Har din organisation minst 50 anställda?
- JaDirektivets krav gäller din organisation. Bekräftelse inom 7 dagar och uppföljning inom 3 månader krävs.
- NejGå vidare till nästa fråga — du kan vara undantagen.
🇪🇺 EU-direktiv 2019/1937
Visselblåsardirektivet: allt organisationer i Sverige behöver veta.
EU:s visselblåsardirektiv (EU 2019/1937) är grunden för skyddet av visselblåsare i hela EU. Sedan december 2021 är det obligatoriskt för organisationer med minst 50 anställda. Läs vad direktivet kräver, hur det skiljer sig från den svenska lagen, och hur Ashio hjälper dig uppfylla det.
Översikt
Vad är visselblåsardirektivet?
EU:s visselblåsardirektiv (formellt Europaparlamentets och rådets direktiv (EU) 2019/1937 om skydd för personer som rapporterar om överträdelser av unionsrätten) antogs den 23 oktober 2019 och trädde i kraft den 16 december 2019. Det är den första EU-lagstiftningen som helt och hållet är inriktad på att skydda personer som rapporterar om missförhållanden. Direktivet fastställer gemensamma miniminormer för alla medlemsländer, så att en visselblåsare i Sverige åtnjuter samma skydd som en i Spanien eller Tyskland.
Direkt eller via ombud?
Är du skyldig enligt direktivet?
Tre dörrar: om du går in genom någon av dem är du skyldig att inrätta en intern rapporteringskanal.
Arbetar ni i en reglerad sektor?
Finansiella tjänster, försäkringar, flyg, sjöfart, värdepapper, hantering av kärnämnen eller produktsäkerhet: direktivet gäller er oavsett storlek.
Är ni offentlig sektor?
Kommuner, myndigheter, regioner och statligt ägda bolag omfattas av direktivet. Små kommuner kan samordna kanalen regionalt.
Skyldig enligt direktivet
Kontakta oss för en snabb konfigurationskonsultation. Kanalen kan vara i drift inom en vecka, med fullständig efterlevnad av direktivet.
Tillämpningsområde
Vem omfattas av direktivet?
Direktivet gäller för organisationer som uppfyller minst ett av tre kriterier. Gränserna gäller oavsett bransch och organisationsform.
Privata organisationer med minst 50 anställda
Räknat som medeltal av arbetstagare under det senaste året. Aktiebolag, handelsbolag, stiftelser, föreningar: alla omfattas när tröskeln är uppnådd.
Offentlig sektor i sin helhet
Alla offentliga organ, kommuner, myndigheter, regioner och statligt ägda bolag. Mycket små kommuner kan samordna kanalen regionalt.
Reglerade sektorer oavsett storlek
Finansiella tjänster, försäkring, flyg, sjöfart, värdepapper, hantering av kärnämnen och produktsäkerhet: dessa omfattas redan från första anställd enligt respektive sektorsregler.
Direktivets krav
Sex krav som varje organisation måste uppfylla
Direktivet är tydligt med sex konkreta skyldigheter. Organisationer som uppfyller dem alla uppfyller direktivet fullt ut — under förutsättning att den nationella omsättningen inte ställer ytterligare krav.
Intern rapporteringskanal
En säker kanal där anställda — och ofta även tredje part — kan rapportera överträdelser av unionsrätten. Skriftliga, muntliga och fysiska rapporter måste vara möjliga.
Bekräftelse inom 7 dagar
Senast sju dagar efter mottagandet måste organisationen formellt bekräfta rapporten till rapportören. Tidsfristen är tvingande och utan undantag.
Återkoppling inom 3 månader
Inom tre månader efter bekräftelsen måste organisationen informera rapportören om uppföljningsåtgärder. Vid komplexa ärenden kan detta förlängas till sex månader med motivering.
Skydd mot repressalier
Rapportören är skyddad mot uppsägning, nedgradering, förflyttning och alla former av repressalier. Bevisbördan ligger hos arbetsgivaren vid tvist.
Stöd för anonyma rapporter
Kanalen måste kunna ta emot och hantera anonyma rapporter. Identiteten samlas inte in om rapportören så önskar. Detta är en av de centrala delarna av direktivet.
