sou · H8B338 · 2020-06-29 00:00:00 — Skälen för bedömningen: Som tidigare nämnts är det svårt att på förhand förutse vilka personuppgifter som kommer att rapporteras genom rapporteringskanalerna. Uppgifterna kommer dessutom ytterst att bestämmas av vilken information som den rapporterande perso- nen väljer att rapportera. Som tidigare berörts kan det antas att det vid sidan av uppgifter som är relevanta för att bedöma om det före- ligger ett missförhållande sannolikt även kommer rapporteras upp- gifter som helt eller delvis saknar relevans för en sådan bedömning. Det skulle kunna bero på att den rapporterande personen missupp- fattat vilken information som ska rapporteras genom kanalerna eller misstagit sig om vilka uppgifter som har relevans för att utreda ett påstått missförhållande. I andra stycket i artikel 17 i visselblåsardirektivet anges att person- uppgifter som uppenbart inte är relevanta för handläggningen av en viss rapport inte får samlas in och ska raderas utan onödigt dröjsmål om de samlats in av misstag. För att direktivet ska genomföras i fråga om personuppgifter som saknar relevans behöver det alltså finnas en bestämmelse i den svenska rättsordningen som säkerställer att per- sonuppgifter som uppenbart saknar relevans för handläggningen av en rapport inte får samlas in och ska, om de samlats in av misstag, raderas utan onödigt dröjsmål. Som tidigare berörts gäller enligt ändamålsbegränsningen i arti- kel 5.1 b i dataskyddsförordningen att personuppgifter ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Enligt artikel 5.1 c ska personuppgifterna vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de be- handlas. I artikel 5.1 d anges vidare att personuppgifterna ska vara korrekta och om nödvändigt uppdaterade. Alla rimliga åtgärder måste vidtas för att säkerställa att personuppgifter som är felaktiga i förhållande till de ändamål för vilka de behandlas raderas eller rättas utan dröjsmål. Enligt vår bedömning innebär de principer för personuppgifts- behandlingen som fastläggs i artikel 5.1 b–d i dataskyddsförordningen att personuppgifter som uppenbart saknar relevans, redan enligt dataskyddsförordningens bestämmelser, inte kommer att få samlas in och ska raderas om de samlats in av misstag. Bestämmelserna kan inte tolkas på något annat sätt än att så snart det står klart att en personuppgift inte har någon relevans för rapporteringen eller upp- följningen i ett uppföljningsärende ska den raderas så snart som möj- ligt, dvs. Vi bedömer att kravet på radering utan dröjsmål i dataskyddsförordningen i allt väsentligt motsvarar kravet på radering utan onödigt dröjsmål i visselblåsardirektivet eftersom konsekven- sen i båda fallen är att personuppgifterna ska raderas omgående så snart det står klart att de saknar relevans för uppföljningsärendet. Vi anser därför att direktivets krav i andra stycket i artikel 17 redan möts genom dataskyddsförordningens bestämmelser och att inga ytterligare bestämmelser behöver införas i det avseendet. Vi återkommer i avsnitt 10.5.14 om vad som gäller i förhållande mellan dataskyddsförordningens principer om uppgifts- och lagrings- minimering å ena sidan och de svenska reglerna om att allmänna handlingar ska bevaras å andra sidan. 10.5.8Behandling av uppgifter om lagöverträdelser av andra än myndigheter Bedömning: Personuppgifter om lagöverträdelser får behandlas av andra än myndigheter om behandlingen är nödvändig för att fullgöra förpliktelser enligt den föreslagna lagen. Eftersom full- görandet av direktivets krav kommer att framgå av den föreslagna lagen behövs ingen särskild bestämmelse om detta i lagen. Skälen för bedömningen: Det är inte endast myndigheter som kommer att behöva behandla personuppgifter om misstänkta och konstaterade lagöverträdelser för att kunna fullgöra sina förpliktel- ser enligt den föreslagna lagen. Företag, stiftelser, föreningar