Regelefterlevnad – Digitala verktyg och personligt stöd

Lantero lanserar FraudFinder, ett nytt verktyg för kommuners arbete mot välfärdsbrottslighet och bedrägerier. Tjänsten har utarbetats i samverkan med dussintalet kommuner under det gångna året och kommer att drivas som ett successivt expanderande pilotprojekt under Q1 2025. De senaste åren har inneburit en betydande ökning av mängden välfärdsbrott och bedrägerier inom kommuner och offentlig sektor i stort. Lantero samverkar sedan länge med kommuner i arbetet avseende deras arbete mot olika typer av missförhållanden och har sett betydande behov av stödverktyg för att hålla samman arbetet, skapa överblick och sprida de goda exemplen. ### "Allt handlar om välfärdsbrottslighet" – Min framtidsspaning är att nästan allt kommer att handla om välfärdsbrott i 2025, säger Linda Johansson, samordnare mot välfärdsbrottslighet i Sundsvalls kommun. Bilden speglas i inställningen från många kommuner och för närvarande rekryteras för fullt inom området. – När kommuner inleder ett samlat arbete mot välfärdsbrottslighet är det vanligt att man engagerar de stora konsulthusen för en inledande analys. Vi ser hur i stort sett samma leverans skickas till kommun efter kommun, med samma slutsatser, säger Andreas Wahlström på Lantero. Vår slutsats är dels att kommunsektorn betalar många gånger om för samma arbete och att en del arbete egentligen skulle kunna påbörjas utan att gå omvägen via de här analyserna. ### Ensamma samordnare Den praktiska verkligheten i många mindre kommuner är att en ensam handläggare förväntas hålla ihop allt arbete inom välfärdsbrottslighet och bedrägerier, inte sällan på en halvtid. Har man väl inlett ett analysprojekt med en större konsultbyrå så blir man lätt beroende, både i arbetet med samordningen och i genomförandet av de enskilda aktiviteterna. FraudFinder blir ett sätt att ge samordnaren bättre kontroll, verktyg att göra rimliga prioriteringar och förutsättningar att påbörja arbetet. – En handläggare på en mindre kommun har långt större förutsättningar att driva arbetet med ett vettigt metodstöd. Om man har exempel från andra kommuner, underlag och mallar så får man snabbt ordning på mycket av arbetet, säger Andreas Wahlström. Man kan ha stor hjälp av specialister på andra kommuner. Sedan kan det alltid finnas områden där det ändå blir aktuellt att ta in extern konsulthjälp för olika punktinsatser. Förutom analyser och praktiska insatser betonar FraudFinder också möjligheten att följa arbetet, se framdriften genom självskattningar och bedömningar. Tanken är både att sätta former för avrapportering mot överordnade, få en strukturerad uppföljning och hjälp att prioritera resurserna framåt. ### Stort intresse Initialt har intresset varit stort. Engagemanget i att dela bra erfarenheter och material, samt att ta del i utformningen av verktyget har enligt Andreas Wahlström varit över all förväntan. – Vi har kontakt med många väldigt duktiga handläggare ute i kommunerna. Att samla allas erfarenheter och göra det möjligt att dela dem mellan kommunerna är verkligen ett uppskattat koncept. Specialisterna är hjältar som behöver synliggöras för varandra.

