sou · H8B338 · 2020-06-29 00:00:00 — Vi föreslår att det ska gälla sekretess hos en behörig myndighet för uppgift i ärende med anledning av rapportering som kommit in till myndigheten i en extern rapporteringskanal (se avsnitt 9.2.1). Denna sekretess kommer dock inte hindra att en uppgift lämnas till någon av unionens institutioner, organ eller byråer. Enligt 8 kap. 3 § 2 offentlighets- och sekretesslagen får en uppgift som omfattas av sekretess lämnas till en utländsk myndighet eller mellanfolklig organisation om uppgiften i motsvarande fall skulle få lämnas till en svensk myndighet och det enligt den utlämnande myndighetens pröv- ning står klart att det är förenligt med svenska intressen att uppgiften lämnas till den utländska myndigheten eller den mellanfolkliga orga- nisationen. Enligt 8 kap. 3 § 1 samma lag får dessutom en uppgift som omfattas av sekretess lämnas till en utländsk myndighet eller mellanfolklig organisation om utlämnandet sker i enlighet med sär- skild föreskrift i lag eller förordning. I den mån det i lag eller förord- ning, vilket även inkluderar EU-förordningar, föreskrivs en skyldig- het att översända informationen kommer den skyldigheten således att innebära att det är möjligt för en behörig myndighet att över- sända uppgifter trots att uppgifterna omfattas av sekretess. Vi bedömer mot den bakgrunden att genomförandet av artikel 11.2 f inte kräver några författningsåtgärder. 8.19De behöriga myndigheternas översyn av sina externa rapporteringskanaler och förfaranden Förslag: En behörig myndighet ska vara skyldig att minst en gång se över sina externa rapporteringskanaler och för- faranden. Externa rapporteringskanaler och förfaranden för rapportering och uppföljning Skälen för förslaget: I artikel 14 anges att medlemsstaterna ska säkerställa att behöriga myndigheter regelbundet, minst en gång , ser över sina förfaranden för mottagande och uppföljning av rapporter. Vid översynen av förfarandena ska behöriga myndig- heter beakta sin egen och andra behöriga myndigheters erfarenhet och anpassa sina förfaranden i enlighet därmed. I skäl 78 framhålls att den regelbundna översynen av behöriga myndigheters förfaran- den och utbytet av god praxis dem emellan är en garant för att dessa förfaranden är lämpliga och därmed tjänar sitt syfte. En översyn av rapporteringskanalerna och förfarandena behöver inte leda till att de ändras. Kravet på översyn får förstås som att det bör göras någon form av utvärdering av befintliga rapporterings- kanaler och förfaranden. Om det då framkommer att kanalerna eller förfarandena har brister eller inte fungerar bör översynen leda till att bristerna åtgärdas. Det kan framstå som lite märkligt att i författning ange att en myndighet ska se över sina rutiner . Det är en fråga som typiskt sett är upp till myndigheten att själv bestämma. Direktivets krav på översyn är emellertid tydligt och lämnar inget utrymme för undantag. För att det inte ska råda någon tvekan om att direktivet har genomförts i svensk rätt bör det därför anges att behöriga myndigheter minst en gång ska se över sina externa rapporteringskanaler och förfaranden. 8.20Krav på myndigheter som kommer att behöva inrätta både interna och externa rapporteringskanaler och förfaranden Bedömning: De behöriga myndigheterna kommer att behöva ha både interna och externa rapporteringskanaler och förfaranden. De personer eller enheter som sköter de olika kanalerna och förfarandena bör vara oberoende och självständiga i förhållande till varandra. Externa rapporteringskanaler och förfaranden för rapportering och uppföljning Skälen för bedömningen: De förslag som vi lämnar i detta kapitel och i kapitel 7 innebär att det kommer att finnas vissa myndigheter som kommer att ha krav på sig att ha både interna och externa rap- porteringskanaler och förfaranden. När det gäller interna rapporteringskanaler och förfaranden anges i direktivet att kommuner kan dela på rapporteringskanaler under förutsättning att de delade interna rapporteringskanalerna