Visselblåsarlagen vid 50 anställda - vad krävs?

När verksamheten når gränsen för visselblåsarlagen för 50 anställda uppstår ett konkret ansvar. Det räcker inte att säga att medarbetare alltid kan vända sig till sin chef eller HR. Arbetsgivaren ska ha en intern rapporteringskanal med en process som skyddar den rapporterande personen, hanterar känsliga uppgifter korrekt och ger återkoppling inom lagens tidsramar.

För många mindre och medelstora organisationer är själva kravet inte det svåra. Det svåra är att skapa en funktion som faktiskt inger förtroende när ett allvarligt ärende uppstår. Vem tar emot en rapport om ledningen? Hur bevaras anonymiteten? Vad händer om uppgifterna rör misstänkta lagöverträdelser, jäv eller allvarliga missförhållanden? En genomtänkt extern och juristledd funktion kan göra skillnaden mellan en trygg process och en situation som eskalerar i onödan.

Visselblåsarlagen vid 50 anställda: när gäller kravet?

Utgångspunkten är att privata arbetsgivare med 50 eller fler arbetstagare ska ha interna rapporteringskanaler och förfaranden för visselblåsning. Kravet gäller sedan den 17 december 2023 även för arbetsgivare i intervallet 50-249 arbetstagare. För större arbetsgivare började skyldigheten gälla tidigare.

Gränsen på 50 är enkel att uttrycka, men kan behöva bedömas noggrant i praktiken. Organisationer med deltidsanställda, tidsbegränsade anställningar, säsongsvariationer eller flera bolag i en koncern bör säkerställa hur antalet arbetstagare ska räknas i just deras situation. Det är klokt att inte vänta tills organisationen redan passerat gränsen eller ett känsligt ärende redan ligger på bordet.

Visselblåsarlagen gäller inte bara traditionella tillsvidareanställda. Skyddet kan även omfatta personer som söker arbete, tidigare arbetstagare, praktikanter, volontärer, konsulter och andra som fått information i ett arbetsrelaterat sammanhang. Därför behöver både kanal och information vara utformade för fler än den egna fasta personalen.

En kanal är mer än ett formulär

En intern rapporteringskanal ska göra det möjligt att rapportera skriftligt och muntligt. Den som rapporterar ska också kunna begära ett fysiskt möte inom rimlig tid. I praktiken väljer många arbetsgivare en digital kanal med möjlighet till anonym tvåvägskommunikation, kompletterad med en tydlig väg för muntlig rapportering.

Tekniken är dock bara en del av lösningen. Om en medarbetare misstänker ekonomiska oegentligheter hos en chef, trakasserier med koppling till en beslutsfattare eller ett allvarligt regelbrott, måste personen kunna lita på att rapporten inte hamnar hos någon med egenintresse i ärendet. En intern inkorg som bevakas av HR eller ledningen kan fungera i vissa situationer, men innebär också en uppenbar sårbarhet vid jäv och intressekonflikter.

Lagen kräver att de personer eller den enhet som hanterar rapporter är oberoende och självständiga. Det betyder inte att organisationen måste bygga upp en stor intern compliancefunktion. Däremot måste ansvar, behörigheter och beslutsvägar vara tydliga. Den som tar emot en rapport ska kunna göra en saklig första bedömning och vid behov se till att rätt personer kopplas in utan att sekretessen går förlorad.

Tidsfristerna behöver fungera i vardagen

När en rapport kommer in ska den rapporterande personen normalt få en bekräftelse på att rapporten tagits emot inom sju dagar. Återkoppling ska sedan lämnas inom tre månader. Återkopplingen behöver inte redovisa varje intern åtgärd eller känslig uppgift, men den ska visa att rapporten har hanterats och, när det är möjligt, beskriva vilka åtgärder som vidtagits eller planeras.

Detta ställer krav på mer än bevakning av en inkorg. Någon behöver kunna bedöma om rapporten omfattas av lagen, ställa följdfrågor, dokumentera handläggningen och hålla tidsfristerna. Vid anonym rapportering blir möjligheten till säker tvåvägskommunikation särskilt viktig. Utan den kan handläggaren sakna fakta som behövs för att gå vidare, samtidigt som visselblåsaren inte får veta att uppgifterna tagits på allvar.

Vilka ärenden hör hemma i visselblåsarfunktionen?

Visselblåsarfunktionen är till för rapporter om missförhållanden i ett arbetsrelaterat sammanhang där det finns ett allmänintresse av att de kommer fram. Det kan exempelvis handla om korruption, bokföringsbrott, miljöbrott, säkerhetsrisker, otillåtna personuppgiftsbehandlingar eller systematiska överträdelser av regler som skyddar kunder, patienter eller medarbetare.

