Privatlivspolitik for whistleblowerordningen

Privatlivspolitik for Mariagerfjord Kommunes whistleblowerordning

Forord

Denne privatlivspolitik er en orienteringsskrivelse, der forklarer, hvordan Mariagerfjord Kommune behandler personoplysninger i forbindelse med indberetninger til whistleblowerordningen.

Whistleblowerordningen er vedtaget af Byrådet i Mariagerfjord Kommune den 28. oktober 2021.

• Ordningen er indført på baggrund af: whistleblowerdirektivet, Europa-Parlamentets og Rådets direktiv (EU) 2019/1937 af 23. oktober 2019 om beskyttelse af personer, der indberetter overtrædelser af EU retten,
• whistleblowerloven, lov nr. 1436 af 29. juni 2021. 

I privatlivspolitikken henvises der i øvrigt til særskilte retningslinjer for whistleblowerordningen, hvoraf det fremgår blandt andet, hvem der kan foretage indberetninger, og hvem der kan indberettes om.

Nedenfor beskrives nærmere hvilken behandling, der finder sted, og hvilke rettigheder du har, hvis der rapporteres om dig via whistleblowerordningen, samt dine rettigheder, hvis du benytter ordningen til at foretage en indberetning om en anden person.

Denne skrivelse vedrører kun håndteringen og undersøgelsen af indberetninger til ordningen.

For så vidt angår ansatte i Mariagerfjord Kommune skal skrivelsen derfor ses i sammenhæng med vilkårene for behandlingen af personoplysninger i ansættelsesforholdet samt øvrige relevante ansættelsesmæssige retningslinjer og procedurer

Dataansvarlig

Den juridiske enhed, som er ansvarlig for behandlingen af personoplysninger er Mariagerfjord Kommune.

Kommunens kontaktoplysninger er:

Mariagerfjord Kommune 
Adelgade 30B
9500 Hobro
CVR-nr.: 29 18 94 55 
Telefon: 97 11 30 00 
E-mail: raadhus@mariagerfjord.dk 

Databeskyttelsesrådgiver

Mariagerfjord Kommune har en databeskyttelsesrådgiver.

Du kan kontakte databeskyttelsesrådgiveren, hvis du har spørgsmål til behandlingen af dine personoplysninger.

Databeskyttelsesrådgiveren kan kontaktes på e-mail: dbr@mariagerfjord.dk.

Kategorier af personoplysninger

I forbindelse med håndteringen og undersøgelsen af indberetninger til whistleblowerordningen behandles der personoplysninger om både den, der indberetter, og den der indberettes om.

Whistlebloweren

Whistlebloweren, der indberetter, kan vælge at være anonym.

Mariagerfjord Kommune kan derfor behandle følgende kategorier af personoplysninger:

• Almindelige personoplysninger, jf. databeskyttelsesforordningen artikel 6
• Oplysninger om strafbare forhold, jf. databeskyttelsesforordningen artikel 10
• Oplysning om cpr.nr., jf. databeskyttelsesforordningen artikel 87 og databeskyttelsesloven § 11, stk.1.

Kommunen vil som udgangspunkt ikke behandle følsomme personoplysninger eller oplysninger om strafbare forhold, med mindre whistlebloweren selv oplyser kommunen herom i forbindelse med indberetningen.

Hvis der opstår mistanke om, at der er tale om en bevidst falsk indberetning, vil der dog også kunne ske behandlingen af følsomme personoplysninger samt oplysninger om strafbare forhold som led i undersøgelsen heraf.

Personer der indberettes om

Kommunen kan behandle følgende kategorier af personoplysninger alt efter indberetningens indhold:

• Almindelige personoplysninger, jf. databeskyttelsesforordningen artikel 6
• Følsomme personoplysninger, jf. databeskyttelsesforordningen artikel 9
• Oplysninger om strafbare forhold, jf. databeskyttelsesforordningen artikel 10
• Oplysning om cpr.nr., jf. databeskyttelsesforordningen artikel 87 og databeskyttelsesloven § 11, stk.1. 

Formålet med og retsgrundlaget for behandlingen af dine personoplysninger

Formålet med whistleblowerordningen og dermed behandlingen af personoplysninger er overordnet set at styrke håndhævelsen af EU-retten og dansk national lovgivning inden for specifikke områder. 

