Fremsat den 26. maj 2020 af erhvervsministeren (Simon Kollerup)

Forslag

til

Lov om ændring af lov om erhvervsfremme

(Etablering af en whistleblowerordning for de erhvervsrettede covid-19-kompensationsordninger, som administreres af Erhvervsstyrelsen, samt indførelse af særlig tavshedspligt)

§ 1

I lov nr. 1518 af 18. december 2018 om erhvervsfremme foretages følgende ændring:

1. Efter § 22 indsættes:

»§ 22 a. Erhvervsstyrelsen etablerer en whistleblowerordning, som omfatter de erhvervsrettede covid-19- kompensationsordninger, som administreres af Erhvervsstyrelsen. Ordningen omfatter alene oplysninger af betydning for styrelsens efterprøvelse af kompensationsgrundlaget. Erhvervsstyrelsen kan afvise anmeldelser, som ikke er omfattet af ordningen og er ikke forpligtet til at videresende disse til anden myndighed.

Stk. 2. Erhvervsstyrelsen må ikke, herunder til den, som anmeldelsen vedrører, videregive oplysninger om identiteten på en person eller oplysninger, som kan anvendes til at udlede identiteten på en person, når vedkommende igennem whistleblowerordningen, jf. stk. 1, har anmeldt en fysisk eller juridisk person til styrelsen for overtrædelse eller potentiel overtrædelse af reglerne om kompensation til virksomheder mv. i økonomisk krise som følge af covid-19, jf. dog stk. 3.

Stk. 3. Erhvervsstyrelsen kan videregive alle oplysninger, som er modtaget som led i whistleblowerordningen, til anklagemyndigheden og politiet samt til andre myndigheder til brug for disses opgaver relateret til hjælpepakker til imødegåelse af skadevirkninger ved covid-19-epidemien.

Stk. 4. Stk. 2 og 3 finder tilsvarende anvendelse for andre myndigheder, der har modtaget oplysninger og dokumenter indberettet gennem whistleblowerordningen efter stk. 1.

Stk. 5. Erhvervsstyrelsen kan undlade at foretage partshøring af en fysisk eller en juridisk person om modtagelse af en henvendelse om vedkommende gennem whistleblowerordningen, herunder hvis hensyn til effektiv kontrol, og retshåndhævelse taler imod en sådan høring.

Stk. 6. Anmeldelser i whistleblowerordningen indsendes via en digital indberetningsløsning på Erhvervsstyrelsens hjemmeside.

§ 22 b. Erhvervsstyrelsens ansatte er under ansvar efter straffelovens §§ 152-152 e forpligtet til at hemmeligholde oplysninger, der har tilknytning til underretninger vedrørende de erhvervsrettede covid-19-kompensationsordninger, og som hidrører fra Hvidvasksekretariatet.

Stk. 2. Forvaltningslovens § 9 om partsaktindsigt, § 19 om partshøring, § 24 om begrundelsespligt og §§ 28 og 31 om videregivelse af oplysninger mellem forvaltningsmyndigheder finder ikke anvendelse på de oplysninger, der er nævnt i stk. 1.«

§ 2

Loven træder i kraft ved bekendtgørelsen i Lovtidende.

§ 3

Loven gælder ikke for Færøerne og Grønland.

Bemærkninger til lovforslaget

1. Lovforslagets formål, baggrund og hovedindhold

Lovforslaget har til formål at følge op på den politiske aftale mellem regeringen (Socialdemokratiet) og Venstre, Dansk Folkeparti, Radikale Venstre, Socialistisk Folkeparti, Enhedslisten, Det Konservative Folkeparti og Alternativet om hurtig og sikker udbetaling af kompensation som følge af COVID-19 af 20. maj 2020, som bl.a. havde fokus på at reducere risikoen for snyd, svindel og svig. Med aftalen iværksattes en række initiativer rettet mod bl.a. sikker udbetaling, herunder en whistleblowerordning til kompensationsordninger. Af den politiske aftale fremgår det herom, at »Der etableres en whistleblower-ordning, som giver medarbejdere, virksomheder, organisationer mv. mulighed for at indberette oplysninger om muligt svig med kompensationsordningerne. Det kan eksempelvis være oplysninger, som kommer ansatte i private virksomheder i Danmark i hænde, og som f.eks. tillidsrepræsentanter eller de faglige organisationer kan indgive på vegne af deres medlemmer. Ordningen indrettes, således at anmelder er anonym, dog med den undtagelse, at en snæver kreds af betroede medarbejdere i Erhvervsstyrelsen, skal kunne identificere anmelder med henblik på at få oplysninger bekræftet eller uddybet.«?

Whistleblowerordninger er et udbredt fænomen inden for det offentlige og i det private erhvervsliv i både ind- og udland. Ordningerne skal tilskynde personer, som har kendskab eller mistanke til ulovligheder eller uregelmæssigheder inden for en organisation eller et retsområde, til at dele deres viden med de rette instanser, så forholdene kan blive afdækket og håndteret.

Erhvervsstyrelsen administrerer aktuelt fem erhvervsrettede kompensationsordninger, der ekstraordinært er etableret for at afbøde konsekvenserne af covid-19. Ordningerne er etableret ved særskilte aktstykker og bekendtgørelser udstedt med hjemmel i lov om erhvervsfremme (erhvervsfremmeloven): Kompensationsordningen for tab ved aflysning af større arrangementer, lønkompensationsordningen, kompensationsordningen for selvstændige m.v., kompensationsordningen for freelancere mv. med både A- og B-indkomst, samt kompensationsordningen for virksomheders faste omkostninger. Det forventes, at Erhvervsstyrelsen samlet vil komme til at udbetale omkring 85 mia. kr. i kompensation under de fem ordninger i deres nuværende form.

For at mindske risikoen for svindel med kompensationsordningerne foretages der allerede i dag en række automatiserede valideringer samt manuelle sagsbehandlinger i forbindelse med modtagelse af kompensationsansøgninger, inden udbetalingen finder sted. Endvidere er kompensationsmodtagere pålagt en række efterfølgende dokumentationskrav med henblik på efterprøvelse af kompensationsgrundlaget. Borgerhenvendelser vedrørende mistanke om svindel med kompensationsordningerne kan spille en væsentlig rolle i både de forudgående og efterfølgende kontroller.

Formålet med lovforslaget er at etablere en whistleblowerordning, der kan understøtte Erhvervsstyrelsens eksisterende kontrolindsats i forhold til de erhvervsrettede kompensationsordninger i anledning af covid-19. Sådanne oplysninger kan spille en væsentlig rolle i indsatsen for at afdække og mindske svindel og misbrug af ordningerne.

