sou · H2B331 · 2014-05-20 00:00:00 — Syftet med systemen är att ledningen snabbt ska få kännedom om risker och brister i verksamheten och att de som rapporterar ska ha en tydlig och trygg rapporteringsordning. Whistleblowingsystem innebär ofta att verksamheter behandlar personuppgifter på ett systematiskt sätt. Det handlar om uppgifter om den som använder systemet men också uppgifter om personer som utpekas som ansvariga för olika typer av oegentligheter eller missförhållanden i verksamheten. Av detta skäl aktualiseras EU:s dataskyddsdirektiv. 24Förslag till och rådets förordning om skydd för enskilda personer med avseende på behandling av personuppgifter och det fria flödet av sådana uppgifter (allmän uppgiftsskyddsförordning), KOM(2012) 11 slutlig. 25Europaparlamentets och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter. 26Se närmare om system och rutiner för rapportering av missförhållanden i kapitel 9. Den så kallade Artikel 29-gruppen instiftades 1995 av parlamentet och rådet i syfte att skydda enskildas personuppgifter och den fria rörligheten av sådana uppgifter. Med anledning av den ökade förekomsten av whistleblowingsystem i , och intresset av att balansera intresset av sådana system med intresset av person- uppgiftsskydd, lämnade gruppen ett särskilt yttrande 2006.27 Yttrandet ger Artikel 29-gruppens syn på hur whistleblowing- system kan genomföras i linje med de krav som uppställs i dataskyddsdirektivet. Det rör sig alltså inte om något bindande beslut från EU utan ett yttrande av en särskilt instiftad, rådgivande grupp. Uttolkningen av dataskyddsdirektivet sker ytterst av EU- domstolen. Artikel 29-gruppens bedömning är att åtta särskilda krav ska ställas på verksamheter som inför eller har whistleblowingsystem.28 1.Syftet med ett system måste vara godtagbart enligt direktivets artikel 7. System kan enligt gruppens bedömning i första hand motiveras av att det finns en rättslig förpliktelse att ha ett system (artikel 7 c) eller att intresset av att ha ett system är så starkt att det annars väger upp de registrerades intressen (artikel 7 f). I det senare fallet måste en proportionalitetsbedömning göras i det enskilda fallet. 2.Systemet måste också utformas på ett sådant sätt att det går att förena med kraven i direktivets artikel 6. Dessa krav berör sättet som personuppgifter behandlas på, till exempel att uppgifterna ska vara korrekta och relevanta, att de förvaras på ett lämpligt sätt och att de inte sparas längre än nödvändigt. Enligt gruppens bedömning bör man begränsa den personkrets som får använda systemen och även den personkrets som får anklagas genom systemet. Vidare menar gruppen att nackdelarna med system som tillåter anonymitet överväger fördelarna varför man rekom- menderar system som endast tillåter identifierad rapportering, eller åtminstone att man inte uppmuntrar anonym rapportering. Gruppen menar också att man bör begränsa systemen till att endast behandla fakta som relaterar till systemets ändamål. Om systemets ändamål är att komma till rätta med oegentlig- 27Article 29 Data Protection Working Party (2006). 28De åtta kraven sammanfattas här. För en fullständig beskrivning av kraven, se gruppens yttrande. heter i bokföringen bör endast de uppgifter som är absolut nödvändiga för att komma till rätta med sådana oegentligheter omfattas. Uppgifterna ska heller aldrig sparas längre än absolut nödvändigt. 3.De som berörs av systemen ska också informeras om systemen (artikel 10). Därtill ska de som berörs informeras om de är skyldiga att använda systemen eller om användningen är frivillig. De berörda ska även informeras om rätten att få tillgång till och att erhålla rättelse av uppgifter som förekommer i systemen. 4.Den person som anklagas genom ett whistleblowingsystem har också rättigheter som måste beaktas (artikel 11 och 12). Här rör det sig om rätten till information om vad personen anklagas för och hur personen kan tillvarata sina rättigheter. Det handlar också om rätten att få tillgång till information och även att kräva rättelse eller radering av felaktiga uppgifter. 