Ashio whistleblowing software

Oct 5, 2026

Suutegude seadus ja vihjeandmine Eestis: millal sinu organisatsioon peab kanali looma?

Suutegude seadus ja vihjeandmine Eestis: millal sinu organisatsioon peab kanali looma?

Paljud Eesti tööandjad ei tea, et suutegude seadus vihjeandmine ehk vihjeandjate kaitse seadus ja ELi direktiivi koosmõjul laieneb vihjeandmise kanali kohustus ka neile, kes ei ole avaliku sektori asutused. Kui sinu organisatsioonis on vähemalt 50 töötajat, kehtib sisemise teavitamiskanali loomise nõue ka sinu jaoks ning tähtajad on üllatavalt lühikesed. Selles artiklis selgitame, millal kohustus tekib, millised on seadusjärgsed tähtajad ning millised tagajärjed kaasnevad kanali loomata jätmisega.

Sisukord

Peamised järeldused

  • Suutegude seadus (Eesti vihjeandjate kaitse seadus) jõustus 2022. aasta veebruaris ja toob Eesti õigusesse üle ELi direktiivi 2019/1937, mille eesmärk on kaitsta neid, kes teatavad töökohal rikkumistest.
  • Sisemise vihjeandmise kanali peavad looma kõik Eesti organisatsioonid, kus on vähemalt 50 töötajat, ning teatud valdkondades (näiteks finants- ja tervishoiusektor) ka väiksemad ettevõtted.
  • Seadus nõuab teate kinnitamist 7 päeva jooksul ja järeltegevuse tagasisidet hiljemalt 3 kuu möödudes.
  • Kanali puudumisel võivad juhatuse liikmed vastutada isiklikult ning riiklikud järelevalveasutused saavad kohaldada rahatrahve.
  • Vihjeandja isikuandmed on kaitstud range konfidentsiaalsuskohustusega ning kättemaks (represseerimine) on eraldi keelatud ja karistatav.

Mis on suutegude seadus ja kuidas see seondub ELi direktiiviga 2019/1937?

Eesti vihjeandjate kaitse seadus, mida igapäevaselt nimetatakse suutegude seaduseks, jõustus 2022. aastal ja rakendab Eesti õiguskorras ELi direktiivi 2019/1937, mille eesmärk on kaitsta inimesi, kes teatavad tööalastest rikkumistest, nagu pettus, korruptsioon, rahapesu, tarbijakaitse rikkumised või ohutusnõuete eiramine. Seadus loob ühtse õigusraamistiku, mis kohustab tööandjaid avama sisemise teavitamiskanali, tagama teate esitaja konfidentsiaalsuse ning keelustab igasuguse kättemaksu teate esitanud töötaja vastu. Direktiivi 2019/1937 kohaselt peavad kõik ELi liikmesriigid pakkuma vihjeandjatele sarnast kaitset ning Eesti on selle oma seadusega täielikult üle võtnud.

Seaduse tuum seisneb kolmes kohustuses: esiteks peab organisatsioon looma turvalise kanali, kuhu saab teatada rikkumisest; teiseks tuleb teade kinnitada seitsme päeva jooksul ning anda tagasisidet hiljemalt kolme kuu möödudes; kolmandaks peab tööandja kaitsma teavitaja isikut ja keelama igasuguse represseerimise. See raamistik kehtib nii era- kui ka avaliku sektori asutustele, kuigi töötajate arvu lävend on erinev.

Miks ELi direktiiv 2019/1937 Eesti jaoks oluline on?

ELi direktiiv 2019/1937 ehk vihjeandjate kaitse direktiiv on Euroopa Liidu ühtne õigusakt, mis kohustab kõiki liikmesriike looma vihjeandjatele tõhusa kaitse ja tagama sisemised teavitamiskanalid. Ilma direktiivita jääks iga liikmesriigi kaitse ebaühtlaseks ning piiriülesed rikkumised, näiteks rahvusvahelistes kontsernides, jääksid sageli varjatuks. Eesti vihjeandjate kaitse seadus (rahvasuus suutegude seadus) on selle direktiivi otsene riigisisene rakendusakt.

Millised organisatsioonid peavad Eestis vihjeandmise kanali looma?

Millised organisatsioonid peavad Eestis vihjeandmise kanali looma? Sisemise vihjeandmise kanali loomise kohustus kehtib kõigile Eesti organisatsioonidele, kus on vähemalt 50 töötajat, olenemata tegevusvaldkonnast, ning lisaks ka väiksematele ettevõtetele, kui nende tegevus kuulub ELi õiguse spetsiifiliste valdkondade alla, nagu finantsteenused, rahapesu ja terrorismi rahastamise vastane võitlus, tooteohutus, transpordi ohutus, keskkonnakaitse, tuumaohutus, rahvatervis ja tarbijakaitse. Seaduse kohaselt loetakse töötajate hulka ka töövõtulepingu, käsunduslepingu või muu teenuse osutamise lepingu alusel töötavad isikud, mistõttu ei aita väiksemaks jääda ka palgakulu kokkuhoid paindlike lepinguvormide abil.

