prop · H803193 · 2021-05-25 00:00:00 — I paragrafen regleras skyldigheter för myndigheter som utses som behöriga myndigheter. Förslaget behandlas i avsnitt 11.1 och 11.2. Av första stycket framgår de skyldigheter som myndigheter som utses som behöriga har. Genom stycket genomförs delvis artikel 11.1 och 11.2 a. I andra stycket upplyses att regeringen med stöd av den s.k. rest- kompetensen kan meddela ytterligare föreskrifter om skyldigheter för myndigheter som har utsetts som behöriga myndigheter. Genom de föreskrifter som regeringen får meddela genomförs artikel 10 delvis, och artiklarna 11.2 a–e, 11.6, 12.2–5, 13 a–h och 14. 7 kap. Behandling av personuppgifter Bestämmelsernas tillämpningsområde 1 § Bestämmelserna i detta kapitel gäller vid behandling av personuppgifter i ett uppföljningsärende. Bestämmelserna tillämpas endast på helt eller delvis automatiserad behandling av personuppgifter och annan behandling av personuppgifter som ingår eller kommer att ingå i ett register. I paragrafen anges tillämpningsområdet för bestämmelserna i kapitlet. Förslaget behandlas i avsnitt 12.5.5. I paragrafens första stycke anges att bestämmelserna om personuppgifts- behandling gäller vid behandling av personuppgifter i uppföljnings- All handläggning som sker inom ramen för ett uppföljnings- ärende omfattas av bestämmelserna. Vad som avses med ett uppföljningsärende framgår av 1 kap. 8 § 4. Bestämmelserna gäller även för personuppgiftsbehandling hos någon som har anlitats för att hantera rapporteringskanaler och förfaranden för någon annans räkning. I paragrafens andra stycke anges att bestämmelserna endast tillämpas på helt eller delvis automatiserad behandling av personuppgifter och annan behandling av personuppgifter som ingår eller kommer att ingå i ett register. behandling av personuppgifter som inte ingår eller kommer att ingå i ett register faller utanför lagens tillämpningsområde. Bestämmelsen är utformad i nära anslutning till artikel 2.1 i dataskydds- förordningen och bör tolkas på samma sätt som den bestämmelsen. Förhållandet till annan reglering 2 § Bestämmelserna kompletterar och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till denna lag. I paragrafen behandlas förhållandet till annan reglering. Förslaget behandlas i avsnitt 12.5.6. Genom paragrafen genomförs artikel 17. I paragrafens första stycke anges bestämmelsernas förhållande till dataskyddsförordningen. Av bestämmelsen framgår att lagen innehåller kompletterande bestämmelser till dataskyddsförordningen, vilket innebär att lagens bestämmelser om behandling av personuppgifter inte kan tillämpas fristående, utan gäller tillsammans med dataskyddsförordningen. Dataskyddsförordningen är direkt tillämplig i medlemsstaterna, vilket innebär att den automatiskt är en del av den svenska rättsordningen. I vissa avseenden förutsätter eller tillåter dataskyddsförordningen emellertid att medlemsstaterna inför bestämmelser som kompletterar förordningen, antingen i form av preciseringar eller i form av undantag. Hänvisningarna till dataskyddsförordningen i lagen är dynamiska, dvs. avser förordningen i dess gällande lydelse. I paragrafens andra stycke anges bestämmelsernas förhållande till dataskyddslagen. Bestämmelsens första led klargör att det i dataskydds- lagen finns generella nationella bestämmelser om behandling av personuppgifter som kompletterar och preciserar dataskyddsförordningen och som därmed även gäller för hantering av personuppgifter inom lagens tillämpningsområde. Andra ledet anger att dataskyddslagen är subsidiär i förhållande till lagen. Det innebär att dataskyddslagens bestämmelser endast gäller om inte något annat föreskrivs i lagen eller föreskrifter meddelade i anslutning till lagen. 3 § Personuppgifter får behandlas bara om behandlingen är nödvändig för ett uppföljningsärende. 