Ett svenskt visselblåsarärende kan innehålla uppgifter om rapportören, den utpekade personen, vittnen och helt utomstående. Rutinen behöver skydda dessa personer samtidigt som verksamheten kan utreda ett möjligt missförhållande. En gemensam e-postlåda som hela HR-avdelningen kan läsa är därför inte ett tillräckligt svar på hur åtkomsten ska begränsas.
Den här arbetsgången leder till ett avgränsat ärende med utsedd mottagare, tidsbevakning, behovsstyrd åtkomst och dokumenterat avslut. Den utgår från lag (2021:890) om skydd för personer som rapporterar om missförhållanden och dess särskilda personuppgiftsregler. Det ifyllda exemplet är fiktivt och avser en intern rapporteringskanal hos ett privat företag.
1. Fastställ kanalens uppdrag och lagens omfattning
Visselblåsarlagen gäller bland annat rapportering i ett arbetsrelaterat sammanhang om missförhållanden som det finns ett allmänintresse av att de kommer fram. Lagen omfattar även vissa särskilt angivna unionsrättsliga områden. Alla klagomål på en arbetsplats blir därför inte automatiskt ett uppföljningsärende enligt lagen.
En verksamhetsutövare som hade minst 50 arbetstagare vid kalenderårets ingång ska enligt 5 kap. 2 § ha interna rapporteringskanaler och förfaranden. Kontrollera även eventuell särskild reglering för verksamheten. Tröskeln ska inte förväxlas med vilka personer som kan omfattas av lagens skydd eller med en regel att mindre verksamheter fritt får sprida inkomna rapporter. Se visselblåsarlagen.
Beskriv vad mottagningsfunktionen gör om en rapport verkar ligga utanför kanalens uppdrag. Gör en första bedömning utan att skicka hela materialet till en vanlig personalbrevlåda. Om information behöver hanteras i en annan process ska ni bedöma rättsligt stöd, sekretess eller tystnadsplikt, nödvändiga uppgifter och mottagarens behörighet innan överlämning.
2. Utse behöriga mottagare och håll åtkomsten begränsad
Lagens 7 kap. 6 § begränsar åtkomst till utsedda behöriga personer eller personer vid utsedda behöriga enheter. Var och en ska bara få det som behövs för arbetsuppgiften. En chef som berörs av rapporten ska alltså inte få läsrätt enbart eftersom ärendet gäller den egna avdelningen.
Bestäm vem som kan ta emot, följa upp och återkoppla samt vem som ersätter vid frånvaro eller intressekonflikt. Kontrollera att den som ska agera har ett oberoende och självständigt uppdrag enligt lagens krav. Separera vid behov rapportörens identitet från material som en sakkunnig behöver bedöma.
Om en extern aktör medverkar ska roller och instruktioner vara tydliga. Bedöm om leverantören är personuppgiftsbiträde för de aktuella uppgifterna och säkerställ nödvändigt avtal och kontroll av underbiträden. En leverantörs generella löfte om konfidentialitet ersätter inte en fungerande behörighetsmodell hos er.
Tekniska administratörer kan ha långtgående möjligheter som inte syns i ärendevyn. Granska supportåtkomst, säkerhetskopior, exportfunktioner och notifieringar. Dokumentera skyddet i en bilaga över tekniska och organisatoriska åtgärder som motsvarar den verkliga tjänsten.
3. Gör konsekvensbedömningen före införandet
IMY anger att en konsekvensbedömning ska genomföras när en organisation inför ett gemensamt system där missförhållanden på arbetsplatsen kan anmälas. Detta följer av myndighetens förteckning enligt artikel 35.4. Bedömningen ska omfatta den planerade behandlingen och dess risker, inte bara återge leverantörens standarddokument. Se IMY:s vägledning om visselblåsning och personuppgifter.
Ta med risken att identiteten framgår indirekt, exempelvis genom roll, arbetspass eller en bifogad fil. Bedöm också felaktiga anklagelser, obehöriga sökningar och ett ärende som blir synligt i en generell företagsrapport. Arbetsgången för konsekvensbedömning enligt artikel 35 hjälper er dokumentera åtgärder och kvarstående risker.
