sou · H8B338 · 2020-06-29 00:00:00 — 15 i dataskyddsförordningen om information och rätt att få tillgång till personuppgifter inte sådana uppgifter som den personuppgifts- ansvarige inte får lämna ut till den registrerade enligt lag eller annan författning eller enligt beslut som har meddelats med stöd av författ- ning. Bestämmelsen har sin grund i artikel 23 i dataskyddsförord- ningen (prop. 2017/18:105 s. 201). I och med att vi föreslår sekretess och tystnadsplikt som hindrar utlämnande även till den registrerade (se kapitel 9) behöver det inte införas något särskilt undantag från den registrerades rätt till tillgång. Rätten till rättelse av personuppgifterna Enligt artikel 16 i dataskyddsförordningen ska den registrerade ha rätt att utan onödigt dröjsmål få felaktiga personuppgifter som rör honom eller henne rättade och, med beaktande av ändamålet med behandlingen, ha rätt att komplettera ofullständiga personuppgifter. Genom rätten till rättelse enligt artikel 16 har berörda personer rätt att få viss information rättad, men också indirekt möjlighet att få bekräftat att deras personuppgifter behandlas. Om en berörd per- son utnyttjar sin rätt till rättelse skulle det kunna innebära att perso- nen ges en oönskad möjlighet att skaffa undan bevis och hindra ut- redningen. Artikel 16 innehåller inte någon egen bestämmelse som medger undantag för registrerade personers rättigheter. Det skulle därför kunna hävdas att det behöver införas en bestämmelse i den nya lagen som säkerställer att det finns möjlighet att begränsa den berörda personens rättigheter enligt artikel 16. Rätten till rättelse kan i normalfallet bara göras gällande om den registrerade har fått information om att uppgifter har samlats in eller om den registrerade har fått en bekräftelse på att uppgifter som rör honom eller henne behandlas. I fall då en berörd person inte infor- merats om att personuppgifter behandlas i ett uppföljningsärende har personen ingen anledning att vända sig till visselblåsarfunktionen och göra rätten till rättelse gällande. Det kan emellertid inte uteslutas att en berörd person vänder sig med en begäran om rättelse till en visselblåsarfunktion i syfte att ta reda på om dennes personuppgifter behandlas. Vi bedömer att an- talet fall där en berörd person, som inte informerats om person- uppgiftsbehandlingen, kommer att utnyttja rätten till rättelse för att på så sätt indirekt få bekräftat att personuppgiftsbehandling pågår är begränsat. Dessutom kan det noteras att en begränsning av rättig- heten inte i sig kommer att hindra en berörd person från att skaffa undan bevis eller försvåra utredningen – vilket skulle vara syftet med en begränsning av rätten till rättelse – utan bara minska risken för att en berörd person får en sådan impuls. Vi bedömer dessutom att en person som misstänker att det pågår en utredning på grund av att någon rapporterat om missförhållanden och därför överväger att skaffa undan bevis, i regel inte kommer att vänta med detta tills han eller hon fått bekräftat att det pågår en visselblåsarutredning, utan undanskaffandet görs troligtvis så fort misstanken uppstår. Detta speciellt med tanke på att en begäran om rättelse till visselblåsarfunktionen i sig skulle kunna väcka miss- tankar. Vi anser därför att de undantag från rätten till information och tillgång till personuppgifter som framgår av 5 kap. 1 § första stycket dataskyddslagen och som vi redogör för ovan, är tillräckliga och att något särskilt undantag från rätten till rättelse inte behöver göras. Rätten till radering av personuppgifterna Enligt artikel 17.1 i dataskyddsförordningen ska den registrerade i vissa fall ha rätt att utan onödigt dröjsmål få sina personuppgifter raderade. Om en berörd person utnyttjar sin rätt att få sina person- uppgifter raderade skulle det kunna innebära att den berörda perso- nen i många fall inte skulle kunna knytas till eller pekas ut som ansvarig för det rapporterade missförhållandet. Den