Register och dokumentation
Alla mottagna rapporter och uppföljningsåtgärder måste registreras i ett spårbart register. Personuppgifter hanteras enligt GDPR.
Direktivet vs Svensk lag
Visselblåsardirektivet vs Visselblåsarlagen
Direktivet är bindande EU-lagstiftning som alla medlemsländer måste omsätta. Visselblåsarlagen (SFS 2021:890) är Sveriges nationella omsättning. Skillnaden är i detaljerna; grundkraven är desamma.
| Typ | EU-direktiv 2019/1937 | Visselblåsarlagen SFS 2021:890 |
|---|---|---|
| Typ | EU-direktiv (harmoniserar) | Svensk lag (tillämpar) |
| Antogs | 23 oktober 2019 | 1 januari 2022 |
| Träder i kraft | 16 december 2019 | 17 december 2021 |
| Skyldiga | ≥ 50 anställda (samma gräns) | Samma gräns |
| Tidsfrister | 7 dagar / 3 månader | Samma krav |
| Anonyma rapporter | Stöds och rekommenderas | Samma hantering |
| Skydd | Mot repressalier (omfattande) | Samma, med nationella tillägg |
| Ansvarig myndighet | Nationell myndighet (per land) | Integritetsskyddsmyndigheten (IMY) |
Direktivet är bindande EU-lagstiftning som alla medlemsländer måste omsätta. Visselblåsarlagen (SFS 2021:890) är Sveriges nationella omsättning. Skillnaden är i detaljerna; grundkraven är desamma.Läs mer om Visselblåsarlagen →
Viktiga datum
Tidslinje för direktivets efterlevnad
Direktivet (2019/1937) har en tydlig tidslinje. Organisationer som idag behöver agera bör utgå från dessa datum och den svenska lagens ikraftträdande.
23 oktober 2019
Direktivet antas
Europaparlamentet och rådet antar Europaparlamentets och rådets direktiv (EU) 2019/1937.
16 december 2019
Direktivets ikraftträdande
Direktivet träder i kraft, vilket påbörjar nationell omsättning.
17 december 2021
Nationell omsättning klar
Medlemsländerna måste ha satt direktivet i kraft nationellt. Sverige gör detta via visselblåsarlagen SFS 2021:890.
17 december 2021
Större organisationer följsedan
Organisationer med minst 250 anställda måste följa direktivet.
17 december 2023
Mindre organisationer följsedan
Organisationer med 50–249 anställda måste följa direktivet.
Konsekvenser
Vad händer om man inte följer direktivet?
Direktivet självt innehåller inte direkta ekonomiska sanktioner. Konsekvenserna kommer via dataskydd, civilrättsliga processer och indirekta kostnader.
Sanktioner från dataskyddsmyndighet
Bristande anonymitet eller felaktig personuppgiftshantering rapporteras till Integritetsskyddsmyndigheten. IMY kan utfärda administrativa böter enligt GDPR.
Skadestånd vid repressalier
En rapportör som utsätts för repressalier kan stämma organisationen i tingsrätt. Skadestånd kan bli avsevärda vid förlorad anställning eller rykte.
Direkt åtkomst till tillsyn
Avsaknad av kanal ger rapportören rätt att gå direkt till Integritetsskyddsmyndigheten, och i vissa fall att offentliggöra informationen i media.
Reputation och marknadsförlust
En misslyckad kanal genererar negativ publicitet som kan kosta mångfalt mer än böter. Förtroendet från kunder, investerare och partners eroderar snabbt.
Officiella källor
Direktivet och dess nationella omsättning
För att själv verifiera eller läsa originaltexterna, här är de officiella källorna.
