Visselblåsarlagens krav: det här måste ni uppfylla 2026

Har er organisation 50 eller fler anställda vid ingången av kalenderåret måste ni enligt visselblåsarlagen (2021:890) ha interna rapporteringskanaler och skriftliga förfaranden för att ta emot och följa upp rapporter om missförhållanden. Kraven gäller både privata och offentliga arbetsgivare. Det räcker inte med en e-postadress eller ett webbformulär. Lagen kräver oberoende handläggare, bestämda tidsfrister, information om externa kanaler, dokumentation, sekretess och en personuppgiftshantering som följer både lagens sjunde kapitel och GDPR. Nedan går vi igenom kraven ett i taget, ser på var organisationer oftast brister och beskriver hur ni bygger en funktion som klarar en inspektion från Arbetsmiljöverket.

Kort sagt

• Vem omfattas: alla arbetsgivare med minst 50 anställda vid ingången av kalenderåret. Sedan 17 december 2023 gäller det även privata verksamheter med 50 till 249 anställda.
• Kanalen: det ska gå att rapportera både skriftligt och muntligt, och handläggarna ska vara oberoende och självständiga.
• Tidsfrister: bekräftelse på mottagen rapport inom sju dagar och återkoppling inom tre månader.
• Dataskydd: en konsekvensbedömning (DPIA) är obligatorisk, behandlingen ska föras in i registret enligt artikel 30, och personuppgifter får som regel sparas i högst två år efter att ärendet avslutats.
• Tillsyn: Arbetsmiljöverket granskar hur processen är uppbyggd och dokumenterad, inte vad rapporterna handlar om.

Innehållsförteckning

• Vilka organisationer som omfattas och hur ni räknar
• Kraven på den interna kanalen, punkt för punkt
• Dataskyddskraven som många missar
• Skydd mot repressalier och anonymitet
• Så granskar Arbetsmiljöverket
• Så bygger ni funktionen steg för steg
• Vår syn: funktionen fallerar i organisationen, inte i verktyget
• Vanliga frågor
• Källor

Vilka organisationer som omfattas och hur ni räknar

Visselblåsarlagen har två delar som ofta blandas ihop. Skyddet mot repressalier gäller i alla verksamheter, oavsett storlek. Skyldigheten att inrätta interna kanaler beror däremot på hur många anställda ni har.

Kraven infördes i två steg. Från 17 juli 2022 gällde de offentliga arbetsgivare med minst 50 anställda och privata arbetsgivare med minst 250 anställda. Senast 17 december 2023 skulle även privata arbetsgivare med minst 50 anställda ha sina kanaler på plats. Det finns alltså ingen övergångsperiod kvar. Den som i dag har passerat gränsen ska redan uppfylla kraven.

Räkna vid årsskiftet

Gränsen på 50 anställda gäller antalet vid ingången av kalenderåret. En tillfällig ökning under sommaren gör alltså inte att kravet slår till mitt under året. Ligger ni stadigt kring 50 och passerar gränsen vid ett årsskifte gäller skyldigheten från det året. Har ni många deltidsanställda, visstidsanställda eller anställda i flera bolag behöver HR och juridik göra räkningen tillsammans, så att ni inte missar gränsen.

Lagen ger också ett särskilt utrymme för mindre privata verksamheter. Privata verksamhetsutövare med mellan 50 och 249 anställda får enligt lagens femte kapitel dela resurser när det gäller att ta emot och utreda rapporter. Det kan vara praktiskt i en koncern med flera medelstora bolag, men varje bolag är fortfarande ansvarigt för sin egen kanal och sin egen återkoppling. Vissa verksamheter inom bland annat finanssektorn kan omfattas oavsett storlek. Kontrollera därför lagtexten om ni bedriver verksamhet som regleras av EU-rättsakter på finansmarknadsområdet.

Fler än de anställda ska kunna rapportera

Kanalen är inte bara till för den egna personalen. Enligt Arbetsmiljöverket ska en bred krets kunna använda den och skyddas mot repressalier, utöver anställda bland andra volontärer, praktikanter, inhyrd personal, konsulter, egenföretagare och aktieägare som är verksamma i bolaget. Om er information om kanalen bara finns på intranätet når den alltså inte alla som har rätt att använda den.

