prop · H803193 · 2021-05-25 00:00:00 — Eftersom skyldigheten att ha rapporteringskanaler och förfaranden riktar sig mot kommunen, bedömer regeringen att det normalt kommer att vara dessa som är personuppgiftsansvariga för den personuppgiftsbehandling som sker inom ramen för kommunala visselblåsarfunktioner. Den omständigheten att det i andra sammanhang än det nu aktuella kan vara så att person- uppgiftsansvaret inom t.ex. en kommun ligger på en nämnd eller styrelsen i det bolag som hanterar personuppgifterna, förändrar inte detta. Det finns olika integritetsrisker som är förenade med att verksamhetsutövare och behöriga myndigheter i uppföljningsärenden ska få behandla personuppgifter. Personuppgifter av integritetskänslig karaktär som t.ex. avslöjar misstänkt eller konstaterad brottslighet och andra regelöverträdelser som utpekade personer påstås ha gjort sig skyldiga till kommer sannolikt att förekomma i ärendena. Även känsliga uppgifter som t.ex. rör personers hälsa och sexuella läggning, religiösa eller filosofiska övertygelse eller medlemskap i fackförening m.m. kan förekomma. Uppgifterna kan komma att användas av den som har tillgång till uppgifterna i ovidkommande syften, t.ex. genom att den rapporterande 2020/21:193 personen utsätts för fara för repressalier. Den rapporterande personen eller en annan utpekad person i rapporten kan t.ex. bli uppsagd, få en lönesänkning, bli bortselekterad under en rekrytering, få negativa vitsord eller på annat sätt bli missgynnad eller orättvist behandlad. Det finns också en risk för att uppgifter kan komma att spridas utanför visselblåsar- funktionen på ett otillbörligt och inte avsett sätt. Vidare finns en risk för att personer rapporterar medvetet felaktig information eller att rapporter som kommer in i kanalerna innehåller information som inte faller in under den föreslagna lagens tillämpningsområde. I denna proposition föreslås ett antal åtgärder för att säkerställa den registrerades grundläggande rättigheter. Det föreslås ändamåls- begränsningar och begränsningar som innebär att endast utsedda behöriga personer eller enheter ska få tillgång till personuppgifter som behandlas i ett uppföljningsärende. Tillgången till personuppgifter föreslås begränsas till vad som är nödvändigt. Vidare föreslås rensningsbestämmelser, bl.a. att personuppgifter som uppenbart inte är relevanta för handläggningen av en rapport inte ska få samlas in och det föreslås krav på radering om sådana personuppgifter har samlats in av misstag. Det föreslås också införas sekretessbestämmelser och en bestämmelse om tystnadsplikt i enskild verksamhet som medför att identiteten på den rapporterande personen eller på någon annan enskild person som förekommer i ärendet inte får avslöjas. Den personuppgiftsbehandling som kommer att ske, sker i syfte att säkerställa och uppnå ett viktigt allmänt intresse på grundval både av unionsrätten och den nationella rätten. Med hänsyn till detta viktiga allmänna intresse är det nödvändigt att verksamhetsutövare och behöriga myndigheter ska kunna behandla personuppgifter, inklusive känsliga personuppgifter, i uppföljningsärenden. Som konstaterats finns vissa risker förenade med behandlingen av personuppgifter i uppföljnings- ärenden. Riskerna får dock anses vara relativt begränsade eftersom det i den föreslagna lagen finns bestämmelser om skydds- och säkerhets- åtgärder. Mot bakgrund av de skydds- och säkerhetsåtgärder som föreslås för att säkerställa registrerades grundläggande rättigheter och intressen får det anses att den aktuella personuppgiftsbehandlingen och de intrång i den personliga integriteten som den medför står i rimlig proportion till den nytta som behandlingen innebär. Det behövs en särskild reglering om behandling av Regeringens bedömning: Dataskyddsförordningens bestämmelser De kompletterande bestämmelserna om behandling av personuppgifter bör införas i den nya lagen. Utredningens bedömning