Volstaat een e-mailadres als meldkanaal voor klokkenluiders?

Het korte antwoord: een e-mailadres kan deel uitmaken van een geldig meldkanaal, maar in Nederland nooit het hele kanaal, en de meeste mailboxen voldoen ook als onderdeel niet. Noch de Wet bescherming klokkenluiders (Wbk) noch de EU-klokkenluidersrichtlijn verbiedt e-mail. Maar artikel 2 van de Wbk vereist dat een werknemer ten minste schriftelijk, mondeling via de telefoon of een ander spraakberichtsysteem, en op verzoek in een persoonlijk gesprek kan melden. Een e-mailadres dekt alleen het eerste. En de richtlijn vereist dat het kanaal zo is gebouwd dat alleen bevoegde medewerkers bij meldingen kunnen. Een eigen adres met een korte, gecontroleerde lijst van mensen die het kunnen openen, kan daaraan voldoen. Een gedeelde integriteit@-mailbox die IT kan openen, die wordt gearchiveerd en die doorstuurt naar wie hem ooit heeft ingesteld, meestal niet.

Gebruikt u al een e-mailadres, dan helpt dit artikel u bepalen waar u staat: wat de wet vraagt, hoe dat per land uitpakt, een check voor uw eigen mailbox met een oplossing voor elk gat, de gaten die geen instelling dicht, en wat er verandert met een eigen meldkanaal.

Wat de wet van een meldkanaal vraagt

De richtlijn (Richtlijn (EU) 2019/1937) schrijft geen technologie voor, maar resultaten. Voor een intern kanaal zijn dit de resultaten die voor e-mail tellen:

• Veilig ontworpen (art. 9, lid 1, onder a). Het kanaal moet zo worden ontworpen, ingericht en beheerd dat de identiteit van de melder en van derden die in de melding worden genoemd vertrouwelijk blijft, en dat onbevoegde medewerkers er geen toegang toe hebben. Dat is een eis aan het systeem, niet aan de zorgvuldigheid van de mensen die het gebruiken.
• Identiteit alleen voor wie de melding behandelt (art. 16). De identiteit van de melder mag zonder diens uitdrukkelijke toestemming niet worden onthuld aan anderen dan de bevoegde medewerkers die meldingen ontvangen of opvolgen.
• Termijnen (art. 9, lid 1, onder b en f). Ontvangstbevestiging binnen 7 dagen, terugkoppeling binnen 3 maanden. Zie de termijn van 7 dagen/3 maanden voor terugkoppeling, uitgelegd.
• Een aangewezen, onpartijdige behandelaar (art. 9, lid 1, onder c). Iemand in het bijzonder is verantwoordelijk voor de opvolging.
• Registratie (art. 18). Elke ontvangen melding wordt geregistreerd, met dezelfde vertrouwelijkheidsregels, en niet langer bewaard dan nodig.
• Schriftelijk, mondeling of beide (art. 9, lid 2). De richtlijn laat een kanaal meldingen schriftelijk, mondeling of op beide manieren aannemen. Nederland vraagt beide, dus een mailbox die alleen schriftelijk werkt, is hier nooit voldoende.
• Anonimiteit is een nationale keuze (art. 6, lid 2). De richtlijn laat het aan elke lidstaat over of bedrijven anonieme meldingen moeten aannemen.

Niets in deze lijst sluit e-mail uit. Maar alles moet gelden voor de mailbox, de back-ups ervan en iedereen die erbij kan.

Land voor land

De landengidsen behandelen elke wet uitgebreider: Nederland, Duitsland, Frankrijk, Spanje, Italië, Polen en Ierland.

Wanneer een e-mailadres een redelijke keuze is

• Uw organisatie is niet verplicht een meldkanaal te hebben. Onder de 50 werknemers in de meeste EU-landen, of in het Verenigd Koninkrijk, is een goed beheerd e-mailadres beter dan niets.
• Als schriftelijke route naast een mondelinge, met de controles hieronder daadwerkelijk ingericht. Zo kan het in Nederland, en nooit anders: artikel 2 Wbk vereist ook mondeling melden en een persoonlijk gesprek op verzoek.
• Als opvangroute naast een echt meldkanaal. Sommige melders mailen naar elk adres dat ze kunnen vinden. Uw procedure moet vastleggen wat er met zulke e-mails gebeurt (zie „Overstappen van de mailbox" hieronder).