skiljer sig från och är oberoende i förhållande till de relevanta externa rapporter- ingskanalerna (artikel 8.9 tredje stycket). Vidare anges att förfaran- dena ska omfatta en opartisk person eller oberoende avdelning som är utsedd som behörig att följa upp rapporter (artikel 9.1 c). Vad gäller de externa rapporteringskanalerna och förfarandena ställs motsvarande krav på oberoende och självständighet för den som tar emot och hanterar information om överträdelser (artikel 11.2 a). Dessutom preciseras att de externa rapporteringskanalerna ska be- traktas som oberoende och självständiga om de uppfyller vissa kri- terier som gäller bl.a. informationens konfidentialitet och åtkomsten till informationen (artikel 12.1). Frågan kan ställas om kraven på oberoende och självständighet ska gälla även mellan de interna och externa rapporteringskanalerna och förfarandena. Om kraven inte gäller dem sinsemellan skulle en behörig myndighet organisatoriskt kunna tillgodose kraven genom en gemensam funktion som kan ta emot och följa upp både intern och extern rapportering. Enligt vår uppfattning bör direktivet förstås på så sätt att interna och externa rapporteringskanaler och förfaranden ska vara oberoende och självständiga i förhållande till varandra. Inte minst eftersom intern rapportering om ett missförhållande kan komma att rappor- teras externt genom en rapporteringskanal hos den myndighet där missförhållanden förekommer. I sådana fall vore det olämpligt om informationen om missförhållandena följdes upp av samma personer eller av samma enhet inom myndigheten. Att interna och externa rapporteringskanaler och förfaranden inom en och samma myndighet ska vara oberoende och självständiga även i förhållande till varandra får anses följa av den föreslagna lag- texten och bör understrykas i författningskommentaren. Externa rapporteringskanaler och förfaranden för rapportering och uppföljning 8.21Det ska införas en definition av vad som är ett uppföljningsärende Förslag: Ett uppföljningsärende ska definieras som ett ärende som består i att via en extern rapporteringskanal ta emot en rap- port och ha kontakt med den rapporterande personen, vidta åt- gärder för att bedöma riktigheten i de påståenden som framställs i rapporten, överlämna uppgifter om de utredda påståendena för fortsatta åtgärder samt lämna återkoppling om uppföljningen till den rapporterande personen. Ett ärende i en extern visselblåsarfunktion Vi lämnar i de föregående avsnitten förslag som innebär krav på myndigheter som utses som behöriga att ha externa rapporterings- kanaler och förfaranden, dvs. en extern visselblåsarfunktion. Utform- ningen av flera av de bestämmelser som vi föreslår underlättas av att det går att fastställa gränserna för en visselblåsarfunktion. Frister för återkoppling, men också gallring, behöver beräknas med utgångs- punkt i någon tidpunkt som har koppling till när ett ärende inleds eller avslutas i visselblåsarfunktionen. Ett ärende i en extern visselblåsarfunktion kommer att bestå av några centrala delar, som kan beskrivas på följande schematiska sätt. Externa rapporteringskanaler och förfaranden för rapportering och uppföljningSOU 2020:38 Ett typiskt ärende i en extern visselblåsarfunktion 8 A. TILLSYNSGREN 1.En rapport kommer in till visselblåsarfunktionen och ett ärende läggs upp. Rapporten kan komma in muntligen, skriftligen eller vid ett fysiskt möte. I samband med mottagandet dokumenteras rapporten (handlingar bevaras, muntlig rapportering kan spelas in eller nedtecknas). 2.Bedömning av behörighet: A.Det görs en prövning av om rapporten har kommit till rätt behörig myndighet. B.Om rapporten kommit till en myndighet som inte är behörig inom det område som rapporten berör överlämnas rapporten till rätt behörig myndighet. Den senare myndigheten under- rättar den rapporterande personen om överlämnandet. Externa rapporteringskanaler och förfaranden för rapportering och uppföljning 3.Mottagandet av rapporten bekräftas som huvudregel (). 