utredning och uppföljning som direktivet kräver skulle då inte gå att genomföra. Rätten att få sina personuppgifter raderade ska enligt artikel 17.3 b i dataskyddsförordningen inte gälla i den utsträckning som behand- lingen är nödvändig för att uppfylla en rättslig förpliktelse som kräver behandling enligt unionsrätten eller enligt en medlemsstats natio- nella rätt som den personuppgiftsansvarige omfattas av eller för att utföra en uppgift av allmänt intresse eller som är ett led i myndig- hetsutövning som utförs av den personuppgiftsansvarige. Som vi konstaterat i avsnitt 10.5.1 kommer den rättsliga grunden för per- sonuppgiftsbehandlingen i allmänhet vara en rättslig förpliktelse. Rätten att få sina personuppgifter raderade kommer därmed, vid behov, kunna begränsas med stöd av artikel 17.3 b i dataskydds- förordningen. Någon särskild reglering för att säkerställa att direk- tivets krav följs behövs därmed inte utan tillgodoses genom den reglering som följer av dataskyddsförordningen. Rätten till begränsning av personuppgiftsbehandling Enligt artikel 18 i dataskyddsförordningen ska en registrerad person, som bestrider personuppgifternas korrekthet, ha rätt att av den per- sonuppgiftsansvarige kräva att behandlingen begränsas som ger den personuppgiftsansvarige möjlighet att kontrollera att personuppgifterna är korrekta. Den berörda personen har alltså möj- lighet att tillfälligt stoppa behandlingen av personuppgifterna. Om en berörd person utnyttjar den rätten skulle det kunna innebära att personen ges oönskade möjligheter att skaffa undan bevis och hindra utredningen eftersom personen då får vetskap om att ett uppföljnings- ärende pågår. Själva utnyttjandet av rättigheten i sig torde inte störa visselblåsarfunktionens arbete eftersom den primära arbetsuppgif- ten är just att utreda om den rapporterade informationen är korrekt. Liksom när det gäller rätten till rättelse kan rätten till begränsning endast göras gällande om den registrerade först har fått kännedom om behandlingen. I fall då en berörd person inte informerats om att personuppgifter behandlas i ett uppföljningsärende har personen ingen anledning att vända sig till visselblåsarfunktionen och begära att personuppgiftsbehandlingen begränsas. På samma sätt som vid rätten till rättelse kan det dock inte ute- slutas att en berörd person ändå vänder sig till en visselblåsarfunk- tion med en begäran om begränsning i syfte att ta reda på om dennes personuppgifter behandlas. Vi bedömer att antalet fall där en berörd person, som inte informerats om personuppgiftsbehandlingen, kom- mer att utnyttja rätten till begränsning för att på så sätt indirekt få bekräftat att personuppgiftsbehandling pågår är begränsat. En be- gränsning av rättigheten kommer inte heller hindra en berörd person från att skaffa undan bevis eller försvåra utredningen – vilket skulle vara syftet med en begränsning av rättigheten – utan bara minska risken för att en berörd person får en sådan impuls. En person som misstänker att det pågår en visselblåsarutredning och därför överväger att skaffa undan bevis lär inte heller vänta med detta tills han eller hon fått bekräftat att det pågår en visselblåsar- utredning, utan undanskaffandet görs troligtvis så fort misstanken uppstår. De undantag från rätten till information och tillgång till personuppgifter som framgår av 5 kap. 1 § första stycket dataskydds- lagen och som vi redogör för ovan är därför även i detta fallet tillräck- liga och något särskilt undantag från rätten till begränsning behöver då inte införas. Rätten att göra invändningar mot personuppgiftsbehandling Enligt dataskyddsförordningen har den registrerade rätt att göra in- vändningar mot behandling av personuppgifter avseende honom eller henne som vilar på en av de rättsliga grunderna enligt artikel 6.1 e eller f (artikel 21.1). Rätten att göra invändningar ska senast vid den första kommunikationen med den registrerade uttryckligen med- delas den registrerade