prop · H103228 · 2014-05-12 00:00:00 — marknaden som upprätthålls genom Arbetsdomstolens praxis på området, 2013/14:228 bl.a. om att omplacering under vissa förhållanden kan underkastas en rättslig prövning som liknar prövningen vid uppsägning (s.k. bastubadarprincipen), ger visst skydd. Anställda i offentlig sektor har dessutom ett särskilt skydd om de använder sig av den grundlagsskyddade meddelarfriheten (se 3 kap. tryckfrihetsförordningen). Även enskildas rätt till yttrandefrihet enligt kan under vissa förutsättningar ge skydd mot repressalier för anställda som slagit larm om missförhållanden. Det har dock från flera håll lyfts fram behov av att ytterligare stärka skyddet för visselblåsare i . Regeringen gav en särskild utredare i uppdrag att generellt utreda frågan om skyddet för arbetstagare som slår larm om olika former av missförhållanden (dir. 2013:16). Utredarens förslag ska så långt som möjligt vara generellt utformade och kunna tillämpas på hela arbetsmarknaden och uppdraget är, till skillnad mot tidigare utredningar, inte begränsat till frågan om ett utvidgat meddelarskydd. Uppdraget ska redovisas . Svensk rätt innehåller inte heller något uttryckligt krav på svenska företag att inrätta särskilda rapporteringskanaler för visselblåsare. Av föreskrifter (AFS 1993:17) om åtgärder mot kränkande särbehandling i arbetslivet följer dock att en arbetsgivare ska ha rutiner för att på ett tidigt stadium fånga upp signaler om och åtgärda otillfredsställande arbetsförhållanden, problem i arbetets organisation eller missförhållanden i samarbetet. I arbetsmiljölagstiftningen finns dessutom en särskild ordning med skyddsombud som företräder arbetstagarna i arbetsmiljöfrågor. () har utarbetat riktlinjer om skydd för visselblåsare (on whistleblowing) som uppmuntrar företag att inom sina egna organisationer inrätta interna visselblåsarsystem genom vilka deras anställda konfidentiellt kan anmäla misstänkta eller konstaterade oegentligheter på arbetsplatsen. Riktlinjerna utgör vägledning för företag som väljer att inrätta dylika system. i har också valt att införa särskilda kommunikationskanaler för anställda som vill slå larm om missförhållanden inom företaget. 12.1.1Krav på speciella procedurer för hur anmälningar ska omhändertas hos behöriga myndigheter Regeringens bedömning: Skyldigheten enligt kapitaltäckningsdirektivet att behöriga myndigheter ska inrätta effektiva procedurer för att motta och följa upp anmälningar om oegentligheter bör genomföras genom föreskrifter på förordningsnivå. Utredningens bedömning överensstämmer med regeringens Remissinstanserna tillstyrker bedömningen eller har inget att invända Skälen för regeringens bedömning: Medlemsstaterna ska säkerställa att behöriga myndigheter etablerar effektiva och tillförlitliga mekanismer för att uppmuntra anmälningar av potentiella eller faktiska överträdelser Prop. 2013/14:228 för att omhänderta anmälningar om överträdelser av de nationella bestämmelserna om införlivande av kapitaltäckningsdirektivet och tillsynsförordningen (artikel 71.1). I mekanismerna ska bl.a. ingå särskilda förfaranden för hur anmälningar tas emot och följs upp (71.2 a). ansvarar för tillsynen som rör finansiella marknader och finansiella företag. Uppgiften att utöva tillsyn över företagen utförs på flera olika vis, där en av inspektionens metoder består i att ta emot och följa upp tips från anmälare. På framgår att myndigheten gärna tar emot tips och anmälningar från privatpersoner, och enskilda informeras om hur den som vill lämna tips om oegentligheter ska gå till väga. En sådan anmälan kan därefter, om det bedöms föreligga skäl för det, läggas till grund för en inspektion eller andra former av undersökningar av företaget i fråga. Regeringen delar utredningens bedömning att i praktiken uppfyller de krav på effektiva och tillförlitliga mekanismer för att uppmuntra rapportering och att motta rapporter beträffande överträdelser som följer av direktivets artikel 71.1 och 71.2 a. Direktivet förutsätter dock ett genomförande av bestämmelserna i svensk rätt. Med hänsyn till bestämmelsernas art anser regeringen att artikel 71.1 och 71.2 a bör genomföras genom föreskrifter på förordningsnivå. Ett förfarande som anges i enlighet med artikel 71.2 a bör även innefatta en garanti för anklagade personers rätt till försvar och en rätt att ta del av de handlingar som läggs till grund för ett beslut mot personen i fråga. Ett sådant skydd uppnås genom skyldighet att handlägga ärenden i enlighet med förvaltningslagen (1986:223). 