och andra kommer att behöva ta emot, registrera, lämna ut och på andra sätt behandla uppgifter, om t.ex. att en person inom verksamheten har begått ett brott. Enligt artikel 10 i dataskyddsförordningen får behandling av per- sonuppgifter som rör fällande domar i brottmål och överträdelser eller därmed sammanhängande säkerhetsåtgärder utföras endast under kontroll av myndighet eller då behandling är tillåten enligt unions- rätten eller medlemsstaternas nationella rätt, där lämpliga skydds- åtgärder för de registrerades rättigheter och friheter fastställs. Ett fullständigt register över fällande domar i brottmål får endast föras under kontroll av en myndighet. I dataskyddslagen anges att regeringen eller den myndighet som regeringen bestämmer får meddela ytterligare föreskrifter om i vilka fall andra än myndigheter får behandla personuppgifter om lagöver- trädelser. Sådana föreskrifter har meddelats i förordningen (2018:219) med kompletterande bestämmelser till EU:s dataskyddsförordning. Av förordningen framgår att personuppgifter om lagöverträdelser får behandlas av andra än myndigheter om behandlingen är nödvän- dig för att 1. rättsliga anspråk ska kunna fastställas, göras gällande eller försvaras, eller 2. en rättslig förpliktelse enligt lag eller förord- ning ska kunna fullgöras. Genom de kompletterande bestämmelser som har förts in i svensk rätt är det alltså möjligt för andra än myn- digheter att behandla personuppgifter om lagöverträdelser i den ut- sträckning det är nödvändigt för att fullgöra förpliktelser enligt den nya lagen. Som framgått föreslår vi att det i den nya lagen ska införas en skyldighet för arbetsgivare att ha interna rapporteringskanaler och förfaranden, vilket inkluderar en skyldighet att ta emot, följa upp och lämna återkoppling om rapporterade missförhållanden. Skyldig- heten att ha interna rapporteringskanaler och förfaranden är en sådan rättslig förpliktelse som avses i förordningen med kompletterande bestämmelser till EU:s dataskyddsförordning. Om det är nödvän- digt för att fullgöra denna rättsliga förpliktelse får personuppgifter om lagöverträdelser således behandlas. 10.5.9Behandling av känsliga personuppgifter Bedömning: Det behöver inte införas någon särskild bestäm- melse för att känsliga personuppgifter ska få behandlas vid han- teringen av den information som rapporteras genom de interna och externa rapporteringskanalerna. Skälen för bedömningen: Behandling av personuppgifter som av- slöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filo- sofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identi- fiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning är enligt artikel 9.1 i data- skyddsförordningen förbjuden. I artikel 9.2 i anges ett antal uttömmande undantag från förbudet mot att behandla känsliga personuppgifter. Ett sådant undantag gäller om behandlingen är nödvändig av hänsyn till ett viktigt allmänt in- tresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt. Behandlingen ska stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen (artikel ). Iskäl 84 i visselblåsardirektivet uttalas att de förfaranden som före- skrivs i direktivet och som avser uppföljning av rapporter om överträ- delser av unionsrätten inom områden som faller inom dess tillämpnings- område tjänar det viktiga målet med unionens och dess medlemsstaters allmänintresse i den mening som avses i artikel 23.1 e i dataskydds- förordningen eftersom de syftar till att stärka kontrollen av efter- levnaden av unionsrätten på vissa politikområden där överträdelser kan orsaka allvarlig skada för allmänintresset. Artikel 23.1 e i dataskyddsförordningen reglerar möjligheten att begränsa registrerade personers rättigheter när deras personuppgifter behandlas, bl.a. om begränsningen utgör en nödvändig och proportio- nell åtgärd i ett demokratiskt samhälle i syfte att