EU Klokkenluidersrichtlijn 2019/1937: compliance en documentatieverplichtingen 2026

Wettelijke disclaimer: dit artikel is uitsluitend informatief. De beschreven verplichtingen vloeien voort uit EU Richtlijn 2019/1937 en de Wet bescherming klokkenluiders (Wbk). Raadpleeg een jurist voor uw specifieke situatie.

Klokkenluiderbescherming is in Nederland overgegaan van moreel principe naar bindende wettelijke verplichting. Sinds 18 februari 2023 moeten organisaties met 250 of meer werknemers beschikken over een veilig intern meldkanaal op grond van de Wet bescherming klokkenluiders (Wbk). Organisaties met 50 tot 249 werknemers kwamen onder dezelfde verplichtingen per 17 december 2023. Dit artikel geeft een volledig overzicht van de documentatieverplichtingen die uw complianceteam moet naleven.

Toepassingsbereik: welke organisaties zijn verplicht?

De EU Richtlijn 2019/1937 stelt minimumharmonisatienormen. De Nederlandse implementatie via de Wbk volgt de Europese drempelwaarden:

Financiële instellingen hebben bredere verplichtingen ongeacht omvang. De DNB (De Nederlandsche Bank) en de AFM (Autoriteit Financiële Markten) vereisen dat banken, beleggingsondernemingen en verzekeraars meldkanalen handhaven die voldoen aan zowel de Wbk als sectorspecifieke richtsnoeren.

Het materiële toepassingsbereik omvat inbreuken op EU-recht en nationaal recht op gebieden als: financiële diensten, witwassen (AML/CTF), aanbesteding, gegevensbescherming (AVG), milieu, voedselveiligheid, volksgezondheid en mededinging. Zuiver interne arbeidsconflicten vallen doorgaans buiten het bereik.

Vier kernverplichtingen op documentatiegebied

Een EU-conform klokkenluiderprogramma vereist vier gedocumenteerde pijlers die uw complianceprogramma systematisch moet adresseren.

1. Het meldregister

De Wbk vereist een veilig, vertrouwelijk register van elke ontvangen melding. Elke invoer moet de ontvangstdatum, de aard van de gemelde inbreuk, de genomen opvolgmaatregelen en de sluitingsdatum bevatten. Het register moet toegangscontroles en auditlogboeken hebben.

Bewaartermijn: minimaal drie jaar na afsluiting van de procedure, verlengd als gerechtelijke of disciplinaire procedures lopen. Het Huis voor Klokkenluiders — de nationale toezichthoudende instantie — kan deze registers opvragen bij onderzoeken.

2. Het vertrouwelijkheids- en gegevensbeschermingsbeleid

De identiteit van de melder moet strikt vertrouwelijk blijven. Artikel 17 van de Richtlijn verbiedt openbaarmaking van de identiteit van de klokkenluider zonder diens uitdrukkelijke toestemming. De Wbk stelt dat blootstelling van de identiteit van de melder een sanctioneerbare inbreuk vormt.

Het documentatiebeleid moet specificeren:

• De met naam genoemde personen met geautoriseerde toegang tot meldingen
• Pseudonimiseringsprocedures voor identificerende gegevens
• Veilige vernietigingsprotocollen na verstrijken van de bewaartermijn
• Technische maatregelen: versleuteling, sterke authenticatie, toegangslogboeken

Op grond van AVG-artikel 35 is een Gegevensbeschermingseffectbeoordeling (DPIA) verplicht vóór het inzetten van een meldkanaal, omdat de verwerking als hoog-risicoverwerking wordt beschouwd. De Autoriteit Persoonsgegevens (AP) heeft richtsnoeren gepubliceerd over klokkenluiderssystemen en gegevensbescherming.

3. Ontvangstbevestiging en opvolgtermijnen

Richtlijn 2019/1937 (artikel 9) legt strikte procedurele termijnen op die in de Wbk zijn overgenomen:

Elke ontvangstbevestiging en opvolgcommunicatie moet met tijdstempel worden gearchiveerd. Geautomatiseerde documentworkflowtools — zoals CheckFile — genereren controleerbare gebeurtenislogboeken die aan dit vereiste voldoen.

4. De interne procedurebeschrijving

Organisaties moeten hun interne meldkanaalprocedures documenteren en publiceren zodat werknemers, opdrachtnemers en derden ze kunnen vinden en gebruiken. De Richtlijn (artikel 7) vereist dat deze informatie "duidelijk en gemakkelijk toegankelijk" is.

Documentatie moet bevatten: hoe een melding kan worden ingediend (schriftelijk of mondeling), wie meldingen ontvangt en verwerkt, de toepasselijke vertrouwelijkheidsregels, welke bescherming geldt en hoe te escaleren naar een extern kanaal. Dit document moet minimaal jaarlijks worden herzien.

Intern versus extern meldkanaal

De Wbk stelt een hiërarchie van kanalen vast. Melders moeten in principe eerst het interne kanaal gebruiken, tenzij zij redelijkerwijs mogen aannemen dat dit ineffectief is, dat verantwoordelijken betrokken zijn bij de inbreuk, of dat gebruik hen aan represailles zou blootstellen.

Intern kanaal: beheerd door een aangewezen compliance officer of een gemandateerde derde. Zowel schriftelijke als mondelinge opties moeten beschikbaar zijn. De aangewezen persoon moet functioneel onafhankelijk zijn van het lijnmanagement voor de gemelde aangelegenheden.