Erhvervsstyrelsen har, siden kompensationsordningerne blev etableret, modtaget et stort antal borgerhenvendelser vedrørende mistanke om forsøg på svindel med ordningerne. Henvendelserne spænder indholdsmæssigt fra simple misforståelser af vilkårene for kompensation til konkret underbyggede beskyldninger om misbrug af ordningerne. Erfaringsmæssigt er det dog ikke alle borgere, der ønsker at vedstå deres henvendelse, når styrelsen oplyser, at det efter gældende ret ikke er muligt at love dem anonymitet i forhold til den fysiske eller juridiske person, henvendelsen vedrører. Det vurderes, at det i denne ekstraordinære situation, hvor der som følge af covid-19 udbetales store summer for at holde hånden under arbejdspladser og erhvervsliv, er væsentligt at tilskynde personer med kendskab til eller mistanke om ulovligheder eller uregelmæssigheder til at afgive oplysningerne til Erhvervsstyrelsen.

Det vurderes på den baggrund, at den foreslåede ordning, hvor whistlebloweren ikke må tåle offentlighed om sit navn, vil få flere personer til at afgive relevante oplysninger. Dette vurderes at være af væsentlig betydning i forhold til både at dæmme op for og at afdække fejl, misbrug og svindel med kompensationsordningerne.

Såfremt der måtte blive vedtaget yderligere kompensationsordninger mv. som følge af covid-19, og Erhvervsstyrelsen får ansvaret for at administrere disse, vil disse som udgangspunkt blive omfattet af den foreslåede ordning.

Lovforslaget har endvidere til formål at pålægge ansatte i Erhvervsstyrelsen en eksplicit tavshedspligt for oplysninger, der hidrører fra Hvidvasksekretariatet. Det findes hensigtsmæssigt at fastsætte en sådan tavshedspligt med det formål at beskytte de bankansatte og andre, som indberetter til Hvidvasksekretariatet, mod potentielle repressalier fra den, de har indberettet. Dermed sikres det, at fortrolige oplysninger, som Hvidvasksekretariatet ligger inde med, og som er relevante i kontroløjemed, kan videregives til Erhvervsstyrelsen med henblik på udøvelse af styrelsens kontrol af udbetalinger fra covid-19-kompensationsordningerne, uden at den indberettede virksomhed eller person kan få kendskab til, hvem der har underrettet myndighederne.

2. Lovforslagets indhold

2.1. Etablering af en whistleblowerordning for Erhvervsstyrelsens covid-19-kompensationsordninger

2.1.1. Gældende ret på området

Det følger af de gældende, generelle kontrol-, tilsyns- og sanktionsbestemmelser i erhvervsfremmeloven, jf. §§ 22 og 23, at erhvervsministeren fra personer og virksomheder, der ydes midler efter loven, kan kræve alle oplysninger og regnskaber til brug for kontrol og tilsyn. Oplysningerne skal generelt skønnes fornødne for at kontrollere, om forudsætningerne for meddelte godkendelser m.v. fortsat er til stede, og om betingelserne for bevilgede tilskud m.v. er overholdt. Med henblik på at gennemføre kontrollen kan Erhvervsministeren mod behørig legitimation uden retskendelse få adgang til en virksomheds eller sammenslutnings lokaler og transportmidler, og på stedet gøre sig bekendt med og tage kopi af enhver oplysning, herunder regnskaber, regnskabsmateriale, bøger og andre forretningspapirer og elektronisk lagrede data. Reglerne om kontrolbesøg uden retskendelser kan kun anvendes i tilsyns- og kontroløjemed. Såfremt der er en begrundet mistanke om en strafbar overtrædelse af lovgivningen, finder retsplejelovens regler om ransagning anvendelse.

Efter gældende ret straffes med bøde den, der i forbindelse med en ansøgning og bevilling af støtte efter erhvervsfremmeloven afgiver urigtige eller vildledende oplysninger eller fortier oplysninger af betydning for en sags afgørelse. Der kan endvidere pålægges selskaber m.v. (juridiske personer) strafansvar efter reglerne i straffelovens 5. kapitel. Hvis højere straf er forskyldt efter anden lovgivning, finder disse regler anvendelse.

Generelt har personer, som henvender sig til en offentlig myndighed f.eks. med oplysninger af betydning for en sag om tilskud eller kompensation til en virksomhed, ikke krav på og kan heller ikke betinge sig anonymitet eller hemmeligholdelse af deres henvendelse. Efter offentlighedsloven og forvaltningsloven er der som udgangspunkt ret til aktindsigt i henvendelsen, herunder i navnet på den person, der har henvendt sig. Såvel offentlighedsloven som forvaltningsloven indeholder en række undtagelsesbestemmelser, hvorefter visse sager, visse dokumenter og visse oplysninger vil være undtaget fra aktindsigt, men dette beror på en konkret vurdering af den enkelte sag, men det klare udgangspunkt vil være, at identiteten på en person, der har rettet henvendelse til en myndighed, ikke vil kunne undtages fra aktindsigt.

Ligeledes vil det heller ikke generelt være muligt at undtage andre former for identifikationsoplysninger, som kan bidrage til at fastslå vedkommendes identitet, f.eks. en postadresse, e-mailadresse, telefonnummer eller andet identifikationsnummer.

Oplysningspligten i Europa-Parlamentets og Rådets forordning nr. 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (databeskyttelsesforordningens) artikel 14 indebærer som udgangspunkt, at myndighederne vil have pligt til at give en række oplysninger til personer, som måtte være omtalt i en henvendelse, hvilket f.eks. kan forekomme, hvis en bekymret borger omtaler en eller flere personer i sin henvendelse til Erhvervsstyrelsen, se afsnit 3 for en gennemgang heraf.

Endelig har en myndighed, der modtager en skriftlig henvendelse uden for sit ressortområde som udgangspunkt pligt til at videreformidle henvendelsen til rette myndighed, jf. forvaltningslovens § 7, stk. 2.

2.1.2. Erhvervsministeriets overvejelser

Erhvervsstyrelsen modtager allerede i dag en del henvendelser om mulig svindel mv. med covid-19-kompensationsordningerne fra borgere, der gerne vil oplyse deres navn til Erhvervsstyrelsen, men efterspørger, at deres navn ikke oplyses til andre end Erhvervsstyrelsen. Erhvervsstyrelsen har dog ikke efter gældende ret mulighed for at hemmeligholde identiteten på personer, der har henvendt sig, eller for at give »diskretionstilsagn«.

