Hvad skal en whistleblowerordning indeholde? Den komplette danske tjekliste (2026)

Hvad skal en whistleblowerordning indeholde? Den komplette danske tjekliste 2026

De fleste danske SMV'er tænker på whistleblowerordningen som en formular, de skal have udfyldt — men det er faktisk en teknisk og juridisk installation, der skal kunne dokumenteres. Hvis du indhar ansvaret for at oprette en whistleblowerordning, skal du vide, hvad en whistleblowerordning skal indeholde for at være lovlig efter dansk lov og EU's whistleblowerdirektiv: en uafhængig indberetningskanal, ægte anonymitet, tovejskommunikation med indberetteren, skriftlig politik, fristovervågning, opbevaringsregler og revisionsklar dokumentation. Her er den komplette indholdsliste, du kan gå i gang med i dag.

Indholdsfortegnelse

De vigtigste pointer
Hvad er en whistleblowerordning — og hvorfor er den obligatorisk i Danmark?
De 7 lovkrav din whistleblowerordning som minimum skal opfylde
Hvad skal whistleblowerordningen indeholde teknisk? (Indberetningskanal, anonymitet, tovejskommunikation)
De tre hårde frister: 7-dages-kvittering, 3-måneders-opfølgning og opbevaringsperiode
Hvad skal whistleblowerpolitikken skriftligt indeholde?
Sådan dokumenterer du over for revisor og Datatilsynet — uden at miste overblikket
Tjekliste: 12 punkter du kan gå i gang med i dag
Ofte stillede spørgsmål
Kilder

De vigtigste pointer

En whistleblowerordning i Danmark skal som minimum indeholde syv konkrete elementer: uafhængig kanal, anonymitet, kvittering inden 7 dage, opfølgning inden 3 måneder, skriftlig politik, databeskyttelse og dokumentation.
Anonymitet er en teknisk garanti — ikke en markedsføringsfunktion: serveren må ikke kunne dekryptere indberetninger, og der må ikke logges IP-adresser, cookies eller browser-fingeraftryk på indberetningssiden.
De to hårde frister i EU-direktiv 2019/1937 er syv dage til kvittering og tre måneder til feedback — og de gælder alle organisationer fra 50 ansatte og op efter dansk lov.
Whistleblowerpolitikken skal være skriftlig, lettilgængelig og beskrive kanal, frister, fortrolighed, databehandling og beskyttelse mod repressalier.
Dokumentation over for revisor og Datatilsynet kræver en uforanderlig aktivitetslog med tidsstempler for hver fase af sagen.

Hvad er en whistleblowerordning — og hvorfor er den obligatorisk i Danmark?

En whistleblowerordning er den samlede procedure, kanal og dokumentation, som en organisation stiller til rådighed, så medarbejdere og andre kan indberette mistanke om alvorlige forseelser — uden frygt for repressalier. I Danmark er ordningen ikke længere valgfri for de fleste private arbejdsgivere.

Den danske lov om beskyttelse af whistleblowere, som bygger på EU-direktiv 2019/1937, blev vedtaget i 2021 og gælder for alle private arbejdsgivere med mindst 50 medarbejdere samt alle offentlige myndigheder uanset størrelse. For SMV'er med 50-80 ansatte betyder det i praksis, at ordningen som udgangspunkt er obligatorisk. Læs mere om direktivets krav i eu whistleblowing directive.

Formålet med ordningen er todelt. For det første skal den give medarbejdere en tryg og anonym kanal til at sige fra. For det andet skal den sikre, at organisationen kan dokumentere, at den har modtaget, håndteret og fulgt op på indberetninger inden for de frister, som loven fastsætter. En whistleblowerordning er altså ikke bare en indberetningsformular — det er et komplet compliance-system, der skal kunne stå for, at revisorer og Datatilsynet gransker det.

For danske SMV'er med 50-80 ansatte er det typisk HR-chefen eller en udpeget complianceansvarlig, der får ansvaret for at oprette og drive ordningen. Det er en opgave, der kræver både juridisk forståelse, teknisk indsigt i databeskyttelse og evnen til at dokumentere processen i praksis.

De 7 lovkrav din whistleblowerordning som minimum skal opfylde

Whistleblowerordningens krav følger direkte af EU-direktiv 2019/1937 og den danske lov. Der er syv krav, du skal opfylde som minimum, uanset om du vælger en manuel løsning eller en softwareplatform.

