Kort svar: Ett visselblåsarsystem som följer lagen måste låta personer rapportera säkert och konfidentiellt, skydda deras identitet, bekräfta och följa upp ärenden inom lagstadgade tider och hantera personuppgifter enligt GDPR. Allt detta måste kunna dokumenteras.

Vad säger visselblåsarlagen?

Sverige har en visselblåsarlag (lagen om skydd för personer som rapporterar om missförhållanden) som bygger på ett EU-direktiv. Den ställer krav på att vissa arbetsgivare ska ha interna rapporteringskanaler där anställda och andra i verksamheten kan slå larm om allvarliga missförhållanden – utan att riskera att bli av med jobbet eller drabbas av repressalier.

Kravet på en intern kanal gäller framför allt arbetsgivare med 50 eller fler anställda. Har ditt företag fler än så omfattas du i regel av kravet. Är du osäker på exakt var ditt företag hamnar bör du ta reda på det – reglerna och tröskeln är något du vill ha svart på vitt.

Vad måste själva systemet klara?

Det räcker inte med en mejladress dit folk kan skriva. Lagen ställer konkreta krav på kanalen:

  • Säker och konfidentiell rapportering. Den som larmar ska kunna göra det utan att obehöriga ser vem det är.
  • Skydd av identiteten. Bara särskilt utsedda personer ska kunna ta del av ärendet och vem som rapporterat.
  • Bekräftelse i tid. Den som rapporterar ska få en bekräftelse inom sju dagar.
  • Återkoppling. Återkoppling om uppföljningen ska normalt ges inom tre månader.
  • Möjlighet att rapportera skriftligt och muntligt – och på begäran vid ett fysiskt möte.
  • Dokumentation. Ärenden och åtgärder ska kunna dokumenteras och bevaras.

Hur hänger det ihop med GDPR?

Ett visselblåsarärende innehåller nästan alltid känsliga personuppgifter – om både den som larmar och den som pekas ut. Därför måste systemet hantera datan enligt GDPR. Det innebär bland annat:

  • Begränsad åtkomst – bara de som ska utreda får se uppgifterna.
  • Gallring – uppgifter ska raderas när de inte längre behövs.
  • PUB-avtal med leverantören – eftersom systemleverantören behandlar personuppgifter åt dig (mer om det i vår artikel om PUB-avtal).
  • Säker lagring – gärna inom EU, med kryptering.
En vanlig fallgrop är att köpa ett billigt formulärverktyg och tro att lagen är uppfylld. Saknas sekretess, tidsfrister och korrekt dataskydd är du inte i hamn – och det är då det blir dyrt.

Vilka frågor ska jag ställa leverantören?

  1. Hur skyddas anmälarens identitet rent tekniskt?
  2. Stödjer systemet bekräftelse inom 7 dagar och återkoppling inom 3 månader?
  3. Var lagras datan, och är den krypterad?
  4. Får jag ett PUB-avtal?
  5. Går det att rapportera anonymt, och kan vi föra en dialog med en anonym anmälare?
  6. Hur hanteras gallring av gamla ärenden?
  7. Kan rollen som ärendemottagare styras så att bara rätt personer ser ärendet?

Bygga själv eller köpa färdigt?

Det går att bygga en egen lösning, men då måste den uppfylla allt ovan – och det underskattas ofta. För många företag är en genomtänkt, ändamålsbyggd portal en tryggare väg, så länge den är korrekt uppsatt och integrerad med era rutiner.

Vill du ha en visselblåsarportal som håller?

ZORC bygger och sätter upp visselblåsarportaler som är gjorda för att klara både visselblåsarlagen och GDPR – med säker rapportering, skyddad identitet och korrekt dataskydd. Vi hjälper dig också reda ut om ditt företag omfattas av kravet. Hör av dig till ZORC, så går vi igenom vad just din verksamhet behöver.