prop · H103228 · 2014-05-12 00:00:00 — Som framgått innebär regleringen begränsningar för vilka uppgifter som får behandlas inom ramen för system för visselblåsare. Frågan bör därför ställas om regleringen är förenlig med vad som följer av artikel 71.1 i direktivet. Denna bestämmelse ställer nämligen krav på medlemsstaterna att införa system för att uppmuntra rapportering av potentiella och faktiska överträdelser av de regler som följer av tillsynsförordningen och nationella bestämmelser som antagits för att genomföra direktivet, utan att begränsa rapporteringen till att avse en begränsad personkrets eller för att utreda om det är fråga om sådana allvarliga oegentligheter som omnämns i Datainspektionens föreskrifter. Artikel 71 skulle således kunna uppfattas som att den ställer krav på att avse fler överträdelser än vad som är tillåtet enligt Datainspektionens föreskrifter. ifrågasätter om ett system som är öppet för alla typer av överträdelser och där en anmälan kan rikta sig mot vem som helst inom institutet i sig uppfyller Datainspektionens föreskrifter om undantag från förbudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser m.m. Datainspektionens föreskrifter har utformats mot bakgrund av det skydd för personuppgifter som följer av dataskyddsdirektivet och i enlighet med vad som rekommenderats av artikel 29-gruppen. Be- handlingen av personuppgifter inom ramen för de system som föreskrivs i kapitaltäckningsdirektivet ska också utformas i enlighet med vad som följer av dataskyddsdirektivet. Enligt regeringens mening bör därför Datainspektionens föreskrifter vara förenliga med de krav som följer av artikel 71. Av yttrande över artikel 71 ställs också krav på att berörda organ i så stor utsträckning som möjligt ska begränsa vilka anmälningar som omhändertas inom ramen för dylika system. Artikel 71 utgör dessutom endast en rambestämmelse. Det är tveksamt om den ska anses innefatta krav på inrättande av system som utan urskillning omhändertar samtliga potentiella överträdelser av regelverket. Artikel 71 kan å andra sidan inte ses som ett hinder för att ta emot anmälningar som innehåller andra typer av överträdelser än sådana som avses i Datainspektionens föreskrifter. Ett mottagande och omhändertagande av anmälningar som inte omfattas av Datainspektionens föreskrifter, får emellertid inte omhändertas på ett sätt som innebär behandling av personuppgifter enligt personuppgiftslagen. Den personuppgiftsansvarige måste därför skyndsamt göra en första granskning av inkomna uppgifter med syfte att ta bort sådana anmälningarna som inte får behandlas inom ramen för det särskilda rapporteringssystemet. Givetvis är det på förhand svårt att avgöra om uppgifter som framkommer inom ramen för ett rapporteringssystem i slutändan verkligen kommer leda till en utredning om allvarliga oegentligheter eller brott. Det viktiga är dock att den personuppgiftsansvarige inte får ha för avsikt att utreda annat än sådana överträdelser som upptas i Datainspektionens föreskrifter, dvs. Val av rapporteringssystem och metoder för att omhänderta inkomna anmälningar inverkar således på vilken typ av anmälningar som får omhändertas inom ramen för ett särskilt inrättat system. När det gäller själva utformningen av system för visselblåsare kan viss ledning sökas i ICC:s riktlinjer (ICC Guidelines on whistleblowing). Riktlinjerna förordar att det ska vara upp till varje enskilt företag att besluta vilken typ av kommunikationskanal (muntlig, skriftlig, telefonbaserad eller datorbaserad) som den vill använda sig av. Vidare bör systemen anpassas efter företagets storlek och resurser och ha som målsättning att kunna ta emot och besvara alla rimliga förfrågningar om råd och vägledning rörande affärsetiska frågor och andra etiska bekymmer som lyfts fram av både anställda och externa aktörer, och i ett så tidigt skede som möjligt ta emot och hantera rapporter från anställda och externa aktörer om någon som helst faktiskt eller misstänkt förekomst av