Personvernerklæring for håndtering av personopplysninger ved varsling
Vår personvernerklæring gir en grundig og oversiktlig beskrivelse av hvordan vi håndterer personopplysninger og ivaretar personvernet til de som varsler om kritikkverdige forhold. Dette gir deg trygghet i at din personopplysninger blir behandlet på en forsvarlig måte, og at vi tar personvern på alvor.
Varslingssystemet benyttes til rapportering av mistanke om kritikkverdige forhold. Ved håndtering av varsler vil det i mange tilfeller behandles personopplysninger.
Varsler kan komme inn via det eksterne varslingsmottaket som håndteres av KPMG eller via linjen i Bane NOR (f.eks. til en leder som så tar dette videre til varslingssekretariatet).
Kravet til personvern gjelder uavhengig av hvor et varsel kommer inn og hvem som behandler varselet.
Når du varsler kan du velge å varsle anonymt. Du kan også velge å være anonym for Bane NOR. Dette innebærer at KPMG kjenner din identitet og kan formidle spørsmål mellom deg og oss og vi vil da ikke få vite hvem som har varslet.
All behandling av personopplysninger i Bane NOR, både opplysninger om varsleren og om den omvarslede, skal skje i tråd med norsk lovgivning.
Les mer på lovdata.no
Personvernerklæring ved varsling
Bane NOR er behandlingsansvarlig for behandling av personopplysninger i forbindelse med håndtering av varslingssaker.
KPMG leverer og drifter løsningen for Bane NORs varslingskanal og er databehandler for oss.
Bane NOR har inngått databehandleravtale med KPMG som sikrer at personopplysninger som registreres og lagres i løsningen, behandles i tråd med personvernregelverkets krav.
Når du varsler om et kritikkverdig forhold kan dette innebære behandling av personopplysninger. Dersom du ikke velger å varsle anonymt vil vi behandle opplysninger om deg, og vi vil kunne behandle opplysninger om den du eventuelt varsler om.
Det kan også bli behandlet opplysninger ved oppfølging av varsler for å avklare faktiske forhold og treffe nødvendige tiltak. Innholdet i et varsel kan favne vidt og kan eksempelvis omhandle påstander om lovbrudd og helseopplysninger. Denne typen opplysninger er underlagt ekstra strenge krav til hvordan de behandles.
Vi oppfordrer varsler til å kun gi informasjon som er relevant for å belyse det kritikkverdige forhold det varsles om og å unnlate å rapportere unødvendige personopplysninger.
Det er valgfritt om du som varsler vil opptre anonymt eller ikke. Hvis en varsler velger ikke å være anonym, vil varslerens identitet være kjent for de personene som behandler saken. Dersom varsler benytter varslingsmottaket kan varsler være anonym for Bane NOR, men åpen for KPMG. Bane NOR vil da ikke behandle personopplysningene.
Ved oppfølgingen av et varsel er innhenting av opplysninger begrenset til det som er strengt nødvendig for å avklare, herunder eventuelt verifisere, innholdet i et varsel. I undersøkelser det vil kunne innhentes ytterligere opplysninger eller tas i bruk opplysninger som allerede er innhentet. Omfanget av opplysninger som samles, skal være så lite som mulig.
For å kunne behandle personopplysninger i varslingssaker har Bane NOR behandlingsgrunnlag i personvernforordningen i artikkel 6 c og eventuelt artikkel 9 b.
Behandling av personopplysninger ved håndtering av varsler er nødvendig for å oppfylle de forpliktelsene Bane NOR er underlagt i arbeidsmiljøloven kapittel 2 A m.v.
Personvernforordningen artikkel 5 og 32 stiller krav til sikkerhet ved behandling av personopplysninger. Våre rutiner skal sikre at disse krav etterkommes, både ved formidlingen og den videre oppfølgingen av et varsel.
Ved formidlingen av et varsel er det eneste som blir registrert i det webbaserte varslingssystemet, selve varselet. I tillegg er alle dataoverføringer kryptert, det vil si at det sendes ingen ukrypterte opplysninger over det åpne internettet.
