1. Indledning og formål
Med denne whistleblowerordning ønsker Nordvestsjællands Erhvervs- og Gymnasieuddannelser at stille en særlig, uafhængig og selvstændig kanal til rådighed, hvor nuværende elever på Nordvestsjællands Erhvervs- og Gymnasieuddannelser (”de omfattede personer”) har mulighed for at henvende sig og indberette sager vedrørende
1) Overtrædelse af EU-retsakter i henhold til det bagvedliggende Whistleblowerdirektiv (vedrørende eksempelvis beskyttelse af privatlivets fred og personoplysninger og netværks- og informationssystemers sikkerhed, offentligt udbud, finansielle tjenesteydelser og hvidvask),
2) Andre alvorlige lovovertrædelser, herunder eksempelvis gentagne overtrædelser af gældende lovgivning, eller
3) Andre alvorlige forhold, herunder eksempelvis overtrædelse af politikker og retningslinjer eller oplysninger om enhver form for seksuel chikane eller grov chikane/mobning.
På grund af databeskyttelsesreglerne må indberetningerne ikke indeholde personfølsomme oplysninger om andre end whistlebloweren selv og den person, som whistlebloweren mener groft har forbrudt sig imod regler, love eller væsentlige retningslinjer, jf. nærmere nedenfor i punkt 2 (samlet kaldet ”anvendelsesområdet” eller ”Whistleblowerordningens anvendelsesområde”).
Whistleblowerordningen skal hverken erstatte eller træde i stedet for de eksisterende kommunikationsveje internt, og det anbefales, at de eksisterende kommunikationsveje så vidt muligt anvendes – medmindre du, som medarbejder, vurderer, at indberetning under Whistleblowerordningen er den rette kommunikationsform. Whistleblowerordningen skaber et yderligere forum, hvor der kan ske indberetning af grovere hændelser, som enten ikke egner sig til at blive behandlet via de eksisterende kommunikationsveje, eller hvor indberetteren af andre grunde finder, at indberetning via Whistleblowerordningen er nødvendig.
Vær opmærksom på, at det ikke er muligt at foretage indberetninger anonymt.
I det følgende vil der blive redegjort for, hvordan Whistleblowerordningen fungerer i praksis, herunder hvilke forhold der kan indberettes (anvendelsesområdet), og hvordan indberetninger til Whistleblowerordningen vil blive håndteret.
2. Anvendelsesområdet – hvilke forhold kan indberettes?
Whistleblowerordningen kan benyttes til at foretage fortrolige indberetninger om følgende:
1) Overtrædelser af EU-retten om offentligt udbud, finansielle tjenesteydelser, hvidvask og GDPR, jf. anvendelsesområdet for Europa-Parlamentets og Rådets direktiv om beskyttelse af personer, der indberetter overtrædelser af EU-retten,
2) Alvorlige lovovertrædelser i øvrigt, hvilket som udgangspunkt omfatter
a. Lovovertrædelser, vedrørende strafbare forhold, herunder overtrædelse af tavshedspligt, misbrug af økonomiske midler, tyveri, svig, underslæb, bedrageri og bestikkelse,
b. Grove eller gentagne overtrædelser af lovgivning, herunder f.eks. lovgivning om magtanvendelse, forvaltningsloven, offentlighedsloven, og efter omstændighederne
c. Overtrædelser af lovgivning, der har til formål at sikre folkesundheden, og endelig
d. Grove eller gentagne overtrædelser af forvaltningsretlige principper, herunder undersøgelsesprincippet, krav om saglighed, magtfordrejningsgrundsætningen og proportionalitet samt bevidst vildledning af borgere og samarbejdspartnere.
3) Øvrige alvorlige forhold, herunder
a. Seksuel chikane (enhver form for uønsket verbal, ikkeverbal eller fysisk adfærd med seksuelle undertoner) eller grov chikane/mobning med det formål eller den virkning at krænke en persons værdighed, navnlig ved at skabe et truende, fjendtligt, nedværdigende, ydmygende eller ubehageligt klima, og
b. Anden form for chikane, eksempelvis chikane, eksempelvis chikane på grund af race, politisk eller religiøst tilhørsforhold mv., jf. dog nedenfor om personfølsomme oplysninger.
