Προθεσμίες whistleblowing στην Ελλάδα: 7 ημέρες, 3 μήνες και όλα τα deadlines

Ο νόμος ορίζει σαφή χρονικά περιθώρια: αν δεν απαντήσεις σε 7 ημέρες ή δεν κλείσεις υπόθεση σε 3 μήνες, η μη συμμόρφωση στοιχίζει ακριβά. Οι προθεσμίες whistleblowing ελλαδα, όπως προκύπτουν από τον Νόμο 4990/2022 που ενσωμάτωσε την ευρωπαϊκή Οδηγία (ΕΕ) 2019/1937, είναι νομικά δεσμευτικά χρονικά όρια που κάθε υπόχρεη επιχείρηση οφείλει να τηρεί, με τεκμηριωμένη απόδειξη. Η παρούσα ανάλυση καλύπτει τα ουσιώδη deadlines, τον τρόπο μέτρησης του χρόνου, τις κυρώσεις και την πρακτική υλοποίηση.

Βασικά σημεία

Η επιβεβαίωση παραλαβής οφείλεται εντός 7 ημερών από την υποβολή της αναφοράς, ακόμη κι αν η υπόθεση δεν έχει ακόμη αξιολογηθεί.
Η ουσιαστική επιστροφή πρέπει να ολοκληρωθεί εντός 3 μηνών, με δυνατότητα παράτασης έως 3 επιπλέον μήνες σε δικαιολογημένες περιπτώσεις.
Τα αρχεία υποθέσεων πρέπει να τηρούνται για τουλάχιστον 5 έτη μετά το κλείσιμο, ενώ τα προσωπικά δεδομένα διαγράφονται νωρίτερα εφόσον δεν είναι πλέον απαραίτητα.
Οι κυρώσεις για παράβαση των προθεσμιών φτάνουν έως 100.000 ευρώ για νομικά πρόσωπα και 25.000 ευρώ για ατομικές επιχειρήσεις.
Η αυτοματοποίηση των reminders μέσα από εξειδικευμένο λογισμικό μειώνει σημαντικά τον κίνδυνο παράλειψης, χωρίς ωστόσο να αντικαθιστά την οργανωτική ευθύνη.

Ποιες προθεσμίες επιβάλλει ο Νόμος 4990/2022 σε ελληνικές επιχειρήσεις

Οι υποχρεώσεις εργοδότη whistleblowing στην Ελλάδα συνοψίζονται σε τέσσερα κρίσιμα χρονικά όρια, μετρώμενα από τη στιγμή υποβολής της αναφοράς. Η eu whistleblowing directive αποτυπώνει τα ίδια ορόσημα σε ευρωπαϊκό επίπεδο, ενώ ο Νόμος 4990/2022 τα εξειδικεύει για την ελληνική έννομη τάξη, προσθέτοντας ρυθμίσεις για τον αρμόδιο εθνικό φορέα και τις τοπικές υποχρεώσεις δημοσίου τομέα.

Τα τέσσερα κύρια deadlines που δεσμεύουν κάθε υπόχρεη οντότητα είναι τα ακόλουθα:

7 ημέρες για την αποστολή επιβεβαίωσης παραλαβής στον αναφέροντα.
3 μήνες για την παροχή επαρκούς επιστροφής σχετικά με τα μέτρα που ελήφθησαν ή προγραμματίστηκαν.
Δυνατότητα παράτασης 3 επιπλέον μηνών όταν η πολυπλοκότητα της υπόθεσης το δικαιολογεί, με έγγραφη αιτιολόγηση προς τον αναφέροντα πριν λήξει η αρχική προθεσμία.
Τήρηση αρχείου για 5 τουλάχιστον έτη μετά το οριστικό κλείσιμο της υπόθεσης, σύμφωνα με τις απαιτήσεις τεκμηρίωσης.

Οι προθεσμίες αυτές δεν αφορούν μόνο ιδιωτικές επιχειρήσεις. Δημόσιοι φορείς, οργανισμοί τοπικής αυτοδιοίκησης και νομικά πρόσωπα δημοσίου δικαίου υπάγονται στο ίδιο καθεστώς, με πρόσθετες υποχρεώσεις για τον διορισμό αρμόδιου υπαλλήλου και την τήρηση ειδικού πρωτοκόλλου.

