sou · H1B365 · 2013-09-16 00:00:00 — Avslutningsvis bör nämnas att Europeiska kommissionen presen- terat ett förslag om att dataskyddsdirektivet ska ersättas av en ny allmän dataskyddsförordning.26 Förslaget presenterades och förhandlas alltjämt inom EU. 12.3.5Krav på instituten att inrätta särskilda system för anmälningar Utredarens förslag: Institut ska ha ändamålsenliga system för att från anställda omhänderta rapporter om eventuella missförhållanden inom instituten. 24Arbetsgruppen är en oberoende rådgivande EU-organ för uppgifts- och integritetsskydd som inrättades enligt artikel 29 i och rådets direktiv /46/EG av . Gruppen har bildats för att tillse att dataskyddsdirektivet tillämpas på ett enhetligt sätt. 25Yttrande 1/2006 om tillämpningen av om uppgiftsskydd på interna system för uppgiftslämnande inom bokföring, intern bokföringskontroll, revision, bekämpande av mutor samt brottslighet inom bank- och finansväsen. Yttrandet är begränsat till tillämpningen av om uppgiftsskydd på interna system för uppgiftslämnande inom bokföring, intern bokföringskontroll, revision, bekämpande av mutor samt brottslighet inom bank- och finansväsen. Yttrandet finns på webbplats om dataskydd. 26Förslag till och rådets förordning om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (allmän uppgiftsskyddsförordning), COM(2012) 11 final 2012/0011 (COD). System och skydd för visselblåsare Skälen för utredarens förslag: Artikel 71.3 ställer inte några särskilda krav i fråga om vilken typ av procedur som instituten ska tillhandahålla för anställda som vill rapportera om överträdelser men dessa ska vara ändamålsenliga. Det som avses torde i första hand vara så kallade whistleblowingssystem. Sådana system kan bestå i en särskild e-postadress, telefontjänst eller webbplats genom vilka uppgifter om brottsmisstankar om enskilda personer samlas in och behandlas.27 Det föreligger emellertid inget krav på att det ska vara en datoriserad eller telebaserad rapporteringskanal (jämför ICC som uttryckligen nämner att sådana system även kan innefatta muntliga kanaler). Artikel 71.3 nämner även uttryckligen att kravet får tillhandahållas genom sådana för- faranden som föreskrivs av arbetsmarknadens parter. Om användningen av ett whistleblowingssystem innebär en sådan strukturerad behandling av personuppgifter som avses i person- uppgiftslagen måste systemet utformas i överensstämmelse med dataskyddsdirektivet och de bestämmelser som i nationell rätt genom- förts med anledning av detta direktiv, för svensk del personupp- giftslagen.28 Om en anmälan däremot endast behandlas manuellt på exempelvis ett papper utan att uppgifterna i fråga struktureras i ett register, och inte heller är avsedd att behandlas automatiserat i ex. en dator, är personuppgiftslagen inte tillämplig (jfr prop. 1997/98:44 s. 40). Särskild uppmärksamhet bör riktas åt det faktum att uppgifter som lämnas av personer som slår larm om oegentligheter typiskt sett innefattar uppgifter om olika former av lagöverträdelser. Enligt 21 § personuppgiftslagen, som har sin grund i artikel 8.5 i dataskydds- direktivet, är det förbjudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattar brott. En uppgift om att någon har eller kan ha begått något visst brott utgör en uppgift om lagöverträdelse, oavsett om det finns någon dom eller motsvarande beslut i saken.29 Bestämmelsen i 21 § person- uppgiftslagen är dock inte undantagslös, och med stöd av 9 § personuppgiftsförordningen (1998:1191) har Datainspektionen meddelat föreskrifter (2010:1) om undantag från förbudet i 21 § personuppgiftslagen. För utredarens vidkommande är punkten f i dessa föreskrifter av intresse. Bestämmelsen anger att även andra 27Se Datainspektionens vägledning för bolag för personuppgifter som hanteras i system för whistleblowing s. 4. 28Se Datainspektionens vägledning s. 6. 