Lagen om skydd för personer som rapporterar om missförhållanden (SFS 2021:890) gäller från och med 17 december 2021. Lagen ersätter den tidigare visselblåsarlagen och innebär genomförande av ett EU-direktiv. Bestämmelserna om inrättande av rapporteringskanaler börjar gälla senare: Fler än 249 anställda tillämpar bestämmelserna om rapporteringskanaler från 17 juli 2022. 50 - 249 anställda: tillämpar bestämmelserna om rapporteringskanaler från 17 december 2023.
Lagen i korthet
Jämfört med tidigare lag har skyddet utökats och omfattar nu mer än bara arbetsgivar-/arbetstagarförhållandet.
Verksamhetsutövare = juridisk eller fysisk person som driver verksamhet.
Rapporterande personer = kan vara anställda, inhyrd personal, volontärer, praktikanter, personer som annars utför arbete under er kontroll och ledning, egenföretagare, personer som ingår i era förvaltnings-, lednings- eller tillsynsorgan, om verksamhetsutövaren är ett företag och aktieägare som är verksamma i företaget, om verksamheten är ett aktiebolag.
Sammanfattningsvis innebär lagen följande:
- Lagen gäller all privat och offentlig verksamhet.
- Skydd gäller för den som rapporterar om sådana missförhållanden som det finns ett allmänintresse av att de kommer fram.
- Skyddet gäller även överträdelse av EU-rätt.
- Ni får inte hindra någon från att rapportera eller utsätta denne för repressalier.
- Om ni hindrar eller vidtar repressalier kan ni bli skadeståndsskyldiga.
- Den som rapporterar får inte göras ansvarig för att ha åsidosatt tystnadsplikten eller för att ha överträtt bestämmelse som säger att information inte får inhämtas.
- Om ni har över 249 anställda ska ni inrätta särskilda rapporteringskanaler (gäller från den 17 juli 2022).
- Om ni har 50 - 249 anställda ska ni inrätta särskilda rapporteringskanaler (gäller från den 17 december 2023).
- Externa rapporteringskanaler ska inrättas av vissa myndigheter.
Förhållanden som kan rapporteras om
Missförhållanden av allmänt intresse
För att skyddas av visselblåsarlagen ska den information som rapporteras angå allmänheten och informationen ska ha ett allmänintresse. Till allmänintresset hör överträdelse av lagar och andra föreskrifter, dock inte om det är bagatellartade förseelser eller överträdelser av rena formalia.
Den som rapporterar är också skyddad när det gäller missförhållanden som gäller produktsäkerhet, offentlig upphandling, miljöskydd med mera. Även allvarliga överträdelser av interna regler och principer som uppförandekoder och liknande kan omfattas.
Däremot är det inte av allmänintresse att rapportera om sådant bara rör personligt missnöje med lön och övriga anställningsvillkor.
Överträdelse av EU-rätt
Skyddet för en rapporterande person ska också gälla vid rapportering av information om överträdelser som omfattas av och räknas upp i EU:s visselblåsardirektiv. Det gäller exempelvis överträdelser mot EU:s finansiella intressen eller överträdelser som rör den inre marknaden. Hit hör till exempel konkurrensregler och bestämmelser om statligt stöd.
Företagshemligheter
Enligt företagshemlighetslagen är information om något som utgör ett brott eller annat allvarligt missförhållande inte en företagshemlighet. Det innebär att rapportering som uppfyller visselblåsarlagens krav inte är att betrakta som ett brott mot företagshemlighetslagen.
Skyddets innebörd
En rapporterande person har enligt lagen skydd mot att hindras från att rapportera eller utsättas för repressalier. Arbetstagaren har också ansvarsfrihet i vissa fall.
Förbud att hindra rapportering
Ni får inte hindra eller försöka hindra någon från att rapportera om missförhållanden. Det är till exempel förbjudet att hota med bestraffning för att förmå någon att avstå från att rapportera om missförhållanden. Det är också förbjudet att låta bli att informera om hur rapportering ska ske.
