Ansvaret för personuppgifter som hanteras i system för whistleblowing

Ladda ner som pdf

Vägledning för bolag

Genom en ny bestämmelse i Datainspektionens föreskrift DIFS 2010:1 är det nu möjligt för bolag att behandla uppgifter i whistleblowingsystem utan att ansöka om särskilt tillstånd från Datainspektionen. Därför har Datainspektionen tagit fram denna vägledning för bolag.

I sak gäller dock samma villkor som tidigare för sådana system. Bolag som vill inrätta så kallade whistleblowingsystem, där uppgifter om lagöverträdelser kan förekomma, måste följa bestämmelserna i personuppgiftslagen (PuL) och de särskilda förutsättningar som beskrivs i den nya föreskriften. Personuppgiftslagens krav innebär bland annat att bolaget måste uppfylla de grundläggande kraven i personuppgiftslagen, ha en laglig grund för behandlingen och lämna tillräcklig information till registrerade.

Läs Datainspektionens föreskrift DIFS 2010:1

Villkoren i föreskriften innebär bland annat att rapporteringen endast får omfatta allvarliga oegentligheter som begåtts av personer i nyckelpositioner eller ledande ställning inom det egna bolaget eller koncernen.