EU:s NIS2-direktiv trädde i kraft i januari 2023, och medlemsländerna hade fram till den 17 oktober 2024 på sig att omsätta det i nationell lagstiftning. Ändå uppfyller många organisationer fortfarande inte kraven två år efter att direktivet godkändes. Det finns siffror på att så många som två tredjedelar (66 procent) av berörda organisationer missar tidsfristen den 17 oktober, trots att nio av tio menar sig ha drabbats av incidenter som skulle kunna ha förhindrats av åtgärder som är obligatoriska inom NIS2. Tittar man på EU:s medlemsländer så är det endast två av 27 – Kroatien och Italien – som fullt ut har hunnit införliva direktivet i sin nationella lagstiftning. Estland och Portugal ligger längst bak i arbetet och har ännu inte påbörjat processen. Givet nivåerna på de böter och sanktioner som hotar för den som brister i efterlevnaden framstår den senfärdiga inställningen som något förvånande. Förutom dryga böter för företag och organisationer kan även individer i ledande befattningar komma att sanktioneras personligen. ### Utveckling från NIS1 Den första EU-omfattande cybersäkerhetslagstiftningen introducerades 2018 och hette NIS1. Syftet var att implementera en gemensam säkerhetsstandard för alla medlemsstater. NIS2 är en vidareutveckling av samma regelverk och samma underliggande ambition. De nya reglerna utökar räckvidden, vilket innebär att fler organisationer måste följa reglerna. Generellt gäller NIS2 för organisationer som tillhandahåller kritiska tjänster eller faller under de sektorer som omfattas av NIS2:s utvidgade räckvidd, har fler än 50 anställda eller en årlig omsättning som överstiger 10 miljoner euro. Operatörer av kritisk infrastruktur omfattades av NIS1 och därmed även av NIS2. Organisationer inom sektorer som digitala tjänster, rymdindustri, posttjänster, nätverksoperatörer, kemiska producenter/distributörer och vissa tillverkare omfattas nu också av NIS2. Organisationer delas in i "väsentliga" och "viktiga", där samtliga anses vara kritiska sektorer, men vissa mer än andra. Klassificeringen avgör vilka specifika krav organisationer måste uppfylla. Varje organisation måste avgöra om de omfattas av NIS2, inte bara på grund av potentiella straff utan också eftersom reglerna ställer olika krav på olika sektorer. Även om NIS2 syftar till att höja säkerhetsnivån i många branscher till en gemensam nivå, är efterlevnadskraven inte desamma för alla. ### Vad är nytt? Förutom att fler organisationer omfattas av direktivet, introduceras fyra huvudsakliga områden med skärpta krav: riskhantering, företagsansvar, obligatorisk incidentrapportering och kontinuitetsplanering. - Riskhantering: Organisationer måste vidta tillräckliga åtgärder för att minimera hot mot nätverks- och leveranskedjesäkerhet, förbättra åtkomstkontroll (använda multifaktorsautentisering), införa kryptering och ha en incidenthanteringsplan redo vid en allvarlig attack. - Företagsansvar: Chefer i berörda organisationer måste ha en full förståelse för direktivet och ansvara för att hantera cybersäkerhetsrisker. - Obligatorisk rapportering: Incidenter måste inom 24 timmar från upptäckt rapporteras till en databas som hanteras av EU:s cybersäkerhetsbyrå ENISA. - Kontinuitetsplanering: Organisationer måste säkerställa att verksamheten kan fortsätta vid en större cyberattack. ### Checklista för efterlevnad Eftersom kraven varierar mellan organisationer är det svårt att skapa en universell checklista, men nedan följer de mest grundläggande stegen: * Identifiera om din organisation omfattas av NIS2. * Förstå kraven och utvärdera den nuvarande efterlevnadsnivån. * Säkerställ budget för nödvändiga förändringar. * Identifiera vilka andra lagar inom EU:s cybersäkerhet som är tillämpliga. * Genomför cybersäkerhetsbedömningar för att identifiera sårbarheter och hot. * Bedöm tredjepartsrisker och upprätta lämpliga hanteringsprocedurer. * Utveckla planer för incidenthantering, kontinuitet och cybersäkerhet. * Inför säkerhetsåtgärder som multifaktorsautentisering (MFA). * Säkerställ att personal får uppdaterad cybersäkerhetsutbildning. ### Straff och hinder för bristande efterlevnad Organisationer klassificerade som "väsentliga" riskerar böter på minst 10 miljoner euro eller 2 procent av sin globala årsomsättning. Organisationer som klassificeras som "viktiga" kan få lägre böter, men fortfarande såpass höga som 7 miljoner euro eller 1,4 procent av den globala årsomsättningen. Misslyckad efterlevnad kan också innebära rättsliga konsekvenser för företagsledare. Som ett exempel inkluderar den nationella implementeringen av NIS2 i Irland risk för fängelsestraff. Trots riskerna är många organisationer inte förberedda. Det går att argumentera för att stöd och vägledning från nationella myndigheter borde varit bättre eller att kraven blir orimligt betungande parallellt med alla andra regler som ska efterlevas. Men i grunden ligger det i organisationernas självintresse att stärka cybersäkerheten och skydda kritiska tjänster i en alltmer hotfull cybervärld.

