Visselblåsarlagen – säkra rapporteringskanaler och IT-krav
Kanalen ska vara utformad så att endast de personer som är utsedda att hantera ärenden har åtkomst till innehållet, vilket i praktiken kräver rollbaserad åtkomstkontroll snarare än en delad inkorg som fler kan komma åt. Kommunikationen bör vara krypterad både vid överföring och lagring, och systemet bör logga vem som öppnat ett ärende utan att den loggen i sig avslöjar rapportörens identitet till obehöriga. Många företag löser detta med en dedikerad visselblåsartjänst istället för att bygga en egen lösning, men den tekniska bedömningen av vilken lösning som faktiskt uppfyller kraven är fortfarande företagets eget ansvar.
Anonymitet kräver mer än ett anonymt formulär
Ett formulär som inte frågar efter namn räcker inte för verklig anonymitet om till exempel IP-adressen loggas, eller om metadata i en bifogad fil avslöjar vem som skickat den. En tekniskt sund lösning måste medvetet undvika att samla in eller lagra sådan indirekt identifierande information, annars är anonymiteten skenbar snarare än verklig.
Varför en delad e-postbrevlåda inte räcker
En funktionsbrevlåda som flera i HR eller ledningen har åtkomst till uppfyller varken kravet på begränsad åtkomst eller kravet på att kunna hantera ärenden konfidentiellt gentemot resten av organisationen, inklusive eventuella chefer som själva är föremål för en rapport. Ärenden som rör en person med åtkomst till brevlådan riskerar dessutom att den personen ser rapporten innan den hunnit eskaleras korrekt.
Så väljer ni en lösning som uppfyller kraven
Rollbaserad åtkomst som begränsar vilka som kan öppna och hantera ärenden, oavsett vilken avdelning eller position rapportören eller den anmälda personen har.
Kryptering av både inkommande rapporter och eventuell efterföljande dialog med rapportören.
Minimal datainsamling som undviker att i onödan logga information som indirekt kan avslöja rapportörens identitet.
Tydlig ärendehantering med spårbarhet för vem som hanterat ärendet och när, utan att det äventyrar konfidentialiteten.
Så hjälper Smartify er med den tekniska grunden
Smartify hjälper företag att bedöma om en visselblåsarlösning faktiskt uppfyller de tekniska kraven på åtkomstbegränsning, kryptering och anonymitet som lagen förutsätter.
Vanliga frågor om visselblåsarlagen och IT-krav
Räcker det med en anonym funktionsbrevlåda för att uppfylla visselblåsarlagen?
Nej, en delad brevlåda ger normalt för många personer åtkomst och uppfyller sällan kraven på begränsad, behörighetsstyrd hantering av ärenden.
Är ett anonymt webbformulär automatiskt en säker lösning?
Inte nödvändigtvis. Om formuläret loggar IP-adresser eller om bifogade filer innehåller identifierande metadata är anonymiteten skenbar även om själva formuläret inte frågar efter namn.
Måste vi bygga en egen teknisk lösning, eller kan vi använda en färdig tjänst?
De flesta företag använder en dedikerad visselblåsartjänst istället för att bygga något eget, men det är fortfarande företagets ansvar att bedöma att den valda tjänsten faktiskt uppfyller kraven på kryptering och åtkomstbegränsning.
Vad händer om en person med åtkomst till rapporteringskanalen själv är föremål för en anmälan?
Det är precis den situationen rollbaserad åtkomst och tydlig ärendehantering ska förhindra – en person som är föremål för en rapport ska inte kunna se eller påverka hanteringen av sitt eget ärende.
Visselblåsarlagen kräver att företag med 50 eller fler anställda har en intern rapporteringskanal där anställda kan rapportera misstankar om missförhållanden utan att identiteten röjs för obehöriga. Lagens syfte uppfylls inte av en vanlig funktionsbrevlåda eller ett delat dokument – kanalen måste vara utformad så att bara särskilt utsedda, behöriga personer kan ta del av ett ärende, och så att rapportörens identitet skyddas tekniskt, inte bara genom en policy om att inte avslöja den.
Visselblåsarlagen kräver att företag med 50 eller fler anställda har en intern rapporteringskanal där anställda kan rapportera misstankar om missförhållanden utan att identiteten röjs för obehöriga. Lagens syfte uppfylls inte av en vanlig funktionsbrevlåda eller ett delat dokument – kanalen måste vara utformad så att bara särskilt utsedda, behöriga personer kan ta del av ett ärende, och så att rapportörens identitet skyddas tekniskt, inte bara genom en policy om att inte avslöja den.