ett brott av tillämpliga lagar etc. som allvarligt kan skada företaget eller koncernen. Riktlinjerna innehåller också anvisningar om vem som bör ansvara för förvaltningen av systemen, varvid förordas att ansvaret bör åläggas personal med odiskutabelt anseende och betydande arbetslivserfarenhet, där en del av arrangemanget får bestå av externa företag som specialiserat sig på mottagande av anmälningar från visselblåsare. Riktlinjerna ställer krav på företagen att behandla uppgifter om identiteten på den som slår larm och den som anmälaren avser konfidentiellt. Rapporter ska under strikta sekretessgarantier följas upp av lämpliga personer eller enheter inom företaget, och resultatet av undersökningen bör så snart det är lämpligt kommuniceras med den som gjort anmälan. Även den eller de personer vars beteende det rapporterats om ska informeras om huvuddragen i det pågående förfarandet och beredas tillfälle att försvara sig. En rapport ska dock lämnas utan avseende om den inte lämnats i god tro. ICC:s riktlinjer och Datainspektionens föreskrifter skiljer sig åt på vissa punkter. ICC:s riktlinjer förordar att företagen själva ska besluta om rapporteringen inom systemet ska vara obligatorisk eller inte, medan Datainspektionen kräver att användningen av systemen måste vara frivillig. Riktlinjerna förordar inte heller en användning som begränsar sig till en viss typ av missförhållanden och viss typ av brottslighet, även om ICC:s riktlinjer upptar oegentligheter som allvarligt kan skada företaget eller koncernen. och efterfrågar ett förtydligande av begreppet finansiella regelverk i utredningens förslag. Regeringen instämmer i remissinstansernas bedömning att begreppet finansiella regelverk är otydligt och därför bör undvikas. I artikel 71.2 d ställs krav på medlemsstaterna att införa regler som säkerställer att identiteten på den person som rapporterar en överträdelse inte röjs. Av direktivet följer att det är rapportering av överträdelser av bestämmelser i tillsynsförordningen och bestämmelser som genomför kapitaltäckningsdirektivet som avses. Det är emellertid svårt att avgränsa regleringen till enbart anmälningar och utsagor som rör överträdelser av bestämmelser direkt knutna till kapitaltäckningsdirektivet och tillsynsförordningen. Regeringen väljer därför att beskriva det regelområde som överträdelserna kan vara hänförliga till på ett bredare sätt så att det omfattar överträdelser av bestämmelser som gäller för institutets verksamhet. Besvärliga gränsdragningsproblem kan därigenom undvikas. medför det ett både tydligare och säkrare skydd för anmälaren. Enligt regeringens mening bör artikel 71.3 i kapitaltäckningsdirektivet genomföras genom att det i institutens rörelselagstiftning införs ett krav på instituten att tillhandahålla ändamålsenliga rapporteringssystem för anställda som vill göra anmälningar om överträdelser av bestämmelse som gäller för verksamheten som begåtts av institutet. anför att förhållandet mellan kraven i såväl personuppgiftslagen som kravet på att inrätta ändamålsenliga system måste klargöras så att ramarna för de rapporteringssystem som ska 2013/14:228 inrättas tydligt framgår. Såsom framgår ovan ställer direktivet inte upp några krav i fråga om vilken typ av rapporteringssystem som instituten ska inrätta. Systemen ska dock vara särskilda, fristående och autonoma. Enligt regeringens mening är det därför upp till varje institut att själva avgöra vilken typ av rapporteringskanal som de vill inrätta och som är ändamålsenliga för just deras verksamhet. Instituten har dock att förhålla sig till bestämmelserna i personuppgiftslagen och Datainspektionens föreskrifter. I enlighet med de riktlinjer som utarbetats av ICC bör även det system som väljs vara anpassat efter företagets storlek och resurser. För institut med omfattande verksamhet ska således ställas större krav, jämfört med institut med mindre omfattande verksamhet (jfr 6 kap. 4 a § lagen [2004:297] om bank- och finansieringsrörelse och 8 