Whistleblower-ordning i Danmark: hvornår er din virksomhed forpligtet?

Mange danske virksomheder er stadig i tvivl om, hvorvidt de overhovedet er forpligtet til at have en whistleblower ordning danmark – og svaret afhænger af to helt konkrete tærskler, du kan tjekke på under fem minutter. Den danske whistleblowerlov, der udspringer af EU-direktivet 2019/1937, stiller nemlig ikke krav om det samme for alle, og en fejlvurdering kan udløse både bøder og tabt omdømme. Denne guide giver dig et klart svar på, hvornår du er forpligtet, og hvad du skal gøre nu.

Indholdsfortegnelse

• De vigtigste pointer
• Hvornår er din virksomhed forpligtet til en whistleblower-ordning i Danmark?
• Hvem skal have en ordning, og hvem er undtaget?
• Hvad sker der, hvis du ikke har en ordning i tid?
• Sådan kommer du i gang på 30 dage
• Ofte stillede spørgsmål
• Kilder

De vigtigste pointer

• En whistleblower-ordning i Danmark er lovpligtig, hvis din virksomhed har mindst 50 ansatte, eller hvis du driver en offentlig myndighed uanset størrelse.
• Kravet følger af lov nr. 1436 af 29. juni 2021, der gennemfører EU-direktiv 2019/1937 i dansk ret.
• Du skal kunne modtage indberetninger, kvittere inden for syv dage og give feedback inden for tre måneder.
• Manglende ordning kan medføre bøde fra Datatilsynet, og whistleblowere mister deres retsstilling uden etableret kanal.
• Fristen for at have ordningen på plads udløb for størstedelen af de private virksomheder den 17. december 2023.

Hvornår er din virksomhed forpligtet til en whistleblower-ordning i Danmark?

Din virksomhed er forpligtet til at etablere en whistleblower-ordning, så snart du rammer en af to tærskler i den danske whistleblowerlov: mindst 50 ansatte eller aktivitet som offentlig myndighed. Forventer du at krydse 50-ansatte-grænsen i løbet af det kommende regnskabsår, bør du planlægge ordningen nu, fordi kravet gælder alle juridiske enheder med hjemsted i Danmark, uanset om du er ApS, A/S, forening eller selvejende institution.

Tærsklen på 50 ansatte tæller hoveder, ikke årsværk, og beregningen følger dit seneste årsregnskab. Datterselskaber tæller selvstændigt – en koncern kan derfor have pligt til flere separate ordninger, selvom moderselskabet allerede har en. Er du under 50 ansatte, er der som udgangspunkt ingen lovpligt, men en række brancher – finans, transport, sundhed og energiforsyning – kan have skærpede krav via sektorregulering, som du bør tjekke hos din tilsynsmyndighed.

Hvordan tæller du ansatte korrekt?

Tællingen omfatter alle fastansatte, vikarer, studerende i længerevarende praktikophold og freelancere med fast arbejdsplads i din organisation. Timelønnede uden fast tilknytning og bestyrelsesmedlemmer uden operationelle opgaver tæller derimod ikke med. Er du i tvivl, så brug det gennemsnitlige antal ansatte over de seneste 12 måneder som et forsigtigt pejlemærke.

Hvem skal have en ordning, og hvem er undtaget?

Private virksomheder med færre end 50 ansatte er som hovedregel undtaget, ligesom helt små offentlige enheder under 25 ansatte kan være fritaget efter en konkret vurdering. Til gengæld er kommuner, regioner, ministerier og statslige styrelser altid omfattet, uanset hvor få medarbejdere de har, fordi de er defineret som forvaltningsmyndigheder i lovens forstand.

EU-direktivet giver desuden medlemsstaten mulighed for at udvide ordningen til virksomheder med 50–249 ansatte via sektorspecifikke regler, og det er allerede sket i Danmark for blandt andet finansielle virksomheder under Finanstilsynets tilsyn. Hvis du opererer i en reguleret sektor – bank, forsikring, shipping, lægemidler, energi eller telekommunikation – gælder der som regel egne whistleblower-krav, der kan være strengere end hovedreglen, og du bør derfor bekræfte forpligtelsen hos dit sektorale tilsyn.

