Onko yrityksen whistleblowing-ilmoituskanava 17.12.2021 jälkeen pakollinen, vapaaehtoinen vai lainvastainen?
Ilmoittajansuojeludirektiivin mukaan jäsenvaltioiden on pantava sen mukaiset säädökset voimaan viimeistään 17.12.2021. Poikkeuksena ovat 50–249 työntekijän yksityisten yritysten ja yhteisöjen sisäiset ilmoituskanavat. Niiden käyttöönottosäännösten on oltava voimassa viimeistään 17.12.2023.
Oikeusministeriö tiedotti 8.12.2021, että whistleblower-direktiiviä toimeenpaneva lakiesitys myöhästyy ja annetaan eduskunnalle arviolta helmikuun lopussa 2022. Eduskunta päättää sitten lain lopullisen voimaantuloajankohdan. OM totesi myös, että väärinkäytöksen ilmoittajalle ei voi antaa ilmoittajansuojelulain mukaista oikeussuojaa ennen, kuin kansallinen laki on tullut siirtymäsäännöksineen voimaan ja että tästä syystä myöskään tulevan ilmoittajansuojelulain mukaisia ilmoituskanavia ei ole tarkoituksenmukaista perustaa ennen kuin laki tulee voimaan.
Selvää on, että 50-249 työntekijän yrityksillä ei ole velvollisuutta ottaa nyt käyttöön ilmoituskanavaa, koska niiden osalta direktiivin täytäntöönpanoaika on kesken. Sitä pienemmillä yrityksillä ei ole direktiivinkään mukaan velvollisuutta perustaa ilmoituskanavaa. Suurten yli 249 työntekijän yritysten ilmoituskanavien käyttöönoton osalta direktiivin täytäntöönpanoaika on päättynyt, mutta direktiivejä ei sovelleta suoraan yrityksiin eikä suurillakaan yrityksillä ole siis nyt direktiivin perusteella velvollisuutta perustaa ilmoituskanavaa. Yritysten velvollisuus perustaa ilmoituskanava voi perustua erityislainsäädäntöön, esim. lakiin luottolaitostoiminnasta, arvopaperimarkkinalakiin, sijoitusrahastolakiin, vakuutusyhtiölakiin, lakiin rahanpesun ja terrorismin rahoituksen estämisestä, liikesalaisuuslakiin tai työsuojelulakiin jne.
Monet yritykset ovat kuitenkin jo perustaneet sisäisiä ilmoituskanavia vapaaehtoisesti, vaikka ilmoittajansuojelulaki ei ole voimassa ja vaikka erityislainsäädäntö ei velvoita niitä ilmoituskanavan pitämiseen. Tyypillisesti näissä ilmoituskanavissa pyydetään yrityksen työntekijöitä, asiakkaita, alihankkijoita ja muita sidosryhmiä ilmoittamaan huolensa tai epäilynsä rikoksista, muusta lainvastaisesta toiminnasta ja kaikesta, mikä rikkoo hyvän liiketavan mukaisia periaatteita, yrityksen arvoja tai ohjeita. Ilmoituksen kohteena voi olla yrityksen työntekijä. Työelämän tietosuojalain 4 §:n mukaan työnantajan on kerättävä työntekijää koskevat henkilötiedot ensi sijassa työntekijältä itseltään. Jos työnantaja kerää henkilötietoja muualta kuin työntekijältä itseltään, työntekijältä on hankittava suostumus tietojen keräämiseen. Suostumus ei kuitenkaan ole tarpeen silloin, kun viranomainen luovuttaa tietoja työnantajalle tämän laissa säädetyn tehtävän suorittamiseksi tai jos tietojen keräämisestä tai saamisesta laissa erikseen nimenomaisesti säädetään.
Kun ilmoittajansuojelulakia ei ole eikä direktiiviä sovelleta suoraan yrityksiin, niin tällä hetkellä missään laissa ei ole nimenomaisesti säädetty yrityksille yleistä oikeutta tai velvollisuutta kerätä tietoja työntekijöiden epäillyistä väärinkäytöksistä ilmoituskanavissa. Työ- ja elinkeinoministeriö valmistelee työelämän tietosuojalain 4 §:n muutosta, jossa se sallittaisiin. Tällä hetkellä tällaisten tietojen rekisteröiminen yrityksen työntekijöistä ilmoituskanavassa ei ole kuitenkaan selkeästi laillista.
Tulevan ilmoittajansuojelulain ja työelämän tietosuojalain muutoksen sisältö ovat siis epäselviä ja niiden voimaantulo vie vielä useita kuukausia. Niitä odotettaessa ilmoittajat eivät saa ilmoittajansuojelulain mukaista suojaa ja ilmoituksen kohteena olevista työntekijöistä kerätään ja käsitellään heidän maineensa ja oikeusturvansa vaarantavia tietoja nimettömilläkin ilmoituksilla ilman laillista perustetta. Vapaaehtoiset ilmoituskanavat sisältävät siis selkeitä riskejä ilmoittajille, ilmoituksen kohteena oleville työntekijöille ja kanavaa pitäville yrityksille. Sen vuoksi on suositeltavaa, ettei uusia vapaaehtoisia ilmoituskanavia oteta käyttöön ja että käyttöönotetuissakaan kanavissa ei otettaisi vastaan yksilöityjä työntekijöitä koskevia ilmoituksia ennen, kuin ko. lait ovat voimassa. Ainakin pitää varmistaa, että ilmoituskanavalle on tehty GDPR:n 35 artiklan vaatima tietosuojaa koskeva vaikutustenarviointi, jossa on varmistettu, että tietojen kerääminen on laillista ja, että kanavan käyttöönotto on käsitelty työelämän tietosuojalain vaatimalla tavalla YT-lain mukaisessa yhteistoimintamenettelyssä.
Seppo Virtanen