Förbud mot repressalier
Det är förbjudet att utsätta en rapporterande person för repressalier av något slag. Repressalier kan vara både något ni gör eller låter bli att göra på grund av att personen rapporterat. Exempel är avskedande, uppsägning, orättvis behandling eller hävande av affärsavtal. Det måste dock finnas ett samband mellan att personen rapporterat och repressalien. Även den som bistår en rapporterande person omfattas av skyddet mot repressalier.
Skydd för samråd med fackförening
Skyddet kan gälla även innan en person rapporterat, när arbetstagaren vänder sig till sitt fackförbund för samråd innan rapportering. Ni får inte vidta repressalier eller försöka hindra personen från att samråda med facket. Detta gäller oavsett om personen går vidare och rapporterar, eller inte.
Ansvarsfrihet
Den som rapporterar får inte göras ansvarig för att ha åsidosatt sin tystnadsplikt. Med tystnadsplikt avses sådan som är reglerad i författning eller avtal, eller följer av ett beslut som arbetsgivare meddelat med stöd av arbetsledningsrätten. Den som rapporterar har ansvarsfrihet och ska inte till exempel dömas till fängelse eller vara ersättningsskyldig, om arbetstagaren hade skälig anledning tro att rapporteringen var nödvändig för att avslöja missförhållande.
Bestämmelsen innebär inte någon rätt att lämna ut handlingar
En rapporterande person får inte göras ansvarig om denne överträtt en bestämmelse som gäller inhämtande av information. Arbetstagaren har ansvarsfrihet även om denne inte följt föreskrifter om begränsad behörighet till informationen, föreskrifter om att informationen inte får lämna lokalen, brutit mot fotograferingsförbud eller begränsat tillträde till vissa lokaler. En förutsättning är dock att den rapporterande personen hade skälig anledning att anta att inhämtandet av informationen var nödvändig för att avslöja missförhållandet.
Ansvarsfriheten gäller inte om den rapporterande personen gör sig skyldig till brott när informationen inhämtas.
Inget skydd vid brott mot lag
En rapporterande person som gör sig skyldig till brott i samband med att denne inhämtar information eller rapporterar om missförhållanden är inte skyddad mot repressalier. Brott kan vara exempelvis stöld, olaga intrång, dataintrång eller spioneri eller ärekränkning. Det är ni som verksamhetsutövare som ska bevisa att ett brott begåtts av den rapporterande personen.
Förutsättningar för att omfattas
För att en rapporterande person ska omfattas av lagens visselblåsarskydd måste vissa förutsättningar vara uppfyllda. Skyddet gäller rapportering av missförhållanden i den verksamhet som den rapporterande personen är verksam i, har varit eller kan komma att bli verksam i. Exempelvis en anställd som får kännedom om missförhållanden hos nuvarande eller tidigare arbetsgivare, eller hos en blivande arbetsgivare. Ett annat exempel är när någon som arbetar som konsult eller är inhyrd får kännedom om missförhållanden hos uppdragsgivaren.
Informationens sanningshalt
Den som medvetet rapporterar falsk information har inte rätt till skydd enligt visselblåsarlagen. Skyddet gäller inte heller den som rapporterar ogrundade rykten eller hörsägen och skvaller.
Det krävs inte att en rapporterande person kan tillhandahålla bevis för missförhållandena, men det måste finnas något som gör det rimligt att tro att informationen är riktig. Det krävs inte att den rapporterande personen ska kontrollera att uppgifterna verkligen är riktiga. Detta gäller då det är svårt att kontrollera sanningshalten i informationen. Personens motiv för att rapportera har ingen betydelse.
Rapportering internt
Skyddet gäller om den rapporterande personen rapporterar om missförhållanden internt via upprättade rapporteringskanaler. Saknas rapporteringskanaler fast ni är skyldiga att göra detta, eller om de upprättade kanalerna inte uppfyller lagens krav kan en rapporterande person vara skyddad även om rapportering sker via andra kanaler. Rapporteringen kan även ske via andra kanaler om verksamheten har färre än 50 anställda, eller om rapporteringen sker innan personen börjat sin anställning.