Για τις ιδιωτικές επιχειρήσεις, η υποχρέωση ενεργοποιείται κατά κανόνα στο όριο των 50 εργαζομένων, ενώ για ορισμένους κλάδους (χρηματοπιστωτικός, ασφαλιστικός, κανονιζόμενος) η ενεργοποίηση γίνεται ανεξαρτήτως αριθμού προσωπικού. Αυτό σημαίνει ότι αρκετές μικρές και μεσαίες επιχειρήσεις στην Ελλάδα εμπίπτουν ήδη στο πεδίο εφαρμογής, χωρίς να το γνωρίζουν, με αποτέλεσμα να θεωρούν ότι απαλλάσσονται ενώ στην πραγματικότητα υπόκεινται σε πλήρεις υποχρεώσεις.

Πώς μετράει ο χρόνος: ημέρα υποβολής, Σαββατοκύριακα και αργίες

Η ακριβής μέτρηση των deadlines τίθεται συχνά στην πράξη: αν μια αναφορά υποβληθεί Παρασκευή βράδυ, πότε ξεκινά η προθεσμία; Η μέτρηση ξεκινά την επομένη εργάσιμη ημέρα μετά την υποβολή, με τα Σαββατοκύριακα και τις επίσημες αργίες να μην υπολογίζονται όταν παρεμβάλλονται μεταξύ της έναρξης και της λήξης. Έτσι, μια αναφορά που φτάνει Παρασκευή στις 22:00 μετράει από τη Δευτέρα, δίνοντας πραγματικό περιθώριο 11 ημερών για την επιβεβαίωση των 7 ημερών.

Για την προθεσμία των 3 μηνών ισχύει αντίστοιχη λογική: η καταληκτική ημερομηνία υπολογίζεται στην αντίστοιχη ημερομηνία του τρίτου μήνα, ή στην τελευταία εργάσιμη του μήνα εάν η αντίστοιχη ημερομηνία είναι αργία. Ειδικά για τις υποθέσεις που αφορούν χρηματοπιστωτικά ιδρύματα, ο εποπτικός φορέας εφαρμόζει αυστηρότερη ερμηνεία, θεωρώντας ότι η προθεσμία δεν «παγώνει» κατά τη διάρκεια εσωτερικών ερευνών.

Τι γίνεται αν η αναφορά υποβληθεί την παραμονή αργίας;

Σε αυτή την περίπτωση, η υποβολή θεωρείται ότι έγινε την επόμενη εργάσιμη. Οι υπεύθυνοι διαχείρισης αναφορών οφείλουν να γνωρίζουν τις επίσημες αργίες που ισχύουν στην έδρα της εταιρείας, αλλά και τις τοπικές αργίες όταν διαχειρίζονται αναφορές από πολλές περιφέρειες. Ένα κοινό λάθος είναι ο υπολογισμός βάσει ημερολογιακών ημερών αντί εργάσιμων, που οδηγεί σε τυπικά ορθή αλλά ουσιαστικά εκπρόθεσμη απάντηση.

Τι πρέπει να περιέχει η επιβεβαίωση μέσα στις 7 ημέρες

Η επιβεβαίωση παραλαβής δεν είναι απλή γραφειοκρατική πράξη ούτε αρκεί ένα αυτοματοποιημένο μήνυμα τύπου «λάβαμε την αναφορά σας». Πρόκειται για νομικά καθορισμένη υποχρέωση με συγκεκριμένο ελάχιστο περιεχόμενο. Η επιβεβαίωση πρέπει να περιλαμβάνει τη μοναδική ταυτότητα υπόθεσης (case ID), την ημερομηνία παραλαβής, τα στοιχεία επικοινωνίας του αρμόδιου υπαλλήλου, σαφή αναφορά στα επόμενα βήματα και στο χρονοδιάγραμμα, καθώς και υπενθύμιση των δικτύων εργαλείων προστασίας του αναφέροντα.