kap. 6 § lagen [2007:528] om värdepappersmarknaden). Oavsett vilket rapporteringsförfarande som används ska undersökningen av lämnade uppgifter ske på ett proportionerligt och oberoende sätt, vilket får anses innefatta krav på att det sker ett lämpligt urval av vilka personer som ges i uppgift att hantera systemet och följa upp gjorda anmälningar. Om det system som används innebär en behandling av personuppgifter enligt personuppgiftslagen, måste systemen uppfylla och användas i enlighet med de krav som följer av den lagen och Datainspektionens föreskrifter på området. Anställda bör, för att minska risken för ett felaktigt användande av valda system, erhålla information om för vilka syften som inrättade system är avsedda att användas för. Tillsynen över att instituten efterlever dessa krav ankommer dock inte på utan på Datainspektionen. och anser att direktivets krav på visselblåsarsystem måste anpassas till både arbetsrättslig- och skatterättslig reglering. Inom ramen för detta lagstiftningsärende görs inga bedömningar vad gäller skatterättslig reglering. I fråga om arbetsrättsliga överväganden hänvisas till avsnitt 12.1.2. 12.1.5Skydd för anmälarens identitet Regeringens förslag: En bestämmelse ska tas in i offentlighets- och sekretesslagen om att sekretess ska gälla i en statlig myndighets verksamhet som består i tillståndsgivning eller tillsyn för uppgifter i en anmälan eller utsaga om överträdelse av bestämmelse som gäller för den som myndighetens verksamhet avser, om uppgiften kan avslöja anmälarens identitet. Tystnadsplikten som följer av den nya sekretessbestämmelsen ska ha företräde framför meddelarfriheten. Sekretessen ska gälla i högst . Nuvarande bestämmelser om sekretess i lagen om bank- och finansieringsrörelse och lagen om värdepappersmarknaden ska utvidgas till att omfatta uppgifter i en anmälan eller en utsaga om en misstänkt överträdelse av en bestämmelse som gäller för verksamheten, om uppgiften kan avslöja anmälarens identitet. Utredningens förslag överensstämmer med regeringens förslag. Remissinstanserna: Flertalet remissinstanser tillstyrker förslaget eller har inget att invända mot det. tillstyrker att ett relevant skydd införs för anmälare. ställer sig dock frågande till bedömningen om absolut sekretess och undantag från meddelarfriheten. Detta synes bygga på en tolkning av kravet på att medlemsstaterna ska säkerställa att uppgifterna inte röjs. anser vidare att det vore positivt om förhållandet mellan det föreslagna skyddet och exempelvis reglerna om tystnadsplikt i lagen (2005:377) om straff för marknadsmissbruk vid handel med finansiella instrument kunde utvecklas närmare. Skälen för regeringens förslag: I artikel 71.2 d i kapitaltäckningsdirektivet ställs krav på medlemsstaterna att införa regler som säkerställer att identiteten på den person som rapporterar en överträdelse inte röjs. Av direktivet följer att det är rapportering av överträdelser av bestämmelser som genomför kapitaltäckningsdirektivet och överträdelser av tillsynsförordningen som avses (artikel 71.1). Ett sådant skydd behöver inte erbjudas om det med stöd av nationell rätt krävs att identitetsuppgifterna röjs för att kunna utreda överträdelsen vidare eller överlämna ärendet för en rättslig process. Enligt artikel 71.3 ska de interna rapporteringssystemen ha samma identitetsskydd som gäller om anmälan ges in till en myndighet. Ett skydd för anmälarens identitet kan uppnås på två sätt: antingen genom att föreskriva att den som anmäler ska uppge sitt namn men därefter erbjuda ett skydd för att anmälarens identitet inte röjs (sekretesskydd), eller genom att ställa krav på anonyma anmälningar. Den s.k. artikel 29-gruppen har i sin rapport belyst bl.a. frågan om anonyma rapportörer i förhållande till direktivets krav om en korrekt behandling av personuppgifter. Arbetsgruppen anser att visselblåsarsystem som huvudregel ska behandla endast rapporter där anmälarnas namn framgår. Skyddet för enskilda bör i stället tillgodoses genom