Ashio whistleblowing software

Sep 28, 2026

Whistleblowerordning i danske kommuner: krav, frister og hvad der adskiller sig fra private virksomheder

Whistleblowerordning i danske kommuner: krav, frister og hvad der adskiller sig fra private virksomheder

Kommunale whistleblowerordninger adskiller sig fra private på tre afgørende punkter: hvem der er indberetningspligtig, hvordan ordningen skal forankres politisk, og hvordan aktindsigt og forvaltningsret spiller ind. Det er de tre forskelle, der afgør om din whistleblowerordning i dansk kommune holder ved et tilsyn fra Datatilsynet eller Ankestyrelsen. Når en kommunal complianceansvarlig får 90 dage til at etablere en ordning, er det sjældent selve EU's whistleblowerdirektiv, der volder problemer — det er de forvaltningsretlige krav ovenpå.

Indholdsfortegnelse

De vigtigste pointer

  • Danske kommuner er som offentlige myndigheder omfattet af lov om beskyttelse af whistleblowere, men skal desuden forholde sig til offentlighedsloven, forvaltningsloven og kommunens egen styrelsesvedtægt.
  • En kommunal whistleblowerordning skal som udgangspunkt forankres i det politiske niveau — typisk ved kommunalbestyrelsens eller byrådets godkendelse — ikke kun hos direktionen.
  • De to centrale frister, 7 dage til kvittering og 3 måneder til feedback, gælder også i kommuner, men dokumentationskravet er strengere, fordi sagen kan blive genstand for aktindsigt.
  • Den største risiko er ikke selve indberetningen, men hvad der står i de interne logs, dokumenter og e-mails, der bliver skabt under sagsbehandlingen.

Hvad kræver dansk lov af kommuner, når de opretter en whistleblowerordning?

Kommunale myndigheder er forpligtede til at etablere en whistleblowerordning på linje med private virksomheder, men regelsættet er et andet sted: ud over dansk lov om beskyttelse af whistleblowere gælder forvaltningsloven, offentlighedsloven og databeskyttelsesforordningen sideløbende. Det betyder i praksis, at en kommune ikke bare skal have en kanal — den skal have en kanal, der kan tåle at sagsakterne bliver bedt om aktindsigt i.

Hvilke kommuner er omfattet?

Som udgangspunkt er alle kommuner som offentlige myndigheder forpligtede, uanset størrelse. Det følger af den danske implementering af EU's whistleblowerdirektiv, der skærper indberetningspligten for den offentlige sektor. Den tidligere grænse på 50 medarbejdere, der gjaldt for private virksomheder, gælder ikke for kommuner — de er altid omfattet som forvaltningsmyndigheder.

Det ændrer opgaven for en complianceansvarlig markant: en kommune med 30 ansatte i en forvaltning kan ikke "vente med ordningen", indtil medarbejdertallet vokser. Ordningen skal være på plads fra dag ét, og den skal kunne modtage indberetninger fra både ansatte, borgere, leverandører og samarbejdspartnere. Det er den bredde i indberetningsberettigede, der gør en kommunal ordning mere kompleks end en privat.

Politisk forankring vs. administrativ forankring: hvor skal ordningen placeres?

En whistleblowerordning i en dansk kommune skal som udgangspunkt forankres politisk — typisk ved en vedtagelse i kommunalbestyrelsen eller byrådet — fordi ordningen udøver myndighed og har konsekvenser for hele organisationen. Den administrative forankring kan derefter ligge hos en complianceansvarlig, en HR-chef eller en særskilt whistleblowerenhed, men det er det politiske niveau, der sætter rammerne.

Hvorfor er politisk forankring afgørende?

En kommunal whistleblowerordning træffer afgørelser, der kan få ansættelsesretlige, kontraktlige og økonomiske konsekvenser. Det kræver et klart kommissorium, typisk vedtaget i det relevante udvalg, og en forretningsorden for, hvordan indberetninger mod topchefen eller medlemmer af kommunalbestyrelsen håndteres. Uden den politiske forankring risikerer kommunen, at ordningen reelt er underlagt den person, den modtager indberetninger om.

Den complianceansvarlige skal derfor ikke alene have en platform og en procedure — vedkommende skal have et kommissorium, der er forankret i det politiske system, og klare linjer for, hvordan indberetninger mod direktionen håndteres. Det er den del af arbejdet, der ofte undervurderes, fordi fokus i vejledninger og skabeloner ligger på frister og anonymitet.

Hvad skal forretningsordenen som minimum indeholde?