12.1.2Skydd för den som rapporterar mot att drabbas av repressalier Regeringens bedömning: Kravet i artikel 71.2 b i kapitaltäckningsdirektivet på att anställda som anmäler överträdelser av institutet inte ska drabbas av repressalier, diskriminering eller liknande från arbetsgivarens sida omfattas av gällande rätt. Utredningens bedömning överensstämmer med regeringens Remissinstanserna: Flertalet remissinstanser tillstyrker bedömningen eller har inte något att invända mot den. gällande rätt inte tillgodoser det repressalieskydd som ska gälla enligt artikel 71.2 b i kapitaltäckningsdirektivet. inte framgår av direktivet att företräde ska ges för intern rapportering framför att vända sig direkt till myndigheten, snarare tvärtom, vilket innebär att de olika rapporteringsvägarna ska ses som alternativa. nuvarande praxis kan en förfrågan direkt till myndighet betraktas som illojal mot arbetsgivare och följaktligen vara uppsägnings- eller till och vill även påtala att utredningens bedömning att regeringen vid tillträde till civil- rättsliga konvention om korruption gjort bedömningen att svensk rätt uppfyller de krav som anges i konventionens artikel 9 inte kan tas för intäkt i nu aktuella ärende, eftersom dessa ärenden skiljer sig åt i så stor utsträckning. ifrågasätter vidare om 2 § lagen (1990:409) om företagshemligheter är tillräckligt omfattande för att täcka de situationer som kapitaltäckningsdirektivet avser. Skälen för regeringens bedömning: Kravet i artikel 71.2 b i direktivet anger att anställda som anmäler överträdelser av institut inte ska drabbas av repressalier, diskriminering eller liknande från arbetsgivaren. Mot bakgrund av det bakomliggande syftet med artikel 71 gör regeringen bedömningen att med begreppet diskriminering avses missgynnande till följd av en anmälan, och att det inte handlar om diskriminering i den mer gängse betydelsen enligt 4 § diskrimineringslagen (2008:657). Artikel 71.2 b har stora likheter med artikel 9 i civilrättsliga konvention om korruption. menar att man inte kan ta bedömningen ifråga om ratifikationen av tillträde till den konventionen till intäkt för att bedömningen också fungerar för nu aktuellt genomförande. Artikel 9 i konventionen anger att en arbetstagare som har skälig anledning att misstänka korruption och som i god tro anmäler sina misstankar till ansvariga personer eller myndigheter, ska ha lämpligt skydd mot varje oberättigad påföljd till följd av anmälan. Den närmare innebörden av lämpligt skydd anges inte, utan varje part får i stället utifrån sin rättstradition bedöma hur en anställd ska skyddas från t.ex. en uppsägning eller omplacering I konventionens förklarande rapport anges att det främsta skälet till att anställda inte anmäler misstankar i många fall är rädsla för repressalier. Skyddet ska därför medföra att anställda uppmuntras att göra anmälningar, något som även fastslås i kapitaltäckningsdirektivet. Vid tillträde till konventionen gjorde regeringen bedömningen att svensk rätt uppfyller de krav som anges i artikel 9 (se prop. 2003/04:70 s. 47 och 48). Slutsatsen grundades bl.a. på arbetstagarnas skydd enligt 7 och 18 §§ lagen om anställningsskydd (1982:80), som fastslår att en uppsägning ska vara sakligt grundad och avsked endast kan motiveras i de fall då arbetstagaren grovt åsidosatt sina ålägganden mot arbetsgivaren, samt