prop · H803193 · 2021-05-25 00:00:00 — skulle kunna knytas till eller pekas ut som ansvarig för det rapporterade Den utredning och uppföljning som direktivet kräver skulle då inte gå att genomföra. Rätten att få sina personuppgifter raderade ska enligt artikel 17.3 b inte gälla i den utsträckning som behandlingen är nödvändig för att uppfylla en rättslig förpliktelse som kräver behandling enligt unionsrätten eller enligt en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av eller för att utföra en uppgift av allmänt intresse eller som är ett led i myndighetsutövning som utförs av den personuppgiftsansvarige. tidigare framgått kommer den rättsliga grunden för personuppgifts- behandlingen i allmänhet att vara en rättslig förpliktelse. vid behandling med stöd av den rättsliga grunden gäller inte rätten att få sina personuppgifter raderade med stöd av artikel 17.3 b. reglering för att säkerställa att direktivets krav följs bedöms därmed inte Rätten till begränsning av personuppgiftsbehandling Enligt artikel 18 har en berörd person en möjlighet att begränsa behandlingen av personuppgifter, vilket skulle kunna försvåra utred- Liksom när det gäller rätten till rättelse förutsätter rätten till begränsning att den registrerade först har fått kännedom om behandlingen. uppgifterna i ett uppföljningsärende kommer att omfattas av sekretess eller tystnadsplikt kommer sådan information inte att ges till den registrerade. fall då en berörd person inte har informerats om att personuppgifter 2020/21:193 behandlas i ett uppföljningsärende har personen i normalfallet ingen anledning att vända sig till visselblåsarfunktionen och göra rätten till begränsning gällande. På samma sätt som när det gäller rätten till rättelse skulle man kunna tänka sig en situation där en berörd person vänder sig med en begäran om begränsning till en visselblåsarfunktion i syfte att ta reda på om dennes personuppgifter behandlas. Av samma skäl som angetts ovan när det gäller rätten till rättelse bedöms emellertid risken för att denna situation ska kunna uppstå som begränsad Rätten att göra invändningar mot personuppgiftsbehandling Enligt artikel 21.1 har den registrerade rätt att göra invändningar mot behandling av personuppgifter avseende honom eller henne som vilar på en av de rättsliga grunderna enligt artikel 6.1 e eller f. Rätten att göra invändningar ska senast vid den första kommunikationen med den registrerade uttryckligen meddelas den registrerade och redovisas tydligt, klart och åtskilt från eventuell annan information (artikel 21.4). Liksom när det gäller rätten till rättelse och begränsning av behandling förutsätter rätten att göra invändningar att den registrerade först har fått kännedom om behandlingen. Så kommer inte vara fallet eftersom uppgifterna i ett uppföljningsärende kommer att omfattas av sekretess eller tystnadsplikt. Vidare kan rätten att göra invändningar inte göras gällande om personuppgiftsbehandlingen grundar sig på någon annan rättslig grund än de som avses i artikel 6.1 e eller f. Eftersom den rättsliga grunden för personuppgiftsbehandlingen i allmänhet kommer att vara en rättslig förpliktelse, dvs. den rättsliga grund som avses i artikel 6.1 c, behöver något särskilt undantag avseende rätten att göra invändningar inte göras. 12.5.13 Tillgången till personuppgifter ska begränsas Regeringens förslag: Endast personer som har utsetts som behöriga eller personer som arbetar vid enheter som har utsetts som behöriga att ta emot, följa upp och lämna återkoppling på rapporter ska få ha tillgång till personuppgifter som behandlas i ett uppföljningsärende. Tillgången till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Utredningens förslag överensstämmer med regeringens förslag. Remissinstanserna: Det stora flertalet av remissinstanserna instämmer i eller har inga synpunkter på utredningens förslag. skyddsmyndigheten ser positivt på förslaget och poängterar att det kommer att krävas att varje personuppgiftsansvarig