Kraven på den interna kanalen, punkt för punkt

Lagen kräver ingen viss teknik. Den ställer funktionella krav, och det är de som granskas. Tabellen sammanfattar dem.

Skriftligt, muntligt och på plats

Arbetsmiljöverkets inspektionsunderlag utgår från att en visselblåsare ska kunna rapportera både skriftligen och muntligen. En vanlig brist är att en organisation har köpt ett digitalt formulär men inte har någon väg för den som hellre ringer eller vill träffa någon. Bestäm i förväg vem som tar emot ett telefonsamtal, hur ett möte bokas och hur samtalet dokumenteras.

Oberoende och självständiga handläggare

Enligt Arbetsmiljöverkets fördjupning om lagen är oberoendet ett av de viktigaste kraven, och funktionen kan vara en person eller en grupp personer. Det här är den punkt där medelstora företag oftast brister i hur funktionen är organiserad. Om handläggaren rapporterar till den vd eller ekonomichef som rapporten kan handla om finns inget verkligt oberoende. Ge funktionen en rapporteringsväg till styrelsen, revisionsutskottet eller motsvarande, och skriv ner hur ni hanterar jäv. Ni kan också låta en extern part sköta mottagandet och utredningen, men ansvaret för att kraven uppfylls ligger kvar hos er.

Tidsfristerna

Enligt 5 kap. 8 § visselblåsarlagen ska visselblåsaren få en bekräftelse inom sju dagar och återkoppling om uppföljningen inom tre månader från bekräftelsen. Sju dagar är kalenderdagar, inte arbetsdagar, så kanalen behöver bevakas även under semestrar och storhelger. Utse en ersättare och lägg in fristerna som bevakade datum i det system ni använder.

Information om externa kanaler

Ni ska också informera om att det går att rapportera till myndigheter. Regeringen har utsett ett antal behöriga myndigheter med egna externa kanaler inom sina områden, och Arbetsmiljöverket tar emot rapporter som ingen annan myndighet är behörig för. Den som rapporterar måste inte först ha rapporterat internt för att få vända sig till en extern kanal. En intern kanal som fungerar och som personalen litar på är därför det bästa sättet att få veta om problem innan de når en myndighet.

Samverkan med arbetstagarorganisationer

Innan ni inför eller ändrar era rutiner kan ni behöva förhandla eller samråda med de fackliga organisationerna. Arbetsgivarverket tar upp förhandlingsskyldighet och kollektivavtal som en egen fråga i lagens tillämpning. Planera in den tiden i projektet.

Dataskyddskraven som många missar

En visselblåsarkanal är i grunden en behandling av känsliga personuppgifter om både den som rapporterar och den som pekas ut. Här överlappar visselblåsarlagen och GDPR, och det är ofta här som compliancearbetet har brister.

Lagens eget kapitel om personuppgifter

Visselblåsarlagen har ett eget kapitel, 7 kap., om personuppgifter som kompletterar dataskyddsförordningen. Enligt IMY får personuppgifter bara behandlas om det är nödvändigt för att hantera rapporten, och uppgifter som uppenbart inte är relevanta för ett visst ärende ska inte samlas in eller ska raderas. Uppgifterna får som regel sparas i högst två år efter att ärendet har avslutats. Om rensningen inte görs automatiskt i det system ni använder blir den sällan av, och då bryter ni mot lagen även om ärendet i övrigt hanterades korrekt.

DPIA och registerförteckning

Enligt IMY är det obligatoriskt att göra en konsekvensbedömning för den interna rapporteringskanalen, eftersom behandlingen innebär hög risk: känsliga uppgifter kan förekomma och de anställda står i beroendeställning till arbetsgivaren. Behandlingen ska också föras in i registret enligt artikel 30 i dataskyddsförordningen. Saknar ni en färdig struktur kan ni utgå från vår DPIA-rapportmall och läsa om hur konsekvensbedömningen (DPIA) är uppbyggd. Har ni ett dataskyddsombud ska ombudet ge råd under arbetet, och vi har beskrivit ombudets roll vid en DPIA för sig.

Behörigheter och loggning

Sekretessen för visselblåsarens identitet är både ett lagkrav och en tekniskt svår fråga. Det kräver strikt behörighetsstyrning, så att bara de utsedda handläggarna kommer åt ärendena, och loggning av personuppgifter som visar vem som har läst vad. Glöm inte it-administratörer och leverantörens supportpersonal, som ofta har bredare åtkomst än någon har tänkt på. Många visselblåsarärenden handlar om personalfrågor, så kanalen behöver också passa ihop med hur ni i övrigt hanterar anställdas personuppgifter.