garantier om att identiteten kommer behandlas konfidentiellt och inte lämnas ut till tredje part. Gruppen framhåller att det i och för sig inte bör föreligga något förbud mot anonyma rapporter, men system bör inte marknadsföras såsom att detta är tillåtet samt att den som vill lämna sin anmälan anonymt bör göras medveten om att dess identitet kan komma att röjas i ett senare skede av förfarandet. Artikel 29-gruppens slutsatser talar för att skydd för identitetsuppgifter bör genomföras genom bestämmelser om sekretess. Regeringen ser inte skäl att göra någon annan bedömning än vad som framkommit i artikel 29-gruppens rapport och anser att artikel 71.2 d i kapitaltäckningsdirektivet bör genomföras genom att det införs nya bestämmelser om sekretess i befintlig lagstiftning. Skydd för identiteten hos En anmälan som en enskild lämnar in till blir en allmän handling hos myndigheten. Uppgifterna i en sådan handling kan beläggas med sekretess i den omfattning som anges i offentlighets- och sekretesslagen (2009:400), förkortad OSL. Nuvarande bestämmelser om sekretess för uppgifter som i inspektionens tillsynsverksamhet erbjuder inte något skydd för en anmälares identitet utom i de fall som den som gör anmälan trätt i affärsförbindelse eller liknande förbindelse med institutet i fråga (se 30 kap. 4 § 2 OSL) eller om uppgifterna lämnas i samband med en viss typ av ärende för vilket det finns särskilda bestämmelser om sekretess (se 30 kap. 5 och 6 §§ OSL). Frågan om sekretess ska gälla eller inte och sekretessens räckvidd och styrka är alltid en avvägning mellan olika intressen och lagstiftning bör inte införas som onödigt avlägsnar sig från den grundlagsfästa offentlighetsprincipen. Som en genomgående princip i svensk rätt gäller därför att sekretess bör gälla endast i den omfattning som är nödvändigt för att skydda det intresse som ligger till grund för bestämmelsen. I förevarande fall ställer direktivet tydliga krav om att en anmälares identitet ska vara föremål för sekretess. Sekretessens räckvidd är begränsad till den myndighet som tar emot anmälan (). Enligt regeringens mening bör därför sekretess införas till skydd för sådana uppgifter som framkommer i en anmälan till om överträdelse av bestämmelse som gäller för den som myndighetens verksamhet avser, som på något sätt kan avslöja vem anmälaren är. Sekretessen bör alltså kunna omfatta även andra uppgifter än anmälarens namn, under förutsättning att uppgifterna kan avslöja vem anmälaren är. När det övervägs att införa en ny sekretessbestämmelse i OSL ska det alltid göras en avvägning mellan sekretessintresset och insynsintresset (prop. 1979/80:2 Del A s. 75 f.). När skälen för att införa en sekretessbestämmelse anses väga tyngre än insynsintresset kommer avvägningen mellan skyddsintresset och allmänhetens intresse av insyn normalt till uttryck genom att sekretessbestämmelsen förses med ett skaderekvisit. Vid raka skaderekvisit är utgångspunkten att uppgifterna är offentliga och att sekretess bara gäller om det kan antas att viss skada uppstår om uppgifterna lämnas ut. Vid det omvända skaderekvisitet är utgångspunkten den omvända, dvs. att uppgifterna omfattas av sekretess, men får lämnas ut om det står klart att uppgiften kan röjas utan att viss skada uppstår. Sekretessen enligt en viss bestämmelse kan även vara absolut, vilket innebär att de uppgifter som är föremål för sekretess ska hemlighållas utan någon skadeprövning om uppgifterna begärs ut. Genom att använda sig av olika skaderekvisit säkerställs att uppgifter inte beläggs med mer sekretess än vad som är oundgängligt nödvändigt för att skydda det intresse som har föranlett bestämmelsen. ifrågasätter om direktivet ska tolkas på så sätt att medlemsstaterna ska säkerställa att uppgifterna inte röjs. 2 d föreskriver tydliga regler som under alla omständigheter ser till att konfidentialiteten för den person som rapporterar om överträdelser begångna inom institutet garanteras, såvida inte offentliggörande i enlighet