prop · H30310 · 2015-11-03 00:00:00 — Promemorians bedömning överensstämmer med regeringens bedöm- Remissinstanserna tillstyrker bedömningen eller har inget att invända Skälen för regeringens bedömning: Enligt förordningen om värde- papperscentraler ska medlemsstaterna se till att anställda som anmäler överträdelser av institut har ett lämpligt skydd. Som ett minimum ska de i vart fall inte drabbas av repressalier, diskriminering eller andra former av orättvis behandling (artikel 65.2 b). Mot bakgrund av det bakomliggande syftet med de berörda reglerna får det antas att med termen diskriminering avses missgynnande till följd av en anmälan och att det inte handlar om diskriminering i den mer gängse betydelsen enligt 1 kap. 4 § diskrimineringslagen (2008:567). också antas att det är missgynnande från arbetsgivarens sida som avses i En i stort sett likalydande regel finns i kapitaltäckningsdirektivet (artikel 71.2 b). Den har också stora likheter med artikel 9 i civilrättsliga konvention om korruption. Artikel 9 i konventionen anger att en arbetstagare som har skälig anledning att misstänka korruption och som i god tro anmäler sina misstankar till ansvariga personer eller myndigheter, ska ha lämpligt skydd mot varje oberättigad påföljd till följd av anmälan. Den närmare innebörden av lämpligt skydd anges inte, utan varje part får i stället utifrån sin rättstradition bedöma hur en anställd ska skyddas från t.ex. en uppsägning eller omplacering. I konventionens förklarande rapport anges att det främsta skälet till att anställda inte anmäler misstankar i många fall är rädsla för repressalier. Skyddet ska därför medföra att anställda uppmuntras att göra anmäl- ningar, något som även fastslås i kapitaltäckningsdirektivet. Vid tillträde till konventionen gjorde regeringen bedömningen att svensk rätt uppfyller de krav som anges i artikel 9 (se prop. 2003/04:70 s. 47 f.). Slutsatsen grundades bl.a. på arbetstagarnas skydd enligt 7 och 18 §§ lagen om anställningsskydd, som fastslår att en upp- sägning ska vara sakligt grundad och avskedande endast kan motiveras i de fall då arbetstagaren grovt åsidosatt sina ålägganden mot arbets- givaren, samt på den praxis som Arbetsdomstolen utvecklat. Den praxis som det hänvisades till innebär att även en omplacering av personliga skäl kan underkastas en rättslig prövning som liknar prövningen vid uppsägning, samt att det finns en möjlighet att även angripa arbetsledningsbeslut i de fall som de utövas otillbörligt eller strider mot god sed på arbetsmarknaden. Regeringen nämnde också innehållet i 2 § lagen (1990:409) om skydd för företagshemligheter, samt meddelar- skyddet för offentliganställda. Vid genomförandet av kapitaltäckningsdirektivet gjorde regeringen bedömningen att det inte heller krävdes några särskilda genomförande- åtgärder i svensk rätt i fråga om de berörda skyddsreglerna i direktivet (artikel 71.2 b, se prop. 2013/14:228 s. 245–247). Det saknas anledning att nu göra en annan bedömning avseende motsvarande regler i förord- ningen om värdepapperscentraler (artikel 65.2 b). Vid genomförandet av kapitaltäckningsdirektivet konstaterades även att det inte framgick av direktivet att företräde skulle ges för intern rapportering framför att vända sig direkt till myndigheten (a. prop. En särskild fråga var därför om en hänvändelse direkt till myndighet utan att först ha sökt åstadkomma rättelse internt skulle kunna betraktas som illojalt och vara grund för uppsägning eller till och med avskedsgrund- ande. Regeringen konstaterade i detta hänseende att reglerna i kapital- täckningsdirektivet fastslår vissa huvuddrag för det skydd som ska införas för att uppmuntra rapportering av överträdelser och att det inte uttryckligen framgår att företräde ska ges för intern rapportering (artik- el 71). Direktivet reglerar helt enkelt inte frågan om en anmälan kan göras direkt till en behörig myndighet eller först måste