29Se Datainspektionens vägledning s. 6. System och skydd för visselblåsare än myndigheter med vissa begränsningar får behandla uppgifter om olika former av lagöverträdelser i särskilt inrättade rapporterings- kanaler men endast under följande förutsättningar: Uppgifterna får endast avse personer i nyckelpositioner eller ledande ställning inom det egna bolaget eller koncernen. Uppgifterna får endast behandlas i systemet om det är sakligt motiverat att behandla uppgifterna för att utreda om personen i fråga har varit delaktig i allvarliga oegentligheter som rör bok- föring, intern bokföringskontroll, revision, bekämpande av mutor, brottslighet inom bank- och finansväsendet eller andra allvarliga oegentligheter som rör organisationens vitala intressen eller enskildas hälsa eller liv, som till exempel allvarliga miljö- brott, stora brister i säkerheten på arbetsplatsen och mycket allvarliga former av diskriminering och trakasserier. Att systemet endast får behandla uppgifter när det är sakligt motiverat innebär att systemet bara får användas när det är sakligt motiverat att inte använda bolagets interna informations- och rapporeringskanaler, till exempel om den anmälde ingår ledningen och de misstänkta oegentligheterna av det skälet annars riskerar att inte tas om hand på vederbörligt sätt. Det innebär också att systemet ska utgöra ett komplement till normal internförvaltning och måste vara frivilligt att använda.30 Om inget av undantagen från kravet i 21 § personuppgiftslagen är tillämpliga, kan Datainspektionen pröva om det föreligger tillräckliga skäl för att i ett enskilt fall besluta om undantag från förbudet i 21 § personuppgiftslagen. Personuppgiftslagen innehåller därvid vissa grundläggande krav som alltid måste uppfyllas vid behandlingen av personuppgifter (se 9 §). Datainspektionen har uttalat att för användningen av whistle- blowingssystem måste följande krav vara uppfyllda: 31 Behandlingen får inte vara i strid med svensk arbetsrättslig lag- stiftning eller gällande kollektivavtal. Behandlingen måste vara i enlighet med god sed på svensk arbetsmarknad. 30Se Datainspektionens vägledning s. 11. 31Se Datainspektionens vägledning s. 8. System och skydd för visselblåsare Systemet måste inrättas på ett sådant sätt att det inte finns risk för att fler personuppgifter än vad som är nödvändigt eller relevant med hänsyn till ändamålet behandlas, eller att känsliga person- uppgifter behandlas i strid med personuppgiftslagen. Uppgifter som samlas in och bevaras måste vara riktiga, adekvata och relevanta. Det innebär att bolaget skyndsamt kan behöva göra en första granskning och bedömning av de inkomna uppgifterna. Uppgifter får inte bevaras än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. En anmälan som befinns vara ogrundad bör tas bort . Om en anmälan leder till utredning bör uppgifterna tas bort när utredningen är avslutad eller, om utredningen leder till åtgärder mot den registrerade, när uppgifterna inte längre behövs för detta ändamål. Dessa krav kan jämföras med Europeiska Datatillsynsmannens yttrande över kommissionens förslag till direktivet.32 I yttrandet anges att berörda organ i så stor utsträckning som möjligt ska begränsa vilka personer som kan pekas ut, vilka överträdelser som kan rapporteras och att det ska införas begränsningar om hur länge uppgifterna bevaras. I det yttrande som avgetts av den s.k. artikel 29-gruppen anges att de personuppgifter som behandlas av ett system ska raderas snabbt och normalt efter det att de påståenden som framförs i anmälan har undersökts. Om uppgiften bedöms vara grundlös, ska den raderas omedelbart.33 Personuppgiftslagen innebär därutöver vissa särskilda krav för det fall att personuppgifter överförs till tredje land (se 33–35 §§)34 och krav på den personuppgiftsansvarige att vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder för att skydda personuppgifterna (se 30–31 §§).35 I fråga om enskildas rätt att få information om registrerade uppgifter bör noteras att om uppgifter om en person samlas in från 32Yttrande från Europeiska Datatillsynsmannen över kommissionens förslag till och rådets direktiv om behörighet att utöva verksamhet i kreditinstitut och om tillsyn av kreditinstitut och värdepappersföretag samt kommissionens förslag till och rådets förordning om tillsynskrav för kreditinstitut och värdepappersföretag (2012/C 175/01). 