E-mail heeft bovendien één echt voordeel boven een webformulier: het werkt in twee richtingen. U kunt een ontvangstbevestiging sturen, vragen stellen en terugkoppeling geven, zolang de melder op dat adres bereikbaar wil zijn.

Controleer uw eigen mailbox

Tien controles, in de volgorde waarin een melding door het systeem gaat. Bij elke controle staat hoe u die uitvoert en hoe u het gat dicht met de middelen die u al hebt. Voor de meeste hebt u een half uur van uw e-mailbeheerder nodig. Kunt u er een niet beantwoorden, tel die dan als een „nee".

1. Het adres wordt nergens anders voor gebruikt.

   Controleren: staat er iets anders dan meldingen in de mailbox, zoals HR-vragen, post van leveranciers of nieuwsbrieven?

   Oplossen: maak een nieuw adres aan, alleen voor meldingen. Hergebruik geen hr@ of een bestaande gedeelde mailbox waarvan u de toegangsgeschiedenis niet kunt overzien.

2. Alleen de aangewezen zaakbehandelaars kunnen hem openen, elk met een eigen login.

   Controleren: maak een lijst van iedereen met volledige toegang, gedelegeerde toegang of het recht „Verzenden als" op de mailbox. In Microsoft 365 staat dat bij de delegatie-instellingen van het postvak in het Exchange-beheercentrum, in Google Workspace bij de e-maildelegatie van het account. Vraag of iemand een wachtwoord deelt.

   Oplossen: verwijder iedereen die geen aangewezen zaakbehandelaar is, en geef elke behandelaar eigen toegang in plaats van een gedeeld wachtwoord.

3. Er verlaten geen kopieën de mailbox.

   Controleren: zoek naar doorsturen op de mailbox, regels voor het postvak IN die gebruikers zelf hebben ingesteld, en organisatiebrede e-mailstroom- of routeringsregels die berichten elders naartoe kopiëren (transportregels in Exchange, routerings- en complianceregels in Gmail). Controleer ook journaling, dat een kopie van elk bericht naar een archief stuurt.

   Oplossen: zet doorsturen en postvakregels uit, en sluit het adres uit van elke journaling- of kopieerregel.

4. U weet wie er verder nog bij kan, en hebt dat zoveel mogelijk beperkt.

   Controleren: wie het wachtwoord van de mailbox kan resetten, kan hem lezen. Net als wie een eDiscovery- of Google Vault-zoekopdracht kan uitvoeren of een back-up kan terugzetten. Schrijf op wie die rollen heeft.

   Oplossen: beperk die rollen tot zo weinig mensen als mogelijk, zet meldingen aan voor wachtwoordresets en eDiscovery-zoekopdrachten op deze mailbox, en leg de resterende toegang vast in uw gegevensbeschermingseffectbeoordeling (DPIA). U kunt deze lijst verkleinen, niet opheffen. Dat is de belangrijkste reden dat de Italiaanse toezichthouder gewone e-mail op zichzelf ongeschikt vindt.

5. Ontvangstbevestigingen komen uit het kanaal, binnen 7 dagen.

   Controleren: wie antwoordt, vanaf welk adres, en hoe snel? Een antwoord vanuit het eigen account van een behandelaar brengt diens naam, en de meldingsthread, in een tweede mailbox.

   Oplossen: antwoord alleen vanaf het eigen meldadres. Een automatisch antwoord dat de ontvangst bevestigt en zegt wanneer terugkoppeling te verwachten is, dekt de termijn van 7 dagen, zolang het niets over de inhoud zegt.

6. Termijnen worden buiten de mailbox bewaakt.

   Controleren: kunt u voor de laatste melding zeggen wanneer de ontvangst is bevestigd en wanneer de terugkoppeling uiterlijk moet volgen?

   Oplossen: houd een register bij, bijvoorbeeld een spreadsheet met dezelfde toegangsbeperking, met per melding de ontvangstdatum, de datum van de ontvangstbevestiging en de uiterste datum voor terugkoppeling drie maanden later. Wijs iemand aan die het wekelijks naloopt.

