sou · H8B338 · 2020-06-29 00:00:00 — En ny sekretessreglering som skulle gälla hos samtliga myndig- heter, oberoende av om de skulle ha krav på sig att ha rapporterings- kanaler eller inte, skulle enligt vår mening få ett tillämpningsområde som skulle vara vitt och svåröverblickbart, inte minst eftersom sekre- tessen då skulle gälla även om det inte finns några rapporterings- kanaler och förfaranden. En sådan sekretessreglering kan förväntas resultera i att anmälningar om missförhållanden som görs till myn- digheter och som inte omfattas av direktivet ändå skulle omfattas av sekretessen varvid insynen i myndigheternas verksamheter skulle komma att begränsas avsevärt mer än vad som är nödvändigt för att möta direktivets krav. Vi vill också peka på att en sådan sekretess skulle riskera att försvaga incitamenten för rapporterande personer att använda de rapporteringskanaler som föreslås eftersom samma sekretesskydd skulle gälla för den som rapporterar på ett annat sätt än via dessa kanaler. Sådana försvagade incitament skulle enligt vår uppfattning inte ligga i linje med direktivets betoning av att rappor- tering i första hand bör ske genom interna och externa rapporter- ingskanaler. Vi menar att det därför bör införas en ny sekretessreglering som endast gäller hos myndigheter som har krav på sig att ha rapporter- ingskanaler och förfaranden. Någon ny sekretess föreslås inte hos andra myndigheter. Ska det införas en eller flera bestämmelser om sekretess? Vi har övervägt om en eller flera nya bestämmelser bör införas i offentlighets- och sekretesslagen. En bestämmelse skulle ha den för- delen att regleringen samlas på en plats i lagen. Det skulle också enligt vår mening vara möjligt att lagtekniskt formulera en bestäm- melse som omfattar skydd för uppgifter både vid rapportering via interna och externa rapporteringskanaler på ett överskådligt sätt. Vi bedömer dock att det saknas en naturlig plats i offentlighets- och sekretesslagen för en sådan samlad reglering. Vi har därför kom- mit till slutsatsen att två bestämmelser om sekretess passar bättre in i lagens systematik. Det bör därför föras in en bestämmelse om sekre- tess vid rapportering via interna rapporteringskanaler och en bestäm- melse om sekretess vid rapportering via externa sådana. Var ska de nya bestämmelserna placeras? Ioffentlighets- och sekretesslagen finns en avdelning med bestäm- melser om sekretess till skydd för allmänna intressen (avdelning IV, kap. 15–20) och en avdelning med bestämmelser om sekretess till skydd för uppgift om enskilds personliga och ekonomiska förhållan- den (avdelning V, kap. 21–40). Skyddet för rapporterande och berörda personers identitet syftar till att skydda uppgifter om enskilds per- sonliga och ekonomiska förhållanden. De nya bestämmelserna bör därför placeras i avdelning V. I 21 kap. finns bestämmelser om sekretess till skydd för uppgift om enskilds personliga förhållanden oavsett i vilket sammanhang uppgiften förekommer. Bestämmelserna skyddar uppgifter som får anses vara av särskilt integritetskänslig karaktär och som avser bl.a. hälsa och sexualliv, utlännings säkerhet i vissa fall, skyddad folk- bokföring och behandling i strid med dataskyddsregleringen. Vi anser att de nya bestämmelserna inte bör placeras i 21 kap. eftersom de inte avser sekretess till skydd för sådana särskilt integritetskänsliga uppgifter som omfattas av kapitlet. I 30 kap. finns bestämmelser om sekretess till skydd för enskild i verksamhet som avser tillsyn m.m. i fråga om näringslivet. I kapitlet har bestämmelser tagits in som rör anmälningar till myndighet om överträdelser av regelverk på finansmarknadsområdet. Det är enligt vår uppfattning inte lämpligt att placera bestämmelserna där efter- som identiteten inte endast bör skyddas i samband med tillsyn i fråga om näringslivet. I 35 kap. finns bestämmelser om sekretess till skydd för enskild i verksamhet som syftar till att förebygga eller beivra brott, m.m. I kapitlet finns bl.a. sekretess