4.Påståendena som den rapporterande personen framför utreds i syfte att bedöma påståendenas riktighet. 5.Utredningen kan leda till olika slutsatser. Den rapporterade in- formationen kan avslöja ett missförhållande, framför allt att det finns brister i verksamheten eller att det har begåtts något brott. Slutsatsen kan också vara att informationen grundar sig på ett missförstånd eller att informationen är medvetet falsk. Det kan också vara så att informationen är för knapphändig för att den ska kunna ligga till grund för några åtgärder. 6.Ärendet i visselblåsarfunktionen kan avslutas: A.genom att uppgifter lämnas över till tillsynsgrenen inom myn- digheten, till en annan tillsynsmyndighet eller till Polismyn- digheten. Så är typiskt fallet om påståendena visat sig bygga på ett missförstånd eller om påståendena visserligen är riktiga men att det inte är fråga om ett missförhållande. 7.Den rapporterande personen får återkoppling om den utförda utredningen och de slutsatser som dragits av utredningen, dvs. hur den behöriga myndigheten avser att gå vidare med den infor- mation som rapporterats och utretts. 8.Åtgärder med anledning av ett ärende i visselblåsarfunktionen är i regel av tillsynskaraktär men kan också vara att uppgifter lämnas över till och utreds av . Det ska införas en definition av vad som är ett uppföljningsärende För att underlätta utformningen av frister, bl.a. när det gäller gall- ring, samt att i övrigt underlätta förståelsen av lagen gör vi bedöm- ningen att det är lämpligt att det i lagen införs en legaldefinition av vad som avses med ett uppföljningsärende som återspeglar den ovan- stående schematiska beskrivningen av ett ärende i en extern vissel- blåsarfunktion. Externa rapporteringskanaler och förfaranden för rapportering och uppföljning Det bör därför införas en definitionsbestämmelse av innebörden att ett uppföljningsärende är ett ärende som består i att i en extern rapporteringskanal ta emot en rapport och ha kontakt med den rapporterande personen, vidta åtgärder för att bedöma riktigheten i de påståenden som framställs i rapporten, överlämna uppgifter om de utredda påståendena för fortsatta åtgärder, samt lämna återkopp- ling om uppföljningen till den rapporterande personen. Det kan noteras att vi i avsnitt 7.19 föreslår en motsvarande defini- tionsbestämmelse tillämplig beträffande rapportering som inkommit via en intern rapporteringskanal. Med hänsyn till att definitionerna endast skiljer sig åt i fråga om vilken rapporteringskanal rapporten inkommit genom, är det lämpligt med en gemensam definitions- bestämmelse. 9 Sekretess och tystnadsplikt I detta kapitel behandlas direktivets bestämmelser om sekretesskydd för identiteten på rapporterande och berörda personer. I kapitlet be- handlas också sekretesskydd för företagshemligheter vid rapporter- ing till behöriga myndigheter och sekretess vid tillämpning av lagen i domstol. Olika sätt att skydda den rapporterande personens identitet En rapporterande persons identitet kan skyddas på åtminstone tre sätt. För det första kan identiteten skyddas genom att personen rapporterar utan att avslöja sin identitet, dvs. genom anonym rap- portering. För det andra kan identiteten skyddas genom att behand- lingen av personuppgifter regleras eller ordnas på ett sådant sätt att den rapporterande personens identitet värnas. kan identi- teten skyddas genom att den som tar emot, återkopplar och följer upp information förbjuds att röja information som kan avslöja den rapporterande personens identitet. Bestämmelser om förbud att röja uppgifter reglerar sekretess och tystnadsplikt. I det följande använder vi begreppet sekretess när vi avser förbud att röja uppgift enligt offentlighets- och sekretesslagen, dvs. oavsett om det sker muntligen, genom utlämnande av en allmän handling eller på något annat sätt (3 kap. 1 § offentlighets- och sekre- tesslagen). När vi använder begreppet tystnadsplikt avser vi både den tystnadsplikt som följer av sekretess enligt offentlighets- och