Extern kanaal: het Huis voor Klokkenluiders is het centrale externe kanaal in Nederland. Sectoraal zijn de DNB (voor financiële sector), de AFM (voor kapitaalmarkten) en de AP (voor gegevensbeschermingsinbreuken) bevoegde autoriteiten.

Openbaarmaking: een laatste redmiddel, uitsluitend gerechtvaardigd als interne en externe kanalen hebben gefaald, of bij dreigend gevaar voor het publieke belang.

Uw interne documentatie moet deze hiërarchie duidelijk uiteenzetten en de relevante externe autoriteiten voor uw sector specificeren.

Identiteitsverificatie en documentbeheer

Organisaties vragen zich regelmatig af: kunnen wij eisen dat de melder zich identificeert? Het antwoord is genuanceerd.

De Wbk beschermt ook anonieme meldingen: organisaties mogen anonieme meldingen behandelen, maar zijn er niet toe verplicht. In de praktijk is een kanaal dat zowel geïdentificeerde als anonieme meldingen accepteert aanbevolen om het meldvolume te maximaliseren.

Wanneer een melder zijn identiteit verstrekt, moet verificatie proportioneel zijn: bevestiging van de organisatorische relatie (zakelijk e-mailadres, medewerkersnummer) zonder aanvullende identiteitsdocumenten die kunnen afschrikken. Voor derden — leveranciers, onderaannemers — kan verificatie van de contractuele relatie een gestandaardiseerde documentcontrole vereisen.

CheckFile ondersteunt meer dan 3.200 documenttypen in 32 jurisdicties, waardoor proportionele verificatie van professionele referenties mogelijk is zonder wrijving te creëren in het meldproces.

Sancties en handhaving

De Wbk bepaalt dat werkgevers die represailles nemen tegen klokkenluiders, of die nalaten een intern meldkanaal te implementeren, aansprakelijk zijn voor schade. Het Huis voor Klokkenluiders kan onderzoeken instellen en aanbevelingen doen.

Civiele aansprakelijkheid: een werkgever die represailles neemt, is gehouden de geleden schade te vergoeden. De rechter kan ook terugplaatsing in de functie gelasten. De bewijslast wordt omgekeerd: de werkgever moet aantonen dat nadelige maatregelen geen verband houden met de melding.

Bestuursrechtelijke sancties: sectortoezichthouders (DNB, AFM) kunnen boetes opleggen voor het ontbreken van een conform meldkanaal. De AP kan optreden bij overtredingen van de AVG in het kader van het meldproces.

Voor organisaties die in meerdere EU-lidstaten actief zijn, is het bijhouden van een gedocumenteerde compliance-risicobeoordeling die de specifieke sancties per land in kaart brengt een gouvernancebeste praktijk. Zie ook onze gids documentcompliance voor een geïntegreerd kader.

Interactie met WWft (Wet ter voorkoming van witwassen)

Het interne meldkanaal is strikt gescheiden van de meldplicht van ongebruikelijke transacties aan de Financiële inlichtingeneenheid (FIU-Nederland) op grond van de Wwft. Deze verplichtingen moeten in interne procedures gescheiden worden gehouden om verwarring bij medewerkers te voorkomen.

Evenzo opereren meldingen van datalekken aan de AP (72 uur op grond van AVG-artikel 33) onder een ander regelgevend kader. Integreer de jaarlijkse beoordeling van het klokkenluiderskanaal in uw compliance audit checklist om te zorgen dat het programma wordt gedekt in interne audits.

Veelgestelde vragen

Is een bedrijf met 60 werknemers echt verplicht een meldkanaal in te richten?

Ja. Vanaf 17 december 2023 moeten alle private organisaties met 50 of meer werknemers beschikken over een intern meldkanaal conform de Wet bescherming klokkenluiders. Het ontbreken van een kanaal stelt de organisatie bloot aan civielrechtelijke aansprakelijkheid bij represailles en bestuursrechtelijke sancties van sectortoezichthouders.

Kunnen externe leveranciers gebruikmaken van het interne meldkanaal?

Ja. De Wbk breidt de bescherming uit naar melders die geen werknemers in strikte zin zijn: freelancers, aannemers, leveranciers, aandeelhouders en personen die werken onder toezicht van de organisatie. De documentatie van het kanaal moet expliciet vermelden dat het open staat voor deze groepen.

Hoe lang moeten meldingsdossiers worden bewaard?

Minimaal drie jaar na afsluiting van de procedure. Als gerechtelijke of disciplinaire procedures lopen bij afsluiting, loopt de bewaartermijn door tot de definitieve afronding. Leg deze termijn vast in uw AVG-verwerkingsregister (RoPA).

Wat gebeurt er als een melding ongegrond blijkt?

De aangewezen persoon moet de melder binnen de 3-maandentermijn in kennis stellen van de beslissing geen verdere actie te ondernemen, met opgave van redenen maar zonder vertrouwelijke informatie over betrokkenen te onthullen. Het dossier wordt gearchiveerd voor de wettelijke termijn, ook bij seponering. Goedwillende melders zijn beschermd, ook als de informatie onjuist blijkt.

Kan het Huis voor Klokkenluiders ons systeem inspecteren?

Ja. Het Huis voor Klokkenluiders heeft onderzoeksbevoegdheden en kan documentatie opvragen over het systeem, de behandelde meldingen en de genomen maatregelen. Het bijhouden van een bijgewerkt register en gedocumenteerde procedures is de beste voorbereiding.