sou · H8B338 · 2020-06-29 00:00:00 — Det är förbjudet att behandla uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening samt genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa och uppgifter om en fysisk persons sexualliv eller sexuella läggning (artikel 9.1 i dataskyddsförordningen). Sådana uppgifter benämns i dataskyddslagen känsliga personuppgifter. Förbudet ska dock inte tillämpas om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlems- staternas nationella rätt, vilken ska stå i proportion till det efter- strävade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättig- heter och intressen (artikel ). Behandling av personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott eller därmed samman- hängande säkerhetsåtgärder enligt artikel 6.1 får utföras endast under kontroll av en myndighet eller då behandling är tillåten enligt unions- rätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgär- der för de registrerades rättigheter och friheter fastställs (artikel 10). I tredje kapitlet i dataskyddsförordningen (artiklarna 12–23) anges den registrerades rättigheter i samband med att personuppgifter be- handlas. Dessa rättigheter kan under vissa förutsättningar begränsas, se vidare avsnitt 10.5.11. 10.4Visselblåsardirektivets bestämmelser om behandling av personuppgifter I artikel 17 i visselblåsardirektivet anges att behandling av person- uppgifter, inbegripet de behöriga myndigheternas utbyte eller över- föring av personuppgifter, ska ske i enlighet med dataskyddsförord- ningen och dataskyddsdirektivet. Vidare anges att personuppgifter som uppenbart inte är relevanta för handläggningen av en viss rap- port inte får samlas in. Om de samlats in av misstag ska de raderas utan onödigt dröjsmål. Det framgår vidare att utbyte eller överföring av information som görs av unionens institutioner, organ eller byråer ska ske i enlighet med och rådets förord- ning (EU) 2018/1725 av om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning (EG) nr 45/2001 och beslut nr 1247/2002/EG. I skäl 84 anges att förfaranden för uppföljning av rapporter om överträdelser av unionsrätten tjänar unionens och dess medlems- staters allmänintresse, i den mening som avses i artikel 23.1 e i data- skyddsförordningen, eftersom det syftar till att stärka kontrollen av efterlevnaden av unionsrätten på vissa politikområden där överträ- delser kan orsaka allvarlig skada för allmänintresset. Ett effektivt sekretesskydd för rapporterande personers identitet är nödvändigt för att skydda andras, i synnerhet de rapporterande personernas, fri- och rättigheter. Medlemsstaterna bör vidare enligt skälet säkerställa att direktivet är ändamålsenligt och vid behov genom lagstiftningsåtgärder be- gränsa utövandet av vissa dataskyddsrättigheter för de berörda per- sonerna i enlighet med artikel 23.1 e och i och 23.2 i dataskydds- förordningen. Det bör ske i den mån och så länge det är nödvändigt för att förhindra och åtgärda försök att hindra rapportering eller för- hindra, störa eller försena uppföljningen, särskilt utredningar, eller försök att identifiera de rapporterande personernas identitet. Även de rättigheter som ges den berörda personen enligt artiklarna 13.3 a och e, 15.1 a och e, 16.4 a och e och 31.5 i dataskyddsdirektivet bör begränsas av samma skäl och under samma förutsättningar (skäl 85). I skäl 74 anges att personal vid de behöriga myndigheterna som ansvarar för att handlägga rapporter bör få fortbildning, även i fråga om gällande dataskyddsregler, för att handlägga rapporter och säker- ställa att kommunikationen med den rapporterande personen och uppföljningen av rapporten sker på lämpligt sätt. 10.5Behandling av personuppgifter vid intern och extern rapportering 10.5.1Den rättsliga grunden för personuppgiftsbehandlingen Bedömning: Den rättsliga grunden för behandlingen av