göras till arbets- givaren. Enligt regeringens mening måste därför den frågan i stället av- göras med tillämpning av gällande regler och rättsprinciper på området för svenska förhållanden, t.ex. grundläggande avtalsrättsliga principer och innehållet i den arbetsrättsliga lojalitetsplikten och gränserna för arbetstagares kritikrätt enligt vad som följer av Arbetsdomstolens praxis (bl.a. AD 1982 nr 9 och 110, 1986 nr 95, 1988 nr 67, 1994 nr 79 samt 1997 nr 57). En annan särskild fråga vid genomförandet av kapitaltäckningsdirek- tivet var om 2 § lagen om skydd för företagshemligheter är tillräckligt omfattande för att täcka de situationer som direktivet avser. 2015/16:10 lagrummet anses det inte som ett obehörigt angrepp att någon, för offent- liggörande eller inför en myndighet eller annat behörigt organ, avslöjar något som skäligen kan misstänkas utgöra brott på vilket fängelse kan följa eller som kan anses utgöra annat allvarligt missförhållande i näringsidkarens rörelse. Lämnandet av en uppgift om en företagshem- lighet till tillsynsmyndigheten med stöd av bestämmelserna om vissel- blåsning ansågs därför enligt regeringens mening inte utgöra något obe- hörigt angrepp på företagshemligheten (jfr 2 § första stycket lagen om skydd för företagshemligheter och bet. 1989/90:LU37 s. 35), oavsett om det förhållande som uppgiften avser är ett ”allvarligt missförhållande” eller inte. Regeringens slutsats var att lagen om skydd för företagshem- ligheter därmed inte kunde åberopas i sådana situationer. Desamma gäller för uppgifter som lämnas till en tillsynsmyndighet på myndig- hetens begäran. Regeringen gör samma bedömning i förevarande lagstift- ningsärende. 8.9.4Skydd för behandlingen av personuppgifter Regeringens bedömning: Behovet av ett genomförande av bestäm- melserna om skydd för personuppgifter i förordningen om värde- papperscentraler är tillgodosett genom gällande reglering i person- uppgiftslagen. Promemorians bedömning överensstämmer med regeringens bedöm- ning. Remissinstanserna tillstyrker promemorians bedömning eller har inget att invända mot den. Skälen för regeringens bedömning: Det är av stor vikt att system för visselblåsare beaktar enskildas behov av integritetsskydd. Förordningen om värdepapperscentraler ålägger därför medlemsstaterna att säkerställa ett skydd för att personuppgifter behandlas i enlighet med det som följer av direktiv /46/EG (dataskyddsdirektivet), både för de personer som rapporterar om överträdelser och sådana fysiska personer som är ansvariga för en överträdelse (artikel 65.2 c). Dataskyddsdirektivet har i svensk rätt genomförts genom person- uppgiftslagen (1998:204). Lagen har till syfte att skydda människor mot att deras personliga integritet kränks genom en automatiserad behandling av personuppgifter (1 §). Den innehåller bestämmelser om hur person- uppgifter får behandlas. Med behandling av personuppgifter avses varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automatisk väg eller inte, t.ex. insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtade, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, block- ering, utplåning eller förstöring (3 §). Lagen är tillämplig på samtliga som är personuppgiftsansvariga, vilket innebär att den är tillämplig på både enskild och offentlig verksamhet (se 3 och 4 §§). Den som uppsåtligen eller av grov oaktsamhet behandlar personuppgifter i strid med vad som följer av bestämmelserna i lagen kan dömas till böter eller fängelse (49 §). Datainspektionen har till uppgift att utöva tillsyn över den personuppgiftsbehandling som sker och har för Prop. 2015/16:10 denna uppgift tilldelats de befogenheter som följer av den lagen (43– 47 §§). All behandling av personuppgifter inom ramen för ett särskilt rapport- eringssystem för personer som slår larm i fråga om en värdepappers- central i måste stå i överenstämmelse med de krav som följer av personuppgiftslagen. Regeln