Ilmoittajansuojelukäytäntö – mitkä yritykset tarvitsevat sellaisen ja mitä sen tulisi sisältää?

Mallbutiken · Tiedot tarkistettu 30. syyskuuta 2026 · Noin 9 minuutin lukuaika

Toiminnanharjoittajalla, jolla oli kalenterivuoden alkaessa 50 tai useampi työntekijä, on oltava sisäiset ilmoituskanavat ja menettelytavat ilmoittamista ja seurantaa varten ilmiantajansuojalain mukaisesti. Laki ei vaadi, että asiakirjan on oltava nimeltään ”ilmiantajakäytäntö”, mutta menettelytavat on dokumentoitava kirjallisesti ja toiminnassa tarvitaan selkeää tietoa siitä, miten järjestelmä toimii.

Mitkä yritykset tarvitsevat sisäiset ilmiantokanavat?

Ilmoittajansuojelulain (2021:890) 5 luvun 2 §:n mukaan velvollisuus koskee toiminnanharjoittajaa, jolla oli kalenterivuoden alkaessa vähintään 50 työntekijää.

Työympäristöviranomainen (Arbetsmiljöverket) ilmoittaa, että kaikki työsuhdemuodot lasketaan työntekijöiden määrää määritettäessä. Arviointi on siis tehtävä todellisen henkilöstömäärän perusteella vuoden alussa, ei pelkästään toistaiseksi voimassa olevien työntekijöiden määrän mukaan.

50–249 työntekijää

Yksityiset toiminnanharjoittajat, joilla on 50–249 työntekijää, voivat tietyin edellytyksin käyttää yhteisiä sisäisiä ilmoituskanavia ja menettelytapoja. Tämä ei poista kunkin toiminnanharjoittajan omaa vastuuta lain vaatimusten täyttämisestä.

Alle 50 työntekijää

Yleinen 5 luvun 2 §:n mukainen velvollisuus ei koske raja-arvon alittavia toimijoita. Pienempi yritys voi silti vapaaehtoisesti ottaa käyttöön ilmoituskanavan tai se voi kuulua muiden erityissääntöjen piiriin toiminnasta riippuen. Jos järjestelmä otetaan käyttöön vapaaehtoisesti, tulisi olla selvää, miten ilmoituksia käsitellään ja mitä oikeuksia ja rajoituksia sovelletaan.

Ilmiantajakäytäntö ja ilmoitusmenettely täyttävät eri tehtävät

Laki keskittyy siihen, että kanavat ja menettelytavat toimivat ja ne dokumentoidaan – ei asiakirjojen tarkkoihin nimiin. Käyttäjän kannalta on usein selkeämpää, jos käytäntö ja sisäinen käsittelymenettely pidetään erillään.

Miten sisäisten ilmoituskanavien tulee toimia?

Kanavien tulee mahdollistaa ilmoittaminen sekä kirjallisesti että suullisesti, ja ilmoittajan pyynnöstä fyysisessä tapaamisessa kohtuullisen ajan kuluessa.

Vahvistus seitsemän päivän kuluessa

Ilmoittajalle on pääsääntöisesti annettava vahvistus ilmoituksen vastaanottamisesta seitsemän päivän kuluessa. Poikkeuksia sovelletaan muun muassa silloin, jos henkilö on kieltäytynyt vahvistuksesta tai jos vastaanottajalla on syytä olettaa, että vahvistus paljastaisi henkilön identiteetin.

Palaute kolmen kuukauden kuluessa

Palaute on annettava kohtuullisessa laajuudessa seurantatoimenpiteistä ja niiden syistä kolmen kuukauden kuluessa vahvistuksesta. Jos vahvistusta ei ole annettu eikä se johdu ilmoittajasta, määräaika lasketaan lain erityissäännön mukaan seitsemän päivää vastaanottamisesta.

Kuka saa käsitellä ilmoituksia?

Toiminnanharjoittajan on nimettävä riippumattomat ja itsenäiset henkilöt tai yksiköt, joilla on valtuudet vastaanottaa ilmoituksia, olla yhteydessä ilmoittajiin, seurata ilmoitettuja asioita ja antaa palautetta.

Nämä voivat olla sisäisiä henkilöitä tai ulkopuolisia, jotka on palkattu tehtävään. Organisaation on samalla suunniteltava esteellisyys- ja eturistiriitatilanteita varten. Ilmoitus henkilöstä, joka normaalisti käsittelee asioita, on voitava ohjata jollekin toiselle.

Rajoita pääsyä

Identiteettitiedot ja muut arkaluonteiset tapaustiedot eivät saa olla koko HR-, johto- tai IT-organisaation saatavilla. Pääsy on rajoitettava valtuutetuille henkilöille, ja järjestelmät on suunniteltava siten, että luottamuksellisuus ja jäljitettävyys voidaan säilyttää.

