Rapporteringskanal: vem måste inrätta en och vad kräver lagen

I korthet

• En intern rapporteringskanal ska inrättas när antalet personer i anställnings- eller tjänsteförhållande till organisationen regelbundet är minst 50 (10 §).
• På en kanal som inrättats frivilligt tillämpas visselblåsarlagen med alla sina tidsfrister och skyldigheter (13 §).
• Mottagningsbekräftelsen ska lämnas inom sju dagar och informationen om de åtgärder som vidtas inom tre månader (15 och 16 §).
• Uppgifter raderas normalt fem år efter att rapporten kom in. Längre lagring kräver en grund enligt lagen; irrelevanta personuppgifter raderas utan dröjsmål (29 §).

Lagen om skydd för personer som rapporterar om överträdelser av EU-rätten och den nationella lagstiftningen (1171/2022), visselblåsarlagen, ålägger en organisation att inrätta en intern rapporteringskanal när antalet personer i anställnings- eller tjänsteförhållande till den regelbundet är minst 50. Skyldigheten sträcker sig längre än till att kanalen finns: lagen bestämmer hur en rapport ska kunna komma in, vem som handlägger den och inom vilken tid den rapporterande personen får svar. Den avgränsar också vilka frågor rapporterna ska gälla för att omfattas av lagen – avgränsningen är snävare än många antar.

Skyldigheten att inrätta en kanal börjar vid 50 personer

En intern rapporteringskanal ska enligt 10 § inrättas i organisationer där antalet personer i anställnings- eller tjänsteförhållande regelbundet är minst 50. Skyldigheten gäller bland annat de sammanslutningar som avses i 3 § 1 mom. 1, 2 och 4–6 punkten i handelsregisterlagen – aktiebolag, andelslag samt öppna bolag och kommanditbolag – och dessutom stiftelser, statens och kommunernas organisationer, välfärdsområden samt församlingar.

En organisation som inrättat en kanal ska ge de personer som står i anställnings- eller tjänsteförhållande till den möjlighet att rapportera via kanalen. Organisationen kan dessutom tillåta rapportering för andra personer, och detta är ett av besluten vid införandet: om kanalen är avsedd också för till exempel underleverantörer eller arbetssökande ska det framgå av kanalens anvisningar.

En frivillig kanal för med sig lagens skyldigheter

En organisation med färre än 50 personer kan inrätta en kanal genom eget beslut. Om den inrättar en intern rapporteringskanal för rapportering av överträdelser som hör till denna lags tillämpningsområde, tillämpas enligt 13 § det som föreskrivs i lagen på kanalen, på den interna rapporteringen och på skyddet av den rapporterande personen.

Beslutet om en frivillig kanal är alltså samtidigt ett beslut att ta på sig mottagningsbekräftelsen inom sju dagar, återkopplingen inom tre månader, utseendet av en handläggare, informationsskyldigheten och lagringstiden. Det är värt att veta på förhand, eftersom en kanal är lätt att öppna och tidsfristerna därefter löper av sig själva.

Lagen gäller överträdelser inom vissa områden, inte konflikter på arbetsplatsen

Tillämpningsområdet finns i 2 §. Lagen tillämpas på personer som rapporterar om överträdelser av EU-lagstiftningen eller den nationella lagstiftningen inom följande områden: offentlig upphandling; finansiella tjänster, produkter och marknader; förhindrande av penningtvätt och av finansiering av terrorism; produktsäkerhet och överensstämmelse med kraven; transportsäkerhet; miljöskydd; strål- och kärnsäkerhet; livsmedels- och fodersäkerhet samt djurs hälsa och välbefinnande; folkhälsa; konsumentskydd; skydd av privatlivet och personuppgifter samt säkerhet i nätverks- och informationssystem. Dessutom tillämpas lagen på rapporter om bland annat överträdelser som gäller EU-medel, understöd och statligt stöd, konkurrensregler, företagsbeskattning och sanktioner.

Utöver området avgör gärningens art. Lagen tillämpas på gärningar eller försummelser som är straffbelagda, som kan leda till en administrativ påföljd av straffkaraktär eller som allvarligt kan äventyra uppnåendet av lagstiftningens mål av allmänt intresse.

Alla personalärenden omfattas inte av visselblåsarlagen. En vanlig arbetstids- eller personaltvist omfattas inte i sig. Organisationen kan ändå ta emot den och hänvisa till HR eller arbetarskyddet. Bedöm innehållet innan det klassificeras: även en intern fråga kan gälla exempelvis personuppgiftsskydd och omfattas av lagen.