i förordningen om värdepapperscentraler om att all behandling av personuppgifter ska vara förenlig med vad som följer av dataskyddsdirektivet kräver således inte några lagstiftnings- åtgärder, med tanke på att personuppgiftslagen genomför dataskydds- direktivet. Det kan nämnas att en arbetsgrupp inom EU, arbetsgruppen för skydd av enskilda personer i samband med behandlingen av personuppgifter (”artikel 29-gruppen”), har lämnat riktlinjer om hur interna system för uppgiftslämnande bör inrättas för att stå i överrensstämmelse med data- skyddsdirektivet. Avslutningsvis bör nämnas att kommissionen har presenterat ett förslag om att dataskyddsdirektivet ska ersättas av en ny allmän data- skyddsförordning, KOM (2012) 11 final 2012/0011 (COD). 8.9.5Krav på värdepapperscentraler och kontoförande institut att inrätta särskilda system för anmälningar Regeringens förslag: Värdepapperscentraler och kontoförande institut ska tillhandahålla ändamålsenliga rapporteringssystem för anställda som vill göra anmälningar om misstänkta överträdelser av de bestämmelser som gäller för verksamheten. Promemorians förslag överensstämmer med regeringens förslag. Remissinstanserna tillstyrker promemorians förslag eller har inget att invända mot det. Skälen för regeringens förslag: Av förordningen om värdepappers- centraler följer att medlemsstaterna ska kräva att instituten har lämpliga förfaranden för att deras anställda ska kunna rapportera om överträdelser internt genom en särskild, oberoende och fristående kanal (artikel 65.3). Förordningen ställer inte några särskilda krav i fråga om vilken typ av förfarande som instituten ska tillhandahålla för anställda som vill rapportera om överträdelser, mer än att dessa ska vara ändamålsenliga. Det som avses kan t.ex. vara visselblåsarsystem. bestå i en särskild e-postadress, telefontjänst eller webbplats genom vilka uppgifter om brottsmisstankar om enskilda personer samlas in och behandlas (se Datainspektionens vägledning för bolag, Ansvaret för personuppgifter som hanteras i system för whistleblowing). föreligger emellertid inget krav på att det ska vara en datoriserad eller telebaserad rapporteringskanal (jämför ICC blowing som uttryckligen nämner att sådana system även kan innefatta muntliga kanaler). I förordningen anges även uttryckligen att kravet får tillhandahållas genom sådana förfaranden som fastställs av arbetsmark- 2015/16:10 Om användningen av ett visselblåsarsystem innebär en sådan struktur- erad behandling av personuppgifter som avses i personuppgiftslagen, måste systemet utformas i överensstämmelse med dataskyddsdirektivet och de bestämmelser som i nationell rätt har införts med anledning av detta direktiv, för svensk del personuppgiftslagen. Om en anmälan där- emot endast behandlas manuellt på exempelvis ett papper utan att upp- gifterna i fråga struktureras i ett register, och inte heller är avsedd att behandlas automatiserat i t.ex. en dator, är personuppgiftslagen inte tillämplig (jfr prop. 1997/98:44 s. 40). Särskild uppmärksamhet bör riktas åt det faktum att uppgifter som lämnas av personer som slår larm om oegentligheter typiskt sett inne- fattar uppgifter om olika former av lagöverträdelser. Enligt 21 § person- uppgiftslagen, som har sin grund i artikel 8.5 i dataskyddsdirektivet, är det förbjudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattar brott. En uppgift om att någon har eller kan ha begått något visst brott utgör en uppgift om lagöverträdelse, oavsett om det finns någon dom eller motsvarande avgörande av saken. Bestämmelsen i 21 § personuppgiftslagen är dock inte undantagslös. Datainspektionen har med stöd av 9 § personuppgiftsförordningen (1998:1191) meddelat föreskrifter om undantag från förbudet i 21 § personuppgiftslagen (Datainspektionens föreskrifter [1998:3] om undantag från förbudet för andra än myndigheter att behandla person- uppgifter om lagöverträdelser m.m.). I