7. Elke melding is geregistreerd en heeft een verwijderdatum.

   Controleren: kunt u een toezichthouder of het Huis voor Klokkenluiders een lijst laten zien van alle meldingen van dit jaar en wat er met elke melding is gebeurd? Zou een melding na afloop van de bewaartermijn ook uit archieven, back-ups en bewaarbeleid verdwijnen?

   Oplossen: vul het register aan met de uitkomst en een verwijderdatum. Controleer dat geen bewaarbeleid verwijderde items uit deze mailbox jarenlang vasthoudt, en verwijder volgens schema. Zie een bewaarbeleid kiezen.

8. Melders kennen het risico van een werkaccount.

   Controleren: zegt uw procedure dat een e-mail vanaf een werkaccount een kopie achterlaat in verzonden items, op servers die het bedrijf beheert?

   Oplossen: zeg het, en vermeld dat melden ook vanaf een privéadres kan. De Wbk-bepalingen over anoniem melden zijn nog niet in werking, maar als u anonieme meldingen aanneemt, leg dan uit hoe dat per e-mail moet, in het besef dat de last dan helemaal bij de melder ligt. Zie anonieme versus geïdentificeerde melding.

9. Er is een mondelinge route en een gesprek op verzoek.

   Controleren: kan iemand melden zonder iets op te schrijven, en vragen om een persoonlijk gesprek?

   Oplossen: in Nederland is dit geen keuze: artikel 2 Wbk vereist melden via de telefoon of een ander spraakberichtsysteem, en op verzoek een persoonlijk gesprek. Publiceer een telefoonnummer of voicemail naast het adres, en beschrijf in uw procedure hoe iemand om een gesprek vraagt. Zie spraakmeldingen en anonimisering, eenvoudig uitgelegd.

10. Meldingen over de behandelaars gaan ergens anders heen, en toegang overleeft personeelswisselingen.

    Controleren: als een melding over iemand met toegang tot de mailbox gaat, waar komt die dan terecht? Als een behandelaar vertrekt, wie trekt dan de toegang in en controleert dat er geen doorstuurregel achterblijft?

    Oplossen: noem in uw procedure een alternatief aanspreekpunt, bijvoorbeeld een bestuurder of een externe vertrouwenspersoon, met een eigen route. Zet de mailbox op uw checklist voor uitdiensttreding en herhaal controles 2 tot en met 4 elk kwartaal.

Wat geen instelling kan oplossen

Sommige gaten komen voort uit hoe e-mail werkt, niet uit hoe uw mailbox is ingericht:

• Er kan altijd iemand bij. Hoe strak u de toegang ook regelt, een beheerder kan het wachtwoord resetten of de mailbox doorzoeken. Het kanaal is via een afspraak voorbehouden aan bevoegden, niet door zijn ontwerp.
• Anonimiteit kost de melder moeite. Anoniem melden kan alleen met een vooraf aangemaakt apart account, en het bericht bevat dan nog steeds headers en metadata.
• De kopie van de melder. Een melding vanaf een werkaccount laat een spoor achter op uw servers dat u niet kunt verwijderen zonder in diens mailbox in te grijpen.
• De mailbox is nooit het hele kanaal. Zelfs perfect ingericht dekt e-mail in Nederland alleen de schriftelijke route.
• Het dossier staat buiten het kanaal. Het register, de termijnen en het auditlog zijn een aparte spreadsheet die met de hand bijgehouden moet worden. Als een toezichthouder of rechter vraagt wat er wanneer is gebeurd, is „hier zijn de e-mails, en hier is onze spreadsheet" een zwakker antwoord dan een log met tijdstempel van elke handeling. Zie audit logging: een verdedigbaar dossier bijhouden.

Wat het beheer van een mailbox vraagt

Als elke controle hierboven slaagt, hebt u een schriftelijke route die kan voldoen. Om dat zo te houden is doorlopend werk nodig:

• een toegangscontrole elk kwartaal, en na elk vertrek of elke IT-wijziging
• een register dat per melding met de hand wordt bijgehouden en wekelijks naast de termijnen wordt gelegd
• een aparte telefoonlijn of voicemail, met eigen toegangsbeperkingen, en een manier om gesprekken in te plannen
• verwijderen volgens schema, in de mailbox, het register, archieven en back-ups
• een DPIA die de toegang verklaart die u niet kon wegnemen

Niets daarvan is moeilijk, maar alles hangt ervan af dat iemand eraan denkt.