Den 6 november höll Lantero ett webinarium för kommunkunder. Här sammanfattas webineriet och de frågeställningar som togs upp och diskuterades.
Hela seminariet kan också ses on demand här. 1. Hantering av speciella jävssituationer och överlämning till ordinarie verksamhet 2. Hantering av sekretess vid begäran av allmän handling och lärdomar från avgöranden vid överklagan till kammarrätterna. 3. GDPR-hänsyn vid överlämning av information till fortsatt utredning utanför visselblåsarorganisationen 4. Allmänintresset, hur bedöms det? Är oegentligheter i kommunal verksamhet alltid allmänintressanta?
## Jävssituationer Det är inte ovanligt att högre ledning är utpekade i visselblåsarärenden och att en jävssituation uppstår. Extern utredning kan då vara nödvändig.
En grundprincip för bedömningen kring jäv är att om det för en utomstående kan uppfattas att det är olämpligt att utredning sker av kollega så föreligger jäv enligt 16 § 4:e punkten i förvaltningslagen. Eftersom förtroendet för visselblåsarfunktionen är av stor vikt för organisationen så räcker delikatessjäv för att man skall överväga extern utredning. Ytterligare en utmaning som ofta föreligger vid utredning är att det inte är självklart hur förslagen på åtgärder lämnas över till ordinarie organisation ifall det är den högsta ledningen som är utpekad. I exemplet med en kommundirektör som utretts av en extern utredare, kan kommunstyrelsen vara ett för brett forum som mottagare, eftersom kravet på organisationen att inte röja visselblåsarens identitet är starkt. I ett sådant fall är förmodligen kommunstyrelsens ordförande ett bättre förslag. Här behöver man vara situationsanpassad och väga behovet av att mottagaren kan genomföra förslagen mot behoven av att skydda de inblandade parterna. Vi på Lantero är gärna bollplank för er kring olika handlingsalternativ. ## Sekretess och begäran av allmän handling Det är mycket vanligt med begäran av allmän handling för kommunen. Lagstödet är relativt tydligt i offentlighets- och sekretesslag (2009:499) (OSL) och i lag (2021:890) om skydd för personer som rapporterar om missförhållanden (visselblåsarlagen). ### Lite kort om lagstiftningen 17 kap. 3 b § OSL lyder: ”Sekretess gäller i ett ärende om uppföljning enligt lagen (2021:890) om skydd för personer som rapporterar om missförhållanden, för uppgift som kan avslöja identiteten på en annan enskild än den rapporterande personen, om det kan antas att syftet med uppföljningen motverkas om uppgiften röjs.” I 32 kap. 3 b § OSL kan man läsa: “Sekretess gäller i ett ärende om uppföljning enligt lagen (2021:890) om skydd för personer som rapporterar om missförhållanden,…” Vad ett ärende om uppföljning är finns beskrivet i 1 kap. 8 § 4 pkt. visselblåsarlagen:
” uppföljningsärende: ett ärende som består i att: - via en intern eller extern rapporteringskanal ta emot en rapport och ha kontakt med den rapporterande personen, - på något annat sätt inom en myndighet som är skyldig att ha externa rapporteringskanaler ta emot en rapport som har varit avsedd för rapporteringskanalerna och vidarebefordra den till någon som är ansvarig för att ta emot rapporten, - vidta åtgärder för att bedöma riktigheten i de påståenden som framställs i rapporten, - överlämna uppgifter om de utredda påståendena för fortsatta åtgärder, och - lämna återkoppling om uppföljningen till den rapporterande personen.” ### Tolkning Sekretess gäller alltså för hela ärendet, inklusive den dokumentation som handläggningen genererar.