Det er vurderingen, at det i denne ekstraordinære situation, hvor der som følge af covid-19 udbetales store summer for at holde hånden under arbejdspladser og erhvervsliv, er væsentligt at tilskynde personer med kendskab til eller mistanke om ulovligheder eller uregelmæssigheder til at afgive oplysningerne til Erhvervsstyrelsen

Erhvervsministeriet har desuden overvejet at supplere de almindelige henvendelseskanaler med en whistleblowerordning efter en model, hvor anmelder henvender sig anonymt til styrelsen, dvs. hvor styrelsen ikke kender anmelderens identitet.

Erhvervsministeriet finder dog, at det i en situation som den aktuelle, hvor selv en kortere udskydelse af udbetaling af kompensation som følge af mistanke om snyd kan have store konsekvenser for ansøgeren, er af væsentlig betydning for Erhvervsstyrelsen at kende anmelderens identitet med henblik på at kunne vurdere anmeldelsen.

Det bemærkes i den forbindelse endvidere, at Erhvervsstyrelsen ikke efter gældende ret har mulighed for at hemmeligholde identiteten på anmeldere hvis identitet eller oplysninger herom bliver Erhvervsstyrelsen bekendt i forbindelse med deres henvendelse til styrelsen. Ved at forhindre, at anmelderens identitet kommer til offentlighedens kendskab, risikerer en anmelder, som fx måtte være ansat på den virksomhed, anmeldelsen vedrører, ikke i samme grad at blive identificeret som ophavsmand til anmeldelsen, og anmelderen har derfor ikke samme risiko for at blive udsat for eventuelle negative konsekvenser af anmeldelsen, som hvis vedkommendes identitet var offentligt kendt.

I den aktuelle situation, hvor Erhvervsstyrelsen ekstraordinært udbetaler milliarder af kroner i kompensation til erhvervslivet, vurderer Erhvervsministeriet, at der er behov for en formaliseret whistleblowerordning - en indgang til at anmelde svig og mistanke herom til Erhvervsstyrelsen.

Som det fremgår, lægges der op til en ordning, hvor identiteten på anmelderen er kendt for myndigheden, som dog er underlagt begrænsninger i adgangen til videregivelse af denne oplysning. En sådan ordning kræver lovhjemmel, hvilket derfor foreslås tilvejebragt.

2.1.3. Den foreslåede ordning

2.1.3.1. Indholdet af whistleblowerordningen

Det foreslås at etablere en whistleblowerordning for de erhvervsrettede covid-19 kompensationsordninger, som Erhvervsstyrelsen administrerer. Whistleblowerordningen vil være et supplement til den bestående mulighed for at henvende sig til Erhvervsstyrelsen via de almindelige henvendelseskanaler.

Whistleblowerordningen skal forbedre borgernes muligheder for at bidrage til at afdække tilfælde af fejl, misbrug og svindel og derved styrke myndighedernes kontrolindsats i forhold til kompensationsordningerne.

En whistleblowerordning for de erhvervsrettede covid-19-kompensationsordninger vil supplere Erhvervsstyrelsens almindelige henvendelseskanaler med en indgang, hvor anmelderens identitet er beskyttet i forhold til offentligheden, herunder for den som anmeldelsen vedrører. Modtagelse af whistleblowerhenvendelser skal således anses som en del af styrelsens almindelige sagsoplysning. Uanset anmelders eventuelle ansættelsesforhold opnår anmelder ikke i kraft af anmeldelsen partsstatus i en eventuel afgørelse om udbetaling eller tilbagebetaling af kompensation over for den fysiske eller juridiske person, som anmeldelsen vedrører.

En anmeldelse til whistleblowerordningen, som er modtaget, før der er sket udbetaling af kompensation til en virksomhed, der har ansøgt, vil efter omstændighederne kunne medføre, at udbetalingen udskydes, indtil det anmeldte forhold og dermed grundlaget for udbetaling af kompensation er nærmere undersøgt og afklaret. Det foreslås derfor, at borgere skal logge på Erhvervsstyrelsens indberetningsløsning ved brug af NemID for at foretage anmeldelser under whistleblowerordningen. Herved sikres en entydig identifikation af anmelder, som gør det muligt for Erhvervsstyrelsen at følge op på henvendelsen, herunder stille opklarende spørgsmål til anmelder eller udbede sig nærmere dokumentation for de anmeldte forhold.

Det foreslås desuden, at indberetninger til ordningen undtages fra generelle bestemmelser om offentlighed, herunder forvaltningslovens og offentlighedslovens bestemmelser om aktindsigt m.v. Anmelders identitet og oplysninger, som gør det muligt at identificere denne, må således hverken oplyses over for den juridiske eller fysiske person, som anmeldelsen vedrører eller offentligheden i øvrigt. Det har til formål at beskytte identiteten af de borgere, der henvender sig, og derved reducere risikoen for negative konsekvenser af anmeldelsen, idet den arbejdsgiver/virksomhed, henvendelsen drejer sig om, ikke vil kunne få indsigt i, hvem der har henvendt sig. Hvis det konstateres, at anmeldelsen vedrører forhold, som ikke er omfattet af whistleblowerordningen, vil oplysningerne om anmelders identitet dog ikke længere være underlagt den særlige beskyttelse.

Forbuddet mod videregivelse af oplysninger om anmelders identitet omfatter ikke Erhvervsstyrelsens udveksling af oplysninger med andre myndigheder, herunder politiet og skatteforvaltningen, som led i disse myndigheders kontrol og tilsynsopgaver i forbindelse med kompensationsordningerne. I disse tilfælde kan anmelders identitet være af betydning for den pågældende myndigheds vurdering af oplysningernes troværdighed. Det er dog væsentligt, at anmelders delvise anonymitet følger oplysningerne ved videregivelse til anden myndighed. Den modtagende myndighed må derfor underlægges de samme begrænsninger i adgangen til videregivelse som Erhvervsstyrelsen. Oplysningerne om anmelders identitet er således også undtaget fra retten til aktindsigt ved den myndighed, som modtager oplysningerne fra Erhvervsstyrelsen. Den foreslåede ret til anonymitet over for offentligheden, indebærer således ikke en ret til anonymitet over for andre offentlige myndigheder, herunder anklagemyndigheden og politiet. Hvis anmeldelsen for eksempel giver anledning til, at Erhvervsstyrelsen politianmelder forholdet, kan anklagemyndigheden eksempelvis vælge at indkalde anmelderen som vidne i en eventuel straffesag mod den fysiske eller juridisk person, oplysningerne vedrører.