5.Artikel 29-gruppen pekar också på att säkerheten vid behandlingen av uppgifter måste kunna garanteras (artikel 17). Det gäller, enligt gruppen, den tekniska och organisatoriska säkerheten, samt säkerheten som skyddar användarnas identitet. 6.Gruppen menar att det visserligen är att föredra att man organiserar whistleblowingsystem internt, men noterar att det ofta förekommer att en extern aktör sköter delar av systemet. Om ett system organiseras internt menar gruppen att vissa krav kan ställas på organisationen, till exempel att ett system ska vara strikt skiljt från personalavdelningen och att personalen som arbetar med systemet ska vara välmotiverad och välutbildad. Om en extern partner används ska denna partner också efterleva de krav som följer av dataskyddsdirektivet. Gruppen under- stryker också att behandlingen av rapporter i första hand ska ske lokalt och att uppgifter från rapporter inte ska spridas mer än absolut nödvändigt. 7.Gruppen har också särskilda synpunkter med avseende på över- föring av uppgifter till tredje land (artikel 25 och 26). 8.Till sist påpekar gruppen att det finns särskilda krav på anmäl- ningsplikt och förhandskontroll som måste efterlevas av de som inför whistleblowingsystem (artikel 18 och 20). För en redogörelse av den svenska personuppgiftsregleringen och whistleblowingsystem, se avsnitt 9.4. 5.3.3Förslag till en ny, allmän dataskyddsförordning presenterade Europeiska kommissionen ett förslag till en ny, allmän förordning om dataskydd.29 Förslaget är till stor del baserat på den reglering som gäller enligt dataskyddsdirektivet men innehåller också ett stort antal nyheter, bland annat en rätt att bli glömd och en rätt till så kallad dataportabilitet. Förslaget innehåller också en ny, europeisk dataskyddsstyrelse som är tänkt att ersätta Artikel 29-gruppen.30 Det är oklart i vilken utsträckning och hur kraven på whistleblowingsystem skulle förändras med en ny dataskydds- förordning. 5.3.4EU- direktiv och förordningar på finansmarknadsområdet EU antog det så kallade kapitaltäckningsdirektivet (CRD 4) som ett led i genomförandet av de nya globala standarderna för bankkapital (3-avtalet).31 Direktivet innehåller regler om rapportering av överträdelser som bland annat innefattar skydd för visselblåsare. Europeiska kommissionen har också presenterat förslag på en förordning om marknadsmissbruk som likt kapitaltäckningsdirektivet innehåller bestämmelser om vissel- blåsning.32 Därtill har ytterligare förslag till direktiv och förordningar lämnats som innehåller liknande bestämmelser om visselblåsning som kapitaltäckningsdirektivet, bland annat förslag till MiFID 2 29Förslag till och rådets förordning om skydd för enskilda personer med avseende på behandling av personuppgifter och det fria flödet av sådana uppgifter (allmän uppgiftsskyddsförordning), KOM(2012) 11 slutlig. 30Regeringskansliet, Faktapromemoria, 2011/12:FPM117. 31Europaparlamentets och rådets direktiv /36/EU av om behörighet att utöva verksamhet i kreditinstitut och om tillsyn av kreditinstitut och värdepappersföretag, om ändring av direktiv /87/EG och om upphävande av direktiv /48/EG och 2006/49/EG. 32En kort beskrivning av förslaget följder nedan. (marknader för finansiella instrument)33, UCITS 5-direktiv (kollektiva investeringar i rörliga värdepapper)34, och IMD 2-direktiv (försäkringsförmedlingsdirektiv)35. Ytterligare direktiv och förordningar på finansmarknadsområdet med bestämmelser om visselblåsning är att vänta. I denna utrednings uppdrag ingår inte att utreda hur dessa sektorspecifika direktiv och förordningar ska genomföras i . Särskilda utredningar har tillsatts och kommer att tillsättas för detta ändamål. Däremot ges här en kort redogörelse för kapital- täckningsdirektivet