säkerställa unionens eller en medlemsstats viktiga mål av generellt allmänt intresse. Även om det inte uttryckligen framhålls i skäl 84 att direktivets syfte är att tjäna det viktiga målet med unionens och dess medlems- staters allmänintresse enligt artikel 9.2 i dataskyddsförordningen, på samma sätt som för artikel 23.1 e, gör vi bedömningen att det all- mänintresse som ligger till grund för direktivets bestämmelser är sådant som kan ligga till grund för att personuppgiftsbehandling ska vara tillåten även enligt artikel i dataskyddsförordningen. Information om känsliga personuppgifter torde i de allra flesta fall sakna relevans för att hantera en rapportering om missförhållan- den. kan det inte uteslutas att någon av de känsliga person- uppgifter som omfattas av artikel 9.1 i dataskyddsförordningen ändå kan ha omedelbar relevans för rapporteringen. Man skulle t.ex. kunna tänka sig att en rapporterande person i en rapport framför misstankar om att någon kollega gör sig skyldig till överträdelser och att det har samband med kollegans sjukdom. Genom den föreslagna lagen införs bestämmelser som ställer krav på privata och offentliga arbetsgivare att ha rapporteringskanaler. Det bakomliggande syftet med införandet av rapporteringskanalerna är enligt skäl 84 att tjäna unionens och medlemsstaternas allmän- intresse. Rapporteringskanalernas utformning ska säkerställa en konfidentiell behandling av den information som rapporteras och bara särskilt utsedd personal föreslås vara behörig att hantera den information som rapporteras genom rapporteringskanalerna (se av- snitten 7.10 och 8.10). Det kan mot den angivna bakgrunden konstateras att den person- uppgiftsbehandling som kommer att ske, sker i syfte att säkerställa och uppnå ett viktigt allmänt intresse, på grundval både av unions- rätten och den nationella rätten. Genom de krav som föreslås av- seende rapporteringskanalernas utformning och den personal som får hantera den rapporterade informationen införs lämpliga och sär- skilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Vi föreslår i avsnitt 10.5.14 även att det ska införas en särskild gallringsfrist. Vi anser därför att i de fall rappor- tering innehåller känsliga uppgifter av relevans så kommer även så- dana känsliga personuppgifter att kunna behandlas med stöd av arti- kel i dataskyddsförordningen. 10.5.10Överlämnande av rapporter med personuppgifter från en obehörig myndighet till en behörig myndighet Bedömning: Det behöver inte införas någon särskild reglering för att möjliggöra för en obehörig myndighet att lämna över en rapport som innehåller personuppgifter till en behörig myndighet inom ramen för den egna serviceskyldigheten. Skälen för bedömningen: Vi föreslår i avsnitt 8.8 att det ska utses behöriga myndigheter för att ta emot rapportering via externa rap- porteringskanaler och följa upp rapporteringen. De behöriga myn- digheternas behandling av personuppgifter inom ramen för hand- läggning och uppföljning av den externa rapporteringen kommer att grundas i att de har ålagts att utföra en rättslig förpliktelse enligt författning. Om en rapport kommer in till en myndighet som inte är behörig kommer myndigheten bl.a. att ställas inför frågan om vilka åtgärder som ska vidtas med anledning av rapporteringen och i vilken ut- sträckning de personuppgifter som rapporten innehåller begränsar myndighetens handlingsutrymme. Alla myndigheter har enligt en allmän förvaltningsrättslig princip som kommer till uttryck i 6 § förvaltningslagen en serviceskyldighet som bl.a. innebär att myndigheten ska se till att kontakterna med enskilda blir smidiga och enkla och att myndigheten ska lämna en- skilda sådan hjälp att de kan ta till vara sina intressen. Hjälpen kan t.ex. bestå i att hjälpa den enskilde att vända sig till rätt myndighet. Hjälpen ska ges i den utsträckning som är lämplig med hänsyn till