Επιπλέον, αν η αναφορά υποβλήθηκε ανώνυμα, η επιβεβαίωση πρέπει να διευκρινίζει πώς θα γίνει η επικοινωνία χωρίς να αποκαλυφθεί η ταυτότητα — συνήθως μέσω ειδικού κωδικού και ασφαλούς καναλιού εντός του internal reporting channel. Η σωστή διαχείριση ανώνυμων αναφορών είναι ιδιαίτερα κρίσιμη, καθώς η αποκάλυψη στοιχείων μπορεί να στοιχειοθετήσει παράβαση της gdpr.

Πώς αποδεικνύεται η έγκαιρη αποστολή επιβεβαίωσης;

Κάθε αποστολή επιβεβαίωσης πρέπει να αρχειοθετείται μαζί με το ακριβές timestamp αποστολής και τον παραλήπτη. Σε περίπτωση ελέγχου, η έλλειψη αποδεικτικού στοιχείου θεωρείται ότι η επιβεβαίωση δεν εστάλη, ακόμη κι αν εστάλη στην πραγματικότητα. Τα συστήματα που δεν παράγουν αδιάβλητα logs δεν επαρκούν για την κάλυψη αυτής της υποχρέωσης. Ως πρακτικό μέτρο, συνιστάται η αποθήκευση και του περιεχομένου του μηνύματος, ώστε να αποδεικνύεται ότι πληρούσε τις ελάχιστες προϋποθέσεις.

Τι σημαίνει επαρκής επιστροφή εντός 3 μηνών και πότε επεκτείνεται

Η επιστροφή προς τον αναφέροντα εντός 3 μηνών αποτελεί την ουσιαστική εκπλήρωση της υποχρέωσης. Ο Νόμος 4990/2022 ορίζει ότι η επιστροφή πρέπει να είναι «επαρκής», δηλαδή να ενημερώνει τον αναφέροντα για τα μέτρα που ελήφθησαν ή προγραμματίστηκαν, ή για τους λόγους μη διερεύνησης. Η επιστροφή δεν χρειάζεται να αποκαλύπτει πειθαρχικές κυρώσεις ή εμπιστευτικές πληροφορίες τρίτων, αλλά πρέπει να είναι ειλικρινής και να μην παραπλανεί.

Ως παράδειγμα, σε υπόθεση δωροδοκίας η «επαρκής» επιστροφή μπορεί να αναφέρει ότι διενεργήθηκε έρευνα, κινήθηκε πειθαρχική διαδικασία και ενισχύθηκαν οι έλεγχοι, χωρίς να ονοματίζει τον εμπλεκόμενο υπάλληλο. Αντίθετα, η γενική φράση «η υπόθεση τέθηκε στο αρχείο» δεν πληροί τον όρο της επάρκειας.

Η προθεσμία των 3 μηνών μπορεί να παραταθεί έως 3 επιπλέον μήνες, αλλά μόνο υπό συγκεκριμένες προϋποθέσεις: η πολυπλοκότητα της υπόθεσης πρέπει να δικαιολογεί την παράταση, η παράταση πρέπει να γνωστοποιηθεί εγγράφως στον αναφέροντα πριν λήξει η αρχική προθεσμία, και η αιτιολόγηση πρέπει να αρχειοθετείται. Η σιωπηρή παράταση δεν επιτρέπεται και θεωρείται παράβαση.

Πότε η παράταση δεν γίνεται δεκτή;

Η παράταση δεν δικαιολογείται όταν η καθυστέρηση οφείλεται σε οργανωτική αδράνεια της επιχείρησης — για παράδειγμα, αν δεν έχει οριστεί αρμόδιος υπάλληλος ή αν τα αιτήματα δεν δρομολογούνται εγκαίρως. Ο ελεγκτής θα εξετάσει τον πραγματικό λόγο καθυστέρησης και θα κρίνει αν συντρέχει πραγματική αναγκαιότητα ή πρόκειται για εσωτερική αδυναμία που δεν αιτιολογεί παράταση. Αποδεκτές αιτιολογήσεις είναι η αναμονή πραγματογνωμοσύνης, η διασυνοριακή συνεργασία με αργές απαντήσεις και η κλίμακα της υπόθεσης που απαιτεί πολυμερή έρευνα.