förekommande fall är 1 § f i dessa föreskrifter av intresse. Bestämmelsen anger att även andra än myndig- heter med vissa begränsningar får behandla uppgifter om olika former av lagöverträdelser i särskilt inrättade rapporteringskanaler, men endast under följande förutsättningar: 1.att uppgifterna avser personer i nyckelpositioner eller ledande ställ- ning inom det egna bolaget eller koncernen, och 2.att det är sakligt motiverat att behandla uppgifterna i särskilt inrättade rapporteringskanaler för att utreda om personen i fråga varit delaktig i allvarliga oegentligheter som rör bokföring, intern bokförings- kontroll, revision, bekämpande av mutor, brottslighet inom bank- och finansväsen eller andra allvarliga oegentligheter som rör organisa- tionens vitala intressen eller enskildas liv och hälsa. Enligt Datainspektionens vägledning för bolag, Ansvaret för person- uppgifter som hanteras i system för whistleblowing, innebär uttrycket sakligt motiverat att systemet bara får användas när det är sakligt motiverat att inte använda bolagets interna informations- och rapport- eringskanaler, t.ex. om den anmälde ingår i ledningen och de misstänkta oegentligheterna av det skälet annars riskerar att inte tas om hand på vederbörligt sätt. Det innebär också att systemet ska utgöra ett komp- lement till normal internförvaltning och måste vara frivilligt att använda. Om inget av undantagen från kravet i 21 § personuppgiftslagen är tillämpligt, kan Datainspektionen pröva om det föreligger tillräckliga skäl för att i ett enskilt fall besluta om undantag från förbudet i den paragrafen. Personuppgiftslagen innehåller i det sammanhanget vissa grundlägg- ande krav som alltid måste uppfyllas vid behandlingen av person- uppgifter (9 §). Datainspektionen har i ovan nämnda vägledning uttalat att för användningen av visselblåsarsystem måste följande krav vara uppfyllda: –Behandlingen får inte vara i strid med svensk arbetsrättslig lag- stiftning eller gällande kollektivavtal. –Behandlingen måste vara i enlighet med god sed på svensk arbets- marknad. –Systemet måste inrättas på ett sådant sätt att det inte finns risk för att fler personuppgifter än vad som är nödvändigt eller relevant med hänsyn till ändamålet behandlas, eller att känsliga personuppgifter behandlas i strid med personuppgiftslagen. –Uppgifter som samlas in och bevaras måste vara riktiga, adekvata och relevanta. Det innebär att bolaget skyndsamt kan behöva göra en första granskning och bedömning av de inkomna uppgifterna. –Uppgifter får inte bevaras än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. En anmälan som befinns vara ogrundad bör tas bort . Om en anmälan leder till utredning bör uppgifterna tas bort när utredningen är avslutad eller, om utredningen leder till åtgärder mot den registrerade, när uppgifterna inte längre behövs för detta ändamål. Ovanstående krav kan jämföras med Europeiska Datatillsynsmannens yttrande över kommissionens förslag till kapitaltäckningsdirektiv (2012/C 175/01). I yttrandet anges att berörda organ i så stor utsträckning som möjligt ska begränsa vilka personer som kan pekas ut, vilka överträdelser som kan rapporteras och att det ska införas begränsningar om hur länge uppgifterna bevaras. I det yttrande som avgetts av artikel 29-gruppen (se föregående avsnitt) anges att de personuppgifter som behandlas av ett system ska raderas snabbt och normalt inom två månad- er efter det att de påståenden som framförs i anmälan har undersökts. Om uppgiften bedöms vara grundlös, ska den raderas . I fråga om enskildas rätt att få information om registrerade uppgifter bör noteras att om uppgifter om en person samlas in från någon annan källa än den registrerade, ska den registrerade få information från den personuppgiftsansvarige i enlighet med bestämmelserna i 24 och 25 §§ personuppgiftslagen. Av 26 § samma lag följer även en rätt för den som begär det att få information