sou · H8B338 · 2020-06-29 00:00:00 — Uppgifter kan t.ex. behöva lämnas till verksam- hetens personalfunktion i syfte att det ska kunna prövas om en per- son som har orsakat ett missförhållande ska skiljas från anställningen, omplaceras eller polisanmälas. Samtliga ovannämnda situationer när information som omfattas av tystnadsplikt lämnas från visselblåsarfunktionen till annan perso- nal än den som utsetts som särskilt behörig att ta emot och följa upp rapporteringen bör anses vara ett behörigt röjande av uppgifter. Motsvarande bör gälla när personer som är behöriga att hantera rapporter inom en intern visselblåsarfunktion lämnar uppgifter till andra behöriga personer. En sådan situation kan t.ex. vara när en per- son som har till arbetsuppgift att ta emot rapportering lämnar upp- gifter till en person som har till uppgift att följa upp rapporteringen. Även röjande av information vid medvetet falsk rapportering som lämnas till en berörd person bör anses vara behörigt. Ett röjande bör också anses vara behörigt om det har stöd i andra lagar eller förordningar (se nedan). Om den som skyddas av en tystnadsplikt – enligt den nu före- slagna regleringen framför allt rapporterande personer och berörda personer – samtycker till att de skyddade uppgifterna lämnas ut bör det anses vara ett behörigt röjande. En rapporterande person eller en berörd person bör även genom sin arbetstagarorganisation kunna lämna samtycke till att uppgifter om identiteten lämnas. Det innebär att om ett fackförbund i t.ex. en tvisteförhandling behöver få tillgång till identitetsuppgifter från ett uppföljningsärende så bör det vara möjligt med stöd av ett lämnat samtycke. Förhållande till annan reglering om tystnadsplikt Som berörts i avsnitt 9.1 har tystnadsplikter i enskild verksamhet införts till följd av sektorsspecifika unionsrättsakter i t.ex. lagen (2004:297) om bank- och finansieringsrörelse och lagen (2007:528) om värdepappersmarknaden. Tystnadsplikterna enligt dessa lagar inne- bär att en uppgift i en anmälan eller utsaga om en misstänkt över- trädelse av en bestämmelse som gäller för verksamheten inte obehö- rigen får röjas, om uppgiften kan avslöja anmälarens, och i vissa fall även den utpekade personens, identitet. Vi föreslår i avsnitt 5.2 att lagen ska vara subsidiär i förhållande till föreskrifter i andra lagar eller förordningar om rapportering av överträdelser av unionsrätten. Detta gäller även i fråga om tystnads- plikt. Om det finns bestämmelser i någon av de lagar eller förord- ningar som genomför eller kompletterar en unionsrättsakt och som föreskriver tystnadsplikt för personal som bemannar en visselblåsar- funktion, kommer alltså de bestämmelserna att gälla framför den tystnadsplikt som föreslås i detta avsnitt. När det gäller lagens förhållande till annan reglering än föreskrif- ter som genomför eller kompletterar sektorsspecifika unionsrätts- akter kommer lagen inte att vara subsidiär. Detta innebär att två lag- stadgade tystnadsplikter med olika utformning skulle kunna omfatta samma uppgifter. I en sådan situation får sedvanliga lagtolknings- principer tillämpas och avgöra vilken tystnadspliktsbestämmelse som ska tillämpas. Detta skulle kunna leda till att den senast antagna be- stämmelsen tillämpas (lex posterior) eller den bestämmelse som är mest specifik (lex specialis). Det skulle också kunna vara så att det i annan lag eller förordning finns en skyldighet att lämna ut uppgifter. En sådan skyldighet bör kunna fullgöras utan att det anses vara ett obehörigt röjande enligt den nu föreslagna bestämmelsen om tyst- nadsplikt. Det skulle vidare kunna vara så att en person som omfattas av den föreslagna tystnadsplikten använder sin grundlagsfästa meddelar- frihet. I ett sådant fall skulle den nu föreslagna bestämmelsen om tystnadsplikt aldrig hindra att meddelarfriheten används eftersom vi nedan föreslår att tystnadsplikten inte ska ha företräde framför med- delarfriheten. Det bör i det sammanhanget noteras att det i viss verk- samhet finns ett utsträckt meddelarskydd som även ger skydd mot repressalier och efterforskning i förhållande till verksamhetsutöva- ren, kommunala bolag eller vissa andra organ enligt meddelarskydds- lagen och enligt 13 kap. 2 § offentlighets- och sekretesslagen (se av- snitt 5.1.3). Tystnadsplikten bör inte ha företräde meddelarfriheten Tystnadsplikten bör av samma skäl som anges när det gäller sekre- tessbestämmelserna inte ha företräde framför meddelarfriheten. Det bör således finnas en