överensstämmer med regeringens bedöm- Remissinstanserna: Kemikalieinspektionen är positiv till att informationen i ett visselblåsarärende ska skyddas. bör skyddet åstadkommas genom ett skydd för informationen snarare än skydd för personuppgifter. Myndigheten anger vidare att det redan av dataskyddsförordningen följer att lämpliga tekniska och organisatoriska åtgärder för att säkerställa en lämplig skyddsnivå vid behandling av personuppgifter ska finnas. anser att den aktuella behandlingen av personuppgifter kräver särskilt lagstöd eftersom den föreslagna lagen medför ett betydande integritetsintrång. Skälen för regeringens bedömning: Regeringen delar Kemikalie- inspektionens uppfattning att det är viktigt att skydda den information som rapporteras eftersom det bidrar till att personer vågar rapportera. Skyddet bör åstadkommas genom bestämmelser om tystnadsplikt och sekretess. Det behöver emellertid övervägas om det även behövs särskilda bestäm- melser om behandling av personuppgifter som säkerställer en lämplig skyddsnivå för den personliga integriteten. Den nya lagen kommer att resultera i en omfattande behandling av personuppgifter som ofta kommer att vara av integritetskänslig karaktär. Det kan handla om uppgifter om konstaterade eller misstänkta brott och andra regelöverträdelser som utpekade personer påstås ha gjort sig skyldiga till. Det kan handla om personliga uppgifter som avslöjar någons relationer i arbetslivet eller en kollegas ekonomiska situation eller sociala beteende. Det kan också handla om känsliga personuppgifter i dataskyddsförordningens mening som behöver behandlas, t.ex. uppgifter om en persons hälsa eller fackliga medlemskap (se vidare avsnitt 12.5.11). Även med beaktande av det befintliga skyddet för den personliga integriteten, finns det anledning att införa bestämmelser som är anpassade till den särskilda personuppgiftsbehandling som kommer att bli aktuell med anledning av den nya lagstiftningen och som säkerställer en hög skyddsnivå för personuppgifter. Det bör därför införas särskilda bestämmelser som kompletterar dataskyddsförordningen vid behandling av personuppgifter i samband med intern och extern rapportering. Enligt 2 kap. 6 § andra stycket regeringsformen är var och en gentemot det allmänna skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Om det rör sig om ett sådant betydande intrång i den personliga integriteten, krävs enligt 2 kap. 20 § regeringsformen lag för att begränsa skyddet mot övervakning och kartläggning av den enskildes personliga förhållanden. Det är sannolikt att rapporterade uppgifter kommer att inkludera konstaterade och misstänkta regelöverträdelser som rör ekonomiska brott, korruptionsbrott, arbets- miljöbrott, diskriminering och trakasserier, dvs. uppgifter av integritetskänslig karaktär. Vid bedömningen av vad som kan anses utgöra kartläggning av den enskildes personliga förhållanden enligt 2 kap. 6 § andra stycket regeringsformen bör flera omständigheter vägas in, t.ex. storleken på uppgiftssamlingen, andelen av landets befolkning som omfattas och i vilken utsträckning uppgifterna är tillgängliga för myndigheten. Som exempel på sådan uppgiftssamling kan nämnas t.ex. , , och Kronofogde- myndighetens olika databaser där en mycket stor mängd information som rör enskildas personliga förhållanden finns lagrad. Även och andra statistikansvariga myndigheter, t.ex. och , lagrar och bearbetar stora mängder uppgifter om enskildas personliga förhållanden i sina databaser (se prop. 2009/10:80 s. 179 f.). Regeringen bedömer att den person- uppgiftsbehandling som kommer att ske som en följd av den föreslagna 2020/21:193 lagen inte kommer att ha en sådan omfattning eller omfatta en sådan stor krets av personer att den kan sägas utgöra en kartläggning av den enskildes personliga förhållanden enligt vad som avses i nämnda bestämmelse. Tillgången till personuppgifter kommer därtill att vara begränsad