Det bemærkes, at en whistleblowerhenvendelse, hvis den beror på konkret viden om forholdet eller en begrundet mistanke, normalt vil resultere i, at Erhvervsstyrelsen foretager en høring af den fysiske eller juridiske person, som anmeldelsen vedrører, men på en sådan måde, at identitetsoplysninger ikke videregives, hvorefter styrelsen på baggrund af høringssvar fra den fysiske eller den juridiske person træffer afgørelse om for eksempel sagsafslutning, krav om tilbagebetaling eller indgiver politianmeldelse.

En anmeldelse gennem whistleblowerordningen kan imidlertid også vurderes at være åbenbart grundløs og kunne afsluttes med det samme. I en sådan situation vurderes det ikke hensigtsmæssigt, at der iværksættes underretning til den juridiske person, og den eller de fysiske personer, der måtte være omtalt i anmeldelsen.

Omvendt vil der kunne være anmeldelser, som har en så alvorlig og veldokumenteret karakter, at der straks må iværksættes kontrol og eventuelt politianmeldelse. Her kan forfølgning af lovovertrædelser, efterforskningsmæssige hensyn og hensyn til bevissikring m.v. tale for, at der ikke foretages underretning af den eller de omtalte fysiske eller juridiske personer, eller at underretning udskydes til et tidspunkt, hvor disse hensyn ikke længere gør sig gældende, se herom afsnit 3.1.

Det bemærkes, at whistleblowerordningen vil omfatte oplysninger om hændelser, siden kompensationsordningerne blev etableret. Det skyldes, at kompensationsordningerne i vid udstrækning baserer sig på modtagerens forventninger til forhold i kompensationsperioden. Flere af kompensationsordningerne indebærer således f.eks., at virksomheden får udbetalt kompensation på baggrund af den på ansøgningstidspunktet forventede omsætningsnedgang m.v. I den efterfølgende kontrolfase vil der så ske efterregulering, såfremt virksomhedens faktiske økonomiske resultat viser sig at afvige fra det i ansøgningen anførte om forventningen. Whistleblowerhenvendelser må derfor i væsentlig grad formodes at vedrøre påtænkt svindel med ordningerne, som dog først kan efterprøves i den efterfølgende kontrolfase. Der kan dog fremkomme oplysninger om eksempelvis dokumentfalsk, tilbageholdelse af oplysninger i forhold til revisor, afgivelse af urigtige oplysninger m.v., som kan undersøges og efterprøves straks.

Det bemærkes i øvrigt, at hvis en anmelder af et strafbart forhold - i dette tilfælde whistlebloweren - selv har begået den kriminelle handling eller har medvirket hertil, vil han eller hun ifalde strafansvar herfor. Det bemærkes i den forbindelse, at hvis der er konkret mistanke om, at en fysisk eller juridisk person har begået en lovovertrædelse, der kan medføre straf, gælder bestemmelser i lovgivning m.v. om pligt til at meddele oplysninger til myndigheder ikke i forhold til den mistænke, medmindre det kan udelukkes, at de oplysninger, som søges tilvejebragt, kan have betydning for bedømmelsen af den formodede lovovertrædelse, jf. § 10 i lov nr. 442 af 9. juni 2004 om retssikkerhed ved forvaltningens anvendelse af tvangsindgreb og oplysningspligter (retssikkerhedsloven). Erhvervsstyrelsen skal derfor være opmærksom på, at indhentelse af supplerende oplysninger fra anmelderen - hvis denne er under konkret mistanke for et strafbart forhold - sker under behørig hensyntagen til reglerne om selvinkriminering.

Det følger dog bl.a. af straffelovens § 82, at det i almindelighed ved straffens fastsættelse skal indgå som en formildende omstændighed, at gerningspersonen frivilligt har angivet sig selv og aflagt en fuldstændig tilståelse, eller at gerningspersonen har givet oplysninger, som er afgørende for opklaringen af strafbare handlinger begået af andre. Derimod straffes efter straffelovens § 164, med fængsel ind til 6 år den, der afgiver urigtige oplysninger til offentlig myndighed med forsæt til, at en uskyldig derved bliver sigtet, dømt eller undergivet en strafferetlig retsfølge for et strafbart forhold. Ligeledes straffes efter straffelovens § 165 med bøde eller fængsel indtil 6 måneder den, der til en offentlig myndighed anmelder en strafbar handling, der ikke er begået, såvel som den, der til sådan myndighed indgiver falske klagemål. Det er en forudsætning for at ifalde straf for overtrædelse af straffelovens §§ 164 og 165, at der er det fornødne forsæt, jf. den almindelige regel herom i straffelovens § 19. Dette indebærer, at anmelderen skal have forsæt til samtlige objektive gerningsmomenter, herunder at der er tale om urigtige oplysninger eller falsk anmeldelse eller klagemål.

Det bemærkes, at Erhvervsstyrelsen allerede efter gældende ret administrerer en whistleblowerordning på revisorområdet, som giver mulighed for anonymt at indberette overtrædelser eller potentielle overtrædelser af revisorlovgivningen, herunder i forbindelse med den rolle, revisor har som offentlighedens tillidsrepræsentant i flere af covid-19-kompensationsordningerne.

2.1.3.2 Kriterier for behandling af anmeldelserne

Whistleblowerordningen forudsætter principiel stillingtagen til anvendelsen af de oplysninger, der modtages under ordningen, herunder afvejning af, om anmeldelserne er »seriøse« eller har karakter af chikane eller øvrige ikke-lødige motiver. Whistleblowerordningen har kun til hensigt at behandle oplysninger om alvorlige forhold, som er af betydning for myndighedernes varetagelse af deres opgaver. Dette forudsætter normalt, at whistlebloweren har viden om eller en konkret underbygget mistanke om, at der er begået sådanne alvorlige forhold.

De henvendelser, som styrelsen indtil videre har modtaget, har været af forskellig karakter. Mange er helt generelle betragtninger om svindelmuligheder. En del beror på misforståelser af ordningerne, f.eks. borgere, som ikke er opmærksomme på at virksomheden i lønkompensationsordningen kan kalde hjemsendte medarbejdere tilbage på arbejde, og at virksomheden først skal indberette dette til Erhvervsstyrelsen efterfølgende. Endelig konstateres et stigende antal henvendelser vedrørende konkrete virksomheder eller personer. Særligt denne form for henvendelser skal vurderes konkret.

