Wat is de EU-klokkenluidersrichtlijn?

Wat is de EU-klokkenluidersrichtlijn?

De EU-klokkenluidersrichtlijn (Richtlijn (EU) 2019/1937) is de Europese wetgeving op het gebied van de bescherming van klokkenluiders. Aangenomen in oktober 2019 en vereist omgezet in nationaal recht voor 17 december 2021, stelt de richtlijn bindende minimumnormen voor de bescherming van personen die inbreuken op het EU-recht melden in een werkgerelateerde context.

De richtlijn was een directe reactie op spraakmakende schandalen, van Dieselgate tot de Panama Papers en LuxLeaks. Voor de richtlijn was de bescherming van klokkenluiders in de EU-lidstaten inconsistent en versnipperd.

Alle 27 EU-lidstaten hebben de richtlijn inmiddels omgezet in nationaal recht. Lees voor een bredere introductie onze volledige gids over wat is klokkenluiden.

Wie beschermt de EU-klokkenluidersrichtlijn?

De richtlijn hanteert een bewust brede definitie van wie in aanmerking komt voor bescherming. Beschermde personen zijn onder meer werknemers (voltijd, deeltijd, tijdelijk en voor bepaalde tijd), zelfstandigen en opdrachtnemers, aandeelhouders en bestuurders, vrijwilligers en stagiairs, sollicitanten, voormalige werknemers en leveranciers met een werkgerelateerde band met de organisatie.

De drempel voor bescherming is dat er redelijke gronden zijn om te geloven dat de gemelde informatie op het moment van de melding juist was. De maatstaf is goede trouw, niet nauwkeurigheid. Lees meer over de 5 voorwaarden voor klokkenluiden.

Wie moet voldoen aan de richtlijn?

Private organisaties met 50 of meer werknemers moeten interne meldkanalen implementeren. Hoog-risicosectoren moeten voldoen ongeacht het aantal medewerkers. Publieke organisaties op nationaal, regionaal en lokaal niveau vallen onder de richtlijn ongeacht hun omvang. Overheidsinstanties en toezichthouders moeten ook externe meldkanalen instellen.

Kernvereisten: wat organisaties moeten doen

1. Veilige interne meldkanalen instellen

Elke organisatie die onder de richtlijn valt, moet ten minste een veilig meldkanaal bieden. Het kanaal moet de vertrouwelijkheid van de identiteit van de melder beschermen. Generieke e-mailinboxen voldoen niet aan de vereisten van de richtlijn. Organisaties moeten een onpartijdig persoon aanwijzen die verantwoordelijk is voor de behandeling van meldingen.

2. Ontvangstbevestiging binnen 7 dagen

Organisaties moeten de ontvangst van elke melding bevestigen binnen 7 dagen na ontvangst. Deze termijn is een wettelijke verplichting, niet een best practice.

3. Feedback binnen 3 maanden

Melders moeten binnen 3 maanden na de ontvangstbevestiging feedback ontvangen over de genomen of geplande acties. Meldingen die zonder gedocumenteerde voortgang worden gelaten, creeren zowel juridische risico's als een ontmoedigend effect op toekomstige meldingen.

4. Strikte vertrouwelijkheid bewaren

De identiteit van de melder moet gedurende het hele proces strikt vertrouwelijk worden gehouden. Alle persoonsgegevens moeten voldoen aan de AVG.

5. Represailles verbieden en voorkomen

Represailles zijn verboden. De richtlijn introduceert de omkering van de bewijslast: als een melder na het doen van een melding negatieve behandeling ondervindt, moet de organisatie aantonen dat de behandeling geen verband houdt met de melding.

6. Melders informeren over externe kanalen

Organisaties moeten melders informeren over externe meldkanalen, beheerd door bevoegde nationale autoriteiten of EU-organen. Melders mogen externe kanalen gebruiken voor, in plaats van of naast interne kanalen.