Følgende forhold er som udgangspunkt ikke omfattet af ordningen:
- Klager over samarbejdsvanskeligheder, inkompetence, lønforhold og andre hverdags- eller rutinemæssige forhold.
- Indberetninger om arbejdsmiljø, beslutningsprocesser eller generelle ledelsesbeslutninger.
- Overtrædelser af bagatelagtig karakter.
- Overtrædelser af accessoriske bestemmelser, herunder dokumentationspligt eller underretningspligt.
De ovenfornævnte forhold, der som udgangspunkt ikke er omfattet af Whistleblowerordningen, kan dog i særlige tilfælde indebære sådanne risici for menneskers liv eller helbred eller for væsentlige skadevirkninger, at de alligevel er omfattet af Whistleblowerordningen og kan behandles i denne.
Forhold, der ikke er omfattet af Whistleblowerordningen, kan drøftes med nærmeste leder, arbejdsmiljørepræsentanten eller lignende.
Begrænsning vedrørende personfølsomme oplysninger
Som følge af gældende databeskyttelsesregler kan og vil følgende følsomme personoplysninger som udgangspunkt ikke være omfattet af whistleblowerordningen og må ikke indberettes:
- Indberetninger, der indeholder personfølsomme oplysninger, dvs. personoplysninger om race eller etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning eller fagforeningsmæssigt tilhørsforhold, genetiske data, biometriske data med det formål entydigt at identificere en fysisk person, helbredsoplysninger eller oplysninger om en fysisk persons seksuelle forhold eller seksuelle orientering.
- Indberetninger om seksuelle krænkelser eller chikane på grund af race, politisk eller religiøst tilhørsforhold mv. indgivet af andre end den krænkede selv, og hvor den krænkede person angives ved navn eller på anden identificerbar måde.
Sådanne oplysninger kan dog i undtagelsestilfælde behandles, hvis det vurderes nødvendigt med henblik på at overholde arbejds-, sundheds- og socialretlige forpligtelser eller med henblik på at forfølge væsentlige samfundsmæssige interesser, jf. databeskyttelsesforordningens artikel 6 og artikel 9.
Hvis SIRIUS advokater modtager indberetninger, der indeholder følsomme personoplysninger som angivet ovenfor, eller modtager indberetninger fra andre end den krænkede/chikanerede selv, og hvor indberetningen indeholder oplysninger om, hvem der er blevet krænket/chikaneret, vil SIRIUS advokater derfor være forpligtet til straks at anonymisere eller slette sådanne oplysninger, medmindre der helt konkret vurderes at være lovhjemmel til behandlingen.
En oplysning om, at en (eventuelt navngiven) person har krænket/chikaneret en anden ikke navngiven person eller indberetteren selv, er omfattet af Whistleblowerordningen og kan indberettes.
Forhold, der som udgangspunkt ikke er omfattet af Whistleblowerordningen, kan altid drøftes med nærmeste leder, arbejdsmiljørepræsentanten eller lignende.
3. Hvem kan indberette?
Elever på Nordvestsjællands Erhvervs- og Gymnasieuddannelser (”de omfattede personer”) har mulighed for at foretage indberetning.
4. Hvordan indberettes der og til hvem?
Indberetninger til Whistleblowerordningen foretages elektronisk via onlineportalen https://whistleblower.legalsys.dk/nordvestsj-aelig-llands-erhvervs-og-gymnasieuddannelser/wb/f.html, idet der er købt licens til Legalsys Whistleblowersystem hos Legalsys ApS. Whistleblowerordningen håndteres og administreres af SIRIUS advokater, som foretager en vurdering af, om en indberetning er inden- eller udenfor whistleblowerordningens anvendelsesområde. SIRIUS advokater sender modtagne indberetninger eller ekstrakter af indberetninger til Nordvestsjællands Erhvervs- og Gymnasieuddannelsers whistlebloweransvarlige, lønmedarbejder Laila Jakobsen, som varetager den interne administration og håndtering af Whistleblowerordningen på Nordvestsjællands Erhvervs- og Gymnasieuddannelsers vegne, inklusive eventuel undersøgelse af indberetninger mv., jf. nedenfor.
