‍

Uusi kansallinen whistleblowing-direktiivin voimaansaattava laki on myöhästymässä. Alun perin EU:n whistleblowing-direktiivin voimaansaattavan kansallisen lain oli määrä tulla voimaan viimeistään 17.12.2021. Lain tarkasta voimaantuloajankohdasta ei ole vielä tietoa, mutta näyttäisi siltä, että se olisi tulossa voimaan vasta ensi vuoden alkupuolella.

Tämän ilmoittajansuojelulain tavoitteena on, että ilmoittaja, joka työnsä yhteydessä havaitsee tai epäilee EU-oikeuden tai kansallisen oikeuden rikkomuksia, voi ilmoittaa asiasta turvallisesti. Uuden sääntelyn konkreettisena vaikutuksena keskisuurissa ja suurissa yrityksissä on velvoite ottaa käyttöön väärinkäytösten sisäinen ilmoituskanava.

Kokosimme alle tiivistetysti sen, mitä tulevasta laista tiedetään tällä hetkellä ja mitä yrityksesi tulee tietää lain soveltamisesta käytännössä.

Mikä on whistleblowing-direktiivi ja kansallinen ilmoittajansuojelulaki?

Direktiivin ja sen kansallisesti voimaansaattavan ilmoittajansuojelulain tavoitteena on tehostaa väärinkäytösten ilmoittamista ja siten ehkäistä tällaisia väärinkäytöksiä ja niistä aiheutuvia tulonmenetyksiä. Ilmoitettavat rikkomukset liittyvät yleisen edun vastaiseen toimintaan direktiivin määrittelemillä aloilla. Tällaisia aloja ovat mm. julkiset hankinnat ja kilpailulainsäädäntö, rahoituspalvelut, -tuotteet, -markkinat sekä rahanpesun ja terrorismin rahoituksen ehkäiseminen, ympäristönsuojelu, kuluttajansuoja sekä yhteisöverolainsäädäntö.

Ketä laki koskee?

Yksityisellä sektorilla sisäinen ilmoituskanava tulee pääsääntöisesti ottaa käyttöön kaikissa yrityksissä, jotka ovat arvonlisäverovelvollisia ja joissa on vähintään 50 työntekijää. Rahoituspalvelualan ja rahanpesulain soveltamisalaan kuuluvat yhtiöt ovat velvollisia perustamaan ilmoituskanavan yrityksen koosta riippumatta.

Aikataulu

Lain voimaantultua kaikilla vähintään 250 henkilöä työllistävillä yksityisen ja julkisen sektorin organisaatioilla sekä valtion virastoilla tulee olla ilmoituskanava käytössä. Pienempiä, 50–249 henkilöä työllistäviä yrityksiä lain vaatimukset velvoittavat kuitenkin vasta 17.12.2023.

Mikä ilmoituskanava?

Ilmoituskanavan käytännön toteuttamiseen on useita erilaisia vaihtoehtoja ja tarjolla on myös erilaisia kaupallisia ratkaisuja. Yritys voi itse määrittää käyttöön ottamansa ilmoituskanavan ja järjestää ilmoituskanavan joko itse tai hankkia sen ulkopuoliselta palveluntarjoajalta. Tällaisia kanavia voi olla esimerkiksi vihjepuhelin, verkossa toimiva sivusto tai perinteinen, lukittava palautelaatikko.

Ilmoituskanavien toiminnasta vastaa joko yrityksen sisäisesti nimetty henkilö tai yksikkö tai ulkopuolinen kolmas osapuoli. Käytännössä yrityksen on mahdollistettava ilmoittaminen suullisesti ja/tai kirjallisesti. Jos suullinen ilmoittaminen on mahdollista, se on voitava tehdä esimerkiksi puhelimitse ja mikäli ilmoittaja pyytää, kohtuullisen ajan kuluessa järjestettävässä henkilökohtaisessa tapaamisessa. Kanavan tulee mahdollistaa myös lisätietojen pyytäminen ilmoittajalta, vaikka ilmoittajalla ei toisaalta ole velvollisuutta toimittaa lisätietoja. Yrityksen on myös tiedotettava sisäisestä ja ulkoisesta ilmoittamisesta, niihin liittyvistä menettelyistä sekä ilmoittajan suojelun edellytyksistä. Tiedot on esitettävä selkeässä ja helposti saatavilla olevassa muodossa.

