Wat een compliant meldkanaal daadwerkelijk vereist

Vóór de termijn is er een ontwerpvereiste

Het meeste dat wordt besproken over de procedurele kant van de richtlijn, is de termijn van 7 dagen/3 maanden — zie de termijn van 7 dagen/3 maanden voor terugkoppeling, uitgelegd. Dat is artikel 9, lid 1, onder b en f. Maar artikel 9, lid 1 opent met een eis die daaraan voorafgaat: het kanaal zelf moet op een specifieke manier zijn gebouwd. Een kanaal dat elke termijn perfect haalt, maar nooit vanaf het begin veilig is ontworpen, heeft artikel 9 niet daadwerkelijk nageleefd — het heeft tot nu toe alleen geluk gehad.

Het kanaal moet veilig zijn door ontwerp, niet veilig bij toeval

Artikel 9, lid 1, onder a vereist meldkanalen "die door hun ontwerp, opzet en beheer op beveiligde wijze de vertrouwelijkheid van de identiteit van de melder en van eventuele in de melding genoemde derden beschermen." Dat is een eis over de constructie van het kanaal, niet alleen over de uitkomsten ervan — een bedrijf kan niet aanvoeren dat er nog geen lek is geweest als bewijs dat aan deze eis is voldaan. Het moet waar zijn van hoe het kanaal is gebouwd, voordat er ooit een melding binnenkomt.

In de praktijk is dit precies waar een gedeelde inbox of een generiek ticketsysteem doorgaans tekortschiet — er is helemaal geen opsombare toegangslijst. Iedereen met de gedeelde inloggegevens, of op een doorstuurregel die niemand zich meer herinnert te hebben ingesteld, kan elke zaak lezen; na zes maanden is het vaak oprecht onduidelijk wie eigenlijk toegang heeft. De toegang tot een doelgericht gebouwd kanaal is een vastomlijnde set van benoemde, geauthenticeerde medewerkersaccounts binnen het account van uw eigen bedrijf — geen e-mailalias die jarenlang doorstuurregels heeft verzameld. Zie „Volstaat een e-mailadres als meldkanaal voor klokkenluiders?” voor hoe dat gat er daadwerkelijk uitziet zodra een melding live is.

Schriftelijk, mondeling of beide — en vaak beslist het nationale recht

Artikel 9, lid 2 laat het kanaal meldingen schriftelijk, mondeling of op beide manieren aannemen. Neemt het mondelinge meldingen aan, dan geldt: "Mondelinge melding is mogelijk via de telefoon of via andere spraakberichtsystemen, en op verzoek van de melder door middel van een fysieke ontmoeting binnen een redelijke termijn." De richtlijn alleen maakt een kanaal dat uitsluitend tekst accepteert dus niet non-compliant.

Het nationale recht gaat vaak verder, en Nederland is daar een voorbeeld van: artikel 2 van de Wbk vereist dat een werknemer ten minste schriftelijk, mondeling via de telefoon of een ander spraakberichtsysteem, en op verzoek in een persoonlijk gesprek kan melden. Ook de Italiaanse toezichthouder ANAC eist dat bedrijven beide vormen waarborgen. Duitsland gaat de andere kant op: volgens de memorie van toelichting bij het HinSchG volstaat één van beide vormen, al moet een persoonlijk gesprek op verzoek wel mogelijk zijn. Controleer de regels van uw land voordat u kiest voor een kanaal dat alleen schriftelijk werkt. En ook waar het optioneel is, telt een mondelinge route in de praktijk: sommige mensen zetten een zorg nooit op papier. Zie spraakmeldingen en anonimisering, eenvoudig uitgelegd voor hoe het eigen spraakkanaal van Provoxis werkt.

Het inrichten van het kanaal is zelf een overlegstap, geen eenzijdige

Artikel 8, lid 1 vereist dat lidstaten ervoor zorgen dat interne kanalen worden ingericht "na overleg en in samenspraak met de sociale partners, indien het nationale recht daarin voorziet" — in gewone taal: een werkgever kan doorgaans niet zomaar eenzijdig beslissen hoe het kanaal werkt en het dan uitrollen. Precies welk orgaan geraadpleegd moet worden, en hoeveel inspraak dat daadwerkelijk heeft, wordt overgelaten aan de omzetting van elke lidstaat afzonderlijk — zie bijvoorbeeld de Duitse medezeggenschap van de ondernemingsraad of de Franse CSE-raadplegingsplicht voor hoe dat er concreet uitziet in elk land. De eis om iemand te raadplegen is echter geen nationale eigenaardigheid — het is de eigen basis van de richtlijn zelf; alleen het mechanisme verschilt per land.

Zelf uitvoeren of aan een derde uitbesteden — beide zijn toegestaan

Artikel 8, lid 5 staat expliciet toe om het kanaal ofwel intern te beheren, via een daarvoor aangewezen persoon of afdeling, ofwel extern, via een externe dienstverlener — mits in beide gevallen dezelfde waarborgen van artikel 9 gelden. Het uitbesteden van het kanaal verlaagt de lat niet; het verplaatst alleen wie verantwoordelijk is om eraan te voldoen.

De publieke sector valt er ook onder

Artikel 8, lid 9 breidt dezelfde verplichting uit naar publiekrechtelijke rechtspersonen, niet alleen private bedrijven — met één ingebouwde optie voor lidstaten: zij mogen gemeenten met minder dan 10.000 inwoners, of minder dan 50 werknemers, vrijstellen van de verplichting, en meerdere gemeenten toestaan een kanaal te delen. Waar de gids van een land een drempel of uitzondering voor de publieke sector noemt — zoals die van Frankrijk — is dat deze bepaling die op nationaal niveau wordt toegepast, geen op zichzelf staande nationale regel.

Juridische basis

• Art. 9, lid 1, onder a, Richtlijn (EU) 2019/1937 — de eis van veilig ontwerp ter bescherming van de vertrouwelijkheid van de identiteit van de melder.
• Art. 9, lid 2 — schriftelijk, mondeling of beide melden; mondeling per telefoon of spraakberichtsysteem, en op verzoek een fysieke ontmoeting.
• Art. 8, lid 1 — het inrichten van het kanaal na overleg met de sociale partners, indien het nationale recht daarin voorziet.
• Art. 8, lid 5 — de keuze tussen het intern beheren van het kanaal of via een externe dienstverlener.
• Art. 8, lid 9 — de verplichting voor de publieke sector, en de optie voor lidstaten om kleine gemeenten vrij te stellen.