säkerhetsventil för den som träffas av tystnads- plikten att meddela uppgifter som omfattas av tystnadsplikten för offentliggörande. Vilka sanktioner ska finnas vid åsidosättande av tystnadsplikten? Brott mot en lagstadgad tystnadsplikt sanktioneras som utgångs- punkt genom 20 kap. 3 § . I vissa fall görs dock undan- tag från straffsanktionen. Enligt vår mening saknas skäl att för den nu föreslagna tystnadsplikten göra undantag från 20 kap. 3 § eftersom en straffsanktionerad tystnadsplikt kan antas leda till ett effektivare skydd för rapporterande och berörda personer och eftersom direk- tivet anger att det ska finnas sanktioner som är effektiva, propor- och avskräckande när någon bryter mot skyldigheten att be- handla rapporterande personers identitet konfidentiellt (artikel 23.1 d). Det ska upplysas om att offentlighets- och sekretesslagen gäller i det allmännas verksamhet Tystnadsplikten föreslås gälla för arbetsgivare inom den privata sek- torn med interna rapporteringskanalser och förfaranden. Det bör i anslutning till bestämmelsen om tystnadsplikt tas in en upplysning om att offentlighets- och sekretesslagen ska tillämpas i det allmännas verksamhet. 10 Behandling av personuppgifter Detta kapitel rör frågor om vilken reglering som behövs dels för att möjliggöra den behandling av personuppgifter som är nödvändig för att uppfylla den nya lagens krav, dels för att upprätthålla en hög skyddsnivå vid behandling av personuppgifter enligt lagen. Direktivets bestämmelser om personuppgiftsbehandling finns i artikel 17 och gäller all personuppgiftsbehandling som omfattas av direktivet, dvs. behandling hos såväl privata som offentliga aktörer och vid rapportering genom både interna och externa kanaler. 10.2Vilken behandling av personuppgifter kommer att krävas? Det är svårt att överblicka omfattningen eftersom regleringen kommer att tillämpas inom många olika branscher och sektorer Det är svårt att med någon större precision förutse vilken behandling av personuppgifter som kommer att krävas med anledning av den föreslagna lagen. Detta gäller både omfattningen av personuppgifts- behandlingen och vilka slag av personuppgifter som kommer att be- höva behandlas. Osäkerheten förstärks av att vi föreslår en lagstift- ning som kommer att vara tillämplig inom många olika branscher och sektorer och som det dessutom kommer att vara möjligt att avvika från genom kollektivavtal. Omfattningen kommer att vara rapportörsstyrd En viktig aspekt när det gäller överväganden om behandling av per- sonuppgifter i visselblåsarfunktioner är att det är den rapporterande personen som avgör vilka uppgifter som rapporteras. Detta innebär att det oundvikligen läggs ett stort ansvar på mottagaren av uppgifterna att minimera behandlingen av personuppgifter, framför allt genom att skyndsamt radera uppgifter som av misstag har rapporterats eller som av någon annan anledning saknar relevans och som det inte finns krav på att bevara, t.ex. för att de utgör allmänna handlingar. Det innebär också att det är svårt att på förhand bedöma omfatt- ningen av rapporterade personuppgifter. En rapportering av ett missförhållande kan innehålla ett stort antal personuppgifter och det kommer inte vara möjligt att på förhand hindra en rapporterande person från att rapportera personuppgifter som saknar relevans. Man kan t.ex. tänka sig en situation då den rapporterande personen bi- fogar en förteckning över hundratals personer som har bott på ett hotell i syfte att visa att den person som utpekas i rapporteringen bodde på hotellet en viss natt (exempel från EDPS Guidelines on processing personal information within a whistleblower procedure, s. 9). Behandling av personuppgifter kommer sannolikt att öka något i personaladministrativ verksamhet och i rättsliga förfaranden Vi bedömer att den föreslagna regleringen kommer att ge upphov till en viss ökning av personuppgiftsbehandlingen inom ramen för personaladministrativ verksamhet och rättsliga förfaranden. finns en omfattande behandling av personuppgifter inom personaladministrativ verksamhet. Fler personuppgifter kommer sannolikt att behöva behandlas som en följd av att det upptäcks att anställda gör sig skyldiga till regelöverträdelser som kan leda till att anställningen ska avslutas eller disciplinåtgärder vidtas. Ökningen av personuppgiftsbehandlingen i personaladministrativ verksamhet torde dock inte vara av en sådan omfattning – och inte heller av en så av- vikande karaktär – att det finns anledning för oss att överväga