vid anmälningar vid förundersökning, brottsförebyggande verksamhet, register, m.m. Vi anser att det är olämpligt att lägga de nya bestämmelserna i kapitlet eftersom de nya bestämmelserna inte endast skyddar den som anmäler brottsmiss- tankar. I 32 kap. finns bestämmelser om sekretess till skydd för enskild i verksamhet som rör annan tillsyn, granskning, övervakning, m.m. I kapitlet finns bestämmelser om sekretess vid Datainspektionen, vid kameraövervakning, hos överförmyndare och överförmyndarnämnd, vid anmälningar av finansiella instrument, vid statsråds och stats- sekreterares övergång till annan än statlig verksamhet, vid passagerar- register, räddningsinsatser, undersökningar av olyckor och tillsyn samt vid kontroll av djurskydd. Med tillsyn och granskning avses i offentlighets- och sekretesslagen verksamheter i vid mening. Ordet tillsyn ska därför inte ges en snäv tolkning utan får anses omfatta alla de fall där en myndighet har en övervakande eller styrande funktion. Under begreppet faller också sådan rådgivning som sker som ett led i en myndighets tillsynsverksamhet. Vi anser att den reglering som föreslås i den nya lagen och som avser externa rapporteringskanaler hos behöriga myndigheter kan anses ligga nära områdena tillsyn och granskning i den mening som orden har i offentlighets- och sekretess- lagen. Regleringen som avser interna rapporteringskanaler hos arbets- givare avser dock inte tillsyn eller granskning och det är därför inte lämpligt att placera den bestämmelse som medför sekretess vid intern rapportering i samma kapitel. I 40 kap. offentlighets- och sekretesslagen finns bestämmelser om sekretess till skydd för enskild hos övriga myndigheter och i övriga verksamheter, exempelvis vid val, i biblioteksverksamhet, i skaderegleringsverksamhet och i begravningsverksamhet. Den nya bestämmelsen om sekretess vid rapportering via interna rapporter- ingskanaler bör placeras i detta kapitel eftersom det innehåller be- stämmelser av skild karaktär som inte passar in i andra kapitel i av- delning V och eftersom den nu aktuella bestämmelsen inte passar in i något annat av avdelningens kapitel. Vi anser således att bestämmelsen om sekretess vid extern rappor- tering bör placeras i 32 kap. och bestämmelsen om sekretess vid intern rapportering bör placeras i 40 kap. offentlighets- och sekretess- lagen. I vilken verksamhet ska sekretess gälla? Som vi konstaterat ovan finns vissa sekretessbestämmelser i offent- lighets- och sekretesslagen som omfattar uppgifter i en anmälan eller utsaga i viss verksamhet. Det skulle kunna övervägas att låta även den nu aktuella sekretessen gälla för uppgifter i en anmälan eller utsaga. En sådan skyddsreglering skulle emellertid ha den svagheten att den inte skulle omfatta uppgifter som hämtas in inom ramen för uppföljning av rapportering av en intern eller extern visselblåsar- funktion. Uppgifter som t.ex. inhämtas vid intervjuer med vittnen skulle därmed inte omfattas. Vi bedömer att direktivet kräver ett skydd som omfattar även andra uppgifter än sådana som finns i själva anmälan eller utsagan. Det är emellertid inte lämpligt att sekretessen får ett alltför vitt tillämpningsområde och därmed begränsar insynen mer än nödvän- digt. Enligt vår bedömning bör sekretess åtminstone gälla för upp- gifter som förekommer i ett uppföljningsärende, dvs. ett ärende som består i att ta emot rapporter och ha kontakt med rapporterande personer, vidta åtgärder för att bedöma riktigheten i de påståenden som framställs i rapporten, överlämna uppgifter om de utredda på- ståendena för fortsatta åtgärder, samt lämna återkoppling om upp- följningen till den rapporterande personen (jfr avsnitten 7.19 och 8.21). En sådan sekretess omfattar både de uppgifter som finns i de rapporter som skriftligen kommer in till myndigheten och uppgifter som förekommer i muntlig rapportering. Sekretessen omfattar även ytterligare uppgifter som hämtas in i uppföljningsärendet, t.ex. vid uppföljningsfrågor