med nationell lagstiftning krävs i samband med ytterligare utredningar eller efterföljande rättsliga förfaranden. Enligt Europeiska Datatillsynsmannen bör sekretess för uppgiftslämnaren garanteras i alla faser av förfarandet så länge som detta inte strider mot nationella regler för rättsliga förfaranden. Artikel 29- gruppen har anfört att den som anklagas i en rapport på inga villkor ska kunna få information om anmälarens identitet, såvida det inte är fråga om att anmälaren uppsåtligen lämnat oriktiga uppgifter. vara att för uppgifterna i fråga ska sekretess gälla utan hänsyn till om en Prop. 2013/14:228 enskild faktiskt kan anses lida skada eller men om uppgiften lämnas ut. Syftet med att införa ett visselblåsarsystem är att eventuella oegentligheter som påvisas inom instituten ska komma fram. För att uppnå ett effektivt och ändamålsenligt system är det därför angeläget att säkerställa att anmälarens identitet inte röjs. Enligt regeringens mening är det därför inte tillräckligt att tillförsäkra uppgifterna sekretess beroende på utfallet av en s.k. skadeprövning, där hänsyn tas till om ett utlämnande av uppgifterna kommer leda till att någon enskild lider skada eller men. För att kunna garantera anmälarens konfidentialitet bör därför absolut sekretess införas. Det innebär att uppgifterna i fråga inte får lämnas ut ens för det fall att det står klart att anmälaren inte kommer lida men om uppgifterna röjs. Om anmälan utreds vidare och leder till ett ärende hos eller en annan myndighet eller domstol, kan dock sekretesskyddet ge vika till följd av den rätt till insyn i ett mål eller ärende som tillkommer en part enligt processrättsliga regler. Enligt 10 kap. 3 § OSL kan en enskild, som på grund av sin partsställning har rätt till insyn i handläggningen, förvägras att ta del av en handling eller annat material i målet eller ärendet endast om det av hänsyn till allmänt eller enskilt intresse är av synnerlig vikt att en sekretessbelagd uppgift i materialet inte röjs. Det blir i sådana fall fråga om att röja en anmälares identitet för att i enlighet med nationella bestämmelser kunna utreda en överträdelse vidare eller överlämna ärendet för en rättslig process, vilket medför att bestämmelsen är förenlig med artikel 71. Rätten att meddela och offentliggöra uppgifter Sekretess innebär både ett förbud att röja en uppgift, vare sig det sker muntligt eller genom utlämnande av allmän handling eller på annat sätt (3 kap. 1 § OSL). Sekretess innebär således både handlingssekretess och tystnadsplikt. Den rätt att meddela och offentliggöra uppgifter som följer av 1 kap. 1 § tryckfrihetsförordningen och 1 kap. 1 och 2 §§ yttrandefrihetsgrundlagen har som regel företräde framför tystnadsplikten. Det kan således vara tillåtet att muntligen lämna en uppgift till media eller själv publicera uppgiften trots att uppgiften är belagd med sekretess, trots att det alltjämt föreligger förbud mot att lämna ut den handling där den sekretessbelagda uppgiften framgår. Bestämmelser om tystnadsplikt kan dock genom föreskrifter i OSL ges företräde framför rätten att meddela och offentliggöra uppgifter. Meddelarfriheten har sin grund i att de vanliga sekretessbestämmelserna ger uttryck för ganska allmänna avvägningar mellan insyns- och sekretessintressena på de berörda områdena (prop. 1979/80:2 Del A s. 104). Det finns således större anledning att överväga undantag från meddelarfriheten i fråga om sekretessregler utan skaderekvisit och sådana som gäller med ett omvänt skaderekvisit än i andra fall (a. prop. har uttalat att som grundprincip bör stor återhållsamhet iakttas vid prövning av om undantag från meddelarfriheten ska göras i ett särskilt fall (se yttrande 2012/13:KU3y s. 5). Syftet med visselblåsarsystem är att möjliggöra för samtlig personal att utan rädsla för repressalier kunna rapportera om allvarliga händelser begångna inom institutet. För att uppnå detta syfte är det nödvändigt att garantera konfidentialiteten för anmälaren. Enligt