och EU:s förslag till förordning om marknads- missbruk i syfte att ge en överblick över vissa förslag på förändringar av svensk rätt som berör visselblåsning. EU:s direktiv om behörighet att utöva verksamhet i kreditinstitut och om tillsyn av kreditinstitut och värdepappersföretag antogs ett nytt EU-direktiv (2013/36/EU) om behörighet att utöva verksamhet i kreditinstitut och om tillsyn av kreditinstitut och värdepappersföretag (det så kallade kapitaltäckningsdirektivet, eller CRD 4). Direktivet innehåller bestämmelser som förpliktigar nationella myndigheter att inrätta effektiva och tillförlitliga mekanismer för rapportering till behörig myndighet av överträdelser av nationella bestämmelser om införlivande av direktivet och av en förordning (förordning 575/2013 om tillsynskrav för kreditinstitut och värdepappersföretag, eller CRR).36 Dessa mekanismer ska åtminstone innefatta följande element: a)Särskilda förfaranden för mottagande av rapporter om överträdelser och uppföljning av dem, b)lämpligt skydd för anställda i institut som rapporterar över- trädelser begångna inom repressalier, diskriminering och andra former av missgynnande, 33 Förslag till och rådets direktiv om marknader för finansiella instrument och om upphävande av och rådets direktiv /39/EG, KOM(2011) 656 slutlig. 34 Proposal for a directive of parliament and of the Council amending Directive 2009/65/EC on the coordination of laws, regulations and administrative provisions relating to undertakings for collective investment in transferable securities (UCITS) as regards depositary functions, remuneration policies and sanctions, COM(2012) 350 final. 35 Proposal for a directive of parliament and of mediation, COM(2012) 360/2. 36 Artikel 71. c)skydd av personuppgifter både för den person som rapporterar överträdelser och den fysiska person som påstås vara ansvarig för en överträdelse, i enlighet med direktiv /46/EU av (dataskyddsdirektivet), d)tydliga regler som under alla omständigheter ser till att konfidentialiteten för den person som rapporterar om överträdelser begångna inom institutet garanteras, såvida inte offentliggörandet i enlighet med nationell lagstiftning krävs i samband med ytterligare utredningar eller efterföljande rättsliga förfaranden. Medlemsstaterna ska vidare kräva att instituten inrättar lämpliga rutiner för att deras anställda ska kunna rapportera om överträdelser internt genom en särskild, oberoende och självständig kanal.37 Direktivet tillåter att kanaler tillhandahålls genom förfaranden som föreskrivs i kollektivavtal.38 Samma skydd ska gälla vid rapportering genom sådana kanaler som det skydd som föreskrivs gällande de mekanismer som ska finnas för rapportering till myndigheter enligt artikel 71, p. 2, b), c) och d).39 Utredningen om förstärkta kapitaltäckningsregler lämnade ett betänkande med förslag om bl.a. hur artikel 71 i direktivet ska genomföras i svensk rätt. Utredaren lämnade följande förslag och bedömningar i betänkandet med avseende på rapportering av överträdelser: 1.Skyldigheten att inrätta effektiva procedurer för att motta och följa upp anmälningar om oegentligheter bör genomföras på förord- ningsnivå. Utredaren konstaterar att det redan av genom- förandet av förordningen (2009:93) med instruktion för finns rutiner för att ta emot och följa upp tips från anmälare. Att ett särskilt förfarande ska finnas för rapportering bör emellertid framgå direkt av förordningen. Utredaren bedömer att anklagade personers intressen skyddas redan av att är skyldig att handlägga ärenden i enlighet med förvaltningslagen (1986:223). 2.Anställda inom institut har lämpligt skydd mot repressalier, diskriminering och andra former av missgynnande behandling. Utredaren påpekar här att det har ansetts att 37Artikel 71 p. 38Artikel 71 andra stycket. 