om det finns uppgifter registrerade om honom eller henne, inklusive information om varifrån uppgifterna har hämtats. Enligt 27 § gäller bestämmelserna i 24–26 §§ emellertid inte om det i en lag eller någon annan författning eller i ett beslut som har meddelats med stöd av en författning är särskilt föreskrivet att uppgifter inte får lämnas ut till den registrerade (se prop. 1997/98:44 s. 80). Informationsskyldigheten kan i vissa fall innebära att en registrerad har rätt att ta del av uppgifter om sig själv i handlingar som inte är allmänna och således inte omfattas av offentlighetsprincipen (se a. prop. s. 84). Regler om sekretess och tystnadsplikt går således före informations- skyldigheten. Rätten att låta bli att ge ut information till den registrerade med stöd av offentlighets- och sekretesslagen gäller även för en person- uppgiftsansvarig som inte är en myndighet. Det finns således både praxis och vägledning i fråga om vilka krav som gäller för att det ska vara tillåtet för företag att behandla personuppgifter inom ramen för ett rapporteringssystem. Som framgått innebär regle- ringen begränsningar av vilka uppgifter som får behandlas inom ramen för system för visselblåsare. Frågan bör därför ställas om regleringen är förenlig med vad som följer av förordningen om värdepapperscentraler (artikel 65.1). Förordningen ställer nämligen krav på medlemsstaterna att införa system för att uppmuntra rapportering av potentiella och faktiska överträdelser av förordningen, utan att begränsa rapporteringen till att avse en begränsad personkrets eller för att utreda om det är fråga om sådana allvarliga oegentligheter som omnämns i Datainspektionens Förordningen skulle således kunna uppfattas som att den ställer krav på att systemen ska avse fler överträdelser än vad som är tillåtet enligt Datainspektionens föreskrifter (artikel 65.3). Datainspektionens föreskrifter har utformats mot bakgrund av det skydd för personuppgifter som följer av dataskyddsdirektivet och i enlig- het med vad som rekommenderats av artikel 29-gruppen. av personuppgifter inom ramen för de system som föreskrivs i kapital- täckningsdirektivet ska också utformas i enlighet med det som följer av dataskyddsdirektivet (se prop. 2013/14:228 s. 252). föreskrifter bör därför vara förenliga med de krav som följer av mot- svarande regler i förordningen om värdepapperscentraler (artikel 65.3). Reglerna i förordningen kan å andra sidan inte ses som ett hinder mot att ta emot anmälningar som innehåller andra typer av överträdelser än sådana som avses i Datainspektionens föreskrifter. omhändertagande av anmälningar som inte omfattas av Datainspek- tionens föreskrifter, får emellertid inte omhändertas på ett sätt som innebär behandling av personuppgifter enligt personuppgiftslagen. personuppgiftsansvarige måste därför skyndsamt göra en första gransk- ning av inkomna uppgifter med syfte att ta bort sådana anmälningar som inte får behandlas inom ramen för det särskilda Givetvis är det på förhand svårt att avgöra om uppgifter som framkommer inom ramen för ett rapporteringssystem i slutändan verkligen kommer leda till en utredning om allvarliga oegent- ligheter eller brott. Det viktiga är dock att den personuppgiftsansvarige inte får ha för avsikt att utreda annat än sådana överträdelser som upptas i Datainspektionens föreskrifter, dvs. Val av rapporteringssystem och metoder för att omhänderta inkomna anmälningar inverkar således på vilken typ av anmälningar som får omhändertas inom ramen för ett särskilt inrättat system. När det gäller själva utformningen av system för visselblåsare kan viss ledning sökas i ICC:s riktlinjer (ICC Guidelines on whistleblowing). Riktlinjerna förordar att det ska vara upp till varje enskilt företag att besluta vilken typ av kommunikationskanal (muntlig, skriftlig, telefon- baserad eller datorbaserad) som det vill använda sig av. systemen anpassas efter företagets