gör aktiva behovs- och risk- analyser samt utformar åtkomstkontroller. bör förtydligas i författningskommentaren att även IT-personal är behörig att ha tillgång till uppgifterna i den utsträckning som behövs. fogdemyndigheten avstyrker utredningens förslag eftersom det alltför detaljerat styr myndighetens arbetssätt med interna myndighetsärenden. utgår från att myndigheternas registratorer normalt kommer att anses behöriga att ha tillgång till personuppgifter som behandlas i ett uppföljningsärende i den mån det behövs för att kunna uppfylla registreringsskyldigheten i offentlighets- och sekretesslagen. Skälen för regeringens förslag: Spridningen av personuppgifter har stor betydelse för integritetsriskerna med personuppgiftsbehandlingen. Om personuppgifter sprids och blir lättillgängliga för en vidare krets av personer innebär det en ökad risk för att uppgifterna kommer att användas på ett otillbörligt och inte avsett sätt. Utgångspunkten är därför att personuppgifter inte ska spridas till fler än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. I visselblåsardirektivet betonas detta i artiklarna 9.1 a och 12.1 a genom att både de interna och de externa rapporteringskanalerna ska utformas så att åtkomst för obehörig personal förhindras. Vid sidan av kravet på att obehöriga inte ska ha åtkomst till den information som rapporteras genom rapporteringskanalerna ställer direktivet vissa krav på de personer som ska utses som behöriga att få hantera dem. I artikel 9.1 c anges bl.a. att förfarandena för intern rapportering och uppföljning ska omfatta en opartisk person eller oberoende avdelning som är utsedd som behörig att följa upp rap- porteringen. I skäl 56 anges att den person eller avdelning som tar emot och hanterar inkomna rapporter bör ha en befattning som säkerställer att intressekonflikter inte förekommer. Om den interna kanalen drivs av en utomstående tredje part gäller kraven även för denne. I artikel 12.4 anges att medlemsstaterna ska säkerställa att de behöriga myndigheterna utser personal som är ansvarig för handläggningen av den externa rapporteringen för att bl.a. ta emot och följa upp rapporter och hålla kontakt med rapporterande personer i syfte att lämna återkoppling och begära eventuell ytterligare nödvändig information. I artikel 12.5 anges att den personal som avses i punkt 4 ska få särskild utbildning i handläggning av rapporter. Gemensamt för hanteringen av både de interna och de externa rapporteringskanalerna och förfarandena är således att inte vem som helst får hantera den rapporterade informationen. Personal som inte möter fastställda behörighetskrav ska inte ha åtkomst till informationen. För att möta direktivets krav behöver det införas en begränsning i lagen som avgränsar kretsen av personer som får ha tillgång till personuppgifterna. En sådan begränsning är nödvändig även med beaktande av att det, som påpekar, innebär en detaljerad styrning av myndigheters arbetssätt. Kretsen bör för både berörda verksamhetsutövare och behöriga myndigheter begränsas till de personer som uppfyller behörighetskraven för respektive rapporterings- kanal och förfarande (avsnitt 10.4). Bland dessa personer bör tillgången begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Detta är en lämplig skyddsåtgärd i den mening som avses i artikel i dataskyddsförordningen. Personuppgiftsansvariga verksamhetsutövare och behöriga myndigheter behöver tillse att kretsen av personer som har tillgång till personuppgifter inte är större än nödvändig. Vad som är nödvändigt kommer att variera från fall till fall. I verksamheter där allmänna handlingar ska registreras kommer det, som påpekar, att vara nödvändigt att den som registrerar handlingarna får ha tillgång till personuppgifter. Det är viktigt att registreringen organiseras på ett sådant sätt att det undviks att fler än nödvändigt får tillgång till personuppgifterna. Det kan också såsom påpekar vara nödvändigt att ge IT-personal 2020/21:193 tillgång till personuppgifter för att verksamheten ska ha sin behöriga gång. Även i sådana fall ankommer det på den personuppgiftsansvarige att begränsa tillgången till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. 