Du kan visselblåsa om din arbetsgivare inte följer dataskyddsreglerna
Du kan visselblåsa till IMY om du har information om att den du arbetar för, har arbetat för eller söker arbete hos inte följer dataskyddsförordningen (GDPR) eller kompletterande regler, till exempel dataskyddslagen.
Det du visselblåser om kan till exempel vara att arbetsgivaren inte följer reglerna antingen genom att agera på ett visst sätt eller genom att låta bli att agera. Missförhållandet kan vara avsiktligt eller oavsiktligt, pågående eller avslutat.
Mer information om reglerna
Texten på vår webbplats är en förenklad beskrivning av reglerna. Reglerna i sin helhet finns här:
För att omfattas av visselblåsarlagen behöver du vara arbetstagare eller tillhöra någon annan av kategorierna nedan. Det är bara då det du rapporterar om kan vara en visselblåsning.
För att kunna göra en visselblåsning måste du tillhöra någon av följande kategorier:
arbetstagare
person som gör en förfrågan om eller söker arbete
person som söker eller utför volontärarbete
person som söker eller fullgör praktik
person som annars utför arbete under en verksamhetsutövares kontroll och ledning, till exempel om du är anställd av ett bemanningsföretag men arbetar hos en annan verksamhetsutövare
egenföretagare som söker eller utför uppdrag
person som står till förfogande för att ingå eller ingår i ett företags förvaltnings-, lednings- eller tillsynsorgan, till exempel styrelsen och verkställande direktör
aktieägare som står till förfogande för att vara eller som är verksamma i aktiebolaget
person som har tillhört någon av personkategorierna ovan och har fått del av eller inhämtat informationen under tiden i verksamheten
Om du visselblåser skyddas din identitet av stark sekretess
Under tiden vår visselblåsarfunktion hanterar ditt ärende får vi inte lämna ut uppgifter som kan avslöja din identitet. Vi kan i vissa fall behöva lämna över uppgifter som identifierar dig till en av våra tillsynsenheter. I det fallet lämnas uppgifterna inte ut om de kan skada dig eller en närstående till dig.
Uppgifter som kan kopplas till någon annan person eller något företag har också ett skydd. Det kan till exempel röra sig om uppgifter om din arbetsgivare eller kollegor som du har nämnt när du har visselblåst. Skyddet för dessa personer är inte lika starkt och uppgifterna kan lämnas ut om de inte skadar dem som uppgifterna gäller. Uppgifter om andra personer lämnas inte heller ut om de behövs för att skydda vår utredning.
Du som visselblåser är även skyddad på andra sätt
Din arbetsgivare får inte hindra dig eller utsätta dig som visselblåser för repressalier. Du som visselblåser kan inte heller straffas för att åsidosatt en tystnadsplikt eller en bestämmelse som gäller att hämta in information. Skydden är dock inte villkorslösa.
Din arbetsgivare får inte hindra dig eller utsätta dig för repressalier för att du visselblåser eller om du samråder med din arbetstagarorganisation om en visselblåsning. En repressalie kan till exempel vara utfrysning, uppsägning, utebliven befordran, ändrade arbetsuppgifter eller arbetstider, utebliven utbildning eller orättvis behandling. Även vissa personer som har koppling till dig som visselblåser omfattas av skyddet, till exempel en kollega, anhörig eller en person som hjälpt dig att visselblåsa.
Tystnadsplikt är alla typer av restriktioner som begränsar möjligheten att lämna uppgifter, oavsett om de finns i avtal, praxis, beslut av arbetsgivaren eller lag. Det kan till exempel handla om att du när du visselblåser berättar något du inte får på grund av den arbetsrättsliga lojalitetsplikten eller en sekretessklausul i ett avtal. Du måste ha skälig anledning att anta att rapporteringen av just den informationen som omfattades av tystnadsplikten var nödvändig för att avslöja missförhållandet. Det är viktigt att komma ihåg att ansvarsfriheten inte medför rätt att lämna ut handlingar. Du kan dock berätta vad som står i en handling utan att lämna ut den.
Det finns undantag från när du kan få ansvarsfrihet. Du kan inte få ansvarsfrihet vid uppsåtligt åsidosättande av så kallad kvalificerad tystnadsplikt enligt offentlighets- och sekretesslagen (2009:400), eller åsidosättande av tystnadsplikt enligt lagen (1971:1078) om försvarsuppfinningar.