Det foreslås derfor, at ordningen administrativt etableres således, at Erhvervsstyrelsen opstiller kriterier for behandling af anmeldelserne ud fra bagatelgrænser og hensyn til »grovheden« af det anmeldte forhold. Der kan f.eks. opereres med tre eller flere kategorier, herunder:

1. Ikke relevante henvendelser, herunder henvendelser uden dokumentation m.v. Kategorien omfatter bl.a. henvendelser om forhold, der falder under en bagatelgrænse. Anmelder modtager et standardsvar/kvittering på modtagelse af henvendelsen, men der foretages ikke yderligere fra styrelsens side. Styrelsen kan således afvise en anmeldelse, som fx vurderes at være åbenbar grundløs, uvæsentlig eller som vedrører forhold, som ikke har noget at gøre med de statslige kompensationsordninger eller henhører under et andet ministeriums ressort. Der består i sådanne tilfælde ikke en pligt for Erhvervsstyrelsen til at videresende anmeldelsen til en rette myndighed. Whistleblowerordningen fraviger dermed forvaltningslovens § 7, stk. 2, hvorefter en forvaltningsmyndighed, som modtager en skriftlig henvendelse, der ikke vedrører dens sagsområde, så vidt muligt skal videresende henvendelsen til rette myndighed. Fravigelsen beror på, at whistleblowerordningen ikke er at betragte som en almindelig indgang til at indsende henvendelser til en offentlig myndighed, men en målrettet, særlig ordning til et specifikt afgrænset formål, nemlig at modtage oplysninger, som er relevante i forhold til at bekæmpe svindel med kompensationsordningerne.

2. Relevante henvendelser, herunder henvendelser om dokumenterede forhold. Kategorien omfatter bl.a. henvendelser om forhold, hvor det kan vise sig at handling er påkrævet i efterkontrollen. For disse henvendelser udfyldes »action card«, hvor anmeldelsen noteres og vurderes i forhold til, hvornår handling vil være påkrævet, herunder f.eks. at oplysningen skal indgå i efterkontrollen på ordningerne. I forbindelse med henvendelsen modtager anmelder svarskrivelse om, at forholdet er noteret og vil blive undersøgt.

3. Relevante henvendelser vedr. dokumenterede og grove forhold. Kategorien omfatter henvendelser om forhold, som kræver handling med det samme, herunder nærmere undersøgelse i samarbejde med andre myndigheder. Anmelder modtager svarskrivelse om, at forholdet vil blive undersøgt.

I alle de nævnte tilfælde, vil anmelder samtidig med anmeldelse af forholdet blive oplyst om sine rettigheder m.v. i overensstemmelse med databeskyttelsesforordningen artikel 12 og 13.

På grundlag af de foreløbige erfaringer formodes det umiddelbart, at flertallet af henvendelser vil falde i kategori 2 (relevante henvendelser), og at whistleblowerordningen dermed i overvejende grad vil have sin relevans i forhold til, at oplysninger i modtagne henvendelser vil kunne indgå i Erhvervsstyrelsens efterfølgende kontroller.

Det skyldes ikke mindst, at covid-19-kompensationsordningerne generelt sigter på at give en kompensation knyttet til fremtidige forhold, dvs. hjemsendelser, omsætningsfald m.v., som er konsekvenser af covid-19, og som finder sted/indtræffer over de kommende måneder (kompensationsperioderne).

Derfor er der på tværs af ordningerne ikke mulighed for at dokumentere disse forhold endeligt i forbindelse med ansøgning og udbetaling af kompensation. Whistleblowerhenvendelser, som modtages i løbet af kompensationsperioderne, må derfor også formodes i væsentlig grad at være mistanker om påtænkt svindel med ordningerne, som først kan efterprøves i de efterfølgende kontroller, hvor Erhvervsstyrelsen indhenter dokumentation m.v. Der kan dog være oplysninger om dokumentfalsk, tilbageholdelse af oplysninger i forhold til revisor, afgivelse af urigtige oplysninger m.v., som kan undersøges og efterprøves straks, jf. punkt 3 om relevante henvendelser vedrørende dokumenterede og grove forhold.

Erhvervsstyrelsen kan have behov for at stille spørgsmål til whistlebloweren for at sikre, at sagen kan oplyses tilstrækkeligt til, at den kan behandles.

Erhvervsstyrelsen vil organisere arbejdet således, at anmelders identitet kun kendes af en begrænset gruppe medarbejdere, som arbejder med whistleblowerordningen eller den/de konkrete sager, henvendelsen vedrører. Tilsvarende vil Erhvervsstyrelsen være i tæt dialog med anklagemyndigheden og politiet samt andre myndigheder, som Erhvervsstyrelsen deler konkrete sager med, om håndteringen, herunder personalemæssigt, af disse sager.

Hvis det konstateres, at anmeldelsen vedrører forhold, som ikke er omfattet af whistleblowerordningen, vil oplysningerne om anmelders identitet ikke længere være underlagt den særlige beskyttelse.

Oplysningerne om anmelders identitet må kun videregives til andre myndigheder i det omfang, oplysningerne har relevans for den pågældende myndigheds opgaver relateret specifikt til de erhvervsrettede kompensationsordninger i anledning af covid-19.

Personer, der indgiver oplysninger til whistleblowerordningen, vil formentlig have interesse i at følge sagens behandling og eventuelle resultat. En whistleblower kan dog ikke i kraft af anmeldelsen i sig selv anses som en part i en afgørelsessag over for den kompensationssøgende virksomhed, som henvendelsen vedrører, og en whistleblower har således ikke krav på at blive orienteret om det videre hændelsesforløb.

2.2. Indførelse af særlig tavshedspligt for ansatte i Erhvervsstyrelsen for oplysninger som hidrører fra Hvidvasksekretariatet

2.2.1. Gældende ret

Det følger af hvidvasklovens § 26, at virksomheder og personer omfattet af denne lov omgående skal underrette Statsadvokaten for Særlig Økonomisk og International Kriminalitets (SØIK) Hvidvasksekretariat, hvis virksomheden eller personen er vidende om, har mistanke om eller rimelig grund til at formode, at en transaktion, midler eller en aktivitet har eller har haft tilknytning til hvidvask eller finansiering af terrorisme.

Det følger endvidere af hvidvasklovens § 26, stk. 5, at en registreret person ikke har ret til indsigt i personoplysninger, der er eller vil blive behandlet efter § 26, stk. 1 og 2. Bestemmelsen er efter forarbejderne tidsubegrænset, hvilket indebærer, at en person aldrig kan få indsigt i de oplysninger, som behandles efter stk. 1 og 2, jf. Folketingstidende 2016-17, A, L 41 som fremsat, side 129. At der ikke er ret til at få indsigt i oplysninger om, at der er foretaget underretning til Hvidvasksekretariatet, og hvilke oplysninger Hvidvasksekretariatet har modtaget i den forbindelse, skyldes bl.a., at dette vil kunne modvirke en eventuel videre efterforskning, jf. Folketingstidende 2016-17, A, L 41 som fremsat, side 43.