Hvis der sker indberetning om Laila Jakobsen, skal indberetning ske til formand for Whistleblowerenheden Lars Halberg.
Både Laila Jakobsen og Lars Halberg, som medvirker til administration og håndtering af forhold i forbindelse med Whistleblowerordningen, er omfattet af reglerne om tavshedspligt, fortrolighed mv. i såvel gældende Whistleblowerlovgivning som GDPR-lovgivning.
Indberetninger kan indleveres på dansk eller engelsk, og de følgende oplysninger vil være nyttige for den whistlebloweransvarlige at have i forbindelse med vurderingen af en indberetning:
- Navn, afdeling og kontaktoplysninger på den person, der indberettes om,
- Én beskrivelse af de faktiske omstændigheder, der giver anledning til indberetningen, og
- Eventuel dokumentation eller beviser, der underbygger indberetningen.
Vær opmærksom på, at det ikke er muligt at foretage indberetninger anonymt. Både Nordvestsjællands Erhvervs- og Gymnasieuddannelsers whistlebloweransvarlige og SIRIUS advokater vil derfor blive bekendt med indberetterens identitet.
Hvis der bliver indberettet om et forhold, der ikke er omfattet af Whistleblowerordningen, vil indberetteren blive underrettet om dette af SIRIUS advokater, og blive henvist til en anden kommunikationskanal.
5. Processen efter indberetning
Når SIRIUS advokater har modtaget en indberetning, foretager SIRIUS advokater en screening af indberetningen for at vurdere, om indholdet er omfattet af Whistleblowerordningens anvendelsesområde.
Hvis indberetningen (eller en del af indberetningen) falder udenfor Whistleblowerordningens anvendelsesområde, vil indberetteren få besked herom. SIRIUS advokater vil endvidere være forpligtet til straks at slette (denne del af) indberetningen.
Hvis indberetningen er omfattet af Whistleblowerordningens anvendelsesområde, vil SIRIUS advokater videreformidle indholdet til den whistlebloweransvarlige, der er ansat i Nordvestsjællands Erhvervs- og Gymnasieuddannelser sammen med en foreløbig vurdering af indberetningens indhold. Omhandler indberetningen Nordvestsjællands Erhvervs- og Gymnasieuddannelsers lønmedarbejder Laila Jakobsen, vil videreformidling ske til formand for Whistleblowerenheden Lars Halberg.
Den whistlebloweransvarlige kan herfra vælge at behandle indberetningen internt eller benytte ekstern bistand fra SIRIUS advokater i forbindelse med den videre undersøgelse, som indberetningen giver anledning til.
6. Beskyttelse de personer, som foretager indberetning
Personer, der indgiver indberetninger til Whistleblowerordningen, er beskyttede mod negative konsekvenser, forbundet med selve indberetningen, herunder afskedigelse og/eller ufordelagtig behandling, under forudsætning af, at indberetningerne indgives i god tro. Whistleblowere er omfattet af samme beskyttelse, der følger af lov om beskyttelse af whistleblowere.
Hvis indberetningen vedrører kritisable forhold vedrørende indberetteren selv, eller hvis den whistlebloweransvarlige i forbindelse med indberetningen bliver bekendt med sådanne kritisable forhold vedrørende indberetteren selv, vil indberetteren ikke være fritaget for eventuelle negative konsekvenser vedrørende disse forhold.
Hvis der bevidst eller i ond tro indberettes en falsk anklage mod en person, er indberetteren ikke beskyttet af whistleblowerpolitikken, herunder beskyttelsen i henhold til lov om beskyttelse af whistleblowere.
7. Fortrolighed
Alle indberetninger til Whistleblowerordningen behandles strengt fortroligt af den whistlebloweransvarlige og af SIRIUS advokater, der som uvildig tredjepart administrerer ordningen.
