt kring detta direktiv och dess nationella genomföranden. Du får en varumärkesanpassad, anonymitetskapabel rapporteringskanal igång på minuter — med de lagstadgade fristerna på 7 dagar och 3 månader automatiskt övervakade, tvåvägs anonym kommunikation mellan anmälare och utredare, krypterad lagring av bevis och en instrumentpanel för ärendehantering som ditt compliance-team faktiskt kan använda under tidspress, på alla 24 officiella EU-språk.

Vanliga frågor

Vilka företag måste följa EU:s visselblåsardirektiv? Varje privat organisation med 50 eller fler anställda, och alla offentliga aktörer oavsett storlek, måste inrätta en intern rapporteringskanal enligt direktiv (EU) 2019/1937.

Vad är fristen för att bekräfta mottagandet av en rapport? Organisationer måste bekräfta mottagandet av en rapport inom 7 dagar och ge återkoppling till anmälaren senast 3 månader efter denna bekräftelse.

Kräver direktivet anonym rapportering? Direktivet i sig gör anonym rapportering frivillig på EU-nivå, men flera nationella genomföranden (bland annat Portugal och Tyskland) kräver att organisationer accepterar anonyma rapporter och skyddar anmälarens identitet fullt ut.

Vad händer om ett företag inte följer direktivet? Artikel 23 kräver att medlemsstaterna fastställer effektiva, proportionerliga och avskräckande sanktioner; i praktiken sträcker sig detta från administrativa böter till straffrättsligt ansvar för repressalier mot anmälare, beroende på nationell lag.