Visselblåsarlagen och kommunerna

Webbsidan har uppdaterats 12.6.2023 kl. 9. Texten under rubriken ”Centraliserad informationskanal och behöriga myndigheter” är ny.

Det ursprungliga cirkuläret har tidigare uppdaterats 25.1.2023. Då lades till cirkuläret en länk till lagen och preciseringar om de kommunala organisationer som lagen gäller samt tidpunkterna för inrättandet av rapporteringskanalen.

Lagen om skydd för personer som rapporterar om överträdelser av EU-rätten och den nationella lagstiftningen trädde i kraft 1.1.2023. Det är fråga om verkställandet av EU:s direktiv om skydd för personer som rapporterar om överträdelser av unionsrätten (2019/1937), dvs. det så kallade visselblåsardirektivet. Avsikten med lagstiftningen är att personer som i samband med sitt arbete upptäcker eller har misstankar om brott mot allmänintresset inom specificerade områden av EU-rätten eller nationell rätt ska kunna rapportera om detta på ett tryggt sätt. Direktivet ålägger vissa arbetsgivare att inrätta en intern rapporteringskanal för rapportering av information om överträdelser. Enligt direktivet ska medlemsstaterna säkerställa att rättsliga enheter i den privata och offentliga sektorn inrättar kanaler och förfaranden för intern rapportering av information om överträdelser och uppföljning.

Rapporteringskanalen är inte en allmän kanal för ”feedback” utan en tjänst som inrättats uttryckligen för rapportering av allvarliga överträdelser.

Skyldighet att inrätta en rapporteringskanal

Skyldigheten att inrätta en intern rapporteringskanal gäller kommuner, samkommuner, affärsverkssamkommuner och kommunala affärsverk som regelbundet har minst 50 personer som står i arbetsavtals- eller tjänsteförhållande till dem. Detsamma gäller rättsliga enheter som kontrolleras av kommuner och samkommuner, till exempel dotterbolag. Kommuner och samkommuner kan också ha gemensamma rapporteringskanaler.

Den interna rapporteringskanalen ska inrättas inom tre månader efter att lagen trätt i kraft, dvs. senast 1.4.2023. Kommunernas dotterbolag ska ha inrättat kanalen 17.12.2023.  

I förarbetena till lagen (1171/2022) (finlex.fi) konstateras att det förutsätts en dialog eller ett samarbetsförfarande enligt samarbetslagarna när rapporteringskanaler och rapporteringsförfaranden införs.

Rapporteringsmöjligheter

Personer som står i ett arbetsavtals- eller tjänsteförhållande till organisationen ska ges möjlighet att rapportera via den interna rapporteringskanalen. Organisationen kan också tillåta att andra personer rapporterar via den interna rapporteringskanalen. Huruvida andra än de som står i arbetsavtals- eller tjänsteförhållande till organisationen ges samma möjlighet ska således avgöras av organisationen. Hur lämplig denna möjlighet är bör övervägas av respektive organisation. Om andra får möjlighet att rapportera, kan detta ske till exempel via organisationens webbplats. Möjligheten kan ges till exempel personer som nämns i 5 § 1 mom., såsom självständiga yrkesutövare eller praktikanter.

Det skydd som avses i lagen gäller endast rapporterande personer som omfattas av tillämpningsområdet enligt 5 §.

Anonym rapportering

En organisation kan besluta att göra det möjligt att ta emot anonyma rapporter. Det finns ingen skyldighet att göra det.

Möjligheten att rapportera anonymt kan sänka tröskeln för rapporteringen av en eventuell överträdelse och även i praktiken förbättra rättsskyddet för den som rapporterar. Å andra sidan kan möjligheten att rapportera anonymt öka antalet rapporter som kommer in. Varje organisation bör avgöra om den inför en möjlighet att rapportera anonymt eller inte.

Centraliserad rapporteringskanal och behöriga myndigheter

I 4 kap. i lagen finns bestämmelser om en centraliserad rapporteringskanal och behöriga myndigheter. Justitiekanslersämbetet ansvarar för den centraliserade rapporteringskanalen. Justitiekanslersämbetet ska informera om rapporteringen via den centraliserade rapporteringskanalen och om behöriga myndigheter samt ge råd i anknytning till detta. Justitiekanslersämbetets centraliserade rapporteringskanal fungerar som mottagningskanal för rapporter: från den överförs rapporterna till de behöriga myndigheterna eller till det ministerium som ansvarar för det förvaltningsområde som rapporten gäller.