1. En uafhængig indberetningskanal

Kanalen skal være uafhængig af den daglige ledelse. Det betyder, at den person eller enhed, der modtager indberetninger, ikke må være den samme som den, der potentielt kan være genstand for indberetningen. I praksis oprettes kanalen typisk via en complianceansvarlig, en ekstern advokat eller en whistleblower-software med en neutral modtagerrolle.

2. Anonymitet for indberetteren

Indberetteren skal have mulighed for at indberette anonymt. Det er ikke nok, at indberetningen "behandles fortroligt" — anonymitet er en teknisk garanti, der kræver, at systemet ikke indsamler IP-adresser, cookies eller browser-fingeraftryk og ikke kræver e-mail eller login. Læs mere om, hvad ægte anonymitet kræver teknisk i anonymous reporting.

3. Syv-dages-kvittering

Enhver indberetning skal kvitteres inden for syv dage. Det er en af de to hårde frister i direktivet, og den gælder uanset organisationens størrelse. Kvitteringen skal sendes til indberetteren via den samme kanal, som indberetningen er modtaget i — derfor er tovejskommunikation et teknisk krav, ikke en feature.

4. Tre-måneders-opfølgning

Inden for tre måneder skal organisationen give indberetteren feedback på, hvordan indberetningen er håndteret. Det kræver, at sagen er oprettet, kategoriseret, undersøgt og afsluttet (eller videregivet til en myndighed) inden for fristen. Tre-måneders-fristen kan forlænges i særlige tilfælde, men kun med begrundelse og kun hvis indberetteren informeres.

5. Skriftlig politik

Organisationen skal have en skriftlig whistleblowerpolitik, der er lettilgængelig for alle medarbejdere. Politikken skal beskrive, hvordan ordningen fungerer, hvad der kan indberes, hvordan anonymitet beskyttes, og hvad der sker efter en indberetning.

Alle indberetninger indeholder personoplysninger — både om indberetteren, den indberettede og eventuelle vidner. Whistleblowerordningen skal derfor være GDPR-kompatibel, herunder have et lovligt behandlingsgrundlag, opbevaringsfrister og en databeskyttelsespolitik. Håndtering af personoplysninger i whistleblowerordninger er reguleret af GDPR (forordning 2016/679).

7. Dokumentation og revisionsklar logning

Hele processen skal kunne dokumenteres — fra indberetningens modtagelse over kvittering til afslutning. Det kræver en uforanderlig aktivitetstidslinje med tidsstempler for hver handling. Uden denne dokumentation kan du ikke bevise over for en revisor eller Datatilsynet, at du har overholdt fristerne.

Hvad skal whistleblowerordningen indeholde teknisk? (Indberetningskanal, anonymitet, tovejskommunikation)

De tekniske krav til whistleblowerordningen er der, de fleste danske SMV'er undervurderer. Det er ikke nok at have en e-mailadresse eller en formular på intranettet — der er konkrete tekniske specifikationer, som kanalen skal opfylde.

Hvad er forskellen på anonym og fortrolig indberetning?

Anonym indberetning betyder, at hverken organisationen eller modtageren kender indberetterens identitet — ikke engang i teorien. Fortrolig indberetning betyder, at modtageren kender identiteten, men forpligter sig til ikke at videregive den. For en whistleblowerordning, der skal være lovlig, er anonymitet det stærkeste valg — og det kræver en platform, der teknisk indikerer, at den ikke kan spore indberetteren.

Hvilke tekniske garantier skal indberetningssiden opfylde?

En lovlig indberetningsside skal mindst opfylde disse krav: ingen IP-indsamling, ingen cookies, ingen browser-fingeraftryk, ingen e-mail nødvendig, uafhængig tredjepart som modtager og end-to-end-kryptering. Hvis din indberetningsside bruger cookies eller logger IP-adresser, kan du ikke garantere anonymitet — uanset hvad der står i din politik.

Skal kanalen understøtte tovejskommunikation?

Ja. For at overholde syv-dages-kvitteringen og tre-måneders-opfølgningen skal organisationen kunne sende svar tilbage til indberetteren — uden at bryde anonymiteten. Det kræver en sikker tovejskommunikationskanal, hvor beskeder krypteres i indberetterens browser, før de sendes til serveren. Læs mere om de tekniske krav til en Intern whistleblowerkanal.