Nationale implementaties: Duitsland en Nederland

Duitsland: Hinweisgeberschutzgesetz (HinSchG)

De HinSchG trad op 2 juli 2023 in werking. Organisaties met 250 of meer werknemers moesten per 2 juli 2023 voldoen; die met 50 tot 249 werknemers per 17 december 2023. Organisaties die meldingen belemmeren of represailles nemen, riskeren boetes tot 50.000 euro.

Nederland: Wet bescherming klokkenluiders

De Wet bescherming klokkenluiders trad in februari 2023 in werking en geldt voor organisaties met 50 of meer werknemers. De wet introduceert een expliciete omkering van de bewijslast bij represailleclaims. Het Huis voor Klokkenluiders blijft de aangewezen externe bevoegde autoriteit.

Sancties bij niet-naleving

• Boetes. In Duitsland lopen boetes op tot 50.000 euro voor represailles en tot 20.000 euro voor het niet instellen van een kanaal.
• Civiele aansprakelijkheid. Melders hebben recht op rechtsmiddelen voor schade als gevolg van represailles.
• Omgekeerde bewijslast. De organisatie moet bewijzen dat de nadelige behandeling geen verband hield met de melding.
• Reputatieschade. Zaken die escaleren brengen aanzienlijk reputatierisico met zich mee.

Implementatiestatus in de EU

Alle 27 EU-lidstaten hebben inmiddels de vereiste wetgeving aangenomen. Volg de actuele implementatiestatus via de EU Whistleblowing Monitor. Lees meer in onze gids over naleving van de EU-klokkenluidersrichtlijn.

Hoe u uw huidige naleving beoordeelt

1. Kanaalassessment. Voldoet uw huidige meldkanaal aan de vertrouwelijkheids- en toegankelijkheidsvereisten?
2. Responsworkflow. Levert uw proces betrouwbaar een bevestiging binnen 7 dagen en feedback binnen 3 maanden?
3. Vertrouwelijkheidscontroles. Zijn de toegangsrechten beperkt tot bevoegd personeel en is uw AVG-documentatie actueel?
4. Kader voor niet-represailles. Is uw beleid expliciet, gecommuniceerd en actief gemonitord?
5. Medewerkersbewustzijn. Weten medewerkers dat het meldkanaal bestaat en welke beschermingen van toepassing zijn?

Lees meer over hoe u een spreekuurcultuur opbouwt die verder gaat dan minimale naleving.

Hoe SpeakUp organisaties helpt te voldoen aan de richtlijn

Voldoen aan de vereisten in de praktijk vereist meer dan een beleidsupdate. Het vereist een systeem dat naleving voor iedereen de weg van de minste weerstand maakt.

SpeakUp Report is gebouwd op de operationele vereisten van de richtlijn en nationale implementaties. Melders kunnen zorgen indienen via web, mobiele app, telefoon of AI-spraakagent. Compliance-teams krijgen geautomatiseerde bevestigingsworkflows, gestructureerd zaakbeheer en ingebouwde AVG-compliance. Meer dan 600 organisaties in meer dan 30 landen vertrouwen op SpeakUp. Doing right, made easy.

Veelgestelde vragen

Verplicht de EU-klokkenluidersrichtlijn anonieme meldingen?

De richtlijn verplicht organisaties niet anonieme meldingen te accepteren, maar verbiedt dit ook niet. Veel nationale implementaties staan anonieme meldingen uitdrukkelijk toe.

Mogen klokkenluiders rechtstreeks naar toezichthouders stappen?

Ja. De richtlijn beschermt uitdrukkelijk melders die externe kanalen gebruiken voor, in plaats van of naast interne kanalen.

Geldt de richtlijn ook voor niet-EU-organisaties?

De richtlijn geldt voor alle organisaties die actief zijn in de EU, inclusief niet-EU-organisaties met medewerkers in EU-lidstaten.

Hoe verhoudt de richtlijn zich tot de AVG?

Ze zijn complementair. Alle persoonsgegevens verwerkt in verband met meldingen moeten voldoen aan de AVG, inclusief rechtsgrondslag, dataminimalisatie en bewaartermijnen.