39Artikel 71 andra stycket. har ett tillräckligt skydd för personer som slår larm. Denna bedömning har gjorts vid anslutning till civilrättsliga konvention om korruption. Utredaren pekar också på att utredningar tillsatts för att undersöka i vilka avseenden skyddet för dem som slår larm bör stärkas. Överväganden om det finns anledning att utvidga skyddet bör därför avvakta de utredningar som tillsatts för detta. 3.Ett genomförande av artikel 71 förutsätter krav på att behandling av personuppgifter sker i enlighet med personuppgiftslagens (1998:204, PuL) krav. Utredarens bedömning är att integriteten för de som rapporterar, och för de som anklagas för överträdelser, skyddas genom det befintliga regelverket om personuppgiftsskydd. 4.Institut ska ha ändamålsenliga system för att från anställda omhänderta rapporter om eventuella missförhållanden inom instituten. Utredaren föreslår att det ska införas krav i institutens rörelselagstiftning att de ska tillhandahålla rapporteringssystem för anställda som vill göra anmälningar om överträdelser av det finansiella regelverket. Systemen ska vara särskilda, fristående och autonoma. Institutioner bestämmer själva hur systemen ska vara utformade och även muntliga kanaler bör tillåtas. Systemen bör vara anpassade efter institutets storlek och resurser (proportionalitet). Datainspektionen har tillsyn över person- uppgiftsbehandlingen om systemet innebär en behandling av personuppgifter i PuL:s bemärkelse. Givetvis måste även PuL och Datainspektionens föreskrifter på området följas.40 Detta innebär bl.a. att institut måste gallra inkomna rapporter så att endast allvarliga oegentligheter behandlas. Det kan därför, menar utredaren, finnas fördelar med att inrätta system som inte innebär en automatiserad personuppgiftsbehandling. Rapporter som inte görs i god tro ska lämnas utan avseende. Vidare ska användandet av system bygga på frivillighet. 5.Offentlighets- och sekretesslagen (2009:400, OSL) ska kompletteras med ett absolut sekretesskydd för uppgifter som avslöjar en anmälares identitet. Tystnadsplikten ska ha företräde framför meddelarfriheten. Sekretessen bör gälla högst . Nuvarande bestämmelse om sekretess i 1 kap. 10 § lagen (2004:297) om bank- och finansierings- rörelse och 1 kap. 11 § lagen (2007:528) om värdepappersmarknaden ska utvidgas i motsvarande mån. Utredaren menar att anonym 40 Se vidare avsnitt 9.4. rapportering inte ska uppmuntras varför rapportörernas identitet bör skyddas genom sekretess snarare än uppmaningar om anonyma rapporter. Sekretessen bör enligt utredaren vara absolut för att ska leva upp till sina åtaganden enligt direktivet. Om en rapport utreds vidare och leder till ett ärende hos eller en annan myndighet eller domstol, kan dock sekretesskyddet ge vika till följd av den rätt till insyn i ett mål eller ärende som tillkommer en part enligt processrättsliga regler. Enligt 10 kap. 3 § OSL kan en enskild, som på grund av sin partsställning har rätt till insyn i handläggningen, förvägras att ta del av en handling eller annat material i målet eller ärendet endast om det av hänsyn till allmänt eller enskilt intresse är av synnerlig vikt att en sekretessbelagd uppgift i materialet inte röjs. Det blir i sådana fall fråga om att röja en anmälares identitet för att i enlighet med nationella bestämmelser kunna utreda en överträdelse vidare eller överlämna ärendet för en rättslig process, vilket medför att bestämmelsen är förenlig med artikel 71. Utredaren föreslår också att tystnadsplikten som följer av sekretessen ska ges företräde framför meddelarfriheten. föreslår utredaren att sekretess även ska gälla hos instituten vid användning av rapporterings- system. Sekretessen ska begränsas till obehörigt röjande efter mönster av den s.k. banksekretessen och syfta till att skydda anmälarens identitet, framför allt i förhållande till den som anmälan avser. Sekretessbestämmelsen bör inte straffbeläggas. Sekretess- bestämmelserna innebär att PuL:s krav på att anmälarens identitet behöver avslöjas för den som anmälan avser inte gäller.41 beslutade regeringen om en remiss till Lagrådet med anledning av förslag om förstärkta kapitaltäckningsregler.42 I lagrådsremissen gör regeringen i huvudsak samma bedömning som den särskilda utredaren gör med avseende på system och skydd för visselblåsare. Lagrådet har avgivit yttrande över förslaget. 