Skal indberetninger kunne ske mundtligt?

Ja, i praksis. Den danske lov kræver, at indberetninger kan ske skriftligt, men de fleste organisationer tilbyder også mulighed for mundtlig indberetning — for eksempel via tale-til-tekst-funktioner eller en hotline. Det øger tilgængeligheden og sikrer, at medarbejdere, der ikke er trygge ved at skrive, også kan sige fra.

Hvor skal indberetningerne opbevares?

Indberetninger og sagsdata skal opbevares i EU — helst i et EU-land med stærk databeskyttelseslovgivning. Hvis du vælger en cloud-løsning, skal du sikre dig, at hostinglandet er omfattet af et EU-databeskyttelsesniveau eller bedre, og at leverandøren ikke overfører data til tredjelande uden et gyldigt overførselsretligt grundlag.

De tre hårde frister: 7-dages-kvittering, 3-måneders-opfølgning og opbevaringsperiode

Fristerne i whistleblowerordningen er ikke til forhandling. Tre frister styrer hele processen, og de gælder for alle organisationer, der er omfattet af loven.

Hvad er syv-dages-kvitteringen, og hvornår starter den?

Syv-dages-kvitteringen starter den dag, indberetningen modtages af organisationen — ikke den dag, den sendes. Kvitteringen skal bekræfte modtagelsen og skal sendes til indberetteren via den samme kanal. Hvis organisationen ikke kvitterer inden syv dage, overtræder den loven.

Hvad er tre-måneders-opfølgningen?

Tre-måneders-opfølgningen er en pligt til at give indberetteren feedback på, hvordan sagen håndteres. Feedbacken skal som minimum oplyse, om sagen er undersøgt, om den er afsluttet, og om den er videregivet til en myndighed. Fristen kan forlænges i særlige tilfælde, men kun med begrundelse og kun hvis indberetteren informeres skriftligt.

Hvad er opbevaringsperioden for indberetninger?

Indberetninger må ikke opbevares længere end nødvendigt. Den danske lov og Datatilsynets praksis tilsiger typisk en opbevaringsperiode på to år efter sagens afslutning, medmindre der er en konkret grund til at opbevare længere. Personoplysninger, der ikke er relevante for sagen, skal slettes med det samme.

Hvad sker der, hvis en frist overskrides?

En overskredet frist kan udløse administrative bøder fra Datatilsynet og erstatningsansvar. I praksis er den største risiko ikke bøden i sig selv, men at en whistleblower, der ikke har modtaget svar, kan indgive klage til en myndighed, hvilket kan udvikle sig til en offentlig undersøgelse.

Hvad skal whistleblowerpolitikken skriftligt indeholde?

Indholdet af whistleblowerpolitikken er ikke en formalitet — det er et juridisk dokument, der skal leve op til lovens krav. Politikken skal være skriftlig, lettilgængelig og dække mindst syv punkter.

Hvad er formålet med politikken?

Politikken skal forklare, hvorfor ordningen findes, hvad der kan indberettes, og hvad der ikke kan. Formålet er at skabe klarhed for medarbejderne og vise, at organisationen tager indberetninger alvorligt. En velstruktureret politik reducerer antallet af indberetninger, der handler om forhold uden for ordningens anvendelsesområde.

Hvem kan indberette?

Politikken skal tydeligt angive, hvem der er omfattet — typisk ansatte, men ofte også konsulenter, praktikanter, aktionærer og forretningspartnere. Den danske lov dækker alle, der har en arbejdsrelateret forbindelse til organisationen.

Hvad kan der indberettes?

Politikken skal beskrive de forseelser, der er omfattet — typisk økonomisk kriminalitet, korruption, bestikkelse, svig, seksuel chikane, diskrimination, brud på arbejdsmiljøregler og alvorlige brud på GDPR. Listen skal være konkret, men ikke udtømmende.

Hvordan indberettes der?

Politikken skal beskrive indberetningskanalen trin for trin — hvordan medarbejderen tilgår den, hvad de skal skrive, og hvad de kan forvente som afsendere. Hvis du bruger en softwareplatform, skal politikken henvise til den, når den er tilgængelig.

Hvordan beskyttes anonymitet?

