Visselblåsarlagen (2021:890)
– Vad kräver lagen av ditt företag?
Den svenska visselblåsarlagen trädde i kraft den 17 december 2021 och ställer tydliga krav på hur företag och organisationer ska hantera visselblåsning. Om ni har 50 eller fler anställda är ni skyldiga att ha en fungerande rapporteringskanal och att skydda de som använder den.
Här får du en komplett genomgång av vad lagen innebär, vilka krav den ställer och hur du säkerställer att din organisation följer den.
Vad är visselblåsarlagen?
Visselblåsarlagen (lag 2021:890) är den svenska implementeringen av EU:s visselblåsardirektiv (2019/1937). Syftet är dubbelt: att göra det lättare att rapportera om missförhållanden och att stärka skyddet för dem som gör det.
Lagen gäller vid rapportering av information om missförhållanden i ett arbetsrelaterat sammanhang — det vill säga saker som personen fått kännedom om i sitt arbete. Det kan handla om allt från korruption och skatteflykt till brott mot miljölagstiftning, diskriminering eller allvarliga säkerhetsrisker.
Kraven gäller inte bara privata företag. Även kommuner, regioner och statliga myndigheter lyder under lagen.
Vem skyddas av lagen?
En vanlig missuppfattning är att visselblåsarlagen bara skyddar ordinäre anställda. Det stämmer inte. Lagen ger skydd åt ett brett spektrum av personer som är kopplade till en organisation i ett arbetsrelaterat sammanhang:
Anställda — tillsvidareanställda, visstidsanställda och provanställda
Konsulter och frilansare — inklusive uppdragstagare och egenföretagare
Praktikanter och volontärer
Styrelseledamöter och aktieägare som aktivt deltar i verksamheten
Tidigare anställda — som rapporterar om missförhållanden de fick kännedom om under sin anställning
Jobbsökande — som fått ta del av information under en rekryteringsprocess
Det avgörande är alltså inte anställningsform, utan att personen i fråga befinner sig i ett arbetsrelaterat beroendeförhållande gentemot organisationen.
Vilka företag omfattas och från när?
Lagen gäller alla arbetsgivare i Sverige, men kravet på att ha en formell intern rapporteringskanal är kopplat till företagets storlek:
250 eller fler anställda krav från 17 juli 2022
50–249 anställda krav från 17 december 2023
Färre än 50 anställda ännu ingen skyldighet att ha intern kanal men är ändå skyldiga att inte utsätta visselblåsare för repressalier. De behöver inte upprätta en formell rapporteringskanal.
Krav på intern rapporteringskanal
En intern rapporteringskanal är mer än ett mejl eller ett formulär. Lagen ställer specifika krav på hur kanalen ska vara utformad och hanteras.
Kanalen ska vara:
Säker och konfidentiell — den rapporterande personens identitet får inte röjas utan deras samtycke
Tillgänglig — alla medarbetare och berörda externa parter ska kunna använda den
Oberoende — administreras av en person eller funktion som är fri från intressekonflikter (t.ex. inte direkt chef för den person som rapporten gäller)
Hanteringen av rapporter:
Bekräftelse inom 7 dagar — organisationen ska bekräfta att rapporten tagits emot inom sju dagar
Återkoppling inom 3 månader — den rapporterande personen ska informeras om vilka åtgärder som vidtagits, eller planeras, med anledning av rapporten
Dokumentation — varje rapport ska dokumenteras och sparas på ett säkert sätt i enlighet med GDPR
Så hanteras en rapport: steg för steg
När en rapport kommer in via er rapporteringskanal ska ni följa en tydlig process:
Mottagning - rapporten tas emot av ansvarig person eller funktion
Bekräftelse - visselblåsaren får en bekräftelse inom 7 dagar
Bedömning - en initial bedömning görs: är rapporten tillräckligt underbyggd? Faller den inom lagens tillämpningsområde?
