Welke documentatie voorbereiden voor een wettelijk meldkanaal onder de Wbk?

Het documentenlandschap van een compliant meldsysteem

De inrichting van een klokkenluiderssysteem raakt gelijktijdig aan het arbeidsrecht, het medezeggenschapsrecht, het privacyrecht en het bestuursrecht. Om te voldoen aan de controlekaders van toezichthouders en accountants, dient de organisatie een gelaagd documentenstelsel te hanteren :

• Niveau 1 : Normatief intern beleid : De formele Klokkenluidersregeling (Meldregeling) waarin de rechten en plichten van werknemers en werkgever zijn vastgelegd ;
• Niveau 2 : Medezeggenschapsdocumentatie : De formele advies- of instemmingsaanvraag aan de Ondernemingsraad (OR) of Personeelsvertegenwoordiging (PVT), inclusief het instemmingsbesluit ;
• Niveau 3 : Privacy- en IT-waarborgen : De Data Protection Impact Assessment (DPIA / GEB) en de Verwerkersovereenkomst (DPA) met de SaaS-dienstverlener ;
• Niveau 4 : Operationele protocollen : Het Onderzoeksprotocol voor integriteitsfunctionarissen, het Geheimhoudingsprotocol en het Register van Meldingen ex artikel 17e Wbk ;
• Niveau 5 : Periodieke verantwoording : De geanonimiseerde jaarverslaglegging aan de OR en het auditcomité van de Raad van Commissarissen.

Document 1 : De Klokkenluidersregeling (Meldregeling ex Artikel 2 Wbk)

De Klokkenluidersregeling is het centrale juridische document dat binnen de organisatie openbaar moet worden gemaakt. Artikel 2, tweede en derde lid Wbk schrijft dwingend voor welke elementen hierin moeten worden opgenomen :

Verplichte inhoudelijke bestanddelen ex artikel 2 Wbk

Een conforme klokkenluidersregeling dient de volgende onderdelen expliciet te regelen :

• De definitie van een vermoeden van een misstand : Duidelijke omschrijving van feiten met een maatschappelijk belang (schending van wettelijke voorschriften, gevaar voor volksgezondheid, veiligheid van personen, milieu, het goed functioneren van de openbare dienst of onderneming) en inbreuken op het Unierecht ;
• De personele werkingssfeer : Uitdrukkelijke vermelding dat de regeling openstaat voor alle werkenden (werknemers, zzp'ers, uitzendkrachten, stagiairs, vrijwilligers, aandeelhouders, bestuurders en sollicitanten) ;
• De aanwijzing van de onafhankelijke functionaris : De benoeming van de interne of externe functionaris(sen) die belast zijn met de onafhankelijke ontvangst, triage en opvolging ;
• De wijze van melden : Toelichting op de beschikbare meldkanalen : schriftelijk via het beveiligde platform, mondeling via een beveiligde telefoonlijn en op verzoek tijdens een fysieke ontmoeting binnen een redelijke termijn ;
• De fatale wettelijke termijnen : De verplichting tot het verzenden van een ontvangstbevestiging binnen 7 kalenderdagen en het verstrekken van inhoudelijke informatie over de opvolging binnen ten hoogste 3 maanden (met toelichting op de strikte gronden voor verlenging naar 6 maanden) ;
• Het recht op anoniem melden : Concrete instructies over de werking van het anonieme token en de versleutelde tweewegcommunicatie ;
• Informatie over externe meldkanalen : Uitgebreide toelichting op de bevoegdheden van het Huis voor Klokkenluiders (afdeling advies en afdeling onderzoek) en de bevoegde sectorale autoriteiten (AFM, DNB, ACM, AP, NLA, ILT, NVWA) ;
• Het verbod op benadeling en sancties : Een heldere formulering van het benadelingsverbod ex artikel 17b Wbk, de wettelijke omkering van de bewijslast ex artikel 17a Wbk en de disciplinaire sancties die worden opgelegd aan eenieder die een melder tegenwerkt of diens identiteit tracht te achterhalen.

Toegankelijkheid en publicatie

Artikel 2, vierde lid Wbk verplicht de werkgever om de regeling op een eenvoudige en doeltreffende wijze ter beschikking te stellen. Het louter opslaan van een PDF op een diep weggestopte netwerkschijf volstaat niet. De werkgever dient de regeling te publiceren op het personeelsintranet, op te nemen in het personeelshandboek bij indiensttreding en een publieke versie beschikbaar te stellen op de corporate website ten behoeve van externe werkenden zoals leveranciers en zzp'ers.