Rapportering externt
Skyddet gäller om den rapporterande personen rapporterar om missförhållanden till en myndighet via externa rapporteringskanaler. Det krävs inte att denne i sådana fall ska rapportera internt först. Under vissa förutsättningar gäller skyddet också om rapportering sker till en myndighet på annat sätt än via externa rapporteringskanaler. Ett antal myndigheter kommer åläggs att ta emot rapportering från visselblåsare i det som kallas externa rapporteringskanaler i lagen. Särskilda regler om tystnadsplikt och sekretess gäller i myndighetens hantering av ärenden som inkommit i sådan rapporteringskanal. Vilka myndigheter det är framgår av förordning (2021:949)
Rapportering till EU
Visselblåsarskyddet gäller vid rapportering av missförhållanden till något av EU:s institutioner, organ eller byråer som har inrättat externa rapporteringskanaler för rapport av missförhållanden. En förutsättning är att rapporteringen sker enligt de rutiner som gäller för den aktuella kanalen.
Skydd vid offentliggörande
Visselblåsarskyddet gäller under vissa förutsättningar när information om missförhållanden publiceras eller på annat sätt sprids till allmänheten. Skyddet gäller även när den rapporterande själv publicerar uppgifter i exempelvis sociala medier. Utgångspunkten är att den rapporterande personen först ska rapportera internt, därefter till extern rapporteringskanal hos myndighet, innan offentliggörande. Det finns dock fler undantag från detta, och i vissa fall kan en rapportering ske offentligt utan att rapporteringskanaler har använts.
Interna rapporteringskanaler
Verksamheter med 0-49 anställda behöver inte inrätta någon intern rapporteringskanal. Om företaget haft minst 50 anställda vid ingången av kalenderåret är ni skyldig att ha interna rapporteringskanaler och rutiner för uppföljning och rapportering. Det räcker alltså inte att ha enbart en koncerngemensam rapporteringskanal med den nya lagen.
Om företaget vid ingången av kalenderåret haft 50 – 249 anställda kan ni i vissa avseenden dela interna rapporteringskanaler och rutiner med andra verksamheter till exempel inom en koncern. Det som får delas är mottagande av rapporter samt utredningar som genomförs med anledning av rapporteringen. Kontakten med den rapporterande personen måste dock varje verksamhet hantera själv. Ett företag är skyldigt att skriftligen dokumentera interna rapporteringskanaler och rutiner.
Hantering av interna kanaler
Ett företag ska utse personer som är behöriga att ta emot rapporter, ha kontakt med rapporterande personer, följa upp det som rapporteras samt lämna återkoppling till den rapporterande. De utsedda personerna kan vara anställda i företaget eller hos någon ni anlitat för att hantera rapporteringskanalerna och rutinerna kring dessa. De som är utsedda att hantera de interna kanalerna och rutinerna ska vara opartiska och oberoende. Det kan röra sig om en person som innehar en ställning i företaget som liknar den som ett dataskyddsombud har. Skulle det röra sig om ett koncernförhållande kan ett av bolagen i koncernen få uppdraget för alla bolagens räkning. Skulle det visa sig att den utsedda behöriga personen missköter uppgifterna finns en rätt att ingripa, till exempel genom att frånta personen uppgiften.
Vilka kan rapportera internt?
Den eller de som ska ha möjlighet att använda era interna rapporteringskanaler är samma som de som omfattas av lagens skydd, det vill säga anställda: inhyrd personal från bemanningsföretag, volontärer, praktikanter, personer som annars utför arbete under er kontroll och ledning, egenföretagare, personer som ingår i ett era förvaltnings-, lednings- eller tillsynsorgan, om verksamheten är ett företag och aktieägare som är verksamma i företaget, om verksamhetsutövaren är ett aktiebolag. Observera att det inte finns någon skyldighet att ge personer tillgång till de interna rapporteringskanalerna innan de börjat i verksamheten eller efter att de slutat.