Utredning - om bedömningen är positiv inleds en utredning. Den ska vara objektiv och genomföras av en person utan intressekonflikt
Åtgärder - beroende på utredningens resultat vidtas lämpliga åtgärder
Återkoppling - visselblåsaren informeras om utfall och åtgärder inom 3 månader
Dokumentation - hela ärendet dokumenteras och arkiveras säkert
Kom ihåg: tystnad är inte ett alternativ. Att inte återkoppla eller att avfärda rapporten utan utredning kan i sig utgöra ett brott mot lagen.
Skydd mot repressalier
Kärnan i visselblåsarlagen är skyddet mot repressalier. Det vill säga negativa konsekvenser för den som rapporterar.
Förbjudna repressalier inkluderar bland annat:
Avskedande eller uppsägning
Degradering eller utebliven befordran
Ändrade arbetsuppgifter eller arbetstider
Negativa omdömen eller referenser
Utfrysning eller mobbning
Ekonomiska sanktioner
Skyddet gäller även om rapporten i efterhand visar sig vara felaktig. Det förutsätter att den rapporterande personen hade rimlig anledning att tro att informationen var korrekt vid rapporteringstillfället.
Om en arbetsgivare vidtar repressalier riskerar de skadeståndskrav från den drabbade personen.
Checklista: följer ni lagen?
Använd den här checklistan för att snabbt bedöma er nuvarande status:
Vi har en rapporteringskanal som uppfyller lagens krav
Kanalen är konfidentiell och säker
En oberoende person eller funktion ansvarar för att ta emot och hantera rapporter
Vi bekräftar mottagna rapporter inom 7 dagar
Vi återkopplar till visselblåsaren inom 3 månader
Alla rapporter dokumenteras i enlighet med GDPR
Våra medarbetare vet att kanalen finns och hur de använder den
Vi har rutiner för att utreda rapporter objektivt
Vi har tydliga riktlinjer mot repressalier
Vår visselblåsarpolicy är uppdaterad och kommunicerad
Missade ni några punkter? Vi hjälper er att komma på plats — snabbt och enkelt.
Vanliga frågor om visselblåsarlagen
-
Ja. Visselblåsarlagen gäller alla arbetsgivare i Sverige: privata företag, offentliga organisationer och ideella föreningar. Förutsatt att de har 50 eller fler anställda.
-
Om er organisation inte har en fungerande rapporteringskanal eller vidtar repressalier mot en visselblåsare riskerar ni skadeståndskrav. Det finns i nuläget inga direkta böter för att sakna en kanal, men den civilrättsliga risken är betydande.
-
Nej. Ni kan hantera rapporteringskanalen internt, till exempel via HR eller juridisk avdelning. Men för att garantera konfidentialitet och oberoende väljer många organisationer att anlita en extern tjänst. Det minskar också risken för intressekonflikter.
-
Ja. Lagen kräver inte att visselblåsaren identifierar sig, och er rapporteringskanal bör erbjuda möjlighet till anonym rapportering. Tänk på att det kan försvåra utredningsarbetet om ni inte kan ställa följdfrågor.
-
Lagen täcker missförhållanden som strider mot EU-rätt eller svensk lag, och som det finns ett allmänintresse av att de kommer fram. Det inkluderar bland annat: korruption, skattefusk, miljöbrott, allvarliga säkerhetsrisker, diskriminering och trakasserier.
-
Det finns ingen specifik lagreglerad tid för just visselblåsarrapporter, men GDPR:s principer om att inte spara personuppgifter längre än nödvändigt gäller. En vanlig praxis är att spara ärenden i 5 år efter att de avslutats, men detta bör fastställas i er dataskyddspolicy.
-
Ja, förutsatt att den rapporterande personen hade rimlig anledning att tro att informationen var korrekt. Den som medvetet rapporterar falsk information omfattas däremot inte av lagens skydd.
Vill ni veta mer om lagen?
Visserblåsarlagen utgår från EU:s visselblåsardirektiv och syftar till att både underlätta och uppmuntra till visselblåsning samt stärka skyddet för visselblåsare. Lagen gäller vid rapportering av information om missförhållanden i ett arbetsrelaterat sammanhang som det finns ett allmänintresse av att det kommer fram.
Läs lagen här