person- uppgifter vid intern och extern rapportering kommer i allmänhet att vara att behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. Skälen för bedömningen: All behandling av personuppgifter måste ha stöd i någon av de rättsliga grunder som anges i artikel 6 i dataskydds- förordningen (se avsnitt 10.3.4 för en redogörelse för grunderna). Direktivet ställer krav på att interna och externa rapporterings- kanaler och förfaranden ska inrättas för att information om över- trädelser ska kunna rapporteras till rättsliga enheter i den privata och offentliga sektorn som i sin tur kan vidta åtgärder för att komma till rätta med de missförhållanden som rapporterats. För att möta direktivets krav på inrättande av interna och externa rapporterings- kanaler föreslår vi att en sådan skyldighet ska fastställas i lag. Den närmare utformningen av de interna rapporteringskanalerna och för- farandena vid intern rapportering föreslås fastställas i lag, medan den närmare utformningen av de externa rapporteringskanalerna och förfarandena vid extern rapportering föreslås fastställas i förordning. Både inom det allmännas verksamhet och inom privat verksamhet kommer det enligt våra förslag att finnas en skyldighet för vissa arbetsgivare att ha interna rapporteringskanaler och förfaranden. Dessutom kommer det att finnas en skyldighet för vissa behöriga myndigheter att ha externa rapporteringskanaler och förfaranden. Vidare kommer det att finnas specifika förfaranderegler för både arbetsgivare och behöriga myndigheter. I dessa förfaranderegler fast- ställs bl.a. vilka personer som ska kunna rapportera, vilka rappor- teringssätt som ska finnas tillgängliga och hur kommunikationen ska ske med den rapporterande personen. Det framgår av författnings- förslagen att de personer och enheter som utses för att sköta kana- lerna och förfarandena kommer att ta emot rapporter och ha kontakt med rapporterande personer, följa upp det som rapporteras, samt lämna återkoppling om uppföljningen till den rapporterande personen. Rapporteringskanalerna och förfarandena ska enligt förslagen doku- menteras och det föreslås finnas uppgiftsskyldigheter som reglerar när uppgifter ska lämnas från de som sköter rapporteringskanalerna. Enligt dataskyddsförordningen är behandling av personuppgifter laglig om behandlingen är nödvändig för att fullgöra en rättslig för- pliktelse som åvilar den personuppgiftsansvarige (artikel 6.1 c). En förutsättning är att den rättsliga förpliktelsen fastställs i unionsrätten eller i den nationella rätten (artikel 6.3). I 2 kap. 1 § dataskyddslagen finns en kompletterande bestämmelse till grunden rättslig förpliktelse som anger att personuppgifter får behandlas om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna fullgöra en rättslig förpliktelse som följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning. Som vi konstaterar ovan föreslås en relativt detal- jerad reglering i lag och förordning om vilka skyldigheter som åvilar den som ska ha rapporteringskanaler och förfaranden. När det gäller den behandling av personuppgifter som kommer att ske med stöd av den nya lagen kommer därför den rättsliga grunden i allmänhet, både i det allmännas verksamhet och i privat verksamhet, vara att behand- lingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige enligt lag, förordning eller i förekom- mande fall enligt kollektivavtal (avsnitt 5.4). Även andra rättsliga grunder kommer att kunna utgöra stöd för den personuppgiftsbehandling som är nödvändig enligt den före- slagna lagen. Det gäller i synnerhet att behandlingen är nödvändig för att fullgöra en uppgift av allmänt intresse (artikel 6.1 e). Som framgått ovan anges i skäl 84 att förfaranden för uppföljning av rapporter om överträdelser av unionsrätten tjänar unionens och dess medlemsstaters allmänintresse, i den mening som avses i