Måste vi som vi som privat verksamhetsutövare följa 2 § 4 DIFS 2018:2 eller ansöka om tillstånd hos IMY för att behandla personuppgifter om lagöverträdelser gällande visselblåsningar?

Gäller er med minst 50 arbetstagare:

Nej, eftersom ni har en skyldighet att ha interna rapporteringskanaler enligt visselblåsarlagen behöver ni i enlighet med 5 § 2 förordning (2018:219) med kompletterande bestämmelser till EU:s dataskyddsförordning varken söka tillstånd hos IMY eller följa 2 § 4 DIFS 2018:2 för sådan behandling som behövs enligt den nya visselblåsarlagen.

Som vanligt gäller dock att den personuppgiftsansvariga ska följa dataskyddsförordningen vid behandling av personuppgifter, såsom exempelvis de grundläggande principerna i artikel 5 i dataskyddsförordningen.

Gäller er med färre än 50 arbetstagare:

Ja. Verksamhetsutövare med färre än 50 arbetstagare är inte skyldiga att ha interna visselblåsarkanaler enligt visselblåsarlagen. Om ni frivilligt vill inrätta särskilda rapporteringskanaler kommer ni alltså att behöva följa 2 § 4 DIFS 2018:2 eller söka tillstånd hos IMY i förväg om ni har behov av att behandla personuppgifter om lagöverträdelser på ett sätt som går utöver vad som medges i dessa föreskrifter.