EU-Klokkenluidersrichtlijn 2019/1937: volledige gids

Richtlijn (EU) 2019/1937, aangenomen op 23 oktober 2019, vormt het Europese kader voor klokkenluiderbescherming. Verplicht alle lidstaten om interne en externe kanalen, vertrouwelijkheid, bescherming tegen benadeling en duidelijke reactietermijnen te garanderen. In Nederland omgezet door de Wet bescherming klokkenluiders (Wbk).

Op zoek naar de Nederlandse omzetting in detail? Zie onze Wbk-gids: verplichtingen, termijnen, OR-instemming, strafsancties via de Wet op de economische delicten.

1. Reikwijdte

De richtlijn beschermt melders van inbreuken op het Unierecht in domeinen als overheidsopdrachten, financiële diensten en markten, voorkoming van witwassen en terrorismefinanciering, productveiligheid, transportveiligheid, milieubescherming, volksgezondheid, consumentenbescherming, privacy en persoonsgegevens, netwerk- en informatiebeveiliging, en de financiële belangen van de Unie. Lidstaten mogen de reikwijdte uitbreiden; Nederland heeft via de Wbk de reikwijdte ruim getrokken naar misstanden in werkgerelateerde context in het algemeen.

2. Wie is melder

Art. 4 strekt de bescherming verder uit dan werknemers in enge zin: werknemers, ex-werknemers (tot 2 jaar na het einde van de relatie onder de Wbk), sollicitanten, zzp'ers, leveranciers, onderaannemers, aandeelhouders, leden van bestuurs- en toezichtsorganen, vrijwilligers, stagiairs en facilitators die de melder bijstaan.

3. De drie kanalen

• Intern (art. 8-9): verplicht voor werkgevers met 50+ werknemers en alle publieke entiteiten. Vertrouwelijk, toegankelijk, beheerd door onpartijdig personeel.
• Extern (art. 10-14): beheerd door nationale autoriteiten. In Nederland het Huis voor Klokkenluiders. Melders mogen het externe kanaal direct kiezen.
• Openbare onthulling (art. 15): alleen beschermd onder strikte voorwaarden, doorgaans wanneer interne en externe kanalen geen resultaat hadden of bij acuut gevaar.

4. Procedurele verplichtingen interne kanaal

• Ontvangstbevestiging: binnen 7 dagen (art. 9(1)(b)).
• Inhoudelijke terugkoppeling aan melder: binnen 3 maanden (art. 9(1)(f)); verlengbaar tot 6 maanden bij bijzondere complexiteit.
• Vertrouwelijkheid van de identiteit van de melder en van in de melding genoemde derden (art. 16).
• Bescherming tegen benadeling (art. 19), met omgekeerde bewijslast (art. 21(5)).
• Documentatieplicht ter onderbouwing van de naleving (art. 18).

5. Nationale sancties vergeleken

6. De Nederlandse omzetting: Wet bescherming klokkenluiders

De Wbk verving op 18 februari 2023 de oudere Wet Huis voor klokkenluiders. Geldt voor werkgevers met 50+ werknemers, publiek en privaat. Vereist een interne meldprocedure opgesteld in overleg met de ondernemingsraad (art. 17 Wbk). Het Huis voor Klokkenluiders in Utrecht is de externe instantie. Vertrouwelijkheids- schendingen kunnen strafrechtelijk worden vervolgd onder de Wet op de economische delicten.

7. Wat nu te doen

1. Stel een meldingsregeling op (sjabloon hier).
2. Verzeker instemming van de ondernemingsraad op grond van art. 17 Wbk en art. 27 WOR.
3. Implementeer een technisch kanaal (web + telefonie/voicemail) toegankelijk voor werknemers, leveranciers, ZZP'ers.
4. Voer de DPIA uit en neem de verwerking op in het verwerkingsregister (art. 30 AVG).
5. Train de case handler(s).

Veelgestelde vragen

Wat is de EU-Klokkenluidersrichtlijn?

Richtlijn (EU) 2019/1937 inzake bescherming van personen die inbreuken op het Unierecht melden, verplicht werkgevers met 50+ werknemers en alle publieke entiteiten een vertrouwelijk meldkanaal in te richten, ontvangst binnen 7 dagen te bevestigen, binnen 3 maanden inhoudelijke terugkoppeling te geven en de melder te beschermen tegen benadeling. Geldt sinds 17 december 2023 in alle 27 EU-lidstaten.

Sinds wanneer is de richtlijn van kracht?

Aangenomen op 23 oktober 2019, omzettingstermijn voor lidstaten 17 december 2021. De verplichting strekte zich uit tot werkgevers met 50-249 werknemers op 17 december 2023. Verschillende lidstaten zetten te laat om en kregen inbreukprocedures van de Europese Commissie.

Wie moet aan Richtlijn 2019/1937 voldoen?

Privaatrechtelijke rechtspersonen met 50+ werknemers en alle publiekrechtelijke entiteiten (ongeacht omvang, met uitzonderingen voor gemeenten onder 10.000 inwoners in sommige omzettingen). De drempel geldt per rechtspersoon, niet per concern.

Welke sancties gelden bij niet-naleving?

De sancties variëren per nationale omzetting. Het hoogste plafond geldt in Spanje (Ley 2/2023) met 1.000.000 €. Frankrijk (Loi Sapin 2) tot 60.000 €, Duitsland (HinSchG) tot 500.000 € (rechtspersoon) en 50.000 € (natuurlijke persoon), Italië (D.Lgs. 24/2023) 10.000-50.000 € per overtreding. In Nederland zijn er strafsancties via de Wet op de economische delicten.

Zijn anonieme meldingen toegestaan?

De richtlijn laat dit (art. 6(2)) aan de lidstaten. De Wbk staat anonieme meldingen uitdrukkelijk toe; de bescherming tegen benadeling geldt voor anonieme melders die later geïdentificeerd worden. Confidly's melder-UI ondersteunt volledig anonieme meldingen via een door de server uitgegeven zaakcode zonder e-mail, IP of browser-identificatie.

Verschil tussen interne, externe en openbare melding?

Interne melding: aan het vertrouwelijke kanaal van de werkgever: aanbevolen als eerste optie. Externe melding: direct aan de nationale bevoegde autoriteit (in Nederland het Huis voor Klokkenluiders). Openbare onthulling (bijvoorbeeld via de media): alleen beschermd onder strikte voorwaarden (geen actie na interne en externe melding, of acuut gevaar).

Welke termijnen schrijft de richtlijn voor?

Ontvangstbevestiging: binnen 7 dagen. Inhoudelijke terugkoppeling: binnen 3 maanden na de bevestiging (verlengbaar tot 6 maanden bij bijzondere complexiteit). Bewaartermijn: zolang noodzakelijk en proportioneel; in Nederland geldt de algemene AVG-toets, met minimaal 1 jaar als praktijkstandaard.