den praxis som Arbetsdomstolen utvecklat. Den praxis som hänvisades till innebär att även omplacering av personliga skäl kan underkastas en rättslig prövning som liknar prövningen vid uppsägning, samt möjligheten att även angripa arbetsledningsbeslut i de fall som de utövas otillbörligt eller strider mot goda seder på arbetsmarknaden. Regeringen nämnde också innehållet i 2 § lagen (1990:409) om skydd för företagshemligheter, samt meddelarskyddet för offentliganställda. Regeringen finner inte skäl att frångå den bedömning som utredningen har gjort och anser mot bakgrund av de slutsatser som drogs vid tillträde till konventionen att det inte heller i detta sammanhang bör krävas särskilda genomförandeåtgärder i svensk rätt för artikel 71.2 b. påpekar även att det av direktivet inte framgår att företräde ska ges för intern rapportering framför att vända sig direkt till myndigheten och att en hänvändelse direkt till myndighet utan att först ha sökt åstadkomma rättelse internt enligt nuvarande praxis skulle kunna betraktas som illojalt och vara grund för uppsägning- eller till och med avskedsgrundande. Regeringen konstaterar i detta hänseende att artikel 71 fastslår vissa Prop. 2013/14:228 huvuddrag för det skydd som ska införas för att uppmuntra rapportering påpekar regleras inte i direktivet uttryckligen att företräde ska ges för intern rapportering. Det kan konstateras att direktivet är tyst på den punkten och att direktivet helt enkelt inte reglerar frågan om en anmälan kan göras direkt till en behörig myndighet eller först måste göras till arbetsgivaren. Detta innebär, enligt regeringens uppfattning, att den frågan måste avgöras med tillämpning av gällande regler och rättsprinciper på området för svenska förhållanden, t.ex. grundläggande avtalsrättsliga principer och innehållet i den arbetsrättsliga lojalitetsplikten och gränserna för arbetstagares kritikrätt enligt vad som följer av Arbetsdomstolens praxis (bl.a. AD 1982 nr 9 och 110, 1986 nr 95, 1988 nr 67, 1994 nr 79 samt 1997 nr 57). ifrågasätter även om 2 § lagen om skydd för företagshemligheter är tillräckligt omfattande för att täcka de situationer som direktivet avser. Enligt 2 § lagen om skydd för företagshemligheter anses det inte som ett obehörigt angrepp att någon, för offentliggörande eller inför en myndighet eller annat behörigt organ, avslöjar något som skäligen kan misstänkas utgöra brott på vilket fängelse kan följa eller som kan anses utgöra annat allvarligt missförhållande i näringsidkarens rörelse. Lämnandet av en uppgift om en företagshemlighet till tillsynsmyndigheten med stöd av bestämmelserna om visselblåsning utgör enligt regeringens mening inte något obehörigt angrepp på företagshemligheten (jfr 2 § första stycket lagen om skydd för företagshemligheter och bet. 1989/90: LU37 s. 35), oavsett om det förhållande som uppgiften avser är ett allvarligt missförhållande eller inte. Enligt regeringens mening kan lagen om skydd för företagshemligheter därmed inte åberopas. Desamma gäller för uppgifter som lämnas till en tillsynsmyndighet på myndighetens begäran. Under avsnitt 12.1.5 föreslås skydd för anmälarens identitet. 12.1.3Skydd för behandlingen av personuppgifter Regeringens bedömning: Ett genomförande av bestämmelserna om skydd för personuppgifter i artikel 71.2 c i kapitaltäckningsdirektivet är tillgodosett genom gällande reglering i personuppgiftslagen. Utredningens bedömning överensstämmer med regeringens Remissinstanserna: Flertalet remissinstanser tillstyrker bedömningen eller har inget att invända mot den. Datainspektionen anför att om det, för att ska leva upp till kraven i artikel 71 i direktivet, är nödvändigt att företag inom den finansiella sektorn behandlar uppgifter om lagöverträdelser i större omfattning än vad som är tillåtet enligt Datainspektionens föreskrifter bör detta komma till uttryck genom särskilda bestämmelser i lagen (2004:297) om bank- och finansierings- rörelse och