Waarom bedrijven overstappen op Provoxis

Provoxis is voor precies deze taak gebouwd. De meeste controles hierboven zijn daardoor al geregeld voordat uw eerste melding binnenkomt:

Geen kwartaalcontrole van toegang over mailsystemen heen, geen spreadsheet om bij te houden en niets opnieuw op te bouwen als een behandelaar vertrekt. U richt het zelf in met een begeleide checklist, de prijs is een vast maandbedrag (zie prijzen) en er is een gratis proefperiode van 30 dagen.

Overstappen van de mailbox

1. Publiceer het nieuwe kanaal overal waar het e-mailadres stond: website, procedure, personeelshandboek en leveranciersdocumenten. Wijzigt u daarmee de meldprocedure, houd dan rekening met het instemmingsrecht van de ondernemingsraad (art. 27, lid 1, onder m WOR).
2. Houd het oude adres een tijd aan, met een automatisch antwoord dat naar de nieuwe meldpagina verwijst. Sommigen blijven het gebruiken.
3. Voor meldingen die toch per e-mail binnenkomen zijn er twee wegen. Antwoord vanaf het eigen meldadres en vraag de melder via de meldpagina te melden, zodat die een eigen zaakreferentie krijgt. Of, als de melder dat liever niet doet, dien de melding namens hem of haar in, vermeld erin dat die per e-mail binnenkwam, en stuur de zaakreferentie alleen naar de melder, zodat die de zaak vanaf daar kan volgen.
4. Ruim de mailbox op. Rond open zaken af waar ze zijn, of breng ze op dezelfde manier over. Verwijder de rest na afloop van de bewaartermijn en hef de mailbox daarna op.

Juridische basis

• Artikel 2, Wbk — de verplichte inhoud van de interne procedure, waaronder ten minste schriftelijk en mondeling melden, en een persoonlijk gesprek op verzoek.
• Artikel 27, lid 1, onder m, Wet op de ondernemingsraden (WOR) — instemmingsrecht van de ondernemingsraad over de meldprocedure.
• Art. 6, lid 2, art. 9, lid 1, onder a–f, art. 9, lid 2, art. 16, art. 18, Richtlijn (EU) 2019/1937 — anonimiteit als nationale keuze; veilige inrichting en toegang alleen voor bevoegden; termijnen; aangewezen behandelaar; melden schriftelijk, mondeling of beide; vertrouwelijkheid van de identiteit; registratie.
• § 16 HinSchG — toegang alleen voor de verantwoordelijke personen; mondeling of schriftelijk melden, en een gesprek op verzoek. De memorie van toelichting (BT-Drs. 20/3442, p. 81) bevestigt dat één van beide vormen volstaat.
• Décret n° 2022-1284, art. 4 en 6 (Légifrance) — schriftelijk of mondeling melden; integriteit, vertrouwelijkheid en geen toegang voor onbevoegd personeel.
• Ley 2/2023, art. 5.2, 7.2 en 7.3 (BOE) — veilige inrichting; schriftelijk en mondeling melden; aannemen van anonieme meldingen.
• D.Lgs. 24/2023, art. 4, en ANAC-richtsnoeren 1/2025 voor interne kanalen, besluit nr. 478 van 26 november 2025 (ANAC) — vertrouwelijkheid ook via versleuteling; schriftelijke en mondelinge routes te waarborgen (par. 2.2); gewone e-mail en PEC op zichzelf ongeschikt zonder onderbouwde tegenmaatregelen.
• Poolse klokkenluiderswet van 14 juni 2024, art. 25–27 — inhoud van de procedure; mondeling en schriftelijk (ook elektronisch) melden; geen toegang voor onbevoegden.
• Protected Disclosures Act 2014 (Ierland), s.5A en s.6A (geconsolideerde versie) — anonieme meldingen; veilige, vertrouwelijke interne kanalen.