Ilmianto ja henkilötiedot

Ilmiantotapaukset sisältävät usein tietoja sekä ilmoittajasta, nimetyistä henkilöistä että muista asianosaisista. Ilmiantajansuojalaissa on erityissääntöjä henkilötietojen käsittelystä, jotka toimivat yhdessä GDPR:n kanssa.

Tietosuojaviranomainen (IMY) ilmoittaa muun muassa, että vain seurantatapauksen kannalta välttämättömiä henkilötietoja saa käsitellä, että tiedot, jotka eivät ilmeisesti ole merkityksellisiä, on poistettava viipymättä ja että henkilötietoja ei pääsääntöisesti saa käsitellä kahta vuotta pidempään tapauksen päättymisen jälkeen. Erityiset arkistointisäännöt voivat vaikuttaa julkiseen toimintaan.

Jos ulkopuolinen palveluntarjoaja ylläpitää kanavaa ja käsittelee henkilötietoja puolestanne, roolit on arvioitava GDPR:n mukaisesti. Lue, milloin henkilötietojen käsittelysopimusta tarvitaan.

Mitä ilmiantajakäytännön ja menettelyn tulisi sisältää?

• Tarkoitus ja mitä ilmoituksia se koskee.
• Kuka voi käyttää kanavia.
• Miten kirjallinen, suullinen ja fyysinen ilmoittaminen tapahtuu.
• Yhteyskanavat ja tekniset kanavat.
• Ketkä henkilöt/yksiköt ovat valtuutettuja.
• Miten riippumattomuutta ja esteellisyyttä käsitellään.
• Vahvistaminen, seuranta ja palaute.
• Miten identiteetti ja muut tiedot suojataan.
• Toimenpidekieltoja koskevat säännöt ja tieto suojasta.
• Henkilötiedot, pääsy, poistaminen ja dokumentointi.
• Miten toimivaltaisten viranomaisten ulkoisia ilmoituskanavia voi käyttää.
• Miten asioita käsitellään loppuun, raportoidaan sisäisesti ja seurataan koottuna.

Tiedota muustakin kuin sisäisestä linkistä

Laki vaatii selkeää ja helposti saatavilla olevaa tietoa siitä, miten sisäinen ilmoittaminen tapahtuu, miten ilmoituksia voi tehdä toimivaltaisten viranomaisten ulkoisiin kanaviin, sekä olennaista tietoa muun muassa tiedonvälityksen vapaudesta siellä, missä se on ajankohtaista.

Yleisiä virheitä

• Tavallista HR-sähköpostilaatikkoa käytetään kanavana. Valtuutus ja riippumattomuus voivat jäädä epäselviksi.
• Tarjolla on vain verkkolomake. Laki vaatii useampia ilmoitustapoja.
• Kukaan ei vastaa määräajoista. Seitsemää päivää ja kolmea kuukautta on voitava seurata operatiivisesti.
• Liian monilla on pääsy tapaukseen. Rajoita valtuutuksia ja dokumentoi vastuut.
• Käytäntö lupaa täydellisen nimettömyyden kaikissa tilanteissa. Muotoile suoja ja luottamuksellisuus oikein todellisen järjestelmän ja lain perusteella.
• Henkilötietoja säästetään ilman suunnitelmaa. Määritä poistaminen ja oikeudellinen käsittely alusta alkaen.

Tarvitsetteko dokumentaatiota käytännöistä ja käsittelystä?

Mallbutikenin paketti sisältää ilmiantajakäytännön, ilmoitus- ja seurantamenettelyn, ilmoituslomakkeen, tutkintaprotokollan ja käyttöönottotarkistuslistan Word/PDF-muodossa. Hinta kaupassa: 199 kr.

Katso ilmiantopaketti

Usein kysyttyjä kysymyksiä

Onko yrityksellä oltava käytäntö, jos sillä on 50 työntekijää?

Laki vaatii sisäiset ilmoituskanavat ja menettelytavat sekä menettelytapojen kirjallisen dokumentoinnin. Se ei vaadi, että erityisessä asiakirjassa on otsikko ”käytäntö”.

Voiko HR yksin käsitellä kaikki ilmoitukset?

Ei automaattisesti. Valtuutettujen henkilöiden tai yksiköiden tulee olla riippumattomia ja itsenäisiä lain tarkoittamassa mielessä. Organisaation on myös hallittava esteellisyys- ja eturistiriitatilanteita.

Saako käyttää ulkoista ilmiantopalvelua?

Kyllä, laki sallii, että valtuutetut henkilöt ovat käsittelyä varten palkatun tahon palveluksessa. Toiminnanharjoittajan on silti varmistettava, että lain vaatimukset ja tietosuoja täyttyvät.