sekre- tesslagen, dvs. förbud att muntligen röja uppgifter, och tystnadsplikt som regleras i andra föreskrifter. Även avtalsreglerad tystnadsplikt avses. I visselblåsardirektivets svenska språkversion används begreppet konfidentiell. Begreppet används i viss utsträckning även i svensk författning, framför allt i säkerhetsskyddslagen (2018:585) och ankny- tande författningar när det gäller indelningen av uppgifter i säkerhets- skyddsklasser. Vi väljer att i det följande inte använda begreppet kon- fidentiell, med undantag för när vi återger det som står i direktivet, eftersom begreppet riskerar att föra tankarna till klassificering av upp- gifter enligt säkerhetsskyddslagstiftningen. Identiteten bör inte skyddas genom uppmuntran av eller krav på anonym rapportering Vid genomförande av sektorsspecifika unionsrättsakter har det an- setts, bl.a. mot bakgrund av uttalanden från den s.k. artikel 29-gruppen, att visselblåsarsystem som huvudregel ska behandla endast rapporter där anmälarnas namn framgår (prop. 2013/14:228 s. 255). Artikel 29- gruppen var en arbetsgrupp inom EU som behandlade frågor om integritetsskydd och skydd av personuppgifter fram till . Gruppens arbetsuppgifter togs över av Europeiska dataskyddsstyrelsen. Vi delar uppfattningen att endast rapporter i vilka den rapporterande personens identitet framgår bör behandlas och anser att det inte är aktuellt att införa en reglering som kräver eller uppmuntrar anonym rapportering i syfte att skydda den rapporterande personens identitet. De huvudsakliga skälen för vår uppfattning är att en sådan reglering skulle omöjlig- göra eller försvåra återkoppling och verifiering av information sam- tidigt som regleringen skulle medföra uppenbara risker för att ogrun- dade eller falska uppgifter förs fram med stöd av regleringen. Identiteten bör skyddas genom särskilda krav på behandlingen av personuppgifter När det gäller reglering av personuppgiftsbehandling i syfte att skydda identiteten för rapporterande och berörda personer anser vi att det i den nya lagen, utöver det som följer av dataskyddsförordningen, bör ställas krav på begränsningar av behörighet till och gallring av person- uppgifter. Vi återkommer i kapitel 10 till frågan om vilka krav som konkret bör ställas vid behandlingen av personuppgifter. Direktivets bestämmelser om skydd för identiteten Direktivet anger att medlemsstaterna ska säkerställa att interna rap- porteringskanaler är utformade, inrättade och drivs på ett säkert sätt som säkerställer en konfidentiell behandling av den rapporterande personens identitet och alla tredje parters identitet som omnämns i rapporten och att åtkomst för obehörig personal förhindras (arti- kel 9.1 a). I artikel 16.1 preciseras kravet på konfidentiell behandling av den rapporterande personens identitet både när det gäller intern och extern rapportering. Där anges att medlemsstaterna är skyldiga att säkerställa att den rapporterande personens identitet inte lämnas ut till någon annan än den person som är behörig att ta emot eller följa upp rapporter, utan den rapporterande personens uttryckliga samtycke. Detta ska även gälla all annan information från vilken den rapporterande personens identitet kan härledas direkt eller indirekt. Vidare anger direktivet under vilka förutsättningar den rapporterande personens identitet får lämnas ut samt vad som ska gälla vid utläm- nande av sådana uppgifter (artikel 16.2 och 16.3). Även berörda personers identitet ska skyddas av behöriga myn- digheter. De regler som fastställs i artiklarna 12, 17 och 18 gällande skydd av rapporterande personers identitet ska även gälla skyddet av de berörda personernas identitet (artiklarna 22.2 och 22.3). Direktivet innehåller även bestämmelser om krav på behandling av person- uppgifter (artikel 17). I skäl 76 anges att det hos behöriga myndigheter ska finnas skyddsförfaranden inrättade för att skydda personuppgifter. Skyddsförfarandena bör säkerställa att identiteten för den rappor- terande personen, den berörda