  • En beskrivelse af hvem der modtager indberetninger, og hvornår sagen eskaleres.
  • En definition af hvornår en indberetning er omfattet af ordningen, og hvornår den hører hjemme i HR-systemet eller en klageinstans.
  • Regler for hvordan indberetninger mod kommunalbestyrelsesmedlemmer eller direktion håndteres, herunder hvem der er sætteenhed.
  • En revisions- og dokumentationspraksis, der tåler aktindsigt.

De 7-dages- og 3-måneders-frister: hvordan håndterer kommunale sagsbehandlere dem i praksis?

De to frister fra EU's whistleblowerdirektiv — 7 dage til kvittering og 3 måneder til feedback — gælder fuldt ud i kommuner, men sagsbehandlerne står over for et andet pres end i private virksomheder, fordi ferie, weekender, politiske møder og samarbejde på tværs af forvaltninger gør det svært at holde kadencen. En manuel proces med e-mail og Excel holder sjældent, fordi den afhænger af, at en bestemt medarbejder er på kontoret.

Hvordan sikrer man kvittering inden for 7 dage?

Kvitteringen skal være afgivet til indberetteren — ikke nødvendigvis som et fyldestgørende svar, men som en bekræftelse på, at indberetningen er modtaget og sat i proces. I praksis kræver det en automatisk kvitteringsmekanisme, der ikke afhænger af, at en bestemt sagsbehandler læser sin indbakke.

Hvordan holder man 3-måneders-fristen, når undersøgelsen trækker ud?

3-måneders-fristen kan forlænges i særlige tilfælde, men skal begrundes over for indberetteren. Det kræver, at kommunen har et sagsstyringssystem, der kan dokumentere, hvornår fristen udløber, hvad der er sket i sagen, og hvorfor der eventuelt søges fristforlængelse. En complianceansvarlig, der sidder med en stak PDF'er og e-mailtråde, kan ikke føre det bevis, når Ankestyrelsen eller Datatilsynet beder om det.

Det er præcis det, der adskiller en complianceansvarlig i en kommune fra en tilsvarende rolle i det private: dokumentationsbyrden er højere, fordi sagsakterne potentielt er omfattet af aktindsigt, og friststyringen er sværere, fordi kommunen ikke kan disponere over sine medarbejderes tid på samme måde som en privat virksomhed.

Hvordan spiller offentlighedsloven og aktindsigt sammen med anonymiteten?

Anonymitet over for omverdenen og anonymitet over for indberetteren er ikke det samme, og det er her, mange kommuner laver deres alvorligste fejl: de logger oplysninger, der gør det muligt at identificere indberetteren, og de gemmer disse logs i systemer, der er omfattet af aktindsigt efter offentlighedsloven. En whistleblower har krav på fortrolighed, men det forhindrer ikke, at en journalist eller borger kan bede om aktindsigt i sagens akter.

Hvad må en kommune gemme om indberetteren?

Kommunen må behandle de personoplysninger, der er nødvendige for at følge op på indberetningen, men skal begrænse behandlingen til det nødvendige og dokumentere dette i overensstemmelse med GDPR. Det betyder, at indberetninger, der er indgivet anonymt, ikke må beriges med identificerende oplysninger under sagens behandling — og at eventuelle metadata som IP-adresser, tidsstempler og enhedsoplysninger skal være fraværende fra starten.

Hvad sker der, når der bedes om aktindsigt?

Hvis en journalist eller borger beder om aktindsigt i en konkret whistleblowersag, skal kommunen vurdere, hvilke oplysninger der kan udleveres, og hvilke der er undtaget af hensyn til indberetterens identitet. Det er en balancegang, der kræver, at sagens dokumenter er opbygget, så identifikation aldrig er mulig — ikke engang via krydshenvisninger mellem dokumenter. En platform, der gemmer brugeridentifikationer i logs, gør denne vurdering umulig.

Hvordan undgår man, at anonymiteten kompromitteres af aktindsigt?

Den eneste sikre vej er at designe indberetningskanalen, så der fra starten ikke gemmes oplysninger, der kan bruges til at identificere indberetteren. Det kræver anonym indberetning i teknisk forstand: ingen IP-indsamling, ingen cookies, ingen fingeraftryk. Hvis platformen ikke kan levere det, skal kommunen i stedet føre en meget stram politik for, hvad der logges, og hvordan logfiler slettes eller anonymiseres.

Hvad danske kommuner typisk gør forkert ved valg af platform — og hvad en compliant løsning skal kunne

Hvad danske kommuner typisk gør forkert ved valg af platform — og hvad en compliant løsning skal kunne Den typiske fejl i danske kommuner er at vælge en platform, der enten er bygget til private virksomheder uden de forvaltningsretlige krav, eller at vælge en generisk "tipbox"-løsning, der ikke kan dokumentere fristoverholdelse og sagsbehandling på det niveau, en kommune har brug for. En whistleblowerordning i en dansk kommune kræver mere end en indberetningsformular — den kræver en platform, der kan håndtere de særlige krav, der følger af at være en offentlig myndighed.

