Datatilsynet og Stigningen i Whistleblowersager: Ansættelsesretlige Risici og Sanktioner

Lov om beskyttelse af whistleblowere i Praksis: Den Nye Retlige Virkelighed for Danske Virksomheder

Med gennemførelsen og den fulde håndhævelse af lov om beskyttelse af whistleblowere (lov nr. 1436 af 29. juni 2021)—hvorved Europa-Parlamentets og Rådets direktiv (EU) 2019/1937 blev indarbejdet i dansk ret—er retsstillingen for danske arbejdsgivere og ledelsesorganer blevet grundlæggende ændret. Hvor indberetninger om uregelmæssigheder tidligere ofte blev behandlet som interne samarbejdsvanskeligheder eller almindelige personalesager under funktionærloven, etablerer whistleblowerloven et ufravigeligt, præceptivt beskyttelsesregime for personer, der indberetter overtrædelser af EU-retten eller alvorlige lovovertrædelser og øvrige alvorlige forhold af samfundsmæssig interesse.

Datatilsynets seneste tilsynsrapporter og erfaringsopsamlinger dokumenterer en markant stigning i antallet af eksterne indberetninger og tilsynssager. En væsentlig årsag hertil er, at medarbejdere i stigende grad oplever utilstrækkelige interne kanaler eller frygter repressalier på arbejdspladsen. Samtidig skærper Datatilsynet og Erhvervsstyrelsen kontrollen med, om private virksomheder opfylder deres lovmæssige forpligtelse til at etablere uafhængige, fortrolige og sikre interne whistleblowerordninger.

Beskyttelsen efter loven er ikke forbeholdt traditionelle fuldtidsansatte lønmodtagere. Personkredsen omfatter enhver, der har adgang til oplysninger i en arbejdsrelateret sammenhæng: deltidsansatte, tidsbegrænset ansatte, vikarer, selvstændige erhvervsdrivende, konsulenter, aktionærer, medlemmer af direktion og bestyrelse, ulønnede praktikanter, frivillige samt ansøgere, der opnår kendskab til overtrædelser under en rekrutteringsproces. Enhver aftale eller kontraktklausul, der forsøger at begrænse eller fravige medarbejderens ret til at indberette—herunder tavshedsklausuler i fratrædelsesaftaler eller NDA'er—er ugyldig i henhold til lovens § 27.

For danske virksomheder er etableringen af en teknisk certificeret, krypteret whistleblowerkanal ikke blot et spørgsmål om overholdelse af god selskabsledelse (corporate governance), men en direkte forudsætning for at undgå økonomisk lammende godtgørelsessager ved domstolene og administrative påbud fra tilsynsmyndighederne.

Lovpligtigt Anvendelsesområde: Tærsklen på 50 Ansatte og Nultærskelsektorer

I henhold til whistleblowerlovens § 9 er alle juridiske enheder i den private sektor, der beskæftiger 50 eller flere ansatte, forpligtet til at etablere en intern whistleblowerordning. Ved opgørelsen af tærsklen på de 50 ansatte medregnes samtlige ansatte uanset timetal, herunder funktionærer, timelønnede, deltidsansatte (omregnet til fuldtidsækvivalenter - FTE) og vikarer, der stilles til rådighed for virksomheden. Virksomheder, der forsøger at omgå tærsklen ved kunstigt at opdele medarbejderstaben på flere søsterselskaber i en koncernstruktur, risikerer, at domstolene tilsidesætter konstruktionen under princippet om realitetsbedømmelse.