dataskydds- förordningen, eftersom det syftar till att stärka kontrollen av efter- levnaden av unionsrätten på vissa politikområden där överträdelser kan orsaka allvarlig skada för allmänintresset. En väsentlig del i vissel- blåsarregleringen är uppföljningen av rapporterna. Behandlingen av personuppgifter i hela kedjan av förfarandet bör därför kunna stödja sig på den grunden att behandlingen är nödvändig för att fullgöra en uppgift av allmänt intresse. En uppgift av allmänt intresse ska liksom en rättslig förpliktelse vara fastställd i unionsrätten eller i den natio- nella rätten. Vi bedömer att uppgiften följer av den föreslagna lagen och förordningen och att den också skulle kunna följa av ett kollek- tivavtal som avviker från lagen eller förordningen. Uppgiften be- döms därför vara fastställd på det sätt som krävs (se 2 kap. 2 § data- skyddslagen). Personuppgiftsbehandlingen kan också stödja sig på ett samtycke från den registrerade enligt artikel 6.1 a i dataskyddsförordningen. Vi vill dock påpeka att samtycket verkligen måste vara frivilligt för att kunna ligga till grund för personuppgiftsbehandlingen. I skäl 43 i dataskyddsförordningen anges bl.a. att för att säkerställa att ett samtycke lämnas frivilligt bör det inte utgöra en giltig rättslig grund för behandling av personuppgifter i fall där det råder betydande ojämlikhet mellan den registrerade och den personuppgiftsansvarige, särskilt om den personuppgiftsansvarige är en offentlig myndighet. Det är därför inte säkert att samtycke kan användas som rättslig grund i detta sammanhang eftersom den rapporterande eller berörda personen i allmänhet är en person som står i ett ekonomiskt och socialt beroendeförhållande till den personuppgiftsansvarige eller annars befinner sig i en underlägsen ställning till denne. 10.5.2Dataskyddsdirektivets krav på personuppgiftsbehandling möts av befintliga bestämmelser i brottsdatalagen Bedömning: Det behöver inte införas några särskilda bestämmel- ser för att möta dataskyddsdirektivets krav på personuppgifts- behandling. Skälen för bedömningen: Behandling av personuppgifter enligt visselblåsardirektivet, inbegripet de behöriga myndigheternas utbyte eller överföring av personuppgifter, ska enligt artikel 17 ske i enlig- het med dataskyddsdirektivet. I skäl 83 anges att särskild hänsyn bl.a. bör tas till principerna för behandling av personuppgifter i artikel 4 och principen om inbyggt dataskydd och dataskydd som standard i artikel 20 i dataskyddsdirektivet. Dataskyddsdirektivet är enligt dess artikel 2 tillämpligt på person- uppgiftsbehandling som utförs av behöriga myndigheter i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, inklusive att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten. Dataskyddsdirektivet är genomfört i svensk rätt genom brottsdatalagen. Brottsdatalagen gäller vid behandling av personuppgifter som utförs av behöriga myndigheter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straffrättsliga påföljder. Den gäller också vid behandling av personuppgifter som en behörig myndighet utför i syfte att upprätthålla allmän ordning och säkerhet (1 kap. 2 § brottsdatalagen). Som konstaterats ovan i avsnitt 10.3.2 är det syftet med behand- lingen av personuppgifter i det enskilda fallet som blir avgörande för när brottsdatalagen ska tillämpas, inte i vilken verksamhet behand- lingen utförs. Genom de bestämmelser vi föreslår kommer myndigheter och privata arbetsgivare att behöva införa rapporteringskanaler och för- faranden för att ta emot, följa upp och återkoppla slutsatser från uppföljningen till rapporterande personer inom ramen för en vissel- blåsarfunktion. Den uppföljning som görs inom visselblåsarfunk- tionen kommer att ha till huvudsakligt syfte att bedöma riktigheten av de påståenden som framställts i en rapport. Baserat på visselblåsar- funktionens