Wet bescherming klokkenluiders: wat compliance moet weten

Wat is de Wet bescherming klokkenluiders?

De Wet bescherming klokkenluiders is op 18 februari 2023 in werking getreden en vervangt de Wet Huis voor klokkenluiders. De wettekst op wetten.overheid.nl vermeldt geldigheid vanaf die datum. Het doel van de wet is melders beter te beschermen. Volgens het Huis voor Klokkenluiders moeten bedrijven en overheidsorganisaties veilige interne meldkanalen hebben, en zijn er bevoegde autoriteiten aangewezen waar externe meldingen kunnen worden gedaan.

De wet regelt in de kern twee dingen: de plicht van de werkgever om een meldkanaal te hebben, en de bescherming van de melder tegen benadeling. Dit artikel geeft een overzicht. Voor de exacte tekst zijn de wettekst en het Huis voor Klokkenluiders leidend.

Voor welke organisaties geldt de meldplicht?

Een werkgever bij wie in de regel ten minste 50 werknemers werkzaam zijn, stelt volgens artikel 2 lid 1 een procedure voor interne meldingen vast. Het Huis schrijft dat alle organisaties met 50 werknemers of meer een intern meldkanaal moeten hebben. Ook uitzendkrachten, stagiairs, zzp'ers en gedetacheerden tellen mee. Wie solliciteert bij een werkgever met 50 of meer mensen, mag dus verwachten dat er een meldprocedure bestaat.

De financiële sector kent een lagere drempel. Organisaties in die sector met minder dan 50 werknemers moeten volgens het Huis ook sinds 18 februari 2023 een intern meldkanaal inrichten. Artikel 2 lid 3 laat de grens van vijftig werknemers vervallen voor werkgevers die onder bepaalde Europese regelgeving uit de bijlage bij de richtlijn vallen. Dat raakt wie werkt in de financiële dienstverlening.

Het overgangsrecht in artikel 21c gaf private werkgevers met 50 tot 249 werknemers tijd om aan de nieuwe eisen te voldoen. Dat overgangsrecht liep af op 17 december 2023.

Wat is een misstand volgens de wet?

De wet kent twee soorten misstanden. Volgens artikel 1 is een misstand ofwel een schending of gevaar voor schending van het Unierecht, ofwel een handeling of nalatigheid waarbij het maatschappelijk belang in het geding is. Het Huis noemt dat een inbreuk op het Unierecht en een maatschappelijke misstand.

Het Huis somt onderwerpen van het Unierecht op, waaronder overheidsopdrachten, financiële diensten, productveiligheid, veiligheid van het vervoer, milieu, volksgezondheid en consumentenbescherming. Twee onderwerpen zijn voor dit vakgebied bijzonder relevant: de bescherming van persoonsgegevens en de beveiliging van netwerk- en informatiesystemen, en financiële diensten, waaronder de voorkoming van witwassen van geld en terrorismefinanciering.

Bij een maatschappelijke misstand gaat het volgens het Huis om een situatie die meerdere mensen aangaat, die regelmatig voorkomt of die ernstige gevolgen kan hebben. Daarbij speelt een of meer van de volgende zaken: een overtreding van de wet of van interne regels die op een wettelijk voorschrift zijn gebaseerd, gevaar voor de volksgezondheid, gevaar voor de veiligheid van personen, gevaar voor de aantasting van het milieu, of gevaar voor het goed functioneren van de organisatie door onbehoorlijk handelen of nalaten. In al deze gevallen moet het maatschappelijk belang in het geding zijn.

Een vermoeden van een misstand moet volgens artikel 1 berusten op redelijke gronden. Het Huis schrijft dat dit geldt op het moment dat de melding wordt gedaan. Een persoonlijk arbeidsconflict is in deze zin in de regel geen misstand, al is de grens niet altijd scherp.

Wie mag melden en wie wordt beschermd?