frågans art, den enskildes behov av hjälp och myndighetens verk- samhet. Att vidarebefordra handlingar som en myndighet fått, men som en annan myndighet rätteligen borde ha, kan då ses som ett led i utövandet av förvaltningslagens serviceskyldighet. I artikel 6.1 e i dataskyddsförordningen anges att behandling som är nödvändig för att utföra en uppgift av allmänt intresse utgör en laglig grund för behandling av personuppgifter. I 2 kap. 2 § data- skyddslagen anges bl.a. att personuppgifter får behandlas med stöd av artikel 6.1 e i dataskyddsförordningen om behandlingen är nöd- vändig för att utföra en uppgift av allmänt intresse som följer av lag eller annan författning. I förarbetena till dataskyddslagen anges att myndighetens åliggande måste vara fastställd i enlighet med gällande rätt, men behöver inte framgå direkt av en författning. Alla uppgifter som riksdag eller regering gett i uppdrag åt statliga myndigheter att utföra är enligt regeringens mening av allmänt intresse. Om upp- gifterna inte vore av allmänt intresse skulle myndigheterna inte ha ålagts att utföra dem. Eftersom det är upp till varje medlemsstat att fastställa de uppgifter som är av allmänt intresse måste detta gälla även i dataskyddsförordningens mening (se prop. 2017/18:105 s. 56 f. och s. 188 f.). Vi bedömer mot den angivna bakgrunden att ett överlämnande av en rapport, som innehåller personuppgifter, från en obehörig myndig- het till en behörig myndighet är ett utövande av den serviceskyldighet som följer av förvaltningslagen och därmed utgör ett allmänt intresse enligt artikel 6.1 e i dataskyddsförordningen. Det behöver därför inte införas någon särskild personuppgiftsreglering för att möjliggöra ett sådant överlämnande. 10.5.11Det behöver inte göras undantag från den registrerades rättigheter Bedömning: Det behöver inte göras några undantag från den registrerades rättigheter. De undantag som behövs finns redan i dataskyddsförordningen och dataskyddslagen. Registrerade personers rättigheter vid personuppgiftsbehandling Registrerade personer vars personuppgifter behandlas har enligt artik- larna 12–22 i dataskyddsförordningen ett antal rättigheter i förhål- lande till den personuppgiftsansvarige. I artiklarna som reglerar rättig- heterna görs det skillnad på situationer då personuppgifterna kommer från den registrerade själv och situationer då personuppgifterna er- hållits från någon annan än den registrerade. I fall då personuppgifterna erhållits genom rapportering enligt den föreslagna lagen kommer alla personuppgifter som inte rör den rapporterande personen ha erhållits från någon annan än den registre- rade. I sådana fall är de rättigheter som finns i artiklarna 14–18 av särskilt intresse. Rättigheterna ger dessa personer möjlighet att kon- trollera och påverka behandlingen genom att de bl.a. ska få infor- mation om vilka personuppgifter som behandlas, syftet med behand- lingen och möjlighet att i vissa fall få sina personuppgifter rättade eller raderade. De rättigheter som följer av dataskyddsförordningen är inte absoluta utan kan under vissa förutsättningar begränsas. Begräns- ningar av rättigheterna kan följa både direkt av dataskyddsförord- ningen och av nationell lagstiftning. Hanteringen av rapporter medför ett behov av att kunna begränsa dataskyddsförordningens rättigheter Den rapportering som kommer in via de interna och externa rappor- teringskanalerna kan förväntas vara av mycket varierande slag. Inte sällan kommer de rapporterade missförhållandena att vara hänförliga till en eller flera utpekade personer som anges vara ansvariga för missförhållandet, dvs. berörda personer enligt direktivets termino- logi. I de fall en berörd person pekas ut som ansvarig kommer denne att ha intresse av att missförhållandet inte följs upp. Det behöver därför säkerställas att det finns möjligheter att begränsa de berörda