Vær opmærksom på, at det ikke er muligt at foretage indberetninger anonymt. Både Nordvestsjællands Erhvervs- og Gymnasieuddannelsers whistlebloweransvarlige og SIRIUS advokater vil derfor blive bekendt med indberetterens identitet.
8. Databeskyttelse
8.1 Dataansvarlige og databehandler i ordningen
Behandling af personoplysninger afgivet i forbindelse med Whistleblowerordningen er underlagt gældende regler om databeskyttelse.
SIRIUS er ansvarlig for at sikre tilstrækkelig sikkerhed vedrørende de personoplysninger og de indberetninger, som SIRIUS modtager som led i Whistleblowerordningen. SIRIUS garanterer i øvrigt for, at SIRIUS vil leve op til krav om uafhængighed, fortrolighed, databehandling og tavshedspligt m.v., som fremgår af bemærkningerne til lov om beskyttelse af whistleblowere, § 11, stk. 2.
SIRIUS overholder den til enhver tid gældende databeskyttelseslovgivning i forbindelse med administrationen af og rådgivning i forbindelse med Whistleblowerordningen.
SIRIUS advokater er som ekstern juridisk rådgiver dataansvarlig efter databeskyttelsesforordningen. SIRIUS advokaters behandling af personoplysninger har alene til formål at tage juridisk stilling til og yde rådgivningsbistand i forbindelse med indberetninger, der modtages via Whistleblowerordningen. SIRIUS advokater træffer også selv beslutning om, hvilke personoplysninger der skal slettes, videregives mv. Behandlingen af oplysninger i forbindelse med rådgivningen sker ikke efter instruks fra eller godkendelse af Nordvestsjællands Erhvervs- og Gymnasieuddannelser.
Den systemmæssige behandling af personoplysninger foretages af systemleverandøren Legalsys ApS på vegne af Nordvestsjællands Erhvervs- og Gymnasieuddannelser, og der er i overensstemmelse med databeskyttelsesreglerne indgået en databehandleraftale mellem Nordvestsjællands Erhvervs- og Gymnasieuddannelser og Legalsys ApS.
SIRIUS advokater har som dataansvarlig pligt til at sikre, at SIRIUS advokaters behandling af personoplysninger lever op til databeskyttelseslovgivningen, herunder:
- at sikre lovligt behandlingsgrundlag
- at sikre passende tekniske og organisatoriske foranstaltninger for at sikre et beskyttelsesniveau, der passer til de aktuelle risici af varierende sandsynlighed og alvor for de registreredes rettigheder og frihedsrettigheder
- at oplyse registrerede om, at der behandles personoplysninger, medmindre dette efter de gældende regler (eksempelvis på grund af en verserende undersøgelse) kan undlades,
- at give registrerede ret til indsigt i behandling af personoplysninger om de pågældende, medmindre dette efter de gældende regler kan undlades (jf. ovenfor om verserende undersøgelse), og
- at indberette databrud og om nødvendigt orientere de registrerede herom
Der henvises i øvrigt til SIRIUS advokaters almindelige forretningsbetingelser og privatlivspolitik på SIRIUS advokaters hjemmeside: www.siriusadvokater.com. Derudover henvises der til Advokatsamfundets vejledning af april 2018 om advokatens behandling af personoplysninger.
8.2 Det lovlige grundlag for behandling af personoplysninger
Sirius advokater vil i forbindelse med behandlingen af indberetninger behandle personoplysninger om indberetteren og eventuelle andre personer omtalt i indberetningen. Behandlingen vil som oftest omfatte navn og kontaktdetaljer samt beskrivelse af det indberettede forhold, hvilket kan omfatte et eller flere potentielt strafbare forhold og/eller ansættelsesretlige belastende forhold.
Almindelige personoplysninger
Almindelige personoplysninger behandles med hjemmel i lov om beskyttelse af whistleblowere og persondataforordningens artikel 6, litra f, hvorefter der må foretages behandling af personoplysninger, når det sker i henhold til virksomhedens legitime interesser i at behandle de oplysninger, der er anført i en indberetning, og disse interesser anses at overstige de registreredes interesse i ikke at være genstand for behandling eller dennes grundlæggende rettigheder og frihedsrettigheder.