Ilmoitukset käytännössä

Ilmoitus väärinkäytöksestä voi tulla organisaation sisältä (myös entisiltä työntekijöiltä sekä työnhakijoilta) tai sen lähipiiristä, kuten osakkeenomistajilta, alihankkijoiden ja -toimittajien henkilöstöltä, taikka mahdollisilta vapaaehtoistyöntekijöiltä tai harjoittelijoilta. Ilmoittajansuojelulaki pyrkii ehkäisemään ilmoittajaan kohdistuvat suorat ja epäsuorat vastatoimet, kuten erottaminen, lomautus, alentaminen tai muut vastaavat toimet. Työnantajalla on näyttötaakka siitä, etteivät sen ilmoittajaan mahdollisesti kohdistamat toimet ole liittyneet työntekijän ilmoitukseen tai tietojen julkistamiseen.

Kansallisessa lainvalmistelussa on tiedostettu anonyymin ilmoittamisen yrityksille aiheuttamat hallinnolliset rasitteet sekä anonyymien ilmoitusten sisäisen selvittämisen vaikeudet, ja tuleva laki tämänhetkisessä luonnosmuodossaan näyttäisikin lähtevän siitä, että yritys voi itse päättää, ottaako se vastaan anonyymejä ilmoituksia vai tuleeko ilmoittajan tehdä ilmoitus omalla nimellään.  Sen sijaan ulkoisissa viranomaisten ilmoituskanavissa ilmoituksesta seuraaviin jatkotoimiin ryhtymiseksi vaaditaan aina ilmoittajan nimi.

Toimivan sisäisen ilmoituskanavan perustaminen kannattaa

Ilmoituskanavan perustaminen ja ylläpitäminen on lakisääteisen velvollisuuden täyttämistä ja vastuullista toimintaa sekä osa yrityksen riskienhallintaa. Siitä on kuitenkin myös muunlaista hyötyä. Kun yrityksessä on käytössä hyvin toimiva sisäinen ilmoituskanava, on sitä myös käytettävä ensisijaisena ilmoituskanavana. Kun ilmoittaja käyttää sisäistä, oikein toimivaa ilmoituskanavaa, saa yritys kolmen kuukauden etuoikeuden ilmoituksen myötä vastaanotettuun tietoon. Käytännössä siis yrityksellä on kolme kuukautta aikaa ilmoittaa ilmoituksen tehneelle ilmoituksen myötä toteuttamansa tai aikomansa toimenpiteet sekä perusteet toimenpiteisiin. Toimiva ilmoituskanava mahdollistaa näin sen, ettei ilmoittaja joudu tietojensa kanssa välttämättä lainkaan kääntymään viranomaisen puoleen ja/tai julkistamaan tietoja. Toimiva sisäinen ilmoituskanava ehkäiseekin näin ennen kaikkea merkittäviä mainehaittoja ja taloudellisia vahinkoja.

Yhteenvetoa

Sääntely tulee jossakin määrin lisäämään yritysten ja työnantajien hallinnollista taakkaa, sillä ilmoitusjärjestelmää varten pitää luoda tarvittavat prosessit ja määritellä siihen kuuluvat vastuukysymykset, ellei yrityksessä ole jo käytössä vastaavaa sääntelyn edellyttämää järjestelmää. Vaikka kansallisen lain voimaantulo näyttääkin nyt myöhästyvän, tulee yritysten edelleen olla valmiita whistleblowing-lainsäädännön mukanaan tuomiin vaatimuksiin. Kuten muulloinkin yritysten päättäessä uusien henkilötietojärjestelmien ja tietojärjestelmien käyttöönotosta, tulee yritysten myös ilmoituskanavan käyttöönoton yhteydessä arvioida, onko syytä järjestää yhteistoimintamenettelyt sekä arvioida mahdolliset tietosuojaselosteiden päivitystarpeet sekä mahdollinen tarve tietosuoja-asetuksen mukaiselle tietosuojan vaikutustenarvioinnille. Ilmoitusjärjestelmän pystyttämisessä on pitkälti kuitenkin kyse kertaluonteisesta toimenpiteestä, ja hyvin toteutettuna ilmoituskanava voi parantaa myös yrityksen riskienhallintaa.

‍

‍

Lue myös:

Vastaamolle Suomen suurin hallinnollinen seuraamusmaksu

Ensimmäiset tietosuojasakot Suomessa määrätty

EU-tuomioistuin totesi Privacy Shield -järjestelmän riittämättömäksi (Schrems II -asiassa)