regeringens mening krävs det därför att tystnadsplikten ges företräde framför meddelarfriheten. anser att det vore positivt om förhållandet mellan det föreslagna skyddet och reglerna om tystnadsplikt i lagen om straff för marknadsmissbruk vid handel med finansiella instrument kunde utvecklas. Enligt 7 § i den lagen kan den som uppsåtligen röjer information som han eller hon inser eller borde inse är insiderinformation dömas för obehörigt röjande av insiderinformation utom i de fall då röjandet sker som ett normalt led i fullgörande av tjänst, verksamhet eller åliggande. Enligt regeringens mening bör lämnandet av uppgifter som kan antas vara insiderinformation inom ramen för system för visselblåsning inte utgöra ett obehörigt röjande av insiderinformation. Sekretesstid och sekretessbestämmelsens placering De flesta bestämmelser om sekretess brukar begränsas i tiden. I arbetsrelaterade förhållanden brukar sekretessen gälla i högst (se t.ex. 28 kap. 11, 13 och 14 §§ OSL). Den nya bestämmelsen om sekretess bör gälla , dvs. Grunden för det utvidgade sekretesskyddet är att erbjuda ett skydd för enskilda så att de uppmuntras att lämna tips om överträdelser av bestämmelse som gäller för den som myndighetens verksamhet avser (se skäl 61 i kapitaltäckningsdirektivet). Bestämmelsen bör hänföras till 30 kap. OSL om sekretess till skydd för enskild i verksamhet som avser tillsyn m.m. Skydd för enskildas personuppgifter hos instituten Regleringen i OSL om begränsningar av enskildas rätt att ta del av allmänna handlingar är inte direkt tillämpliga inom den privata sektorn. Sektorslagstiftningen innehåller i stället särskilda regler om sekretess och tystnadsplikt, som riktar sig mot instituten. I 1 kap. 10 och 11 §§ lagen (2004:297) om bank- och finansieringsrörelse, förkortad LBF finns bestämmelser om den s.k. banksekretessen. Banksekretessen gäller för uppgifter om enskildas förhållanden till kreditinstitut och innebär att sådana uppgifter inte får bli föremål för ett obehörigt röjande. Som obehörigt röjande avses inte att uppgifterna lämnas med stöd av lag eller om ett uppgiftslämnande krävs för att institutet ska kunna fullgöra kundens uppdrag eller om kunden lämnat samtycke till att institutet lämnar ut uppgifter om honom eller henne. Intern information inom banken som påkallas av bankens lojala intressen anses inte heller vara obehörigt röjande (se prop. 2002/03:139 s. 478 f). Sådan information får då lämnas endast till den eller de avdelningar eller till den personkrets där de behövs för verksamheten. Uppgifter om bankkunder får inte bli föremål för någon allmän information inom banken (se prop. 2002/03:139 s. 479). Skyddet ger även vika om det under en utredning enligt bestämmelserna om förundersökning i brottmål begärs av undersökningsledare eller om det i ett ärende om rättslig hjälp i brottmål på framställning av en annan stat eller en mellanfolklig domstol begärs av åklagare (se 1 kap. 11 § LBF). Överträdelse av bestämmelser om tystnadsplikt är som huvudregel straffbara enligt 20 kap. 3 § . I 1 kap. 10 § tredje stycket LBF anges dock att ansvar enligt 20 kap. 3 § inte ska följa för den som bryter mot banksekretessen. reglering om tystnadsplikt i 1 kap. 11 och 12 §§ lagen (2007:528) Bestämmelserna är utformade med bestämmelsen om banksekretess som förebild. För att säkerställa ett skydd för en anmälares identitet i enlighet med vad som avses i direktivet bör enligt regeringens mening bestämmelserna om sekretess för kreditinstitut och värdepappersbolag utvidgas till att omfatta uppgifter om enskildas personliga förhållanden som lämnas inom ramen för institutens särskilda rapporteringssystem och som på något sätt kan avslöja vem anmälaren är. I likhet med vad som gäller enligt nuvarande bestämmelse om sekretess, bör sekretesskyddet endast omfatta skydd för obehörigt röjande. Enligt regeringens mening bör ledning för hur det s.k. obehörighetsrekvisitet ska tillämpas kunna sökas utifrån det nuvarande obehörighetsrekvisitet.