GDPR i visselblåsarärenden: 7 frågor att lösa innan första rapporten

Varför GDPR blir en processfråga

Visselblåsarlagens sjunde kapitel kompletterar GDPR. Personuppgifter får bara behandlas när det är nödvändigt för ett uppföljningsärende. Uppenbart irrelevanta uppgifter får inte samlas in och ska raderas snarast om de kommit in av misstag.

Det betyder att en integritetstext inte räcker. Organisationen behöver ett arbetssätt för vilka uppgifter som tas emot, vem som ser dem, hur de används, när de lämnas vidare och när de gallras.

Sju frågor att lösa före första rapporten

1. Vem är personuppgiftsansvarig?

Organisationen som bestämmer ändamål och medel för behandlingen är normalt personuppgiftsansvarig. En systemleverantör kan vara personuppgiftsbiträde. Dokumentera rollerna, instruktionerna och biträdesavtalet; ett verktyg flyttar inte automatiskt över ansvaret.

2. Vilken rättslig grund används?

IMY anger att privata verksamhetsutövare med minst 50 arbetstagare kan stödja behandling som är nödvändig för skyldigheterna i visselblåsarlagen på rättslig förpliktelse enligt artikel 6.1 c. Annan nödvändig behandling som följer av lagen kan stödjas på uppgift av allmänt intresse enligt artikel 6.1 e. Bedöm och dokumentera grunden för de faktiska behandlingarna.

3. Hur minimeras uppgifterna?

Formulär och instruktioner bör styra rapportören mot relevanta fakta och avråda från onödiga personuppgifter. Mottagare behöver kunna skilja ärendeinformation från uppgifter som uppenbart saknar betydelse och ska raderas.

4. Vem behöver åtkomst?

Endast utsedda behöriga personer eller enheter får ha tillgång till uppgifterna, och varje persons åtkomst ska begränsas till arbetsbehovet. Sätt därför roller, ersättare och eskaleringsvägar innan ett ärende berör HR, ledning eller en ordinarie mottagare.

5. Hur hanteras känsliga uppgifter och lagöverträdelser?

Rapporter kan innehålla särskilda kategorier av personuppgifter och uppgifter om lagöverträdelser. För privata verksamheter med minst 50 arbetstagare anger IMY att något särskilt tillstånd inte krävs när behandlingen behövs för den lagstadgade skyldigheten. Det tar inte bort kraven på nödvändighet, säkerhet och övriga GDPR-principer. Verksamheter under 50 behöver göra en annan bedömning vid en frivillig kanal.

6. När ska uppgifterna gallras?

Personuppgifter får inte behandlas längre än två år efter att uppföljningsärendet avslutats. För privata verksamheter gäller samtidigt att rapporter ska bevaras bara så länge det är nödvändigt, med två år efter avslut som yttersta gräns. Bestäm vad ”avslutat” betyder och hur gallringen faktiskt genomförs.

7. Är styrningen dokumenterad?

IMY anger att behandlingen ska tas upp i registerförteckningen och att en konsekvensbedömning ska genomföras när ett gemensamt visselblåsarsystem införs. Lägg därtill informationsgivning, incidentrutiner, leverantörsbedömning och kontroll av eventuella tredjelandsöverföringar.

Ett praktiskt arbetsflöde

• Kartlägg uppgifter, personer, system och överföringar.
• Dokumentera ändamål, rättslig grund och ansvarsfördelning.
• Genomför konsekvensbedömningen före driftsättning.
• Begränsa åtkomst till utsedda mottagare och deras arbetsbehov.
• Ge rapportörer tydlig information utan löften om garanterad anonymitet eller efterlevnad.
• Definiera avslut, gallringsfrister och kontroll av utförd radering.
• Öva hanteringen av fel mottagare, incidenter och intressekonflikter.

Clearwhistle är ett digitalt stöd för rapportering, anonym uppföljning, ärendehantering och dokumentation. Organisationen ansvarar fortfarande för rättsliga bedömningar, mottagarroller, rutiner och dataskydd. Artikeln är allmän information och inte juridisk rådgivning.