och redovisas tydligt, klart och åtskilt från eventuell annan information (artikel 21.4). Liksom när det gäller rätten till rättelse och begränsning av be- handling kan rätten att göra invändningar endast göras gällande om den registrerade först har fått kännedom om behandlingen. Vidare kan rätten enligt artikel 21.1 att göra invändningar inte göras gällande om personuppgiftsbehandlingen grundar sig någon annan rättslig grund än de som avses i artikel 6.1 e eller f. Eftersom den rättsliga grunden för personuppgiftsbehandlingen i allmänhet kommer att vara en rättslig förpliktelse – dvs. den rättsliga grund som avses i artikel 6.1 c – behöver något särskilt undantag avseende rätten att göra invändningar inte göras. 10.5.12 Tillgången till personuppgifter ska begränsas Förslag: Endast personer som har utsetts som behöriga eller personer som arbetar vid enheter som har utsetts som behöriga att ta emot, följa upp och lämna återkoppling på rapporter får, för att kunna utföra sina arbetsuppgifter, ha tillgång till person- uppgifter som behandlas i ett uppföljningsärende. Skälen för förslaget: Spridning av personuppgifter har av naturliga skäl stor betydelse för integritetsriskerna med personuppgifts- behandlingen. Om personuppgifter sprids och blir lättillgängliga för en vidare krets av personer innebär det en ökad risk för att upp- gifterna kommer att användas på ett otillbörligt och inte avsett sätt. En utgångspunkt vid personuppgiftsbehandling är därför att person- uppgifter inte ska spridas till fler än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. I visselblåsardirektivet be- tonas detta i artiklarna 9.1 a och 12.1 a genom att både de interna och de externa rapporteringskanalerna ska utformas så att åtkomst för obehörig personal förhindras. Vid sidan av kravet på att obehöriga inte ska ha åtkomst till den information som rapporteras genom rapporteringskanalerna ställer direktivet vissa krav på de personer som ska utses som behöriga att få hantera dem. I artikel 9.1 c anges bl.a. att förfarandena för intern rapportering och uppföljning ska omfatta en opartisk person eller oberoende avdelning som är utsedd som behörig att följa upp rap- porteringen. I skäl 56 anges att den person eller avdelning som tar emot och hanterar inkomna rapporter bör ha en befattning som säkerställer att intressekonflikter inte förekommer. Om den interna kanalen drivs av en utomstående tredje part gäller kraven även för denne. I artikel 12.4 anges att medlemsstaterna ska säkerställa att de behöriga myndigheterna utser personal som är ansvarig för hand- läggningen av den externa rapporteringen för att bl.a. ta emot och följa upp rapporter och hålla kontakt med rapporterande personer i syfte att lämna återkoppling och begära eventuell ytterligare nöd- vändig information. I artikel 12.5. anges att den personal som avses i punkt 4 ska få särskild utbildning i handläggning av rapporter. Gemensamt för hanteringen av både de interna och de externa rapporteringskanalerna och förfarandena är alltså att inte vem som helst får hantera den rapporterade informationen utan direktivet ställer vissa krav på de personer som ska få göra detta (se vidare av- snitten 7.10 och 8.10). Personal som inte möter behörighetskraven ska inte ha åtkomst till informationen. För att möta direktivets krav behöver det införas en begränsning i lagen som avgränsar kretsen av personer som får ha tillgång till per- sonuppgifterna. Kretsen bör för både berörda arbetsgivare och be- höriga myndigheter begränsas till de personer som uppfyller behörig- hetskraven för respektive rapporteringskanal och förfarande. Begränsningen bör gälla hanteringen av rapporterad information som finns och behandlas i visselblåsarfunktionen. Som berörts tidi- gare kommer de rapporterande personerna att bestämma över vilka personuppgifter som rapporteras. En viktig uppgift för den behöriga personalen hos visselblåsarfunktionen är att sålla bland den rapport- erade