EUs varslerdirektiv og Norge – hva er forskjellen fra norske varslingsregler?

Bakgrunnen for direktivet

Direktiv (EU) 2019/1937 ble vedtatt for å sikre et mer ensartet minimumsvern for varslere i hele EU, etter at flere medlemsland tidligere hadde svært ulik eller manglende lovgivning på området. Formålet er å gjøre det tryggere å varsle om brudd på unionsretten på områder som blant annet offentlige anskaffelser, finansielle tjenester, produktsikkerhet, miljø og personvern.

Direktivet bygger på en tanke om at effektiv håndheving av EU-regelverk er avhengig av at personer som oppdager lovbrudd tør å si fra, og at de ikke risikerer represalier for å gjøre det. Medlemslandene har gjennomført direktivet i nasjonal rett i ulikt tempo og med noe ulik utforming.

Hovedelementene i direktivet

Direktivet stiller krav til at virksomheter av en viss størrelse etablerer interne kanaler for varsling, samtidig som det åpner for varsling gjennom eksterne kanaler til myndigheter, og som en siste utvei offentliggjøring under nærmere bestemte vilkår.

• Interne kanaler som virksomheten selv etablerer og drifter
• Eksterne kanaler til utpekte myndigheter i det enkelte land
• Offentliggjøring som en tretrinnsmodell, forbeholdt situasjoner der interne og eksterne kanaler ikke har fungert eller ikke er egnet
• Forbud mot gjengjeldelse mot varsleren
• Krav om konfidensialitet rundt varslerens identitet
• Frist på sju dager for å bekrefte mottak av et varsel, og tre måneder for å gi tilbakemelding om oppfølging
• En terskel knyttet til antall ansatte for hvilke virksomheter som omfattes av kravet om interne kanaler

Likheter med arbeidsmiljøloven kapittel 2 A

På mange punkter minner direktivet om systemet i arbeidsmiljøloven kapittel 2 A. Begge regelsett bygger på en kombinasjon av interne kanaler, vern mot gjengjeldelse og krav til konfidensialitet. Begge legger også opp til at virksomheter av en viss størrelse skal ha faste rutiner for hvordan varsler mottas og følges opp.

Denne likheten gjør at norske virksomheter som allerede har innrettet seg etter kapittel 2 A, som regel har et godt utgangspunkt for også å forholde seg til direktivets krav i land der det er gjennomført, men det er likevel viktig å se nærmere på forskjellene.

Praktiske forskjeller mellom direktivet og norsk rett

Arbeidsmiljøloven kapittel 2 A har et bredere materielt varslingsbegrep enn direktivet, ved at det norske regelverket dekker varsling om kritikkverdige forhold i vid forstand, ikke bare brudd på et avgrenset sett av EU-regelverk. Samtidig er de norske reglene mindre spesifikke på enkelte punkter, blant annet når det gjelder konkrete frister for bekreftelse og tilbakemelding.

Direktivets saklige virkeområde er i utgangspunktet knyttet til brudd på unionsrett på nærmere angitte områder, mens den norske loven ikke er begrenset på samme måte. Dette betyr at en virksomhet som kun forholder seg til direktivets minimumskrav, kan risikere å ikke dekke det bredere norske varslingsbegrepet, og omvendt.

Betydning for konsern med virksomhet i flere EØS-land

For konsern med datterselskaper i flere land kan det oppstå spørsmål om hvordan varslingsordningen skal innrettes på tvers av landegrensene. Ulike land kan ha gjennomført direktivet med noe forskjellige frister, terskler og krav til kanalenes utforming, samtidig som norsk virksomhet er underlagt arbeidsmiljøloven.

Dette kan gjøre det krevende å ha én felles ordning som oppfyller alle lands krav uten videre tilpasning. Virksomheter bør derfor kartlegge hvilke land de er etablert i, og hvilke konkrete krav som gjelder i hvert enkelt land, fremfor å anta at én løsning automatisk dekker alle jurisdiksjoner.