12.5.14 Längsta tid som personuppgifter ska få behandlas Regeringens förslag: Personuppgifter som uppenbart inte är relevanta för handläggningen av en viss rapport ska inte få samlas in och ska raderas möjligt om de har samlats in av misstag. Personuppgifter i ett uppföljningsärende ska inte få behandlas längre än efter det att ärendet avslutades. Det ska inte hindra att en myndighet ska få arkivera och bevara allmänna handlingar eller att arkivmaterial lämnas till en arkivmyndighet. Utredningens förslag överensstämmer delvis med regeringens förslag. Utredningen föreslår inte att det ska framgå av lagen att personuppgifter som uppenbart inte är relevanta för handläggningen av en viss rapport inte ska få samlas in och ska raderas möjligt om de har samlats in av misstag. Utredningen föreslår att personuppgifter ska gallras när de inte är nödvändiga, dock senast efter det att behandlingen av uppgifterna i ärendet har avslutats. Utredningen föreslår inte att en myndighet ska få arkivera eller bevara allmänna handlingar eller att arkivmaterial ska få lämnas till en arkivmyndighet. Utredningens förslag har en annan redaktionell utformning. Remissinstanserna: Det stora flertalet av remissinstanserna instämmer i eller har inga synpunkter på utredningens förslag. anser att det behöver förtydligas att myndigheters arkiv enligt arkivlagen (1990:782) ska bevaras, hållas ordnade och vårdas så att bevarandemålen uppfylls. efterfrågar vissa förtydliganden kring vilka uppgifter och handlingar som ska gallras och . Myndig- heten efterfrågar även ett förtydligande av hur bestämmelserna förhåller sig till registrerade diarieuppgifter enligt 5 kap. 1 och 2 §§ offentlighets- och sekretesslagen. anger att det inte framgår om utredningen närmare har beaktat myndigheters skyldighet att bevara allmänna handlingar. Enligt myndigheten är visselblåsardirektivets bestämmelse i artikel 17 andra stycket ett exempel på en sådan lämplig skyddsåtgärd som bör ingå i den nationella regleringen. avstyrker förslaget och anger att det är av stor vikt för arkivbildningen att uppgifter finns kvar. Förbundet anger att arkivlagens bestämmelser bör beaktas. Skälen för regeringens förslag Irrelevanta personuppgifter och personuppgifter som har samlats in av misstag Personuppgifter som uppenbart inte är relevanta för handläggningen av en viss rapport får inte samlas in och ska raderas utan onödigt dröjsmål om de har samlats in av misstag (andra stycket i artikel 17 i vissel- Motsvarande reglering finns i artikel 5.1 i dataskydds- Det kan konstateras att dataskyddsförordningens principer om uppgifts- och lagringsminimering i artikel 5.1 i allt väsentligt motsvarar kravet på radering utan onödigt dröjsmål i visselblåsardirektivet eftersom konsekvensen i båda fallen är att personuppgifterna ska raderas omgående så snart det står klart att de saknar relevans för uppföljnings- ärendet. Direktivets krav i denna del tillgodoses således redan genom förordningens bestämmelser. Tydlighetsskäl talar dock för att det i den föreslagna lagen bör införas en bestämmelse som klargör att person- uppgifter som uppenbart inte är relevanta för handläggningen av en viss rapport inte ska få samlas in och ska raderas utan onödigt dröjsmål om de har samlats in av misstag. Denna bestämmelse utgör en sådan lämplig skyddsåtgärd som efterfrågar. Personuppgifter i ett uppföljningsärende ska inte få behandlas längre än efter det att ärendet avslutades Det kan förväntas att det kommer att rapporteras en stor mängd integritetskänsliga uppgifter via rapporteringskanalerna. Uppgifterna kommer att behöva behandlas för att fullgöra de skyldigheter som följer med kraven på att tillhandahålla rapporteringskanaler och förfaranden. Personuppgifter som förekommer i rapporter och de