EUR-Lex – direktiv 2019/1937
Officiell EU-källa med hela direktivet, samtliga artiklar och konsoliderad version. Endast på EU:s officiella språk.
eur-lex.europa.eu →Riksdagen – Visselblåsarlagen SFS 2021:890
SFS 2021:890 är den svenska omsättningen av direktivet, med svensk författningstext, övergångsbestämmelser och ändringshistorik.
riksdagen.se →Integritetsskyddsmyndigheten (IMY)
Svenska tillsynsmyndigheten för personuppgifter och behandling av rapportörers data. Ansvarig för att GDPR-aspekter av kanalen följs.
imy.se →Om Ashio
Så fungerar Ashio som en kompatibel intern rapporteringskanal
Ashio är byggt för att uppfylla både EU:s visselblåsardirektiv och den svenska omsättningen direkt ur förpackningen. Inga anpassningar behövs.
- Komplett anonymitet: Inga IP-adresser, inga cookies, inga digitala fingeravtryck. Rapportörens identitet exponeras aldrig tekniskt.
- Automatiska tidsfrister: Bekräftelse inom sju dagar och återkoppling inom tre månader aktiveras automatiskt, enligt direktivets exakta tidsfrister.
- Spårbar dokumentation: En oföränderlig revisionsspår registrerar varje åtgärd, redo för kontroll av tillsynsmyndigheter eller intern revision.
- Exportklar för revisioner: Hela ärendehistoriken exporteras till PDF eller CSV med ett klick. När inspektionen kommer är dokumentationen klar.
- En plattform för flera jurisdiktioner: Samma plattform täcker det EU-direktivet, den svenska lagen och andra nationella omsättningar i Tyskland (HinSchG), Frankrike (Sapin II) och Spanien (Ley 2/2023).
Se den svenska visselblåsarlagen
Den svenska visselblåsarlagen (SFS 2021:890) är den nationella implementeringen av EU-direktiv 2019/1937. Se vår dedikerade guide.
FAQ
Vanliga frågor om visselblåsardirektivet
Måste alla bolag följa visselblåsardirektivet?+
Nej. Direktivet gäller endast organisationer med minst 50 anställda som medeltal under året. Små bolag under tröskeln är undantagna — men i reglerade sektorer (banker, försäkring, flyg, sjöfart) gäller direktivet redan från första anställd.
Vad är skillnaden mellan direktivet och den svenska visselblåsarlagen?+
Direktivet är bindande EU-lagstiftning som alla medlemsländer måste omsätta i nationell rätt. Visselblåsarlagen (SFS 2021:890) är Sveriges nationella omsättning. Innehållsmässigt täcker de samma skyldigheter, men den svenska lagen kan lägga till nationella detaljer och ansvarsfördelning.
Måste kanalen verkligen acceptera anonyma rapporter?+
Ja, enligt direktivet. Direktivet uppmanar uttryckligen medlemsländerna att se till att anonyma rapporter hanteras. I Sverige har IMY bekräftat att anonymiteten måste respekteras i hanteringen.
Vad händer om min organisation inte har någon kanal alls?+
Organisationen kan utsättas för tillsynsåtgärder från IMY och kan bli föremål för civilrättsliga processer från rapportörer som utsätts för repressalier. Dessutom förlorar organisationen kontrollen: rapporter kan lämnas direkt till tillsynsmyndigheten eller offentliggöras i media.
Kan vi använda en delad e-postadress som intern rapporteringskanal?+
Tekniskt ja, men det är en avsevärd compliance-risk. Direktivet kräver bekräftelse inom 7 dagar, spårbarhet, skydd mot repressalier och dokumentation. En delad e-postlåda uppfyller normalt inte dessa krav och försvårar anonymitet, revisionsklarhet och tidsfristhantering.
Är revisorer och arbetsmarknadens parter undantagna?+
Nej. Direktivet omfattar uttryckligen revisionsverksamhet och arbetsmarknadens parter, inklusive arbetstagarorganisationer och arbetsgivarorganisationer. Samma regler gäller för alla organisationer med minst 50 anställda, oavsett bransch.
Osäker på om direktivet gäller dig?
Skriv till oss: vi hjälper dig förstå din situation och de åtgärder du bör vidta. Du får svar inom 24 timmar, ingen förpliktelse.
Ashio tillhandahåller programvara för hantering av visselblåsningsärenden. Informationen på denna sida är vägledande och utgör inte juridisk rådgivning. Konsultera en kvalificerad jurist för att bekräfta dina faktiska skyldigheter.