Whistleblowerordningen er etableret på baggrund af et EU direktiv samt den danske implementeringslovgivning:

• Whistleblowerdirektivet, Europa-Parlamentets og Rådets direktiv (EU) 2019/1937 af 23. oktober 2019 om beskyttelse af personer, der indberetter overtrædelser af EU-retten.
• Whistleblowerloven, lov nr. 1436 af 29. juni 2021.

Mariagerfjord Kommune er som følge af lovgivningen forpligtet til at etablere en whistleblowerordning.

Det er anført i whistleblowerlovens § 22, at behandlingen af personoplysninger kan ske, når det er nødvendigt for at behandle indberetninger, der er modtaget som led i en whistleblowerordning oprettet i henhold til lovgivningen.

Behandlingen af dine personoplysninger sker derfor på baggrund af databeskyttelsesforordningen artikel 6, stk. 1, litra c og e og for så vidt angår registreringen af cpr.nr. med grundlag i databeskyttelseslovens § 11, stk. 1.

Idet indberetninger kan vedrøre og være relevante for arbejds- og ansættelsesretlige forhold i kommunen, er der tilsvarende grundlag for behandlingen af følsomme personoplysninger i databeskyttelsesforordningen  artikel 9, stk. 2, litra b og g samt databeskyttelsesloven § 7, stk. 2 og § 12, stk. 1.

Hertil kan det om nødvendigt blive relevant at behandle oplysninger om strafbare forhold, hvilket vil ske med grundlag i databeskyttelsesloven § 8, stk. 1 og 2. 

Kilder

Mariagerfjord Kommunes kan indledningsvist modtage personoplysninger via indberetninger til whistleblowerordningen.

Ordningen omfatter ansatte i kommunen, herunder tidligere ansatte samt kommende ansatte, som har relevante oplysninger om kommunen fra deres tidligere ansættelsesforhold eller ansættelsesproces.

Herudover omfatter ordningen også leverandører samt samarbejdsparter.

I forbindelse med undersøgelsen af indberetninger kan kommunen kontakte og indhente yderligere personoplysninger ved andre ansatte, direktionsmedlemmer med flere. Tilsvarende kan kommunen kontakte de relevante leverandører og samarbejdsparter.

Modtagere af personoplysninger

Whistlebloweren

Oplysninger om en whistleblowers identitet må som udgangspunkt ikke deles med andre.

Uanset at whistlebloweren ikke er anonym, kan kommunens interne whistleblowerenhed derfor ikke udlevere din identitet. Dette gælder også selvom indberetningen skal undersøges nærmere i organisationen.

En videregivelse af whistleblowerens identitet kan som udgangspunkt kun ske med whistleblowerens udtrykkelige samtykke.

• Videregivelse af whistleblowerens identitet kan dog ske uden samtykke til andre offentlige myndigheder for at imødegå overtrædelser, jf. whistleblowerloven § 1, stk. 1 eller med henblik på at sikre berørte personers ret til et forsvar. Dette kan eksempelvis være tilsynsmyndighed eller politiet.
  Videregivelsen vil være baseret på en konkret vurdering.
• Whistlebloweren vil modtage en orientering herom forud for videregivelsen, ved mindre orienteringen vil bringe undersøgelserne eller en eventuel retssag i fare.
• Andre oplysninger fra indberetningen kan videregives uden samtykke, når det sker som led i opfølgningen på en indberetning eller for at imødegå overtrædelser, jf. whistleblowerlovens § 1, stk. 1. 

Personer der indberettes om

Oplysninger om personer, der er indberettet om, behandles på samme vis som øvrige oplysninger i personaleforhold.

Dine personoplysninger kan som led i undersøgelsen af indberetningen om nødvendigt videregives til eksterne rådgivere, eksempelvis en advokat, IT-leverandører, politiet eller andre offentlige myndigheder.

Opbevaring af personoplysninger

Ifølge whistleblowerloven § 23, stk. 1 skal indberetninger til ordningen registreres og dokumenteres.

Pligten til at registrere gælder samtlige dokumenter og oplysninger, som whistlebloweren har indberettet til kommunen.

Ifølge whistleblowerloven § 23, stk. 2 skal indberetninger opbevares så længe, det er nødvendigt for at overholde de krav, som følger af loven.