lagen (2007:528) om värdepappersmarknaden. Skälen för regeringens bedömning: Det är av stor vikt att system för visselblåsare beaktar enskildas behov av integritetsskydd. Artikel 71.2 c i 2013/14:228 direktivet ålägger i enlighet härmed medlemsstaterna att säkerställa ett skydd för att personuppgifter behandlas i enlighet med vad som följer av direktiv /46/EU (dataskyddsdirektivet), både för de personer som rapporterar om överträdelser och sådana fysiska personer som är ansvariga för en överträdelse. Dataskyddsdirektivet har i svensk rätt genomförts genom personuppgiftslagen (1998:204). Lagen har till syfte att skydda människor mot att deras personliga integritet kränks genom en automatiserad behandling av personuppgifter (se 1 och 4 §§) och innehåller bestämmelser om hur personuppgifter får behandlas. Med behandling av personuppgifter avses enligt 3 § varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automatisk väg eller inte, t.ex. insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtade, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring. Lagen är tillämplig för samtliga som är personuppgiftsansvariga, vilket innebär att den är tillämplig både på enskild och offentlig verksamhet (se 3 och 4 §§). Den som uppsåtligen eller av grov oaktsamhet behandlar personuppgifter i strid med vad som följer av bestämmelserna i lagen kan enligt 49 § dömas till böter eller fängelse. Datainspektionen har till uppgift att utöva tillsyn över den personuppgiftsbehandling som sker och har för denna uppgift tilldelats de befogenheter som följer av 43–47 §§ personuppgiftslagen. Vad avser Datainspektionens synpunkt framgår det av kapitaltäckningsdirektivet att all behandling av personuppgifter ska vara förenlig med vad som följer av dataskyddsdirektivet. Detta förutsätter för svenska förhållanden att all behandling av personuppgifter inom ramen för ett särskilt rapporteringssystem för personer som slår larm, står i överenstämmelse med de krav som följer av personuppgiftslagen. Mot bakgrund av ovanstående finner regeringen att det inte krävs någon ändring i lagen om bank- och finansieringsrörelse och lagen om värdepappersmarknaden för att ska leva upp till kraven i artikel 71 i direktivet. Regeringen noterar att en arbetsgrupp inom EU, arbetsgruppen för skydd av enskilda personer i samband med behandlingen av personuppgifter (artikel 29-gruppen), har lämnat riktlinjer om hur interna system för uppgiftslämnande bör inrättas för att stå i överrensstämmelse med dataskyddsdirektivet. Avslutningsvis bör nämnas att Europeiska kommissionen presenterat ett förslag om att dataskyddsdirektivet ska ersättas av en ny allmän dataskyddsförordning, KOM (2012) 11 final 2012/0011 (COD). 12.1.4Krav på instituten att inrätta särskilda system för anmälningar Regeringens förslag: Institut ska ha ändamålsenliga system för att från anställda omhänderta anmälningar om eventuella missförhållanden inom instituten. Utredningens förslag överensstämmer med regeringens förslag. Remissinstanserna: Flertalet remissinstanser tillstyrker förslaget eller har inget att invända mot det. har inget att invända mot att det införs en skyldighet för instituten att inrätta. ifrågasätter dock om ett krav på system som är öppet för alla typer av överträdelser och där en anmälan kan rikta sig mot vem som helst inom institutet i sig uppfyller kraven i Datainspektionens föreskrifter (2010:1) om undantag från förbudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser m.m.. För att instituten ska kunna uppfylla kraven i såväl personuppgiftslagen (1998:204) som kravet på att inrätta ändamålsenliga system måste förhållandet mellan dessa regelverk klargöras så att ramarna för de rapporteringssystem som ska inrättas tydligt framgår. Det är inte tillräckligt att som vägledning ange att det kan finnas fördelar med att inrätta ett system som inte innebär någon form av automatiserad personuppgiftsbehandling som detta system ska