sou · H8B338 · 2020-06-29 00:00:00 — För att fylla sitt syfte måste informationen som ett minimum inne- hålla kontaktuppgifter till de interna rapporteringskanalerna och upp- lysningar om de förfaranden som gäller för rapportering, exempelvis information om hur arbetsgivaren tar emot en rapport och lämnar återkoppling. Punkt 2 rör information om extern rapportering. Genom para- grafen genomförs artikel i direktivet. Av punkten framgår att det ska finnas information om hur rapportering görs externt till behöriga myndigheter via de externa rapporteringskanalerna enligt och, i tillämpliga fall, till EU:s institutioner, organ eller byråer. Informationen ska ge en rapporterande person vetskap om hur han eller hon ska gå till väga för att rapportera externt till en behörig myndighet. För att fylla sitt syfte måste informationen som ett mini- mum innehålla kontaktuppgifter till de behöriga myndigheternas rapporteringskanaler och en beskrivning av vad det innebär att rap- portera externt. Punkt 3 rör information om meddelarfrihet och anskaffarfrihet. Av punkten framgår att det ska finnas information om det som före- skrivs i tryckfrihetsförordningen och yttrandefrihetsgrundlagen om meddelarfrihet och anskaffarfrihet. I verksamheter där det är aktu- ellt ska det även finnas tydlig och lättillgänglig information om efter- forskningsförbud och repressalieförbud. Verksamheter där det kan vara aktuellt är offentlig verksamhet eller annan verksamhet där med- delarskydd gäller enligt meddelarskyddslagen eller offentlighets- och sekretesslagen. Utseende av behöriga personer eller enheter 5 § En arbetsgivare ska utse oberoende och självständiga personer eller enheter som är behöriga att på arbetsgivarens vägnar 1.ta emot rapporter och ha kontakt med rapporterande personer, 2.följa upp det som rapporteras, samt 3.lämna återkoppling om uppföljningen till den rapporterande personen. De som utses får antingen vara anställda hos arbetsgivaren eller hos någon som har anlitats för att hantera rapporteringskanalerna och förfarandena för arbetsgivarens räkning. Paragrafen föreskriver krav på att arbetsgivaren ska utse personer eller enheter som ska hantera rapportering. Övervägandena finns i avsnitt 7.10. Genom paragrafen genomförs artiklarna 8.5 och 9.1 c i visselblåsardirektivet. I paragrafens första stycke anges att en arbetsgivare är skyldig att utse personer eller enheter som är behöriga att på arbetsgivarens vägnar hantera rapportering. De ska ta emot en rapport och ha kon- takt med den rapporterande personen (punkt 1), följa upp det som rapporteras (punkt 2) och lämna återkoppling om uppföljningen till den rapporterande personen (punkt 3). De nu nämnda uppgifterna innefattar de centrala delarna av vad som avses med interna rappor- teringskanaler och förfaranden. Se vidare kommentaren till 1 kap. 6 § 5 angående definitionen av ett uppföljningsärende. En arbetsgivare ska utse behöriga personer eller enheter för samt- liga uppgifter. Olika personer kan utses för olika delar av hanter- ingen. Vissa personer kan t.ex. utses som behöriga för att ta emot rapporter, medan andra personer utses som behöriga för att följa upp det som rapporteras samt lämna återkoppling. De som utses ska vara oberoende och självständiga. Rapporter om missförhållanden kan röra kolleger och det kan bli nödvändigt att utreda misstankar mot dessa. Det är därför viktigt att det finns en klar distans till övriga delar av arbetsgivarens verksamhet när de behöriga personerna hanterar uppföljningsärenden. De utsedda måste ha en ställning som upplevs som förtroendeingivande. Vägledning för tolkningen av begreppen oberoende och självständighet kan hämtas från förarbeten och praxis beträffande motsvarande krav som ställs på dataskyddsombud enligt artiklarna 37–39 i dataskyddsförordningen. Av paragrafens andra stycke framgår att de som utses som be- höriga antingen kan vara anställda hos arbetsgivaren eller hos någon