Formål med behandling af personoplysninger i whistleblowerordningen

Denne persondatapolitik har til formål at opstille rammerne for behandlingen af personoplysninger. Formålet med behandlingen af personoplysninger i whistleblowerordning er at afdække viden om alvorlige forhold, herunder mistanke eller viden om ulovlig, uetisk eller ureglementeret adfærd, med henblik på at forebygge, inddæmme og følge op på sådanne forhold i hele organisationen. 

De repræsenterede er dataansvarlig for de personoplysninger, der behandles i whistleblowerordningen. Oplysningerne kommer fra den kreds, der kan foretage indberetning til ordningen, dvs. 

• - De repræsenterede virksomheders arbejdstagere 

• - Selvstændigt erhvervsdrivende (som de repræsenterede virksomheder samarbejder med)

• - Medlemmer af direktionen

• - Hovedbestyrelsen

• - Frivillige i hos de repræsenterede virksomheder.

• - Lønnede eller ulønnede praktikanter hos de repræsenterede virksomheder.

• - Personer, som arbejder under tilsyn og ledelse af de repræsenterede kontrahenter, underleverandører og leverandører

• - Personer, der foretager indberetning eller offentliggørelse af oplysninger, som vedkommende har skaffet sig adgang til i et arbejdsmæssigt forhold hos de repræsenterede virksomheder, som siden er ophørt.

• - Personer, hvis arbejdsmæssige forhold hos de repræsenterede endnu ikke er påbegyndt, der indberetter oplysninger om overtrædelser, som vedkommende har skaffet sig adgang til i løbet af ansættelsesprocessen eller andre førkontraktuelle forhandlinger.

Kategorier af personoplysninger, der behandles

En indberetning kan indeholde personoplysninger, herunder både ikke-følsomme og følsomme oplysninger om indberetteren selv (whistlebloweren). Indberetninger kan endvidere indeholde ikke-følsomme og følsomme personoplysninger vedrørende den eller de eventuelle personer, der indberettes om (de berørte), ligesom den kan indeholde oplysninger om andre personer. 

Om indberetteren vil der blive behandlet oplysninger om navn og kontaktoplysninger, hvis disse er oplyst i forbindelse med indberetningen. Derudover vil der blive behandlet evt. andre personoplysninger, som indberetteren har angivet om sig selv i indberetningen. 

Om de berørte og andre personer, der evt. indgår i indberetningen, vil der blive behandlet de oplysninger, der fremgår af indberetningen. De indsamlede oplysninger kan fx vedrøre navn, stilling, samt eventuelle andre oplysninger om den eller de berørte og andre personer. En indberetning vil typisk indeholde oplysninger om det konkrete alvorlige forhold, der indberettes om, og om, hvorledes den eventuelt berørte person angives at have del heri.

En indberetning kan omfatte dokumenter i bred forstand, herunder tekst-, billed- og videomateriale. 

Alle personoplysninger, der indsamles gennem ordningen, vil blive behandlet fortroligt i videst muligt omfang.

Særligt til indberetteren selv: samtykke til behandling af følsomme personoplysninger

Hvis du som indberetter angiver følsomme personoplysninger om dig selv, er det nødvendigt, at du samtykker til, at de repræsenterede virksomheder kan behandle disse personoplysninger. Du samtykker ved at besvare spørgsmålet ”Må vi behandle de følsomme personoplysninger, du har angivet om dig selv i indberetningen?” med et ”Ja”.  Du vil blive stillet spørgsmålet i forbindelse med, at du foretager en indberetning. 

Følsomme personoplysninger er f.eks. oplysninger om dit helbred, race eller etniske oprindelse, om dit fagforeningsmæssige eller religiøse tilhørsforhold eller oplysninger om seksuelle forhold og orientering.

Du må ikke angive følsomme personoplysninger om andre end dig selv. 

Hvis du har gemt den kode, du har modtaget i forbindelse med indberetningen, vil du kunne trække dit samtykke tilbage ved at logge ind på whistleblowerportalen og sende en besked, hvori du angiver, at du trækker dit samtykke til behandling af følsomme personoplysninger tilbage. 

Hvis du vælger at trække dit samtykke tilbage, påvirker det ikke lovligheden af hidtidig behandling af dine personoplysninger på baggrund af dit tidligere meddelte samtykke og op til tidspunktet for tilbagetrækningen. Hvis du tilbagetrækker dit samtykke, har det derfor først virkning fra tilbagetræknings tidspunktet.

Behandlingsgrundlag

Behandling af personoplysninger i whistleblowerordningen er nødvendig for at kunne undersøge og forebygge alvorlige forhold hos de repræsenterede virksomheder. Behandling af oplysninger i whistleblowerordningen er således nødvendig for, at de repræsenterede virksomheder kan forfølge en legitim interesse, der vurderes som udgangspunkt at ville gå forud for den registreredes interesse i beskyttelse af de pågældende personoplysninger, jf. databeskyttelsesforordningens artikel 6, stk. 1, litra f. 

Oplysninger om strafbare forhold, herunder formodet strafbare forhold, behandles med hjemmel i databeskyttelseslovens § 8, stk. 3, hvorefter behandling kan ske, hvis det er nødvendigt til varetagelse af en berettiget interesse, og denne interesse klart overstiger hensynet til den registrerede. 

I nogle tilfælde vil en indberetning indeholde følsomme personoplysninger, fx fagforeningstilhørsforhold, politisk overbevisning, religiøs overbevisning, helbredsoplysninger, seksuelle forhold og biometriske data. 