informationen. Personuppgifter som saknar relevans ska rade- ras och bara relevanta personuppgifter ska behållas. Personuppgifter som saknar relevans kommer därmed inte att spridas utanför vissel- blåsarfunktionen. Andra personuppgifter som har relevans kan komma att lämnas vidare till andra funktioner eller myndigheter för att komma till rätta med rapporterade missförhållanden som en del av uppfölj- ningsarbetet. Eftersom begränsningen av tillgången bara avser per- sonuppgifter som behandlas hos visselblåsarfunktionen kommer begränsningsbestämmelsen inte att hindra att personuppgifter som lämnats ut för att komma till rätta med ett missförhållande behand- las av andra. Direktivet saknar bestämmelser om hur många personer som får utses som behöriga. Vi bedömer emellertid inte att det därmed står fritt för en arbetsgivare eller en behörig myndighet att utse hur många behöriga personer som helst med hänsyn till direktivets krav på att kanalerna ska utformas på ett sätt som säkerställer integritet och konfidentialitet. Vi bedömer att direktivets syfte i detta avse- ende bör tillgodoses genom att den behöriga personalen endast bör få tillgång till de personuppgifter som var och en behöver för att kunna utföra sina arbetsuppgifter. 10.5.13Utlämnande av personuppgifter från en visselblåsarfunktion Bedömning: Det behöver inte införas någon särskild reglering för att möjliggöra utlämnande av personuppgifter från en vissel- blåsarfunktion. Skälen för bedömningen: I avsnitt 10.5.10 finns överväganden om överlämnande av rapporter som innehåller personuppgifter från en obehörig myndighet till en behörig myndighet. I detta avsnitt be- handlas frågan om utlämnande av personuppgifter från en intern eller extern visselblåsarfunktion. Enligt direktivet ska medlemsstaterna säkerställa att uppgifter om den rapporterande personens identitet inte, utan personens ut- tryckliga samtycke, lämnas ut till någon annan än den personal som är behörig att ta emot eller följa upp rapporter (artikel 16.1). Infor- mation om identiteten ska dock få lämnas ut när det föreligger en nödvändig och proportionell skyldighet enligt unionsrätt eller natio- nell rätt i samband med nationella myndigheters utredningar eller rättsliga förfaranden, inbegripet i syfte att slå vakt om den berörda personens rätt till försvar (artikel 16.2). Vi föreslår viss uppgiftsskyldighet i det allmännas verksamhet som kommer att innebära att uppgifter som normalt omfattas av sekretess kommer att kunna lämnas ut till andra verksamhetsgrenar inom en myndighet och till vissa andra myndigheter (avsnitt 7.16 och 8.17). Vi föreslår vidare att om en rapport kommer in i en extern rapporteringskanal hos en myndighet som utsetts som behörig myn- dighet men som saknar behörighet att hantera rapporter inom det område som rapporten berör, ska myndigheten lämna över rappor- ten till den myndighet som är behörig, om det inte finns något skäl mot det (avsnitt 8.17). Det kommer härigenom att vara möjligt att i det allmännas verksamhet lämna uppgifter om t.ex. den rappor- terande personens identitet från en intern eller extern visselblåsar- funktion till någon annan mottagare som kan agera på uppgifterna. Detta eftersom skyldigheten att lämna över uppgifterna följer av lag och förordning och därmed utgör en rättslig förpliktelse enligt artikel 6.1 c i dataskyddsförordningen. Även i privat verksamhet kommer ett utlämnande av person- uppgifter från visselblåsarfunktionen till andra delar av verksam- heten att vara möjligt eftersom kravet på inrättande av interna rap- porteringskanaler och förfaranden innebär ett krav på att följa upp inkommen rapportering. Som en del i uppföljningen ingår bl.a. att överlämna uppgifter om de utredda påståendena för fortsatta åtgär- der (avsnitt 7.19). Vi föreslår också att den tystnadsplikt som enligt vårt förslag ska gälla i privat verksamhet inte ska hindra utlämnande av nödvändiga uppgifter inom en verksamhet (avsnitt 9.5). Det innebär