Handläggaren måste göra gränsdragningen för varje rapport. Fyra frågor räcker oftast:

1. Gäller iakttagelsen något av de områden som räknas upp i 2 § eller EU-medel, konkurrensregler, företagsbeskattning eller sanktioner? Om inte, handläggs rapporten enligt organisationens egna förfaranden.
2. Är det fråga om en gärning eller försummelse som är straffbelagd, som kan leda till en administrativ påföljd av straffkaraktär eller som allvarligt kan äventyra uppnåendet av lagstiftningens mål av allmänt intresse?
3. Har överträdelsen iakttagits i organisationens verksamhet? Den interna rapporteringens företräde i 7 § gäller just dessa iakttagelser.
4. Om punkterna 1–3 uppfylls handläggs rapporten enligt lagens förfarande: mottagningsbekräftelse inom sju dagar, nödvändig utredning och information om åtgärder inom tidsfristen i 16 §.

Gränsdragningen är värd att anteckna per rapport, eftersom den också förklarar varför en viss rapport överfördes till ett annat förfarande.

Den interna kanalen är den primära vägen

Den interna kanalen är den primära vägen för överträdelser i organisationens verksamhet (7 §), men behöver inte användas i alla situationer. Enligt 8 § kan extern rapportering ske exempelvis när intern kanal saknas eller rapportören har grundad anledning att befara repressalier eller att överträdelsen inte hanteras effektivt internt.

Personalen informeras också om justitiekanslersämbetets centraliserade externa kanal och villkoren för skydd. Skyddet beror inte på att misstanken slutligen visar sig riktig: vid rapporteringen ska personen ha grundad anledning att tro att informationen stämmer och omfattas av lagen (6 §).

Kanalens minimikrav finns i 15 §

I en intern rapporteringskanal ska det vara möjligt att rapportera skriftligt eller muntligt. Om muntlig rapportering är möjlig ska den kunna göras per telefon eller via något annat röstmeddelandesystem och, på den rapporterande personens begäran, vid ett personligt möte som ordnas inom skälig tid.

Den rapporterande personen ska få en mottagningsbekräftelse inom sju dagar från mottagandet av rapporten. Lagen ger mottagningsbekräftelsen sju dagar, så semesterperioder och vikariearrangemang hör till planeringen av kanalen.

Organisationen ska informera om rapportering till den interna rapporteringskanalen och till justitiekanslersämbetets centraliserade rapporteringskanal, om förfarandena vid rapportering och om förutsättningarna för skyddet av den rapporterande personen. Uppgifterna ska presenteras i tydlig form och så att de är lätt tillgängliga för de rapporterande personerna. Sekretessen finns i 32 §: den som vid handläggningen av rapporter har fått veta identiteten hos den rapporterande personen eller hos föremålet för rapporten eller någon annan uppgift av vilken identiteten kan härledas är skyldig att hemlighålla uppgiften. Om en rapport kommer in någon annan väg eller tas emot av någon annan än den som ansvarar för handläggningen, ska mottagaren hemlighålla de uppgifter som röjer identiteten och utan dröjsmål vidarebefordra rapporten i ursprunglig form till handläggaren.

Handläggaren utses och arbetar oberoende

En organisation som inrättat en kanal ska enligt 14 § utse en eller flera personer som ansvarar för handläggningen av rapporter och som ska kunna sköta sin uppgift opartiskt och oberoende. Endast de personer som organisationen utsett för uppgiften får handlägga rapporter. Organisationen kan dessutom utse de sakkunniga som behövs för att utreda om rapporten är riktig.

Oberoendet är en praktisk fråga när rapporten gäller handläggaren själv eller hens chef. I beslutet om utseende är det därför värt att på förhand avgöra vem som handlägger rapporten i dessa situationer.

Den som ansvarar för handläggningen ska enligt 16 § vidta nödvändiga åtgärder för att utreda om rapporten är riktig och vid behov för att ingripa i överträdelsen. Hen ska inom tre månader från det att mottagningsbekräftelsen lämnades ge den rapporterande personen information om vilka åtgärder som vidtas utifrån rapporten.

Kanalen kan enligt 11 § ordnas av en utomstående tjänsteleverantör, men organisationen ansvarar för att lagens skyldigheter uppfylls också då. Även tjänsteleverantören ska utse en person som ansvarar för handläggningen av rapporter (14 §).