Document 2 : Het medezeggenschapsdossier (Instemming OR ex Artikel 27 WOR)

Het betrekken van de medezeggenschap is in Nederland geen formele formaliteit, maar een strikte bestaansvoorwaarde voor de rechtsgeldigheid van de regeling :

Het dwingende instemmingsrecht van artikel 27 lid 1 sub m WOR

Artikel 27, eerste lid, onderdeel m van de Wet op de ondernemingsraden (WOR) bepaalt dat de ondernemingsraad instemmingsrecht heeft ten aanzien van elk voorgenomen besluit tot vaststelling, wijziging of intrekking van een regeling voor het omgaan met het melden van een vermoeden van een misstand. Indien in een onderneming met 10 tot 50 werknemers een personeelsvertegenwoordiging (PVT) is ingesteld, geldt op grond van artikel 35c WOR een adviesrecht, tenzij bij cao een instemmingsrecht is toegekend.

De inhoud van de formele instemmingsaanvraag

De directie dient een schriftelijke instemmingsaanvraag aan de OR voor te leggen die de volgende elementen omvat :

• De beweegredenen voor het besluit en de aansluiting bij de Wet bescherming klokkenluiders ;
• De integrale concepttekst van de nieuwe klokkenluidersregeling ;
• De toelichting op de selectie van de softwareleverancier (SaaS-tool) en de wijze waarop de privacy en anonimiteit technisch worden gewaarborgd ;
• De positionering, onafhankelijkheid en faciliteiten van de aangewezen meldfunctionarissen en vertrouwenspersonen ;
• De verwachte gevolgen van het besluit voor het personeel en de wijze waarop voorlichting en scholing worden georganiseerd ;
• Het advies van de Functionaris voor Gegevensbescherming (FG) en de samenvatting van de DPIA.

Kantonrechterlijke toetsing bij weigering van instemming

Indien de OR weigert in te stemmen met de voorgestelde klokkenluidersregeling, kan de werkgever niet zelfstandig doorzetten. De werkgever kan zich op grond van artikel 27, vierde lid WOR wenden tot de kantonrechter met een verzoek om vervangende toestemming. De kantonrechter verleent deze toestemming slechts indien de beslissing van de OR om geen instemming te geven onredelijk is, óf indien het voorgenomen besluit van de ondernemer gevergd wordt door zwaarwegende bedrijfsorganisatorische, economische of sociale redenen. Omdat de invoering van een meldregeling een directe wettelijke verplichting onder de Wbk is, zal de kantonrechter de principiële noodzaak van een regeling snel aannemen, maar toetst de rechter wél kritisch of de werkgever voldoende waarborgen heeft ingebouwd voor de rechtsbescherming en privacy van de werknemers.

Rechtsgevolgen van handelen zonder instemming : De absolute nietigheid

Indien de werkgever een meldregeling invoert zonder schriftelijke instemming van de OR (of zonder vervangende toestemming van de kantonrechter), kan de OR op grond van artikel 27, vijfde lid WOR schriftelijk de nietigheid van het besluit inroepen binnen een termijn van een maand. Een nietige regeling mist iedere juridische werking : werknemers kunnen niet verplicht worden zich daaraan te houden, en de werkgever kan zich in een ontslag- of benadelingsprocedure tegenover de kantonrechter niet beroepen op een deugdelijk intern meldsysteem.

Document 3 : De Gegevensbeschermingseffectbeoordeling (DPIA / GEB ex Artikel 35 AVG)

Het verwerken van meldingen over fraude, corruptie of seksuele intimidatie omvat noodzakelijkerwijs persoonsgegevens van gevoelige aard, waaronder strafrechtelijke gegevens en beschuldigingen die de reputatie van medewerkers diepgaand kunnen aantasten. Daarom is een DPIA verplicht :

Waarom een DPIA dwingend vereist is

De Autoriteit Persoonsgegevens heeft in haar gepubliceerde lijst van verwerkingen waarvoor een DPIA verplicht is (Stcrt. 2019, 64418) klokkenluiderssystemen expliciet aangemerkt als hoog-risicoverwerkingen. Deze systemen voldoen aan meerdere criteria van de Europese richtsnoeren (EDPB) :

• Verwerking van gegevens van kwetsbare betrokkenen (werknemers in een afhankelijkheidsrelatie) ;
• Verwerking van gegevens van strafrechtelijke aard of ernstig plichtsverzuim ;
• Risico op aanzienlijke economische, juridische of sociale schade bij datalekken ;
• Gebruik van innovatieve technologische oplossingen (zoals versleutelde tokens en geautomatiseerde anonimisering).