som anlitats för att hantera rapporteringskanalerna och förfarandena för arbetsgivarens räkning. De interna rapporteringskanalerna och förfarandena kan alltså helt eller delvis hanteras av någon utomstå- ende person eller enhet för arbetsgivarens räkning. Mottagande- förfarandet inom visselblåsarfunktionen kan t.ex. hanteras av en utomstående anlitad part, medan arbetsgivaren själv tar hand om t.ex. uppföljning och återkoppling. Även om en arbetsgivare kan välja att anlita någon annan för att helt eller delvis hantera visselblåsarfunktionen för arbetsgivarens räkning är det fortfarande arbetsgivaren som har ansvaret för att funktionen utformas och hanteras på ett sätt som gör att lagens krav uppfylls. Gemensamma kanaler och förfaranden 6 § En arbetsgivare som bedriver privat verksamhet och som vid ingången av kalenderåret hade mellan 50 och 249 arbetstagare, får dela interna rappor- teringskanaler och förfaranden med andra arbetsgivare med motsvarande antal arbetstagare. De funktioner som får delas är 1.mottagande av rapporter och 2.utredning av de förhållanden som rapporterats, vilket dock inte inklu- derar att ha kontakt med den rapporterande personen. Paragrafen anger förutsättningarna för när en arbetsgivare som be- driver privat verksamhet får dela på interna rapporteringskanaler och förfaranden med andra privata arbetsgivare. Övervägandena finns i avsnitt 7.8. Genom paragrafen genomförs artikel 8.6 i visselblåsar- direktivet. I paragrafens första stycke anges att en arbetsgivare som bedriver privat verksamhet och som vid ingången av kalenderåret hade mellan 50 och 249 arbetstagare får dela interna rapporteringskanaler och förfaranden med andra arbetsgivare med motsvarande antal arbets- tagare. Kravet på att ha mellan 50 och 249 arbetstagare gäller således för samtliga arbetsgivare som väljer att dela på funktioner. De delar inom visselblåsarfunktionen som enligt paragrafens andra stycke får delas är mottagande av rapporter samt utredning av de förhållanden som rapporterats, vilket dock inte inkluderar att ha kontakt med den rapporterande personen. Det är i övrigt inte tillåtet att dela funktioner. Som exempel på funktioner som inte får delas kan nämnas att ha kontakt med den rapporterande personen, eller att lämna återkoppling om uppföljningen till den rapporterande per- sonen. Även om en arbetsgivare kan välja att dela på vissa funktioner med andra arbetsgivare är det fortfarande den enskilde arbetsgivaren som har kvar ansvaret för att visselblåsarfunktionen utformas och hanteras så att lagens krav uppfylls. 7 § Kommuner och regioner får dela interna rapporteringskanaler och förfaranden med andra kommuner och regioner. Paragrafen anger förutsättningarna för när kommuner och regioner får dela på interna rapporteringskanaler och förfaranden med andra kommuner eller regioner. Övervägandena finns i avsnitt 7.8. Genom paragrafen genomförs artikel 8.9 i visselblåsardirektivet. Vid tillämpningen av lagen ska hela kommunen respektive regionen anses som en arbetsgivare, se vidare kommentaren till 1 §. Till skill- nad mot privata arbetsgivare som enligt 6 § endast får dela funktio- nerna ”mottagande av rapporter” och ”utredning av de förhållanden som rapporterats”, får kommunala arbetsgivare dela samtliga funk- tioner inom en visselblåsarfunktion. Även om en kommun eller region kan välja att dela de interna rapporteringskanalerna och förfarandena med andra kommuner och regioner är det fortfarande den enskilde kommunen eller regionen som har kvar ansvaret för att visselblåsarfunktionen utformas och hanteras så att lagens krav uppfylls. Paragrafen reglerar inte de kommunalrättsliga förutsättningarna för hur kommuner eller regioner får samarbeta över kommungränserna. Detta regleras i stället i andra regelverk, t.ex. i 3 kap. 8 och 9 §§ kom- munallagen (2017:725). Dokumentation av kanaler och förfaranden 8 § En arbetsgivare ska skriftligen dokumentera sina interna