Behöver vi som personuppgiftsansvarig verksamhets­utövare göra en konsekvens­bedömning för vår interna rapporteringskanal?

Ja. Av IMY:s Förteckning enligt artikel 35.4 i dataskyddsförordningen (GDPR) framgår att en konsekvensbedömning ska genomföras när en organisation inför ett gemensamt system i vilket det är möjligt att anmäla missförhållanden på arbetsplatsen – ett så kallat visselblåsarsystem.

Ett visselblåsarsystem är dessutom en sådan typ av behandling som innebär att två av kriterierna i IMY:s förteckning är uppfyllda; behandling av känsliga personuppgifter eller uppgifter som är av mycket personlig karaktär, och behandling av personuppgifter om personer som av något skäl befinner sig i ett underläge eller i beroendeställning och därför är sårbara, till exempel anställda.

När ska en konsekvensbedömning genomföras?