Essentiële onderdelen van de klokkenluiders-DPIA

Het DPIA-document moet systematisch ingaan op :

• Doelbinding en noodzakelijkheid : Toetsing waarom de gegevensverwerking strikt noodzakelijk is ter uitvoering van artikel 2 Wbk en de wettelijke zorgplicht ;
• Rechtmatigheidsgrondslag : Artikel 6 lid 1 sub c AVG (wettelijke verplichting) voor de basisverwerking en artikel 9 en 10 AVG voor eventuele bijzondere of strafrechtelijke gegevens onder de uitzonderingen van artikel 31 en 32 van de Uitvoeringswet AVG (UAVG) ;
• Gegevensminimalisatie : Waarborg dat irrelevante namen en privégegevens direct worden geanonimiseerd of gewist ;
• Rechten van de beklaagde versus bescherming van de melder : Toelichting op de juridische grondslag voor de tijdelijke beperking van het inzagerecht ex artikel 23 AVG en artikel 41 UAVG ;
• Beveiligingsrisico's en mitigerende maatregelen : Gedetailleerde beschrijving van encryptiestandaarden (AES-256, TLS 1.3), toegangsrechtenmatrix en back-upbeveiliging.

Document 4 : De Verwerkersovereenkomst (DPA ex Artikel 28 AVG)

Wanneer een organisatie gebruikmaakt van een externe SaaS-oplossing zoals UNOVOX, fungeert de softwareleverancier als verwerker in de zin van artikel 4 onder 8 AVG, terwijl de werkgever de verwerkingsverantwoordelijke blijft. De verwerkersovereenkomst dient waterdicht te worden ingericht :

Dwingende contractuele clausules

Artikel 28, derde lid AVG stelt strenge eisen aan deze overeenkomst :

• Uitsluitend handelen op schriftelijke instructie : De leverancier mag de data onder geen enkel beding voor eigen doeleinden analyseren of commercieel exploiteren ;
• Geografische locatie binnen de EER : Servers dienen fysiek gestationeerd te zijn binnen de Europese Economische Ruimte om overdrachtsrisico's naar derde landen (onder hoofdstuk V AVG) uit te sluiten ;
• Zero-knowledge encryptie : De overeenkomst moet expliciet bevestigen dat de leverancier geen toegang heeft tot de ontcijferingssleutels van de inhoudelijke dossiers ;
• Meldplicht bij datalekken binnen 24 uur : De leverancier moet de werkgever onverwijld, en uiterlijk binnen 24 uur na ontdekking, schriftelijk informeren over elk beveiligingsincident ;
• Ondersteuning bij audits en certificeringen : De verwerker dient periodieke ISO 27001- en SOC 2-auditverklaringen te overleggen en penetratietesten toe te staan.

Document 5 : Het Register van Meldingen (Artikel 17e Wbk)

Artikel 17e Wbk introduceert de verplichting voor elke werkgever om een register bij te houden van alle binnengekomen meldingen. Dit register fungeert als het formele bewijs van compliance ten behoeve van toezichthouders en de rechter.

Registratievereisten onder de wet

Het register dient de volgende gegevens te bevatten voor elk afzonderlijk dossier :

• De datum van ontvangst van de melding en het unieke dossiernummer ;
• De wijze waarop de melding is gedaan (schriftelijk digitaal, telefonisch of fysieke ontmoeting) ;
• De aard en beknopte zakelijke omschrijving van het gemelde vermoeden van een misstand ;
• De data van verzending van de ontvangstbevestiging (binnen 7 dagen) en de informatie over de opvolging (binnen 3 maanden) ;
• De ondernomen onderzoeksstappen en de datum van afronding van het onderzoek ;
• De genomen corrigerende, preventieve of disciplinaire maatregelen.