vara anpassat till institutets storlek. anser även att direktivets krav på visselblåsarsystem måste anpassas till såväl arbetsrättslig- och skatterättslig reglering som till kraven enligt personuppgiftslagen och Datainspektionens föreskrifter. anser att innebörden av begreppet finansiella regelverket behöver klargöras och påpekar i likhet med att förhållandet mellan ett antal berörda regelverk behöver redas ut. Även anser att begreppet finansiella regelverket behöver klargöras. Skälen för regeringens förslag: Av artikel 71.3 i kapitaltäckningsdirektivet framgår att medlemsstaterna ska kräva att instituten har lämpliga rutiner för att deras anställda ska kunna rapportera om överträdelser internt genom en särskild, oberoende och självständig kanal. Artikeln ställer inte några särskilda krav i fråga om vilken typ av procedur som instituten ska tillhandahålla för anställda som vill rapportera om överträdelser mer än att dessa ska vara ändamålsenliga. Det som avses kan t.ex. vara visselblåsarsystem. Sådana system kan bestå i en särskild e-postadress, telefontjänst eller webbplats genom vilka uppgifter om brottsmisstankar om enskilda personer samlas in och behandlas (se Datainspektionens vägledning för bolag för personuppgifter som hanteras i system för whistleblowing). Det föreligger emellertid inget krav på att det ska vara en datoriserad eller telebaserad rapporteringskanal (jämför ICC som uttryckligen nämner att sådana system även kan innefatta muntliga kanaler). Artikel 71.3 nämner även uttryckligen att kravet får tillhandahållas genom sådana förfaranden som föreskrivs av arbetsmarknadens parter. Om användningen av ett visselblåsarsystem innebär en sådan strukturerad behandling av personuppgifter som avses i personuppgiftslagen, måste systemet utformas i överensstämmelse med dataskyddsdirektivet och de bestämmelser som i nationell rätt genomförts med anledning av detta direktiv, för svensk del personuppgiftslagen. Om en anmälan däremot endast behandlas manuellt på exempelvis ett papper utan att uppgifterna i fråga struktureras i ett register, och inte heller är 2013/14:228 avsedd att behandlas automatiserat i t.ex. en dator, är personuppgiftslagen inte tillämplig (jfr prop. 1997/98:44 s. 40). Särskild uppmärksamhet bör riktas åt det faktum att uppgifter som lämnas av personer som slår larm om oegentligheter typiskt sett innefattar uppgifter om olika former av lagöverträdelser. Enligt 21 § personuppgiftslagen, som har sin grund i artikel 8.5 i dataskyddsdirektivet, är det förbjudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattar brott. En uppgift om att någon har eller kan ha begått något visst brott utgör en uppgift om lagöverträdelse, oavsett om det finns någon dom eller motsvarande beslut i saken. Bestämmelsen i 21 § personuppgiftslagen är dock inte undantagslös, och med stöd av 9 § personuppgiftsförordningen (1998:1191) har Datainspektionen meddelat föreskrifter om undantag från förbudet i 21 § personuppgiftslagen. I förekommande fall är punkten f i dessa föreskrifter av intresse. Bestämmelsen anger att även andra än myndigheter med vissa begränsningar får behandla uppgifter om olika former av lagöverträdelser i särskilt inrättade rapporteringskanaler men endast under följande förutsättningar: 1.uppgifterna avser personer i nyckelpositioner eller ledande ställning inom det egna bolaget eller koncernen och, 2.det är sakligt motiverat att behandla uppgifterna i särskilt inrättade rapporteringskanaler för att utreda om personen ifråga varit delaktig i allvarliga oegentligheter som rör bokföring, intern bokföringskontroll, revision, bekämpande av mutor, brottslighet inom bank- och finansväsen eller andra allvarliga oegentligheter som rör organisationens vitala intressen eller enskildas liv och hälsa. Enligt Datainspektionens vägledning för bolag för personuppgifter som hanteras i system för whistleblowing innebär begreppet sakligt motiverat att systemet bara