Du kan få ansvarsfrihet om du inför rapporteringen åsidosatt bestämmelser som gäller att hämta in information. Bestämmelserna kan till exempel framgå av lagstiftning, beslut eller avtal. Det kan handla om att du inte följt regler som begränsar behörigheten eller befogenheten att ta del av viss information, regler om att information inte får tas från vissa lokaler eller kopieras. Du behöver ha skälig anledning att anta att inhämtandet av informationen var nödvändig för att avslöja missförhållandet.
För att vara skyddad måste du vara en arbetstagare eller en annan person som skyddas av visselblåsarlagen. Det du visselblåser om ska förekomma i den verksamhet som du är, har varit eller kommer att bli verksam i. Det kan också vara i en annan verksamhet som du varit i kontakt med genom ditt arbete. Du kan även vara skyddad om du visselblåser om något som inte uppstått ännu, men som högst sannolikt kommer att uppstå.
För att skyddet ska gälla måste du, när du visselblåser, ha en skälig anledning att anta att informationen om missförhållandena är sann. Det innebär att du inte behöver ha faktiska bevis, men att det ska röra sig om rimliga farhågor eller misstankar. Det ska inte röra sig om information som redan är fullt tillgänglig för allmänheten eller är ogrundade rykten eller hörsägen.
Observera att skyddet mot repressalier och ansvarsfrihet för att hämta in information inte gäller om du genom inhämtandet gör dig skyldig till brott, till exempel stöld, olaga intrång eller dataintrång.
Om din arbetsgivare hindrar dig eller utsätter dig för repressalier kan du få skadestånd. Du kan få skadestånd för ekonomisk förlust och för kränkning. Men detta är något du ska göra på egen hand och inget vi kan hjälpa dig med.
Så visselblåser du
Om du vill rapportera ett missförhållande till IMY:s visselblåsarfunktion kan du ringa ett särskilt telefonnummer eller skicka brev enligt särskilda instruktioner. Det är endast behörig personal hos oss som tar emot din visselblåsning.
Du kan skicka in din visselblåsning via brev. Kom ihåg att skriva ditt telefonnummer och/eller din postadress om du vill ha återkoppling om ditt ärende. Vi kan inte kontakta dig via e-post. Du behöver inte ange kontaktuppgifter om du inte vill, men då kan vi inte heller återkoppla om ditt ärende till dig.
Gör så här:
Lägg det skrivna dokumentet med din visselblåsning i ett kuvert som du förseglar.
Skriv ”Extern visselblåsning” på kuvertet och ingenting mer.
Lägg det förseglade kuvertet i ett nytt kuvert och skicka till: Integritetsskyddsmyndigheten, Box 8114, 104 20 Stockholm
Du kan ringa oss på ett särskilt telefonnummer för visselblåsning. Vi spelar inte in samtalen. Du kan också ringa hit om du har funderingar om din visselblåsning.
OBS! Detta telefonnummer är stängt följande dagar: 5/12, 26/12 och 2/1.
Om du hellre rapporterar vid ett personligt möte i våra lokaler kan du boka ett möte via brev eller telefon på 08-657 61 53. Öppettider för telefonen är torsdagar kl. 09.30–11.30. Kom ihåg att ange ett telefonnummer eller en postadress som vi kan nå dig på. Observera att vi inte kan kontakta dig via e-post.
Använd inte e-post
OBS! Du ska inte visselblåsa till oss via e-post. Vi bedömer att det inte är ett tillräckligt säkert sätt för oss att ta emot den typen av information.
Hur du kan utforma visselblåsningen
Det finns inget krav på vad du måste berätta, men du kan utgå från följande punkter när du visselblåser.
Vad som har hänt och varför du anser att det inte är tillåtet enligt dataskyddsförordningen eller annan kompletterande nationell rätt.
Vilken verksamhet som händelsen skett i, ange gärna organisationsnummer.
Vilka personuppgifter som behandlats, vilka som berörs (gäller det exempelvis anställda, barn, patienter eller kunder?) och hur många som är berörda.
När händelsen du rapporterar om inträffat. Ange om det är viss tidpunkt eller under en tidsperiod och i så fall vilken.
Om det finns några bevis, exempelvis skriftliga handlingar eller vittnen.
