Verksamhet
Dataskydd Dataskydd på olika områden Behandling av personuppgifter i arbetslivet Visselblåsning och behandling av personuppgifterVisselblåsning och behandling av personuppgifter
Vid behandling av personuppgifter enligt visselblåsarlagen gäller dataskyddsförordningen, lag (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som meddelats med stöd av den. Det gäller om inte annat följer av visselblåsarlagen eller föreskrifter som meddelats i anslutning till visselblåsarlagen.
Den personuppgiftsansvariga är alltid skyldig att följa dataskyddförordningen och kompletterande regler vid behandling och personuppgifter.
Behandling av personuppgifter i rapporteringskanaler för visselblåsning
Eftersom IMY är ansvarig myndighet för att ge vägledning och stöd om personuppgiftsbehandling har vi tagit fram några frågor och svar om det kopplade till visselblåsning. IMY:s uppdrag är dock inte att ge generell vägledning i hur visselblåsarlagen i övrigt ska tolkas eller tillämpas.
Läs mer om reglerna för visselblåsning och hur du går tillväga för att visselblåsa till IMY
Frågor och svar
-
Dataskydd
, -
Visselblåsning
Visselblåsarlagen har särskilda regler för personuppgifter i sitt sjunde kapitel. Dessa regler kompletterar dataskyddsförordningen (GDPR) och lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen). Om visselblåsarlagen inte säger något annat är det alltså GDPR och dataskyddslagen som gäller.
Huvudregler för personuppgifter:
- Nödvändighet: Uppgifter får bara behandlas om det är nödvändigt för att hantera ett uppföljningsärende.
- Relevans: Uppgifter som inte är relevanta för ärendet får inte samlas in. Om de samlats in av misstag ska de raderas så snart som möjligt.
- Lagringstid: Uppgifterna får inte sparas längre än två år efter att ärendet avslutats. Myndigheter får dock arkivera handlingarna enligt gällande arkivregler.
- Behörighet: Endast personer som är behöriga att ta emot, följa upp och svara på rapporter får ha tillgång till uppgifterna.
-
Dataskydd
, -
Visselblåsning
I den utsträckning som behandlingen av personuppgifter är nödvändig för att fullgöra era skyldigheter enligt visselblåsarlagen kan ni stödja er på den rättsliga grunden rättslig förpliktelse enligt artikel 6.1 c i dataskyddsförordningen.
Annan personuppgiftsbehandling som är nödvändig för att utföra uppgifter som följer av visselblåsarlagen kan ni stödja på den rättsliga grunden som kallas uppgift av allmänt intresse i artikel 6.1 e i dataskyddsförordningen.
-
Dataskydd
, -
Visselblåsning
För behandling av personuppgifter enligt visselblåsarlagen (och för myndigheter även visselblåsarförordningen) kan följande rättsliga grunder enligt dataskyddsförordningen (GDPR) användas. Detta gäller för de interna kanalerna som finns hos både företag och myndigheter, samt för de externa kanaler som finns inom den offentliga sektorn. Observera att företag med färre än 50 anställda inte omfattas av visselblåsarlagen.
Rättslig förpliktelse (artikel 6.1 c GDPR)
När behandlingen är nödvändig för att organisationen ska uppfylla sina lagstadgade skyldigheter enligt visselblåsarlagstiftningen.
Uppgift av allmänt intresse (artikel 6.1 e GDPR)
För övrig behandling som krävs för att utföra uppgifter enligt reglerna, vilket för myndigheter även inkluderar myndighetsutövning.
-
Dataskydd
, -
Visselblåsning
Om företaget har minst 50 anställda, och enligt visselblåsarlagen måste ha en intern visselblåsarkanal, behöver ni inte ansöka om tillstånd hos IMY för att behandla personuppgifter om lagöverträdelser. Personuppgifter om lagöverträdelser får behandlas av privata verksamheter om det krävs för att uppfylla lagkravet. Den personuppgiftsansvariga ska alltid följa dataskyddsförordningen (GDPR) vid behandling av personuppgifter.
Om företaget har färre än 50 anställda är ni inte skyldiga att ha interna visselblåsarkanaler. Om ni frivilligt vill skaffa en visselblåsarkanal behöver ni antingen följa våra föreskrifter (IMYFS 2024:1) eller söka tillstånd hos oss om ni avser att behandla personuppgifterna på ett sätt som går utöver vad föreskrifterna tillåter.
Föreskrifter om behandling av personuppgifter som rör lagöverträdelser (IMYFS 2024:1) (pdf, 3 MB)
-
Dataskydd
, -
Visselblåsning
Ja. Enligt 3 kap. 8 § dataskyddslagen får myndigheter behandla personuppgifter om lagöverträdelser. Som vanligt gäller dock att den personuppgiftsansvariga ska följa dataskyddsförordningen vid behandling av personuppgifter, såsom exempelvis de grundläggande principerna i artikel 5 i dataskyddsförordningen.
-
Dataskydd
, -
Visselblåsning
Ja, om organisationen har 250 eller fler anställda. För mindre organisationer gäller skyldigheten om hanteringen av personuppgifter anses riskfylld eller omfattar känsliga uppgifter.
-
Dataskydd
, -
Visselblåsning
Ni ska följa dataskyddsförordningens bestämmelser när ni anlitar ett personuppgiftsbiträde.
Vägledning om anlitande av personuppgiftsbiträden:
Europeiska dataskyddsstyrelsens (EDPB) vägledning om personuppgiftsansvariga och personuppgiftsbiträden
Vägledning om behandling av personuppgiftsbehandling och tredje land:
Det här gäller vid överföring till tredje land
-
Dataskydd
, -
Visselblåsning
, -
Konsekvensbedömning
Ja, ni behöver göra en konsekvensbedömning. Det ska göras när en organisation inför ett system för att anmäla missförhållanden, ett så kallat visselblåsarsystem. Eftersom systemet ofta hanterar känsliga personuppgifter och anställda befinner sig i ett beroendeförhållande till arbetsgivaren, innebär behandlingen en hög risk för de inblandade.
Mer information
Relaterade länkar- Visselblåsardirektivet, Europaparlamentets och rådets direktiv (EU) 2019/1937 av den 23 oktober 2019 om skydd för personer som rapporterar om överträdelser av unionsrätten
- Visselblåsarlagen, lag (2021:890) om skydd för personer som rapporterar om missförhållanden
- Förordningen, förordning (2021:949) om skydd för personer som rapporterar om missförhållanden
- IMY:s remissvar: Ökad trygghet för visselblåsare (SOU 2020:38) (pdf, 605 kB)
- Arbetsmiljöverket om visselblåsarlagen