33Se Yttrande 1/2006 om tillämpningen av om uppgiftsskydd på interna system för uppgiftslämnande inom bokföring m.m. s. 12. 34Se mer om detta /tredje land. 35För mer information om säkerhet, se Datainspektionens allmänna råd Säkerhet för personuppgifter . System och skydd för visselblåsare någon annan källa än den registrerade, ska den registrerade få informa- tion från den personuppgiftsansvarige i enlighet med bestämmelserna i 24–25 §§ personuppgiftslagen.36 Av 26 § samma lag följer även en rätt för den som begär det att få information om det finns uppgifter registrerade om honom eller henne inklusive information om varifrån uppgifterna har hämtats. Bestämmelserna i 24–26 §§ gäller emellertid inte om det i en lag eller någon annan författning eller i ett beslut som har meddelats med stöd av en författning är särskilt föreskrivet att uppgifter inte får lämnas ut till den registrerade (se 27 §).37 Informationsskyldigheten kan i vissa fall innebära att en registrerad har rätt att ta del av uppgifter om sig själv i handlingar som inte är allmänna och således inte omfattas av offentlighetsprincipen.38 Regler om sekretess och tystnadsplikt går således före informations- skyldigheten. Rätten att underlåta att ge ut information till den registrerade med stöd av sekretesslagen gäller även för en person- uppgiftsansvarig som inte är en myndighet. Det finns således både praxis och vägledning i fråga om vilka krav som gäller för att det ska vara tillåtet för företag att behandla personuppgifter inom ramen för ett rapporteringssystem. Som framgått innebär regleringen begränsningar för vilka uppgifter som får behandlas inom ramen för system för visselblåsare. Frågan bör därför ställas om regleringen är förenlig med vad som följer av artikel 71.1 i direktivet. Denna bestämmelse ställer nämligen krav på medlemsstaterna att införa system för att uppmuntra rapportering av potentiella och faktiska överträdelser av de regler som följer av CRR och nationella bestämmelser som antagits för att genomföra direktivet, utan att begränsa rapporteringen till att avse en begränsad personkrets eller för att utreda om det är fråga om sådana allvarliga oegentligheter som omnämns i Datainspektionens föreskrifter. Artikel 71 skulle således kunna uppfattas som att den ställer krav på att avse fler överträdelser än vad som är tillåtet enligt Datainspektionens föreskrifter. Dessa föreskrifter har emellertid utformats mot bakgrund av det skydd för personuppgifter som följer av dataskyddsdirektivet och i enlighet med vad som rekommenderats av artikel 29-gruppen. Behandlingen av personuppgifter inom ramen för de system som föreskrivs i CRD 4 ska också utformas i enlighet med vad som följer av dataskyddsdirektivet. 36Vad informationen bör innehålla framgår av Datainspektionens vägledning Ansvaret för personuppgifter som hanteras i system för whistleblowing s. 9. 37Se även prop. 1997/98:44 s. 80. 1997/98:44 s. 84. System och skydd för visselblåsare föreskrifter bör därför vara förenliga med de krav som följer av artikel 71. Av yttrande över artikel 71 ställs också krav på att berörda organ i så stor utsträckning ska begränsa vilka anmälningar som omhändertas inom ramen för dylika system. Artikel 71 utgör dessutom, som ovan konstaterats, endast en rambestämmelse. Det är tveksamt om den ska anses innefatta krav på inrättande av system som utan urskillning omhändertar samtliga potentiella överträdelser av regelverket. Artikel 71 kan å andra sidan inte ses som ett hinder för att ta emot anmälningar som innehåller andra typer av överträdelser än sådana som avses i Datainspektionens