Πόσο πρέπει να τηρούνται τα αρχεία υποθέσεων μετά το κλείσιμο

Η τήρηση αρχείου αναφοράς υπόθεσης αποτελεί ξεχωριστή υποχρέωση που εκτείνεται πολύ πέρα από το κλείσιμο. Ο Νόμος 4990/2022 προβλέπει ελάχιστη περίοδο τήρησης 5 ετών μετά την ολοκλήρωση της επιστροφής στον αναφέροντα, ενώ για υποθέσεις που σχετίζονται με ποινικά αδικήματα ή αξιόποινες πράξεις, η περίοδος μπορεί να επεκταθεί σε 10 έτη. Τα αρχεία πρέπει να περιλαμβάνουν κάθε σχετικό έγγραφο: την αρχική αναφορά, τις επιβεβαιώσεις, τα αποτελέσματα έρευνας, τις αποφάσεις και τις τελικές επιστροφές.

Ειδική μέριμνα απαιτείται για τα προσωπικά δεδομένα: τα στοιχεία ταυτοποίησης του αναφέροντα και τυχόν τρίτων προσώπων που εμπλέκονται στην υπόθεση διαγράφονται νωρίτερα, εφόσον δεν είναι πλέον απαραίτητα για τον σκοπό της τήρησης. Η κανονιστική πρόβλεψη της gdpr εφαρμόζεται παράλληλα σε αυτή του Νόμου 4990/2022, και η επιχείρηση οφείλει να συμμορφώνεται και με τις δύο, τηρώντας πρακτικά τη βραχύτερη χρονική υποχρέωση σε κάθε στάδιο.

Ποια δεδομένα δεν πρέπει να αρχειοθετούνται;

Οι ηχογραφήσεις συνεντεύξεων, τα προσωπικά σημειώματα του ερευνητή και τα δεδομένα υγείας ή θρησκευτικών πεποιθήσεων πρέπει να τυγχάνουν ειδικής μεταχείρισης. Αν δεν είναι απολύτως αναγκαία για την τεκμηρίωση, πρέπει να διαγράφονται αμέσως μετά την ολοκλήρωση της επιστροφής. Τα ηλεκτρονικά αρχεία συνιστάται να φυλάσσονται κρυπτογραφημένα, με περιορισμένη πρόσβαση και σαφή πολιτική διαγραφής βάσει χρονοδιαγράμματος.

Ποιες κυρώσεις προβλέπονται αν δεν τηρηθούν τα deadlines

Τα πρόστιμα whistleblowing στην ελληνική νομοθεσία διαφοροποιούνται ανάλογα με τον τύπο της παράβασης και την κατηγορία του υπόχρεου. Η μη τήρηση των προθεσμιών επιβεβαίωσης και επιστροφής, η παράλειψη τήρησης αρχείου και η παραβίαση της εμπιστευτικότητας αποτελούν τρεις διακριτές κατηγορίες παραβάσεων με αντίστοιχα διαφορετικά ύψη προστίμων.

Τα βασικά ύψη προστίμων που εφαρμόζονται σήμερα είναι:

Έως 100.000 ευρώ για νομικά πρόσωπα που παραβιάζουν τις υποχρεώσεις εσωτερικής αναφοράς, συμπεριλαμβανομένων των προθεσμιών.
Έως 25.000 ευρώ για ατομικές επιχειρήσεις και μικρότερες οντότητες.
Έως 5.000 ευρώ για παραβάσεις που αφορούν αποκλειστικά την τήρηση αρχείου, όταν η υπόθεση έχει ολοκληρωθεί κανονικά αλλά τα αρχεία δεν τηρήθηκαν επαρκώς.

Πέρα από τα χρηματικά πρόστιμα, οι σοβαρές παραβάσεις μπορούν να επισύρουν και διοικητικές κυρώσεις, όπως η υποχρέωση δημοσιοποίησης της παράβασης, η επιβολή ειδικών όρων εσωτερικού ελέγχου ή, σε ακραίες περιπτώσεις, η ανάκτηση δημόσιων ενισχύσεων.