slutsatser kommer det med stöd av de uppgiftsskyldig- heter och den uppföljningsplikt som föreslås i avsnitt 7.16 och 8.17 finnas möjligheter att lämna information från visselblåsarärendet vidare till andra funktioner utanför visselblåsarfunktionen. Beroende på visselblåsarfunktionens slutsatser kan ett sådant utlämnade t.ex. komma att göras till en tillsynsenhet hos en myndighet, en enhet för personalansvarsfrågor hos privata eller offentliga arbetsgivare, eller till brottsbekämpande myndigheter om det är motiverat att göra en polisanmälan. I de fall ett brott kan antas ha begåtts kommer det inte att vara visselblåsarfunktionens uppgift att utreda ansvaret för brottet eller verka för att lagföring sker. Den uppgiften är förbehållen de brotts- bekämpande myndigheterna som tillämpar brottsdatalagens person- uppgiftsbestämmelser. Vi bedömer därför att den verksamhet som kommer bedrivas inom visselblåsarfunktionerna i såväl offentlig som privat verksam- het aldrig kommer att ha det syfte som definierar tillämpnings- området för dataskyddsdirektivet och brottsdatalagen. I den mån åt- gärder för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder framstår som påkallade kom- mer det vara möjligt att lämna uppgifter ur uppföljningsärendet till myndigheter som är behöriga att vidta sådana åtgärder. Eftersom dessa myndigheter är skyldiga att följa de regler om personuppgifts- behandling som återfinns i dataskyddsdirektivet och brottsdatalagen är kravet i artikel 17 i direktivet på sådan personuppgiftsbehandling redan uppfyllt. Några särskilda bestämmelser för att säkerställa att personuppgiftsbehandling sker i enlighet med dataskyddsdirektivet behöver därför inte införas. 10.5.3Det behövs en särskild reglering om behandling av personuppgifter Bedömning: Dataskyddsförordningens bestämmelser behöver kompletteras. De kompletterande bestämmelserna om behandling av person- uppgifter bör införas i den nya lagen. Skälen för bedömningen: Det står som vi har konstaterat klart att den nya lagen kommer att resultera i en omfattande behand- ling av personuppgifter som ofta kommer att vara av integritetskänslig I det allmänna dataskyddsregelverket finns bestämmelser som medför ett omfattande skydd för den personliga integriteten. Vi anser emellertid att det finns anledning att införa bestämmelser som är anpassade till den särskilda personuppgiftsbehandling som kommer att bli aktuell som en följd av den nya lagstiftningen och som säkerställer en hög skyddsnivå för personuppgifter. Det bör därför införas särskilda bestämmelser som kompletterar dataskydds- förordningen vid behandling av personuppgifter i samband med in- tern och extern rapportering. Enligt 2 kap. 6 § andra stycket regeringsformen är var och en gentemot det allmänna skyddad mot betydande intrång i den per- sonliga integriteten, om det sker utan samtycke och innebär över- vakning eller kartläggning av den enskildes personliga förhållanden. Om det rör sig om ett sådant betydande intrång i den personliga integriteten, krävs enligt 2 kap. 20 § regeringsformen lag för att be- gränsa skyddet mot övervakning och kartläggning av den enskildes personliga förhållanden. Som berörts i avsnitt 10.2 är det svårt att på förhand närmare avgöra vilken sorts uppgifter som kommer att rap- porteras genom rapporteringskanalerna, men att uppgifterna kommer att inkludera konstaterade och misstänkta regelöverträdelser rörande ekonomiska brott, korruptionsbrott, arbetsmiljöbrott, diskriminering och trakasserier framstår som sannolikt. Vi bedömer dock, trots den ökade personuppgiftsbehandlingen, att förslagen inte medför ett sådant betydande intrång i den person- liga integriteten som avses i regeringsformen. I svensk rätt har det emellertid länge varit en ambition att särskilt integritetskänslig registerföring ska regleras i lag, främst därför att en sådan