Efter hvidvasklovens § 38 har virksomheder eller personer, som er omfattet af hvidvaskloven, bl.a. pligt til at hemmeligholde, at der er givet underretning efter § 26. Denne pligt angår både oplysninger om, at der er foretaget en underretning samt om selve underretningens indhold. Bestemmelsen er efter forarbejderne tidsubegrænset, hvilket betyder, at uanset om en underretning ikke medfører, at en kunde sigtes for et strafbart forhold, og den forpligtede virksomhed eller person har viden herom, kan kunden ikke informeres om, at der er foretaget en tidligere underretning vedrørende kunden, jf. Folketingstidende 2016-17, A, L 41 som fremsat, side 142

Det følger af lov om retshåndhævende myndigheders behandling af personoplysninger § 13, stk. 2, at hvis det er nødvendigt for, at den registrerede kan varetage sine interesser, skal den dataansvarlige som minimum give den registrerede meddelelse om retsgrundlaget for behandlingen, tidsrummet for opbevaring af oplysninger, kategorier af eventuelle modtagere af oplysninger samt yderligere oplysninger. Der vil imidlertid skulle tages behørigt hensyn til de specifikke omstændigheder, hvorunder oplysningerne behandles, herunder f.eks. de særlige fortrolighedshensyn, som politiet og anklagemyndighedens behandling af personoplysninger om mistænkte mv. er underlagt i forbindelse med en straffesags efterforskning og forberedelse jf. Folketingstidende 2016-17, A, L 168, som fremsat, side 70.

I forhold til underretninger efter hvidvasklovens § 26 modtaget i Hvidvasksekretariatet, er det ikke nødvendigt for, at den registrerede kan varetage sine interesser, at Hvidvasksekretariatet informerer den registrerede om, at sekretariatet har modtaget en hvidvaskunderretning. Dette skal ses i lyset af, at det ikke i sig selv har nogen retsvirkning for den registrerede, at Hvidvasksekretariatet behandler en hvidvaskunderretning, da der ikke er tale om en politianmeldelse af et muligt strafbart forhold, men derimod oplysninger om f.eks. usædvanlige transaktionsmønstre set i forhold til den pågældende kunde.

Erhvervsstyrelsen vil som udgangspunkt være underlagt en oplysningsforpligtelse i medfør af databeskyttelsesforordningens artikel 14, når styrelsen modtager oplysninger om en registreret, som vedkommende ikke selv har afgivet. I udgangspunktet vil Erhvervsstyrelsen således have en underretningsforpligtelse over for den registrerede i medfør af databeskyttelsesforordningen, når styrelsen modtager underretningerne fra Hvidvasksekretariatet. Endelig er oplysningerne underlagt de almindelige forvaltningsretlige regler som f.eks. forvaltningslovens § 9 om partsaktindsigt, § 19 om partshøring, § 24 om begrundelsespligt og §§ 28 og 31 om videregivelse af oplysninger mellem forvaltningsmyndigheder, når oplysningerne modtages i en anden forvaltningsmyndighed end Hvidvasksekretariatet.

2.2.2. Erhvervsministeriets overvejelser

Der gælder i dag ikke særlige regler om tavshedspligt, når Erhvervsstyrelsen i forbindelse med kontrollen af de erhvervsrettede kompensationsordninger i anledning af covid-19, modtager oplysninger om personer eller virksomheder, som videresendes fra Hvidvasksekretariatet i SØIK, og som hidrører fra virksomheders og personers underretninger i henhold til hvidvasklovens § 26.

Erhvervsstyrelsen modtager i dag dele af underretninger fra Hvidvasksekretariatet, hvis Hvidvasksekretariatet vurderer, at underretningerne ikke omhandler hvidvask af udbytte fra strafbare forhold eller finansiering af terrorisme, men har en interesse i forbindelse med kontrollen af covid-19-kompensationsordningerne. Formålet med at sende oplysningerne til Erhvervsstyrelsen er, at oplysningerne kan give Erhvervsstyrelsen de bedste forudsætninger for at føre en effektiv kontrol med ansøgningerne forud for udbetalingen af midler som led i kompensationsordningerne, eller til den efterfølgende kontrol af, om udbetalingerne har været berettiget.

Oplysningerne fra Hvidvasksekretariatet er som udgangspunkt ikke tilstrækkelige til, at Erhvervsstyrelsen kan færdiggøre sagen på baggrund af oplysningerne. Når Erhvervsstyrelsen har modtaget oplysningerne fra Hvidvasksekretariatet, bliver de gennemgået med henblik på at vurdere, om oplysningerne kan danne grundlag for opstart af en egentlig kontrol.

Når en oplysning modtaget fra Hvidvasksekretariatet er blevet udvalgt som grundlag for at behandle en sag, indhenter Erhvervsstyrelsen de relevante oplysninger fra andre kilder, der skal indgå i kontrolsagen. De oplysninger, der indhentes, er eksempelvis relevante oplysninger om virksomhedens omsætning, lønomkostninger samt antal ansatte. Oplysningerne søges indhentet hos personen eller virksomheden selv. I det omfang personen eller virksomheden ikke imødekommer Erhvervsstyrelsens anmodning om at indsende de relevante oplysninger, kan der indhentes oplysninger direkte fra andre relevante aktører, f.eks. pengeinstitutter.

Oplysningerne fra Hvidvasksekretariatet, herunder oplysninger om dele af underretningerne efter hvidvasklovens § 26, danner således som udgangspunkt alene grundlag for en eventuel sagsudvælgelse, og er ikke i sig selv tilstrækkelige til, at Erhvervsstyrelsen kan færdiggøre sagen. Oplysningerne fra Hvidvasksekretariatet vil derfor som udgangspunkt ikke indgå i det grundlag, som der træffes en afgørelse på. Det vil som udgangspunkt alene være de oplysninger, som Erhvervsstyrelsen efterfølgende indhenter, der danner grundlag for en eventuel kontrolsag, og som den registrerede i forbindelse med ændringen har interesse i at blive gjort bekendt med. Disse oplysninger indgår i det grundlag, der partshøres om, jf. forvaltningslovens § 19.