En indberetning vil derfor opbevares og behandles mindst lige så længe, som der pågår undersøgelse af indberetningen, og i øvrigt lige så længe som kommunen finder sagligt behov for.

En undersøgelse som strækker sig over en længere periode og eksempelvis fører til ansættelsesretlige konsekvenser, politianmeldelse eller ligefrem retssager vil således kunne opbevares og være genstand for behandling under hele denne proces.

Efterfølgende vil oplysningerne blive behandlet i henhold til opbevaringsreglerne for den konkrete sag, hvilket kan betyde sletning efter fem eller ti år og i nogle tilfælde til arkivering af oplysningerne.

Orientering til personen, der er indberettet om

Hvis man er genstand for en indberetning, vil man tidligst blive underrettet efter en foreløbig undersøgelse har fundet sted, og efter at kommunen har sikret alle relevante beviser.

Man vil i den forbindelse modtage information om, hvem der håndterer indberetningen samt en beskrivelse af beskyldningernes indhold.

Orienteringen sker på baggrund af databeskyttelsesforordningens artikel 14 og med de begrænsninger, som fremgår af forordningens artikel 14, stk. 5, litra d.

Det er ikke muligt at få oplyst identiteten på whistlebloweren, og det fremgår i øvrigt af whistleblowerlovens § 26, stk. 5, at personer der er genstand for en indberetning ikke har partsrettigheder, jf. Forvaltningslovens kapitel 4 – 6 i henhold til oplysninger om whistleblowerens identitet. 

Dine rettigheder

Du har som whistleblower efter databeskyttelsesforordningen en række generelle rettigheder i forhold til vores behandling af oplysninger om dig.

Mariagerfjord Kommune bemærker, at eventuelle særlige begrænsninger som følge af de ovenfor beskrevne regler også finder anvendelse, hvis du ønsker at benytte dig af dine generelle rettigheder efter databeskyttelsesforordningen.

Hvis du er whistleblower og vil gøre brug af dine rettigheder, skal du kontakte whistleblowerenheden via den angivne e-mailadresse, pr. post eller via telefon.

Er du en person, der er indberettet om, og er du vidende om undersøgelsen, kan du kontakte whistleblowerenheden.

Du har blandt andet:

• ret til at se oplysninger (indsigtsret):
  Du har ret til at få indsigt i de oplysninger, som vi behandler om dig, samt en 
  række yderligere oplysninger.
• ret til berigtigelse (rettelse):
  Du har ret til at få urigtige oplysninger om dig selv rettet, det vil sige, at du har 
  ret til at få noteret, at du mener, at oplysningerne er urigtige.
• ret til begrænsning af behandling og indsigelse
  Du har visse tilfælde ret til at få behandlingen af dine personoplysninger begrænset. Hvis du har ret til at få begrænset behandlingen, må vi fremover kun behandle oplysningerne – bortset fra opbevaring – med dit samtykke, eller med henblik på at retskrav kan fastlægges, gøres gældende eller forsvares, eller for at beskytte en person eller vigtige samfundsinteresser.
  Du har herudover i visse tilfælde ret til at gøre indsigelse mod vores eller lovlige behandling af dine personoplysninger.
  Ønsker du behandlingen begrænset, eller gør du indsigelse mod dele af vores behandling, kan det få processuelle konsekvenser for behandlingen af din henvendelse.
• Ret til sletning
  Efter databeskyttelsesforordningens artikel 17 har man som registreret ret til sletning af personoplysninger.
  Der er der undtagelser hertil, hvilket også gør sig gældende for personoplysninger registreret i whistleblowerordningen. Som offentlig myndighed har vi pligt til at journalisere og opbevare oplysningerne, og for så vidt angår visse sager også arkiveringspligt.

Datatilsynet

Du kan læse mere om dine rettigheder i Datatilsynets vejledning om de registreredes rettigheder, og du har ret til at indgive en klage til Datatilsynet, hvis du er utilfreds med den måde, vi behandler dine personoplysninger på.

Datatilsynet har følgende kontaktoplysninger: 
Carl Jacobsens Vej 35
2500 Valby
Tlf. 33 19 32 00
dt@datatilsynet.dk 
www.datatilsynet.dk