föreskrifter. Ett mottagande och omhänder- tagande av anmälningar som inte omfattas av Datainspektionens föreskrifter, får emellertid inte omhändertas på ett sätt som innebär behandling av personuppgifter enligt personuppgiftslagen. Den personuppgiftsansvarige måste därför skyndsamt göra en första granskning av inkomna uppgifter med syfte att ta bort sådana anmälningarna som inte får behandlas inom ramen för det särskilda rapporteringssystemet. Givetvis är det på förhand svårt att avgöra om uppgifter som framkommer inom ramen för ett rapporteringssystem i slutändan verkligen kommer leda till en utredning om allvarliga oegentligheter eller brott. Det viktiga är dock att den personuppgiftsansvarige inte får ha för avsikt att utreda annat än sådana överträdelser som upptas i Datainspektionens föreskrifter, det vill säga allvarliga oegentligheter m.m. Val av rapporteringssystem och metoder för att omhänderta inkomna anmälningar inverkar således på vilken typ av anmälningar som får omhändertas inom ramen för ett särskilt inrättat system. Det kan därför finnas fördelar med att inrätta system som inte innebär någon form av automatiserad personuppgiftsbehandling. När det gäller själva utformningen av system för visselblåsare kan viss ledning sökas i ICC:s riktlinjer om skydd för whistleblowers. Riktlinjerna förordar att det ska vara upp till varje enskilt företag att besluta vilken typ av kommunikationskanal (muntlig, skriftlig, telefonbaserad eller datorbaserad) som den vill använda sig av. Vidare bör systemen anpassas efter företagets storlek och resurser och ha som målsättning att kunna ta emot och besvara alla rimliga förfrågningar om råd och vägledning rörande affärsetiska frågor och andra etiska bekymmer som lyfts fram av både anställda och externa aktörer, och i ett så tidigt skede som möjligt ta emot och hantera rapporter från anställda och externa aktörer om någon som helst faktiskt eller misstänkt förekomst av ett brott av tillämpliga System och skydd för visselblåsare lagar etc. som allvarligt kan skada företaget eller koncernen. Riktlinjerna innehåller också anvisningar om vem som bör ansvara för förvaltningen av systemen, varvid förordas att ansvaret bör åläggas personal med odiskutabelt anseende och betydande arbetslivs- erfarenhet, där en del av arrangemanget får bestå av externa företag som specialiserat sig på mottagande av anmälningar från visselblåsare. Riktlinjerna anmodar företagen att uppgifter om identiteten på den som slår larm och den som anmälaren avser ska behandlas kon- fidentiellt. Rapporter ska under strikta sekretessgarantier följas upp av lämpliga personer eller enheter inom företaget, och resultatet av undersökningen bör så snart det är lämpligt kommuniceras med den som gjort anmälan. Även den eller de personer vars beteende det rapporterats om ska informeras om huvuddragen i det pågående förfarandet och beredas tillfälle att försvara sig. En rapport ska dock lämnas utan avseende om den inte lämnats i god tro. ICC:s riktlinjer och Datainspektionens föreskrifter skiljer sig åt på vissa punkter. ICC:s riktlinjer förordar att företagen själva ska besluta om rapporteringen inom systemet ska vara obligatorisk eller inte, medan Datainspektionen kräver att användningen av systemen måste vara frivillig. Riktlinjerna förordar inte heller en användning som begränsar sig till en viss typ av missförhållanden och viss typ av brottslighet, även om ICC:s riktlinjer upptar oegentligheter som allvarligt kan skada företaget eller koncernen. Utredarens bedömning: Artikel 71.3 bör genomföras genom att det i institutens rörelselagstiftning införs ett krav på instituten att tillhandahålla ändamålsenliga rapporteringssystem för anställda som vill göra anmälningar om överträdelser av det finansiella regel- verket. Systemen ska vara särskilda, fristående och autonoma. Det bör ankomma på instituten att själva avgöra vilken typ av rapporteringskanal som de vill inrätta. Även