till den rapporterande personen eller vid kommuni- kation med vittnen. Vi anser mot bakgrund av detta att det är lämpligt att sekretessen vid extern rapportering avgränsas till att gälla i ett uppföljnings- ärende. Vi återkommer i avsnitt 9.2.4 med förslag om att sekretessen vid intern rapportering – förutom i ärenden där rapporten följs upp – även ska gälla i de ärenden hos myndigheten där åtgärder vidtas med anledning av uppföljningen. Ska sekretess omfatta annat än uppgifter som identifierar personer? Direktivet anger att det är vissa identitetsuppgifter som ska skyddas. Direktivet anger också att företagshemligheter ska skyddas hos be- höriga myndigheter. Vi återkommer i avsnitt 9.3 med överväganden om sekretesskydd för företagshemligheter. Det skulle kunna övervägas att även låta uppgifter om själva miss- förhållandena omfattas av sekretessen. Detta skulle innebära att t.ex. uppgifter om påstådda utsläpp av giftiga kemikalier eller vanvård av patienter därmed skulle kunna hållas hemliga. I offentlighets- och sekretesslagen finns en omfattande reglering om sekretess till skydd för allmänna intressen, t.ex. sekretess vid in- spektion, kontroll och annan tillsyn. Denna reglering kommer i många fall att medföra att uppgifter om missförhållanden kommer att kunna hemlighållas redan med stöd av befintliga bestämmelser. I andra fall kommer dock inte uppgifter om missförhållanden att kunna hemlig- hållas, annat än om uppgifterna avslöjar vem den rapporterande per- sonen eller någon annan enskild är. Vi anser att det är lämpligt att uppgifter om påstådda missförhållanden inte ska kunna hemlighållas i större utsträckning än vad som gäller . Om uppgifter om verk- samheten bör vara sekretessbelagda avgörs säkrast vid införandet av de sekretessbestämmelser som styr respektive verksamhet. Vi anser därför att det inte bör införas ett skydd för andra uppgifter än identi- tetsuppgifter. Vilka uppgifter som identifierar personer ska skyddas av sekretessen? Enligt direktivet ska rapporterande och berörda personers identitet skyddas (artiklarna 16.1, 22.2 och 22.3). Med berörd person avses enligt direktivet en fysisk eller juridisk person som i rapporten eller offentliggörandet anges som en person som har gjort sig skyldig till överträdelsen eller till vilken den personen har anknytning (arti- kel 5.10). Sekretesskyddet behöver därför omfatta både rapporterande och berörda personer. När det gäller berörda personer bör skyddet även omfatta juri- diska personer och personer som är närstående till den berörda per- sonen för att tillgodose direktivets krav. Vi vill understryka att möj- ligheten att hemlighålla uppgifter om en berörd juridisk person är särskilt viktig om den berörda juridiska personen är ett företag. Ett företag kan lida en ansenlig renomméskada om det kommer fram att det finns rapporter om missförhållanden i företagets verksamhet. Renomméskadan kan vara svår att värja sig mot för företaget, även om det skulle visa sig vid uppföljningen av informationen om miss- förhållandena att informationen saknar fog. Som framgått anger direktivet att det är den rapporterande och berörda personens identitet som ska ha sekretesskydd. Det är dock tveksamt om en juridisk person kan anses ha en identitet. Det är vidare inte klart vad som är en uppgift om identitet. Det skulle kunna anses att sekretesskyddet endast omfattar identitetsuppgifter, dvs. namn, personnummer, nationalitet etc. Det som avses i direktivet bör dock vara alla uppgifter som kan avslöja vem som är den rappor- terande eller berörda personen. Det kan t.ex. räcka med en upp- lysning om att denne arbetar med vissa uppgifter, om det endast är en person som utför dessa uppgifter inom myndigheten, för att en person ska kunna identifieras. För att det inte ska råda något tvivel om att även den typen av uppgifter omfattas av sekretesskyddet är det lämpligare att föreskriva att sekretess gäller för uppgifter genom vilka en person kan identifieras. I artikel 9.1 a anges