Justitiekanslersämbetets centraliserade rapporteringskanal är avsedd att användas när

• organisationen inte har en intern rapporteringskanal eller om den rapporterande personen inte har getts möjlighet att rapportera via en intern rapporteringskanal
• den rapporterande personen har grundad anledning att tro att en intern rapport inte har lett till att åtgärder enligt 16 § har vidtagits inom den tidsfrist som anges i 2 mom. i den paragrafen
• den rapporterande personen har grundad anledning att tro att det inte är möjligt att effektivt ingripa i överträdelsen på basis av en intern rapport
• den rapporterande personen har grundad anledning att tro att han eller hon riskerar att utsättas för repressalier på grund av rapporten.

Vilka de behöriga myndigheterna är har inte fastställts i lag. I motiveringen till 18 § i lagen finns en förteckning över behöriga myndigheter, men den är inte uttömmande. I den nämns för kommunernas del byggnadstillsynsmyndigheten (miljövård och strål- och kärnsäkerhet) och miljövårdsmyndigheten (miljövård) samt hälsoskyddsmyndigheten (strål- och kärnsäkerhet) och livsmedelstillsynsmyndigheten. (livsmedels- och fodersäkerhet samt djurs hälsa och välbefinnande). Även kommunerna nämns som behöriga myndigheter i fråga om folkhälsan.

Enligt 20 § i lagen ska de behöriga myndigheterna utse en eller flera personer att ansvara för handläggningen av rapporter. Dessa personer ska ha tillräcklig sakkunskap för handläggningen av rapporter. Endast de personer som har utsetts får handlägga rapporter.

Då en behörig myndighet har mottagit en rapport ska den vidta de åtgärder som behövs för att utreda rapportens riktighet och för att vid behov ingripa vid en överträdelse. Myndigheten ska även informera den rapporterande personen om åtgärder som har vidtagits på basis av rapporten inom tre eller, av grundad anledning, högst sex månader efter det att rapporten mottagits. Den behöriga myndigheten ska informera den rapporterande personen om det slutliga resultatet av den utredning som inleddes på basis av rapporten. Dessutom ska den behöriga myndigheten informera justitiekanslersämbetet om att handläggningen av en rapport som överförts av justitiekanslersämbetet har avslutats.

Den behöriga myndigheten får besluta att handläggningen av ett ärende ska avslutas, om rapporten gäller en överträdelse som uppenbart är ringa och som inte kräver någon utredning av sakens riktighet, eller om det är fråga om återkommande rapporter som inte innehåller någon viktig ny information om överträdelser jämfört med en tidigare rapport som redan har blivit handlagd på tillbörligt sätt.

Ett beslut om att handläggningen ska avslutas påverkar inte skyddet för rapporterande personer. Den rapporterande personen har inte besvärsrätt i fråga om beslutet.

På justitiekanslersämbetets webbplats finns anvisningar för de behöriga myndigheterna, bland annat om att de behöriga myndigheterna ska ha en skyddad e-postadress för handläggningen av rapporter, en adress som inte är den allmänna registratorsadressen. Även om kommunen har flera behöriga myndigheter, räcker det att kommunen anmäler en enda e-postadress till justitiekanslersämbetet. Då måste man naturligtvis se till att informationen sprids på ett skyddat sätt inom kommunen. De behöriga myndigheterna är också skyldiga att rapportera till justitiekanslersämbetet.

Förutsättningar för skydd för rapporterande personer

Förutsättningar för skyddet för rapporterande personer är att rapporteringen i första hand sker via organisationens interna rapporteringskanal och att den rapporterande personen vid tidpunkten för rapporteringen har grundad anledning att tro att informationen om överträdelsen är korrekt samt att informationen i fråga omfattas av lagens tillämpningsområde. Tillämpningsområdet definieras i 2 § i lagen. Lagen tillämpas inom elva lagstiftningsområden, bland annat offentlig upphandling och miljöskydd.

I vissa undantagsfall tillämpas bestämmelserna om skyddet på en rapporterande person som har rapporterat via justitiekanslersämbetets centraliserade rapporteringskanal eller till den behöriga myndigheten. Sådana situationer föreligger till exempel när organisationen inte har en intern rapporteringskanal, när den rapporterande personen inte har getts möjlighet att rapportera via en intern rapporteringskanal eller när den rapporterande personen har grundad anledning att tro att han eller hon riskerar att utsättas för repressalier på grund av rapporten.

Lagen tillämpas på gärningar som är straffbara, som kan leda till en administrativ påföljd av straffkaraktär eller som allvarligt kan äventyra uppnåendet av de mål av allmänt intresse som eftersträvas med lagstiftningen. Rapporteringskanalen är alltså inte avsedd som en allmän kanal för ”feedback” utan uttryckligen för rapportering av allvarliga överträdelser.