Sådanne oplysninger behandles alene om indberetteren selv og alene, hvis indberetteren i forbindelse med indberetningen har givet samtykke til behandlingen, jf. databeskyttelsesforordningens artikel 6 stk. 1, litra a og artikel 9, stk. 2, litra a, jf. nærmere under afsnittet ”Særligt til indberetteren selv: samtykke til behandling af følsomme personoplysninger” ovenfor. 

Det bemærkes, at samtlige kategorier af personoplysninger, der behandles i forbindelse med indberetninger, kun opbevares så længe, det er nødvendigt af hensyn til undersøgelsen af det indberettede forhold og det videre forløb, jf. nærmere under afsnittet ”Opbevaring og sletning af personoplysninger” nedenfor.

Rettigheder

Hvis indberetningen vedrører en eller flere navngivne personer, vil den eller de pågældende som udgangspunkt modtage underretning om:

• - Emnet for det indberettede forhold 

• - Udfaldet af indberetningen, herunder om indberetningen er afvist som grundløs eller gjort til genstand for en videre undersøgelse 

• - Retsgrundlaget for behandlingen af vedkommendes personoplysninger samt øvrige oplysninger, som skal gives i medfør af persondataretten 

• - Hvilke personer i de repræsenterede virksomheder, der er bekendt med indberetningen eller eventuelt vil få kendskab til den 

• - Det påtænkte tidsrum, hvor personoplysningerne vil blive opbevaret eller alternativt de kriterier, der anvendes til fastlæggelse af dette tidsrum 

• - Hvordan vedkommende kan udøve sin indsigelses- og berigtigelsesret til at gøre sig bekendt med og tage til genmæle over for indberetningen 

Underretningen foretages hurtigst muligt og senest 14 dage efter, at ovenstående oplysninger er indhentet.

Hvis det konkret vurderes, at den eller de pågældende personers interesse i oplysningerne bør vige for afgørende hensyn til offentlige eller private interesser, herunder hensynet til at beskytte andres rettigheder, vil underretningen kunne udskydes eller undlades, indtil risikoen ikke længere eksisterer i overensstemmelse med reglerne i databeskyttelseslovens § 22. 

Indeholder indberetningen oplysninger om andre identificerbare personer end den berørte person, indberetningen vedrører, vil disse personer blive underrettet som beskrevet ovenfor. Denne underretning må ikke indeholde identificerbare oplysninger om den berørte person, der indberettes om.

Rettighedskatalog

Når de repræsenterede virksomheder registrerer oplysninger om de berørte personer, der indberettes om, oplysninger om indberetteren selv eller andre personer nævnt i indberetningen, har de pågældende ret til at få indsigt i de personoplysninger, der behandles om dem.

Indsigtsretten gælder dog ikke, hvis den pågældendes interesse i at få udleveret oplysningerne om sig selv findes at burde vige for væsentlige hensyn til offentlige eller private interesser, jf. databeskyttelseslovens § 22.

Den pågældende har også ret til at gøre indsigelse mod behandlingen af oplysninger samt at anmode om at få berigtiget, begrænset eller slettet oplysninger i overensstemmelse med den til enhver tid gældende persondatalovgivning.

Opbevaring og sletning af personoplysninger

Personoplysninger, der behandles i forbindelse med indberetninger, opbevares så længe, det er nødvendigt af hensyn til undersøgelsen af det indberettede forhold og det videre forløb. 

Viser den indledende screening af det indberettede forhold, at indberetningen ikke er omfattet af de repræsenterede virksomheder whistleblowerordning, eller at der ikke er noget bevis for det indberettede forhold, vil det som udgangspunkt ikke være nødvendigt at opbevare indberetningen og indberetningen vil derfor hurtigst muligt blive slettet af de repræsenterede virksomheder. Det vil dog altid afhænge af en konkret vurdering hvor længe, det er nødvendigt at opbevare indberetningen.

Viser den indledende screening af det indberettede forhold, at det ikke er usandsynligt, at det indberettede forhold har fundet sted, vil de repræsenterede virksomheder indlede en tilbundsgående undersøgelse og tidligst slette indberetningen og de heri indeholdte personoplysninger, når undersøgelsen er afsluttet.

Overladelse og videregivelse af personoplysninger

De repræsenterede virksomheder videregiver som udgangspunkt ikke personoplysninger, der indsamles via whistleblowerordningen, til tredjeparter. 

Følgende typer af videregivelse vil dog efter en konkret vurdering kunne finde sted:

• - Videregivelse til ekstern rådgiver, fx advokat eller revisor med henblik på nærmere undersøgelse af de indberettede forhold 

• - Overførsel til relevante myndigheder, herunder politi- og anklagemyndighed med henblik på eventuel retsforfølgning 

• - Videregivelse, der i øvrigt følger af krav i lovgivningen 

Klage

Du har ret til at indgive en klage til Datatilsynet, hvis du er utilfreds med den måde, vi behandler dine personoplysninger på. Du finder Datatilsynets kontaktoplysninger på www.datatilsynet.dk.

Kontaktoplysninger

Spørgsmål om dine rettigheder mv. i forbindelse med behandling af personoplysninger i ordningen bedes rettet til:

J. Nørgaard Cafe og Kantiner Management A/S

CVR: 40518738

Tlf: +45 28 58 96 49

Adresse: Amagertorv 1, 1160 København K