ärenden som upprättas med anledning av rapporter kommer att behöva bevaras , bl.a. eftersom det kan finnas behov av enskilda uppgifter i ärendet för hantering av ett annat ärende. Det kommer således att vara nödvändigt att säkerställa att dessa finns tillgängliga även efter att uppföljningen har avslutats. Direktivets krav i detta avseende kan emellertid inte anses gälla utan begränsningar. I artikel 17 i visselblåsardirektivet anges att behandlingen av personuppgifter ska ske i enlighet med dataskyddsförordningens bestämmelser. Utredningen föreslår att personuppgifter som behandlas i ett uppföljningsärende ska gallras när de är nödvändiga, dock senast efter det att behandlingen av uppgifterna i ärendet har avslutats. Regeringen anser dock att det framgår direkt av dataskydds- förordningens bestämmelser om uppgifts- och lagringsminimering att personuppgifter inte får behandlas längre än nödvändigt. Därmed behöver lagen inte särskilt ange detta. Med tanke på att de behandlade personuppgifterna kan antas vara av påtagligt integritetskränkande karaktär behöver en begränsning av lagringen av personuppgifterna införas genom en tidsfrist för som personuppgifterna får behandlas. Regeringen bedömer att en tidsfrist är tillräcklig för att direktivets krav på dokumentation och tillgång till rapporterna ska mötas som det står i proportion till det ingrepp som lagringen utgör i de registrerade personernas integritet. efterfrågar vissa förtydliganden kring vilka personuppgifter som omfattas av bestämmelsen och hur bestäm- melsen förhåller sig till myndigheters registreringsskyldighet av allmänna handlingar. Regeringen vill därför förtydliga att bestämmelsen avser personuppgifter i handlingar som inte är allmänna. Bestämmelsen påverkar således inte den registreringsskyldighet av allmänna handlingar som följer av offentlighets- och sekretesslagen. 2020/21:193 Behandling för arkivändamål I 1 kap. 7 § dataskyddslagen anges att dataskyddsförordningen inte ska tillämpas i den utsträckning det skulle strida mot tryckfrihetsförordningen eller yttrandefrihetsgrundlagen. Arkivlagstiftningen har således i fråga om allmänna handlingar företräde framför dataskyddsförordningens bestäm- melser om bevarandetid, vilket även , Folkhälso- myndigheten och har lyft fram. För att tydliggöra att personuppgifter får arkiveras när de inte längre behövs för något av de tillåtna ändamålen bör det tas in en bestämmelse i den nya lagen som anger att bestämmelsen om längsta tid som personuppgifter ska få behandlas inte hindrar att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial lämnas till en arkivmyndighet. I vilken utsträckning personuppgifterna ska rensas regleras i det arkivrättsliga regelverket. 13Dokumentation, bevarande och rensning av rapporter 13.1Dokumentation av muntlig rapportering Regeringens förslag: Den som är skyldig att ha interna eller externa rapporteringskanaler och förfaranden för rapportering och uppföljning och tar emot muntliga rapporter ska dokumentera rapporteringen genom en inspelning som kan sparas i en varaktig och åtkomlig form eller genom ett upprättat protokoll. Om den muntliga rapporteringen sker på annat sätt än vid ett fysiskt möte, ska dokumentationsskyldigheten också få fullgöras genom en utskrift av inspelningen eller på annat lämpligt sätt. Utredningens förslag överensstämmer i huvudsak med regeringens förslag. Enligt utredningens förslag är inte dokumentationen obligatorisk och omfattar inte möjligheten att dokumentera på annat lämpligt sätt. Remissinstanserna: Enligt bör frågan om dokumentationskravet enligt förvaltningslagen (2017:900) är tillräckligt bli föremål för ytterligare analys. Skälen för regeringens förslag Dokumentation av muntliga rapporter vid fysiska möten Artikel 18.1 anger att medlemsstaterna ska säkerställa att rättsliga enheter i den privata och offentliga sektorn och behöriga myndigheter dokumenterar varje mottagen rapport. Av artikel 18.4 framgår att om rapportering görs vid