Whistleblowing–kanavan valmistelu kannattaa aloittaa viimeistään nyt

Ilmoituskanava on pääsääntöisesti perustettava vähintään 50 henkilön yrityksiin

Valmisteilla oleva, uusi niin kutsuttu whistleblower-lainsäädäntö velvoittaa pääsääntöisesti vähintään 50 henkilöä työllistävät yritykset tai julkisen sektorin toimijat perustamaan organisaation sisäisen ilmoituskanavan. Kanavan kautta esimerkiksi yrityksen työntekijät voivat tehdä luottamuksellisesti ilmoituksia epäillyistä väärinkäytöksistä, jotka koskevat tietyn lainsäädännön rikkomista esimerkiksi kuluttajansuojan, ympäristönsuojelun, tietosuojan ja julkisten hankintojen alueilla. Tehdessään ilmoituksen lain edellyttämällä tavalla ilmoittaja saa suojaa ja organisaatio taas saa tietyksi ajaksi yksinoikeuden ilmoitusten tutkimiseen.

Parhaillaan eduskuntakäsittelyssä olevan lain on tarkoitus tulla voimaan kolmen kuukauden kuluessa sen hyväksymisestä. Siihen mennessä vähintään 250 työntekijää työllistävien yritysten tulee ottaa käyttöön sisäinen ilmoituskanava. Lakiehdotukseen sisältyy kuitenkin siirtymäaika, jonka mukaan säännöllisesti 50–249 työntekijää työllistävien yksityisen sektorin toimijoiden on otettava ilmoituskanava käyttöön viimeistään 17.12.2023.

Whistleblower-lainsäädäntö perustuu EU:n niin kutsuttuun whistleblower-direktiiviin, joka EU:n jäsenvaltioiden on implementoitava osaksi kansallista lainsääntöä. Suomessa whistleblower-lainsäädännön valmistelu on myöhästynyt alkuperäisestä aikataulusta. Jossain EU:n jäsenvaltioissa direktiivi on jo saatettu osaksi kansallista lainsäädäntöä.

Sisäisen ilmoituskanavan perustaminen

Uuden sääntelyn ensisijaisena tarkoituksena on suojata ilmoituksen tekijää vastatoimilta sekä antaa ilmoituksen vastaanottaneelle taholle mahdollisuus epäillyn väärinkäytöksen asianmukaiseen sisäiseen käsittelyyn. Lisäksi uusi lainsäädäntö asettaa vähimmäisvaatimukset ilmoituskanavan perustamiselle sekä ilmoitusten käsittelyä koskeville menettelyille, kuten ilmoitusten käsittelyajoille ja salassapidolle. Sen sijaan sisäisen ilmoituskanavan tekninen toteutustapa on pitkälti organisaation päätäntävallassa, ja kanavan ylläpitämisen voi tietyin reunaehdoin ulkoistaa myös palveluntarjoajalle. Niin ikään lakiesityksen mukaan samaan konserniin kuuluvat yhtiöt voivat tietyin edellytyksin perustaa yhteisen ilmoituskanavan.

Sääntely tuo organisaatiolle myös uusia informointivelvoitteita. Ilmoitusten tekemiseen oikeutettuja tahoja on muun muassa informoitava sisäisestä ilmoituskanavasta, mahdollisuudesta ilmoittaa viranomaisen ylläpitämään ulkoiseen ilmoituskanavaan sekä ilmoittajan suojelun edellytyksistä. Lisäksi ilmoitusten käsittelyyn on nimettävä vastuuhenkilöt, joita myös tulee kouluttaa ilmoitusten käsittelyyn.

Tietosuojaa koskevat velvoitteet huomioitava

Jotta ilmoituskanavan kautta tehtyjä ilmoituksia ja niihin sisältyviä henkilötietoja voidaan käsitellä laillisesti, kanavan käyttöönotossa on huomioitava tietosuojasääntelyyn ja henkilöstön osalta myös yhteistoimintalakiin perustuvat vaatimukset. Tietosuojavelvoitteiden mukaisesti toteutettu ilmoituskanava ja asianmukainen tietosuojadokumentaatio ovat keskeisiä välineitä, joilla organisaatio voi tarvittaessa näyttää toimineensa lainsäädännön edellyttämällä tavalla. 

Ilmoituskanavan kautta kerättyjen henkilötietojen käsittelyä koskevat samat tietosuojavelvoitteet kuin muutakin henkilötietojen käsittelyä. Esimerkiksi henkilötietojen käsittelyn perusteet ja käyttötarkoitukset sekä säilytysajat on määriteltävä lainsäädännön edellytysten mukaisesti ja tarpeettomat henkilötiedot on poistettava. Käsittelyn kohteena olevia henkilöitä on lisäksi tiedotettava henkilötietojen käsittelystä, ja organisaation on huolehdittava käsittelyn kohteena olevien henkilöiden tietosuojalainsäädäntöön perustuvien oikeuksien toteutumisesta. Tämän osalta on hyvä huomioida, että uusi lainsäädäntö asettaa tiettyjä poikkeuksellisia rajoitteita rekisteröityjen oikeuksiin. Lisäksi Tietosuojavaltuutetun päätöksen mukaan rekisterinpitäjien tulee laatia ilmoituskanaviin liittyvästä henkilötietojen käsittelystä tietosuojaa koskeva vaikutustenarviointi.

Miten valmistautua uusiin velvoitteisiin?

Uuden lainsäädännön vaatimukset täyttävä ilmoituskanava suojaa ilmoittajan lisäksi myös yritystä, sillä ilmoituskanavan avulla yrityksen on mahdollista saada tietoa liiketoimintaa mahdollisesti uhkaavista väärinkäytöksistä sekä saada tietyksi ajaksi yksinoikeus ilmoitusten käsittelyyn. Vaikka lainsäädännön valmistelu on vielä kesken, sisäisen ilmoituskanavan käyttöönoton valmistelu on suositeltavaa aloittaa viimeistään nyt. Alkuun on hyvä laatia arvio tarvittavista toimenpiteistä.