Visselblåsarlagen: skyldigheterna på fem minuter

Vem omfattas av visselblåsarlagen?

Visselblåsarlagen, formellt lag (2021:890) om skydd för personer som rapporterar om missförhållanden, genomförde EU:s visselblåsardirektiv (EU) 2019/1937 och trädde i kraft den 17 december 2021. Lagen gäller rapportering i ett arbetsrelaterat sammanhang av information om missförhållanden som det finns ett allmänintresse av att de kommer fram, exempelvis korruption, ekonomiska oegentligheter, hälsorisker eller brott i verksamheten.

Skyddet gäller fler än de anställda: även exempelvis hyrd personal, konsulter, volontärer och praktikanter omfattas i relevanta delar. Det är en poäng värd att ta på allvar, eftersom de personer som ofta ser mest också ofta står utanför den ordinarie organisationen, och därför sällan vet vart en signal ska ta vägen om ni inte berättar det.

Tröskeln på 50 anställda bedöms utifrån personalstyrjan vid ingången av kalenderåret, och deltids- och tidsbegränsat anställda räknas in. En organisation som växer över tröskeln behöver ha rutinen på plats, kanalen ska finnas när skyldigheten uppstår, inte först när den första rapporten gör det. Räkna därför in tillväxt i planeringen, i stället för att låta frågan komma tillbaka av sig själv vid varje organisationsändring.

Vilka rapporteringskanaler kräver lagen?

Arbetsgivare med minst 50 anställda måste ha en intern rapporteringskanal. Kanalen ska vara utformad så att rapportering kan ske både skriftligt och muntligt och, om så begärs, vid ett fysiskt möte inom en skälig tid. Rapporterna ska hanteras av en oberoende och självständig person eller enhet, och kanalerna och förfarandena ska dokumenteras skriftligen. Privata arbetsgivare med 50 till 249 anställda får dessutom dela mottagandet av rapporter och utredningen med varandra. Rapportering via externa kanaler, hos myndigheter som regeringen utsett som behöriga, exempelvis Arbetsmiljöverket eller IMY, ska alltid vara ett alternativ, oberoende av arbetsgivarens storlek.

För arbetsgivare under 50 anställda gäller kanalskyldigheten inte, men skyddsreglerna gör det: en rapport som kommer in via andra vägar omfattas av samma skydd. Det är därför en rimlig miniminivå även för mindre organisationer att ha tänkt igenom var en signal skulle ta vägen, hellre före än mitt i ett pågående ärende.

En kanal som ingen känner till uppfyller inte sitt syfte, vilket är skälet till att informationen till personalen hör till upplägget. Gör kanalen synlig i introduktionen för nyanställda och i den ordinarie internkommunikationen, en engångsinformation vid införandet räcker sällan, eftersom personalstyrjan förnyas snabbare än man tror.

Vilka tidsfrister gäller när en rapport kommer in?

Här är tidsplanerna konkreta och lätta att granska i efterhand:

• Ta emot och bekräfta, en bekräftelse på att rapporten är mottagen ska ges senast inom sju dagar från mottagandet (5 kap. 8 §).
• Utred och återkoppla, återkoppling om åtgärderna vid uppföljningen, i skälig utsträckning, ska ges inom tre månader från bekräftelsen.
• Bevara sekretessen, den som hanterar ärendet får inte obehörigen röja uppgifter som kan avslöja den rapporterande personens identitet eller någon annans som förekommer i ärendet.
• Dokumentera, kanalerna och förfarandena ska dokumenteras skriftligen, och i privat verksamhet får rapporterna bevaras högst två år efter att ärendet har avslutats.

Vilket skydd mot repressalier ger lagen?

Lagen förbjuder repressalier och hindrande åtgärder mot den som rapporterar: uppsägning, nedgradering, trakasserier, uteslutning och motsvarande åtgärder räknas in. Skyddet omfattar också personer som bistår vid rapporteringen eller har koppling till den rapporterande, exempelvis en kollega eller facklig representant. Skyddet gäller när den som rapporterar hade skälig anledning att anta att informationen var sann, även om misstanken senare inte kan styrkas, gränsen går vid medvetet felaktiga uppgifter, inte vid ogrundade misstankar. Vid en tvist ligger bevisbördan på arbetsgivaren, som ska visa att inga repressalier har vidtagits.

För organisationen är förbudet en praktisk instruktion: signaler ska tas på allvar och hanteras i kanalen, inte utanför den. Hur ansvaret ligger på den som leder verksamheten tar vi upp i genomgången om chefsansvar för regelverk.

Rutinerna kring skyddet behöver också nå vardagen: ledning och chefer ska veta vad som gäller när en möjlig repressalie kan diskuteras i ett ärende om omorganisation eller uppsägning. Det är i sådana beslut, långt efter själva rapporteringen, som skyddet i praktiken sätts på prov.

Så kommer organisationen igång

Uppdraget består av tre delar: en kanal som faktiskt fungerar och är känd, en rutin för hanteringen med tydliga tidsplaner och ansvarsfördelning, och kunskap hos cheferna, som är de första att ta emot signaler i vardagen. Utan det tredje blir kanalen en låda som ingen skriver i, tilliten bygger på att rapportering leder till något.

Börja med en ärlig nulägesbild: finns kanalen, vet personalen om den, finns rutinen dokumenterad med tidsplaner och ansvarsfördelning, och har någon faktiskt tränats i att använda den? Fyra frågor, och de flesta organisationer hittar minst en lucka. Luckorna är billiga att täcka i förväg och dyra att upptäcka i efterhand.

Skyldigheterna av den här typen, fasta tidsplaner, dokumentation, uppföljning, hör hemma i strukturen snarare än i enskilda personers minnen. I byggguiden för en compliancekalender beskriver vi hur den typen av återkommande skyldigheter får fast plats och uppföljning.

Arbetsmiljöverket har tillsynen över de interna rapporteringskanalerna och sammanfattar vad lagen kräver av arbetsgivare. För resten gäller samma mönster som i hela compliancearbetet: någon behöver hålla koll på källorna, och det är den uppgiften LawCrawl är byggd för, bevakning som tydliggör ändringar innan de hinner bli överraskningar.