Een melder is niet alleen een werknemer in de gewone zin. Volgens het Huis gaat het om iemand die een werkrelatie heeft of heeft gehad, of gaat krijgen. Dat zijn onder meer werknemers, ambtenaren, zelfstandigen, vrijwilligers, stagiairs, uitzendkrachten, ex-werknemers, sollicitanten, en mensen die werken onder verantwoordelijkheid van leveranciers, aannemers en onderaannemers. De werkrelatie hoeft dus niet meer te bestaan op het moment van melden.

Ook mensen die een melder helpen, zoals een vertrouwenspersoon, vallen onder de bescherming. Een melding kan intern of extern worden gedaan. Er is volgens het Huis geen verplichting om eerst intern te melden.

Wat moet een interne meldprocedure bevatten?

De wet legt een aantal onderdelen vast die de interne procedure in elk geval moet bevatten. Het Huis en de wet noemen de volgende punten:

Een melding moet schriftelijk kunnen, mondeling via de telefoon of een spraakberichtsysteem, en op verzoek in een gesprek op een locatie. De procedure moet deze manieren dus mogelijk maken.

Elke melding wordt bij ontvangst geregistreerd in een daarvoor ingericht register. Gegevens worden vernietigd wanneer ze niet langer nodig zijn om aan de wet of andere eisen te voldoen. De wet kiest daarvoor het uitgangspunt "niet langer dan nodig" en noemt geen vaste termijn. Een mondelinge melding wordt vastgelegd met een opname, waarvoor vooraf instemming van de melder nodig is, of met een volledige en nauwkeurige schriftelijke weergave die de melder mag controleren, corrigeren en voor akkoord tekenen.

De identiteit van de melder mag volgens artikel 1a lid 3 niet bekendgemaakt worden zonder diens instemming. Het Huis schrijft dat dit geldt voor interne en externe meldkanalen, tenzij er een wettelijke plicht is, bijvoorbeeld bij een rechterlijk bevel. De AVG is van toepassing op het verwerken van persoonsgegevens bij een melding, zie de vacatures met de skill AVG en de FAQ voor werkgevers van het Huis.

De werkgever stelt aan iedereen die voor hem werk verricht of gaat verrichten informatie beschikbaar. Dat gaat over de meldprocedure, over extern melden bij bevoegde autoriteiten en over de rechtsbescherming van werknemers, zoals het verbod op benadeling.

Welke rol heeft een compliance officer bij meldingen?

De wet schrijft geen functietitel voor, dus dit is duiding en geen wettelijke taak. Bij veel organisaties ligt het meldkanaal of de coördinatie bij de compliance officer, bij andere bij integriteit, juridische zaken of HR. Wat telt is dat de ontvanger onafhankelijk is, de vertrouwelijkheid kan garanderen en weet wie onderzoek doet.

Het meldkanaal hoeft niet dezelfde persoon of afdeling te zijn die de melding onderzoekt. De ontvanger moet voldoende gekwalificeerd zijn en de vertrouwelijkheid van de melding en de melder kunnen garanderen. Gaat een melding over de afdeling van de ontvanger zelf, dan hoort een andere, onafhankelijke functionaris de melding te behandelen. Daarom moet de procedure meer dan één functionaris kunnen aanwijzen.

Volgens het Huis bestaat er geen wettelijke verplichting om over ontvangen meldingen te rapporteren of een onderzoeksrapport op te stellen. Opvolging geven, de melder informeren en de melding in het register opnemen moet wel.

Volgens het Huis zijn private ondernemingen bij wet niet verplicht een vertrouwenspersoon aan te stellen, overheidsorganisaties wel. Een werknemer kan wel een adviseur in vertrouwen raadplegen. Een vertrouwenspersoon kan namens de melder de melding als doorgeefluik bij de werkgever neerleggen, zonder de identiteit van de melder te onthullen.

Wat een compliance officer doet, verschilt per organisatie. Het kan gaan om de procedure schrijven en actueel houden, medewerkers informeren, het register beheren, de termijnen bewaken, de samenwerking met een vertrouwenspersoon of externe adviseur regelen en onderzoeken laten uitvoeren. Een goede procedure is begrijpelijk geschreven en staat vindbaar op het intranet. Meer over het werk staat in de rolgids voor de compliance officer.