Πώς υπολογίζεται το ύψος του προστίμου;

Ο υπολογισμός βασίζεται σε τρία κριτήρια: τη σοβαρότητα της παράβασης, τη διάρκεια της μη συμμόρφωσης και τον αριθμό των εμπλεκομένων προσώπων. Η αρμόδια αρχή εφαρμόζει αναλογική μείωση όταν η επιχείρηση αποδείξει ότι έχει λάβει διορθωτικά μέτρα πριν την οριστική κύρωση. Αντίστροφα, η υποτροπή ή η συστηματική αδράνεια οδηγεί σε επιβάρυνση του προστίμου προς το ανώτατο όριο.

Βήμα-βήμα υλοποίηση: πίνακας εργασίας με αυτοματοποιήσεις

Η πρακτική εφαρμογή των προθεσμιών απαιτεί συγκεκριμένη μεθοδολογία και εργαλεία. Ακολουθεί ένας ολοκληρωμένος πίνακας εργασίας που μπορεί να εφαρμοστεί από εταιρείες κάθε μεγέθους, με σαφείς ρόλους, υπευθυνότητες και σημεία αυτοματοποίησης. Ο πίνακας ενσωματώνει τις απαιτήσεις του rollen rechte compliance για τη σωστή κατανομή αρμοδιοτήτων και τηρεί τις αρχές τεκμηρίωσης που προβλέπονται στη νομοθεσία. Για τη μακροπρόθεσμη τήρηση των δεδομένων ισχύουν και οι χρονικοί κανόνες του audit lokin sailytysajat.

Βήμα	Υπεύθυνος	Χρονικό όριο	Αυτοματοποίηση	Παραδοτέο
Παραλαβή αναφοράς	Σύστημα	Άμεσα	Αυτόματη καταγραφή	Case ID, timestamp
Επιβεβαίωση παραλαβής	Αρμόδιος υπάλληλος	7 ημέρες	Αυτόματη αποστολή template	Email/SMS αναφέροντα
Αξιολόγηση σοβαρότητας	Αρμόδιος υπάλληλος	14 ημέρες	Αυτόματο flagging	Έκθεση αξιολόγησης
Έρευνα	Ερευνητής/Επιτροπή	60 ημέρες	Workflow tracking	Πόρισμα
Επιστροφή σχετική	Αρμόδιος υπάλληλος	90 ημέρες	Αυτόματη υπενθύμιση	Επιστολή επιστροφής
Αρχειοθέτηση	Διαχειριστής	5 έτη	Αυτόματη διατήρηση	Αρχείο υπόθεσης

Η αυτοματοποίηση αφορά κυρίως τα reminders και την τήρηση logs, αλλά η τελική αξιολόγηση και η επιστροφή πρέπει να παραμένουν σε ανθρώπινο επίπεδο, καθώς απαιτούν κρίση και κατανόηση του πλαισίου. Ένα έτοιμο λογισμικό whistleblowing μπορεί να αναλάβει τη ροή από την υποβολή έως την αρχειοθέτηση, χωρίς ωστόσο να αντικαθιστά την οργανωτική δέσμευση. Εργαλεία όπως το ashio ενσωματώνουν τις παραπάνω ροές σε ένα ενιαίο περιβάλλον, κατάλληλο για ομάδες που δεν διαθέτουν εξειδικευμένο compliance officer, και μπορεί κανείς να κάνει sign up για να δει πώς λειτουργούν οι αυτοματισμοί στην πράξη.

Ποια εργαλεία χρειάζονται για την αυτοματοποίηση;

Για την αποτελεσματική αυτοματοποίηση, απαιτούνται τέσσερα βασικά εργαλεία: σύστημα διαχείρισης υποθέσεων (case management), εργαλείο αποστολής επιβεβαιώσεων και επιστροφών, σύστημα ηλεκτρονικής αρχειοθέτησης με αδιάβλητα logs και εργαλείο ενημέρωσης για τις επερχόμενες νομοθετικές αλλαγές. Ο συνδυασμός τους εξασφαλίζει ότι καμία υποχρέωση δεν πέφτει μεταξύ των ρωγμών, ενώ η χρήση ενιαίας πλατφόρμας μειώνει την πιθανότητα ασυμβασιών μεταξύ των logs των επιμέρους εργαλείων.