Gælder kravet hele koncernen eller kun det enkelte selskab?

Kravet gælder det enkelte juridiske selskab, ikke koncernen som helhed. Et holdingselskab med 10 ansatte behøver ikke selv etablere en kanal, selvom dets datterselskab har 200, men datterselskabet skal have sin egen. Samme logik gælder for joint ventures, hvor hver part typisk skal etablere sin egen ordning, medmindre I har aftalt fælles forvaltning skriftligt.

Hvad sker der, hvis du ikke har en ordning i tid?

Manglende whistleblower-ordning i Danmark er en overtrædelse af dansk whistleblower lov, som Datatilsynet fører tilsyn med, og som kan udløse bøde. Konkret risikerer du en administrativ bøde, og i alvorlige tilfælde kan tilsynet inddrage eller pålægge ændringer i dine databehandlingsrutiner.

Bøden er dog sjældent det største problem i praksis. Den reelle risiko er, at en medarbejder indberetter alvorlig uetisk adfærd via en ekstern kanal, fordi din interne kanal mangler, og at du mister muligheden for at håndtere sagen selv, før den eskalerer. Samtidig mister whistlebloweren den retsbeskyttelse mod repressalier, som loven kun giver, når indberetningen følger den foreskrevne kanal. Uden en fungerende intern whistleblower kanal risikerer du derfor både en bøde, et Eskaleret retsligt efterspil og et alvorligt tillidstab blandt medarbejderne.

Hvornår er en manglende ordning værst?

Værst er det i de første 12 måneder efter fristens udløb, fordi Datatilsynet og Erhvervsstyrelsen har signaleret særligt fokus i overgangsperioden. Har du over 50 ansatte pr. 17. december 2023 og stadig ingen kanal, er du et oplagt mål for en tilsynssag. Også ved kontraktforhandlinger med store kunder eller offentlige udbud kan en manglende ordning blive et forretningskritisk forhold, fordi compliance-krav i udbudsmateriale ofte forventer dokumenteret whistleblower-ordning.

Sådan kommer du i gang på 30 dage

En fungerende whistleblower-ordning kan etableres på 30 dage, hvis du arbejder fokuseret: start med at udpege en uafhængig modtager, opsæt en sikker indberetningskanal, skriv en kort politik, og kommunikér kanalen internt. Den danske lovgivning stiller ikke krav om en bestemt teknologi, men den kræver, at kanalen er sikker, fortrolig og tilgængelig for alle ansatte samt eksterne interessenter, der har et arbejdsrelateret forhold til dig.

En praktisk 30-dages plan ser sådan ud:

1. Ugedag 1–3: Kortlæg, hvem ordningen skal dække, og udpeg en intern modtager – typisk en complianceansvarlig, HR-direktør eller advokat – samt en uafhængig suppleant, der kan overtage i ferier og ved interessekonflikter.
2. Ugedag 4–10: Vælg kanal. Du kan vælge en simpel, krypteret e-mail, et dedikeret SaaS-værktøj eller en ekstern advokat. Vigtigst er, at indberetninger opbevares fortroligt, og at systemet automatisk registrerer kvitteringsfristen på syv dage og opfølgningsfristen på tre måneder.
3. Ugedag 11–15: Skriv whistleblower-politikken. Hold den på 1–2 sider, forklar hvad der kan indberettes, hvordan, hvad der sker efter indberetningen, og hvilken beskyttelse indberetteren har. Skriv den i et sprog, dine medarbejdere faktisk forstår, og oversæt den til de sprog, der tales i din organisation.
4. Ugedag 16–22: Uddan modtagere og HR. Sørg for, at de forstår reglerne om fortrolighed, anonymitet, frister og dokumentationspligt, og at de kan håndtere indberetninger uden at kompromittere whistleblowerens identitet.
5. Ugedag 23–30: Kommunikér internt. Fortæl medarbejderne om kanalen via intranettet, personalemøder og onboarding-materiale, og mind dem om, at indberetninger kan ske anonymt, og at repressalier er forbudt.