Praktiliselt tähendab see, et kui sinu IT-ettevõttes, tootmisüksuses, kaubandusketi harus või kliinikus töötab vähemalt 50 inimest, peab sul olema toimiv sisemine kanal. Avaliku sektori asutustele kehtivad direktiivist tulenevad kohustused olenemata töötajate arvust. Kui sinu organisatsioon on osa kontsernist, kus emaettevõte asub ELi liikmesriigis, võivad kohustused laieneda kontserni tasandile, isegi kui Eesti üksuses on alla 50 töötaja.

Kas pean looma vihjeandmise kanali, kui mul on 50 töötajat?

Jah, kui sinu organisatsioonis on vähemalt 50 töötajat, pead looma sisemise vihjeandmise kanali ning tagama, et see on töötajatele kättesaadav, turvaline ja konfidentsiaalne. See nõue tuleneb otseselt suutegude seadusest, mis rakendab ELi direktiivi 2019/1937 Eestis.

Selleks, et kanal oleks tõeliselt tõhus, peab see võimaldama teateid esitada kirjalikult ja soovitavalt ka suuliselt, säilitama teavitaja anonüümsuse võimaluse ning võimaldama kahesuunalist suhtlust, et käsitleja saaks esitada lisaküsimusi ilma teavitaja identiteeti avaldamata. Kui tegutsed andmekaitse-eeskirjadele linked to https://ashio.eu/et/gdpr-tundlikus valdkonnas, tuleb kanal ehitatada nii, et isikuandmete töötlemine oleks kooskõlas andmekaitse nõuetega ning teavitamislehed ei seadistaks küpsiseid ega jälgiks kasutajaid.

Millised on seadusjärgsed tähtajad: 7 päeva kinnituseks ja 3 kuud järeltegevuseks?

Seadus seab kaks ranget tähtaega, mida iga sisemise kanali pidaja peab järgima: pärast teate vastuvõtmist tuleb teavitajale saata kinnitus seitsme päeva jooksul ning pärast teate kinnitamist tuleb anda tagasisidet teavitaja esitatud rikkumise kohta hiljemalt kolme kuu möödudes. Kinnituse eesmärk on teavitada inimest, et tema teade on vastu võetud ja menetlusse võetud, ning see peab sisaldama vähemalt teate registreerimise numbrit ja edasise menetluse eeldatavat ajakava.

Kolme kuu tagasiside tähtaeg hõlmab järeltegevuse otsuseid: kas rikkumine leidis kinnitust, milliseid meetmeid võetakse või miks menetlus lõpetatakse. Kui juhtumi uurimine võtab kauem aega, tuleb teavitajale selgitada põhjuseid ja anda ajakohast hinnangut. Tähtajad ei ole soovituslikud, vaid kohustuslikud, ning nende eiramine on üks sagedasemaid rikkumisi, mille järelevalveasutused tuvastavad.

Kui sinu organisatsioon haldab sisemine teavitamiskanal linked to https://ashio.eu/et/internal-reporting-channel, siis veendu, et süsteem jälgib neid tähtaegu automaatselt ja annab märku, kui mõni kinnitus või tagasiside hakkab hilinema. See väldib olukordi, kus hea tahe jääb pelgaks vormitäitmiseks.

Mis juhtub, kui kanalit pole: trahvid ja vastutus juhatuse liikmetele

Kui organisatsioon ei loo seadusega ettenähtud sisemist vihjeandmise kanalit või rikub konfidentsiaalsuskohustust, võivad järelevalveasutused kohaldada rahatrahve ning rasketel juhtudel võib vastutus langeda juhatuse liikmetele isiklikult. Suutegude seadus näeb ette, et kohustuste täitmise eest vastutab tööandja, kuid praktikas tähendab see, et juhatuse liikmed peavad suutma tõendada, et nad on võtnud piisavaid meetmeid kanali loomiseks ja selle toimimise tagamiseks. Kui juhatuse liige teadlikult eirab kohustust või takistab teavitaja kaitset, võidakse teda pidada isiklikult vastutavaks.

Lisaks rahatrahvidele kaasnevad ka kaudsed tagajärjed: mainerisk, usalduse kadumine klientide ja partnerite silmis ning keerulisem olukord kohtuvaidlustes, kus organisatsioon ei suuda tõendada oma sisemiste protsesside seaduslikkust. Kui suurorganisatsioon, näiteks pank või haigla, ei suuda näidata, et tal on toimiv teavituskanal, võivad järelevalveasutused seda tõlgendada kui sisemise kontrollisüsteemi nõrkust, millel on omakorda mõju näiteks vastavusjuhtidele mõeldud linked to https://ashio.eu/et/for-compliance-officers tööle ja kogu organisatsiooni riskijuhtimisele.