sammanfattningsvis att det inte behöver införas någon särskild reglering för att möjliggöra utlämnande av person- uppgifter från en visselblåsarfunktion, vare sig i allmän eller privat verksamhet. Det finns dock en risk för att onödigt många och integritets- känsliga personuppgifter lämnas ut från en visselblåsarfunktion. Det finns också en risk för att uppgifterna lämnas över för andra ändamål än de som ligger till grund för förslagen i detta betänkande. Man kan t.ex. tänka sig att det kan finnas ett intresse av att personuppgifter från en intern visselblåsarfunktion lämnas för att uppgifterna ska kunna användas av en personalansvarig chef vid lönerevision. Ett så- dant utlämnande ligger inte i linje med syftet med direktivets be- stämmelser och bör inte få förekomma. Vi anser att det är viktigt att så få personuppgifter som möjligt lämnas ut från en visselblåsarfunktion. Det behöver därför säker- ställas att uppgifter inte lämnas ut för andra syften än vad som är nödvändigt för att fullgöra de skyldigheter som följer av den före- slagna lagen. Exempel på situationer där uppgiftslämnande i regel kan antas vara nödvändigt är när uppgifter som rör den rapporterande personen eller andra enskilda och som förekommer i ett uppföljningsärende är nödvändigt för en tillsynsåtgärd. Det gäller också personuppgifter som förekommer i rapporter som har skickats till en myndighet som inte är behörig att hantera den aktuella rapporten. Det bör också vara möjligt att lämna över uppgifter som är nödvändiga för att komma till rätta med brister i en verksamhet, t.ex. genom en revision av gällande verksamhetsrutiner. Uppgiftslämnande kan i regel antas vara nödvändigt även när personuppgifter lämnas till någon som kan vidta arbetsrättsliga åt- gärder mot någon som har brutit mot sina åtaganden i anställningen och därigenom orsakat ett missförhållande. Detsamma gäller om arbetsrättsliga åtgärder behöver vidtas mot en rapporterande person som medvetet rapporterat falsk information. Det bör även vara möj- ligt att lämna personuppgifter till polis eller åklagare om det aktuella missförhållandet utgör ett brott. Enligt artikel 5.1 c i dataskyddsförordningen ska personuppgifter som behandlas vara adekvata, relevanta och inte för omfattande i för- hållande till de ändamål för vilka de behandlas (uppgiftsminimering). Genom dataskyddsförordningens bestämmelse om uppgiftsmini- mering finns det redan en reglering som hindrar att personuppgifter lämnas ut för andra ändamål än de som är nödvändiga för att fullgöra skyldigheter enligt den föreslagna lagen. Några ytterligare bestäm- melser behöver därför inte införas. 10.5.14 Gallring av personuppgifter Förslag: Personuppgifter som behandlas i ett uppföljningsärende ska gallras när de är nödvändiga, dock senast efter det att behandlingen av uppgifterna i ärendet har avslutats. Dataskyddsförordningens bestämmelser om bevarande och radering Lagring av personuppgifter är enligt dataskyddsförordningens de- finition en form av behandling av personuppgifter. Huvudregeln i artikel 5.1 e är att personuppgifter inte får förvaras i en form som möjliggör identifiering än vad som är nödvändigt för de ändamål för vilka uppgifterna behandlas. Personuppgifterna får enligt artikel 5.1 c i dataskyddsförordningen inte heller vara för omfattande i förhållande till de ändamål för vilka de behandlas (upp- giftsminimering). Personuppgifter får lagras i den mån personuppgifterna enbart behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1, under förutsätt- ning att de lämpliga tekniska och organisatoriska åtgärder som krävs enligt dataskyddsförordningen genomförs för att säkerställa den registrerades rättigheter och friheter (lagringsminimering). Princi- perna om uppgifts- och lagringsminimering gäller om det inte finns särskilda, nationella föreskrifter om lagringstid som har införts en- ligt artikel 6.2 och 6.3 i dataskyddsförordningen. Gallring av personuppgifter och allmänna handlingar I det