Skilj på visselblåsning och GDPR-klagomål

IMY påpekar att skyddet mot repressalier i visselblåsarlagen är något annat än rätten att klaga enligt GDPR. Kanalen är till för missförhållanden som det finns ett allmänintresse av att de kommer fram. Vanliga klagomål på personuppgiftsbehandling, till exempel en begäran om registerutdrag, hanteras i de ordinarie processerna. Säg det tydligt i informationen om kanalen, så att handläggarna inte fylls av ärenden som hör hemma någon annanstans.

Skydd mot repressalier och anonymitet

Kärnan i lagen är skyddet. Den som rapporterar enligt lagens förutsättningar får inte hindras och får inte utsättas för repressalier, och en arbetsgivare som bryter mot det kan bli skyldig att betala skadestånd. Repressalier kan vara uppsägning, men också omplacering, utebliven lönehöjning eller att någon frysts ut. Chefer behöver därför utbildas i vad de inte får göra när de misstänker vem som har rapporterat.

Lagen kräver inte att privata verksamheter tar emot anonyma rapporter. Däremot skyddas identiteten av tystnadsplikt för dem som hanterar ärendena. Många organisationer väljer ändå att tillåta anonym rapportering, eftersom det sänker tröskeln. Gör ni det behöver kanalen en säker väg för att ställa följdfrågor till en anonym visselblåsare, annars blir det svårt att lämna den återkoppling lagen kräver.

Så granskar Arbetsmiljöverket

Arbetsmiljöverket är tillsynsmyndighet för kraven på interna kanaler. Myndigheten har genomfört en riktad inspektion av visselblåsning av runt 70 privata verksamheter som drivs genom huvudkontor, med utgångspunkt i lagens femte kapitel. Inspektörerna bedömer inte vad som har rapporterats. De granskar om processen är formellt oberoende och om den är dokumenterad.

Anställda och andra kan dessutom rapportera arbetsgivare som saknar kanaler direkt till Arbetsmiljöverket. Brister kan leda till föreläggande, i sista hand förenat med vite. Ha det här redo att visa när inspektören hör av sig:

• skriftlig rutin för mottagande, uppföljning och återkoppling
• beslut om vilka som är utsedda handläggare och hur deras oberoende säkras
• information till anställda och andra som har rätt att rapportera, inklusive externa kanaler
• DPIA, post i registerförteckningen och gallringsrutin
• bevis på att fristerna hålls, till exempel avidentifierad ärendestatistik

Så bygger ni funktionen steg för steg

1. Räkna personalen vid årsskiftet och avgör om ni omfattas, och om ni som privat verksamhet med 50 till 249 anställda vill dela resurser inom koncernen.
2. Förhandla eller samråd med de fackliga organisationerna innan ni beslutar om upplägget.
3. Utse handläggare internt, externt eller i en kombination, och skriv ner deras mandat, rapporteringsväg till styrelsen och hur jäv hanteras.
4. Välj kanaler för skriftlig och muntlig rapportering, plus en rutin för fysiska möten.
5. Gör DPIA:n innan kanalen tas i bruk, och för in behandlingen i registret enligt artikel 30.
6. Ställ in sekretess och gallring: behörigheter, loggning och automatisk radering senast två år efter att ärendet avslutats.
7. Informera på ett sätt som når även konsulter, praktikanter och andra externa, och beskriv de externa kanalerna.
8. Utbilda handläggare i utredningsmetodik och chefer i förbudet mot repressalier.
9. Följ upp fristerna och processen minst årligen och dokumentera resultatet.

Vill ni ha hjälp med en eller flera av stegen gör vi GAP-analyser, DPIA och säkerhetsgranskningar som visar exakt var er nuvarande funktion brister mot lagen och GDPR. I Trustview, vår GRC-plattform, kan ni samla rutiner, DPIA, registerförteckning och uppföljning på ett ställe, tillsammans med det övriga arbetet med GDPR, ISO 27000, NIS2 och DORA. Behöver ni någon som tar ägarskapet för hela processen under en period finns vi också som interim compliance officer.