att interna kanaler ska vara utformade, inrätt- ade och drivas på ett sätt som säkerställer att konfidentiell behand- ling av den rapporterande personens identitet och att alla tredje parters identitet som omnämns i rapporten skyddas. En fråga med anledning av detta är om uttrycket tredje part ska anses inkludera fler än berörda personer, t.ex. vittnen eller kollegor till den rappor- terande personen som har namngivits i rapporten (jfr skäl 76). Enligt vår uppfattning är direktivet inte helt tydligt när det gäller frågan om vem som ska omfattas av skyddet för identiteten. Vi anser dock att det kan finnas goda skäl att skydda även andra än rapporterande och berörda personer. Det kan nämligen vara så att en rapport innehåller uppgifter som avslöjar personer som biträder den rapporterande personen eller som annars har anknytning till den rapporterande personen som en kollega eller en anhörig. Dessa personer riskerar att utsättas för repressalier om deras identitet avslöjas. vara så att det som ett led i uppföljningsärendet genomförs inter- vjuer med vittnen eller att sådana utpekas i en rapport. Dessa per- soners identitet bör också skyddas genom sekretess. Sammantaget anser vi att identiteten ska skyddas på rapporterande personer och andra enskilda personer. Begreppet enskilda i offentlig- hets- och sekretesslagen omfattar både fysiska och juridiska personer. Sekretessen för uppgift om den rapporterande personen ska vara absolut Vid införande av en ny sekretessbestämmelse i offentlighets- och sekretesslagen ska det alltid göras en avvägning mellan sekretess- intresset och insynsintresset (se prop. 1979/80:2 Del A s. 75 f. och prop. 2013/14:228 s. 256). En sekretessbestämmelse kan innehålla ett rakt skaderekvisit, ett omvänt skaderekvisit eller helt sakna ska- derekvisit, s.k. absolut sekretess. Ett rakt skaderekvisit innebär att sekretess endast gäller om det kan antas att viss skada uppstår om uppgiften lämnas ut, i dessa fall råder således en presumtion för offentlighet. Det omvända skaderekvisitet innebär att en uppgift endast kan lämnas ut om det står klart att en viss skada inte uppstår, dvs. det råder en presumtion för sekretess. Absolut sekretess innebär att uppgiften hålls hemlig utan att någon bedömning av skadan vid ett eventuellt utlämnande görs. Enligt direktivet ska medlemsstaterna ”säkerställa” att den rappor- terande personens identitet inte lämnas ut till någon annan än de per- soner som är behöriga att ta emot eller följa upp rapporter, utan den rapporterande personens uttryckliga samtycke (artikel 16.1). I den engelska språkversionen av direktivet används ordet ”ensure”. Att medlemsstaterna ska säkerställa att identiteten inte lämnas ut talar för att sekretessen bör vara mycket stark. Syftet med de interna och externa rapporteringskanalerna är att information om missförhållanden ska komma fram. För att kana- lerna ska användas krävs att kanalerna både är och uppfattas som säkra och trygga. En viktig del i detta är skyddet för rapporterande personer. Sekretessintresset är därför mycket starkt och får anses väga tyngre än insynsintresset. Det är därför inte lämpligt att göra sekretessen beroende av utfallet av en skadeprövning. För att kunna garantera sekretesskyddet för den rapporterande personen är det nödvändigt att införa absolut sekretess. Detta innebär att uppgifterna i fråga inte får lämnas ut. Någon bedömning av skaderisken ska då inte göras (jfr prop. 2013/14:228 s. 257). Sekretess för uppgift om andra personer ska gälla om det inte står klart att uppgiften kan röjas utan att personen lider skada eller men När det gäller styrkan på sekretessen till skydd för andra personer kommer saken delvis i ett annat läge. Skyddet för andra personer syftar nämligen inte till att fler uppgifter om missförhållanden ska komma fram, utan till att dessa personers anseende ska värnas. Skyd- det avser t.ex. att värna ett börsnoterat bolag om rapporteringen sannolikt kommer att påverka börskursen för