Politikken skal forklare, at indberetninger kan ske anonymt, og at identiteten på indberetteren beskyttes, uanset om indberetningen er anonym eller fortrolig. Den skal også beskrive, hvordan oplysningerne opbevares, og hvem der har adgang.

Hvad er fristerne?

Politikken skal angive syv-dages-kvitteringen og tre-måneders-opfølgningen tydeligt, så indberetteren ved, hvad de kan forvente. Fristerne er ikke til forhandling.

Hvad er beskyttelsen mod repressalier?

Politikken skal beskrive, at repressalier mod whistleblowere er forbudt, og hvad organisationen gør for at forhindre det. Det inkluderer for eksempel beskyttelse mod afskedigelse, degradering, ændring af arbejdsopgaver og social udstødelse.

Sådan dokumenterer du over for revisor og Datatilsynet — uden at miste overblikket

Dokumentation er der, de fleste whistleblowerordninger i Danmark fejler. Det er ikke nok at have en politik og en kanal — du skal kunne bevise, at processen er fulgt i praksis.

Hvad skal dokumentationen indeholde?

Dokumentationen skal som minimum indeholde: dato og klokkeslæt for modtagelse af indberetningen, dato for syv-dages-kvitteringen, sagsnummer, kategori af indberetning, hvilke personer der har haft adgang til sagen, dato for tre-måneders-feedback og dato for sagens afslutning. Alle tidsstempler skal være uforanderlige — det vil sige, at de ikke kan ændres bagefter. Læs mere om Sikkerhed & GDPR-compliance i forbindelse med whistleblowerlogning.

Hvad er en uforanderlig aktivitetslog?

En uforanderlig aktivitetslog er en log, hvor hver handling på en sag registreres med et tidsstempel, der ikke kan ændres uden at det bliver synligt. Det er forskelligt fra en almindelig logfil, hvor en administrator kan redigere i logs. For en whistleblowerordning er denne egenskab afgørende, fordi den er det eneste, der kan bevise over for en revisor, at fristerne er overholdt.

Hvordan eksporterer du dokumentation til en revisor?

Dokumentationen skal kunne eksporteres i et standardformat — typisk PDF eller CSV — som kan vedlægges en årsrapport eller en compliance-audit. Hvis din løsning kun kan vise data i en brugergrænseflade, kan du ikke dokumentere noget som helst.

Hvordan beskytter du dokumentationen mod uautoriseret adgang?

Dokumentation skal opbevares på samme sikkerhedsniveau som indberetningerne — det vil sige krypteret, i EU, og med adgangskontrol. Hvis en uautoriseret person kan tilgå sagsdata, overtræder du GDPR og kompromitterer whistleblowerens anonymitet.

Hvad kræver Datatilsynet specifikt?

Datatilsynet kræver, at du kan dokumentere dit lovlige behandlingsgrundlag for indberetninger (typisk retlig forpligtelse), at du har opfyldt oplysningspligten over for den indberettede, at du har slettet oplysninger, der ikke er relevante, og at du har overholdt opbevaringsfrister. Hvis du ikke kan dokumentere disse fire punkter, kan du få et påbud.

Tjekliste: 12 punkter du kan gå i gang med i dag

Tjekliste: 12 punkter du kan gå i gang med i dag Her er de tolv punkter, som du kan gå i gang med i dag. Tjeklisten er konkret, handlingsorienteret og følger den rækkefølge, som de fleste complianceansvarlige med succes har brugt.