Det er dog afgørende for compliance-ansvarlige at bemærke, at en lang række virksomheder er omfattet af kravet om en intern whistleblowerordning uanset antallet af ansatte. I henhold til lovens bilag 1 og den relevante sektorlovgivning gælder tærsklen på 50 ansatte ikke for:

• Finansielle Virksomheder: Pengeinstitutter, realkreditinstitutter, forsikringsselskaber, fondsmæglerselskaber og forvaltere af alternative investeringsfonde (FAIF) reguleret under lov om finansiel virksomhed under Finanstilsynets tilsyn;
• Hvidvaskomfattede Virksomheder: Virksomheder og personer underlagt hvidvaskloven, herunder revisorer, advokater, eksterne bogførere, ejendomsmæglere og udbydere af valutaveksling og virtuelle valutaer;
• Søfart og Maritim Sikkerhed: Rederier og operatører af skibe, der er omfattet af reglerne under Søfartsstyrelsen og internationale maritime sikkerhedskonventioner;
• Luftfartssikkerhed: Luftfartsforetagender, luftfartøjsoperatører og lufthavne underlagt Trafikstyrelsens tilsyn og EU's flyvesikkerhedsforordninger;
• Offshore- og Miljøsikkerhed: Operatører af offshore olie- og gasanlæg underlagt Arbejdstilsynet og Miljøstyrelsen.

For virksomheder inden for disse sektorer udgør manglende etablering af en lovpligtig whistleblowerkanal en selvstændig lovovertrædelse, der kan udløse bødestraf og sanktioner fra sektortilsynet.

Udnævnelse af Whistleblowerenheden: Krav om Upartiskhed og Fortrolighed

Efter whistleblowerlovens § 12 skal arbejdsgiveren udpege en upartisk person eller en afdeling (whistleblowerenheden), der har ansvaret for at modtage indberetninger, opretholde kontakten med whistlebloweren, foretage den indledende screening og omhyggeligt følge op på indberetningen.

Kravet om upartiskhed indebærer, at enheden skal kunne udføre sine opgaver uden at modtage instruktioner om den konkrete sagsbehandling fra virksomhedens øverste ledelse. Det kan skabe betydelige habilitetsproblemer, hvis virksomheden udelukkende udpeger funktioner med direkte personale- eller driftsansvar—såsom HR-chefen eller økonomidirektøren (CFO)—til at udgøre whistleblowerenheden. Hvis en indberetning omhandler ulovlig forskelsbehandling, ledelsessvigt eller regnskabsmanipulation involverende disse ledelseslag, vil undersøgelsens uafhængighed øjeblikkeligt kunne anfægtes retligt.

Whistleblowerlovens § 13 giver imidlertid udtrykkelig adgang til, at virksomheder kan outsource modtagelsen og administrationen af whistleblowerordningen til en ekstern tredjepart. Mange danske virksomheder vælger derfor en specialiseret softwareløsning som UNOVOX, hvor driften, krypteringen og den indledende sagsstyring håndteres i et fuldstændig lukket, eksternt miljø, hvilket udelukker intern overvågning fra virksomhedens egne IT-administratorer.

Strikke Lovpligtige Tidsfrister: 7 Dages Kvittering og 3 Måneders Tilbagemelding

Whistleblowerloven opstiller præcise og ufravigelige frister for sagsbehandlingen, som ikke kan tilsidesættes i interne personalepolitikker. Uret begynder at gå i det øjeblik, indberetningen modtages i kanalen:

For det første skal whistleblowerenheden senest syv (7) kalenderdage efter modtagelsen af indberetningen sende en skriftlig bekræftelse på modtagelsen til indberetteren. Hvis denne frist misligholdes, udgør det et formelt brud på loven, og whistlebloweren opnår derved umiddelbar ret til at indberette eksternt til Datatilsynets whistleblowerordning eller offentliggøre oplysningerne i pressen med bevarelse af fuld lovbeskyttelse.

For det andet skal enheden yde omhyggelig opfølgning og give whistlebloweren en fyldestgørende skriftlig tilbagemelding (feedback) så hurtigt som muligt og senest tre (3) måneder fra afsendelsen af modtagelsesbekræftelsen. Tilbagemeldingen skal redegøre for, hvilke tiltag virksomheden har iværksat for at undersøge påstandene, hvilke foreløbige eller endelige konklusioner undersøgelsen har ført til, og hvilke sanktioner eller forbedringer der er iværksat.