Sekretessen gäller “…för uppgift som kan avslöja identiteten på en annan enskild än den rapporterande personen, om det kan antas att syftet med uppföljningen motverkas om uppgiften röjs.” enligt 17 kap. 3 b § OSL och “1. för uppgift som kan avslöja den rapporterande personens identitet, och 2. för uppgift som kan avslöja identiteten på en annan enskild, om det inte står klart att uppgiften kan röjas utan att den enskilde lider skada eller men.” enligt 32 kap. 3 b § OSL. Den ursprungliga rapporteringen från uppgiftslämnaren, eventuella bilagor och utredningsdokument från interna eller externa utredare är exempel på information som är en del av ett ärende om uppföljning enligt lagens mening. Dessutom gäller sekretessen för visselblåsaren också alltid vid överlämning till den ordinarie verksamheten eftersom man inte behöver göra en risk-bedömning för skada när man gör sekretessbedömningen enligt kap 32 kap. 3 b § OSL.
En frågeställning finns kring om den ursprungliga rapporteringen anses vara ett ärende om uppföljning om det visar sig att ärendet inte uppfyller kravet på allmänintresse eller att vara arbetsrelaterat. Vår bedömning är det är rimligt att sekretess gäller även i detta fall, eftersom visselblåsaren inte kan förutse ifall ärendet kommer anses ha allmänintresse eller inte. En sådan visselblåsare bör åtnjuta samma skydd från att få sin identitet röjd som den vars ärende bedöms ha allmänintresse att det utreds. Detta ligger i linje med det grundläggande syftet med lagen, nämligen att skydda den som rapporterar om oegentligheter. ### Läs mer här Ett längre blogginlägg finns här: https://www.lantero.se/blog/raettslaeget-kring-begaeran-om-allmaen-handling-fran-visselblasaraerenden där även ett antal avgöranden från kammarrätten analyseras. ## GDPR-hänsyn vid överlämning av ärenden för vidare utredning Persondata får hanteras i visselblåsarärenden, så kallade uppföljningsärenden. Ärenden som är bedömda som visselblåsarärenden får även behandlas vidare efter en visselblåsarutredning om själva syftet med behandlingen är samma som för visselblåsarärendet. En fortsatt utredning på grund av ett visselblåsarärende får behandla personuppgifterna. Arkivering är också tillåten som en vidare behandling efter visselblåsarärendet avslutats speciellt för organisationer som verkar enligt offentlighetsprincipen. ### Två specialfall är intressanta: Ärendet avskrivs eftersom det inte anses vara ett visselblåsarärende och det innehåller personuppgifter. Fortsatt personuppgiftsbehandling får då inte ske. Ärendet skall raderas ur visselblåsarsystemet enligt normal rutin och ordinarie organisationen får inte se det. Ärendet avskrivs och innehåller inte personuppgifter. Då finns inga hinder från ett GDPR-perspektiv att lämna över information från ärendet till ordinarie verksamhet.
Märk väl att sekretesskraven i OSL ändå kan gälla i båda dessa fall, speciellt ifall visselblåsarens identitet kan härledas indirekt utifrån innehållet i rapporteringen. ## Bedömning av allmänintresset i offentlig verksamhet Generellt gäller att ett visselblåsarärende skall utredas om det bedöms ha ett allmänintresse. Denna bedömning är inte helt enkel att göra eftersom det inte sällan är flera parametrar som påverkar bedömningen: - Handlar det om ett enskilt personalärenden eller påverkar oegentligheten många personer? - Är högre ledning utpekad eller inte? - Är oegentligheten allvarlig i sig? Ett lagbrott eller en bagatell?
- Antyder rapporten att det finns strukturella problem eller saker som bara hänt en gång? Exempelvis kan ett visselblåsarärende som förvisso handlar om en enskild arbetstagare men där den arbetstagaren arbetar under slavliknande förhållanden komma ha ett högt allmänintresse. Ett ärende där många arbetstagare påverkas men som handlar om dåligt kaffe i kaffeautomaten kan däremot bedömas ha ett litet allmänintresse. Det faktum att oegentligheten rapporteras i en offentlig verksamhet som är finansierad med allmänna medel innebär inte att den automatisk blir allmänintressant. En helhetsbedömning måste alltid göras, där man tar med hushållningen av allmänna medel som en av parametrarna.