En dansk whistleblowerordning skal beskytte både indberetterens identitet, den berørte person og andre personer, som nævnes i sagen. En fælles HR-indbakke med bred adgang er derfor ikke nødvendigvis en egnet ordning. Adgang, videregivelse, opfølgning og opbevaring skal indrettes efter den konkrete whistleblowerlovgivning og databeskyttelsesreglerne.
Denne guide fokuserer på en intern ordning på en privat arbejdsplads, som er forpligtet til at etablere den efter whistleblowerloven. Den gennemgår de danske frister, identitetsbeskyttelsen og et udfyldt eksempel på, hvordan en alvorlig indberetning behandles uden at blive kopieret ukontrolleret ud til ledelsen.
Afklar, hvilken ordning og hvilke forhold loven dækker
Lov om beskyttelse af whistleblowere omfatter bestemte EU-retlige overtrædelser samt alvorlige lovovertrædelser og øvrige alvorlige forhold. Den indeholder også undtagelser. En almindelig uenighed om en vagtplan er ikke automatisk en whistleblowersag, mens eksempelvis grov chikane eller alvorlige sikkerhedsforhold kan kræve en anden vurdering.
Arbejdsgivere med 50 eller flere ansatte er som udgangspunkt omfattet af pligten til en intern ordning, med relevante særregler. Den officielle vejledning for private arbejdspladser forklarer blandt andet opgørelse, personkreds, organisering og håndtering af indberetninger.
Whistleblowerlovens § 22 giver grundlag for nødvendig behandling af personoplysninger i en ordning oprettet i henhold til loven. Vejledningen præciserer, at en mindre arbejdsplads, der frivilligt opretter en ordning uden at være forpligtet, ikke automatisk kan anvende denne bestemmelse. Den må undersøge de faktisk anvendelige grundlag, herunder grænserne for følsomme oplysninger.
Et systemnavn som »whistleblowerportal« dokumenterer derfor ikke det retlige grundlag. Vurder ordningens status og indhold, før der åbnes for kategorier af indberetninger. Se behandlingsgrundlag efter artikel 6 og følsomme oplysninger efter artikel 9 for den almindelige ramme, som ikke erstattes i sin helhed af særloven.
Udpeg en upartisk funktion med begrænset adgang
Loven kræver en upartisk person eller afdeling til modtagelse, kontakt, opfølgning og feedback. Opgaver kan under betingelserne varetages af en ekstern aktør. Arbejdsgiveren skal stadig sikre, at organiseringen opfylder kravene og kan håndtere en indberetning om personer højt i organisationen.
Hvis den normale modtager selv er berørt, skal en alternativ kompetent funktion kunne tage sagen. En ordning, hvor alle indberetninger automatisk går til den direktør, som sagen kan handle om, skaber et åbenlyst problem med upartiskhed og fortrolighed.
Adgang bør følge den konkrete opgave. Tekniske driftsadgange skal begrænses og beskyttes, men loven kræver ikke nødvendigvis en bestemt kommerciel portal. En valgt løsning skal i praksis forhindre uautoriseret adgang til både indhold og identitetsoplysninger. Sikkerhedsforanstaltninger efter artikel 32 hjælper med at beskrive kontrollerne.
Identiteten kan fremgå indirekte
Whistleblowerens navn er kun én mulig identifikator. Et bilag kan vise forfatter, arbejdssted, et unikt mødetidspunkt eller en rolle, som kun én medarbejder har. § 26 beskytter også oplysninger, som direkte eller indirekte gør identiteten udledelig.
Det er derfor utilstrækkeligt at fjerne navnet fra en mail og derefter sende resten til en hel ledergruppe. Undersøg konteksten, vedhæftninger, citater og dokumentegenskaber. En oversigt med »medarbejderen på nattevagten tirsdag« kan afsløre lige så meget som et navn, hvis kun én person var på arbejde.
Adskil også fortrolighed fra anonymitet. En ordning kan kende indberetterens identitet og have pligt til at beskytte den. Mulighed for anonym indberetning er efter den private vejledning et valg; hvis virksomheden tilbyder den, skal den forklare funktion og praktiske begrænsninger. Et løfte om fuldstændig teknisk anonymitet bør ikke gives uden dokumentation.