Att ta emot anonyma rapporter är organisationens beslut

Organisationen kan enligt 17 § besluta att i den interna rapporteringskanalen ta emot också anonyma rapporter. Utifrån anonyma rapporter behöver ingen mottagningsbekräftelse lämnas och ingen information ges om de åtgärder som vidtas.

Anonymiteten påverkar alltså direkt vad som förväntas av kanalen. Om den rapporterande personen kan nås bara via kanalen går återkopplingen samma väg, och utredningen vilar på de kompletteringar som personen själv lämnar. Beslutet om anonyma rapporter hör till kanalens anvisningar, så att den rapporterande personen på förhand vet om hen får svar.

Huvudregeln för lagring är fem år

Personuppgifter om den rapporterande personen och om föremålet för rapporten får enligt 29 § behandlas bara av de personer som organisationen har utsett. Uppgifter som kommer in via rapporteringskanalerna ska raderas fem år efter det att rapporten kom in, om det inte är nödvändigt att bevara dem för att tillgodose rättigheter eller skyldigheter som föreskrivs i lag eller för att upprätta, framställa eller försvara rättsliga anspråk.

Samma paragraf förpliktar att utan obefogat dröjsmål radera de personuppgifter som uppenbart saknar betydelse för handläggningen av rapporten. I praktiken gäller detta uppgifter om utomstående och bilagor som följer med rapporten, så raderingen är en del av handläggningen, inte bara ett slut på lagringstiden.

Vad som beslutas vid införandet och vad personalen informeras om

Att öppna en kanal är en uppsättning beslut som är värda att fatta på en gång och anteckna:

• den tekniska lösningen: egen kanal eller en tjänsteleverantör som avses i 11 §;
• på vilka sätt en rapport kan göras skriftligt och muntligt, och hur ett begärt personligt möte ordnas;
• om anonyma rapporter tas emot (17 §);
• vilka andra än personer i anställnings- eller tjänsteförhållande som kan rapportera (10 §);
• vem som handlägger rapporterna, vilka som är utsedda sakkunniga och vem som handlägger en rapport som gäller handläggaren själv (14 §);
• hur de rapporter som kommer in i kanalen men faller utanför lagens tillämpningsområde styrs vidare;
• lagring och radering (29 §).

Informationen är en egen skyldighet i 15 §, och dess innehåll är uppräknat: rapportering till den interna rapporteringskanalen, rapportering till justitiekanslersämbetets centraliserade rapporteringskanal, förfarandena vid rapportering och förutsättningarna för skyddet av den rapporterande personen. Formen är bestämd som ett krav: uppgifterna presenteras i tydlig form och lätt tillgängligt för de rapporterande personerna. Anvisningen hör därför hemma på en plats som personalen hittar utan att logga in i kanalen, och den uppdateras när handläggaren eller kanalens adress byts.

Checklista

• Skyldigheten att inrätta en kanal är bedömd. Antalet personer i anställnings- eller tjänsteförhållande är regelbundet minst 50 (10 §), eller kanalen inrättas frivilligt och samma lag tillämpas på den (13 §).
• I kanalen kan man rapportera skriftligt eller muntligt och en muntlig rapport kan göras per telefon eller via något annat röstmeddelandesystem (15 §).
• Om kanalen tillåter muntlig rapportering ordnas ett personligt möte på begäran inom skälig tid (15 §).
• En person som ansvarar för handläggningen är utsedd och kan sköta sin uppgift opartiskt och oberoende (14 §).
• Endast utsedda personer handlägger rapporter; de sakkunniga som behövs för utredningen utses separat (14 §).
• Det är beslutat vem som handlägger en rapport som gäller handläggaren själv.
• Mottagningsbekräftelsen skickas inom sju dagar från mottagandet av rapporten (15 §).
• Information om de åtgärder som vidtas ges inom tre månader från det att mottagningsbekräftelsen lämnades (16 §).
• Beslutet om anonyma rapporter är fattat och det syns i kanalens anvisningar (17 §).
• Det är beslutat vilka andra än personer i anställnings- eller tjänsteförhållande som kan rapportera (10 §).
• Personalen är informerad om intern rapportering, om justitiekanslersämbetets centraliserade kanal, om förfarandena och om förutsättningarna för skyddet av den rapporterande personen, i tydlig form och lätt tillgängligt (15 §).
• Lagring och radering är avgjorda: uppgifterna raderas fem år efter det att rapporten kom in, om det inte finns en laglig grund för längre lagring. Irrelevanta personuppgifter raderas utan obefogat dröjsmål (29 §).