Når du når punkt to i planen, bliver spørgsmålet hurtigt, hvem der faktisk skal drive kanalen i drift. Mellemstore virksomheder vælger typisk mellem en manuel løsning – ofte en delt mailboks hos HR – en ekstern advokat eller en specialiseret whistleblower-platform. Ashio er et eksempel på en sådan platform med EU-fokus og dansk som et af de understøttede sprog; den understøtter anonym indberetning, fristovervågning og struktureret sagsbehandling. Den er ikke relevant for dig, hvis du er under 50 ansatte uden anden lovhjemmel, men for virksomheder, der vil have styr på de to centrale krav – anonymitet og fristovervågning – fra dag ét, kan den fjerne det manuelle spor, som ellers er den største kilde til fejl. Du kan læse mere om det eu whistleblowing directive, som hele ordningen bygger på, og som definerer de krav, din tekniske løsning skal understøtte.

Et ofte overset element er den Intern whistleblowerkanal, som skal være tilgængelig ikke kun for egne ansatte, men også for leverandører, praktikanter, frivillige og aktionærer samt personer, der søger ansøgning. Hvis din kanal kun ligger på intranettet, opfylder du ikke kravet for eksterne interessenter. Sørg derfor for, at indberetningsvejen også er tilgængelig fra din offentlige hjemmeside, typisk via en synlig side under "Compliance" eller "Etik".

Ofte stillede spørgsmål

Hvornår trådte den danske whistleblowerlov i kraft?

Den danske lov om beskyttelse af whistleblowere trådte i kraft den 17. december 2021 for offentlige myndigheder og større private virksomheder med 250 eller flere ansatte. For private virksomheder med 50–249 ansatte var fristen den 17. december 2023, og det er denne gruppe, der udgør størstedelen af de danske virksomheder, som først for nylig er blevet forpligtede.

Tæller vikarer og freelancere med i de 50 ansatte?

Ja, vikarer og freelancere med fast tilknytning til din arbejdsplads tæller med i opgørelsen. Timelønnede uden fast arbejdsplads og eksterne bestyrelsesmedlemmer uden operationelle opgaver tæller derimod ikke. Brug det gennemsnitlige antal over de seneste 12 måneder som en sikker beregningsmetode.

Kan jeg nøjes med en e-mail som whistleblower-kanal?

Du kan i princippet godt bruge en krypteret e-mail som teknisk kanal, men du skal stadig kunne dokumentere, at du har kvitteret inden for syv dage og givet feedback inden for tre måneder. I praksis bliver en mailboks hurtigt en compliance-risiko, fordi den mangler automatisk friststyring, sporbarhed og en struktureret sagsgang, og de fleste complianceansvarlige vælger derfor en dedikeret platform eller en ekstern modtager.

Hvad sker der, hvis en indberetning er åbenlyst grundløs?

Du skal stadig registrere indberetningen, kvittere inden for syv dage og følge op, men du kan afslutte sagen hurtigt, hvis den er åbenlyst ubegrundet. Beskyttelsen mod repressalier gælder dog kun, hvis indberetteren havde rimelig grund til at tro, at oplysningerne var korrekte på tidspunktet for indberetningen, så du kan ikke straffe en indberetter for at have taget fejl i god tro.

Skal jeg anmelde indberetninger til myndighederne?

Du har ikke pligt til at anmelde indberetninger automatisk, men du skal føre intern registrering og kunne fremlægge den ved tilsyn. I sager om alvorlig økonomisk kriminalitet, hvidvask eller sikkerhedstrusler kan der gælde særlige underretningspligter, fx over for SØIK eller politiet, som du bør håndtere sideløbende med whistleblower-processen.

Kilder

• Europa-Parlamentets og Rådets direktiv (EU) 2019/1937