Udnævn en ansvarlig person. Der skal være én person, der har det formelle ansvar for ordningen — typisk complianceansvarlig, HR-chef eller en ekstern advokat.
Vælg en indberetningskanal. Vælg mellem en manuel løsning (e-mail), en ekstern advokat eller en whistleblower-software. Hvis du er en SMV med begrænsede ressourcer, er en softwareløsning typisk mest omkostningseffektiv.
Sørg for, at kanalen er uafhængig. Kanalen skal administreres af en person eller enhed, der ikke er en del af den daglige ledelse.
Sikre anonymitet teknisk. Kontakt din løsning og spørg, om indberetningssiden indsamler IP-adresser, sætter cookies eller indsamler fingeraftryk. Hvis ja, er det ikke en anonym kanal.
Opsæt fristovervågning. Du skal have et system, der advarer dig, inden syv-dages-kvitteringen udløber, og inden tre-måneders-fristen udløber. Manuel fristovervågning i en kalender er en typisk fejlkilde.
Skriv whistleblowerpolitikken. Brug en skabelon, men tilpas den til din organisation. Politikken skal være på dansk og lettilgængelig for alle ansatte.
Oplys medarbejderne. Alle medarbejdere skal vide, at ordningen findes, hvad de kan indberette, og hvordan de indberetter. Det er ikke nok at lægge politikken på intranettet — du skal aktivt kommunikere den.
Opret sagsbehandlingsdata. Definer en proces for, hvordan sager modtages, kategoriseres, undersøges og afsluttes. Processen skal være dokumenteret og ensartet.
Aktivér tovejskommunikation. Du skal kunne svare indberetteren — anonymt og sikkert — både ved syv-dages-kvitteringen og ved tre-måneders-feedback.
Aktivér uforanderlig logning. Hver sag skal have en aktivitetslog, der ikke kan ændres bagefter. Det er dit eneste bevis over for revisor og Datatilsynet.
Definér opbevaringsperiode og sletningsproces. Hvor længe opbevarer du sager? Hvornår sletter du irrelevante oplysninger? Hvem har adgang?
Planlæg en årlig revision. Mindst én gang om året: gå hele ordningen igennem. Fungerer kanalen? Er politikken stadig relevant? Er der sket ændringer i lovgivningen, du skal tage højde for?

Hvem driver ordningen i praksis — og hvad kræver det?

I de fleste danske SMV'er er det den complianceansvarlige eller HR-chefen, der i praksis driver ordningen, men de har sjældent tid til at håndtere manuelle processer som fristovervågning og uforanderlig logning ved siden af deres øvrige opgaver. Nogle vælger at lade en ekstern compliance-konsulent håndtere sagerne, andre vælger at udlicitere driften til en advokat. Den mest skalerbare løsning for SMV'er med 50-80 ansatte er typisk en whistleblower-software, der automatiserer frister, logning og tovejskommunikation — forudsat at den opfylder de tekniske krav om anonymitet, EU-hosting og databeskyttelse, som den danske lov og EU-direktivet stiller. Hvis du er en complianceansvarlig, der skal vælge løsning, er det værd at se, hvordan for compliance officers typisk arbejder med ordningen i praksis.

Ofte stillede spørgsmål

Hvornår er en whistleblowerordning obligatorisk i Danmark?

En whistleblowerordning er obligatorisk for alle private arbejdsgivere med mindst 50 ansatte og for alle offentlige myndigheder uanset størrelse, efter den danske lov om beskyttelse af whistleblowere. SMV'er under 50 ansatte kan være fritaget, men frivillige ordninger anbefales stadig, fordi de forbedrer whistleblowerens retsstilling, hvis en sag opstår.

Hvad koster det at oprette en whistleblowerordning?

Omkostningerne varierer fra gratis (en simpel e-mailadresse med en tovende procedure) til flere tusinde kroner pr. år for en softwareløsning. For SMV'er med 50-80 ansatte er en whistleblower-software typisk den mest omkostningseffektive løsning, fordi den automatiserer de manuelle processer, som ellers ville kræve ekstra personale.

Kan der indberettes anonymt?

Ja, det er et krav, at indberetteren skal have mulighed for at indberette anonymt. Anonymitet er en teknisk garanti, der kræver, at indberetningssiden ikke indsamler IP-adresser, cookies eller browser-fingeraftryk og ikke kræver e-mail eller login. Hvis din platform ikke opfylder disse krav, er den ikke en anonym kanal.

Hvad sker der, hvis en medarbejder indberetter noget falsk?

Hvis en medarbejder bevidst indberetter falske oplysninger, kan det have ansættelsesretlige konsekvenser. Whistleblowerordningen beskytter kun medarbejdere, der indberetter i god tro. Organisationen skal dokumentere sin vurdering af, om indberetningen er afgivet i god tro, hvis den senere bliver udfordret.

Hvad er forskellen på intern og ekstern whistleblowerordning?

En intern whistleblowerordning er organisationens egen kanal til indberetninger. En ekstern whistleblowerordning er en kanal hos en myndighed, for eksempel Datatilsynet eller en særlig whistleblower-myndighed. Den danske lov kræver, at du opretter en intern kanal, men indberetteren har også ret til at gå direkte til en ekstern myndighed.