Følsomme personoplysninger
Whistleblowerordningen omfatter som udgangspunkt ikke følsomme personoplysninger når der er tale om indberetninger fra eller om elever, jf. databeskyttelsesforordningens artikel 9, stk. 1, medmindre indberetteren og personer omhandlet i indberetningen udtrykkeligt har samtykket til behandlingen af følsomme personoplysninger, jf. artikel 9, stk. 2, litra a. Hvis SIRIUS advokater modtager indberetninger, der indeholder følsomme personoplysninger, jf. artikel 9, stk. 1, eller modtager indberetninger fra andre end den krænkede/chikanerede selv, og hvor indberetningen eksempelvis indeholder personfølsomme oplysninger om en anden person, der er blevet krænket/chikaneret, vil SIRIUS advokater være forpligtet til straks at slette eller anonymisere sådanne oplysninger, jf. også pkt. 2 om personfølsomme oplysninger.
De ovenfornævnte følsomme personoplysninger vedrørende elever, der som udgangspunkt ikke er omfattet af Whistleblowerordningen, kan dog i særlige tilfælde indebære sådanne risici for menneskers liv eller helbred eller for væsentlige skadevirkninger, at de alligevel er omfattet af Whistleblowerordningen og kan behandles i denne.
Oplysninger om strafbare forhold
Indberetninger, der indeholder oplysninger om strafbare forhold, behandles med hjemmel i databeskyttelseslovens § 8, stk. 3, 2. pkt., hvorefter private må behandle oplysninger om strafbare forhold, hvis det er nødvendigt til varetagelse af en berettiget interesse og denne interesse klart overstiger hensynet til den registrerede. Hvis en indberetning indeholder oplysninger om et strafbart forhold, men behandlingen af sådanne oplysninger i den konkrete situation vurderes ikke at være nødvendig til varetagelse af en berettiget interesse, eller denne interesse ikke overstiger hensynet til den registrerede, vil SIRIUS advokater være forpligtet til straks at slette eller anonymisere indberetningen eller den relevante del af indberetningen.
**
Nordvestsjællands Erhvervs- og Gymnasieuddannelsers undersøgelse af en indberetning kan betyde, at Nordvestsjællands Erhvervs- og Gymnasieuddannelser indsamler og gennemgår yderligere oplysninger, foretager undersøgelser vedrørende indberetningerne, iværksætter sanktioner, herunder ansættelsesretlige sanktioner samt underretning af relevante myndigheder og indgiver politianmeldelse m.v. Disse oplysninger behandles også i henhold til virksomhedens legitime og saglige interesser, jf. ovenfor.
8.3 Sikkerhed og opbevaring af data
SIRIUS advokater opbevarer personoplysninger, der modtages som led i Whistleblowerordningen, sikkert og fortroligt, og har implementeret tekniske og organisatoriske sikkerhedsforanstaltninger til sikring heraf. Derudover anvender SIRIUS advokater alene databehandlere, som har minimum samme sikkerhedsniveau ved behandling af personoplysninger, som SIRIUS advokater selv har.
Personoplysninger i og forbundet med en indberetning opbevares, så længe det er nødvendigt af hensyn til de formål, som oplysningerne er indsamlet til, og den specifikke periode for opbevaring vil afhænge af indberetningens indhold.
Viser en indberetning sig at være grundløs, vil alle oplysninger knyttet hertil dog blive slettet straks efter konstateringen heraf.
Tilsvarende vil oplysningerne knyttet til en indberetning, der falder udenfor Whistleblowerordningens anvendelsesområde, blive slettet, umiddelbart efter at indberetteren er blevet underrettet om, at indberetningen ikke er omfattet af ordningen.
