Dokumentation och uppföljning

För att säkerställa spårbarhet, rättssäkerhet och möjlighet till förbättring kräver visselblåsarlagen att rapporter hanteras korrekt, utan även att de dokumenteras och att processen följs upp på ett systematiskt och integritetssäkert sätt.

Krav på dokumentation av hanterade rapporter

Alla inkomna visselblåsarrapporter ska dokumenteras på ett korrekt och rättssäkert sätt, utan att röja visselblåsarens eller andra berördas identitet, om inte samtycke föreligger. Dokumentationen ska omfatta:

• Datum för mottagande
• Rapportens innehåll i sak (inte identitetsuppgifter)
• Vidtagna åtgärder och beslut
• Datum för bekräftelse och återkoppling

Informationen ska lagras säkert och hanteras enligt GDPR:s krav, särskilt vad gäller åtkomstbegränsning och gallring. Endast behöriga personer inom den oberoende visselblåsarfunktionen får ha tillgång till uppgifterna.

Årlig genomgång och utvärdering av visselblåsarfunktionen

Organisationen bör minst en gång per år genomföra en intern genomgång och utvärdering av visselblåsarfunktionen, med syfte att:

• Säkerställa att funktion och rutiner är förenliga med lagen
• Identifiera eventuella brister eller förbättringsområden
• Kontrollera att rapporteringskanaler är tillgängliga och säkra
• Bedöma om fler utbildnings- eller informationsinsatser krävs

Utvärderingen bör dokumenteras och innehålla förslag till förbättringsåtgärder, om sådana identifieras.

Tidsfrister för bevarandet av rapporter

Privata verksamhetsutövare som är skyldiga att tillhandahålla interna rapporteringskanaler ska bevara både skriftliga rapporter och dokumentation av muntlig rapportering så länge det är nödvändigt, men maximalt i två år efter att uppföljningsärendet avslutats.

Syftet är att uppgifterna ska finnas kvar så länge de behövs för uppföljning och eventuella rättsliga åtgärder. Efter denna tidpunkt ska dokumentationen raderas eller avidentifieras. Bestämmelsen gäller inte offentlig verksamhet, där i stället tryckfrihetsförordningen, offentlighets- och sekretesslagen samt arkivlagen är tillämpliga.

När någon annan fullgör dokumentationen

En verksamhetsutövare får låta någon extern aktör, exempelvis ett företag som hanterar visselblåsarfunktionen, sköta dokumentationen och bevarandet av rapporter för dess räkning. Det är vanligt i koncerner eller bland mindre aktörer som anlitar t.ex. en juridisk byrå eller ett visselblåsarverktyg.

Trots att dessa uppgifter läggs ut på annan aktör är det fortfarande verksamhetsutövaren som bär det fulla ansvaret för att dokumentationen sker enligt lagens krav. Det gäller både hur informationen tas emot, dokumenteras, lagras och i rätt tid raderas.

Särskilt om muntlig dokumentation

Dokumentation av muntlig rapportering

När en rapport om missförhållanden lämnas muntligen via en intern eller extern rapporteringskanal, är verksamhetsutövaren skyldig att dokumentera rapporten. Detta kan ske antingen genom att samtalet spelas in och sparas i ett varaktigt och åtkomligt format, eller genom att ett protokoll upprättas.

Om den muntliga rapporteringen inte sker vid ett fysiskt möte – exempelvis via telefon eller röstmeddelandesystem – kan dokumentationen även göras genom utskrift av inspelningen (transkribering) eller på annat lämpligt sätt. Med detta avses exempelvis en tjänsteanteckning, särskilt om rapporteringen är återkommande utan att ny väsentlig information tillförs eller om det rör sig om bagatellartade missförhållanden.

Samtycke till inspelning

För att få spela in en muntlig rapport krävs att den rapporterande personen samtycker. Det behöver inte ske genom ett uttryckligt ja, utan det är tillräckligt att personen har informerats om inspelningen och därefter väljer att fortsätta samtalet. Detta betraktas som ett tyst medgivande.

Om rapporteringen dokumenteras genom en utskrift eller ett protokoll, ska den rapporterande personen ges möjlighet att kontrollera, rätta och skriftligen godkänna innehållet. Det ställs dock inget krav på att personen faktiskt måste skriva under, endast att möjligheten ges. Underskrift kan även ske elektroniskt.