Naast de Wbk kan een organisatie een integriteitsbeleid of gedragscode hebben. Een melding kan onder beide vallen. De Wbk gaat over het kanaal en de bescherming, het integriteitsbeleid over de normen. Voor het bredere kader zie wat GRC is.

Een voorbeeld. Een systeembeheerder ziet dat een datalek niet wordt gemeld, terwijl het intern wel bekend is, en meldt dit bij het interne meldkanaal. Het kanaal registreert de melding en stuurt binnen zeven dagen een ontvangstbevestiging. De ontvanger beoordeelt of er op redelijke gronden een vermoeden van een misstand is en wie de melding onderzoekt, zonder de naam van de melder te delen. Gaat het om persoonsgegevens, dan betrekt de organisatie de privacyfunctie en eventueel een onderzoeker met de juiste rol. Binnen ten hoogste drie maanden na de ontvangstbevestiging hoort de melder wat er is beoordeeld en welke opvolging volgt. De melder had er ook voor kunnen kiezen direct extern te melden, bijvoorbeeld bij de AP. Zie ook de meldplicht datalekken.

Gaat een melding over compliance zelf, dan is de onafhankelijkheid van de behandeling bepalend.

Wat betekent de wet voor security en privacy?

Security-teams raken de wet op drie manieren. Als melder: wie logs, systemen en incidenten ziet, ziet soms als eerste iets dat niet klopt. Als ontvanger of ondersteuner van het systeem waarin meldingen staan: de toegang tot dat register hoort strikt beperkt en gelogd te zijn, omdat de identiteit van de melder niet bekend mag worden. Als onderzoeker bij een intern onderzoek: forensische ondersteuning vraagt een duidelijke opdracht, een afgebakende toegang en vertrouwelijkheid. Bij die laatste rol past het werk van een information security officer of een IT-auditor.

Privacy-teams zien de wet vooral als verwerking van persoonsgegevens met een eigen bewaarregel. Melders kunnen ook extern melden, en de Autoriteit Persoonsgegevens (AP) is daarvoor een van de bevoegde autoriteiten. Voor het bredere raakvlak van de AVG met meldingen, zie AVG voor privacy-professionals.

Functies waarin deze wet terugkomt zijn onder meer de compliance analyst, de data protection officer, de privacy officer en de GRC-consultant. Voor het verschil tussen de drie disciplines, zie security, privacy en compliance.

Wat is het verbod op benadeling?

Artikel 17e bepaalt dat een melder tijdens en na de behandeling van een melding niet mag worden benadeeld, als de melder redelijke gronden heeft om aan te nemen dat de gemelde informatie op het moment van melden juist was. Artikel 17da noemt als benadeling onder meer ontslag of schorsing, demotie, het onthouden van bevordering, een negatieve beoordeling, een schriftelijke berisping, discriminatie, intimidatie en uitsluiting. Ook de dreiging met en een poging tot benadeling vallen eronder.

Het Huis schrijft dat bij benadeling de werkgever moet bewijzen dat de melder niet is benadeeld door het doen van een melding, en niet de werknemer. De bescherming omvat volgens het Huis ook het recht op ondersteuning, zoals onafhankelijke informatie en kosteloos advies. Verder noemt het Huis vrijwaring van procedures, bijvoorbeeld wegens schending van geheimhouding, geheimhouding van de identiteit van de melder, en sancties voor wie de melder of het onderzoek tegenwerkt.

In een nieuwsbericht van 23 juni 2026 schrijft het Huis dat toezicht en handhaving op de verplichtingen van de wet nog ontbreken, inclusief een sanctiebevoegdheid voor het Huis. Daarvoor is volgens het Huis aanvullende wetgeving nodig. De wet geeft het Huis toezicht- en handhavingstaken op enkele onderdelen, maar hoe dat moet worden ingevuld, is volgens het Huis nog niet uitgewerkt.

Het Huis voor Klokkenluiders is als enige autoriteit bevoegd om benadeling van de melder te onderzoeken. Meer over het vakgebied staat bij compliance en privacy. Welke werkgevers een compliance officer zoeken, zie je op de werkgeverspagina.