22 juli 2026·5 min läsning

Visselblåsarlagen: skyldigheter, tidsfrister och tillsyn för arbetsgivare

Visselblåsarlagen (lag 2021:890), i kraft sedan den 17 december 2021, kräver att arbetsgivare inrättar interna rapporteringskanaler och genomför EU-direktiv 2019/1937. Den här guiden går igenom vem som omfattas, tidsfristerna, tillsynen och externalisering.

Vilka arbetsgivare omfattas?

Arbetsgivare med 50 eller fler arbetstagare måste ha interna rapporteringskanaler. För arbetsgivare med 50–249 arbetstagare gäller kravet sedan den 17 december 2023; för verksamheter med 250 eller fler sedan den 17 juli 2022.

Tidsfristerna: 7 dagar och 3 månader

Den som rapporterar ska få en bekräftelse inom 7 dagar och återkoppling om vilka åtgärder som vidtagits inom skälig tid, dock högst 3 månader. Konfidentialiteten för den rapporterande personen ska skyddas genom hela processen.

Tillsyn och påföljder

Arbetsmiljöverket utövar tillsyn över att arbetsgivare har interna rapporteringskanaler. Till skillnad från vissa andra länder bygger den svenska lagen inte på fasta administrativa böter: Arbetsmiljöverket kan förelägga en arbetsgivare att åtgärda brister, vid behov förenat med vite, och den som utsätts för repressalier har rätt till skadestånd. Att avvakta är alltså ingen säker strategi.

Intern kanal, extern rapportering och externalisering

Den interna kanalen driver du själv. Extern rapportering görs till utsedda behöriga myndigheter, och den rapporterande personen är inte skyldig att först rapportera internt. Lagen tillåter att den interna kanalen sköts av en extern part — det är precis vad Whistlechannel erbjuder.

Anonymitet och var data lagras

Anonym rapportering är tillåten, och identiteten skyddas av konfidentialitet. Lika viktigt som löftet är att anonymiteten är tekniskt säkrad: ingen IP-loggning, stark kryptering och en pseudonym tvåvägsdialog. Och var data lagras avgör Schrems II-risken: efter EU-domstolens dom är EU-data hos amerikanska leverantörer exponerade för CLOUD Act och FISA 702, även när de lagras i ett europeiskt datacenter.

Det här skiljer Whistlechannel

Whistlechannel driftas uteslutande i Stockholm, utan amerikanska underbiträden, loggar inga IP-adresser och krypterar med AES-256. Den nyckelfärdiga kanalen finns på 24 EU-språk, aktiveras i självbetjäning på minuter och har transparenta priser från 99 SEK/månad — utan säljsamtal.

Vanliga frågor

Måste vårt företag med 50 anställda ha en visselblåsarkanal?

Ja. Kravet gäller arbetsgivare med 50 eller fler arbetstagare; för 50–249 arbetstagare sedan den 17 december 2023.

Vilka tidsfrister gäller efter en rapport?

Bekräftelse inom 7 dagar och återkoppling inom skälig tid, dock högst 3 månader.

Vad händer om vi inte följer lagen?

Arbetsmiljöverket kan förelägga arbetsgivaren att åtgärda brister, vid behov förenat med vite, och repressalier ger rätt till skadestånd. Lagen bygger inte på fasta administrativa böter.

Kan vi anlita en extern leverantör?

Ja, den interna kanalen får skötas av en extern part som säkerställer konfidentialitet och lagkrav. Whistlechannel levererar detta nyckelfärdigt.

Var lagras rapporteringsdatan?

Hos Whistlechannel uteslutande i Stockholm (EU), utan amerikanska underbiträden och utan IP-loggning — i linje med GDPR och Schrems II-domen.

Jämför visselblåsarplattformar i EU →