Nederlands Wet bescherming klokkenluiders (Wbk), uitgelegd

Een herschrijving van een oudere wet, geen wet uit het niets

De EU-klokkenluidersrichtlijn — Richtlijn (EU) 2019/1937 — verplicht bedrijven met 50 of meer werknemers in de EU om hun personeel een beschermde, interne manier te bieden om misstanden te melden; zie de richtlijn, uitgelegd voor de volledige basis waarop elke lidstaat voortbouwt.

Nederland had al een klokkenluidersstelsel voordat de richtlijn bestond: de Wet Huis voor klokkenluiders, van kracht sinds 1 juli 2016, die het Huis voor Klokkenluiders instelde en al een drempel van 50 werknemers vereiste voor een interne procedure. In plaats van deze volledig te vervangen, heeft de omzetting van de richtlijn die wet hernoemd en herschreven tot de Wet bescherming klokkenluiders (Wbk) — van kracht sinds 18 februari 2023. De kernmechaniek loopt grotendeels ongewijzigd door vanaf de eigen basis van de richtlijn: dezelfde grens van 50 werknemers (zie de drempel van 50 werknemers, uitgelegd), dezelfde termijn van 7 dagen voor bevestiging en 3 maanden voor terugkoppeling. Waar de Wbk een eigen gids verdient, is overal waar hij van die basis afwijkt — en, ongebruikelijk onder EU-lidstaten, in hoeveel van zijn eigen tekst jaren na inwerkingtreding nog steeds niet is geactiveerd.

De gefaseerde deadline, dezelfde vorm als overal elders

Werkgevers met 250 of meer werknemers moesten vanaf 18 februari 2023 een compliant interne procedure hebben, de dag waarop de Wbk zelf in werking trad. Kleinere werkgevers — 50 tot 249 werknemers — kregen de verlengde ruimte die de richtlijn voor die groep toestaat (art. 26, lid 2), met de verplichting die vanaf 17 december 2023 voor hen ging gelden. Die tweetraps-vorm komt vrijwel exact overeen met de eigen uitrol van Duitsland, alleen samengeperst in een kortere periode tussen de twee data.

Een bredere definitie van "misstand" dan de richtlijn vereist

Artikel 1 Wbk definieert waar een melding over kan gaan — een "misstand" — en de Nederlandse wetgever koos ervoor om verder te gaan dan strikt nodig was. De eigen materiële reikwijdte van de richtlijn is beperkt tot inbreuken op de specifieke, opgesomde terreinen van Unierecht in de eigen bijlage. De definitie van misstand in de Wbk is niet zo beperkt: naast inbreuken op Unierecht dekt zij afzonderlijk elke handeling of nalatigheid waarbij het algemeen belang in het geding is — een schending van een wettelijk voorschrift, een schending van een interne regel die een concrete verplichting met zich meebrengt, of een gevaar voor de volksgezondheid, de veiligheid, het milieu, of het goed functioneren van de openbare dienst of een onderneming — mits het meer is dan een zuiver persoonlijke grief en structureel of ernstig genoeg is om ertoe te doen. In de praktijk betekent dat een Nederlands kanaal moet zijn ingericht om een breder scala aan meldingen te accepteren dan de eigen ondergrens van de richtlijn vereist, niet alleen schendingen van Unierecht.

Handhavingsbevoegdheid bestaat op papier, maar staat niet aan

Dit is het punt dat het meest de moeite waard is om te weten voordat u Nederland met een andere lidstaat vergelijkt: de Wbk bevat wel degelijk een boetebevoegdheid — artikel 17i staat het Huis voor Klokkenluiders toe om een last onder dwangsom of een bestuurlijke boete op te leggen aan een werkgever, voor zaken als het helemaal niet hebben van een compliant kanaal of het represailleren van een melder. Maar artikel 17i is nooit daadwerkelijk in werking getreden. Een in 2024 gepubliceerde, door de overheid in opdracht gegeven juridische evaluatie concludeerde dat het toezicht- en sanctiestelsel zoals opgesteld juridisch niet werkbaar was, en dat er nog verdere wetgeving nodig is voordat het in werking kan treden — de huidige verwachting is dat het Huis op zijn vroegst vanaf eind 2027 zou kunnen beginnen met toezicht en sanctionering van werkgevers. Tot die tijd is er geen afdwingbare boete voor een Nederlands bedrijf dat helemaal geen compliant kanaal opzet, wat een echt ander beeld is dan de Duitse bestuurlijke boetes tot €50.000 of de Franse strafrechtelijke sanctie voor obstructie. Dat is een gegeven om zorgvuldig mee om te gaan, niet als uitnodiging om compliance over te slaan — de onderliggende wettelijke verplichting om een kanaal te hebben, geldt al sinds 2023, ongeacht of daar op dit moment een boete achter staat, en het handhavingsgat is expliciet een tijdelijk, bekend probleem waar de Nederlandse overheid aan werkt om het te dichten.