får användas när det är sakligt motiverat att inte använda bolagets interna informations- och rapporeringskanaler, t.ex. om den anmälde ingår i ledningen och de misstänkta oegentligheterna av det skälet annars riskerar att inte tas om hand på vederbörligt sätt. Det innebär också att systemet ska utgöra ett komplement till normal internförvaltning och måste vara frivilligt att använda. Om inget av undantagen från kravet i 21 § personuppgiftslagen är tillämpligt, kan Datainspektionen pröva om det föreligger tillräckliga skäl för att i ett enskilt fall besluta om undantag från förbudet i den paragrafen. Personuppgiftslagen innehåller i det sammanhanget vissa grundläggande krav som alltid måste uppfyllas vid behandlingen av personuppgifter (se 9 §). Datainspektionen har i ovan nämnda vägledning uttalat att för användningen av visselblåsarsystem måste följande krav vara uppfyllda: Behandlingen får inte vara i strid med svensk arbetsrättslig lagstiftning eller gällande kollektivavtal. Behandlingen måste vara i enlighet med god sed på svensk arbetsmarknad. Systemet måste inrättas på ett sådant sätt att det inte finns risk för att fler personuppgifter än vad som är nödvändigt eller relevant med hänsyn till ändamålet behandlas, eller att känsliga personuppgifter behandlas i strid med personuppgiftslagen. Uppgifter som samlas in och bevaras måste vara riktiga, adekvata och relevanta. Det innebär att bolaget skyndsamt kan behöva göra en första granskning och bedömning av de inkomna uppgifterna. Uppgifter får inte bevaras än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. En anmälan som befinns vara ogrundad bör tas bort . Om en anmälan leder till utredning bör uppgifterna tas bort när utredningen är avslutad eller, om utredningen leder till åtgärder mot den registrerade, när uppgifterna inte längre behövs för detta ändamål. Ovanstående krav kan jämföras med Europeiska Datatillsynsmannens yttrande över kommissionens förslag till direktivet (2012/C 175/01). I yttrandet anges att berörda organ i så stor utsträckning som möjligt ska begränsa vilka personer som kan pekas ut, vilka överträdelser som kan rapporteras och att det ska införas begränsningar om hur länge uppgifterna bevaras. I det yttrande som avgetts av den s.k. artikel 29- gruppen anges att de personuppgifter som behandlas av ett system ska raderas snabbt och normalt efter det att de påståenden som framförs i anmälan har undersökts. Om uppgiften bedöms vara grundlös, ska den raderas . I fråga om enskildas rätt att få information om registrerade uppgifter bör noteras att om uppgifter om en person samlas in från någon annan källa än den registrerade, ska den registrerade få information från den personuppgiftsansvarige i enlighet med bestämmelserna i 24 och 25 §§ personuppgiftslagen. Av 26 § samma lag följer även en rätt för den som begär det att få information om det finns uppgifter registrerade om honom eller henne inklusive information om varifrån uppgifterna har hämtats. Enligt 27 § gäller bestämmelserna i 24–26 §§ emellertid inte om det i en lag eller någon annan författning eller i ett beslut som har meddelats med stöd av en författning är särskilt föreskrivet att uppgifter inte får lämnas ut till den registrerade (se prop. 1997/98:44 s. 80) Informationsskyldigheten kan i vissa fall innebära att en registrerad har rätt att ta del av uppgifter om sig själv i handlingar som inte är allmänna och således inte omfattas av offentlighetsprincipen (se a. prop. s. 84). Regler om sekretess och tystnadsplikt går således före informationsskyldigheten. Rätten att underlåta att ge ut information till den registrerade med stöd av offentlighets- och sekretesslagen (2009:400) gäller även för en personuppgiftsansvarig som inte är en myndighet. Det finns således både praxis och vägledning i fråga om vilka krav som gäller för att det ska vara tillåtet för företag att behandla personuppgifter inom ramen för ett rapporteringssystem.