på så sätt att endast personer eller enheter som har utsetts som behöriga kommer att ha tillgång till uppgifterna i ett uppföljningsärende. Detta hindrar emellertid inte att personuppgifter i vissa fall kan behöva lämnas vidare till t.ex. andra enheter, till polis eller åklagare. I svensk rätt har det länge varit en ambition att särskilt integritetskänslig registerföring ska regleras i lag, främst därför att en sådan norm- givningsnivå säkerställer att det görs en grundlig utredning och en ingående avvägning mellan integritetsintresset och de intressen som talar för registerföringen, se t.ex. betänkandet Myndighetsdatalag (SOU 2015:39 s. 94). Lagreglering bidrar även till stabilitet och långsiktig förutsebarhet. Mot bakgrund av detta bör personuppgiftsbehandlingen, som påpekar, regleras i lag. Den nya regleringen bör placeras i ett eget kapitel i den föreslagna lagen. Regeringens förslag: Bestämmelserna om behandling av personuppgifter ska gälla vid behandling i ett uppföljningsärende. Bestämmelserna ska endast tillämpas på helt eller delvis automatiserad behandling av personuppgifter och annan behandling av personuppgifter som ingår eller kommer att ingå i ett register. Utredningens förslag överensstämmer med regeringens förslag. Remissinstanserna: anger att bestämmelserna bör tillämpas på all behandling av personuppgifter som den föreslagna lagen föranleder eller att bestämmelsen som anger tillämpningsområdet bör tas bort. anger att det inte framgår hur ett frivilligt inrättande av rapporteringskanaler och förfaranden förhåller sig till olika regelverk. Skälen för regeringens förslag Det behöver inte införas bestämmelser om behandling av personuppgifter i personaladministrativ verksamhet eller i rättsliga förfaranden Det är sannolikt att den föreslagna regleringen kommer att leda till en viss ökning av personuppgiftsbehandlingen inom ramen för personal- administrativ verksamhet och rättsliga förfaranden. finns en omfattande behandling av personuppgifter inom personaladministrativ verksamhet. Fler personuppgifter kommer sannolikt att behöva behandlas som en följd av visselblåsardirektivets genom- förande som kan komma att innebära fler upptäckter av att anställda gör sig skyldiga till regelöverträdelser som kan leda till att anställningen avslutas eller disciplinåtgärder vidtas. Ökningen bedöms dock inte vara av en sådan omfattning, och inte heller av en så avvikande karaktär, att det finns anledning att förstärka skyddet för personuppgifter inom den Prop. 2020/21:193 personaladministrativa verksamheten. Skyddet för personuppgifter i de allmänna domstolarna, allmänna förvaltningsdomstolarna och i Arbetsdomstolen har behandlats i lag- stiftningsarbeten med anledning av anpassningar av svensk rätt till data- skyddsförordningen (prop. 2017/18:112 och prop. 2017/18:113). Regeringen bedömer att de befintliga bestämmelserna som reglerar personuppgiftsbehandlingen vid domstolarna inte behöver ändras med anledning av förslagen. Det behöver sammantaget inte införas några kompletterande bestäm- melser som reglerar personuppgiftsbehandlingen inom personal- administrativ verksamhet och inom rättsliga förfaranden, även om omfatt- ningen av behandlingen kan väntas öka något inom dessa områden. Bestämmelserna om behandling av personuppgifter ska gälla i uppföljningsärenden Bestämmelserna om intern och extern rapportering kommer sannolikt att ge upphov till en ny och omfattande personuppgiftsbehandling. Uppgifter som kan identifiera rapporterande, berörda och även andra personer kommer att behöva tas emot, registreras, organiseras, lagras, lämnas ut och raderas. Erfarenheter från statliga myndigheter, kommuner och företag som har interna och externa visselblåsarfunktioner visar att det är stora variationer i antalet rapporteringar (SOU 2020:38 s. 250–259 och 318–322). Det står också klart att de personuppgifter som kommer att behandlas enligt den nya lagen ofta kommer