4127 § PuL. 42Lagrådsremiss Förstärkta kapitaltäckningsregler, . Förslag till ny förordning om marknadsmissbruk presenterade Europeiska kommissionen ett förslag till förordning om insiderhandel och otillbörlig marknadspåverkan (marknadsmissbruk).43 Förslaget inkluderar i princip identiska bestämmelser om rapportering av överträdelser som de bestämmelser som framgår av kapitaltäckningsdirektivet. En skillnad finns dock. I förslaget till förordning finns en bestämmelse om ekonomiska incitament till personer som erbjuder viktig information om potentiella överträdelser av förordningen. Bestämmelsen om incitament har följande lydelse:44 Ekonomiska incitament till personer som erbjuder viktig information om potentiella överträdelser av denna förordning kan beviljas i enlighet med nationella lagar om det inte finns en rättslig eller kontraktuell skyldighet för dessa personer att rapportera sådan information, om informationen är ny och om den leder till utfärdandet av en administrativ påföljd eller åtgärd eller en straffrättslig påföljd på grund av en överträdelse av denna förordning. En utredning om bekämpning av marknadsmissbruk tillsattes (dir. 2012:108). Utredningen ska redovisa sina förslag senast den 30 juni 2014.45 ställning i svensk rätt Europakonventionen46 antogs av 1950 och ratificerades av 1952. är införd i svensk lag genom lagen (1994:1219) om den europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna. är också en del av som en allmän rättsprincip genom Lissabonfördraget (artikel 6.3). Som nämnts ovan är också den materiella innebörden 43 Förslag till och rådets förordning om insiderhandel och otillbörlig marknadspåverkan (marknadsmissbruk), KOM(2011) 651. 44Artikel 29 p. 2 Förslag till och rådets förordning om insiderhandel och otillbörlig marknadspåverkan (marknadsmissbruk) KOM(2011) 651. 45Tilläggsdirektiv dir. 2014:19. 46Den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna. av EU:s rättighetsstadga knuten till . Det gäller till exempel artikel 11 om yttrandefrihet. Var och en har enligt yttrandefrihet, även arbetstagare Enligt har alla som befinner sig under en konventionsstats jurisdiktion yttrandefrihet som konventionsstaten har en skyldighet att garantera (artikel 1 och 10). Yttrandefriheten gäller också i anställningsförhållandet vilket innebär att en konventionsstat kan hållas ansvarig för en konventionskränkning i fall en arbetsgivare har begränsat en arbetstagares yttrandefrihet.47 En konventionsstat har alltså en förpliktelse att inte inskränka arbetstagares yttrandefrihet utöver vad som är tillåtet enligt och uttolkning av konventionen.48 Denna förpliktelse är inte endast negativ, i bemärkelsen att konventionsstaten ska avhålla sig från att kränka arbetstagares yttrandefrihet, utan också positiv i bemärkelsen att konventionsstaten måste genom åtgärder garantera att yttrande- friheten i anställningsförhållandet respekteras. Tillåtna begränsningar av arbetstagares yttrandefrihet Utövandet av yttrandefriheten medför ansvar och skyldigheter.49 I anställningsförhållandet är det enligt därför godtagbart att ställa krav på arbetstagare i fråga om lojalitet, diskretion och återhållsamhet; särskilt i ljuset av att anställningsförhållandet bygger på en ömsesidig tillit mellan parterna.50 Konventionen utgör emellertid i sig inte något hinder mot att en arbetsgivare vidtar åtgärder mot en arbetstagare för att arbetstagaren brustit i sina förpliktelser mot arbetsgivaren. Om arbetsgivaren vidtar en åtgärd för att arbetstagaren utövat sin yttrandefrihet måste dock åtgärden ha lagstöd, främja ett legitimt ändamål samt vara proportionerlig och välmotiverad. De åtgärder, eller begränsningar, som blivit prövade av har i huvudsak anknytning till rekrytering eller 47Se t.ex. mot (), Guja mot () och Palomo Sánchez m.fl. mot (). 