bolaget eller att värna en persons anseende om rapporteringen framställer personen som klandervärd. För att skydda fysiska och juridiska personer som t.ex. pekas ut som ansvariga för regelöverträdelser eller andra missför- hållanden bör, på grund av den skada och men som kan orsakas dessa, uppgifterna omfattas av sekretess. Detta gäller dock inte alla uppgifter eftersom det kan komma att visa sig att uppgifter saknar grund. Sekretessen bör därför vara stark, men till skillnad från vad som gäller rapporterande personer saknas skäl till att den ska vara absolut. Det bör krävas en skadeprövning. Först om det vid den pröv- ningen står klart att uppgiften kan röjas utan att personen lider skada eller men, bör uppgiften kunna lämnas ut. Det bör alltså införas ett s.k. omvänt skaderekvisit för uppgift som kan avslöja andra än rapporterande personer (jfr prop. 2017/18:216 s. 374 f). Sekretessen för uppgift om annan än den rapporterande personen ska även gälla om det kan antas att syftet med uppföljningen hindras eller försvåras om uppgiften röjs I 12 kap. 1 § offentlighets- och sekretesslagen anges att sekretess till skydd för en enskild inte gäller i förhållande till den enskilde själv, om inte annat anges i lagen. Med stöd av bestämmelsen skulle be- rörda och andra personer, vars uppgifter omfattas av den föreslagna sekretessen, kunna få ut uppgifter som avslöjar om de förekommer i en rapport eller i ett uppföljningsärende. Möjligheten att kunna begära ut uppgifter till skydd för en själv kan vara viktig för att en berörd person eller en annan enskild ska kunna få insyn i ett ärende. I vissa fall kan dock insynen försämra förutsättningarna att utreda påstådda missförhållanden. I skäl 84 i direktivet anges att medlemsstaterna bör säkerställa direktivets ändamålsenlighet genom att vid behov begränsa utövan- det av vissa dataskyddsrättigheter för de berörda personerna. Det ska enligt skälen gälla i den mån och så länge det är nödvändigt för att förhindra och åtgärda försök att hindra rapportering eller för att förhindra, störa eller försena uppföljningen, särskilt utredningar. De begränsningar som avses i skäl 84 medför att berörda personer inte ska få veta att det pågår ett uppföljningsärende om det kan befaras att de skulle kunna störa eller förhindra uppföljningen om de fick sådan vetskap. För att uppnå detta bör det vara möjligt att i vissa fall hemlighålla information om att de förekommer i en rapport eller ett uppföljningsärende. Det skulle kunna uppnås genom en reglering i offentlighets- och sekretesslagen som hindrar den enskilde att ta del av uppgifter om den egna personen. En sådan reglering skulle också bidra till att personen inte via personuppgiftsregleringen upp- märksammas på att ett uppföljningsärende pågår eftersom personens rättigheter i personuppgiftshänseende då går att begränsa med stöd av 5 kap. 1 § dataskyddslagen (se avsnitt 10.5.11). En bestämmelse om att sekretess ska gälla för det fall det kan an- tas att syftet med uppföljningen motverkas om uppgifterna röjs bör därför införas. Regleringen om att sekretess endast gäller om syftet med upp- följningen skulle motverkas, innebär att det vid handläggningen kan bli aktuellt att göra en annan bedömning av sekretessen än vad som gällt tidigare. Om bestämmelserna t.ex. tilläm- pas mot den enskilde själv bör, så snart det inte föreligger någon risk att uppföljningen eller åtgärderna motverkas om den enskilde får del av uppgifterna, den rätt att ta del av uppgifter om sig själv som före- skrivs i 12 kap. 1 § offentlighets- och sekretesslagen gälla oinskränkt. Sekretessen ska gälla i högst 50 år I flera bestämmelser begränsas sekretessen i tiden. Detta gäller t.ex. för sekretessen enligt 30 kap. 4 b § första stycket offentlighets- och sekretesslagen. Sekretess i arbetsrelaterade förhållanden brukar begrän- sas till att gälla i högst , vilket också är den tidsgräns som valdes vid genomförandet av kapitaltäckningsdirektivet (prop. 2013/14:228 s. 258). Det