personernas rättigheter i de fall det finns risk för att ut- redningen och uppföljningen störs eller hindras. Förutsättningar för att begränsa dataskyddsförordningens rättigheter i nationell rätt I dataskyddsförordningen anges att det ska vara möjligt att i unions- rätten eller i den medlemsstats nationella rätt som en personuppgifts- ansvarig eller ett personuppgiftsbiträde omfattas av, införa en lag- stiftningsåtgärd som begränsar tillämpningsområdet för vissa artiklar i vissa fall (artikel 23.1 e och i). Det gäller för de skyldigheter och rättigheter som föreskrivs i artiklarna 12–22 och 34 samt i artikel 5 i den mån dessa bestämmelser motsvarar de rättigheter och skyldig- heter som fastställs i artiklarna 12–22. En förutsättning för begräns- ningen är att den sker med respekt för andemeningen i de grund- läggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa unionens eller en medlemsstats viktiga mål av generellt allmänt in- tresse eller den registrerades eller andras rättigheter och friheter. I skäl 84 i visselblåsardirektivet anges att de förfaranden som föreskrivs i direktivet och som avser uppföljning av rapporter om överträdelser av unionsrätten inom områden som faller inom dess tillämpningsområde tjänar unionens och dess medlemsstaters allmän- intresse i den mening som avses i artikel 23.1 e i dataskyddsförord- ningen, eftersom det syftar till att stärka kontrollen av efterlevnaden av unionsrätten på vissa politikområden där överträdelser kan orsaka allvarlig skada för allmänintresset. Medlemsstaterna bör enligt skälet begränsa utövandet av vissa dataskyddsrättigheter för de berörda personerna genom lagstiftningsåtgärder i enlighet med artikel 23.1 e och i och 23.2 i dataskyddsförordningen i den mån och så länge det är nödvändigt för att förhindra och åtgärda försök att hindra rap- portering eller förhindra, störa eller försena uppföljningen, särskilt utredningar, eller försök att identifiera de rapporterande personer- nas identitet. Rätten till information när personuppgifterna inte har erhållits från den registrerade Enligt artikel 14.1–4 i dataskyddsförordningen ska den person- uppgiftsansvarige i fall då personuppgifterna inte har erhållits från den registrerade förse den registrerade med viss information rörande bl.a. ändamålen och den rättsliga grunden för personuppgiftsbehand- lingen, vilka kategorier av personuppgifter som behandlingen gäller och varifrån personuppgifterna kommer. Skyldigheten att lämna in- formation ska inte tillämpas i den mån skyldigheten enligt artikeln sannolikt kommer att göra det omöjligt eller avsevärt försvårar upp- fyllandet av målen med behandlingen. I sådana fall ska den person- uppgiftsansvarige vidta lämpliga åtgärder för att skydda den registre- rades rättigheter och friheter och berättigade intressen, inbegripet göra uppgifterna tillgängliga för allmänheten (artikel 14.5 b). Skyl- digheten att lämna information ska inte heller tillämpas i fall då personuppgifterna måste förbli konfidentiella till följd av tystnads- plikt enligt unionsrätten eller medlemsstaternas nationella rätt, in- begripet andra lagstadgade sekretessförpliktelser (artikel 14.5 d). Genom skyldigheten att lämna information enligt artikel 14 i dataskyddsförordningen har berörda personer möjlighet att få både viss information om själva personuppgiftsbehandlingen och specifik information om vem som har försett den personuppgiftsansvarige med personuppgifterna. Om en berörd person får tillgång till sådan information skulle det kunna innebära att en berörd person, som är ansvarig för att missförhållanden uppstått, ges oönskade möjligheter att skaffa undan bevis och hindra utredningen. Vidare medför skyldigheten att lämna information om varifrån personuppgifterna kommer, enligt artikel 14.2 f i dataskyddsförordningen, att direk- tivets krav på att hemlighålla rapporterande personers