Bewaartermijn en tijdige vernietiging

Artikel 17e lid 2 Wbk bepaalt dat de gegevens in het register niet langer mogen worden bewaard dan noodzakelijk is. In de Nederlandse compliance-praktijk geldt een standaard bewaartermijn van maximaal vijf jaar na de formele afronding van het dossier. Slechts indien er een lopende gerechtelijke procedure, arbeidsrechtelijk conflict of strafrechtelijk opsporingsonderzoek aanhangig is, mogen relevante stukken langer worden bewaard. Na afloop van de termijn dient het dossier gecertificeerd en onherroepelijk te worden vernietigd.

Document 6 : Het Onderzoeksprotocol en de rol van de Vertrouwenspersoon

Om te waarborgen dat interne onderzoeken voldoen aan de standaarden van onafhankelijkheid en zorgvuldigheid, dient de organisatie een formeel onderzoeksprotocol vast te leggen en de rollen binnen de organisatie strikt te scheiden :

Strikte scheiding tussen vertrouwenspersoon en onderzoeker

Een veelvoorkomende organisatorische fout is het toewijzen van de rol van meldcoördinator aan de vertrouwenspersoon. De documentatie moet een strikte scheiding aanbrengen :

• De Vertrouwenspersoon Integriteit : Staat naast de melder, biedt opvang, emotionele en psychosociale steun, licht de procedures toe en adviseert over mogelijke vervolgstappen. De vertrouwenspersoon is partijdig ten behoeve van de melder en doet géén onderzoek ;
• De Onafhankelijke Onderzoeker / Meldfunctionaris : Staat boven de partijen, verricht objectief en onbevooroordeeld feitenonderzoek, past hoor en wederhoor toe en rapporteert feitelijke conclusies aan de directie.

Onderzoekswaarborgen in het protocol

Het onderzoeksprotocol regelt de concrete spelregels tijdens het onderzoek :

• Bevoegdheden van de onderzoeker : Welke IT-systemen mogen worden doorzocht, welke financiële administraties mogen worden gevorderd en onder welke voorwaarden ;
• Regels voor het horen van getuigen : Verslaglegging, het recht van de gehoorde om het conceptverslag in te zien en aan te vullen, en geheimhoudingsverklaringen ;
• Toepassing van hoor en wederhoor : De wijze waarop de beklaagde in de gelegenheid wordt gesteld te reageren op de voorlopige feiten zonder dat de identiteit van de melder prijsgegeven wordt ;
• Format van het eindrapport : Scheiding tussen vastgestelde feiten, juridische kwalificaties en beleidsmatige aanbevelingen aan het bevoegd gezag.

Document 7 : De periodieke rapportage aan de OR (Artikel 31b WOR)

Om de medezeggenschap in staat te stellen haar toezichthoudende rol waar te maken, dient de directie ten minste eenmaal per jaar een geanonimiseerd verslag voor te leggen aan de ondernemingsraad ex artikel 31b WOR :

• Statistisch overzicht van het aantal ontvangen meldingen, onderverdeeld naar categorie (financieel, fraude, arbeidsomstandigheden, milieuzaken, integriteit) ;
• Gemiddelde behandelingsduur en naleving van de 7-dagen- en 3-maandentermijnen ;
• Aantal gevallen waarin verlenging naar 6 maanden noodzakelijk was en de motivering daarvan ;
• De structurele verbeteringen die zijn doorgevoerd in bedrijfsprocessen naar aanleiding van gegronde meldingen.

Overzichtstabel : Documentenmatrix onder de Wbk

In onderstaande matrix worden de zeven sleuteldocumenten gerangschikt naar wettelijke grondslag, verantwoordelijke partij en sanctie bij ontbreken :

Stappenplan voor implementatie en documentbeheer

Werkgevers die hun meldsysteem compliant willen inrichten, volgen de volgende beproefde fasering :

• Stap 1 : Juridische inventarisatie en softwareselectie (Maand 1) : Kies een gecertificeerd SaaS-platform zoals UNOVOX en sluit direct de AVG-verwerkersovereenkomst ;
• Stap 2 : Uitvoeren van de DPIA (Maand 1 en 2) : Breng de gegevensstromen in kaart en laat de Functionaris voor Gegevensbescherming formeel adviseren over de beveiliging ;
• Stap 3 : Opstellen van de conceptregeling en protocollen (Maand 2) : Formuleer de klokkenluidersregeling en het onderzoeksprotocol conform de vereisten van artikel 2 Wbk ;
• Stap 4 : Instemmingstraject met de Ondernemingsraad (Maand 2 en 3) : Dien de formele instemmingsaanvraag in bij de OR en voer het overleg ex artikel 27 WOR ;
• Stap 5 : Implementatie en personeelscommunicatie (Maand 3) : Activeer het meldplatform, richt het meldregister in en informeer alle medewerkers en leidinggevenden via intranet en personeelsbijeenkomsten.