ett förstärkt skydd för personuppgifter inom den verksamheten. Skyddet för personuppgifter i de allmänna domstolarna, allmänna förvaltningsdomstolarna och i Arbetsdomstolen har behandlats i lag- stiftningsarbeten med anledning av anpassningar av svensk rätt till dataskyddsförordningen (prop. 2017/18:112 och prop. 2017/18:113). Vi gör bedömningen att de befintliga bestämmelserna som reglerar personuppgiftsbehandlingen vid domstolarna inte behöver ändras med anledning av våra förslag. Det kommer att behöva behandlas många och integritetskänsliga personuppgifter inom ramen för visselblåsarfunktionerna Det står i vart fall klart att bestämmelserna om intern och extern rapportering kommer att föranleda en inte oväsentlig personuppgifts- behandling. Uppgifter som kan identifiera rapporterande personer, berörda personer och även andra personer kommer att behöva tas emot, registreras, organiseras, lagras, lämnas ut och raderas. För att skapa oss en bild av omfattningen av behandlingen har vi varit i kon- takt med statliga myndigheter, kommuner och företag som har visselblåsarfunktioner – både funktioner med kanaler avsedda för den egna personalen och funktioner med kanaler avsedda för externa personer. Den bild som framträder är att det är stora variationer i antalet rapporteringar och det är också stora variationer i andelen anonyma rapporteringar i förhållande till det totala antalet. En försiktig uppskattning är dock att kravet på interna rappor- teringskanaler och uppföljning inom större företag och myndigheter inte sällan kommer att medföra att hundratals personuppgifter år- ligen behöver behandlas inom ramen för den ordning som den nya lagen kräver. Antalet företag med fler än 500 anställda uppgick till 994 (SCB ). Många av de större företagen har visselblåsarfunktioner (Nordic Business Ethics Survey 2019). Om det antas att hälften av de större företagen kommer att behöva inrätta funktioner och att dessa i genomsnitt kommer att behandla 100 personuppgifter skulle det innebära att endast för dessa företag skulle närmare 50 000 personuppgifter behöva behandlas . De myndigheter som kommer att vara skyldiga att inrätta externa rap- porteringskanaler kommer också enligt våra uppskattningar att behöva behandla hundratals personuppgifter för att tillgodose de krav som lagen ställer. Det står också klart att de personuppgifter som kommer att be- handlas enligt förslaget ofta kommer att vara av integritetskänslig karaktär. Uppgifterna kommer att inkludera konstaterade eller miss- tänkta brott och andra överträdelser av lagar och andra författningar som utpekade personer påstås ha gjort sig skyldiga till. Det kan handla om ekonomiska brott, korruptionsbrott, arbetsmiljöbrott, diskriminering och trakasserier. Vilken typ av regelöverträdelser det kommer att vara fråga om kommer i stor utsträckning att bero på vilken sektor eller bransch det handlar om. Inom den finansiella sek- torn kan det förväntas att personuppgifterna handlar om överträ- delser som utpekade personer har gjort i förhållande till de särskilda regler som gäller inom den sektorn medan det inom branscher där det hanteras miljöfarliga ämnen kan förväntas att uppgifterna ofta rör överträdelser av de regler som omgärdar sådan hantering. Inom de flesta sektorer och branscher förväntas rapporterade person- uppgifter även komma att röra överträdelser av regler som gäller för personuppgiftsbehandling, upphandling och arbetsmiljö. I många fall kommer det att vara uppgifter som om de kommer ut kan resultera i att den rapporterande personen utsätts för fara för repressalier. Det kan också vara så att känsliga personuppgifter i dataskydds- förordningens mening behöver behandlas. Det kan t.ex. röra sig om uppgifter som den rapporterande personen har angett om sin eller en kollegas hälsa. Det skulle också kunna vara så att den rapporte- rande personen har angivit sitt fackliga medlemskap eller vid påstådd diskriminering sin eller andras etniska ursprung, religiösa övertygelse, sexuella läggning eller funktionsnedsättning. I andra fall kan det vara uppgifter som inte tillhör de kategorier av uppgifter som definieras som känsliga i dataskyddsförordningen, men som ändå har stor be- tydelse för den personliga integriteten. Det kan röra sig om upp- gifter som avslöjar någons relationer i arbetslivet eller en kollegas ekonomiska situation eller sociala beteende. Erfarenheten visar att det sannolikt kommer att rapporteras upp- gifter som är felaktiga och i vissa fall även uppgifter