Hvidvaskloven § 35a

Den foreslåede § 35 omhandler krav om whistleblowerprocedurer og svarer til bestemmelserne i lov om finansiel virksomhed. Bestemmelsen er ny.

Det foreslås i stk. 1, at virksomheder og personer, omfattet af § 1, stk. 1, nr. 5, 8, 11, for så vidt angår alternative investeringsfonde, og nr. 13-20, skal have en ordning, hvor deres ansatte via en særlig, uafhængig og selvstændig kanal kan indberette overtrædelser eller potentielle overtrædelser af denne lov og regler udstedt i medfør heraf. Den ansatte kan foretage indberetning af overtrædelser begået af virksomheden, herunder af ansatte eller medlemmer af bestyrelsen i virksomheden. Indberetninger til ordningen skal kunne foretages anonymt.

Den foreslåede bestemmelse gennemfører artikel 61, stk. 3, i 4. hvidvaskdirektiv.

Kravet om, at der skal være en særlig kanal, skal forstås således, at kanalen skal være godkendt af Datatilsynet og være oprettet med det formål, at ansatte som minimum skal kunne indberette overtrædelser eller potentielle overtrædelser af den finansielle regulering til ordningen.

Det, at kanalen tillige skal være uafhængig og selvstændig, betyder, at der skal etableres en selvstændig funktion, der er uafhængig af den daglige ledelse, og hvor indberetning kan ske uden om de normale procedurer, f.eks. direkte til den afdeling eller medarbejder, som behandler indberetningerne. Dette vil eksempelvis kunne være en særlig compliance-ansvarlig.

Virksomhedernes og personernes whistleblowerordning skal omfatte indberetning af såvel overtrædelser som potentielle overtrædelser, hvilket betyder, at der kan indberettes såvel alvorlige som mindre alvorlige forseelser, og der kan ligeledes indberettes overtrædelser, som ikke er af afgørende betydning for koncernen eller virksomheden som helhed. Det kan f.eks. være tilfælde, som alene vil kunne medføre et påbud eller en påtale fra tilsynsmyndigheden. Muligheden for indberetning af mindre alvorlige forseelser udgør en fravigelse af Datatilsynets almindelige praksis på området.

Indberetning om overtrædelse af anden lovgivning som f.eks. markedsføringsloven eller straffeloven (f.eks. underslæb, bedrageri m.v.) omfattes ikke af bestemmelsens anvendelsesområde.

Virksomheder og personer skal allerede nu følge persondataloven samt Datatilsynets retningslinjer og praksis på området for etablering af whistleblowerordninger. Bortset fra den ovenfor beskrevne fravigelse af Datatilsynets praksis vedrørende de forhold, hvorom der kan ske indberetning, tilsigter lovforslaget ikke en ændring af den eksisterende regulering på persondataområdet. På tilsvarende måde hører tilladelse til behandling af personoplysninger i forbindelse med en virksomheds whistleblowerordning samt tilsyn hermed fortsat under Datatilsynets kompetence.

Ordningen efter det foreslåede stk. 1 skal være indrettet således, at indberetninger om en virksomheds eller persons overtrædelse eller potentielle overtrædelse af regulering skal kunne foretages anonymt.

Det, at indberetninger skal kunne foretages anonymt, indebærer, at den, der indberetter en overtrædelse, kan gøre dette fuldstændigt anonymt, f.eks. via en løsning på virksomhedens intranet, hvor der kan indsendes indberetninger uden angivelse af navn, uden mulighed for sporing af computerens IP-adresse og lignende. Indberetningerne bør som udgangspunkt alene være tilgængelige for den afdeling eller medarbejder, som behandler indberetningerne. Dette vil eksempelvis kunne være den compliance-ansvarlige. Anonyme henvendelser til en whistleblowerordning kan svække mulighederne for at bevise, at der er sket forskelsbehandling som følge af indberetningen, da kravet om anonymitet medfører, at virksomheden eller personen i tilfælde af anonyme indberetninger ikke ved, hvem der har indgivet indberetningen. Det er imidlertid vigtigt at sikre, at ansatte, der anvender ordningen, kan være fuldstændig anonyme, idet det kan være svært for en ansat at beslutte at indberette en overtrædelse til virksomheden, hvis det ikke kan ske anonymt. En ansat kan eksempelvis være bange for at miste sit arbejde, imens andre ansatte kan føle, at de har handlet illoyalt over for en kollega eller over for virksomheden.

En overtrædelse eller en potentiel overtrædelse begået af virksomheden eller personen, herunder af ansatte eller medlemmer af bestyrelsen, omfatter enhver overtrædelse eller potentiel overtrædelse af virksomhedens eller personens forpligtelser, også selvom denne ikke kan henføres til en enkelt person, men eksempelvis skyldes en grundlæggende systemfejl i virksomheden. Der vil tillige kunne blive indberettet overtrædelser, der skyldes undladelser. Hvis en virksomhed eller person har valgt at outsource en del af de forpligtelser, der påhviler den pågældende til en ekstern virksomhed, vil de ansatte i virksomheden eller personen også kunne indberette til virksomhedens whistleblowerordning om manglende efterlevelse af forpligtelserne, som sker hos den eksterne virksomhed. Ansatte hos den eksterne virksomhed vil kunne indberette overtrædelser til den relevante tilsynsmyndighed.