Veelgestelde vragen over documentatie onder de Wbk (FAQ)

Wat gebeurt er als de ondernemingsraad niet instemt met de meldregeling?

De werkgever mag de regeling niet eenzijdig invoeren. Indien de OR weigert in te stemmen, kan de werkgever proberen tot overeenstemming te komen via de Bedrijfscommissie of de kantonrechter verzoeken om vervangende toestemming ex artikel 27 lid 4 WOR. Een zonder instemming ingevoerde regeling is nietig.

Moet een holding met 5 dochtermaatschappijen 5 afzonderlijke regelingen opstellen?

In beginsel kan een concernbrede raamregeling worden opgesteld, mits elke dochtermaatschappij met 50 of meer werknemers over een eigen herkenbaar meldpunt beschikt en de Centrale Ondernemingsraad (COR) of de lokale OR'en hebben ingestemd.

Is het verplicht om een externe Functionaris voor Gegevensbescherming (FG) te betrekken bij de DPIA?

Indien de organisatie op grond van artikel 37 AVG verplicht is een FG aan te stellen (zoals overheidsorganisaties en instellingen die op grote schaal gevoelige data verwerken), is diens advies bij de DPIA wettelijk verplicht. Voor overige organisaties is deskundig privacyadvies noodzakelijk.

Hoe lang moeten voltooide melddossiers worden bewaard in het register?

In de praktijk geldt een bewaartermijn van maximaal vijf jaar na afronding van het feitenonderzoek en de herstelmaatregelen. Indien er een civiele claim of strafzaak loopt, mag de bewaartermijn worden verlengd tot het onherroepelijk worden van de rechterlijke uitspraak.

Mag de meldregeling worden gecombineerd met de algemene klachtenregeling voor ongewenst gedrag?

Hoewel dit in de praktijk veel voorkomt, beveelt het Huis voor Klokkenluiders aan om een duidelijk onderscheid te maken tussen individuele arbeidsconflicten en vermoedens van misstanden met een maatschappelijk belang, aangezien de wettelijke bescherming en termijnen van de Wbk uitsluitend gelden voor misstanden.

Welke sanctie staat er op het niet bijhouden van het meldregister ex artikel 17e Wbk?

Het niet bijhouden van het register levert een overtreding op van de Wbk. Bij een onderzoek door het Huis voor Klokkenluiders of toezichthouders kan de werkgever niet bewijzen dat tijdig is gereageerd, hetgeen leidt tot het aannemen van benadeling en hoge civiele aansprakelijkheden.

Moet de meldregeling ook worden vertaald in andere talen?

Indien binnen de organisatie medewerkers werkzaam zijn die het Nederlands niet machtig zijn, dient de werkgever op grond van het goed werkgeverschap (art. 7:611 BW) te zorgen voor een vertaling in het Engels of andere gangbare voertalen van het personeel. In Fryslân kan de regeling eveneens in het Fries worden vastgesteld.

Kan een zzp'er zich beroepen op een nietige meldregeling?

Een zzp'er valt onder de personele werkingssfeer van artikel 1 Wbk en geniet de wettelijke bescherming tegen benadeling ongeacht of de interne meldregeling van de werkgever al dan niet formeel door de OR is goedgekeurd.

Welke documenten moeten worden verstrekt aan een medewerker die mondeling meldt?

Bij een mondelinge melding dient de werkgever binnen redelijke termijn (maximaal 7 dagen) een schriftelijk conceptverslag van het gesprek aan de melder voor te leggen ter goedkeuring en ondertekening, vergezeld van de formele ontvangstbevestiging.

Moet het jaarverslag aan de OR de namen van melders of beklaagden bevatten?

Beslist niet. De rapportage aan de ondernemingsraad ex artikel 31b WOR dient te allen tijde volledig geanonimiseerd en op geaggregeerd niveau te worden verstrekt om de geheimhoudingsplicht van artikel 1a Wbk en de AVG te respecteren.