Visselblåsarlagen: det här gäller för er som arbetsgivare

Visselblåsarlagen ska göra det tryggt att säga ifrån när något allvarligt är fel på en arbetsplats. Den skyddar den som rapporterar, och den kräver att arbetsgivare med minst 50 anställda har interna kanaler där rapporter tas emot och följs upp inom bestämda tider.

I den här guiden går vi igenom vilka arbetsgivare som omfattas, vad kanalen och ärendehanteringen ska klara, vem som skyddas och hur ni hanterar personuppgifterna.

Vad är visselblåsarlagen?

Visselblåsarlagen heter egentligen lagen (2021:890) om skydd för personer som rapporterar om missförhållanden. Den trädde i kraft den 17 december 2021 och genomför EU:s visselblåsardirektiv i svensk rätt.

Lagen skyddar den som i ett arbetsrelaterat sammanhang rapporterar om missförhållanden som det finns ett allmänintresse av att de kommer fram, och om överträdelser av viss EU-rätt. Rapporter som bara rör den egna anställningen, till exempel en konflikt med en chef, har i regel inte det allmänintresse som lagen kräver. Det bedöms i varje enskilt fall, och sådana frågor hanteras oftast i det vanliga arbetsmiljöarbetet.

Vilka arbetsgivare måste ha en visselblåsarkanal?

Alla som vid ingången av kalenderåret hade 50 eller fler arbetstagare ska ha interna rapporteringskanaler och rutiner för rapportering och uppföljning.

Arbetsgivare	Kravet gäller sedan
Privata arbetsgivare med 50 till 249 arbetstagare	17 december 2023
Privata arbetsgivare med 250 eller fler arbetstagare	17 juli 2022
Offentliga arbetsgivare med 50 eller fler arbetstagare	17 juli 2022

Har ni färre än 50 anställda finns inget krav på intern kanal. Skyddet för den som rapporterar gäller ändå, och många mindre arbetsgivare väljer att ha en kanal eftersom det gör det lättare att få veta om något är fel.

Vad lagen kräver av kanalen och ärendehanteringen

• Skriftligt och muntligt. Det ska gå att rapportera både skriftligt och muntligt, och den som rapporterar ska kunna begära ett fysiskt möte inom skälig tid.
• Oberoende handläggare. Arbetsgivaren ska utse oberoende och självständiga personer eller funktioner som tar emot rapporterna, håller kontakt med den som rapporterat och följer upp. De kan vara anställda eller anlitade utifrån.
• Bekräftelse inom sju dagar. Den som rapporterat ska få en bekräftelse på att rapporten har tagits emot inom sju dagar, om hen inte har avböjt det.
• Återkoppling inom tre månader. Den som rapporterat ska inom tre månader få återkoppling om vilka åtgärder som har vidtagits med anledning av rapporten.
• Tydlig information. Arbetsgivaren ska ge tydlig och lättillgänglig information om hur man rapporterar internt, hur man rapporterar externt till behöriga myndigheter och om meddelarfrihet där den gäller.
• Skriftliga rutiner. Kanalerna och förfarandena ska dokumenteras skriftligt.
• Tystnadsplikt. Den som hanterar ett ärende får inte obehörigen röja uppgifter som kan avslöja vem som har rapporterat eller vem som annars förekommer i ärendet.

Muntliga rapporter ska dokumenteras, antingen genom inspelning med samtycke eller genom protokoll som den som rapporterat får kontrollera och godkänna.

Vem skyddas?

Skyddet gäller inte bara anställda. Lagen räknar upp bland andra:

• arbetstagare och den som söker arbete,
• volontärer och praktikanter,
• den som annars arbetar under arbetsgivarens kontroll och ledning, till exempel inhyrd personal,
• egenföretagare som söker eller utför uppdrag,
• styrelseledamöter och aktiva aktieägare,
• den som tidigare har tillhört någon av grupperna.

Den som rapporterar ska ha haft skälig anledning att anta att uppgifterna var sanna och ha rapporterat på det sätt som lagen anger, internt, externt eller i vissa fall offentligt.

Vad skyddet innebär

Arbetsgivaren får inte hindra någon från att rapportera och får inte vidta repressalier, till exempel omplacering, utebliven befordran eller uppsägning, på grund av rapporteringen. Skyddet omfattar också den som hjälper till, som ett skyddsombud eller en facklig företrädare, och personer med anknytning till den som rapporterat.

En arbetsgivare som bryter mot förbuden kan bli skyldig att betala skadestånd. Bevisbördan är delad: visar den som rapporterat omständigheter som tyder på repressalier är det arbetsgivaren som ska visa att det inte har förekommit.