Anonieme melding: in de wet opgenomen, en toen opgeschort

Artikel 2, lid 2 van de Wbk beschrijft wat een interne procedure moet dekken, en twee van de onderdelen daarvan — (e) en (f) — vereisen specifiek dat de procedure uitlegt hoe een melding anoniem kan worden gedaan. Beide staan in de eigen gepubliceerde tekst van de wet expliciet vermeld als nog niet in werking, in afwachting van een nadere algemene maatregel van bestuur die de gedetailleerde eisen zal vastleggen. In de praktijk betekent dit dat Nederlands recht anonieme melding op dit moment helemaal niet verplicht stelt — een bedrijf kan een kanaal draaien dat alleen geïdentificeerde meldingen accepteert en is daarmee niet in strijd met wat vandaag daadwerkelijk afdwingbaar is, ook al anticipeert de eigen tekst van de wet al op een verplichting die nog niet actief is. Net als bij de eigen "aangemoedigd, niet vereist"-houding van Duitsland (zie anonieme versus geïdentificeerde melding, uitgelegd), behandelt Provoxis dit niet als iets om te configureren rond de huidige regels van een bepaald land: anonieme melding staat altijd aan, voor elke melder, overal, ongeacht wat een gegeven lidstaat op dit moment vereist.

De verplichting komt er wel aan. Een ontwerpbesluit met die nadere eisen (het Besluit anoniem melden) heeft van april tot en met augustus 2024 in internetconsultatie gelegen, en op 12 oktober 2026 staan de onderdelen (e) en (f) nog steeds als niet in werking getreden vermeld. Een procedure die nu al uitlegt hoe u anoniem kunt melden, hoeft niet te worden herschreven zodra ze in werking treden.

Wat de schriftelijke procedure zelf moet bevatten

Artikel 2, lid 2 Wbk is ongebruikelijk precies over de inhoud van de procedure, niet alleen over het bestaan van een kanaal. Los van de twee onderdelen over anoniem melden hierboven, moet de procedure in ieder geval vastleggen:

• hoe met een interne melding wordt omgegaan (a);
• wanneer sprake is van een vermoeden van een misstand, met inachtneming van de definitie van "misstand" uit artikel 1 hierboven (b);
• dat een werknemer kan melden: schriftelijk, mondeling via de telefoon of een ander spraakberichtsysteem, en op zijn verzoek binnen een redelijke termijn in een gesprek op een locatie (c);
• bij welke daartoe aangewezen onafhankelijke functionaris of functionarissen een vermoeden kan worden gemeld, en welke onafhankelijke functionarissen de melding zorgvuldig opvolgen (d). In de praktijk betekent dat: ze bij naam of functie noemen, niet alleen "een onpartijdige persoon of afdeling";
• dat de werknemer een adviseur in vertrouwen kan raadplegen over een vermoeden van een misstand (g). De wet eist niet dat die adviseur bij naam wordt genoemd, en de adviseur mag extern zijn, maar de meeste Nederlandse procedures noemen een interne vertrouwenspersoon met contactgegevens, vaak in een bijlage, zodat de hoofdtekst niet opnieuw ter instemming hoeft als de persoon wisselt;
• een ontvangstbevestiging binnen zeven dagen (h), en informatie over de beoordeling en opvolging binnen een redelijke termijn van ten hoogste drie maanden na die ontvangstbevestiging (i).

Artikel 2, lid 5 verplicht de werkgever daarnaast om werknemers schriftelijk of elektronisch te informeren over de procedure zelf, over hoe ze extern kunnen melden bij de bevoegde autoriteiten, en over de rechtsbescherming van een melder. De artikelen 2a en 2b voegen daar een register van meldingen aan toe, en regels voor het vastleggen van mondelinge meldingen: óf een opname, waarvoor vooraf instemming van de melder nodig is, óf een volledige en nauwkeurige schriftelijke weergave, die de melder moet kunnen controleren, corrigeren en voor akkoord tekenen.

Volstaat een e-mailadres?

Als één route wel, als het hele meldkanaal niet. Artikel 2 vereist dat de procedure een werknemer laat melden: schriftelijk, mondeling via de telefoon of een ander spraakberichtsysteem, en op verzoek in een persoonlijk gesprek. Een e-mailadres dekt het schriftelijke deel. U hebt daarnaast een mondelinge route nodig en een manier om een gesprek te plannen, en zoals bij elk kanaal onder de richtlijn moet de mailbox meldingen afschermen voor medewerkers die niet bevoegd zijn ze te zien (art. 9, lid 1, onder a). Zie „Volstaat een e-mailadres als meldkanaal voor klokkenluiders?” voor wat een mailbox moet waarmaken, en „Kunt u Google Forms gebruiken als meldkanaal voor klokkenluiders?” voor het alternatief van een formulier.