I særligt komplekse sager kan fristen forlænges op til maksimalt seks måneder, forudsat at whistlebloweren orienteres herom inden udløbet af 3-månedersfristen med en saglig begrundelse. Hvert enkelt trin, meddelelse og tidsstempel skal dokumenteres i en uforgængelig digital logbog for at sikre bevisværdi ved eventuelle efterfølgende retssager.

Det Absolutte Forbud mod Repressalier og den Omvendte Bevisbyrde efter § 23

Kernen i den materielle beskyttelse i whistleblowerloven findes i § 22, der fastslår et absolut forbud mod enhver form for repressalier mod en whistleblower, herunder trusler om eller forsøg på repressalier. Begrebet repressalier defineres i dansk ret særdeles bredt og dækker over enhver direkte eller indirekte ufordelagtig behandling i arbejdssammenhæng:

• Ansættelsesmæssige Sanktioner: Afskedigelse, bortvisning, suspension, manglende forlængelse af en tidsbegrænset ansættelseskontrakt ved berettiget forventning herom, eller opsigelse i prøvetiden;
• Lønmæssige og Karriereforringende Foranstaltninger: Degradering, forbigåelse ved forfremmelse, fratagelse af bonus eller lønforhøjelse, nedgang i løn eller fratagelse af personalegoder som fri bil eller pension;
• Forringelse af Arbejdsvilkår: Tvungen forflyttelse til en anden lokation eller afdeling, ændring af arbejdstider eller vagtplaner, fratagelse af ansvarsområder, tildeling af nedværdigende opgaver eller nægtelse af deltagelse i fagrelevante kurser;
• Disciplinære Foranstaltninger og Chikane: Tildeling af uberettigede skriftlige advarsler, usaglige negative præstationsbedømmelser, krav om unødvendige lægeerklæringer, mobning, isolation eller social udstødelse fra kolleger og ledelse;
• Skadelige Erhvervsmæssige Handlinger: For konsulenter og leverandører: ophævelse af samarbejdsaftaler, tab af kontrakter eller uretmæssig placering på uformelle sorte lister i branchen.

Af helt afgørende procesmæssig betydning for arbejdsgiveren er whistleblowerlovens § 23, som indfører en lovbestemt omvendt bevisbyrde. Hvis en medarbejder påviser, at vedkommende har foretaget en indberetning i overensstemmelse med loven, og efterfølgende har været udsat for en ufordelagtig foranstaltning, formodes denne foranstaltning automatisk at være en repressalie udløst af indberetningen.

Bevisbyrden vender fuldstændigt: Det påhviler arbejdsgiveren ved byretten eller landsretten at godtgøre, at foranstaltningen var begrundet i objektive, saglige forhold, der intet havde med whistleblowerindberetningen at gøre (f.eks. veldokumenterede præstationsmangler, der kan påvises forud for indberetningen). Hvis arbejdsgiveren ikke kan fremlægge skriftlig, tidsstemplet samtidsdokumentation, taber virksomheden sagen.

Godtgørelse, Erstatning og Underkendelse af Afskedigelse ved Domstolene

Hvis en arbejdsgiver overtræder forbuddet mod repressalier, udløser det vidtrækkende retsfølger efter lovens § 24 ved de almindelige domstole (byretten, Vestre Landsret eller Østre Landsret).

En medarbejder, der udsættes for repressalier, har krav på en skattepligtig økonomisk godtgørelse. I modsætning til de traditionelle godtgørelsesniveauer i funktionærlovens § 2 b—hvor godtgørelsen for usaglig afskedigelse typisk udgør 1 til 3 måneders løn, og maksimalt op til 6 måneder for langvarig anciennitet—fastsættes godtgørelsen efter whistleblowerloven på et markant højere niveau. Domstolene udmåler godtgørelsen under hensyn til sagens omstændigheder, overtrædelsens grovhed og medarbejderens anciennitet, og godtgørelsen udgør i retspraksis typisk mellem 6 og 12 måneders løn, og i særligt grove sager op mod 18 måneders løn.