2020/21:193 Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om begränsningar av ändamålen och om begränsningar av vilka personuppgifter som får behandlas för ett visst ändamål. I paragrafen anges det s.k. primära ändamålet med personuppgifts- behandlingen. Förslaget behandlas i avsnitt 12.5.7. Beskrivningen av ändamålet i första stycket får betydelse för vilken behandling av personuppgifter som är tillåten i ett uppföljningsärende. Bestämmelsen utgör en yttre ram för vilka slags personuppgifts- behandlingar som är tillåtna och är en sådan specifikationsbestämmelse som är tillåten enligt artikel 6.2 i dataskyddsförordningen. Att det anges ett krav på att behandlingen ska vara nödvändig för det angivna ändamålet innebär ett tydliggörande av kravet på laglig behandling enligt artikel 6.1 i dataskyddsförordningen. Paragrafens andra stycke upplyser om att regeringen eller den myndighet regeringen bestämmer kan meddela föreskrifter som gäller för myndigheter om begränsningar av ändamålen och om begränsningar av vilka personuppgifter som får behandlas för ett visst ändamål. 4 § Personuppgifter som behandlas för ändamålet i 3 § får också behandlas för att fullgöra ett uppgiftslämnande som 1.är nödvändigt för att åtgärder ska kunna vidtas med anledning av det som har framkommit i ett ärende, 2.är nödvändigt för att rapporter ska kunna användas som bevisning i rättsliga förfaranden, eller 3.sker i överensstämmelse med lag eller förordning. I paragrafen anges de s.k. sekundära ändamålen för personuppgifts- behandlingen, dvs. de ändamål som avser personuppgiftsbehandling för ett uppgiftslämnande. Förslaget behandlas i avsnitt 12.5.8. Enligt punkt 1 får personuppgifter behandlas om det är nödvändigt för att åtgärder ska kunna vidtas med anledning av det som har framkommit i ett ärende. Det kan röra sig om åtgärder som behöver vidtas av en ledningsfunktion, rättsfunktion eller personalfunktion inom verksam- heten. Enligt punkt 2 får personuppgifter behandlas om det är nödvändigt för att rapporter ska kunna användas som bevisning i rättsliga förfaranden. De förfaranden som kan vara aktuella är framför allt tvister enligt denna lag, arbetsrättsliga tvister om skiljande från anställningen och brottmåls- förfaranden rörande t.ex. ärekränkning. I punkt 3 föreskrivs att personuppgifter får behandlas för att fullgöra ett uppgiftslämnande i överensstämmelse med lag eller förordning. Ett sådant uppgiftslämnande kan t.ex. vara aktuellt om uppgifter behöver lämnas ut för att uppfylla krav enligt offentlighets- och sekretesslagen (2009:400). 5 § Personuppgifter som behandlas för ändamålet i 3 § får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. Bestämmelsen i paragrafen ger uttryck för finalitetsprincipen. Förslaget behandlas i avsnitt 12.5.9. Bestämmelsen i paragrafen tydliggör att den s.k. finalitetsprincipen, dvs. 2020/21:193 att personuppgifter endast får behandlas för de ändamål som angavs när uppgifterna samlades in, gäller vid behandling av personuppgifter enligt kapitlet. Bestämmelsen har utformats i nära anslutning till artikel 5.1 b i dataskyddsförordningen och bör tolkas på samma sätt. Det innebär bl.a. att behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 i förordningen inte ska anses vara oförenlig med de ursprungliga ändamålen. Det innebär också att de omständigheter som anges i artikel 6.4 a–e i förordningen ska beaktas vid bedömningen om behandling för andra ändamål är förenlig med det ändamål för vilket personuppgifterna ursprungligen samlades in. 6 § Endast personer som har utsetts som behöriga eller personer som arbetar vid enheter som har utsetts som behöriga att ta emot, följa upp och lämna återkoppling på rapporter får ha tillgång till personuppgifter som behandlas i ett uppföljningsärende. Tillgången till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. I paragrafen föreskrivs