Open-source klokkenluiderssoftware (Nederland)
Zoekt u een veilige, ethische klokkenluidersregeling die voldoet aan de EU-klokkenluidersrichtlijn?
Probeer GlobaLeaks, de gratis en open-sourcesoftware ontworpen om:
- De identiteit van melders te beschermen en volledige vertrouwelijkheid te waarborgen
- Veilige interne en externe meldingskanalen aan te bieden met gestructureerd casebeheer
- Traceerbaarheid, controleerbaarheid en betrouwbare opvolging van meldingen te verzekeren
- Te voldoen aan de vereisten van Richtlijn (EU) 2019/1937
Lees meer in de officiële documentatie.
De EU-klokkenluidersrichtlijn
De EU-richtlijn betreffende de bescherming van personen die inbreuken op het Unierecht melden verplicht organisaties om veilige en vertrouwelijke meldingskanalen op te zetten en melders te beschermen tegen represailles.
In Nederland is de Richtlijn omgezet in de Wet bescherming klokkenluiders (Wbk) van 18 februari 2023. Werkgevers met 50 of meer werknemers moeten een interne meldprocedure inrichten. Het Huis voor klokkenluiders fungeert als externe meldinstantie.
Wettelijke verplichtingen en naleving
| Referentie | Verplichting | Hoe GlobaLeaks hieraan voldoet |
|---|---|---|
| art. 2, lid 1 | De werkgever stelt een interne meldprocedure vast voor het intern melden van een vermoeden van een misstand via een veilig meldkanaal. | GlobaLeaks biedt een toegewijd, self-hosted meldkanaal op basis van vrije/opensource software, onafhankelijk controleerbaar, met gestructureerd casebeheer voor de interne meldprocedure onder de Wet bescherming klokkenluiders. Volledige anonimiteit is mogelijk dankzij de integratie van de Tor-technologie. |
| art. 2, lid 2, onderdeel c | De meldprocedure voorziet erin dat schriftelijk of mondeling, telefonisch of op verzoek binnen een redelijke termijn tijdens een gesprek kan worden gemeld. | GlobaLeaks ondersteunt schriftelijke meldingen met bijlagen en een spraakbericht, en biedt de klokkenluider de mogelijkheid een fysieke ontmoeting aan te vragen. |
| art. 2, lid 2, onderdeel d | Er is een onafhankelijke functionaris of dienst aangewezen die de melding vertrouwelijk behandelt en zorgvuldig opvolgt. | Een granulaire toegangscontrole op need-to-know-basis waarborgt dat uitsluitend de aangewezen onafhankelijke functionaris toegang heeft; de identiteit van de klokkenluider wordt in elke fase vertrouwelijk beschermd. |
| art. 2, lid 2, onderdeel h | Binnen zeven dagen na ontvangst van de melding wordt aan de melder een ontvangstbevestiging gestuurd. | GlobaLeaks geeft direct een ontvangstbevestiging af, ruim binnen de termijn van zeven dagen. |
| art. 2, lid 2, onderdeel i | Binnen een redelijke termijn van ten hoogste drie maanden na de ontvangstbevestiging wordt de melder geïnformeerd over de beoordeling en de opvolging van de melding. | Het gestructureerde casebeheer met termijnen, timers, herinneringen en dashboard bewaakt de termijn van drie maanden; de melder wordt geïnformeerd via het asynchrone tweerichtingskanaal dat de anonimiteit bewaart. |
| art. 1a, lid 3 en 4 | De identiteit van de melder wordt vertrouwelijk behandeld en niet bekendgemaakt zonder diens uitdrukkelijke instemming. | De identiteit van de klokkenluider wordt in elke fase beschermd door anonieme of vertrouwelijke melding en granulaire toegangscontrole op need-to-know-basis, waardoor zij zonder instemming voor niemand toegankelijk is. |
| AVG art. 5 | Verwerking van persoonsgegevens conform de AVG, volgens het beginsel van dataminimalisatie. | Self-hosting, geen componenten of diensten van derden, geen registratie van IP-adressen, minimalisatie van metagegevens. |
| art. 2a | De ontvangen meldingen worden geregistreerd en bewaard in een daartoe ingericht register. | GlobaLeaks houdt een privacyvriendelijk auditlogboek bij en beheert meldingen gestructureerd, zodat registratie en bewaring conform de wettelijke eisen plaatsvinden, met minimalisatie van metagegevens. |
Verder dan de wettelijke verplichtingen: normen en erkenningen
GlobaLeaks is bovendien ontworpen om te functioneren binnen een meldingsbeheersysteem dat aansluit bij de richtsnoeren van ISO 37002:2021, en ondersteunt de eisen aan meldkanalen van certificeerbare normen zoals ISO 37001 (anti-omkoping) en ISO 37301 (compliancemanagement).
Op het vlak van informatiebeveiliging is het platform ontworpen om te functioneren binnen een managementsysteem dat aansluit bij ISO/IEC 27001:2022: meldingen en bijlagen worden beschermd met versleuteling en de toegang blijft voorbehouden aan uitdrukkelijk geautoriseerde behandelaars. Daarnaast past het de AVG-beginselen (Verordening (EU) 2016/679) van privacy by design en by default toe: dataminimalisatie, geen registratie van IP-adressen en tot een minimum beperkte metagegevens.
Ook toegankelijkheid is een ontwerpkeuze: het platform is ontworpen voor compatibiliteit met de WCAG 2.1 AA-richtlijnen en de Europese norm EN 301 549 - de technische basis van de European Accessibility Act (Richtlijn (EU) 2019/882) en van Richtlijn (EU) 2016/2102 over de toegankelijkheid van overheidswebsites - zodat iedere melder het kanaal veilig en zelfstandig kan gebruiken. In Nederland zijn de referenties het Besluit digitale toegankelijkheid overheid en de Implementatiewet toegankelijkheidsvoorschriften producten en diensten, waarmee de European Accessibility Act is omgezet.
Erkend als Digital Public Good door de Digital Public Goods Alliance, is GlobaLeaks vrije en opensourcesoftware ten dienste van het algemeen belang.