rapporterings- kanaler och förfaranden för rapportering och uppföljning. Paragrafen ställer krav på dokumentation. Övervägandena finns i av- snitt 7.15. Det ställs inga särskilda krav på hur dokumentation ska göras annat än att den ska vara skriftlig. I kravet på dokumentation ligger dock att samtliga delar av de interna rapporteringskanalerna och för- farandena för rapportering och uppföljning ska dokumenteras och beskrivas. Arbetsgivaren ska alltså beskriva alla steg i visselblåsar- funktionen, dvs. vilka rapporteringskanaler som finns, hur rapporter tas emot, hur bekräftelse på mottagande kommer att lämnas, hur rapporterna dokumenteras och bevaras hos arbetsgivaren, hur de rapporterade förhållandena kommer att utredas och följas upp samt hur den rapporterande personen kommer att få återkoppling om utredning och uppföljning. Dessutom bör det av dokumentationen framgå vilka enheter eller personer som har utsetts som behöriga att ta emot och i övrigt hantera rapporter på arbetsgivarens vägnar. Uppgiftsskyldighet i det allmännas verksamhet 9 § Personer eller enheter inom en myndighet som vid en sådan uppfölj- ning som avses i 5 § 2 bedömer att det finns skäl att vidta åtgärder med anledning av det som framkommit i rapporten, ska till en annan enhet eller funktion inom myndigheten lämna de uppgifter som är nödvändiga för att åtgärderna ska kunna vidtas. Paragrafen föreskriver uppgiftsskyldighet för visselblåsarfunktionen i det allmännas verksamhet. Övervägandena finns i avsnitt 7.16. Ge- nom paragrafen genomförs delvis artikel 16.2 i visselblåsardirektivet. Paragrafen är endast tillämplig hos offentliga arbetsgivare. Av paragrafen framgår att uppgifter ska lämnas från de personer eller enheter som har utsetts som behöriga, till en annan enhet eller funktion inom myndigheten. En förutsättning är att de behöriga personerna eller enheterna bedömer att det finns skäl att vidta åt- gärder med anledning av det som framkommit i rapporten. En annan enhet eller funktion inom myndigheten kan vara en personalenhet, rättsfunktion eller ledningsgrupp. Det krävs att uppgiftslämnandet är nödvändigt för att kunna vidta åtgärder, vilket innebär att upp- gifter som inte är nödvändiga för att vidta åtgärder inte ska lämnas. Uppgiftsskyldigheten medför att eventuell sekretess, som kan gälla inom en myndighet mellan olika verksamhetsgrenar som är att anse som självständiga i förhållande till varandra, inte hindrar att upp- gifterna lämnas från visselblåsarfunktionen till andra delar av myn- digheten (jfr 8 kap. 2 § och 10 kap. 28 § offentlighets- och sekretess- lagen). Förhandlingsskyldighet vid beslut om kanaler och förfaranden 10 § I fråga om arbetsgivares beslut om interna rapporteringskanaler och förfaranden, finns bestämmelser om förhandlingsskyldighet i 11–14 §§ lagen (1976:580) om medbestämmande i arbetslivet. Paragrafen upplyser om bestämmelserna om förhandlingsskyldighet i 11–14 §§ medbestämmandelagen. Övervägandena finns i avsnitt 7.17. Av artikel 8.1 i visselblåsardirektivet framgår att inrättandet av kanaler ska ske i samråd och i samförstånd med arbetsmarknadens parter om det föreskrivs i nationell rätt. I svensk rätt krävs inget särskilt för att genomföra den artikeln. Paragrafen innehåller därför endast en upplysning om att det finns bestämmelser om förhand- lingsskyldighet i 11–14 §§ medbestämmandelagen och medför inga nya rättigheter eller skyldigheter för varken arbetsgivare eller arbets- tagarorganisationer. Bestämmelsen innebär inget ställningstagande till när förhandlings- skyldigheten föreligger. Den frågan får avgöras i det enskilda fallet, genom sedvanlig tolkning och tillämpning av medbestämmande- I den mån parterna har kommit överens om en förhandlings- ordning som avviker från bestämmelser i lagen gäller den avtalade förhandlingsordningen. Bestämmelsen påverkar inte detta. Externa rapporteringskanaler och förfaranden för rapportering och uppföljning