begränsningar av tillgång till personuppgifter. Förslaget behandlas i avsnitt 12.5.13. Genom paragrafen genomförs delvis artiklarna 9.1 a och 12.1 a. Bestämmelserna i paragrafen reglerar tillgången till personuppgifter som finns i ett uppföljningsärende. Den innebär ett uttryckligt krav på att endast personer som har utsetts som behöriga eller personer som arbetar vid enheter som har utsetts som behöriga att ta emot, följa upp och lämna återkoppling på rapporter får ha tillgång personuppgifter som behandlas. Tillgången till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Tillgången till personuppgifter kan således variera inom personalgruppen beroende på vilka arbets- uppgifter som var och en ska utföra i uppföljningsärendet. Hur stor krets som får ha tillgång till personuppgifterna måste avgöras från fall till fall med beaktande av dataskyddsförordningens grundläggande principer. Längsta tid som personuppgifter får behandlas 7 § Personuppgifter som uppenbart inte är relevanta för handläggningen av en viss rapport får inte samlas in och ska raderas möjligt om de har samlats in av misstag. I paragrafen regleras förbud mot att samla in vissa uppgifter och radering av uppgifter som har samlats in av misstag. Förslaget behandlas i avsnitt 12.5.14. Genom paragrafen genomförs delvis artikel 17. Uppgifter som uppenbart inte är relevanta kan vara uppgifter som inte har någon som helst koppling till påståendena om missförhållanden eller till uppföljningen av påståendena. Sådana uppgifter får inte samlas in och om de samlas in av misstag ska de raderas möjligt. 8 § Personuppgifter i ett uppföljningsärende får inte behandlas längre än efter det att ärendet avslutades. 2020/21:193 Bestämmelsen i första stycket hindrar inte att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial lämnas till en arkivmyndighet. I paragrafen behandlas rensning av personuppgifter. Förslaget behandlas i avsnitt 12.5.14. I paragrafens första stycke anges att personuppgifter som behandlas i ett uppföljningsärende inte får behandlas längre än efter det att ärendet avslutades. Av andra stycket framgår att bestämmelsen om längsta tid för behandling inte hindrar att personuppgifterna arkiveras av myndigheter eller att arkivmaterial lämnas till en arkivmyndighet. 8 kap. Dokumentation, bevarande och rensning av rapporter Dokumentation av muntlig rapportering 1 § Den som är skyldig att ha interna eller externa rapporteringskanaler och förfaranden för rapportering och uppföljning och tar emot muntliga rapporter ska dokumentera rapporteringen genom en inspelning som kan sparas i en varaktig och åtkomlig form eller genom ett upprättat protokoll. Om den muntliga rapporteringen sker på annat sätt än vid ett fysiskt möte, får dokumentationsskyldigheten också fullgöras genom en utskrift av inspelningen eller på annat lämpligt sätt. I paragrafen regleras dokumentation av muntlig rapportering. Förslaget behandlas i avsnitt 13.1. Genom paragrafen genomförs artikel 18.2–18.4. Muntlig rapportering ska dokumenteras genom en inspelning som kan sparas i en varaktig och åtkomlig form eller genom ett upprättat protokoll från mötet. Med inspelning avses att där den muntliga rapporteringen sker spelas in för att därefter sparas i en varaktig och åtkomlig form. Med protokoll avses en skriftlig redogörelse för de uppgifter som lämnades vid mötet. Det behöver då inte vara fråga om en transkribering, utan det räcker att de lämnade uppgifterna redigeras och sammanställs. Även om redigering får ske av de lämnade uppgifterna ska dock alla uppgifter som i sak har lämnats framgå av protokollet. Muntlig rapportering som sker på annat sätt än vid ett fysiskt möte får dokumenteras på annat sätt än genom en inspelning eller ett protokoll. första sättet är en utskrift av samtalet. Med utskrift avses transkribering, att alla muntliga