allmännas verksamhet finns särskilda bestämmelser som måste beaktas när gallringsbestämmelser övervägs. Myndigheters arkiv omfattas av offentlighetsprincipen enligt bestämmelserna i tryck- frihetsförordningen och svenska myndigheter är enligt arkivlagen skyldiga att bevara sina allmänna handlingar. I 3 § arkivlagen före- skrivs att myndigheters arkiv ska bevaras, hållas ordnade och vårdas så att de tillgodoser rätten att ta del av allmänna handlingar, behovet av information för rättsskipningen och förvaltningen samt forsk- ningens behov. Allmänna handlingar får enligt 10 § samma lag endast gallras om återstående arkivmaterial kan tillgodose dessa ändamål, och det krävs särskilda föreskrifter eller ett beslut från en arkiv- myndighet för att gallring ska få ske. I 1 kap. 7 § dataskyddslagen anges att dataskyddsförordningen inte ska tillämpas i den utsträckning det skulle strida mot tryckfrihets- förordningen eller yttrandefrihetsgrundlagen. heten har således företräde framför dataskyddsförordningen, vilket innebär att personuppgifter i allmänna handlingar inte ska gallras enligt bestämmelser i dataskyddsförordningen. I stället gäller arkiv- lagens regler om det inte har införts särskilda bestämmelser i annan författning om gallring av allmänna handlingar (10 § andra stycket arkivlagen). Det lämnas således utrymme både i arkivlagen och i dataskyddsförordningen för särskilda gallringsbestämmelser. Arkivlagens utgångspunkt är att allmänna handlingar ska bevaras. I de särskilda registerförfattningarna angående behandling av per- sonuppgifter i olika verksamheter är principen dock ofta den mot- satta, nämligen att uppgifterna ska gallras senast om inte undantag har föreskrivits i registerförfattningen eller i en be- stämmelse meddelad med stöd av denna. Principen att gallring ska ske motiveras i första hand av integritetsskäl. Behovet av särskilda gallringsbestämmelser måste således avgöras genom en avvägning mellan å ena sidan intresset av skydd för den personliga integriteten och å andra sidan intresset av offentlighet och insyn i myndig- heternas verksamhet (jfr prop. 2011/12:176 s. 54). Personuppgifter som behandlas i ett uppföljningsärende ska gallras senast efter det att behandlingen av uppgifterna i ärendet har avslutats I skäl 86 anges att medlemsstaterna bör säkerställa att lämplig doku- mentation av alla rapporter om överträdelser sker, att alla rapporter är åtkomliga och att information som mottas genom rapporterna vid behov kan användas som bevisning vid verkställighetsåtgärder. Som vi tidigare berört kan det förväntas att det kommer att rap- porteras en stor mängd integritetskänsliga uppgifter via rapporte- ringskanalerna. Uppgifterna kommer att behöva behandlas för att fullgöra de skyldigheter som följer med kraven på att tillhandahålla rapporteringskanaler och förfaranden. Personuppgifter som före- kommer i rapporter och de ärenden som upprättas med anledning av rapporter kommer att behöva bevaras , bl.a. eftersom det kan finnas behov av enskilda uppgifter i ärendet för hantering av ett annat ärende. Det kommer således att vara nöd- vändigt att säkerställa att dessa finns tillgängliga även efter att upp- följningen och återkopplingen har avslutats. Direktivets krav i detta avseende kan emellertid inte anses gälla utan begränsningar. I arti- kel 17 anges att behandlingen av personuppgifter ska ske i enlighet med dataskyddsförordningens bestämmelser. Av särskilt intresse är då dataskyddsförordningens bestämmelser om uppgifts- och lagrings- minimering. Med tanke på att de behandlade personuppgifterna kan antas vara av påtagligt integritetskränkande karaktär be- höver en begränsning av lagringen av personuppgifterna införas genom en gallringsfrist. Enligt vår bedömning är en gallringsfrist tillräcklig för att direktivets krav på dokumentation och till- gång till rapporterna ska mötas som det står i proportion till det ingrepp som lagringen utgör i de registrerade personernas in- tegritet.