Udfyldt eksempel: indberetning om sikkerhedsbrister
Den fiktive virksomhed Hedeværk har 120 ansatte og en intern ordning etableret efter loven. En medarbejder indberetter den 8. september 2026 mulige alvorlige fejl i sikkerhedskontrollen af bestemte leverancer. Bilagene indeholder både relevante arbejdsdokumenter og en intern besked, hvor indberetterens identitet kan udledes.
| Kontrolpunkt | Udfyldt beslutning i Hedeværk |
|---|---|
| Modtagelse | Registreres i den adgangsbegrænsede whistleblowersag |
| Første afgrænsning | Undersøgelse af, om de beskrevne alvorlige forhold er omfattet |
| Habilitet | Den omtalte afdelingschef får ikke adgang til indberetningen som sagsmodtager |
| Identitet | Opbevares med særskilt begrænset adgang, inklusive indirekte identificerende bilag |
| Faktuel undersøgelse | Kontrol af de angivne leverancer og relevante godkendelsesregistreringer |
| Ledelsesinformation | Afgrænset beskrivelse af sikkerhedsproblemet uden unødvendig afsløring af indberetter |
| Opfølgning | Autoriseret enhed dokumenterer undersøgelser og nødvendige næste skridt |
| Opbevaring | Vurderes ved sagens udvikling og afslutning; ingen automatisk standard på flere år |
Virksomheden kan godt have behov for teknisk hjælp til at undersøge leverancerne. Den tekniske specialist får imidlertid en afgrænset opgave med de oplysninger, vedkommende behøver. Specialisten modtager ikke automatisk den fulde indberetning og alle private eller identificerende detaljer.
Enheden markerer påstande som oplysninger, der skal undersøges. De registreres ikke som fastslåede overtrædelser, blot fordi de er indberettet. Nye oplysninger og den berørte persons forklaring skal kunne indgå i en saglig undersøgelse.
Syv dage og tre måneder ved intern indberetning
Den interne ordning skal give bekræftelse på modtagelsen inden for syv dage. Feedback skal gives hurtigst muligt og senest tre måneder fra bekræftelsen. Det er feedback om opfølgning og begrundelsen for den; fristen er ikke et generelt krav om, at enhver undersøgelse skal være endeligt afsluttet inden tre måneder.
I Hedeværks eksempel bekræftes modtagelsen den 10. september. Den seneste feedbackdato bliver dermed den 10. december, og enheden planlægger at give relevant feedback tidligere, når det er muligt. Fristen må ikke udskydes, fordi ledelsen endnu ikke har besluttet alle konsekvenser af undersøgelsen.
Regler for eksterne ordninger er ikke identiske. En mulighed for seks måneder i bestemte eksterne situationer må ikke importeres til virksomhedens interne ordning. Læg de interne frister ind i et kontrolleret forløb med en stedfortræder ved fravær.
Feedback skal samtidig respektere fortrolighed og andre personers rettigheder. Enheden kan beskrive relevante undersøgelsesskridt uden at udlevere alle vidneudsagn eller private personaleforhold. Et rent autosvar om »sagen er modtaget« kan ikke erstatte den senere nødvendige feedback om opfølgningen.
Mundtlig indberetning kræver ordentlig dokumentation
§ 24 giver mulighed for at dokumentere en mundtlig samtale eller et møde ved optagelse med whistleblowerens samtykke eller ved et nøjagtigt referat, som personen kan kontrollere, rette og acceptere ved underskrift. Telefonsamtaler kan også dokumenteres ved en nøjagtig afskrift med den tilsvarende mulighed.
Det er en specifik lovregel for denne proces. Virksomheden bør ikke blot anvende sit almindelige kundecenters optagelsesbesked. Guiden til optagelse af kundesamtaler omhandler andre almindelige optagelsesformål og erstatter ikke whistleblowerlovens krav.