Med de nuværende regler vil oplysningerne fra Hvidvasksekretariatet være genstand for partsaktindsigt efter reglerne herom i forvaltningsloven, hvis den pågældende person eller virksomhed anmoder herom. Aktindsigten kan efter forvaltningslovens § 15 b begrænses i det omfang, partens interesse i at kunne benytte kendskab til sagens dokumenter til varetagelse af sit tarv findes at burde vige for afgørende hensyn til f.eks. forebyggelse, opklaring og forfølgning af lovovertrædelser, straffuldbyrdelse og lign. samt beskyttelse af sigtede, vidner eller andre i sager om strafferetlig eller disciplinær forfølgning, eller gennemførelse af offentlig kontrol-, regulerings- eller planlægningsvirksomhed eller af påtænkte foranstaltninger i henhold til skatte- og afgiftslovgivningen. Ved en begrænsning efter reglerne i § 15 b vil oplysninger fra Hvidvasksekretariatet kunne undtages fra aktindsigt, og parten vil kunne få indsigt i dokumenternes øvrige oplysninger gennem ekstrahering og delvis aktindsigt.

I stort set alle tilfælde udelader Erhvervsstyrelsen i dag personfølsomme oplysninger og lignende i ovenstående sager. Det vil dog på trods af udeladelsen af oplysningerne i størstedelen af tilfældene være muligt at identificere, hvem der har foretaget underretningen, uanset om de omhandlede oplysninger om eventuelle navne, adresser m.v. på personer/virksomheder er udeladt. Dette hænger bl.a. sammen med, at oplysningen i visse sager kun kan stamme ét sted fra. Det vil bl.a. være muligt alene på baggrund af oplysningens karakter at henføre oplysningen til f.eks. vedkommendes pengeinstitut.

Når der gives aktindsigt i oplysningerne fra Hvidvasksekretariatet efter de nuværende regler, er der således ikke et formaliseret beskyttelseshensyn i forhold til dem, der foretager indberetning hertil. Det er Erhvervsministeriets vurdering, at der behov for at indføre en særlig beskyttelse i disse tilfælde.

2.2.3. Den foreslåede ordning

På baggrund af ovenstående foreslår Erhvervsministeriet, at Erhvervsstyrelsens ansatte pålægges en tavshedspligt for så vidt angår oplysninger, der modtages fra Hvidvasksekretariatet i SØIK som led i kontrollen med udbetaling af kompensation under de erhvervsrettede covid-19-kompensationsordninger. Erhvervsstyrelsen vil med en sådan tavshedspligt blandt andet sikre sig, at tavshedspligten følger oplysningerne. Erhvervsstyrelsen vil endvidere med forslaget få hjemmel til at undlade at oplyse den pågældende om, at Erhvervsstyrelsen har modtaget oplysninger om transaktioner på den pågældende persons konti, f.eks. overførsler fra virksomheder, hvor personen er hovedaktionær, atypiske indsætninger på personens barns konto, indsætninger og hævninger på personens konto, som vedrører erhvervsmæssig aktivitet, eller store kontante indsætninger og hævninger på personens konto efter databeskyttelsesforordningens artikel 14. Bestemmelsen vil således medføre at styrelsen skal fravige oplysningsforpligtelsen i databeskyttelsesforordningen, jf. forordningens artikel 14, stk. 5, litra d, se afsnit 3.2.

De oplysninger, som ordningen omhandler, og som Erhvervsstyrelsen ikke længere må videregive, er samtlige oplysninger som hidrører fra Hvidvasksekretariatet, og som har tilknytning til underretninger efter hvidvasklovens § 26.

3. Lovforslagets forhold til databeskyttelseslovgivningen

3.1. Forslag om whistleblowerordning

Behandling af personoplysninger er omfattet af databeskyttelsesforordningen og lov nr. 502 af 23. maj 2018 om supplerende bestemmelser til forordningen om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (databeskyttelsesloven).

Databeskyttelsesforordningen og databeskyttelsesloven gælder for behandling af personoplysninger, der helt eller delvist foretages ved hjælp af automatisk (elektronisk) databehandling, og for anden ikke-automatisk behandling af personoplysninger, der er eller vil blive indeholdt i et register.

Erhvervsstyrelsens behandling af modtagne klager som led i den foreslåede whistleblowerordning vil indebære behandling af personoplysninger om henholdsvis anmelder og vedkommende fysiske eller juridiske person, der anmeldes. Behandlingen vil for så vidt angår anmelder bestå i indsamling, opbevaring og evt. videregivelse, og for så vidt angår den anmeldte bestå i indsamling og evt. samkøring og videregivelse.

De personoplysninger, som Erhvervsstyrelsen vil behandle er omfattet af databeskyttelsesforordningen (Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) og lov om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (databeskyttelsesloven). Behandlingen af oplysningerne skal således ske i overensstemmelse med disse regler.

Det er forventningen, at de oplysninger, som Erhvervsstyrelsen vil behandle efter de foreslåede regler, er såkaldt almindelige personoplysninger omfattet af databeskyttelsesforordningens artikel 6. I praksis vil det formentlig være personoplysninger som navne og kontaktoplysninger på personer m.v., men det kan forekomme, at oplysningerne også vil vedrøre enkeltmandsvirksomheders forhold, således at cvr-nummer samt formueforhold m.v. også indgår i behandlingen. Der vil ikke blive behandlet særlige kategorier af personoplysninger efter databeskyttelsesforordningens artikel 9, herunder personoplysninger om race eller etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssige tilhørsforhold, helbredsoplysninger eller seksuelle forhold eller seksuel overbevisning m.v.

Ifølge databeskyttelsesforordningens artikel 2, stk. 1, finder forordningen anvendelse på behandling af personoplysninger, der helt eller delvist foretages ved hjælp af automatisk databehandling, og på anden ikke-automatisk behandling af personoplysninger, der er eller vil blive indeholdt i et register. Ved behandling af personoplysninger forstås ifølge forordningens artikel 4, nr. 2, enhver aktivitet eller række af aktiviteter - med eller uden brug af automatisk behandling - som personoplysninger eller en samling af personoplysninger gøres til genstand for, f.eks. indsamling, registrering, organisering, systematisering, opbevaring, tilpasning eller ændring, genfinding, søgning, brug, videregivelse ved transmission, formidling eller enhver anden form for overladelse, sammenstilling eller samkøring, begrænsning, sletning eller tilintetgørelse.

Der kan også indgå cpr-numre i Erhvervsstyrelsens behandling af personoplysninger som led i varetagelsen af den foreslåede whistleblowerordning. Det vurderes, at der vil være hjemmel til en behandling af sådanne oplysninger i henhold til databeskyttelseslovens § 11, hvorefter en offentlig myndighed kan behandle oplysninger om personnummer med henblik på entydig identifikation.