Det är viktigt att tänka på att ansvarsfriheten (se ovan om skyddet för visselblåsare) inte innebär att du får lämna ut handlingar som omfattas av tystnadsplikt. Du får däremot berätta vad som står i en sådan handling. Du bör därför inte skicka in några handlingar, men berätta gärna om du vet om det finns handlingar och hur dessa kan identifieras i verksamheten.
Annat som du anser är relevant.
Vad händer med ditt visselblåsarärende?
Särskilt behörig personal på IMY tar emot och handlägger ditt ärende. Om de uppgifter du lämnat ger oss skäl att inleda tillsyn kommer nödvändiga uppgifter att överlämnas till någon av IMY:s tillsynsenheter. Det är sedan tillsynsenheten som gör bedömningen om de ska inleda tillsyn.
Vid bedömningen av om tillsyn ska inledas utgår IMY från myndighetens kriterier för att inleda en så kallad riskbaserad tillsyn. Kriterierna finns i IMY:s tillsynsplan. Som utgångspunkt ska minst två av följande fyra kriterier vara uppfyllda för att IMY ska överväga att inleda tillsyn:
allvarlig kränkning
behandlingen berör många
ny teknik används eller teknik används på nya sätt
det finns ett väsentligt behov av vägledning.
När är det en allvarlig kränkning?
Till exempel om känsliga personuppgifter behandlas, missförhållandet rör barn eller det gäller systematisk övervakning.
När berör behandlingen många?
Inte om den rör enstaka personer, utan snarare hundratals eller tusentals personer.
För en enskild händelse av mycket allvarlig karaktär kan det räcka att färre personer berörs för att IMY ska inleda tillsyn, till exempel vid kameraövervakning av barn i omklädningsrum. Om väldigt många berörs kan det även räcka med en mindre allvarlig brist för att IMY ska inleda tillsyn, till exempel otillåten behandling av icke-känsliga personuppgifter om hundratusentals människor.
Om du tycker att någon behandlar personuppgifter om dig på ett sätt som strider mot dataskyddsförordningen kan du även lämna in ett klagomål till oss. Det gäller oavsett om det du vill berätta om har förekommit i ett arbetsrelaterat sammanhang eller inte. IMY har en skyldighet att utreda klagomål enligt dataskyddsförordningen. Den som lämnar in ett klagomål ges dock inte samma skydd som lagstiftningen gör för den som lämnar in en visselblåsning.
Överlämnande av visselblåsning från andra myndigheter
Om en annan myndighet får in en visselblåsning som misstänks omfattas av IMY:s ansvarsområde ska myndigheten mejla imy@imy.se och be att bli kontaktad av den externa visselblåsarfunktionen. Det är viktigt att inga uppgifter om visselblåsningen uppges i mejlet eftersom vi bedömer att e-post inte är ett tillräckligt säkert sätt för oss att ta emot den typen av information. Vi kommer sedan att kontakta er för att avgöra om IMY är behörig myndighet och ge instruktioner om hur visselblåsningen ska lämnas över till oss.
Du har också andra rättigheter och skydd
Meddelarfrihet innebär att alla anställda inom offentlig verksamhet kan lämna uppgifter till massmedier för publicering utan risk för påföljder. Detta gäller i viss utsträckning även sekretessbelagda uppgifter. Undantag från meddelarfriheten gäller vissa allvarliga brott mot till exempel rikets säkerhet.
Anskaffarfriheten är den rätt som var och en har enligt tryckfrihetsförordningen och yttrandefrihetsgrundlagen att anskaffa uppgifter i syfte att låta publicera dem. Anskaffarfriheten kan ses som en utbyggnad av meddelarfriheten.
Med efterforskningsförbud avses vanligen att myndigheter eller andra allmänna organ inte får efterforska vem som har lämnat ett meddelande med stöd av meddelarfrihet. Den som har tagit emot en uppgift som lämnats för publicering med stöd av meddelarfriheten har tystnadsplikt beträffande meddelarens identitet.
Ett repressalieförbud innebär ett förbud för arbetsgivaren att bestraffa den som använt sig av sin meddelarfrihet.
Behandling av personuppgifter i visselblåsarärenden
Ta del av informationen om hur vi behandlar dina personuppgifter som förekommer i visselblåsarärenden för den externa rapporteringskanalen.