Den som rapporterar kan dessutom slippa ansvar för att ha brutit mot en tystnadsplikt, om hen hade skälig anledning att anta att rapporteringen var nödvändig för att avslöja missförhållandet. Det finns undantag, bland annat för vissa sekretessbestämmelser och för den som har begått brott för att få fram uppgifterna.

Dokumentation, personuppgifter och GDPR

• Högst två år. Personuppgifter i ett uppföljningsärende får inte behandlas längre än två år efter att ärendet har avslutats.
• Bara det som behövs. Uppgifter som uppenbart inte är relevanta för ärendet ska raderas så snart som möjligt.
• Konsekvensbedömning. Enligt Integritetsskyddsmyndigheten (IMY) behöver ni göra en konsekvensbedömning för er interna rapporteringskanal, eftersom den kan innehålla känsliga uppgifter om anställda.

Får vi dela kanal eller anlita någon utifrån?

Privata arbetsgivare med 50 till 249 arbetstagare får dela kanal med varandra för att ta emot rapporter och utreda dem. Kontakten med den som rapporterat, bekräftelsen och återkopplingen ska dock skötas av varje arbetsgivare.

Alla arbetsgivare får anlita någon utifrån för att hantera kanalen, till exempel en jurist eller en leverantör. Ansvaret för att lagen följs ligger ändå kvar hos arbetsgivaren.

Vad händer om kanalen saknas?

Arbetsmiljöverket har tillsyn över att arbetsgivare har interna rapporteringskanaler och förfaranden. Myndigheten kan förelägga en arbetsgivare att rätta till brister, och föreläggandet kan förenas med vite. Under vintern 2025 och 2026 genomförde Arbetsmiljöverket en inspektionsinsats som riktade sig mot privata arbetsgivare med fler än 50 anställda.

Checklista för arbetsgivare

1. Räkna antalet arbetstagare vid ingången av kalenderåret. Är ni 50 eller fler gäller kravet.
2. Inrätta en kanal där det går att rapportera skriftligt och muntligt, och där den som rapporterar kan begära ett möte.
3. Utse oberoende handläggare, internt eller externt.
4. Skriv rutiner för mottagande, bekräftelse inom sju dagar, utredning och återkoppling inom tre månader.
5. Informera medarbetarna om kanalen, om de externa kanalerna och om skyddet, till exempel i personalhandboken och på intranätet.
6. Gör en konsekvensbedömning enligt GDPR och bestäm hur uppgifterna gallras.
7. Följ upp rutinerna en gång per år, gärna som en fast punkt i ert HR-årshjul.

Visselblåsning i Evity

Visselblåsarkanalen i Evity är en anonym kanal som ni länkar till från er webbplats. Anmälningssidan visar er logga och er egen introduktionstext och är öppen även för externa, som leverantörer och kunder, utan inloggning. Den som anmäler följer sitt ärende och svarar via ett anonymt ärende-id, med bilagor, utan att anonymiteten bryts.

Endast utsedda ärendehanterare ser ärendena, inte ens administratören, och ärendehanteraren kan vara extern, till exempel en jurist. Varje ärende har status, motivering vid avvisning och deadlines med automatiska påminnelser, så att lagens tidsfrister hålls. Avslutade ärenden raderas automatiskt efter arkivtiden, 24 månader som standard. Kanalen går också att köpa som en egen tjänst för den som inte använder Evity i övrigt.

Vanliga frågor om visselblåsarlagen

Måste vi ha en visselblåsarkanal om vi är färre än 50 anställda?

Nej, kravet på intern kanal gäller från 50 arbetstagare, räknat vid ingången av kalenderåret. Skyddet mot repressalier gäller däremot alla som rapporterar, oavsett hur många ni är.

Hur snabbt måste vi svara den som har rapporterat?

En bekräftelse på att rapporten har tagits emot ska lämnas inom sju dagar, och återkoppling om vilka åtgärder som vidtagits inom tre månader.

Hur länge får vi spara uppgifter i ett visselblåsarärende?

Högst två år efter att ärendet har avslutats. Uppgifter som uppenbart saknar betydelse för ärendet ska raderas så snart som möjligt.

Får vi lägga ut hanteringen på en extern part?

Ja. Handläggarna kan vara anställda hos någon ni har anlitat för att hantera kanalen. Ansvaret för att lagen följs ligger kvar hos er som arbetsgivare.

Vem har tillsyn över visselblåsarlagen?

Arbetsmiljöverket har tillsyn över kravet på interna rapporteringskanaler och kan förelägga arbetsgivare att rätta till brister, vid vite.

Kom igång

Gå igenom checklistan och börja med det som saknas. Vill ni se hur en anonym kanal med ärendehantering och automatisk gallring fungerar i praktiken? Boka en demo, så visar vi den. Demon är 60 minuter.