Wet bescherming klokkenluiders: verplichtingen, termijnen en sancties voor werkgevers

De Wet bescherming klokkenluiders (Wbk), in werking sinds 18 februari 2023, verplicht werkgevers een interne meldprocedure — een meldkanaal — in te richten en zet de EU-richtlijn 2019/1937 om. Deze gids behandelt wie verplicht is, de termijnen, de rol van de ondernemingsraad, de handhaving en de uitbesteding.

Welke werkgevers zijn verplicht?

Werkgevers met 50 of meer werknemers moeten een interne meldprocedure hebben. Voor middelgrote werkgevers met 50 tot 249 werknemers geldt de verplichting sinds 17 december 2023.

Termijnen: 7 dagen en 3 maanden

De melder moet binnen 7 dagen een ontvangstbevestiging krijgen en binnen een redelijke termijn van ten hoogste 3 maanden informatie over de beoordeling van de melding, met een eenmalige verlenging als dat gemotiveerd is. De vertrouwelijkheid van de melder moet gedurende het hele proces gewaarborgd zijn.

Instemming van de ondernemingsraad

Het vaststellen of wijzigen van de interne meldprocedure vereist instemming van de ondernemingsraad (artikel 27 WOR). Zonder die instemming is de regeling vernietigbaar als er schriftelijk een beroep op wordt gedaan. Is er geen ondernemingsraad, dan is instemming van meer dan de helft van de werknemers vereist. Vergeet deze stap niet in uw planning.

Handhaving en sancties

Het Huis voor Klokkenluiders is de toezichthouder en kan bestuurlijke boetes opleggen, onder meer voor het ontbreken van een meldprocedure en het niet nakomen van de informatie- en vertrouwelijkheidsverplichtingen. De bevoegdheid om te handhaven op het verbod op benadeling (represailles) is nog niet volledig in werking en wordt naar verwachting eind 2026 aangevuld. De wet noemt geen vaste boetebedragen — maar wachten tot de handhaving compleet is, is geen veilige strategie.

Anonieme meldingen en uitbesteding

Anonieme meldingen zijn toegestaan. Wel geldt dat een melder die anoniem blijft geen individuele terugkoppeling kan krijgen, en dat degene die anonieme meldingen behandelt geen leidinggevende of HR-medewerker mag zijn. De interne meldprocedure mag worden uitbesteed aan een externe partij, mits die onafhankelijk is, de vertrouwelijkheid en de AVG waarborgt en dezelfde termijnen haalt.

Waar staan de gegevens: de Schrems II-vraag

Na het Schrems II-arrest blijven gegevens bij Amerikaanse aanbieders blootgesteld aan de CLOUD Act en FISA 702, ook als ze in een Europees datacenter staan. Whistlechannel host uitsluitend in Stockholm, zonder Amerikaanse subverwerkers, zonder registratie van IP-adressen en met AES-256-versleuteling — in 24 EU-talen, self-service, vanaf 99 SEK per maand.