Det føres ingen logg over IP-adressen eller maskin-ID til enheten (nettbrett telefon, PC, Mac etc.), som varselet er sendt fra.
Hvis et varsel er innrapportert fra en datamaskin som er på virksomhetens nettverk, er det en (teoretisk) risiko for at de besøkte hjemmesidene blir registrert i virksomhetens logg.
Dersom du ønsker å varsle anonymt, og vil eliminere den (teoretiske) risikoen for at loggen kan brukes for å identifisere deg, kan du foreta rapporteringen fra en datamaskin som ikke er tilknyttet virksomhetens nettverk.
Dine personopplysninger lagres så lenge det er nødvendig for å oppfylle formålet de ble samlet inn for.
Personopplysninger i varslingsmottaket hos KPMG skal slettes så snart som mulig og vanligvis innen to måneder etter at en undersøkelse av de faktiske forhold er gjennomført.
Perioden kan variere dersom det tas rettslige eller disiplinære skritt mot den anklagde eller mot varsleren i tilfeller hvor formidlingen er falsk eller ærekrenkende. I slike tilfeller lagres personopplysningene til endelig avgjørelse er tatt, og hvor ankefrist/klageadgangen er utløpt.
I enkelte tilfeller vil arkivloven kunne pålegge lengre lagringsperioder. Dette vurderes fra sak til sak.
Dine rettigheter
Du har rett til å på forespørsel bli informert om hvilke personopplysninger vi behandler om deg, og til å motta kopi av opplysningene.
Både varsler og den omvarslede har rett på informasjon etter personvernforordningen artikkel 13 og 14. Dette gjelder både ved innsamling av personopplysninger direkte fra den personopplysningene omhandler eller ved innsamling av personopplysninger via andre.
Den omvarslede har rett på informasjon så snart som mulig, og senest innen en måned etter at opplysningene om vedkommende er innsamlet (jf. personvernforordningen artikkel 14 nr. 1 til nr. 3). Det er viktig at den omvarslede blir informert om mistanken og grunnlaget for denne.
Du har rett til innsyn i egne personopplysninger.
Dersom den omvarslede eller andre ber om innsyn i egne personopplysninger har vedkommende i utgangspunktet rett til å få innsyn i alle personopplysninger om han/henne som behandles i anledning varslingssaken.
Det finnes imidlertid unntak fra innsynsretten der innsyn vil kunne krenke andres rettigheter. Dette innebærer blant annet at det ikke gis innsyn i opplysninger om varslerens identitet eller opplysninger som kan avsløre varslerens identitet.
Unntak kan tenkes i tilfeller hvor varsleren beviselig har fremsatt falske anklager med viten og vilje.
Det understrekes at selv om innsyn i varslerens identitet ikke skal gis etter personvernforordningens bestemmelser, utelukker ikke dette at innsyn vil kunne gis etter annet relevant lovverk, for eksempel hvis det blir politietterforskning eller rettslig prosess.
Det er viktig at opplysninger vi behandler er riktige. Du kan be om at Bane NOR retter eller supplerer opplysninger om deg som er feilaktige eller misvisende.
I gitte situasjoner kan du be om at Bane NOR sletter opplysninger om deg.
Hvis du har spørsmål vedrørende Bane NORs behandling av personopplysninger i varslingssaker kan du for eksempel kontakte Bane NORs personvernrådgiver på e-post til Bane NOR eller til KPMG på e-post til varsling@kpmg.no.
Kontakt oss
Dersom du ønsker å benytte deg av dine rettigheter, kontakt oss på e-post.
KPMG
Dersom du har opplevd noe du mener er brudd på regelverket, kan du klage til Datatilsynet ved å sende en skriftlig henvendelse til:
Datatilsynet
Postboks 8177
0034 Oslo
Informasjon om hvordan du går frem finner du på nettsidene til Datatilsynet, datatilsynet.no(åpnes i ny fane).