att vara av integritetskänslig karaktär. Uppgifterna kommer att inkludera konstaterade eller misstänkta brott och andra överträdelser av lagar och andra författningar som utpekade personer påstås ha gjort sig skyldiga till. Det kan handla om ekonomiska brott, korruptionsbrott, arbetsmiljöbrott, diskriminering och trakasserier. Vilken typ av regelöverträdelser det kommer att vara fråga om kommer i stor utsträckning att bero på vilken bransch det handlar om. Inom den finansiella sektorn kan det förväntas att personuppgifterna handlar om överträdelser som utpekade personer har gjort i förhållande till de särskilda regler som gäller inom den sektorn medan det inom branscher där det hanteras miljöfarliga ämnen kan förväntas att uppgifterna ofta rör överträdelser av de regler som skyddar sådan hantering. Inom de flesta branscher förväntas rapporterade personuppgifter även komma att röra överträdelser av regler som gäller för personuppgiftsbehandling, upp- handling och arbetsmiljö. I många fall kommer det att vara uppgifter som om de kommer fram kan resultera i att den rapporterande personen utsätts för fara för repressalier. Känsliga personuppgifter i dataskyddsförordningens mening kommer också att behöva behandlas (se vidare avsnitt 12.5.11). Det kan t.ex. röra sig om uppgifter som den rapporterande personen har angett om sin eller en kollegas hälsa. Det kan också vara så att den rapporterande personen har angett sitt fackliga medlemskap eller vid påstådd diskriminering sin eller andras etniska ursprung, religiösa övertygelse, sexuella läggning eller funktionsnedsättning. I andra fall kan det vara uppgifter som inte tillhör de kategorier av uppgifter som definieras som känsliga i dataskydds- 2020/21:193 förordningen, men som ändå har stor betydelse för den personliga integriteten. Det kan röra sig om uppgifter som avslöjar någons relationer i arbetslivet eller en kollegas ekonomiska situation eller sociala beteende. Erfarenheten visar att det sannolikt kommer att rapporteras uppgifter som är felaktiga och i vissa fall även uppgifter som är medvetet falska. En del av uppgifterna kommer sannolikt också att vara sådana som har rapporterats till fel adressat. Behandlingen av personuppgifter i rapporteringskanalerna kommer att skötas av en begränsad krets personer. I vissa fall kommer dock personuppgifter att behöva lämnas till personer som inte ingår i denna krets. Det gäller t.ex. när personuppgifter lämnas till polis eller åklagare eller internt till verksamhetens personalavdelning eller juridiska av- delning. Det kommer också i vissa fall att vara nödvändigt att lämna över personuppgifter till andra delar av verksamheten i syfte att missför- hållanden avhjälps. Sammantaget finns det behov av kompletterande bestämmelser när det gäller behandling av personuppgifter i ett uppföljningsärende inom ramen för sådana interna och externa rapporteringskanaler och förfaranden som avses i lagen. Det bör därför anges i lagen att bestämmelserna gäller vid personuppgiftsbehandling i ett uppföljningsärende. Eftersom lagen kan föranleda även behandling av personuppgifter utanför ett uppföljnings- ärende är det inte lämpligt att, som föreslår, ange att bestämmelserna ska tillämpas i all verksamhet som den föreslagna lagen föranleder. Med anledning av synpunkt om ett eventuellt frivilligt inrättande av rapporteringskanaler och förfaranden vill regeringen förtydliga att den nya lagens bestämmelser inte kommer att vara tillämpliga när det gäller verksamhetsutövare som frivilligt inrättar någon form av rapporteringskanaler eller rutiner för rapportering och uppföljning. Lagens bestämmelser gäller således endast för de som har en skyldighet enligt lagen att inrätta rapporteringskanaler och förfaranden. Mindre verksamhetsutövare som inte omfattas av lagen kommer givetvis att behöva säkerställa att frivilligt inrättade rapporteringsordningar är förenliga med dataskyddsförordningen. Regeringen