uppgifter som spelats in i sin helhet omvandlas till skriven text utan att materialet redigeras. är att dokumentationen sker på annat lämpligt sätt. Vad som avses med lämpligt avgörs från fall till fall med utgångspunkt i att dokumentationen ska kunna användas som bevisning i rättsliga förfaranden och vid verkställighetsåtgärder (jfr skäl 86 i direktivet). Om det rör sig om återkommande rapportering där ingen meningsfull ny information tillförs ärendet, kan ett lämpligt dokumentationssätt vara en minnes- eller Detsamma gäller om rapporteringen uppenbart rör 2 § För att dokumentation genom inspelning ska få ske krävs att den rapporterande personen samtycker till det. I paragrafen finns krav på samtycke vid inspelning. Förslaget behandlas i avsnitt 13.2. Genom paragrafen genomförs delvis artikel 18.2 och 18.4. Av bestämmelsen i paragrafen framgår att dokumentation genom inspelning endast får göras under förutsättning att den rapporterande personen samtycker till inspelningen. Ett sådant samtycke måste inhämtas innan inspelningen sker men det finns inget krav på att samtycket måste ges i någon speciell form. Ett samtycke kan t.ex. inhämtas genom att den rapporterande personen upplyses om att en eventuell rapportering kommer att spelas in och dokumenteras, samt att den rapporterande personen genom fullföljandet av rapporteringen ger sitt samtycke till det. 3 § Den rapporterande personen ska ges tillfälle att kontrollera, rätta och genom underskrift godkänna en utskrift eller ett protokoll. I paragrafen föreskrivs kontroll, rättelse och godkännande av dokumentationen vid muntlig rapportering. Förslaget behandlas i avsnitt 13.3. Genom paragrafen genomförs delvis artikel 18.2–4. Bestämmelsen anger att om rapporteringen dokumenteras genom en utskrift eller ett protokoll, ska den rapporterande personen ges tillfälle att kontrollera, rätta och genom underskrift godkänna utskriften eller protokollet. Det ställs inget krav på att den rapporterande personen verkligen kontrollerar, godkänner eller skriver under utskriften eller protokollet, men den rapporterande personen ska ges tillfälle att göra det. Det finns inga hinder mot att underskriften sker genom lämpliga elektroniska förfaranden. Bevarande och rensning av rapporter i privat verksamhet 4 § Den verksamhetsutövare som driver privat verksamhet och är skyldig att ha interna rapporteringskanaler och förfaranden för rapportering och uppföljning ska bevara skriftliga rapporter och dokumentation av muntlig rapportering så länge som det är nödvändigt, dock inte längre än efter att ett uppföljningsärende har avslutats. I paragrafen regleras skyldighet att bevara och rensa rapporter och dokumentation. Förslaget behandlas i avsnitt 13.4. Genom paragrafen genomförs delvis artikel 18.1. Skyldigheten att bevara gäller endast för verksamhetsutövare i privat verksamhet. Skyldighet att t.ex. registrera och på annat sätt hantera allmänna handlingar i det allmännas verksamhet regleras i stället i tryck- frihetsförordningen, offentlighets- och sekretesslagen (2009:400) och arkivlagen (1990:782). I paragrafen anges också att skriftliga rapporter och dokumentation av muntlig rapportering ska bevaras så länge som det är nödvändigt, dock inte längre än efter att ett uppföljningsärende har avslutats. Bestämmelsen tar sikte på de rapporter och den dokumentation som finns i uppföljningsärendet. 