Het melden van inbreuken volgens de EU-richtlijn
Als gevolg van de EU-richtlijn worden melders van inbreuken op het Unierecht beschermd. Het melden van inbreuken kan op verschillende manieren en via verschillende kanalen. In dit artikel leest u meer informatie over de Europese eisen aan meldingen en meldkanalen.
Intern of extern melden
Het melden van een inbreuk op het Unierecht kan intern en extern gedaan worden. De melder kan hiervoor gebruik maken van interne meldkanalen bij de eigen werkgever en externe meldkanalen. In het laatste geval doe je een melding bij een aangewezen bevoegde autoriteit zoals de Autoriteit persoonsgegevens of het Huis voor klokkenluiders. Over het algemeen heeft een interne melding de voorkeur. Als een melding intern wordt gedaan, kunnen de vermeende inbreuken en/of misstanden intern tijdig worden opgelost of weerlegd, en worden de terechte meldingen direct bij de bron aangepakt.
De melder mag daarnaast onder bepaalde voorwaarden de informatie ook openbaren. Een melder is bij het openbaren van informatie beschermd als hij (1) eerst intern én extern of (2) rechtstreeks extern heeft gemeld, maar er naar aanleiding van die melding niet binnen de door de richtlijn gestelde termijn passende maatregelen zijn genomen. Daarbij geldt dat de melder redelijke gronden moet hebben om aan te nemen dat de gemelde informatie juist is. Een melder kan ook op bescherming rekenen als hij/zij een melding direct openbaar maakt, omdat hij redelijke gronden heeft om aan te nemen dat er sprake is van een dreigend of reëel gevaar voor het algemeen belang, een noodsituatie of een risico op onherstelbare schade.
Het inrichten van interne meldkanalen
De richtlijn verplicht organisaties in de private en publieke sector tot het inrichten van interne meldkanalen en procedures. De verplichting om een intern meldkanaal op te zetten geldt voor organisaties in de private sector met vijftig werknemers of meer en in beginsel voor alle werkgevers in de publieke sector. Lidstaten mogen publieke werkgevers met minder dan vijftig werknemers uitzonderen van deze verplichting. Sommige organisaties in de private sector moeten altijd (dus ook als ze minder dan vijftig werknemers hebben) een intern meldkanaal opzetten voor meldingen over inbreuken op het Unierecht. Dit zijn organisaties die werkzaam zijn in de sectoren voor:
- financiële diensten, producten en markten;
- voorkoming van witwassen van geld;
- terrorismefinanciering;
- veiligheid van vervoer;
- bescherming van het milieu.
Lidstaten mogen er daarnaast ook voor kiezen om kleinere gemeenten met minder dan 10.000 inwoners of minder dan vijftig werknemers, of andere publiekrechtelijke organisaties met minder dan vijftig werknemers vrij te stellen van de plicht om een intern meldkanaal op te zetten. Het staat gemeenten volgens de richtlijn vrij om gezamenlijke meldkanalen op te zetten. Dat geldt ook voor bedrijven met 50 tot 249 werknemers.
Meldprocedure interne melding
De melder moet bij een interne melding binnen zeven dagen een ontvangstbevestiging van zijn melding krijgen. Hij moet binnen drie maanden na de ontvangstbevestiging informatie ontvangen over wat er naar aanleiding van zijn melding is gedaan of gebeurd, bijvoorbeeld over geplande of genomen maatregelen. De organisatie moet daarnaast duidelijke en gemakkelijk toegankelijke informatie geven over mogelijke externe procedures. Ook moet de organisatie onpartijdige personen of afdelingen aanwijzen die naar aanleiding van de melding onderzoek doen of maatregelen treffen.
Minimumeisen voor interne en externe meldkanalen
De volgende eisen stelt de richtlijn zowel aan interne als aan externe meldkanalen:
- de geheimhoudingsplicht;
- de registratieplicht van de meldingen over inbreuken op het Unierecht;
- de correcte verwerking van persoonsgegevens.