Συχνές ερωτήσεις για παρατάσεις και ειδικές περιπτώσεις

Πότε ακριβώς μπορώ να ζητήσω παράταση των 3 μηνών;

Η παράταση ζητείται εγγράφως πριν λήξει η αρχική προθεσμία των 3 μηνών και πρέπει να αιτιολογείται επαρκώς. Η πολυπλοκότητα της υπόθεσης, η ανάγκη για πρόσθετη έρευνα ή η αναμονή στοιχείων από τρίτους φορείς αποτελούν αποδεκτές αιτιολογήσεις. Η παράταση δεν μπορεί να υπερβαίνει τους 3 επιπλέον μήνες σε καμία περίπτωση, και η επιχείρηση οφείλει να ενημερώσει τον αναφέροντα για τους λόγους και την αναμενόμενη διάρκεια.

Τι γίνεται αν ο αναφέρων δεν απαντήσει στην επιβεβαίωση;

Αν ο αναφέρων δεν απαντήσει, η επιβεβαίωση θεωρείται ότι έχει εκπληρώσει την υποχρέωση της επιχείρησης από τη στιγμή που εστάλη. Η επιχείρηση οφείλει να αρχειοθετήσει την απόπειρα επικοινωνίας και να συνεχίσει τη διαχείριση της υπόθεσης κανονικά. Η μη ανταπόκριση ή η αδυναμία επικοινωνίας δεν αναστέλλει τις υποχρεώσεις ούτε δικαιολογεί παράλειψη ενεργειών.

Πρέπει να αρχειοθετώ τα στοιχεία ταυτότητας του αναφέροντα;

Η ταυτότητα του αναφέροντα τηρείται μόνο εφόσον είναι απαραίτητη για την υπόθεση και για όσο διάστημα απαιτείται. Μετά το κλείσιμο της υπόθεσης, τα προσωπικά δεδομένα διαγράφονται εφόσον δεν υπάρχει νόμιμος λόγος διατήρησης. Η τήρηση των δεδομένων για μεγαλύτερο διάστημα χωρίς αιτιολόγηση αποτελεί παράβαση της gdpr και μπορεί να επισύρει πρόσθετες κυρώσεις.

Πώς χειρίζομαι αναφορά που αφορά τον ίδιο τον αρμόδιο υπάλληλο;

Σε αυτή την περίπτωση, η υπόθεση πρέπει να παραπεμφθεί σε ανώτερο όργανο για χειρισμό, με σαφή τεκμηρίωση της αλλαγής. Ο αρμόδιος υπάλληλος αποκλείεται από την πρόσβαση στα στοιχεία της υπόθεσης, και ο νέος χειριστής ορίζεται με σχετική απόφαση. Η διαδικασία αυτή πρέπει να προβλέπεται στην πολιτική whistleblowing της επιχείρησης και να αρχειοθετείται κάθε φορά που ενεργοποιείται, ώστε να αποφεύγονται φαινόμενα σύγκρουσης συμφερόντων.

Ποια είναι η διαφορά μεταξύ whistleblowing και καταγγελίας στο ΣΕΠΕ;

Το whistleblowing αφορά αναφορά παραβάσεων που εμπίπτουν στο πεδίο εφαρμογής της Οδηγίας (ΕΕ) 2019/1937 και του Νόμου 4990/2022, ενώ η καταγγελία στο ΣΕΠΕ αφορά εργατικές διαφορές και παραβάσεις της εργατικής νομοθεσίας. Οι δύο διαδικασίες μπορούν να συνυπάρχουν και η ίδια υπόθεση μπορεί να υποβληθεί και στα δύο κανάλια, αλλά οι υποχρεώσεις και οι προθεσμίες διαφέρουν σημαντικά. Ειδικά για τις εργατικές καταγγελίες, δεν εφαρμόζονται οι προθεσμίες των 7 ημερών και 3 μηνών, αλλά οι γενικότερες διατάξεις της εργατικής νομοθεσίας.