2020/21:193 Dokumentation och bevarande som fullgörs av någon annan 5 § En verksamhetsutövares dokumentation av muntliga rapporter samt bevarande av rapporter enligt 4 § får fullgöras av någon som har anlitats för att hantera de interna rapporteringskanalerna och förfarandena för rapportering och uppföljning för arbetsgivarens räkning. I paragrafen föreskrivs att verksamhetsutövaren får anlita någon utomstående för att fullgöra skyldigheten att dokumentera och bevara. Förslaget behandlas i avsnitt 13.6. Enligt bestämmelsen i paragrafen får en verksamhetsutövares dokumentation av muntliga rapporter enligt 1 § samt bevarande av rapporter enligt 4 § fullgöras av någon annan. En verksamhetsutövare kan enligt 5 kap. 5 § utse personer eller enheter hos t.ex. ett annat företag för att hantera rapporteringskanalerna eller förfarandena för verksamhetsutövarens räkning. I den nu nämnda situationen kan det bli så att det inte är verksamhetsutövaren själv utan ett annat företag som tar emot de skriftliga rapporterna. I sådana fall kan även dokumentationen och bevarandet fullgöras av det företaget. Även om en verksamhetsutövare väljer att låta någon annan hantera dokumentationen för sin räkning är det fortfarande den enskilde verksamhetsutövaren som har kvar ansvaret för att dokumentationen hanteras och bevaras så att lagens krav uppfylls. 1 § Den som hanterar ett uppföljningsärende, får inte obehörigen röja en uppgift som kan avslöja identiteten på den rapporterande personen eller på någon annan enskild som förekommer i ärendet. I paragrafen föreskrivs tystnadsplikt i privat verksamhet. Förslaget behandlas i avsnitt 14.2. Genom paragrafen genomförs delvis artiklarna 9.1 a, 16.1 och 22.2. En förutsättning för att tystnadsplikten ska gälla är att uppgiften kan avslöja identiteten på en rapporterande person eller identiteten på någon annan enskild som förekommer i ett uppföljningsärende. Vad som avses med uppföljningsärende framgår av 1 kap. 8 § 4. Begreppet enskild omfattar både fysisk och juridisk person. Paragrafen förbjuder endast obehörigt röjande. Fullgörande av en uppgiftsskyldighet som följer av lag eller förordning är behörigt röjande. Överlämnande av uppgifter mellan olika personer som har utsetts som behöriga eller som arbetar på enheter som har utsetts som behöriga utgör behörigt röjande. Även vidarebefordrande av uppgifter till personal- funktionen hos verksamhetsutövaren för arbetsrättsliga åtgärder eller för polisanmälan utgör exempel på behörigt röjande. Om en rapporterande person medvetet har rapporterat falsk information om en berörd person, utgör uppgiftslämnande till den berörda personen behörigt röjande. Om den som skyddas av tystnadsplikten samtycker till att de skyddade uppgifterna lämnas ut, är utlämnandet behörigt röjande. Detta gäller även när samtycket lämnas via en arbetstagarorganisation. Den som bryter mot tystnadsplikten i paragrafen kan dömas till ansvar för brott mot tystnadsplikten enligt 20 kap. 3 § . 2 § I det allmännas verksamhet tillämpas offentlighets- och sekretesslagen Prop. 2020/21:193 (2009:400) i stället för 1 §. I paragrafen finns en upplysning om att bestämmelserna i offentlighets- och sekretesslagen tillämpas i det allmännas verksamhet. Förslaget behandlas i avsnitt 14.2. Bestämmelser om sekretess i verksamhet som avser hantering av ärenden med anledning av rapportering via interna respektive externa rapporteringskanaler finns i 17 kap. 3 b § och 32 kap. 3 b § offentlighets- och sekretesslagen. 1 § Den eller de myndigheter som regeringen utser som tillsynsmyndighet ska se till att verksamhetsutövare följer lagens bestämmelser om interna rapporteringskanaler och förfaranden för rapportering och uppföljning. I paragrafen anges att en eller flera myndigheter utövar tillsyn över att vissa bestämmelser i lagen följs. Förslaget behandlas i avsnitt 15.1. ska se till att det finns en ordning för rapportering och uppföljning som tillgodoser lagens krav. Tillsynen ska således vara systeminriktad och inte inriktad på att utreda vad som har förevarit i ett enskilt ärende, t.ex. vem som har rapporterat eller vad rapporteringen avser. 