får anses vara en lämplig tidsgräns också för den nu aktuella sekretessen. Rätten att meddela och offentliggöra uppgifter Meddelarfriheten enligt tryckfrihetsförordningen (1 kap. 1 §) och yttrandefrihetsgrundlagen (1 kap. 1 och 2 §§) har normalt företräde framför tystnadsplikter som följer av offentlighets- och sekretess- lagen. Det kan därmed vara tillåtet att lämna en muntlig uppgift för publicering, trots att den handling som innehåller uppgiften omfattas av sekretess. Sekretessen kan dock ges företräde framför meddelar- friheten genom att detta särskilt anges. Exempelvis har sekretesskyddet enligt 30 kap. 4 b § första stycket offentlighets- och sekretesslagen företräde framför meddelarfriheten (30 kap. 30 § offentlighets- och sekretesslagen). Vid genomförandet av kapitaltäckningsdirektivet framfördes att visselblåsarsystem syftar till att göra det möjligt för samtlig personal att utan rädsla för repressalier rapportera om all- varliga händelser. För att uppnå detta syfte ansågs det nödvändigt att garantera anonymitet för anmälaren. Därmed krävdes att tystnads- plikten gavs företräde framför meddelarfriheten (prop. 2013/14:228 s. 257 f.). Stor återhållsamhet bör dock iakttas vid prövningen av om undan- tag från meddelarfriheten ska göras i ett särskilt fall (prop. 1979/80:2 Del A s. 111). Den säkerhetsventil som meddelarfriheten innebär möjliggör att media kan granska och offentliggöra information som kommer fram genom rapporteringen och som det finns ett starkt allmänintresse av att det kommer fram. Det kan då inte uteslutas att en rapporterande eller annan enskild person skulle kunna avslöjas. Det får dock antas att även media kommer att undvika att publicera namn på den rapporterande personen eftersom det sannolikt också kommer att vara denne som är källan. Vi menar därför att det inte finns tillräckligt tungt vägande skäl att göra undantag från meddelar- friheten. Den föreslagna sekretessens förhållande till annan sekretess Det har införts sekretessbestämmelser med anledning av sektors- specifika unionsrättsakter (se bilaga 4 till detta betänkande). Frågan är hur den nu föreslagna sekretessen förhåller sig sådana sekretess- bestämmelser. Den föreslagna sekretessen är, till skillnad från den lag om rappor- tering av missförhållanden som vi föreslår, inte subsidiär i förhål- lande till bestämmelser i andra lagar och förordningar som genomför eller kompletterar sektorspecifika unionsrättsakter (se avsnitt 5.2). I offentlighets- och sekretesslagen finns en bestämmelse i 7 kap. 3 § som reglerar konkurrens mellan sekretessbestämmelser. Denna bestämmelse kommer att reglera konkurrensen även mellan den nu föreslagna sekretessen och annan sekretess. Detta gäller även kon- kurrensen mellan den föreslagna sekretessen och annan sekretess som införts med anledning av sektorsspecifika unionsrättsakter. Om flera sekretessbestämmelser är tillämpliga på en uppgift hos en myndighet och en prövning i ett enskilt fall resulterar i att upp- giften ska lämnas ut enligt en eller flera bestämmelser som den är sekretessbelagd enligt en eller flera andra bestämmelser, ska enligt huvudregeln i 7 kap. 3 § offentlighets- och sekretesslagen de senare bestämmelserna ha företräde. I sådana fall kommer uppgiften att hemlighållas. 9.2.2Möjlighet att bryta sekretessen vid intern rapportering Bedömning: Den uppgiftsskyldighet som föreslås kommer att möjliggöra att uppgifter lämnas till andra enheter och funktioner inom en myndighet. Uppgifter om personer kommer att behöva lämnas från den interna visselblåsarfunktionen till andra enheter och funktioner Åtgärder med anledning av ett ärende i en intern visselblåsarfunk- tion vidtas i regel av någon annan enhet eller funktion inom myndig- heten. Det kan röra sig om att disciplinåtgärder vidtas av personal- funktionen mot den som har orsakat missförhållandet, eller att åt- gärder vidtas inom den del av verksamheten där missförhållandet föreligger i syfte att avhjälpa missförhållandet.