Utformning av interna kanaler
Interna rapporteringskanaler ska vara utformade så att det går att rapportera både muntligen och skriftligen. Det är den som rapporterar som väljer på vilket sätt rapportering ska ske. Det finns en skyldighet att anordna ett fysiskt möte för muntlig rapportering inom skälig tid. När muntliga rapporter om missförhållanden ska dessa dokumenteras på det sätt som anges i lagen. Dokumentation av muntliga rapporter ska sparas så länge det är nödvändigt, max två år från det att uppföljningen avslutats. Detsamma gäller för den utomstående som har fått uppdraget att hantera verksamhetens rapporteringskanal. Dokumentationen ska innehålla en beskrivning av den interna rapporteringskanalen, inklusive hur rapportering sker, vilken enhet som tar emot ärenden, hur ärenden dokumenteras och hur återkoppling sker.
Bekräftelse
Mottagandet av en rapport/visselblåsarlarm ska bekräftas inom sju dagar till den person som rapporterat/visselblåsaren. Det gäller dock inte om den som rapporterar avsagt sig bekräftelse eller om ni har anledning att tro att en bekräftelse skulle avslöja personens identitet.
Uppföljning, återkoppling och information
Inom tre månader från mottagandet ska företaget underrätta den rapporterande personen om de åtgärder företaget vidtagit eller planerar att vidta och grunderna för dessa. Besked ska även ges om ärendet lagts ned eller om en intern undersökning inletts och eventuella resultat av denna. Om ni på eget initiativ avstått från att bekräfta mottagandet till den som rapporterat missförhållanden ska ni återkoppla inom sju dagar från mottagandet av rapporten.
I vissa fall kan företaget behöva lämna ut uppgifter som innebär att den rapporterande personen kan identifieras. I så fall ska ni som huvudregel informera personen om detta, men bara under förutsättning att inte syftet med uppföljningen eller åtgärderna hindras eller försvåras om den rapporterande personen får sådan information, till exempel att l att bevis förstörs.
Information om rapporteringsrutiner
Företaget ska se till att information om rutinerna för rapportering är tydliga och lättillgängliga. Företaget bestämmer själva hur informationen om detta lämnas. Informationen ska kunna lämnas ut om någon frågar. Informationen ska lämnas om hur rapportering ska göras via de interna rapporteringskanalerna, hur den ska göras till behöriga myndigheter och, i tillämpliga fall, till EU:s institutioner, organ eller byråer.
Externa rapporteringskanaler
Regeringen har utsett ett antal myndigheter som är skyldiga att ha externa rapporteringskanaler för inrapportering av missförhållanden till respektive myndighet.
Tillsyn
Arbetsmiljöverket, AMV, är tillsynsmyndighet. AMV utövar tillsyn över att verksamhetsutövare följer bestämmelserna om interna rapporteringskanaler och rutiner för rapportering och uppföljning. AMV kan besluta om föreläggande som förenas med vite.
Behandling av personuppgifter
Lagen medför att det i rapporteringsärenden sker behandling av personuppgifter. Därför innehåller lagen särskilda bestämmelser som kompletterar dataskyddsförordningen (GDPR) vid behandling av personuppgifter i samband med intern och extern rapportering enligt visselblåsarlagen.
Tystnadsplikt vid hantering av ärenden
Tystnadsplikten innebär att det är förbjudet att utan tillstånd röja en rapporterande persons identitet eller identiteten för en annan enskild person som förekommer i ett uppfölningsärende. De som arbetar med uppföljningsärenden kan ta del av uppgifter inom enheten. Uppgifter får också lämnas vidare, till exempel i en polisanmälan. Brott mot denna tystnadsplikt är straffbart. Det finns alltså ingen absolut rätt i lagen att förbli anonym som visselblåsare.
Lagen är tvingande
Detta innebär att det inte går att träffa avtal som upphäver eller inskränker rapporterande personers rättigheter. Sådana avtal är ogiltiga.
Sanktioner
Den verksamhetsutövare/arbetsgivare som bryter mot förbudet att hindra någon att rapportera eller förbudet mot att utsätta någon för repressalier i samband med rapportering kan bli skadeståndsskyldig.