som är medvetet falska. En del av uppgifterna kommer sannolikt också vara sådana som har rapporterats via rapporteringskanalerna men som egentligen skulle ha skickats till någon annan adressat. Behandlingen av personuppgifter i rapporteringskanalerna kom- mer att skötas av en begränsad krets personer. I vissa fall kommer dock personuppgifter att behöva lämnas till personer som inte ingår i denna krets. Det gäller t.ex. när personuppgifter lämnas till polis eller åklagare eller internt till verksamhetens personalavdelning eller juridiska avdelning. Det kommer också i vissa fall att vara nödvän- digt att lämna över personuppgifter till andra delar av verksamheten i syfte att ett missförhållande ska avhjälpas. Sammanfattningsvis kan det konstateras att den nya lagen sanno- likt kommer att ge upphov till en ny och omfattande behandling av personuppgifter. I många fall kommer personuppgifterna att vara av integritetskänslig karaktär. 10.3Det befintliga regelverket för behandling av personuppgifter Dataskyddsförordningen utgör den generella regleringen av personuppgiftsbehandling inom EU. I förordningen regleras bl.a. grundläggande principer för behandling av personuppgif- ter, den registrerades rättigheter, personuppgiftsansvar, tillsyn över personuppgiftsbehandling och rätten för enskilda att få tillgång till rättsmedel. Nedan finns en närmare redogörelse för dataskyddsför- ordningens bestämmelser (avsnitt 10.3.4). Vid sidan av dataskyddsförordningen finns dataskyddsdirektivet som gäller inom det brottsbekämpande området. Dataskyddsdirek- tivet ska dels skydda fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter, dels underlätta det informationsutbyte mellan behöriga myndigheter som är nödvändigt enligt unionsrätt eller nationell rätt. Direktivet ersätter rådets rambeslut /977/RIF av om skydd av personuppgifter som behandlas inom ramen för polis- samarbete och straffrättsligt samarbete. Direktivet har i huvudsak genomförts genom en ny ramlag, brottsdatalagen, som trädde i kraft . Brottsdatalagen drar upp gränsen mellan å ena sidan den särskilda regleringen av behandling av personuppgifter vid brottsbekämpning, lagföring, straffverkställighet och upprätthållande av allmän ordning och säkerhet och å andra sidan dataskyddsförord- ningens tillämpningsområde. Lagen ska tillämpas av dem som är behöriga myndigheter enligt lagen, om syftet med personuppgifts- behandlingen är att förebygga, förhindra eller upptäcka brottslig verk- samhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet. Det är alltså syftet med behandlingen av personuppgifter i det enskilda fallet som blir avgörande för när lagen ska tillämpas, inte i vilken verksamhet be- handlingen utförs. , som dataskyddsförordningen började tillämpas, upphävdes personuppgiftslagen (1998:204) som lagen (2018:218) med kompletterande bestämmelser till EU:s data- skyddsförordning, här kallad dataskyddslagen, trädde i kraft. Data- skyddslagen innehåller bestämmelser som kompletterar dataskydds- förordningen på ett generellt plan i svensk rätt. Dataskyddslagen är subsidiär i förhållande till annan lag eller förordning. Detta innebär att om det finns avvikande bestämmelser i sektorsspecifika register- författningar ska de tillämpas framför motsvarande bestämmelser i dataskyddslagen. 10.3.4Närmare om dataskyddsförordningens bestämmelser Vad är personuppgifter? Dataskyddsförordningen är tillämplig på sådan behandling av person- uppgifter som helt eller delvis sker på automatisk väg och på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register (artikel 2.1). Med personuppgifter avses enligt artikel 4 i förordningen varje upplysning som avser en identifierad eller identifierbar fysisk person. En identifierbar fysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en s.k. identifierare, t.ex. ett namn, ett identifika- tionsnummer, en lokaliseringsuppgift, onlineidentifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet. Vad är behandling av personuppgifter? Med behandling avses enligt artikel 4.2 i dataskyddsförordningen en åtgärd eller kombination av åtgärder avseende personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs auto- matiserat eller ej, såsom insamling, registrering, organisering, struk- turering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhanda- hållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring. Vem är ansvarig för behandling av personuppgifter? Personuppgiftsansvarig är enligt artikel 4.7 i dataskyddsförordningen