Ge tydlig information om hur kanalen fungerar, vilka som får läsa och hur återkoppling sker. Lova inte absolut anonymitet om teknik eller arbetsprocess gör att en person ändå kan identifieras. Skilj möjligheten att rapportera utan att skriva sitt namn från skyldigheten att hantera identitetsuppgifter konfidentiellt när de är kända.
4. Registrera mottagandet och bevaka rätt tidpunkter
De interna förfarandena ska möjliggöra skriftlig och muntlig rapportering samt, på begäran, ett fysiskt möte inom skälig tid. En mottagningsbekräftelse ska normalt lämnas inom sju dagar. Undantag gäller om rapportören har avsagt sig bekräftelse eller mottagaren har anledning att anta att den skulle avslöja identiteten.
Återkoppling om vidtagna uppföljningsåtgärder och skälen ska lämnas i skälig utsträckning inom tre månader från bekräftelsen. Om ingen bekräftelse har lämnats och det inte berott på rapportören räknas utgångspunkten i stället från sju dagar efter mottagandet. Denna återkopplingstid är inte en generell skyldighet att ha slutfört varje utredning inom tre månader.
Lägg separata fält för mottagningsdatum, bekräftelse eller motiverat undantag, återkopplingsfrist och avslutsdatum. Ett system som bara har ”ärendedatum” riskerar att använda fel startpunkt både för återkoppling och senare radering. Utse en ersättare som ser tidsfristerna även när den ordinarie handläggaren är frånvarande.
En kort mottagningsbekräftelse kan lyda: ”Din rapport har tagits emot av den utsedda mottagningsfunktionen. Vi kommer att bedöma underlaget och kan behöva ställa kompletterande frågor genom denna kanal. Bekräftelsen innebär inte att uppgifterna i rapporten har fastställts.” Lägg inte detaljer om anklagelsen i ett vanligt e-postämne. Kontrollera först att den valda återkopplingsvägen kan användas utan att avslöja rapportörens identitet.
5. Ifyllt exempel på en första ärendebedömning
En anställd i ett fiktivt inköpsföretag rapporterar återkommande misstänkta manipulationer av fakturor. Rapporten innehåller två fakturaexempel och uppgifter om en möjlig koppling mellan en beslutsfattare och leverantören. Den innehåller också privat information om en anhörigs hälsa som inte verkar ha någon betydelse för frågan.
Mottagaren skiljer därför på rapportens sakuppgifter, antaganden och uppenbart irrelevant information. Ärendet beskriver misstanken som en misstanke. Att en person är namngiven i rapporten innebär inte att uppgifterna om missförhållandet är fastställda.
| Fält | Ifyllt exempel |
|---|---|
| Ärende | Misstänkt återkommande påverkan på fakturagodkännande |
| Underlag | Två angivna fakturor och rapportörens beskrivning |
| Första behov | Kontrollera beslutsflöde och aktuella behörigheter |
| Identitetsåtkomst | Utsedd mottagare; övriga får endast nödvändigt underlag |
| Irrelevant uppgift | Anhörigs hälsouppgift rensas snarast efter relevanskontroll |
| Intressekonflikt | Berörd beslutsfattare deltar inte i mottagning eller utredningsledning |
| Återkoppling | Frist registreras separat från planerad utredningsaktivitet |
Den fortsatta kontrollen kan kräva sakkompetens från ekonomi. Mottagaren formulerar en avgränsad fråga om fakturaflödet och lämnar bara det underlag som behövs. Innan en person utanför den behöriga funktionen får uppgifter prövas förutsättningarna för uppgiftslämnandet. Hela rapporten ska inte följa med av bekvämlighet.
6. Rensa irrelevant information utan att förstöra ärendets begriplighet
Uppgifter som uppenbart inte är relevanta får enligt 7 kap. 7 § inte samlas in och ska raderas snarast möjligt om de kommit in av misstag. Rutinen behöver därför innehålla en tidig relevanskontroll, inte bara en automatisk raderingsdag efter avslut.