ett möte ska rättsliga enheter och behöriga myndigheter, med den rapporterande personens samtycke, säkerställa att fullständig och korrekt dokumentation av mötet bevaras i en varaktig och åtkomlig form. Dokumentation får ske antingen genom en inspelning av samtalet eller genom ett protokoll från mötet. Det finns bestämmelser i svensk rätt som kan innebära en skyldighet för t.ex. myndigheter att i vissa situationer anteckna uppgifter som har lämnats muntligen. I 27 § förvaltningslagen anges att en myndighet som får uppgifter på något annat sätt än genom en handling ska dokumentera dem, om de kan ha betydelse för ett beslut i ärendet. Enligt bör frågan om dokumentationskravet i förvaltningslagen är tillräckligt bli föremål för ytterligare analys. Regeringen kan konstatera att det finns begränsningar i förvaltningslagens dokumentationskrav eftersom det endast gäller uppgifter som kan ha betydelse för ett beslut. Vidare är dokumentationskravet i direktivet mer omfattande och detaljerat än i förvaltningslagen. I direktivet finns t.ex. krav på att den rapporterande personen ska ha möjlighet att på visst sätt kontrollera, rätta och godkänna en utskrift eller ett protokoll. Några motsvarande krav finns inte i förvaltningslagen. Det skulle enligt regeringens uppfattning därför inte vara möjligt att genomföra direktivets dokumentationskrav i förvaltningsmyndigheter genom en hänvisning till förvaltningslagen. Kravet enligt artikel 18 på att dokumentera muntlig rapportering som sker vid ett fysiskt möte gäller för samtliga rättsliga enheter som är skyldiga att ha interna rapporteringskanaler och förfaranden och för samtliga behöriga myndigheter. Mot bakgrund av ovanstående bör tillämpningsområdet för bestämmelsen göras generellt och inte begränsas till vad informationen eventuellt har för betydelse. Bestämmelsen bör omfatta både verksamhetsutövare som bedriver privat verksamhet, myndigheter i deras egenskap av verksamhetsutövare och behöriga myndigheter. Det innebär t.ex. att en myndighet som ska tillämpa den föreslagna lagen kommer att omfattas av en mer omfattande dokument- ationsskyldighet än den som följer av 27 § förvaltningslagen. Regeringen anser att det är nödvändigt för att uppfylla direktivets krav. I direktivet anges två varianter av skriftligt nedtecknande. I artikel 18.2 anges att den inspelade muntliga rapporten kan dokumenteras genom en fullständig och korrekt utskrift. I artikel 18.3 och 18.4 anges i stället att den muntliga rapporten kan dokumenteras genom ett korrekt protokoll. Det faktum att ordet utskrift endast används i artikel 18.2, dvs. i den artikel där det alltid är fråga om inspelning, talar för att en utskrift är något annat än ett protokoll. Rent språkligt torde en fullständig och korrekt utskrift avse en mer eller mindre ordagrann transkribering av inspelningen, medan ett protokoll snarare är en sammanfattande redogörelse av de muntliga uppgifter som har lämnats. Oavsett om det är fråga om en utskrift eller ett protokoll har bestämmelserna i artikeln det gemensamt att det är fråga om någon form av skriftligt nedtecknande av det som muntligen rapporterats. För att genomföra artiklarna 18.1 och 18.4 bör det i lagen framgå att den som tar emot muntliga rapporter vid ett fysiskt möte ska dokumentera rapporteringen, antingen genom en inspelning som kan sparas i en varaktig och åtkomlig form eller genom ett upprättat protokoll från mötet. Dokumentation av muntliga rapporter som sker på annat sätt än vid fysiska möten I artikel 18.2 finns bestämmelser om muntlig rapportering som görs via en telefonlinje eller ett röstmeddelandesystem med inspelning. 