Herudover fastsætter § 24, stk. 2, at hvis repressalien består i en opsigelse eller bortvisning, kan afskedigelsen underkendes ved domstolene, således at ansættelsesforholdet fortsætter uændret, medmindre samarbejdet findes uafhjælpeligt ødelagt, i hvilket tilfælde godtgørelsen forhøjes tilsvarende.

Endvidere nyder whistlebloweren fuldstændig ansvarsfrihed efter lovens § 25: En person, der foretager en berettiget indberetning, ifalder ikke erstatningsansvar eller strafansvar for tilsidesættelse af tavshedspligt, overtrædelse af lov om forretningshemmeligheder eller ærekrænkelse efter straffeloven.

Datatilsynets Eksterne Whistleblowerordning og Tilsynsopgaver

Ud over de interne kanaler etablerer loven en uafhængig, central ekstern whistleblowerkanal, som administreres af Datatilsynet i henhold til lovens kapitel 4. Datatilsynets whistleblowerenhed modtager og screener indberetninger og videresender dem til de relevante faglige tilsynsmyndigheder, herunder Konkurrence- og Forbrugerstyrelsen, Finanstilsynet, Arbejdstilsynet eller Rigsadvokaten.

En medarbejder er berettiget til at gå direkte til Datatilsynets eksterne kanal uden først at have indberettet internt i virksomheden under følgende omstændigheder:

• Virksomheden har ikke etableret en lovpligtig intern whistleblowerordning;
• Virksomheden har ikke overholdt 7-dages fristen for kvittering eller 3-måneders fristen for tilbagemelding;
• Der er rimelig grund til at antage, at den interne indberetning vil medføre en overhængende risiko for repressalier eller bevisforspildelse;
• Virksomhedens øverste ledelse er direkte involveret i de påståede ulovligheder.

Når en sag havner hos Datatilsynet, iværksættes der ofte eksterne undersøgelser, som kan resultere i påbud, politianmeldelse og offentliggørelse i tilsynets afgørelsesdatabase, hvilket påfører virksomheden uoprettelig skade på sit omdømme.

Strafferetlige Bødesanktioner efter Whistleblowerlovens § 28

Whistleblowerloven indeholder i § 28 direkte strafferetlige sanktioner for virksomheder og enkeltpersoner, der modarbejder lovens formål. Der kan idømmes bødestraf til den, der forsætligt eller groft uagtsomt:

• Hindrer eller forsøger at hindre indgivelse af en indberetning;
• Udsætter en person for repressalier eller truer med at udsætte en person for repressalier som følge af en indberetning;
• Indleder grundløse, chikanøse eller afskrækkende retssager (SLAPP-søgsmål) mod en whistleblower;
• Tilsidesætter den lovbestemte tavshedspligt ved uretmæssigt at videregive oplysninger om whistleblowerens identitet.

Hvis overtrædelsen begås af et selskab (juridisk person), kan der pålægges selskabet strafansvar i henhold til straffelovens 5. kapitel. Desuden kan ledelsesmedlemmer, der personligt har medvirket til repressalierne, drages til personligt strafansvar med personlige bøder.

Omvendt fastsætter § 28, stk. 2, at der kan pålægges bødestraf til en person, der bevidst indgiver urigtige eller bevidst vildledende oplysninger. En sådan person fortaber samtidig enhver beskyttelse efter loven og kan drages til erstatningsansvar for tort og driftstab.

Databeskyttelse og GDPR: Samspillet mellem Whistleblowerloven og Datatilsynet

Behandlingen af personoplysninger i en whistleblowerordning er underlagt de strenge krav i databeskyttelsesforordningen (GDPR) og databeskyttelsesloven. Ordningen behandler uundgåeligt følsomme personoplysninger og oplysninger om strafbare forhold vedrørende den indberettede person, vidner og whistlebloweren selv.