Skyldighet att ha kanaler och förfaranden 1 § En statlig myndighet eller en kommun som av regeringen har utsetts att vara behörig myndighet inom ett visst ansvarsområde är skyldig 1.att ha externa rapporteringskanaler och förfaranden för rapportering och uppföljning, samt 2.att ta emot, följa upp och lämna återkoppling på rapporter om miss- förhållanden inom ansvarsområdet. Paragrafen föreskriver vilka förpliktelser de behöriga myndigheterna har. Övervägandena finns i avsnitt 8.6, 8.8.1, 8.12 och 8.13. Genom paragrafen genomförs delvis artikel 11.1 och 11.2 a i visselblåsar- direktivet. De behöriga myndigheterna utses av regeringen för att rapporte- rande personer ska kunna rapportera dit inom särskilt utpekade om- råden. I punkt 1 föreskrivs att de behöriga myndigheterna är skyldiga att ha externa rapporteringskanaler och förfaranden för rapportering och uppföljning. I punkt 2 föreskrivs att de behöriga myndigheterna är skyldiga att ta emot, följa upp och lämna återkoppling på rapporter om missför- hållanden inom de områden som regeringen har beslutat. En behörig myndighet är skyldig att ha både interna och externa rapporteringskanaler och förfaranden. Skyldigheten att ha interna kanaler och förfaranden är en följd av att de behöriga myndigheterna är arbetsgivare med minst 50 arbetstagare, se 4 kap. 1 §, medan skyl- digheten att ha externa kanaler följer av denna paragraf. Interna och externa rapporteringskanaler ska vara oberoende och självständiga (se vidare 4 kap. 5 §). Kravet medför att de interna och externa rap- porteringskanalerna hos en myndighet ska vara fristående även i för- hållande till varandra. Föreskrifter när kommuner utses till behöriga myndigheter 2 § Regeringen får meddela ytterligare föreskrifter som ska gälla när en kommun utses som behörig myndighet. 1.vilka personer som ska kunna rapportera, 2.utformning och hantering av rapporteringskanalerna och förfarandena, 3.myndighetens informationsskyldighet, och 4.skyldighet för myndigheten att utse personer som ska vara behöriga att hantera rapporteringskanalerna och förfarandena. Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela före- skrifter enligt första stycket även för statliga myndigheter som utses som behöriga myndigheter. Paragrafen avser frågan om meddelande av ytterligare föreskrifter om de externa rapporteringskanalerna och förfarandena. Övervägandena finns i avsnitt 8.6. Paragrafens första stycke innehåller ett bemyndigande som ger regeringen rätt att meddela ytterligare föreskrifter som ska gälla när regeringen utser kommuner till behöriga myndigheter. Föreskrif- terna får avse vilka personer som ska kunna rapportera via myndig- heternas externa rapporteringskanaler, utformning av rapporterings- kanalerna och förfarandena, informationsskyldighet för behöriga myndigheter, skyldighet för behöriga myndigheter att utse personer som ska vara behöriga att hantera rapporteringskanalerna och förfa- randena på myndighetens vägnar, samt de behöriga myndigheternas hantering i övrigt av rapporteringskanalerna och förfarandena. Paragrafens andra stycke upplyser om att regeringen med stöd av 8 kap. 7 § regeringsformen kan meddela ytterligare föreskrifter som ska gälla när statliga myndigheter utses som behöriga myndigheter. Genom de föreskrifter som regeringen får meddela med stöd av bemyndigandet och 8 kap. 7 § regeringsformen genomförs artikel 10 delvis, och artiklarna 11.2 a, 11.2 b, 11.2 c, 11.2 d, 11.2 e, 11.6, 12.2, 12.3, 12.4, 12.5, 13 a, 13 b, 13 c, 13 d, 13 e, 13 f, , 13 h och 14 i visselblåsardirektivet. 