Alla konflikter på arbetsplatsen är inte visselblåsarärenden. Missnöje med arbetsbelastning, en individuell lönetvist eller samarbetssvårigheter kan ofta hanteras bättre genom ordinarie chef, HR, skyddsombud eller arbetsrättsliga processer. Men gränsdragningen är inte alltid självklar. Ett enskilt klagomål kan peka på ett större och återkommande problem, och då kan det finnas ett allmänintresse.

Det är en anledning till att den första bedömningen bör göras av någon som förstår både lagens skydd och verksamhetens ansvar. Att avfärda ett ärende för snabbt riskerar att underminera förtroendet. Att behandla varje personalfråga som ett visselblåsarärende kan samtidigt skapa onödig administration och leda till att fel process används.

Sekretess och GDPR kräver en genomtänkt handläggning

Visselblåsarärenden innehåller ofta personuppgifter och ibland uppgifter som är särskilt känsliga. Det kan röra både den som rapporterar, den som pekas ut och personer som nämns som vittnen. Uppgifter ska därför bara vara tillgängliga för personer som behöver dem för att hantera ärendet.

En laganpassad lösning behöver ha tydliga behörigheter, säker datalagring och dokumenterade rutiner för gallring. GDPR innebär bland annat att personuppgifter inte ska sparas längre än nödvändigt. Organisationen behöver även informera om hur personuppgifter behandlas, utan att röja information som kan skada utredningen eller visselblåsarens skydd.

Sekretess handlar också om praktiska detaljer. Rapporten ska inte skickas runt i e-posttrådar, sparas i öppna personalmappar eller diskuteras i en för bred krets. Den som anklagas har rätt till en rättvis hantering, men det betyder inte att alla uppgifter ska lämnas ut omedelbart. Vad som kan kommuniceras och när beror på ärendets innehåll, utredningsläget och andra rättsliga skyldigheter.

Intern eller extern hantering - vad passar er?

En intern lösning kan vara rimlig för organisationer som har en tydlig, oberoende funktion med juridisk kompetens och kapacitet att hantera ärenden löpande. Det förutsätter dock att det finns en plan för rapporter som berör den vanliga mottagaren, HR-chefen, VD:n eller styrelsen. Det krävs också att handläggningen inte konkurrerar med andra akuta arbetsuppgifter.

En extern lösning kan minska riskerna för jäv och avlasta organisationen från den mest känsliga delen av processen. När externa jurister tar emot och bedömer rapporter får visselblåsaren en neutral kontaktväg, medan arbetsgivaren får stöd i att avgöra vad som ska utredas och hur återkoppling bör ges. Det kan vara särskilt värdefullt i verksamheter där rollerna är nära varandra och anonymitet annars är svår att upprätthålla.

Att lägga ut funktionen innebär inte att arbetsgivaren kan lämna ifrån sig sitt ansvar. Ledning eller styrelse behöver fortfarande se till att det finns rätt förutsättningar för åtgärder, att policy och information är aktuella och att allvarliga rapporter tas om hand. Däremot kan en extern partner skapa den distans och struktur som krävs när frågorna är som mest känsliga.

Visselblåsaren erbjuder en helt digital, extern och juristledd funktion där rapportering, anonym kommunikation och juridisk ärendehantering hålls samman. Det går att komma i gång utan tekniska integrationer, vilket gör att organisationen kan fokusera på sin verksamhet i stället för att bygga en egen process från grunden.

Så gör ni kravet praktiskt användbart

En visselblåsarfunktion ska vara känd innan den behövs. Medarbetare och andra berörda behöver få tydlig information om var de rapporterar, vilka typer av missförhållanden som kan omfattas, hur anonymitet fungerar och vad de kan förvänta sig efter en rapport. Informationen bör vara enkel att hitta och skriven på ett språk som människor förstår utan juridisk förkunskap.

Det behövs också en visselblåsarpolicy som beskriver ansvar, process, sekretess och hantering av personuppgifter. Policyn ska inte vara en hyllvärmare. Den ska stödja chefer, styrelse och handläggare när ett ärende kommer in, särskilt när tidspress, oro och motstridiga intressen gör situationen svår.

Till sist bör ansvariga öva på frågan: Vad gör vi om rapporten gäller oss själva? En funktion som fungerar även då ger medarbetare ett tydligt budskap - det finns en trygg väg att säga ifrån, och organisationen är beredd att lyssna. Det förtroendet byggs inte i efterhand. Det byggs genom en oberoende process som är klar långt innan den behöver användas.