Millised on levinumad vead, mis trahvi kaasa toovad?

Sagedasemad vead on kanali puudumine või selle varjamine töötajate eest, konfidentsiaalsuskohustuse rikkumine näiteks teavitaja isiku avaldamisega kolmandatele isikutele, kinnituse või tagasiside tähtaja ületamine ning kättemaks, milleks on töölepingu ülesütlemine, palga vähendamine või tööülesannete muutmine teavitaja pärast. Iga selline rikkumine on eraldi aluseks järelevalvemeetmele.

Kuidas seadus kaitseb vihjeandja identiteeti ja kättemaksu eest?

Vihjeandja isikuandmed on kaitstud range konfidentsiaalsuskohustusega: tööandja ja kõik teate menetlemisega seotud isikud peavad hoidma saladuses nii teavitaja isikut kui ka kõiki asjaolusid, mis võiksid teda kaudselt identifitseerida. Seadus keelab selgesõnaliselt kättemaksu, mis tähendab igasugust ebasoodsat kohtlemist teavitaja suhtes, sealhulgas töölepingu lõpetamist, töötingimuste halvendamist, ahistamist, maine kahjustamist või majanduslikku kahju. Kättemaks ei pea olema otseselt seotud teavitamisega, piisab kui töötaja suudab tõendada põhjuslikku seost.

Lisaks pakub seadus vihjeandjale õiguskaitsevahendeid: kui tööandja rikub kaitsekohustust, saab teavitaja pöörduda töövaidluskomisjoni või kohtu poole ning nõuda kahju hüvitamist. Seadus sätestab ka koormise tõendamise pööramise: kui teavitaja tõendab, et talle avaldati survet või ebasoodsat kohtlemist pärast teate esitamist, eeldatakse, et see oli kättemaks, kui tööandja ei tõenda vastupidist. See muudab kättemaksu tuvastamise kohtus oluliselt lihtsamaks.

Tõeliselt turvaline kanal peab tagama, et isegi platvormi haldaja ise ei saa teavitaja sisu lugeda, mis tähendab nulljuurdepääsuga arhitektuuri, kus krüpteerimisvõtmed asuvad ainult teavitaja ja konkreetse käsitleja seadmes. Praktikas tähendab see, et anonüümse teate esitaja jääb anonüümseks ka süsteemi tehnilise rikke või andmepüügi korral, sest serveris on ainult krüpteeritud tekst.

Korduma kippuvad küsimused

Kas vihjeandmise kohustus kehtib alates millal Eestis?

Eesti vihjeandjate kaitse seadus jõustus pärast direktiivi 2019/1937 ülevõtmise tähtaega ning kohaldab sisemise kanali loomise kohustust organisatsioonidele, kus on vähemalt 50 töötajat. Alates 2026. aastast jätkub järelevalve ja kohustuste täitmise kontroll, mistõttu on oluline, et kanal oleks tõesti toimiv, mitte pelgalt formaalselt olemas.

Kas 49 töötajaga ettevõte peab looma vihjeandmise kanali?

Üldjuhul ei pea, kui tegemist ei ole valdkonnaga, kus direktiiv näeb ette kohustuse ka väiksematele organisatsioonidele, näiteks finants- või tervishoiusektoris. Kui sinu tegevus on reguleeritud rahapesu, tooteohutuse, transpordi või keskkonnakaitse valdkonnas, kehtib kohustus sõltumata töötajate arvust.

Kas vihjeandmise kanal peab võimaldama anonüümset teatamist?

Jah, seadus nõuab, et kanal võimaldaks teate esitamist konfidentsiaalselt ja eelistatavalt ka anonüümselt, ning et käsitleja saaks teavitajaga suhelda ilma tema isikut avaldamata. Praktikas tähendab see kahesuunalist krüpteeritud suhtlust, kus iga osapool kasutab oma seadmes olevat võtit.

Kas tööandja tohib teavitajat teavitamise eest karistada?

Ei, kättemaks teavitaja suhtes on seadusega keelatud ja karistatav, olenemata sellest, kas teade osutub põhjendatuks või mitte. Kui töötaja tõendab, et tema suhtes rakendati ebasoodsaid meetmeid pärast teavitamist, eeldatakse, et tegemist on kättemaksuga, kuni tööandja tõendab vastupidist.

Kas vihjeandja peab olema töölepinguga töötaja?

Ei, seadus kaitseb ka töövõtu-, käsundus- ja muude teenuse osutamise lepingute alusel töötavaid isikuid, samuti endisi töötajaid, aktsionäre, juhatuse liikmeid, praktikante ja taotlejaid, kui teave rikkumise kohta on nende tööalase tegevusega seotud.

Allikad