2020/21:193 rättsliga enheterna och de behöriga myndigheterna ska då, med den rapporterande personens samtycke, ha rätt att dokumentera den muntliga rapporteringen, antingen genom en inspelning av samtalet i en varaktig och åtkomlig form, eller genom en fullständig och korrekt utskrift av samtalet. En sådan utskrift ska upprättas av den personal som är ansvarig för handläggning av rapporter och därefter kontrolleras, rättas, godkännas och undertecknas av den rapporterande personen. Av artikel 18.3 framgår att om rapporteringen görs via en telefonlinje eller andra röstmeddelandesystem utan inspelning ska de rättsliga enheterna och de behöriga myndigheterna ha rätt att dokumentera den muntliga rapporteringen genom ett korrekt protokoll från samtalet. Ett sådant protokoll ska upprättas av den personal som är ansvarig för handläggning av rapporter och därefter kontrolleras, rättas, godkännas och undertecknas av den rapporterande personen. Artikel 18.2 och 18.3 anger att det ska finnas en rätt att dokumentera muntliga rapporter på visst sätt. anges i artikel 18.1 att varje mottagen rapport ska dokumenteras. Regeringen uppfattar det som att det ska vara möjligt att dokumentera på de sätt som anges i artikel 18.2 och 18.3, men att om denna möjlighet inte används ska det ändå säkerställas att dokumentation sker på något annat sätt, t.ex. genom en minnesanteckning eller tjänsteanteckning. Enligt regeringens uppfattning bör dokumentationskravet utformas så att den administrativa bördan inte blir större än absolut nödvändigt. Därför bör det inte ställas några särskilda formkrav om dokumentationen sker på annat sätt än genom en utskrift av inspelningen eller ett protokoll från samtalet. I stället bör den som träffas av dokumentationsskyldigheten kunna välja hur skyldigheten ska fullgöras så länge som tillväga- gångssättet utifrån syftet med dokumentationskravet kan anses lämpligt. Syftet med kravet får anses vara att dokumentationen ska kunna användas som bevisning i rättsliga förfaranden och vid verkställighetsåtgärder (jfr skäl 86 i direktivet). Det bör mot denna bakgrund anges i lagen att om den muntliga rapporteringen sker på annat sätt än vid ett fysiskt möte, ska dokumentationsskyldigheten också få fullgöras genom en utskrift av inspelningen eller på annat lämpligt sätt. 13.2Samtycke ska krävas vid inspelning Regeringens förslag: För att rapporteringen ska få spelas in krävs att den rapporterande personen samtycker till det. Utredningens förslag överensstämmer med regeringens förslag. Remissinstanserna: Ingen av remissinstanserna har någon synpunkt på Skälen för regeringens förslag: Muntlig rapportering med inspelning kan ske genom en telefonlinje, genom ett röstmeddelandesystem eller vid ett fysiskt möte. Vid muntlig rapportering med inspelning kräver direktivet att den rapporterande personen samtycker till att den muntliga rapporteringen dokumenteras (artikel 18.2 och 18.4). Det bör därför införas ett krav på att den rapporterande personens Prop. 2020/21:193 samtycke ska inhämtas innan inspelningen görs. Det framgår av direktivet att samtycke ska inhämtas innan dokumentationen görs men det finns i övrigt inga krav på att samtycket måste ges i någon speciell form. Det vanliga torde bli att samtyckesfrågan hanteras genom att den rapporterande personen innan inspelningen påbörjas upplyses om att en eventuell rapportering kommer att spelas in och på så sätt dokumenteras samt att den rapporterande personen genom fullföljandet av rapporteringen ger sitt samtycke till det. Det skulle kunna hävdas att det bör krävas att samtycket lämnas på ett mer uttryckligt sätt. Regeringen anser dock att en person som väljer att fortsätta samtalet, efter upplysningen om att samtalet kommer att spelas in, har tagit ställning till att inspelning får ske. Om personen inte samtycker till inspelning får han eller hon avsluta samtalet och i stället rapportera på annat sätt. Förslaget betyder att det ska finnas tydlig information om alla olika former av rapporteringssätt. Det bör mot den bakgrunden inte införas några krav på hur samtycket ska inhämtas. 13.3Godkännande genom underskrift ska krävas vid utskrift eller protokoll Regeringens förslag: Den rapporterande personen ska ges tillfälle att kontrollera, rätta och genom underskrift godkänna en utskrift eller ett protokoll.