Behandling av personuppgifter i visselblåsarärenden

Vid användning av interna och externa rapporteringskanaler enligt visselblåsarlagen behandlas ofta personuppgifter. Denna behandling måste ske i enlighet med dataskyddsförordningen (EU) 2016/679, även kallad GDPR.

Visselblåsarlagen innehåller kompletterande regler om hur personuppgifter får hanteras inom ramen för ett så kallat uppföljningsärende, det vill säga när en rapport om missförhållanden har lämnats in och följs upp. Vidare gäller lagens regler endast

• Helt eller delvis automatiserad behandling, eller
• Manuell behandling som ingår i ett register eller ska föras in i ett sådant.

Det innebär att t.ex. e-post, digitala ärendehanteringssystem och strukturerade pappersregister omfattas.

Begreppet personuppgift omfattar alla upplysningar som kan kopplas till en identifierbar individ, exempelvis namn, kontaktuppgifter eller andra kännetecken. Med behandling avses bl.a. insamling, lagring, läsning, spridning och radering.

När och hur får personuppgifter behandlas?

Personuppgifter får endast behandlas om det är nödvändigt för uppföljningen av en visselblåsarrapport. Detta är det s.k. primära ändamålet. Regeringen får besluta om begränsningar i vilka uppgifter som får behandlas eller för vilket ändamål, genom förordning (7 kap 3 § visselblåsarlagen).

Vidare föreskriver även visselblåsarlagen sekundära ändamål för användandet av personuppgifter (7 kap 5 § visselblåsarlagen).

Personuppgifter som samlats in få enligt dessa även användas för att:

• Vidta åtgärder med anledning av rapportens innehåll
• Användas som bevisning i rättsliga förfaranden, t.ex. arbetsrättsliga tvister
• Fullgöra skyldigheter enligt annan lag eller förordning, t.ex. offentlighetsprincipen eller andra rapporteringskrav

Uppgifter kan lämnas till exempelvis HR, ledning eller rättsavdelning – men om de kan identifiera visselblåsaren ska denne informeras i förväg, om det inte skulle försvåra uppföljningen.

Om personuppgifter samlats in i ett uppföljningsärende får dessa även användas för andra ändamål, så länge användningen förenlig med det ursprungliga syftet. Detta bygger på den s.k. finalitetsprincipen i GDPR  (7 kap 5 § visselblåsarlagen).

Vid bedömningen ska man bland annat väga in:

• Koppling mellan ursprungligt och nytt syfte
• Datans känslighet
• Konsekvenser för den registrerade
• Förekomst av skyddsåtgärder (som t.ex. pseudonymisering)
• Behandling för arkivering, forskning eller statistik anses inte oförenlig.

Åtkomst till personuppgifter

Det är endast personer eller enheter som utsetts som behöriga att hantera visselblåsarärenden som får ha tillgång till de personuppgifter som behandlas. Åtkomsten ska begränsas till vad var och en behöver för att utföra sina arbetsuppgifter.

Begränsningen kan ske både tekniskt och genom instruktioner. Bedömningen av åtkomst ska göras från fall till fall, utifrån GDPR:s krav på integritet och säkerhet (7 kap. 6 § visselblåsarlagen).

Radering och behandlingstid

Personuppgifter som uppenbart inte är relevanta för ett uppföljningsärende får inte samlas in. Om sådana uppgifter samlas in av misstag ska de raderas omedelbart. Detta innebär att t.ex. privata uppgifter eller irrelevanta kommentarer inte får ligga kvar i systemet. Däremot gäller inte kravet på radering för själva rapporten som initierat ärendet (kap 7 § visselblåsarlagen).

Personuppgifter får inte behandlas längre än två år efter det att uppföljningsärendet avslutats. Därefter ska de raderas eller avidentifieras. Undantag gäller för arkivering av allmänna handlingar enligt tryckfrihetsförordningen eller när material lämnas till arkivmyndighet. Om behovet av uppgiften upphör tidigare än två år, ska radering ske redan då.

Det är endast behandlingen inom ramen för uppföljningsärendet som måste upphöra – uppgiften kan t.ex. fortsatt behandlas i andra system (som lönesystem) om det är motiverat (7 kap 8 § visselblåsarlagen).