2 § En verksamhetsutövare som är föremål för tillsyn ska på begäran av en tillsynsmyndighet lämna de upplysningar och handlingar som behövs för tillsynen. I paragrafen ges den eller de myndigheter som har utsetts att utöva tillsyn tillgång till upplysningar och handlingar. Förslaget behandlas i avsnitt 15.2. Av bestämmelsen i paragrafen framgår att en verksamhetsutövare som är föremål för tillsyn på begäran av tillsynsmyndigheten ska lämna de upplysningar och handlingar som behövs för tillsynen. Det kan vara sådan dokumentation som avses i 5 kap. 6 § men även andra handlingar eller uppgifter som kan vara av vikt för tillsynen. Vid bedömningen av vilka upplysningar och handlingar som får krävas ut, ska proportionalitets- principen beaktas. Uppgiftsskyldigheten får inte göras mer långtgående än vad som behövs för tillsynen i ärendet och ska stå i rimligt förhållande till de olägenheter som kan antas uppstå för den som berörs av åtgärden. 3 § En tillsynsmyndighet får besluta de förelägganden som behövs för att verksamhetsutövaren ska fullgöra sin uppgiftsskyldighet eller för att verksamhetsutövaren ska fullgöra de krav som ställs på de interna rapporteringskanalerna och förfarandena för rapportering och uppföljning. 2020/21:193 I paragrafen anges att den eller de myndigheter som har utsetts att utöva tillsyn har rätt att besluta om förelägganden. Förslaget behandlas i avsnitt 15.3. En tillsynsmyndighet får rikta förelägganden mot alla de verksamhetsutövare som omfattas av skyldigheten att ha interna rapporteringskanaler och förfaranden. Föreläggandena får avse uppgifts- skyldigheten i 2 § eller de krav som ställs på interna rapporteringskanaler och förfaranden i 5 kap. Föreläggandet måste vara så klart att det utan svårighet går att utläsa vilka åtgärder som verksamhetsutövaren ska vidta. 4 § Ett beslut om föreläggande får förenas med vite. I paragrafen regleras vite vid förelägganden. Förslaget behandlas i avsnitt 15.3. Av bestämmelsen i paragrafen framgår att ett beslut om föreläggande får förenas med vite. Det innebär att en tillsynsmyndighet vid beslut om föreläggande enligt 3 § kan välja om föreläggandet ska förenas med vite. Allmänna bestämmelser om vite finns i lagen (1985:206) om viten. Om ett vitesföreläggande innebär en skyldighet att vidta en viss åtgärd, ska det av föreläggandet framgå eller inom vilken tidsfrist åtgärden ska vidtas. Föreläggandet måste vara så preciserat att den det riktar sig mot får helt klart för sig vad som krävs av denne för att undgå att vitet döms ut. Om beslutet inte följs har tillsynsmyndigheten möjlighet att ansöka hos förvaltningsrätt om att vitet ska dömas ut. Överklagande av tillsynsmyndighets beslut 5 § En tillsynsmyndighets beslut om föreläggande som förenas med vite får överklagas till allmän förvaltningsdomstol. Andra beslut av tillsynsmyndigheten enligt denna lag får inte överklagas. Prövningstillstånd krävs vid överklagade till kammarrätten. I paragrafen regleras rätten att överklaga beslut av tillsynsmyndigheten. Förslaget behandlas i avsnitt 15.4. Av paragrafens första stycke framgår att en tillsynsmyndighets beslut om föreläggande som förenas med vite enligt 4 § får överklagas till allmän förvaltningsdomstol, dvs. till en förvaltningsrätt som första domstols- instans. Beslutet kan överklagas av den som beslutet angår, om det har gått denne emot. Av bestämmelsen framgår vidare att andra beslut av tillsynsmyndigheten inte får överklagas. Förvaltningsrättens avgörande kan överklagas till kammarrätt. Av paragrafens andra stycke framgår att prövningstillstånd krävs vid överklagande dit. Frågan om utdömande av vite regleras i lagen (1985:206) om viten. Där regleras även frågan om överklagande av utdömda viten. Den nu aktuella paragrafen är således inte tillämplig vid överklagande av beslut om utdömande av vite. Denna lag träder i kraft . Bestämmelserna i 5 kap. tillämpas första gången a)för verksamhetsutövare som driver privat verksamhet och som har 50 till 249 arbetstagare, och b)för övriga verksamhetsutövare.