anser inte att det är nödvändigt eller ens lämpligt att i detta lagstiftningsärende uttala sig om vilket rättsligt stöd som måste finnas för behandling av personuppgifter inom ramen för rapporteringsordningar som inte har inrättats enligt den nya lagen. Lagens tillämpningsområde ska motsvara dataskyddsförordningens materiella tillämpningsområde Dataskyddsförordningens materiella tillämpningsområde omfattar sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt annan behandling än automatisk behandling av personuppgifter som ingår i eller kommer att ingå i ett register (artikel 2.1). Det är lämpligt att tillämpningsområdet för de föreslagna bestämmelserna om personuppgiftsbehandling är detsamma som förordningens tillämpnings- område. Regeringens förslag: Det ska anges i lagen att lagens personuppgiftsbestämmelser kompletterar dataskyddsförordningen. Det ska också anges i lagen att dataskyddslagen och föreskrifter som har meddelats i anslutning till dataskyddslagen gäller, om inte något annat följer av lagen eller föreskrifter som har meddelats i anslutning Utredningens förslag överensstämmer med regeringens förslag. Remissinstanserna: Ingen av remissinstanserna har någon synpunkt på Skälen för regeringens förslag: Dataskyddsförordningen är direkt bindande och tillämplig i och ska inte genomföras i svensk rätt. Förordningen gäller oavsett om det i den föreslagna lagen införs en bestämmelse som hänvisar till förordningen eller inte. Dataskyddslagen kompletterar dataskyddsförordningen på en generell I dataskyddslagen finns generella bestämmelser som utgör tillåtna specificeringar av och undantag från förordningen. I 1 kap. 6 § dataskyddslagen anges att om en annan lag eller förordning innehåller en bestämmelse som avviker från dataskyddslagen så ska den bestämmelsen Dataskyddslagen är således subsidiär och dess bestämmelser kommer därmed att gälla om inte den nya lagen eller någon annan författning föreskriver något annat. Eftersom dataskyddsförordningen och dataskyddslagen kommer att ha stor relevans för personuppgiftsbehandlingen behöver den nya lagens förhållande till dessa regleringar klargöras. Det ska därför anges i den nya lagen att den innehåller bestämmelser som kompletterar dataskydds- förordningen och att dataskyddslagen och föreskrifter som har meddelats i anslutning till dataskyddslagen gäller, om inte något annat följer av den Hänvisningar till EU-rättsakter kan göras antingen statiska eller Hänvisningarna bör vara dynamiska, dvs. Valet av dynamiska hänvisningar betyder att de kommer att omfatta eventuella ändringar i dataskydds- förordningen och ändringar i den direkt tillämpliga förordningen får Regeringens förslag: Personuppgifter ska få behandlas bara om behandlingen är nödvändig för ett uppföljningsärende. Det ska införas en upplysningsbestämmelse som anger att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om begränsningar av ändamålen och om begränsningar av vilka uppgifter som får behandlas för ett visst ändamål. Utredningens förslag överensstämmer inte med regeringens förslag. Utredningen föreslår inte att ändamålet med personuppgiftsbehandlingen ska anges i lagen. Utredningen föreslår inte heller att det ska införas en upplysningsbestämmelse om rätt för regeringen eller den myndighet som regeringen bestämmer att meddela ytterligare föreskrifter. Remissinstanserna: anser att det är en allvarlig brist att förslaget saknar ändamålsbestämmelser. Även Transportstyrelsen anser att lagen borde innehålla särskilda ändamåls- bestämmelser. Skälen för regeringens förslag Det ska finnas en ändamålsangivelse Det är en allmän dataskyddsrättslig princip att personuppgifter bara får samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Det är också vanligt att ändamålsbestämmelser tas in i registerförfattningar för att sätta den yttersta ramen för behandlingen av personuppgifter. Utredningen bedömer att det inte behövs en