En whistleblowerordning kan outsources til en ekstern leverandør. En virksomhed eller person kan imidlertid ikke fraskrive sig sine forpligtelser efter lovgivningen, og virksomheder eller personer, der benytter sig af outsourcing, er således fortsat ansvarlige for, at ordningerne lever op til lovgivningens krav. En virksomhed, som varetager, administrerer eller på anden måde håndterer en ordning på vegne af en i denne lov forpligtet virksomhed, skal være opmærksom på anden særlovgivning, der kan være til hinder herfor. En virksomhed, der varetager, administrerer eller på anden måde håndterer en ordning på vegne af en forpligtet virksomhed eller person, skal endvidere også være opmærksom på eventuelle lovbestemte oplysningsforpligtelser, som virksomhederne kan være underlagt, idet nærværende lovforslag ikke har til hensigt at ændre herpå.

Ansattes, herunder direktionens, indberetning til whistleblowerordningen vil ikke være i strid med tavshedspligten i § 132 i selskabsloven eller særlovgivningens tavshedsregler, herunder tavshedspligten i lov om finansiel virksomhed. Dette gælder tillige i tilfælde, hvor ordningen er outsourcet til en ekstern leverandør.

Overtrædelse af bestemmelsen er strafbelagt, jf. forslaget til § 71, stk. 1, 2. pkt. Ansvarssubjekterne for overtrædelse af forslaget til § 35, stk. 1, er de i bestemmelsen nævnte virksomheder og personer, og den strafbare handling består i ikke at have en ordning, hvor ansatte via en særlig, uafhængig og selvstændig kanal kan indberette overtrædelser eller potentielle overtrædelser af hvidvaskloven og regler udstedt i medfør heraf. Et eksempel på overtrædelse af bestemmelsen er en virksomhed, hvor de ansatte alene kan foretage indberetninger til en whistleblowerordning, hvis de oplyser deres kontaktoplysninger.

Det foreslås i stk. 2, at en virksomhed eller person kan opfylde kravet om en whistleblowerordning i stk. 1 via kollektiv overenskomst. I praksis betyder dette, at arbejdsmarkedets parter efter aftale med virksomhederne har mulighed for at etablere en ordning i f.eks. et fagforbund, hvortil ansatte i virksomheden kan indberette overtrædelser. En whistleblowerordning, der baserer sig på en aftale mellem de forhandlingsberettigede parter, skal leve op til kravene i stk. 1 som beskrevet ovenfor.

”Via kollektiv overenskomst” skal forstås i overensstemmelse med ordlyden af artikel 71, stk. 3, i Europa-Parlamentets og Rådets Direktiv 2013/36/EU af 26. juni 2013 om adgang til at udøve virksomhed som kreditinstitut og om tilsyn med kreditinstitutter og investeringsselskaber (CRD IV). Heraf følger, at arbejdsmarkedets parter skal forstås i overensstemmelse med artikel 152, artikel 154, stk. 1, artikel 155, stk. 1, TEUF samt artikel 28 i den Europæiske Unions Charter om grundlæggende rettigheder.

Det foreslås i stk. 3, 1. pkt., at stk. 1 alene finder anvendelse for virksomheder og personer, som beskæftiger flere end fem ansatte. Virksomheder og personer, der alene beskæftiger 5 ansatte eller færre, påkræves af proportionelle hensyn ikke at etablere en whistleblowerordning. Det foreslås i stk. 3, 2. pkt., at virksomheder, som er omfattet af undtagelsen i stk. 1, skal etablere en whistleblowerordning senest 3 måneder efter ansættelse af den sjette ansatte. Dette skal sikre, at virksomheder og personer har den fornødne tid til at etablere ordningen ved overskridelser af grænsen på 5 ansatte.

Det foreslås i stk. 4, at den relevante tilsynsmyndighed i særlige tilfælde, hvor denne vurderer, at det vil være formålsløst, at der oprettes en ordning, skal kunne dispensere fra kravet i det foreslåede stk. 1. Dispensation kan alene gives, hvor der foreligger særlige forhold, som tilsiger, at det ikke vil være hensigtsmæssigt at stille krav om etablering af en whistleblowerordning. Eksempler herpå kan være, hvis overskridelsen af grænsen på 5 ansatte er midlertidig, eller hvis virksomheden er under afvikling.

Den foreslåede bestemmelse regulerer ikke, hvorvidt informationerne skal videregives til tilsynsmyndighederne. Pligt til at videregive informationer kan følge af anden særlovgivning.