Vår syn: funktionen fallerar i organisationen, inte i verktyget

Lagen ställer inga krav på teknik, och det tycker vi är klokt. När vi granskar visselblåsarfunktioner ser vi att problemen sällan beror på systemet. De beror på hur funktionen är organiserad. Handläggaren sitter under den som rapporterna kan gälla. Ingen bevakar sjudagarsfristen i juli. Gallringen har aldrig satts upp. Dataskyddsombudet fick aldrig se DPIA:n. Allt det går att lösa, men inte genom att köpa en ny kanal.

Vi arbetar i gränslandet mellan juridik och informationssäkerhet, och vi tror att de två perspektiven måste mötas just här. En visselblåsarkanal är ett rättsligt skydd för den enskilda och samtidigt ett informationssäkerhetsobjekt med några av de mest skyddsvärda uppgifter organisationen har. Därför börjar vi alltid med rutinen och rollerna och väljer sedan verktyg, och vi kopplar ihop kanalen med det övriga compliancearbetet i stället för att hantera den som en ö. Ett digitalt stöd, som vår egen plattform, gör arbetet enklare och spårbart, men det ersätter inte en tydlig ansvarsfördelning. Det EU-rättsliga bakgrunden har vi beskrivit i vår genomgång av visselblåsardirektivet.

— Jesper

Vanliga frågor

När måste man ha en visselblåsarfunktion?

När organisationen har 50 eller fler anställda vid ingången av ett kalenderår. För offentliga arbetsgivare och privata med minst 250 anställda har kravet gällt sedan 17 juli 2022, och för privata med 50 till 249 anställda sedan 17 december 2023. Skyddet mot repressalier gäller i alla verksamheter, oavsett storlek.

Vad innebär visselblåsarlagen för arbetsgivaren?

Ni ska ha interna kanaler för skriftlig och muntlig rapportering, oberoende handläggare, rutiner för uppföljning och återkoppling inom lagens frister, samt information om externa kanaler. Ni får inte hindra rapportering eller utsätta någon för repressalier. Personuppgifterna ska hanteras enligt lagens sjunde kapitel och GDPR, med en DPIA som grund.

Är man anonym som visselblåsare?

Lagen kräver inte att privata verksamheter tar emot anonyma rapporter, men visselblåsarens identitet skyddas av tystnadsplikt för dem som hanterar ärendet. Många organisationer tillåter ändå anonym rapportering. Då behövs en säker väg för att kommunicera med visselblåsaren utan att identiteten röjs.

Får vi lägga ut visselblåsarfunktionen på en extern part?

Ja, mottagande och utredning kan skötas av en extern part, och privata verksamheter med 50 till 249 anställda får också dela resurser. Ansvaret för att lagens krav och GDPR uppfylls ligger dock kvar hos er som verksamhetsutövare. Reglera uppdraget i avtal, och i ett personuppgiftsbiträdesavtal om parten behandlar personuppgifter för er räkning.

Hur länge får vi spara uppgifter i ett visselblåsarärende?

Som regel högst två år efter att ärendet har avslutats, och uppgifter som uppenbart inte är relevanta ska inte sparas alls. För myndigheter kan reglerna om arkivering av allmänna handlingar gälla. Lägg in automatisk gallring så att fristen hålls även när ingen kommer ihåg den.

Källor

• Arbetsmiljöverket: Visselblåsarlagen
• Arbetsmiljöverket: Interna kanaler för visselblåsning
• Arbetsmiljöverket: Fler företag ska ha kanaler för visselblåsning
• Arbetsmiljöverket: Fördjupning om visselblåsarlagen
• Arbetsmiljöverket: Inspektion av visselblåsning
• Arbetsmiljöverket: Rapportera arbetsgivares överträdelser
• Sveriges riksdag: Lag (2021:890) om skydd för personer som rapporterar om missförhållanden
• IMY: Visselblåsning och behandling av personuppgifter
• IMY: Krav enligt visselblåsarlagen för personuppgiftsbehandling
• IMY: Konsekvensbedömning för intern rapporteringskanal
• IMY: Registerförteckning enligt artikel 30 för rapporteringskanaler
• Arbetsgivarverket: Visselblåsarlagen
• Tillväxtverket: Visselblåsarkanal och externa kanaler

Rekommendationer

• Visselblåsardirektivet
• Informationssäkerhet i offentlig sektor: nya krav 2026