ett muntligt rapporterings- förfarande bör därmed tillåtas. I enlighet med de riktlinjer som utarbetats av ICC bör dock det system som väljs vara anpassat efter företagets storlek och resurser. För institut med omfattande verksamhet ska således ställas större krav, jämfört med institut med mindre omfattande verksamhet (jämför 6 kap. 4 a § LBF och 8 kap. 6 § LVM). Oavsett vilket rapporteringsförfarande som används ska undersökningen av lämnade uppgifter ske på ett proportionerligt och oberoende sätt, vilket får anses innefatta krav på att det sker ett lämpligt urval av vilka personer som ges i uppgift att hantera systemet och följa upp gjorda anmälningar. Om det system som används innebär en behandling av personuppgifter enligt person- System och skydd för visselblåsare uppgiftslagen, måste systemen uppfylla och användas i enlighet med de krav som följer av den lagen och Datainspektionens föreskrifter på området. Anställda bör, för att minska risken för ett felaktigt användande av valda system, erhålla information om för vilka syften som inrättade system är avsedda att användas för. Tillsynen över att instituten efterlever dessa krav ankommer dock inte på utan på Datainspektionen. 12.3.6Skydd för anmälarens identitet Utredarens förslag: Offentlighets- och sekretesslagen ska kom- pletteras med ett absolut sekretesskydd för uppgifter som avslöjar en anmälares identitet. Tystnadsplikten ska ha företräde framför meddelarfriheten. Sekretessen bör gälla högst . Nuvarande bestämmelse om sekretess i 1 kap. 10 § lagen (2004:297) om bank- och finansieringsrörelse och 1 kap. 11 § lagen (2007:528) om värdepappersmarknaden ska utvidgas i motsvarande mån. Skälen för utredarens förslag: I artikel 71.2 d ställs krav på medlemsstaterna att införa regler som säkerställer att identiteten på den person som rapporterar en överträdelse inte röjs. Ett sådant skydd behöver inte erbjudas om det med stöd av nationell rätt krävs att identitetsuppgifterna röjs för att kunna utreda överträdelsen vidare eller överlämna ärendet för en rättslig process. Enligt artikel 71.3 ska de interna rapporteringssystemen ha samma identitetsskydd som gäller om anmälan ges in till myndighet. Ett skydd för anmälarens identitet kan uppnås på två sätt: antingen genom att föreskriva att den som anmäler ska uppge sitt namn men därefter erbjuda ett skydd för att anmälarens identitet inte röjs (sekretesskydd), eller genom att ställa krav på anonyma anmälningar. Den så kallade artikel 29-gruppen har i sin rapport belyst bland annat frågan om anonyma rapportörer i förhållande till direktivets krav om en korrekt behandling av personuppgifter. I rapporten anförs att anonymitet ofta inte utgör hinder mot att ändå räkna ut vem som står bakom rapporten, men medför att det blir svårare att skydda personen i fråga mot repressalier. Anonyma rapporter kan även leda till att rapporten snarare väcker intresse om vem som lämnat rapporten, i stället för att ta sikte på det som anmälan System och skydd för visselblåsare Sådana förfaranden medför även risk för att det skapas en kultur med anonyma, illvilliga rapporter, där det sociala klimatet inom företaget riskerar försämras till följd av att anställda vet att anonyma rapporter om dem när som helst kan lämnas genom systemet. Dessutom leder anonymitet till särskilda utredningssvårigheter. Arbetsgruppen anser därför att whistleblowingssystem som huvud- regel ska behandla endast namngivna rapporter. Skyddet för enskilda bör i stället tillgodoses genom garantier om att identiteten kommer behandlas konfidentiellt och inte lämnas ut till tredje part. Gruppen framhåller att det i och för sig inte bör föreligga något förbud mot anonyma rapporter, men system bör inte marknadsföras såsom att detta är tillåtet samt att den som vill lämna sin anmälan anonymt bör göras medveten om att dess identitet kan komma att röjas i ett senare skede av förfarandet. Artikel 29-gruppens slutsatser talar för att