Hvilke krav adskiller en kommunal platform fra en privat?

En compliant platform til en kommune skal som minimum kunne dokumentere kvittering og feedback med tidsstempler, håndtere samarbejde mellem flere forvaltninger uden at data forlader kontrollerede miljøer, understøtte rollebaseret adgang så forskellige sagsbehandlere kun ser det, de har behov for, og levere en uforanderlig, tidsstemplet aktivitetslog over hele sagens livscyklus. Det er ikke funktioner, en platform til en mindre privat virksomhed nødvendigvis tilbyder, fordi behovet ikke er der.

For den complianceansvarlige er det afgørende, at platformen kan levere en dokumentation, der holder, hvis kommunen bliver bedt om at redegøre for sin sagsbehandling — over for Datatilsynet, over for Ankestyrelsen, eller over for en journalist, der beder om aktindsigt. En platform, der "bare" tager imod indberetninger, er ikke nok.

Hvordan vælger man den rigtige løsning til en kommunal kontekst?

Her står du med et valg, der i praksis handler om, hvor meget af friststyringen, dokumentationen og den tværgående sagsbehandling du vil lægge i manuelle processer, og hvor meget du vil have understøttet af en platform, der holder kadencen for dig. Ashio er bygget til at løse præcis denne opgave: en intern rapporteringskanal med understøttelse af kvitterings- og feedbackfrister, uforanderlig, tidsstemplet aktivitetslog og en arkitektur, der er designet til complianceansvarlige i organisationer, der skal kunne dokumentere deres proces. Modellen er én fast pris pr. organisation, hvilket gør det muligt at beregne den præcise omkostning uanset antallet af indberetninger, og platformen henvender sig til de organisationer, der har brug for mere end en simpel indberetningsformular — ikke til dem, der blot ønsker et kontaktstal du på deres hjemmeside.

Hvordan holder du den kommunale whistleblowerordning levende efter etableringen?

Etablering er kun første skridt — en whistleblowerordning skal vedligeholdes, kommunikeres og evalueres, ellers bliver den en sovepude. Kommunalbestyrelsen skal have en årlig status, medarbejderne skal vide, at kanalen findes, og procedurerne skal justeres, når lovgivningen ændrer sig. En complianceansvarlig, der afleverer en platform og en forretningsorden og derefter overlader resten til forvaltningen, har ikke løst opgaven — vedkommende har kun startet den.

Ofte stillede spørgsmål

Hvornår skal en dansk kommune have en whistleblowerordning på plads?

Alle danske kommuner er som offentlige myndigheder forpligtede til at have en whistleblowerordning, uanset størrelse, fordi forpligtelsen i dansk lov om beskyttelse af whistleblowere gælder for hele den offentlige sektor. Private virksomheder har en medarbejdergrænse, men den gælder ikke for kommuner, så ordningen skal være etableret fra dag ét.

Hvem i kommunen skal modtage indberetninger?

Det afhænger af den politiske forankring, men som udgangspunkt bør indberetninger modtage af en enhed eller funktion, der er uafhængig af den person eller forvaltning, indberetningen vedrører. I praksis vil det ofte være en complianceansvarlig, en whistleblowerenhed eller en ekstern advokat, men det vigtige er, at der ikke kan rejses tvivl om uafhængigheden.

Hvad sker der, hvis kommunen ikke overholder 7-dages-fristen?

Manglende kvittering inden for 7 dage er et brudforpligtelsen på whistleblowerordningen og kan påtales af de relevante tilsynsmyndigheder og kan få konsekvenser for kommunens whistleblowerordning og dens omdømme.. Det er derfor afgørende, at friststyringen ikke afhænger af, at en bestemt medarbejder læser sin indbakke.

Kan en kommune bruge en privat platform til whistleblowerordningen?

Ja, men platformen skal leve op til de samme krav som en intern løsning: anonymitet, fristovervågning, dokumentation og GDPR-compliance. En platform, der logger IP-adresser eller kræver indberetterens e-mail, opfylder ikke kravene til ægte anonymitet og kan ikke bruges i en kommunal kontekst uden kompenserende foranstaltninger.

Hvad er forskellen på en kommunal og en privat whistleblowerordning?

Den væsentligste forskel er, at kommunen som offentlig myndighed er underlagt offentlighedsloven og forvaltningsloven, som gør det muligt at få aktindsigt i sagsakter. Det stiller strengere krav til, hvordan indberetninger håndteres og logges, fordi anonymitet ikke kun skal beskyttes over for indberetterens arbejdsgiver, men også over for borgere, journalister og myndigheder, der kan bede om at se sagens dokumenter.

Kilder