13 Interne meldingsprocedures

Instellingen dienen passend intern beleid en passende interne meldingsprocedures in te voeren om personeelsleden in staat te stellen potentiële of feitelijke inbreuken op regelgevings- of interne vereisten, waaronder, zonder daartoe beperkt te zijn, die van Verordening (EU) nr. 575/2013 en nationale bepalingen tot omzetting van Richtlijn 2013/36/EU, of op regelingen voor interne governance, via een specifiek, onafhankelijk en zelfstandig kanaal te kunnen melden. Het dient voor personeelsleden die een inbreuk melden niet noodzakelijk te zijn daarvan bewijs te leveren; zij dienen er echter zo zeker van te zijn dat er voldoende reden is om een onderzoek te starten. Daarnaast dienen instellingen passende processen en procedures in te richten die waarborgen dat zij voldoen aan hun verplichtingen uit hoofde van de nationale tenuitvoerlegging van Richtlijn (EU) 2019/1937 van het Europees Parlement en de Raad van 23 oktober 2019 inzake de bescherming van personen die inbreuken op het Unierecht melden.

Om belangenconflicten te voorkomen dienen personeelsleden inbreuken te kunnen melden buiten de reguliere rapportagelijnen om (bijv. via de compliance officer, de interne auditor of een onafhankelijke interne klokkenluidersprocedure). De meldingsprocedures dienen de bescherming te waarborgen van de persoonsgegevens van zowel de persoon die de inbreuk meldt als de natuurlijke persoon die voor de inbreuk verantwoordelijk zou zijn, in overeenstemming met Verordening (EU) 2016/679³⁶ (AVG).

³⁶ Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening persoonsgegevens).

De meldingsprocedures dienen beschikbaar te worden gesteld aan alle personeelsleden in een instelling.

Informatie die personeelsleden via de meldingsprocedures hebben verstrekt, dient, in voorkomend geval, beschikbaar te worden gesteld aan het leidinggevend orgaan en andere verantwoordelijke functies die in het interne meldingsbeleid zijn gedefinieerd. Wanneer het personeelslid dat een inbreuk meldt, dit verlangt, dient de informatie anoniem te worden verstrekt aan het leidinggevend orgaan en andere verantwoordelijke functies. Instellingen kunnen ook voorzien in een klokkenluidersprocedure die het mogelijk maakt informatie anoniem in te dienen.

Instellingen dienen ervoor te zorgen dat de persoon die de inbreuk meldt, afdoende wordt beschermd tegen eventuele negatieve gevolgen, zoals vergelding, discriminatie of andere soorten onbillijke behandeling. De instelling dient ervoor te zorgen dat geen enkele persoon die onder controle van de instelling valt, zich inlaat met represailles tegen een persoon die een inbreuk heeft gemeld, en dient passende maatregelen te nemen tegen degenen die verantwoordelijk zijn voor dergelijke represailles.

Instellingen dienen eveneens personen over wie meldingen worden gedaan te beschermen tegen eventuele negatieve effecten, mocht uit het onderzoek geen bewijs naar voren komen dat maatregelen tegen die persoon rechtvaardigt. Indien wel maatregelen worden genomen, dient de instelling deze op zodanige wijze te nemen dat de betrokken persoon beschermd wordt tegen onbedoelde negatieve effecten die het doel van de maatregel overstijgen.

Interne meldingsprocedures dienen met name:

• a. te worden gedocumenteerd (bijv. handleidingen voor personeel);
• b. heldere regels te verschaffen die waarborgen dat informatie over de persoon die de melding doet en de persoon op wie de melding betrekking heeft, en over de inbreuk, vertrouwelijk wordt behandeld, overeenkomstig Verordening (EU) 2016/679, tenzij bekendmaking volgens het nationale recht wordt vereist in het kader van nader onderzoek of een daaropvolgende gerechtelijke procedure;
• c. personeelsleden te beschermen die vrezen dat er represailles tegen hen zullen worden genomen omdat ze te melden inbreuken openbaar hebben gemaakt;
• d. te waarborgen dat de gemelde potentiële of feitelijke inbreuken worden beoordeeld en geëscaleerd, waaronder zo nodig naar de relevante bevoegde autoriteit of wetshandhavingdienst;
• e. indien mogelijk te waarborgen dat personeelsleden die potentiële of feitelijke inbreuken hebben gemeld, een bevestiging krijgen dat hun informatie is ontvangen;
• f. ervoor te zorgen dat het resultaat van een onderzoek naar een gemelde inbreuk wordt gevolgd; en
• g. te waarborgen dat de gegevens goed worden bewaard.