Anbefaling om å legge seg på strengeste standard

En praktisk tilnærming for konsern er å legge seg på den strengeste av de standardene som gjelder i de landene virksomheten opererer i. Dette betyr i praksis at man tar utgangspunkt i de kortest fristene, det bredeste varslingsbegrepet og de sterkeste kravene til konfidensialitet og vern mot gjengjeldelse, og lar dette gjelde som minimum i hele konsernet.

En slik tilnærming forenkler den interne kommunikasjonen om ordningen, og reduserer risikoen for at man utilsiktet bryter krav i et enkelt land fordi den felles ordningen var tilpasset et annet lands minstekrav.

Delte kanaler i konsern og datterselskaper

Direktivet åpner i utgangspunktet for at mindre virksomheter innenfor et konsern kan dele kanal for mottak av varsler, men dette er underlagt vilkår og kan praktiseres ulikt fra land til land. Det er derfor ikke gitt at en delt konsernkanal alene er tilstrekkelig til å oppfylle kravene i alle land.

Virksomheter bør avklare om lokal lovgivning stiller krav om at det enkelte datterselskap skal ha egen kanal, eller om en felles konsernløsning er akseptert, og eventuelt hvilke tilpasninger som må gjøres lokalt for at løsningen skal være gyldig.

Dokumentasjon og rapportering på tvers av land

Når varsling håndteres på tvers av landegrenser, blir det enda viktigere å ha en tydelig struktur for dokumentasjon og rapportering. Det bør være klart hvem som har ansvar for oppfølging av en sak som kommer inn fra et datterselskap i et annet land, og hvordan informasjon om saken skal deles internt uten å komme i konflikt med lokale personvernregler.

Et felles system som gir sakskode, rollestyrt tilgang og logg kan gjøre det enklere å holde oversikt over saker på tvers av enheter, samtidig som man ivaretar behovet for lokal tilpasning og konfidensialitet.

Språk og lokal tilpasning

En varslingskanal som skal fungere for ansatte i flere land bør være tilgjengelig på de språkene som er relevante for arbeidsstyrken. Det er lite som tyder på at ansatte vil bruke en kanal de ikke forstår innholdet i, og informasjon om rutinen bør derfor oversettes og tilpasses lokalt, ikke bare formelt gjøres tilgjengelig.

Dette gjelder både selve rutinedokumentet, informasjon om fristene som gjelder, og eventuell veiledning om hvordan en sak meldes inn. Lokal tilpasning bør også ta hensyn til hvilke eksterne myndigheter som er relevante mottakere i det enkelte land.

Forholdet til personvernforordningen

Både direktivet og arbeidsmiljøloven kapittel 2 A må ses i sammenheng med personvernforordningen (GDPR), som stiller egne krav til behandling av personopplysninger i varslingssaker. Dette gjelder blant annet behandlingsgrunnlag, lagringstid og informasjon til den registrerte.

For konsern som behandler personopplysninger på tvers av landegrenser, kommer det i tillegg spørsmål om overføring av opplysninger mellom selskaper i ulike land, noe som bør vurderes særskilt i lys av personvernregelverket og eventuelle interne databehandleravtaler.

Hva norske virksomheter bør gjøre nå

Norske virksomheter uten grenseoverskridende drift trenger som regel ikke å gjøre store endringer utover å forholde seg til arbeidsmiljøloven kapittel 2 A, som allerede dekker mye av det samme grunnleggende vernet. For konsern med virksomhet i andre EØS-land er anbefalingen å kartlegge hvilke lokale krav som gjelder, og vurdere om dagens ordning dekker både det norske og det lokale regelverket.

• Kartlegg i hvilke land konsernet er etablert og hvilke lokale krav som gjelder der
• Vurder om varslingsbegrepet i egen rutine er bredt nok til å dekke både norsk rett og direktivets krav
• Sjekk om fristene for bekreftelse og tilbakemelding er innarbeidet i rutinen
• Avklar ansvarsfordeling for saker som involverer flere land
• Følg med på om direktivets status i EØS-avtalen eller eventuell norsk gjennomføring endres

Ofte stilte spørsmål