en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Den som behandlar personuppgifter för den personuppgiftsansvariges räkning benämns enligt artikel 4.8 personuppgiftsbiträde. Ett personuppgifts- biträde kan vara en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som behandlar personuppgifter för den personuppgiftsansvariges räkning. Vissa allmänna principer vid behandling av personuppgifter De allmänna krav som gäller för behandling av personuppgifter an- ges i artikel 5.1 i dataskyddsförordningen. Den första principen som läggs fast är att personuppgifter ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade (artikel 5.1 a). Vidare anges att personuppgifterna ska samlas in för särskilda, ut- tryckligt angivna och berättigade ändamål och att de inte senare får behandlas på ett sätt som är oförenligt med dessa ändamål. Ytter- ligare behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 ska dock inte anses vara oförenlig med de ursprung- liga ändamålen (artikel 5.1 b). Vidare ska uppgifterna bl.a. vara ade- kvata och korrekta och får inte förvaras än vad som är nödvändigt (artikel 5.1 c, d och e). behandlas på ett sätt som säkerställer lämplig säkerhet (artikel 5.1 f). Det är den personuppgiftsansvarige som ska ansvara för och kunna visa att artikel 5.1 efterlevs (artikel 5.2). Vad innebär det att det måste finnas en rättslig grund? Dataskyddsförordningen utgår från att varje behandling av person- uppgifter måste vila på en av de rättsliga grunder som räknas upp i artikel 6.1. Behandlingen är enligt artikel 6.1 laglig endast om och i den mån som åtminstone ett av följande villkor är uppfyllt: a)Den registrerade har lämnat sitt samtycke till att dennes per- sonuppgifter behandlas för ett eller flera specifika ändamål. b)Behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås. c)Behandlingen är nödvändig för att fullgöra en rättslig förplik- telse som åvilar den personuppgiftsansvarige. d)Behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk person. e)Behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndig- hetsutövning. f)Behandlingen är nödvändig för ändamål som rör den person- uppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och fri- heter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn. Villkor f gäller inte för behandling som utförs av offentliga myndigheter när de fullgör sina uppgifter (arti- kel 6.1 andra stycket). Medlemsstaterna får behålla eller införa mer specifika bestäm- melser för att anpassa tillämpningen av bestämmelserna i förord- ningen med hänsyn till behandling för att efterleva artikel 6.1 c och e (rättslig förpliktelse respektive allmänt intresse eller myndighets- utövning). Detta får göras genom att man närmare fastställer speci- fika krav för uppgiftsbehandlingen och andra åtgärder för att säker- ställa en laglig och rättvis behandling, inbegripet för andra specifika situationer då uppgifter behandlas i enlighet med kapitel IX som inne- håller bestämmelser om särskilda behandlingssituationer (artikel 6.2). När det gäller behandling som är nödvändig för att fullgöra en rättslig förpliktelse, för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning måste det även finnas ett annat stöd i rättsordningen än det som ges i dataskyddsförordningen. I artikel 6.3 första stycket anges nämligen att den grund för behand- lingen som avses i artikel 6.1 c och e ska fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt som den person- uppgiftsansvarige omfattas av. I skäl 45 till dataskyddsförordningen anges att förordningen inte medför något krav på en särskild lag för varje enskild behandling, utan att det kan räcka med en lag som grund för flera behandlingar som bygger på en rättslig förpliktelse som åvilar den personuppgiftsansvarige eller om behandlingen krävs för att utföra en uppgift av allmänt intresse eller som ett led i myn- dighetsutövning. I propositionen till dataskyddslagen anförde reger- ingen att det av ordalydelsen i artikel 6.3 första stycket framgår att det som ska fastställas i unionsrätten eller i nationell rätt är den grund för behandlingen som avses i artikel 6.1 c och e. Det krävs således inte en reglering i unionsrätten eller i nationell rätt av själva personuppgiftsbehandlingen som ska ske med stöd av dessa rättsliga grunder. Det som måste ha stöd i rättsordningen är i stället den rättsliga förpliktelsen respektive uppgiften av allmänt intresse eller rätten att utöva myndighet (prop. 2017/18:105 s. 49). Särskilda kategorier av personuppgifter