normgivningsnivå säkerställer att det görs en grundlig ut- redning och en ingående avvägning mellan integritetsintresset och de intressen som talar för registerföringen, se t.ex. betänkandet Myndighetsdatalag (SOU 2015:39 s. 94). Lagreglering bidrar även till stabilitet och långsiktig förutsebarhet. Mot bakgrund av den syn som dessa uttalanden ger uttryck för bör behandlingen av person- uppgifterna enligt vår mening regleras i lag. Enligt vår uppfattning är det eftersträvansvärt att i en och samma lag samla all personuppgiftsreglering så koncentrerat som möjligt. Den nya regleringen bör därför placeras i ett eget kapitel i den före- slagna lagen. Förslag: Bestämmelserna om behandling av personuppgifter ska gälla vid behandling i ett uppföljningsärende. Bestämmelserna ska endast tillämpas på helt eller delvis auto- matiserad behandling av personuppgifter och annan behandling av personuppgifter som ingår eller kommer att ingå i ett register. Skälen för förslagen: Den nya lagen föreslås innehålla bestämmelser om skydd i form av ansvarsfrihet och förbud mot hindrande åtgärder och repressalier. Lagen föreslås också innehålla bestämmelser om interna och externa rapporteringskanaler och förfaranden. Enligt den bedömning som vi gör ovan kommer omfattningen av behand- ling av personuppgifter öka något inom personaladministrativ verk- samhet och inom rättsliga förfaranden. Vi anser emellertid att det inte behöver införas några kompletterande bestämmelser som regle- rar den behandlingen. Däremot finns det enligt vår mening behov av kompletterande bestämmelser när det gäller behandling av person- uppgifter i ett uppföljningsärende inom ramen för sådana interna och externa rapporteringskanaler och förfaranden som avses i lagen. Dataskyddsförordningens materiella tillämpningsområde omfat- tar, enligt artikel 2.1, sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt annan behandling än auto- matisk behandling av personuppgifter som ingår i eller kommer att ingå i ett register. Vi bedömer att det är lämpligt att tillämpnings- området för de föreslagna bestämmelserna om behandling av person- uppgifter är detsamma som dataskyddsförordningens tillämpnings- område. 10.5.5Bestämmelsernas förhållande till dataskyddsförordningen och dataskyddslagen Förslag: Lagen ska tydliggöra att lagens personuppgiftsbestäm- melser kompletterar dataskyddsförordningen. Lagen ska också ange att dataskyddslagen och föreskrifter som har meddelats i anslutning till dataskyddslagen gäller, om inte något annat följer av lagen eller föreskrifter som har med- delats i anslutning till lagen. Skälen för förslagen: Dataskyddsförordningen är direkt bindande och tillämplig i och ska inte genomföras i svensk rätt. Data- skyddsförordningen gäller oavsett om det i den föreslagna lagen in- förs en bestämmelse som hänvisar till förordningen eller inte. Dataskyddslagen kompletterar dataskyddsförordningen på en gene- rell nivå i . I dataskyddslagen finns generella bestämmelser som utgör tillåtna specificeringar av och undantag från dataskydds- förordningen. I 1 kap. 6 § dataskyddslagen anges att om en annan lag eller förordning innehåller en bestämmelse som avviker från data- skyddslagen så ska den bestämmelsen tillämpas. Dataskyddslagen är alltså subsidiär och dess bestämmelser kommer därmed att gälla om inte den nya lagen eller någon annan författning föreskriver något annat. Dataskyddsförordningen och dataskyddslagen kommer således att ha stor relevans för personuppgiftsbehandlingen. Eftersom dataskydds- regleringen på området inte bara kommer att bestå av de respektive föreslagna bestämmelserna utan även av dataskyddsförordningen och dataskyddslagen, bör lagens förhållande till dessa regleringar klar- göras. Det bör därför anges i den nya lagen att den innehåller bestämmel- ser som kompletterar dataskyddsförordningen och att