I eksemplet ønsker indberetteren et møde og foretrækker referat frem for lydoptagelse. Enheden beskriver hændelser, tidsangivelser og de forhold, som skal undersøges, uden uvedkommende karakteristikker. Indberetteren retter en forkert leverancedato før accept. Det oprindelige udsagn og rettelsen håndteres, så sagens dokumentation er forståelig.
Videregivelse af identitet har en snæver ramme
Udgangspunktet i § 26 er, at identitet og oplysninger, der afslører den, ikke må videregives uden udtrykkeligt samtykke til andre end autoriserede medarbejdere, som er kompetente til at modtage eller følge op. En almindelig interesse i at orientere ledelsen er ikke en selvstændig undtagelse.
Uden samtykke tillader stk. 2 den angivne videregivelse til en anden offentlig myndighed for at imødegå omfattede overtrædelser eller sikre berørte personers ret til et forsvar. Whistlebloweren skal underrettes forud efter stk. 4, medmindre det vil bringe relaterede undersøgelser eller retssager i fare.
Andre oplysninger fra indberetningen har også en begrænset videregivelsesramme efter stk. 3. Enheden skal derfor undersøge både, om oplysninger identificerer whistlebloweren, og hvorfor de overhovedet skal deles. En generel fortrolighedserklæring fra modtageren er ikke i sig selv et grundlag for at udlevere alt.
Hvis en ekstern rådgiver bistår, skal den faktiske rolle og adgang beskrives. Brug rollefordelingen mellem dataansvarlig og databehandler. Rådgiverens titel alene afgør ikke, hvilke oplysninger vedkommende må modtage, eller hvilket ansvar parterne har.
Oplysning, indsigt og rettelse skal vurderes med tavshedspligten
De registreredes rettigheder gælder fortsat med relevante særregler og undtagelser. Den private vejledning fremhæver, at den særlige tavshedspligt i § 25 har betydning for oplysningspligten over for personer nævnt i en indberetning, blandt andet efter artikel 14, stk. 5, litra d. Der må ikke gives en automatisk besked, som afslører beskyttet indhold eller identitet.
Ved indsigt skal den konkrete anmodning undersøges med de relevante begrænsninger. Fortrolighed er ikke en begrundelse for at undlade enhver vurdering, og en anmodning giver heller ikke automatisk ret til den uredigerede sag. Dokumentér, hvilke oplysninger der kan udleveres, og hvorfor andre oplysninger beskyttes.
Urigtige faktuelle oplysninger skal håndteres. Se berigtigelse efter artikel 16. I Hedeværks sag rettes den fejlagtige leverancedato i den relevante sammenhæng, mens uafklarede påstande fortsat markeres som uafklarede. En rettelse må ikke gøre det umuligt at forstå, hvad der oprindeligt blev indberettet og senere afklaret.
Opbevaring skal følge et nødvendigt og forholdsmæssigt behov
§ 23 kræver registrering af indberetninger og begrænser opbevaringen til det nødvendige og forholdsmæssige. Der findes ikke en generel dansk toårsfrist i denne bestemmelse. En udenlandsk standardskabelon med et fast tal skal derfor ikke bruges som national lovregel.
Ved afslutning vurderer Hedeværk, hvilket materiale der fortsat behøves, eksempelvis til en konkret retlig opfølgning eller beskyttelse af de involveredes rettigheder. En ubegrundet indberetning og en sag med en fortsat myndighedsundersøgelse har ikke automatisk samme opbevaringsbehov.
Den ansvarlige registrerer begrundelse og næste kontrolpunkt for eventuel fortsat opbevaring. Adgangen forbliver begrænset, også når den aktive undersøgelse er afsluttet. Kopier hos rådgivere, vedhæftninger og tekniske eksportfiler skal indgå i afslutningen.
En praktisk kontrol bruger en konstrueret sag til at afprøve adgang, habilitetsskift, kvittering, feedback og sletning. Resultaterne knyttes til dokumentationen af ansvarlighed. Hedeværk kan dermed vise, at fortrolighed er indbygget i sagsforløbet og ikke alene står som et løfte på indberetningssiden.