personen och de tredje personer som omnämns i rapporten, t.ex. vittnen eller kollegor, skyddas i alla ske- den av förfarandet. Bestämmelser om sekretess och tystnadsplikt som har införts med anledning av sektorsspecifika unionsrättsakter Ett antal bestämmelser om sekretess och tystnadsplikt har införts i svensk rätt med anledning av bestämmelser om rapportering av över- trädelser i sektorsspecifika unionsrättsakter. En redogörelse för kraven i rättsakterna och hur kraven har behandlats i finns i bilaga 4 till detta betänkande. För att skydda rapporterande personers identitet inom det all- männas verksamhet har bestämmelser om sekretess införts i bl.a. 30 kap. offentlighets- och sekretesslagen. Sekretess, enligt dessa be- stämmelser, gäller för uppgift i anmälan eller utsaga om överträdelse av bestämmelse som gäller för aktuell verksamhet om uppgiften kan avslöja anmälarens identitet. Motsvarande sekretess gäller i vissa fall även för uppgift i anmälan eller utsaga om överträdelse om uppgiften kan avslöja den utpekade personens identitet. Exempel på tystnadsplikter som har införts i enskild verksamhet finns i lagen (2004:297) om bank- och finansieringsrörelse, lagen (2007:528) om värdepappersmarknaden och lagen (2018:1219) om försäkringsdistribution. Gemensamt för dessa bestämmelser är att de anger att personer som är eller har varit verksamma hos eller knutna till verksamheter som omfattas av lagstiftningen inte obehörigen får röja en uppgift i en anmälan eller utsaga om en misstänkt överträ- delse av en bestämmelse som gäller för verksamheten, om uppgiften kan avslöja anmälarens, och i vissa fall även den utpekade personens, identitet. Överväganden vid beredningen av visselblåsarlagen visselblåsarutredning föreslog en bestämmelse i offentlighets- och sekretesslagen om sekretess avseende identiteten på en arbets- tagare som slagit larm om allvarliga missförhållanden, oavsett i vilket sammanhang uppgiften förekommer. Detta skulle innebära att sek- retessen gällde hos myndigheter, och kommunala beslu- tande församlingar. Sekretessen föreslogs gälla om det inte stod klart att uppgiften kunde röjas utan att arbetstagaren lider men och högst . Utredningen föreslog också att det skulle införas en bestäm- melse om tystnadsplikt för den som mottagit ett internt larm enligt arbetsgivarens interna rapporteringsrutiner. Tystnadsplikten skulle dock inte hindra behörigt utnyttjande och vidarebefordrande av uppgift om arbetstagarens identitet, t.ex. genom att behöriga per- soner som fullgör uppgifter enligt interna rutiner vid behov lämnar över uppgifter om visselblåsarens identitet till andra behöriga personer (SOU 2014:31 s. 388). Både när det gällde sekretess och tystnads- plikt noterade utredning att sådana bestämmelser, som de skyddar den som slår larm, riskerar att bidra till spekulatio- ner om vem som har slagit larm. Tystnadsplikt kunde också, enligt utredningen, försvåra för en organisation att utreda och komma till rätta med allvarliga missförhållanden (SOU 2014:31 s. 328 och 333). Regeringen gick inte vidare med utredningens förslag om skydd för visselblåsarens identitet. 9.2Sekretess i det allmännas verksamhet vid rapportering via rapporteringskanaler 9.2.1Sekretess ska gälla för uppgifter genom vilka en person kan identifieras i ett uppföljningsärende Förslag: Sekretess ska gälla hos en myndighet i ärenden om upp- följning av rapporter som kommit in till myndigheten i en intern eller i en extern rapporteringskanal för uppgift genom vilken den rapporterande personen kan identifieras. Sekretess ska under samma förutsättningar gälla för uppgift genom vilken en annan enskild kan identifieras, om det inte står klart att uppgiften kan röjas utan att den enskilde lider skada eller men eller om det kan antas att syftet med uppföljningen motverkas om uppgiften röjs. För uppgift i en allmän handling ska sekretessen gälla i högst Bedömning: Tystnadsplikten som följer av de nya sekretess- bestämmelserna bör inte ha företräde framför