skydd för identitetsuppgifter bör genomföras genom bestämmelser om sekretess. Utredaren ser inte skäl för att göra en annan bedömning än vad som framkommit i artikel 29-gruppens rapport och anser att artikel 71.2 d bör genomföras genom bestämmelser om sekretess. Skydd för identiteten hos En anmälan som en enskild lämnar in till blir en allmän handling hos myndigheten. Uppgifterna i en sådan handling kan beläggas med sekretess i den omfattning som anges i offentlighets- och sekretesslagen (OSL). Nuvarande bestämmelser om sekretess för uppgifter som framkommer i inspektionens tillsyns- verksamhet erbjuder inte något skydd en anmälares identitet utom i de fall som den som gör anmälan trätt i affärsförbindelse eller liknande förbindelse med institutet i fråga (se 30 kap. 4 § 2 OSL) eller om uppgifterna lämnas i samband med en viss typ av ärende för vilket det finns särskilda bestämmelser om sekretess (se 30 kap. 5 och 6 §§ OSL). Bestämmelser om skydd för anmälare har däremot införts inom sjukvården och (se 25 kap. 7 § och 26 kap. 5 § OSL). Frågan om sekretess ska gälla eller inte och sekretessens räckvidd och styrka är alltid en avvägning mellan olika intressen och lagstiftning bör inte införas som onödigt avlägsnar sig från den grundlagsfästa offentlighetsprincipen. Som en genomgående princip i svensk rätt gäller därför att sekretess bör gälla endast i den omfattning som är System och skydd för visselblåsare nödvändigt för att skydda det intresse som ligger till grund för bestämmelsen. I förevarande fall ställer direktivet tydliga krav om att en anmälares identitet ska vara föremål för sekretess. Sekretessens räckvidd är begränsad till den myndighet som tar emot anmälan (). Sekretess bör därför införas till skydd för sådana uppgifter som framkommer i en anmälan till om överträdelser av det finansiella regelverket som på något sätt kan avslöja vem anmälaren är. Sekretessen bör alltså kunna omfatta även andra uppgifter än anmälarens namn, under förutsättning att uppgifterna kan avslöja vem anmälaren är. I fråga om sekretessens styrka kan följande konstateras. Enligt svensk rätt bestäms sekretessen i regel med hjälp av så kallade skaderekvisit, där man skiljer på raka och omvända skaderekvisit. Vid raka skaderekvisit är utgångspunkten att uppgifterna är offentliga och att sekretess bara gäller om det kan antas att viss skada uppstår om uppgifterna lämnas ut. Vid det omvända skaderekvisitet är utgångs- punkten den omvända, det vill säga att uppgifterna omfattas av sekretess, men får lämnas ut om det står klart att uppgiften kan röjas utan att viss skada uppstår. Sekretessen enligt en viss bestämmelse kan även vara absolut, vilket innebär att de uppgifter som är föremål för sekretess ska hemlighållas utan någon skadeprövning om uppgifterna begärs ut. Genom att använda sig av olika skaderekvisit säkerställs att uppgifter inte beläggs med mer sekretess än vad som är oundgängligt nödvändigt för att skydda det intresse som har föranlett bestämmelsen. I skälen till direktivet anges att anställda som anmäler oegentlig- heter ska erhålla ett skydd och ha full anonymitet (se skäl 59). Den närmare innebörden av full anonymitet anges inte. Datatillsynsmannen har i yttrande över artikel 71 såsom den utformades i kommissionens förslag till direktiv uttalat att anmälare bör garanteras att deras identitet behandlas med sekretess, särskilt i förhållande till den person som utpekats som skyldig till det som anmälan avser. Enligt Europeiska Datatillsynsmannen bör sekretess för uppgiftslämnaren garanteras i alla faser av förfarandet så länge som detta inte strider mot nationella regler för rättsliga förfaranden.39 Artikel 29-gruppen har anfört att den som anklagas i en rapport på inga villkor ska kunna få information om anmälarens identitet, såvida det inte är fråga om att anmälaren uppsåtligen lämnat oriktiga 39 Se Europeiska datatillsynsmannen yttrande s. 6 System och skydd för visselblåsare