Skydd för rapporterande personer

Den rapporterande personens arbetsgivare, eller någon annan organisation som personen arbetar för eller är i kontakt med, får inte utsätta den rapporterande personen eller någon annan person som avses i 5 § för repressalier på grund av rapportering om eller offentliggörande av information om överträdelser. Även förfaranden som syftar till att förhindra att information om överträdelser rapporteras eller offentliggörs är förbjudna. Som en repressalie från arbetsgivarens sida betraktas till exempel att anställningsvillkor försämras, anställningsförhållandet avslutas, personen permitteras eller att personen på annat sätt behandlas på ett ofördelaktigt sätt eller utsätts för andra negativa följder.

Bestämmelserna om skydd tillämpas också på vissa andra personer som nämns i 5 § 3 och 4 mom., till exempel på en person som bistår den rapporterande personen i rapporteringsförfarandet och som med anledning av sitt arbete har en sådan position att han eller hon på grund av rapporten kan bli utsatt för repressalier.

Påföljder

Den som bryter mot förbudet mot repressalier och förhindrande av rapportering ska ersätta den rapporterande personen eller någon annan person som avses i 5 § för den ekonomiska förlust som den förorsakat. En rapporterande person som uppsåtligen har rapporterat eller offentliggjort falsk information ska ersätta den ekonomiska förlust som den rapporterande förorsakat den som varit föremål för rapporten.

En rapporterande person eller någon annan fysisk person enligt 5 § som har utsatts för repressalier har rätt att få gottgörelse för den kränkning som repressalierna har förorsakat. Gottgörelsen motsvarar gottgörelsen enligt till exempel jämställdhetslagen och diskrimineringslagen. Gottgörelse ska krävas inom tre år efter det att rapportering har förhindrats eller ett förfarande som strider mot förbudet mot repressalier har ägt rum.

En rapporterande person som uppsåtligen rapporterar eller offentliggör falsk information kan dömas till böter för brott mot lagen om skydd för rapporterande personer. En förutsättning är att gärningen inte är ringa eller att det inte någon annanstans i lag föreskrivs ett strängare straff för gärningen. En rapporterande person som uppsåtligen har rapporterat eller offentliggjort falsk information ska ersätta den ekonomiska förlust som den rapporterande förorsakat den som varit föremål för rapporten.

Hur en intern rapporteringskanal kan organiseras enligt visselblåsardirektivet

Varje organisation kan själv bestämma hurdana rapporteringskanaler den inrättar. Det ska vara möjligt att rapportera skriftligt eller muntligt. Rapporter kan tas emot till exempel per post, via en webbplats eller per telefon. I det enklaste fallet kan rapporteringen ske till exempel genom att rapporterna skickas skriftligt till en traditionell responslåda.

Om det är möjligt att rapportera muntligt ska det kunna ske per telefon eller via andra system för röstmeddelanden och, på begäran av den rapporterande personen, vid ett fysiskt möte inom skälig tid.

Krav på kanaler och handläggning av rapporter

I lagen finns bestämmelser om handläggningen av rapporter:

• Organisationen ska informera om rapportering till den interna rapporteringskanalen och till justitiekanslersämbetets centraliserade rapporteringskanal, förfarandena för rapportering och förutsättningarna för skydd av den rapporterande personen. Informationen ska framställas på ett tydligt sätt och så att den är lättillgänglig för de rapporterande personerna.
• Organisationen ska utse en eller flera personer som ansvarar för handläggningen av rapporterna och som ska sköta uppdraget opartiskt och oberoende. Dessutom kan organisationen eller tjänsteproducenten utse sådana sakkunniga som behövs för att utreda en rapports riktighet. Varje kommun avgör vilken eller vilka personer som utses. De personer som ansvarar för handläggningen av rapporter kan vara organisationens egna anställda till exempel vid en viss enhet. En sådan enhet kan till exempel vara den enhet som ansvarar för internrevisionen.
• Kanalen ska vara trygg. En konfidentiell behandling av identiteten hos den rapporterande personen och de tredje parter som nämns i rapporten ska skyddas, och obehörig personal får inte ha åtkomst till informationen.
• En bekräftelse av mottagandet av rapporten ska sändas till den rapporterande personen inom sju dagar från mottagandet.
• Alla rapporter om överträdelser ska dokumenteras.
• Den som ansvarar för handläggningen av en rapport ska vidta behövliga åtgärder för att utreda rapportens riktighet och för att vid behov ingripa vid en överträdelse.
• Den rapporterande personen ska ges information om de åtgärder som vidtas på basis av rapporten. Informationen ska ges senast tre månader efter det att bekräftelsen av mottagandet av rapporten har sänts.
• Organisationen ska radera den information som kommit in via en rapporteringskanal fem år efter att rapporten kom in, om det inte är nödvändigt att bevara informationen för att rättigheter eller skyldigheter enligt visselblåsarlagen eller någon annan lag ska tillgodoses eller fullgöras eller för att uppgöra, framställa eller försvara rättsliga anspråk.
• Personuppgifter som tydligt inte har någon betydelse för handläggningen av en rapport ska raderas utan obefogat dröjsmål.
• Information om den rapporterande personen och föremålet för rapporten är sekretessbelagd.
• Information får under vissa förutsättningar lämnas till en person som utsetts att utreda rapportens riktighet.