6 kap. Behandling av personuppgifter 1 § Bestämmelserna i detta kapitel gäller vid behandling av personuppgifter i ett uppföljningsärende. Bestämmelserna tillämpas endast på helt eller delvis automatiserad be- handling av personuppgifter och annan behandling av personuppgifter som ingår eller kommer att ingå i ett register. Paragrafen anger tillämpningsområdet för bestämmelserna i kapitlet. Övervägandena finns i avsnitt 10.5.4. I paragrafens första stycke anges att bestämmelserna om person- uppgiftsbehandling i kapitlet gäller vid behandling av personuppgif- ter i uppföljningsärenden. All handläggning som sker inom ramen för ett uppföljningsärende omfattas av bestämmelserna i kapitlet. Vad som avses med ett uppföljningsärende framgår av 1 kap. 6 § 5. Bestämmelserna gäller personuppgiftsbehandling både i privat och offentlig verksamhet hos de aktörer som är skyldiga att ha rapporter- ingskanaler. Bestämmelserna gäller även för personuppgiftsbehand- ling hos tredje parter som anlitats för att hantera rapporterings- kanaler och förfaranden för någon annans räkning. Behandlingen av personuppgifter i övrig verksamhet hos de berörda aktörerna och de skyldigheter som kan föreligga vid den behandlingen påverkas inte av bestämmelserna. I paragrafens andra stycke anges att bestämmelserna endast tilläm- pas på helt eller delvis automatiserad behandling av personuppgifter och annan behandling av personuppgifter som ingår eller kommer att ingå i ett register. behandling av personuppgifter som inte ingår eller kommer att ingå i ett register faller utanför lagens tillämpningsområde. Bestämmelsen är utformad i nära anslutning till artikel 2.1 i dataskyddsförordningen och bör tolkas på samma sätt som den bestämmelsen. Förhållandet till annan reglering 2 § Bestämmelserna kompletterar och rådets förord- ning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän data- skyddsförordning), här benämnd EU:s dataskyddsförordning. Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och före- skrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. Paragrafen rör förhållandet till annan reglering. Övervägandena finns i avsnitt 10.5.5. Genom paragrafen genomförs artikel 17 i visselblåsar- direktivet. I paragrafens första stycke anges bestämmelsernas förhållande till dataskyddsförordningen. Av bestämmelsen framgår att lagen inne- håller kompletterande bestämmelser till dataskyddsförordningen, vilket innebär att lagens bestämmelser om behandling av person- uppgifter inte kan tillämpas fristående, utan gäller tillsammans med dataskyddsförordningen. Dataskyddsförordningen är direkt tillämp- lig i medlemsstaterna, vilket innebär att den automatiskt är en del av den svenska rättsordningen. I vissa avseenden förutsätter eller tillåter dataskyddsförordningen emellertid att medlemsstaterna inför be- stämmelser som kompletterar förordningen, antingen i form av pre- ciseringar eller i form av undantag. Hänvisningarna till dataskydds- förordningen i lagen är dynamiska, dvs. avser förordningen i dess gällande lydelse. I paragrafens andra stycke anges bestämmelsernas förhållande till dataskyddslagen. Bestämmelsens första led klargör att det i data- skyddslagen finns generella nationella bestämmelser om behandling av personuppgifter som kompletterar och preciserar dataskydds- förordningen och som därmed även gäller för hantering av person- uppgifter inom lagens tillämpningsområde. Andra ledet anger att dataskyddslagen är subsidiär i förhållande till lagen. Det innebär att dataskyddslagens bestämmelser endast gäller om inte något annat föreskrivs i lagen eller föreskrifter meddelade i anslutning till lagen. 3 § Endast personer som har utsetts som behöriga eller personer som arbe- tar vid enheter som har utsetts som behöriga att ta emot, följa upp och lämna återkoppling på rapporter får ha tillgång till personuppgifter som behandlas i ett uppföljningsärende. Tillgången till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Paragrafen föreskriver begränsningar av tillgång till personuppgifter. Övervägandena finns i avsnitt 10.5.12. Genom paragrafen genom- förs delvis artiklarna 9.1 a och 12.1 a i visselblåsardirektivet. Paragrafen reglerar tillgången till personuppgifter som finns i visselblåsarfunktionen. Den innebär ett uttryckligt krav på att endast personer som har