ändamålsangivelse eftersom det framgår av den föreslagna lagen för vilka ändamål personuppgifter får behandlas. En särskild ändamålsangivelse skulle enligt utredningen kunna utesluta behandling som visserligen är nödvändig, men som lagstiftaren inte förutsåg vid utformningen av ändamålsangivelsen. Angivelsen av ändamålen skulle med andra ord kunna vara för rigid och därmed försvåra nödvändig personuppgiftsbehandling. Regeringen kan konstatera att en bestämmelse som anger de primära ändamålen innebär att ramen för behandlingen av personuppgifter fastställs av . En ändamålsbestämmelse ger vidare möjlighet att på ett övergripande plan balansera intresset av personuppgifts- behandlingen mot intresset av det intrång i den personliga integriteten som behandlingen kan innebära. Mot bakgrund av att behandlingen av personuppgifter i uppföljningsärenden kommer att bli omfattande och att ofta integritetskänsliga uppgifter kommer att behandlas anser regeringen att ramen för behandlingen bör fastställas i lag. Regeringen anser därför, i likhet med och Transportstyrelsen, att ändamålen med behandlingen bör anges i lagen. I en visselblåsarfunktion behöver det vara möjligt att ta emot rapporter och ha kontakt med den rapporterande personen. Rapporter kan komma in muntligen, skriftligen eller vid ett fysiskt möte. I samband med mottagandet behöver rapporterna dokumenteras, dvs. handlingar bevaras, medan muntlig rapportering behöver kunna spelas in eller nedtecknas. Visselblåsarfunktionen behöver också bekräfta mottagandet till den rapporterande personen. Därefter behöver åtgärder vidtas för att bedöma riktigheten i de påståenden som framställs i rapporterna. Det kan då också finnas anledning att ha kontakt med andra personer i syfte att bekräfta eller vederlägga påståendena, t.ex. vittnen och experter. behöver visselblåsarfunktionen kunna lämna återkoppling till den rapporterande personen om den utförda utredningen och de slutsatser som har dragits av utredningen. Enligt regeringens uppfattning bör det vara möjligt att behandla de personuppgifter som är nödvändiga för vart och ett av de steg i uppföljningen som beskrivs ovan. Eftersom dessa steg enligt den föreslagna lagen ingår i ett uppföljningsärende är det enligt regeringens uppfattning lämpligt att det i lagen anges att personuppgifter får behandlas Prop. 2020/21:193 bara om behandlingen är nödvändig för ett uppföljningsärende. Det kan finnas skäl att införa mer detaljerade bestämmelser som begränsar ändamålen och vilka uppgifter som får behandlas. Regeringen föreslår mot den bakgrunden att det i lagen införs en bestämmelse som upplyser om möjligheten att begränsa ändamålen och vilka person- uppgifter som får behandlas. Eftersom det är frågan om en upplysningsbestämmelse om möjligheten att begränsa ändamålen och vilka personuppgifter som får behandlas kommer det inte med stöd av bestämmelsen att vara möjligt att utvidga ändamålen i lagen. Regeringens förslag: Personuppgifter som behandlas för de primära ändamålen ska också få behandlas för att fullgöra ett uppgiftslämnande som 1.är nödvändigt för att åtgärder ska kunna vidtas med anledning av det som har framkommit i ett ärende, 2.är nödvändigt för att rapporter ska kunna användas som bevisning irättsliga förfaranden, eller 3.sker i överensstämmelse med lag eller förordning. Utredningens förslag överensstämmer inte med regeringens förslag. Utredningen föreslår inte några ändamålsbestämmelser. Remissinstanserna: anser att det är en allvarlig brist att förslaget saknar ändamålsbestämmelser. Även Transportstyrelsen anser att lagen borde innehålla särskilda ändamåls- bestämmelser. Skälen för regeringens förslag Enligt direktivet ska medlemsstaterna säkerställa att uppgifter om den rapporterande personens identitet inte, utan personens uttryckliga samtycke, lämnas ut till någon annan än den personal som är behörig att ta emot eller följa upp rapporter (artikel 16.1).