storlek och resurser och ha som målsättning att kunna ta emot och besvara alla rimliga förfrågningar om råd och vägledning rörande affärsetiska frågor och andra etiska bekymmer som lyfts fram av både anställda och externa aktörer. Systemen bör även, i ett så tidigt skede som möjligt, ta emot och hantera rapporter från anställda och externa aktörer om någon som helst faktiskt eller misstänkt förekomst av ett brott mot tillämpliga lagar etc. som allvarligt kan skada företaget eller koncernen. också anvisningar om vem som bör ansvara för förvaltningen av systemen, varvid förordas att ansvaret bör åläggas personal med odiskutabelt anseende och betydande arbetslivserfarenhet, där en del av arrangemanget får bestå av externa företag som specialiserat sig på mottagande av anmälningar från visselblåsare. Riktlinjerna ställer krav på företagen att behandla uppgifter om identiteten på den som slår larm och den som anmälaren avser konfidentiellt. Rapporter ska under strikta sekretessgarantier följas upp av lämpliga personer eller enheter inom företaget. Resultatet av undersökningen bör så snart det är lämpligt kommuniceras med den som har gjort anmälan. Även den eller de personer vars beteende det rapporterats om ska informeras om huvud- dragen i det pågående förfarandet och beredas tillfälle att försvara sig. En rapport ska dock lämnas utan avseende om den inte lämnats i god tro. ICC:s riktlinjer och Datainspektionens föreskrifter skiljer sig åt på vissa punkter. ICC:s riktlinjer förordar att företagen själva ska besluta om rapporteringen inom systemet ska vara obligatorisk eller inte, medan Datainspektionen kräver att användningen av systemen måste vara frivillig. Riktlinjerna förordar inte heller en användning som begränsar sig till en viss typ av missförhållanden och viss typ av brottslighet, även om ICC:s riktlinjer upptar oegentligheter som ”allvarligt” kan skada företaget eller koncernen. De anmälningar om missförhållanden som avses gäller i första hand överträdelser av bestämmelser i förordningen, rättsakter som har antagits med stöd av förordningen, kontoföringslagen samt föreskrifter som har meddelats med stöd av kontoföringslagen. Det är emellertid svårt att avgränsa regleringen till att avse enbart anmälningar och utsagor som rör överträdelser av bestämmelser direkt knutna till dessa regelverk. Kraven i förordningen bör därför tillgodoses genom att det tas in en bestämmelse i lag som utformas på så sätt att den omfattar överträdelser av bestäm- melser som gäller för institutets verksamhet. Besvärliga gränsdragnings- problem kan därigenom undvikas. medför det ett både tydlig- are och säkrare skydd för anmälaren. I kontoföringslagen bör det således införas ett krav på värdepappers- centraler och kontoförande institut att tillhandahålla ändamålsenliga rapporteringssystem för anställda som vill göra anmälningar om miss- tänkta överträdelser av bestämmelser som gäller för verksamheten. Detta överensstämmer med den bedömning som gjordes vid genomförandet av kapitaltäckningsdirektivet (a. prop. 248–254). Oavsett vilket rapporteringsförfarande som används ska undersök- ningen av lämnade uppgifter ske på ett proportionerligt och oberoende sätt, vilket får anses innefatta krav på att det sker ett lämpligt urval av vilka personer som ges i uppgift att hantera systemet och följa upp gjorda anmälningar. Om det system som används innebär behandling av person- uppgifter enligt personuppgiftslagen, måste systemen uppfylla och användas i enlighet med de krav som följer av den lagen och Data- inspektionens föreskrifter på området. Anställda bör, för att minska risken för ett felaktigt användande av valda system, erhålla information om för vilka syften som inrättade system är avsedda att användas. Tillsynen över att instituten efterlever dessa krav ankommer dock inte på utan på Datainspektionen. 8.9.6Skydd för anmälarens och den utpekade personens identitet