meddelarfriheten. Skälen för förslagen och bedömningen Det ska införas en ny reglering om sekretess i offentlighets- och sekretesslagen Vi har i avsnitt 7.6 föreslagit att vissa arbetsgivare ska vara skyldiga att inrätta interna rapporteringskanaler och förfaranden. Det inne- bär att det kommer att ställas krav på vissa statliga myndigheter, kommuner och regioner att i egenskap av arbetsgivare inrätta sådana kanaler och förfaranden. Vi har vidare i avsnitten 8.7 och 8.8 före- slagit att regeringen ska utse behöriga myndigheter som ska inrätta externa rapporteringskanaler och förfaranden. berörda personers identitet ska enligt direktivet skyddas hos alla som är skyldiga att inrätta rapporteringskanaler och förfaranden, dvs. både hos dem som ska ha interna rapporteringskanaler och förfaranden och hos dem som ska ha externa sådana. Det finns ett antal bestämmelser i offentlighets- och sekretess- lagen om sekretess för uppgift i en anmälan eller utsaga om olika slag av regelöverträdelser. Flera av dessa bestämmelser har införts med anledning av unionsrättsakter (se ovan för en redogörelse för dessa bestämmelser). Andra bestämmelser om sekretess vid anmälningar har tillkommit av nationella hänsyn, t.ex. sekretess inom hälso- och sjukvården (25 kap. 7 § offentlighets- och sekretesslagen), inom socialtjänst (26 kap. 5 § offentlighets- och sekretesslagen), inom socialförsäkring (28 kap. 3 § offentlighets- och sekretesslagen), vid för- undersökning och brottsförebyggande verksamhet (35 kap. 2 § offent- lighets- och sekretesslagen), i ärenden om omhändertagande (35 kap. 21 § offentlighets- och sekretesslagen) samt i verksamhet för kontroll över utlänningar (37 kap. 1 § offentlighets- och sekretesslagen). Gemensamt för de befintliga sekretessbestämmelserna är att de gäller i viss verksamhet och endast för uppgift i en anmälan eller ut- saga. För att ska uppfylla sina åtaganden enligt visselblåsar- direktivet behöver sekretess gälla i alla ärenden som har initierats genom rapportering via interna och externa rapporteringskanaler. Den sekretess som gäller enligt de nu nämnda bestämmelserna till- godoser alltså inte de krav som ställs i direktivet. Det behöver därför införas en ny reglering om sekretess i offentlighets- och sekretess- lagen. Det nya sekretesskyddet ska gälla hos myndigheter som är skyldiga att ha interna eller externa rapporteringskanaler Vi föreslår att krav på inrättande av rapporteringskanaler och för- faranden inte ska gälla för alla myndigheter. Endast statliga myn- digheter med 50 eller fler arbetstagare kommer enligt våra förslag att behöva ha interna rapporteringskanaler och förfaranden och endast ett mindre antal myndigheter kommer att behöva ha externa kanaler och förfaranden. Man kan mot denna bakgrund fråga sig om det bör finnas ett sekretesskydd för rapporterande och berörda personers identitet vid intern rapportering inom en myndighet med färre än 50 anställda. Man kan på motsvarande sätt ställa frågan om sekretes- skydd bör finnas vid extern rapportering till en myndighet som inte har en skyldighet att ha externa rapporteringskanaler och förfaranden. Intresset av att skydda den rapporterande personens identitet kan, om denne rapporterar till någon som inte är skyldig att inrätta rapporteringskanaler, fortfarande vara starkt eftersom en person utan sekretesskydd kan tänkas avstå från att rapportera eller kan riskera att utsättas för repressalier om identiteten blir känd. Det kan också utifrån den enskildes perspektiv tyckas godtyckligt att identiteten skyddas hos vissa myndigheter men inte hos andra. måste det beaktas att bestämmelser om sekretess utgör undantag från offentlighetsprincipen och begränsar den insyn som normalt bör gälla i myndigheters verksamhet. Därför bör nya bestäm- melser som gör undantag från offentlighetsprincipen och därmed begränsar insyn införas med försiktighet och övervägas noggrant. Detta gäller i synnerhet bestämmelser som har vida och svåröver- blickbara tillämpningsområden.