Alternativa sätt att organisera rapporteringskanaler

Rapporteringskanalerna kan ordnas helt internt inom organisationen eller helt eller delvis läggas ut. Varje kanal ska ha följande funktioner:

• ett kommunikationssystem för att ta emot rapporter
• mottagning/kvittning och sortering av rapporter
• undersökning av rapporter
• information till den rapporterande personen
• arkivering och förvaring.

Dataskyddsfrågor

När rapporter handläggs i enlighet med visselblåsarlagen är den rättsliga grunden för behandlingen av personuppgifter att myndigheten fullgör en rättslig förpliktelse (artikel 6.1 c i dataskyddsförordningen). Om myndigheten utvidgar den kanal som inrättats till att även omfatta förpliktelser som inte följer av visselblåsarlagen, kan en myndighetsuppgift av allmänt intresse (artikel 6.1 e i dataskyddsförordningen) under vissa förutsättningar utgöra en grund för sådan ytterlig behandling.

Vid behandlingen av personuppgifter som ingår i rapporterna ska bestämmelserna i den allmänna dataskyddsförordningen och dataskyddslagen iakttas till alla delar. Särskild uppmärksamhet ska ägnas åt principerna för behandling av personuppgifter (artikel 5) och principen om inbyggt dataskydd och dataskydd som standard (artikel 25).

Utläggning av en rapporteringskanal

När kommunen skaffar ett kommunikationssystem och/eller tjänster/funktioner i anslutning till det på marknaden, ska kommunen i regel konkurrensutsätta upphandlingen. Om upphandlingens uppskattade totalvärde överstiger det nationella tröskelvärdet enligt upphandlingslagen ska konkurrensutsättningen ske enligt upphandlingslagen. Om upphandlingens värde understiger det nationella tröskelvärdet, iakttas kommunens egna anvisningar om små upphandlingar i upphandlingsprocessen.

I vilket fall som helst lönar det sig att vid upphandlingen ägna uppmärksamhet åt

•               att marknadsundersökningen är tillräckligt omfattande
•               behandlingen av personuppgifter
•               dataskyddet
•               tjänsteproducentens tystnadsplikt.

Dessa frågor behandlas närmare nedan. Du hittar också råd om upphandlingsprocessen i rådgivningsenhetens (JHNY) webbtjänst upphandling.fi.

Marknadsundersökning

För att fastställa upphandlingens uppskattade värde behövs en noggrann marknads- och priskartläggning. Om kommunen skaffar rättigheterna att använda en kanal utan tjänster, kan upphandlingens värde mycket väl understiga det nationella tröskelvärdet på 60 000 euro för varor och tjänster. Tjänsteproducenterna har olika prissättningsmodeller, vilket innebär att priserna varierar bland annat beroende på avtalsperiodens längd, kommunorganisationens storlek och antalet personer som behandlar rapporter.

Utläggning av behandlingen av personuppgifter

Om en organisation lägger ut behandlingen av personuppgifter i en rapporteringskanal, ska det avtalas skriftligt om saken i enlighet med artikel 28 i dataskyddsförordningen. I avtalet fastställs bland annat föremålet för behandlingen, behandlingens varaktighet, art och ändamål, typen av personuppgifter och kategorier av registrerade samt den personuppgiftsansvariges skyldigheter och rättigheter.

Personuppgifter får överföras till länder utanför EES-området endast om den personuppgiftsansvarige och personuppgiftsbiträdet uppfyller villkoren i dataskyddsförordningen. Överföringen till tredjeländer kan bli aktuell till exempel i samband med molntjänster.

Finlands Kommunförbund rf

Kai Ketelimäki                                       Juha Myllymäki
Jurist                                             Juridisk direktör