Whistleblower systemer - retningslinjer fra Datatilsynet

Whistleblower systemer er blevet almindelige i interna­tionale koncerner, bl.a. også hos de danske datterselska­ber, ligesom de også er indført hos enkelte danske kon­cerner.

Datatilsynet har offentliggjort et sæt retningslinjer om indretningen og anvendelsen af disse systemer, se nær­mere på Datatilsynets hjemmeside www.datatilsynet.dk.

Når en medarbejder vælger at "blæse i fløjten" via en hotline og f.eks. gør opmærksom på en mistanke om en lovovertrædelse foretaget af en kollega, vil dette inde­bære en indsamling og behandling af personoplysninger, som er reguleret af persondataloven.

Etableringen af et whistleblower system skal anmeldes på en særlig anmeldelsesblanket og godkendes af Data­tilsynet, før systemet må tages i brug.

I retningslinjerne er det fastsat, hvem der i forskellige selskabskonstruktioner vil blive anset for dataansvarlig og databehandler, ligesom en lang række specifikke krav til indretning af systemet er beskrevet.

Datatilsynet har for nylig opdateret retningslinjerne i relation til, hvilke personer der kan foretage indberet­ning via et whistleblower system. Mens udgangspunktet er, at det alene er medarbejdere og bestyrelsesmed­lemmer, der kan have adgang hertil, har man erkendt, at der kan være virksomheder, hvor det er nødvendigt, at også andre med tilknytning til virksomheden skal kunne foretage indberetning. Dette kan f.eks. være virksomhe­dens kunder og leverandører. Hvis whistleblower syste­met er placeret på en virksomheds hjemmeside, skal det fremgå, hvilke personer der har adgang til at foretage en indberetning. 

I koncernforhold et det typisk moderselskabet, der kon­trollerer whistleblower systemet og dermed vil blive anset som dataansvarlig. Dele af databehandlingen i et sådant system kan også finde sted i et dansk dattersel­skab, da datterselskabet som regel vil være involveret i behandlingen, når en rapport involverer en dansk ansat, f.eks. i forbindelse med fremskaffelse af oplysninger til undersøgelse af rapporten og i forbindelse med, at der tages disciplinære skridt overfor medarbejderen.  

Datterselskabet vil alene skulle indgive en anmeldelse til Datatilsynet vedrørende personale-administrationssy­stemet, hvori man oplyser om whistleblower systemet - en såkaldt HR-anmeldelse.

Hvis moderselskabet er etableret i et andet EU-land, vil det være dette lands regler, der gælder for dette selskab som dataansvarlig og dermed for selve whistleblower systemet.

Er moderselskabet etableret udenfor EU, vil selskabet skulle indgive en anmeldelse til Datatilsynet, hvor mo­derselskabet er anført som dataansvarlig.