Efter whistleblowerlovens § 26 er tavshedspligten om whistleblowerens identitet absolut. Arbejdsgiveren må under ingen omstændigheder videregive oplysninger om whistleblowerens identitet uden vedkommendes udtrykkelige samtykke. Denne særregel har forrang for den indberettede medarbejders ret til indsigt efter GDPR artikel 15: Ved en indsigtsbegæring fra den anklagede leder er virksomheden forpligtet til at anonymisere og udelade alle oplysninger, der direkte eller indirekte kan afsløre whistleblowerens identitet.

Virksomheden skal overholde princippet om dataminimering (GDPR art. 5, stk. 1, litra c). Oplysninger, der er åbenlyst irrelevante for behandlingen af indberetningen, må ikke indsamles eller skal slettes øjeblikkeligt. Dokumenter og data må kun opbevares, så længe det er strengt nødvendigt til opfyldelse af lovens formål eller til brug for et konkret retskrav, hvorefter de skal slettes automatisk.

Sammenlignende Analyse: Outlook vs Fysisk Postkasse vs UNOVOX Enterprise

I danske virksomheder implementeres whistleblowerordninger typisk på tre forskellige måder. Tabellen nedenfor illustrerer de juridiske risici og tekniske mangler ved de respektive modeller i henhold til lov om beskyttelse af whistleblowere:

Ti-Punkts Tjekliste for Danske Arbejdsgivere

For at sikre fuld overensstemmelse med lov om beskyttelse af whistleblowere, afværge omvendte bevisbyrder ved domstolene og undgå bødestraf fra myndighederne, bør ledelsen gennemgå følgende ti punkter:

1. Opgør Medarbejderantallet: Gennemfør en præcis optælling af fuldtidsansatte, deltidsansatte og vikarer for at fastslå, om 50-ansattetærsklen er nået;
2. Fastlæg Sektorpligt: Undersøg, om virksomheden driver finansiel virksomhed, er hvidvaskomfattet eller opererer inden for søfart/luftfart med pligt uanset størrelse;
3. Udpeg en Uafhængig Whistleblowerenhed: Etabler en sagligt uafhængig enhed eller udpeg en ekstern tredjepart uden ledelsesmæssig interessekonflikt;
4. Implementer et Krypteret System: Tag et specialiseret softwareværktøj i brug, der garanterer teknisk anonymitet og fjerner IP-adresser;
5. Muliggør Anonym Tovejsdialog: Sikr, at undersøgere kan stille opklarende spørgsmål til anonyme indberettere via en krypteret adgangskode;
6. Håndhæv Fristerne Mekanisk: Opsæt automatiske alarmer for afsendelse af modtagelsesbekræftelse (7 dage) og tilbagemelding (3 måneder);
7. Vedtag en Klar Whistleblowerpolitik: Offentliggør en skriftlig politik, der udtrykkeligt forbyder repressalier og uddanner linjeledere i lovens regler;
8. Sikr GDPR-Efterlevelse: Etabler klare procedurer for sletning af irrelevante data og iagttagelse af den absolutte tavshedspligt over for anklagede;
9. Gennemfør Medarbejderinformation: Orienter samtlige medarbejdere om ordningen, dens anvendelsesområde og beskyttelsen mod repressalier;
10. Før et Uforgængeligt Auditspor: Sørg for, at enhver handling, tidsfrist og afgørelse logges digitalt til brug for en eventuel retssag.

Total Compliance i Danmark med UNOVOX

I det skærpede danske håndhævelsesmiljø er det forbundet med uoverskuelige risici at anvende hjemmelavede formularer eller almindelige e-mailadresser til whistleblowerindberetninger. Sådanne løsninger resulterer i overtrædelse af tavshedspligten, ugyldige beviser og enorme godtgørelseskrav ved byretterne.

UNOVOX leverer en komplet, enterprise-certificeret whistleblowerplatform, der er skræddersyet til at opfylde alle krav i lov om beskyttelse af whistleblowere og GDPR. Med zero-knowledge kryptering, automatiseret overholdelse af 7-dages og 3-måneders fristerne, tovejs anonym kommunikation og et juridisk uantasteligt auditspor giver UNOVOX den ultimative beskyttelse for jeres virksomhed, ledelse og medarbejdere.