dataskydds- lagen och föreskrifter som har meddelats i anslutning till dataskydds- lagen gäller, om inte något annat följer av den nya lagen. En sådan bestämmelse har även ett pedagogiskt värde och underlättar för den som ska tillämpa regelverket. Hänvisningar till EU-rättsakter kan göras antingen statiska eller dynamiska. Hänvisningarna bör vara dynamiska, dvs. avse förord- ningens gällande lydelse. Valet av dynamiska hän- visningar innebär att de kommer att omfatta eventuella ändringar i dataskyddsförordningen. Bedömning: Ändamålet med personuppgiftsbehandlingen behöver inte anges i lagen. Skälen för bedömningen: Den omständigheten att behandlingen av personuppgifter har stöd i artikel 6.1 i dataskyddsförordningen, dvs. att den har en rättslig grund, innebär inte att vilka uppgifter som helst kan behandlas eller att de kan behandlas på valfritt sätt. Den personuppgiftsansvarige måste även uppfylla kraven i övriga bestäm- melser i förordningen. Ett av kraven som följer av artikel 5.1 är att personuppgifter endast ska samlas in för särskilda, uttryckligt an- givna och berättigade ändamål och att de inte senare får behandlas på ett sätt som är oförenligt med dessa ändamål. Vi har tidigare gjort bedömningen att både de privata och de offentliga aktörernas personuppgiftsbehandling i allmänhet kommer ha sin rättsliga grund i en rättslig förpliktelse. När det gäller den rättsliga grunden rättslig förpliktelse ska syftet med behandlingen fastställas i den rättsliga grunden (artikel 6.3 andra stycket). I för- arbetena till dataskyddslagen anges att kravet torde innebära att en förpliktelse inte kan läggas till grund för behandling av person- uppgifter om syftet med behandlingen inte framgår. Det ska alltså vara möjligt för såväl den personuppgiftsansvarige som den registre- rade att förstå varför behandlingen av personuppgifter ska ske. Vid bedömningen av om något följer av exempelvis en lagbestämmelse kan bl.a. förarbetsuttalanden, bestämmelsens syfte och den rättsliga kontext som bestämmelsen befinner sig i behöva beaktas. Frågan är om det uttryckligen behöver anges i lagen för vilka ändamål personuppgifter får behandlas. En sådan ändamålsangivelse skulle kunna tydliggöra för både den personuppgiftsansvarige och för registrerade för vilka ändamål som uppgifterna får behandlas. Den skulle således främja förutsebarhet och transparens. En sådan trans- parens och förutsebarhet skulle kunna anses särskilt viktig eftersom uppgifterna inte sällan kommer att behöva lämnas över från vissel- blåsarfunktionen till någon annan, t.ex. ett företags eller en myndig- hets personalfunktion eller juridiska avdelning. kan det ifrågasättas om en ändamålsangivelse verkligen behövs eftersom det ändå kan sägas framgå av den föreslagna lagen för vilka ändamål personuppgifter får behandlas. Det kan också sägas att en särskild ändamålsangivelse skulle kunna utesluta behandling som visserligen är nödvändig, men som lagstiftaren inte förutsåg vid utformningen av ändamålsangivelsen. Angivelsen av ändamålen skulle med andra ord kunna vara för rigid och därmed försvåra nödvändig personuppgiftsbehandling. Vår bedömning är därför att ändamålet med personuppgiftsbehandlingen inte behöver anges i lagen. Detta innebär givetvis inte att den personuppgiftsansvarige därmed befrias från kravet enligt dataskyddsförordningen att personuppgifter endast ska samlas in för särskilda, uttryckligt angivna och berättigade ända- mål och att de inte senare får behandlas på ett sätt som är oförenligt med dessa ändamål. Ändamålen med behandlingen behöver fortfa- rande anges även om de inte enligt våra förslag anges i lag. 10.5.7Personuppgifter som samlats in av misstag Bedömning: Det behöver inte införas några särskilda bestäm- melser i lagen som anger att uppgifter som har samlats in av miss- tag ska raderas utan onödigt dröjsmål.