identitet i artikel 16 inte skulle kunna garanteras. För att utredningen inte ska försvåras kan det därför enligt vår bedömning antas vara av avgörande betydelse att en berörd person i vissa fall inte får vetskap om att det pågår en utredning. Det är därför angeläget att det finns möjlighet att senarelägga tidpunkten då den berörda personen ska få information om att det pågår person- uppgiftsbehandling. En sådan möjlighet finns enligt vår bedömning genom undantaget i artikel 14.5. b i dataskyddsförordningen som anger att skyldigheten att lämna information inte ska tillämpas i den mån som skyldigheten sannolikt kommer att göra det omöjligt eller avsevärt försvårar uppfyllandet av målen med behandlingen. Vad gäller rätten att få veta varifrån personuppgifterna kommer, enligt artikel 14.2 f i dataskyddsförordningen, föreslår vi i avsnitt 9.2 en sekretessbestämmelse som innebär att sådan information inte får lämnas ut. Motsvarande bestämmelse om tystnadsplikt i enskild verk- samhet föreslås i avsnitt 9.5. Bestämmelserna föreslås genomföras genom bestämmelser i offentlighets- och sekretesslagen och en be- stämmelse i den föreslagna lagen. Eftersom bestämmelserna därmed kommer att framgå av lag blir undantaget i artikel 14.5 d tillämpligt, i och med att personuppgifterna måste förbli konfidentiella till följd av en tystnadsplikt enligt den nationella rätten. Rättigheten enligt artikel 14.2 f att få information om var personuppgifterna kommer från kommer därmed att hindras genom bestämmelsen i artikel 14.5 d. Någon ytterligare reglering utöver de nämnda sekretess- och tystnads- pliktsbestämmelserna behövs därför inte. Rätten att få tillgång till de personuppgifter som behandlas Enligt artikel 15 i dataskyddsförordningen ska den registrerade ha rätt att på begäran få bekräftelse av den personuppgiftsansvarige på huruvida personuppgifter som rör honom eller henne håller på att behandlas. Om så är fallet ska den registrerade också få tillgång till personuppgifterna och få viss information om bl.a. ändamålen för behandlingen, vilka kategorier av personuppgifter som behandlingen gäller och varifrån uppgifterna kommer. Artikel 15 har stora likheter med artikel 14 genom att artikeln reglerar vilken information en registrerad ska få ta del av. En viktig skillnad är dock att artikel 14 ålägger den personuppgiftsansvarige en skyldighet att på eget initiativ lämna viss information medan artikel 15 ger den registrerade en ut- talad rätt att på begäran få ta del av information om personuppgifts- behandlingen. En annan viktig skillnad är att artikel 15 inte medger någon inskränkning av den registrerades möjlighet att ta del av infor- mationen, utan inskränkningar måste göras med stöd av nationell rätt i enlighet med artikel 23 i dataskyddsförordningen. Genom rätten till bekräftelse och tillgång till information enligt artikel 15 har berörda personer rätt till både viss information om själva personuppgiftsbehandlingen och specifik information om vem som har försett den personuppgiftsansvarige med personuppgifterna. Om en berörd person utnyttjar sina rättigheter skulle det kunna innebära att en berörd person, som är ansvarig för att missförhål- landen uppstått, ges oönskade möjligheter att skaffa undan bevis och hindra utredningen. Ett utnyttjande av rätten enligt artikel att få veta varifrån personuppgifterna kommer skulle även innebära att direktivets krav på att den rapporterande personens identitet ska hemlighållas inte uppfylls. För att genomföra visselblåsardirektivet behöver det därför vara möjligt att begränsa berörda personers rättig- heter i samma utsträckning som för personuppgiftsansvarigas skyldig- heter enligt artikel 14. Artikel 15 innehåller inte någon egen bestäm- melse som medger undantag för registrerade personers rättigheter. Enligt 5 kap. 1 § första stycket dataskyddslagen gäller artiklarna 13–