Uw ondernemingsraad moet de procedure goedkeuren, niet alleen worden geraadpleegd

Artikel 8, lid 1 van de richtlijn vereist dat lidstaten ervoor zorgen dat interne kanalen worden ingericht na overleg met de sociale partners, waar het nationale recht daarin voorziet (zie wat een compliant meldkanaal daadwerkelijk vereist voor die EU-brede basis). Nederland implementeert dit via een bestaand, en ongebruikelijk sterk, mechanisme: artikel 27, lid 1, onder m van de Wet op de ondernemingsraden (WOR) geeft de ondernemingsraad (OR) — of, bij een bedrijf dat te klein is voor een volledige OR, de personeelsvertegenwoordiging (PVT) — een echt instemmingsrecht over de meldprocedure, niet slechts een raadplegingsrecht. Een besluit om de procedure in te voeren, te wijzigen of in te trekken zonder die instemming (of de vervangende toestemming van de kantonrechter) is vernietigbaar als de ondernemingsraad daar formeel bezwaar tegen maakt. Dit gaat terug op de voorganger uit 2016, niet iets nieuws aan de Wbk.

Een werkgever zonder ondernemingsraad of personeelsvertegenwoordiging, die daar ook niet toe verplicht is, ontkomt niet aan een instemmingsvereiste: artikel 2, lid 7 Wbk vereist dan de instemming van meer dan de helft van de werknemers om de procedure vast te stellen, tenzij de procedure inhoudelijk al in een cao is geregeld. Hoe dan ook is een Nederlandse procedure niet af als ze geschreven is; ze is af als de OR, de PVT of een meerderheid van het personeel ermee heeft ingestemd, en het loont om de datum daarvan vast te leggen.

Meerdere externe kanalen, en één met een smallere taak dan het lijkt

Een melder die in Nederland extern gaat, heeft niet één enkele bestemming. Artikel 2c Wbk noemt de bevoegde externe autoriteiten: de Autoriteit Consument & Markt (ACM), de Autoriteit Financiële Markten (AFM), de Autoriteit Persoonsgegevens (AP), De Nederlandsche Bank (DNB), het Huis voor Klokkenluiders, de Inspectie Gezondheidszorg en Jeugd (IGJ), de Nederlandse Zorgautoriteit (NZa), de Autoriteit Nucleaire Veiligheid en Stralingsbescherming (ANVS), en verdere bij algemene maatregel van bestuur of ministeriële regeling aangewezen organisaties, die elk meldingen behandelen die binnen hun eigen bestaande toezichttaak vallen. Het Huis voor Klokkenluiders is de aangewezen autoriteit voor alles wat niet in een van die categorieën past — een echte vangnetfunctie, geen niche-alternatief. Waar de rol van het Huis smaller wordt in plaats van breder, is bij represailles: het is de enige externe autoriteit die bevoegd is om een bejegeningsonderzoek in te stellen (hoe een werkgever een melder heeft behandeld na een melding), zelfs voor meldingen waarvan de onderliggende materie bij een van de andere toezichthouders thuishoort.

Juridische basis

• Artikel 1, Wet bescherming klokkenluiders (Wbk) — de definitie van "misstand," die verder reikt dan de eigen, alleen-Unierecht materiële reikwijdte van de richtlijn.
• Artikel 2, Wbk — de drempel van 50 werknemers (lid 1); de verplichte inhoud van een interne procedure (lid 2), waaronder schriftelijke, mondelinge en persoonlijke meldroutes (c), de aangewezen onafhankelijke functionarissen (d) en de adviseur in vertrouwen (g); de onderdelen (2)(e) en (2)(f), over anonieme melding, staan in de eigen tekst van de wet vermeld als nog niet in werking; de plicht om werknemers te informeren over de procedure, extern melden en rechtsbescherming (lid 5); en de instemming van een meerderheid van de werknemers als er geen ondernemingsraad of personeelsvertegenwoordiging is (lid 7).
• Artikelen 2a en 2b, Wbk — het register van meldingen en de vastlegging van mondelinge meldingen.
• Artikel 2c, Wbk — de bevoegde externe autoriteiten.
• Internetconsultatie Besluit anoniem melden — het ontwerpbesluit uit 2024 dat de onderdelen (2)(e) en (2)(f) in werking zou laten treden.
• Artikel 17i, Wbk — de bevoegdheden van het Huis voor Klokkenluiders tot een last onder dwangsom en een bestuurlijke boete, eveneens nog niet in werking.
• Staatsblad 2023, 29 en Staatsblad 2023, 52 — de vaststelling van de Wbk en het koninklijk besluit dat 18 februari 2023 vaststelt als datum van inwerkingtreding, inclusief de datum van 17 december 2023 voor de groep van 50–249 werknemers.
• Artikel 27, lid 1, onder m, Wet op de ondernemingsraden (WOR) — het instemmingsrecht van de ondernemingsraad (of PVT) over de meldprocedure, met rechtstreekse verwijzing naar art. 2, lid 1 Wbk.
• Art. 8, lid 1, Richtlijn (EU) 2019/1937 — de EU-brede basis die overleg met de sociale partners vereist, die Nederland implementeert via de WOR in plaats van een nieuw, Wbk-specifiek mechanisme.
• Art. 26, lid 2, Richtlijn (EU) 2019/1937 — de verlengde omzettingstermijn die de eigen tijdlijn van de Wbk voor 50–249 werknemers volgt.