Hvis indberetningen falder indenfor Whistleblowerordningens anvendelsesområde, vil indberetningen og personoplysningerne i indberetningen blive opbevaret hos SIRIUS advokater, indtil der er sket videreformidling af indberetningen til Nordvestsjællands Erhvervs- og Gymnasieuddannelser, hvorefter oplysningerne vil blive slettet, senest indenfor 6 måneder. Skal SIRIUS advokater forestå videre undersøgelse mv. vedrørende indberetningen, vil der blive oprettet en sag, der herefter vil blive opbevaret i overensstemmelse med SIRIUS advokaters databeskyttelsespolitik.
Fører en indberetning til politianmeldelse eller anmeldelse til en anden myndighed, vil oplysningerne blive slettet straks efter politiets eller den anden myndigheds afslutning af sagen.
Perioden for Nordvestsjællands Erhvervs- og Gymnasieuddannelsers opbevaring af personoplysninger, indeholdt i en indberetning vil afhænge af indberetningens karakter og dermed bero på en konkret vurdering. Nordvestsjællands Erhvervs- og Gymnasieuddannelser vil slette oplysninger, der bevisligt viser sig at være urigtige i forbindelse med undersøgelsen af indberetningen.
8.4 Orientering til den indberettede
Den person, der foretages indberetning om til Whistleblowerordningen, vil som udgangspunkt modtage besked om, at der er indberettet oplysninger om vedkommende, hvem der får adgang til oplysningerne, formålet med behandlingen af oplysningerne samt grundlaget for behandlingen, herunder de legitime interesser, som begrunder behandlingen, den periode, hvor personoplysningerne vil blive opbevaret (eller hvis dette ikke er muligt at oplyse), de kriterier, der anvendes til at fastlægge dette tidsrum, personens ret til at anmode om indsigt i og berigtigelse eller sletning af personoplysninger eller begrænsning af behandlingen af personoplysninger samt ret til at gøre indsigelse mod behandlingen og retten til at indgive klage til Datatilsynet. Derudover vil vedkommende blive orienteret om eventuelle modtagere eller kategorier af modtagere af personoplysningerne, hvilket eksempelvis vil være tilfældet, hvis indberetningen giver anledning til en politianmeldelse.
Den person der foretages indberetning om til Whistleblowerordningen, vil få meddelelse om behandlingen af oplysninger om den pågældende, på tidspunktet for modtagelsen af indberetningen. Dette gælder dog ikke, hvis meddelelse til den indberettede efter omstændighederne må udskydes af hensyn til undersøgelsen/efterforskningen eller til en væsentlig og berettiget interesse hos Nordvestsjællands Erhvervs- og Gymnasieuddannelser eller hos indberetteren, som i den konkrete situation vurderes at overstige hensynet til den pågældende. Der henvises til de til enhver tid gældende regler om undtagelser til oplysningspligten i databeskyttelsesforordningen og databeskyttelsesloven. I et sådant tilfælde kan indsigtsretten og retten til meddelelse om eventuelle sikkerhedsbrud tilsvarende begrænses for den, der indberettes om.
8.5 De registreredes rettigheder
De registrerede i whistleblowerordningen (de der indberetter, de indberettede og eventuelle tredjemænd, der bliver oplyst om i forbindelse med indberetningen) kan tage kontakt til den whistlebloweransvarlige vedrørende indsigt, berigtigelse, blokering, ændringer eller sletning af oplysninger, der vedrører dem selv.
Den whistlebloweransvarlige vil tage stilling til om i givet fald i hvilket omfang eventuelle anmodninger om indsigt, berigtigelse, blokering eller sletning kan og skal imødekomme efter gældende regler.
De registrerede har endvidere ret til at klage over behandling af deres personoplysninger i forbindelse med Whistleblowerordningen. En sådan klage kan indgives til Datatilsynet, Carl Jacobsens Vej 35, 2500 Valby, tlf.: +45 33 19 32 00, eller via e-mail: dt@datatilsynet.dk.
9. Spørgsmål
Spørgsmål til denne whistleblowerordning kan rettes til SIRIUS advokaters whistleblowerrådgivning, pt. blandt andre advokaterne Helle Nøhr Larsen og Laura Riggelsen, som kan kontaktes på telefon +45 88 88 85 85 eller pr. e-mail: hnl@siriusadvokater.dk eller lfc@siriusadvokater.dk.
*