50Palomo Sánchez m.fl. mot (), § 76. skiljande från anställning. I de senare fallen synes ha sett ett skiljande från anställningen som en form av straffpåföljd som ska uppfylla de begränsningsgrunder som framgår av artikel 10.2 för att vara godtagbar.51 Begränsningar av arbetstagares yttrandefrihet ska ha lagstöd En begränsning av yttrandefriheten ska enligt vara föreskriven i lag. Med detta avses inte att begränsningen nödvändigtvis ska ha stöd i formell lagstiftning utan att begräns- ningen ska ha stöd i gällande författning eller domstolspraxis.52 har uttryckt det så att det inte är ett formellt krav som avses utan ett substantiellt krav. Det avgörande i prövning är alltså inte i vilken ordning ett stöd i gällande rätt har tillkommit utan i stället att en regel ska vara tillgängligt och tydligt så att enskilda kan anpassa sitt handlande efter regeln.53 Begränsningar av arbetstagares yttrandefrihet ska främja legitima ändamål En begränsning av yttrandefriheten är endast godtagbar om begräns- ningen görs med hänsyn till ett antal ändamål som framgår av artikel 10.2. Ändamålen är: 1) statens säkerhet, 2) den territoriella integriteten eller den allmänna säkerheten, 3) förebyggande av oordning eller brott, 4) skydd för hälsa eller moral eller för annans goda namn och rykte eller rättigheter, 5) förhindrande av att förtroliga underrättelser sprids, eller 6) upprätthållande av domstolars auktoritet och opartiskhet. Begränsningar av yttrandefriheten för andra än dessa ändamål är inte godtagbara enligt . 51Vogt mot (), § 44. 52Leyla Şahin mot (), § 88. 53Leyla Şahin mot (). Begränsningar av arbetstagares yttrandefrihet ska vara proportionerliga – enligt sex principer En begränsning av yttrandefriheten ska vara nödvändig i ett demokratiskt samhälle med hänsyn till ett legitimt ändamål. Vad som är nödvändigt i ett demokratiskt samhälle avgörs i en proportionalitetsbedömning där begränsningens natur och omfatt- ning ställs i relation till begränsningens ändamål. I fall där arbets- tagare agerat visselblåsare har utvecklat sex principer som stöd för proportionalitetsbedömningen.54 Princip 1: huruvida arbetstagaren hade alternativa kanaler för avslöjandet Arbetstagare har en lojalitets- och diskretionsplikt vilket innebär att arbetstagare i första hand ska rapportera missförhållanden till arbetsgivare eller annat behörigt organ (persons superior or other competent authority or body).55 Det är endast när en sådan rapportering är uppenbart ogörlig som arbetstagare, som en sista utväg, har rätt att vända sig till allmänheten. Arbetstagaren ska alltså i första hand påtala missförhållanden internt alternativt till en myndighet eller annat behörigt organ. Om dessa kanaler inte är effektiva, eller om det annars är ogörligt, har arbetstagaren rätt att vända sig till allmänheten. En brist på effektivitet kan föreligga om arbetsgivaren underlåter att vidta relevanta åtgärder inom skälig tid. Princip 2: allmänintresset i den avslöjade informationen Det finns ett begränsat utrymme att inskränka avslöjanden till allmänheten av information som är viktig för en upplyst politisk debatt. Likaså är utrymmet att inskränka yttrandefriheten i fackliga angelägenheter begränsat. Konstnärliga och kommersiella yttranden skyddas dock inte lika starkt som yttranden som bidrar till en social och politisk debatt eller som bidrar till det fackliga arbetet. Allmänintresset kan ibland vara så starkt att legala tystnadsplikter får vika. har bland annat ansett att allmänintresset 54Principerna uttrycks framförallt i Guja mot () och Heinisch mot (). I det följande framgår principerna av dessa rättsfall om inte annat anges i texten. 55Guja mot (), § 73.