utsetts som behöriga eller personer som arbetar vid enheter som har utsetts som behöriga att ta emot, följa upp och lämna återkoppling på rapporter får ha tillgång personuppgifter som behandlas. En arbetsgivare eller behörig myndighet som har rappor- teringskanaler och den som hanterar rapporteringskanaler för deras räkning, ska se till att tillgången till personuppgifter begränsas till den nämnda personalen. Tillgången till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Tillgången till personuppgifter kan således variera inom personalgruppen beroende på vilka arbetsuppgifter som var och en ska utföra i uppföljnings- ärendet. Hur stor krets som får ha tillgång till personuppgifterna måste avgöras från fall till fall med beaktande av dataskyddsförord- ningens grundläggande principer. 4 § Personuppgifter som behandlas i ett uppföljningsärende ska gallras när de är nödvändiga, dock senast efter det att behand- lingen av uppgifterna i ärendet har avslutats. Paragrafen föreskriver gallring av personuppgifter. Övervägandena finns i avsnitt 10.5.14. I paragrafen anges att personuppgifter som behandlas i ett upp- följningsärende ska gallras när de är nödvändiga, dock senast efter det att behandlingen av uppgifterna i ärendet har avslutats. Gallringsbestämmelsen tar sikte på de personuppgifter som behandlas i visselblåsarfunktionen. Det är alltså den tidpunkt när behandlingen av personuppgifter avslutas i uppföljningsärendet hos denna funktion som styr när gallring ska ske. Ett uppföljningsärende kan avslutas genom att uppgifter lämnas till en annan funktion inom företaget eller myndigheten, t.ex. en tillsyns- eller personalansvarsfunktion. Det faktum att en personuppgift gallras hos visselblåsarfunktionen hindrar inte att personuppgifterna fortsatt bevaras och behandlas enligt bestämmelser som gäller för dessa funktioner. 7 kap. Dokumentation, bevarande och gallring av rapporter Dokumentation av muntlig rapportering 1 § Den som har interna eller externa rapporteringskanaler och förfaran- den enligt 4 eller 5 kap. och tar emot muntliga rapporter vid ett fysiskt möte ska dokumentera rapporteringen. Sådan rapportering ska dokumenteras genom en inspelning som kan sparas i en varaktig och åtkomlig form eller genom ett upprättat protokoll från mötet. Paragrafen reglerar dokumentation av muntlig rapportering. Över- vägandena finns i avsnitt 11.3 och 11.4. Genom paragrafen genom- förs artikel 18.4 i visselblåsardirektivet. I paragrafens första stycke anges att den som har interna eller ex- terna rapporteringskanaler och förfaranden enligt 4 eller 5 kap. och tar emot muntliga rapporter vid ett fysiskt möte ska dokumentera rapporteringen. Bestämmelsen gäller endast vid sådan muntlig rap- portering som sker vid ett fysiskt möte. Kravet på dokumentation är alltså då obligatoriskt. Av andra stycket framgår att rapporteringen ska dokumenteras genom en inspelning som kan sparas i en varaktig och åtkomlig form eller genom ett upprättat protokoll från mötet. Med inspelning avses att där den muntliga rapporteringen sker spelas in för att därefter sparas i en varaktig och åtkomlig form. Av 3 § följer att det krävs samtycke från den rapporterande personen för att inspel- ning ska få ske. Med protokoll avses en skriftlig redogörelse för de uppgifter som lämnades vid mötet. Det behöver då inte vara fråga om en transkribering, utan det räcker att de lämnade uppgifterna re- digeras och sammanställs. Även om redigering får ske av de lämnade uppgifterna ska dock alla uppgifter som i sak lämnats framgå av pro- tokollet. Av 4 § framgår att uppgifterna i protokollet ska godkännas av den rapporterande personen. Paragrafen gäller rapportering som sker både via interna rappor- teringskanaler och via externa rapporteringskanaler. Den gäller såle- des både i privat verksamhet och i det allmännas verksamhet. Det är inte möjligt att avvika från regleringen i bestämmelsen genom kol- lektivavtal.