Meldingen moeten daarnaast zowel schriftelijk als mondeling kunnen worden gedaan. Een mondelinge melding kan via de telefoon of andere spraakberichtsystemen, of door middel van een fysieke ontmoeting worden gedaan.
Meldkanalen van aangewezen autoriteiten (externe meldingen)
De richtlijn verplicht de lidstaten om bevoegde autoriteiten aan te wijzen die (externe) meldingen over inbreuken kunnen ontvangen. Deze autoriteiten kunnen een onderzoek instellen of - wanneer van toepassing - maatregelen treffen naar aanleiding van meldingen.
Deze autoriteiten moeten onafhankelijke en autonome meldkanalen opzetten voor het ontvangen en in behandeling nemen van meldingen. Een meldkanaal voldoet hieraan als het ontwerp, de opzet en het beheer van die kanalen de volledigheid, integriteit en geheimhouding van de informatie waarborgen en alleen daartoe gemachtigd personeel van de autoriteit toegang tot die informatie heeft. De autoriteiten moeten over de nodige capaciteiten en bevoegdheden voor opvolging van de melding beschikken.
Meldprocedure externe meldingen
De autoriteit moet binnen zeven dagen na ontvangst van de melding een ontvangstbevestiging aan de melder sturen. Daar kan alleen van worden afgeweken als de melder uitdrukkelijk anders verzoekt of de autoriteit op redelijke gronden oordeelt dat een ontvangstbevestiging de identiteit van de melder in gevaar brengt. Binnen een termijn van maximaal drie maanden moet de autoriteit de melder informeren over welk gevolg aan de melding is of wordt gegeven. De autoriteit kan deze termijn verlengen tot maximaal zes maanden als de specifieke omstandigheden van de zaak dit noodzakelijk maken. De autoriteit moet deze verlenging wel kunnen onderbouwen.
De autoriteit informeert de melder binnen de bovengenoemde termijn over de genomen of te nemen acties naar aanleiding van de melding. Bijvoorbeeld of een (voor)onderzoek is ingesteld, wat daar de resultaten van zijn, welke maatregelen zijn genomen of worden genomen of welke andere maatregelen zijn getroffen. Maar ook dat de melding is doorverwezen naar een andere autoriteit, of dat de procedure is beëindigd, bijvoorbeeld vanwege gebrek aan bewijs, of dat de inbreuk van geringe betekenis is.
De termijn ziet op het uitbrengen van een voortgangsbericht aan de melder, en niet op het afronden van het onderzoek of het nemen van maatregelen naar aanleiding van de melding. De informatieplicht geldt niet voor de bevoegde autoriteit als dat het onderzoek of een gerechtelijke procedure in gevaar brengt. Ook mag de informatieverstrekking geen afbreuk doen aan de Unieregels die van toepassing zijn en die mogelijk beperkingen op de bekendmaking van besluiten op het gebied van financiële regulering bevatten.
De autoriteit moet daarnaast volgens de richtlijn een zorgvuldige opvolging geven aan de melding en de melder op de hoogte brengen van het eindresultaat van een onderzoek naar aanleiding van de melding. Ook hiervoor geldt de beperking dat de informatieverstrekking het onderzoek of een gerechtelijke procedure niet in gevaar mag brengen.
Bevoegd en kundig personeel
De autoriteiten moeten personeel aanwijzen dat verantwoordelijk is voor de behandeling van de meldingen, waaronder het verstrekken van informatie over meldingsprocedures, de ontvangst en het onderzoek of de (voor)genomen maatregelen naar aanleiding van de melding. Deze personen moeten daarvoor professioneel worden opgeleid, onder meer op het gebied van de gegevens-beschermingsvoorschriften. Zij moeten meldingen vertrouwelijk kunnen behandelen, de communicatie met de melder waarborgen en een passende opvolging kunnen geven aan de melding.