Granskaren bör kontrollera även bilagor och fritext. Ett fakturaunderlag kan innehålla en lång e-posttråd där privata uppgifter följt med. Be om en avgränsad komplettering när det behövs. Den som rapporterar behöver få praktisk hjälp att lämna relevanta fakta utan att uppmanas att samla in all information som finns om en utpekad person.
När uppgifter bedöms felaktiga ska ärendet visa vad som har kunnat verifieras och vad som återstår. Dokumentera sakliga rättelser och bemötanden utan att göra historiken missvisande. Använd rutinen för riktiga personuppgifter för att skilja ett dokumenterat påstående från ett bekräftat förhållande.
7. Hantera återkoppling och rättigheter med konfidentialitet
Återkopplingen ska ge rapportören begriplig information inom lagens ramar. Den behöver inte innehålla alla detaljer om andra personer eller varje intern utredningsåtgärd. I exemplet kan mottagaren upplysa att fakturaflödet har granskats, att kompletteringar inhämtas och att en förändring av kontrollrutinen bedöms. Skriv inte att en utpekad person begått ett brott om detta inte är fastställt.
Tystnadsplikt eller sekretess och personuppgiftsregler behöver bedömas när information lämnas till berörda personer. En begäran om registerutdrag är inte automatiskt en rätt att få rapportörens identitet eller hela rapporten. Samtidigt ska undantag från information och andra rättigheter inte antas gälla slentrianmässigt för allt i kanalen. Dokumentera tillämpligt stöd och den individuella bedömningen.
Om uppgifter om en person kommer från någon annan behöver informationsskyldigheten hanteras med hänsyn till tillämpliga begränsningar. Arbetsgången för artikel 14 hjälper er strukturera när, hur och på vilket stöd information ska lämnas eller begränsas. Låt den behöriga funktionen samordna detta så att en automatisk notifiering inte motverkar utredningen eller röjer identiteten.
8. Dokumentera avslut och radering utifrån rätt startpunkt
Personuppgifter i ett uppföljningsärende får inte behandlas längre än två år efter att ärendet avslutats. Det är en yttersta gräns i denna reglering, inte ett krav att alltid spara alla uppgifter i två år. Uppgifter som inte längre behövs kan behöva raderas tidigare.
För myndigheter hindrar bestämmelsen inte att allmänna handlingar arkiveras och bevaras eller att arkivmaterial överlämnas till en arkivmyndighet. En privat aktör ska inte använda myndighetsundantaget som ett generellt stöd för obegränsad lagring. Skilj också det ursprungliga uppföljningsärendet från uppgifter som lagligen har överlämnats till en annan process med egna regler.
I det fiktiva exemplet avslutas uppföljningsärendet den 15 oktober 2026. Mottagaren dokumenterar varför uppföljningen är avslutad och beslutar om tidigare radering av arbetskopior som inte längre behövs. Systemets yttersta tidsgräns för de kvarvarande personuppgifterna i ärendet sätts med utgångspunkt i avslutsdatumet, senast den 15 oktober 2028 enligt tvåårsregeln. Ett leverantörsbyte får inte starta om denna tid.
9. Kontrollera att rutinen även gäller kopior och incidenter
Gå igenom exporter, lokala nedladdningar, mötesanteckningar och notifieringar när ärendet avslutas. En radering i kanalens gränssnitt räcker inte om samma bilaga ligger kvar hos flera mottagare. Verifiera vad leverantören gör med säkerhetskopior och hur uppgifter hanteras om en äldre kopia måste återställas.
Om en rapport eller identitet hamnar hos fel person ska incidentrutinen aktiveras. Begränsa spridningen, säkra relevanta fakta och bedöm riskerna för samtliga berörda. Använd informationen till drabbade vid personuppgiftsincident när skyldigheten att informera behöver prövas. Incidentärendet ska självt hanteras med tillräckligt begränsad åtkomst, så att rättelsearbetet inte skapar en andra spridning av rapporten.