In this series of articles, CLEMENS focuses on the new whistleblower law and the key points companies should be aware of when implementing procedures to comply with the whistleblower law.
I denne artikel sætter vi fokus på GDPR og whistleblowerordninger.
If your company has not yet established a whistleblower scheme or if you have questions about the new whistleblower law, you are always welcome to contact our whistleblower team.
You can also read more about CLEMENS' whistleblower scheme here.
Artikel nr. 12 – GDPR og whistleblowerordninger
Lovgrundlag
Det følger af GDPR, at behandling af personoplysninger forudsætter, at den dataansvarlige har et lovgrundlag.
For så vidt angår virksomheder med mere end 50 ansatte, indeholder whistleblowerloven en særregel, der kan udgøre det fornødne lovgrundlag.
I medfør af whistleblowerlovens § 22 kan offentlige myndigheder og private virksomheder behandle både almindelige personoplysninger, følsomme personoplysninger og oplysninger om strafbare forhold, hvis det er nødvendigt for at behandle en konkret indberetning, der er modtaget i forbindelse med en whistleblowerordning.
Kravet om nødvendighed indebærer, at arbejdsgiveren (den dataansvarlige) skal foretage en konkret vurdering af behovet for at behandle de konkrete personoplysninger, der modtages i forbindelse med en whistleblowerindberetning. Såfremt de modtagne personoplysninger ikke er nødvendige at behandle for at håndtere whistleblowerindberetningen, kan whistleblowerlovens § 22 ikke anvendes som lovgrundlag for behandlingen.
Det følger endvidere af Justitsministeriets vejledning om whistleblowerordninger for private virksomheder, at det er en betingelse for at anvende whistleblowerlovens § 22 som lovgrundlag, at whistleblowerordningen er oprettet i henhold til whistleblowerloven.
Det betyder, at en virksomhed der opretter en whistleblowerordning på frivilligt grundlag, ikke har hjemmel til at behandle personoplysninger efter whistleblowerlovens § 22, hvilket – efter Justitsministeriets opfattelse – medfører, at disse virksomheder ikke har hjemmel til at behandle personoplysninger omfattet af persondataforordningens art. 9 som led i whistleblowerordningen.
Øvrige tiltag som følge af GDPR
I tillæg til at arbejdsgiveren skal have et lovgrundlag for behandlingen af de personoplysninger, arbejdsgiveren måtte modtage som led i en whistleblowerindberetning, er det vigtigt, at arbejdsgiveren også er opmærksom på alle øvrige databeskyttelsesretlige aspekter, herunder at
- udarbejde retningslinjer for håndtering af whistleblowerindberetninger
- udarbejde fortegnelser over behandlingen af personoplysninger i forbindelse med whistleblowerordningen
- opfylde oplysningspligten over for whistleblowere og berørte personer, når det er påkrævet efter GDPR art. 13 og 14
- indgå en databehandleraftale med en eventuel leverandør af en whistleblowerportal
- have retningslinjer for håndteringen af de registreredes rettigheder i forbindelse med whistleblowerindberetninger
CLEMENS' Whistleblower Scheme
If you have any questions about this article, or if your company has not yet established an internal whistleblowing program, please contact the CLEMENS whistleblowing team.
CLEMENS' whistleblower scheme is user-friendly, flexible and quick to set up. With efficient and secure handling of reports, CLEMENS' whistleblower scheme enables you to quickly and discreetly rectify undesirable conditions and prevent potential financial losses.
When you choose CLEMENS' whistleblower scheme, you avoid worrying about multiple complicated regulations that require employee training, an administrative setup and unnecessary use of internal resources, and you ensure that all reports are handled legally and reported back to the company quickly and efficiently.