I forordningens artikel 5, stk. 1, er fastsat en række grundlæggende principper, der gælder for alle behandlinger af personoplysninger, som omfattes af forordningen.

Bestemmelsen fastsætter således, at personoplysninger skal »behandles lovligt, rimeligt og på en gennemsigtig måde i forhold til den registrerede (»lovlighed, rimelighed og gennemsigtighed«)«. Det fastsættes endvidere, at personoplysninger skal »indsamles til udtrykkeligt angivne og legitime formål og ikke må viderebehandles på en måde, der er uforenelig med disse formål (»formålsbestemthed«)«. Personoplysninger skal også »være tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt i forhold til de formål, hvortil de behandles (»dataminimering«)«. Endvidere gælder, at personoplysninger skal »være korrekte og om nødvendigt ajourførte, og der skal tages ethvert rimeligt skridt for at sikre, at personoplysninger, der er urigtige i forhold til de formål, hvortil de behandles, straks slettes eller berigtiges (»rigtighed«)«. Det fastlægges tillige i artikel 5, at personoplysninger skal »opbevares på en sådan måde, at det ikke er muligt at identificere de registrerede i et længere tidsrum end det, der er nødvendigt til de formål, hvortil de pågældende personoplysninger behandles (»opbevaringsbegrænsning«)«. Endelig skal personoplysninger »behandles på en måde, der sikrer tilstrækkelig sikkerhed for de pågældende personoplysninger, herunder beskyttelse mod uautoriseret eller ulovlig behandling og mod hændeligt tab, tilintetgørelse eller beskadigelse, under anvendelse af passende tekniske eller organisatoriske foranstaltninger (»integritet og fortrolighed«)«.

Den dataansvarlige er ansvarlig for og skal kunne påvise, at principperne i artikel 5, stk. 1, overholdes (»ansvarlighed«), jf. forordningens artikel 5, stk. 2.

Erhvervsstyrelsen vil i forbindelse med administrationen af whistleblowerordningen ikke indhente og opbevare større mængder af oplysninger om de anmeldte, end hvad der er behov for i den konkrete kontrolsag. Styrelsens administration af ordningen vil således være i overensstemmende med kravet om dataminimering.

Det almindelige krav om proportionalitet i databehandlingen vil således efter styrelsens opfattelse være opfyldt. Samtidig bemærkes, at der som udgangspunkt vil ske sletning af de oplysninger, som ikke skal gemmes som følge af en anden retlig forpligtelse (eksempelvis hvis oplysningerne er journaliseringspligtige), når det vurderes, at der ikke længere er behov for dem, hvilket varetager hensynet om opbevaringsbegrænsning.

Endelig vil Erhvervsstyrelsen sætte adgangsbegrænsning på adgangen til oplysningerne, hvormed kun relevante medarbejdere vil få adgang til personoplysningerne.

I databeskyttelsesforordningens artikel 6 fastsættes de generelle betingelser for, hvornår behandling af ikke-fortrolige oplysninger må finde sted. Af bestemmelsen følger, at behandling kun er lovlig, hvis mindst en af betingelserne i stk. 1, litra a-f er opfyldt, herunder hvis behandling er nødvendig for at overholde en retlig forpligtelse, som påhviler den dataansvarlige, jf. stk. 1, litra c, eller som er nødvendig af hensyn til udførelse af en opgave i samfundets interesse, eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt, jf. stk. 1, litra e.

Det fremgår i den forbindelse af præambelbetragtning nr. 45, at hvis behandling foretages i overensstemmelse med en retlig forpligtelse, som påhviler den dataansvarlige, eller hvis behandling er nødvendig for at udføre en opgave i samfundets interesse, eller som henhører under offentlig myndighedsudøvelse, bør behandlingen have et retsgrundlag i EU-retten eller medlemsstaternes nationale ret. Der henvises nærmere til side 129-130 i Justitsministeriets betænkning nr. 1565/2017 om databeskyttelsesforordningen.

Efter forordningens artikel 6, stk. 2 og 3, er det muligt i medfør af artikel 6, stk. 1, litra c og e, om behandling af personoplysninger på baggrund af en retlig forpligtelse eller i samfundets interesse, at opretholde og indføre mere specifikke bestemmelser, end forordningen indeholder. Den foreslåede persondatabehandling vil ligge inden for rammerne af den hjemmel, der er nævnt i databeskyttelsesforordningens artikel 6, stk. 1, litra e, idet behandlingen er nødvendig af hensyn til udførelsen af en opgave i samfundets interesse.

Med den foreslåede bestemmelse indføres imidlertid nationale særregler for behandling af almindelige personoplysninger, hvorfor tjeklisten ved udarbejdelse af nye nationale særregler for behandling af ikke-følsomme personoplysninger, jf. side 168 ff., i Justitsministeriets betænkning nr. 1565/2017, skal iagttages. Erhvervsministeriet har foretaget vurderingen af de foreslåede bestemmelser i overensstemmelse hermed.

For så vidt angår den dataansvarliges oplysningspligt vil Erhvervsstyrelsen leve op til oplysningsforpligtelsen i databeskyttelsesforordningens artikel 13 over for de anmeldere, som opgiver deres identitet via whistleblowerordningen i forbindelse med anmeldelsen.

Det følger af databeskyttelsesforordningens artikel 14, at den dataansvarlige endvidere skal give den registrerede en række oplysninger i forbindelse med indsamling af personoplysninger, som ikke er indsamlet hos den registrerede selv. Dette indebærer som omtalt under afsnit 2.1., at den anmeldte som udgangspunkt skal orienteres, om styrelsens behandling af vedkommendes personoplysninger, så snart der er foretaget en anmeldelse af vedkommende i whistleblowerordningen.

Som undtagelse hertil fremgår dog af følgende af databeskyttelseslovens § 22:

»Bestemmelserne i databeskyttelsesforordningens artikel 13, stk. 1-3, artikel 14, stk. 1-4, artikel 15 og artikel 34 gælder ikke, hvis den registreredes interesse i oplysningerne findes at burde vige for afgørende hensyn til private interesser, herunder hensynet til den pågældende selv.«

Det bemærkes, at information til den anmeldte om en henvendelse via whistleblowerordningen i de tilfælde, hvor anmeldelsen er åbenbart grundløs eller lignende, med stor sandsynlighed vil skabe unødig bekymring hos den anmeldte, konflikt på arbejdspladsen, risiko for repressalier eller ængstelighed hos anmelder, hvorfor det er ministeriets opfattelse, at oplysningspligten i forordningens artikel 14 efter en konkret vurdering bør vige af hensyn til den registrerede selv og anmelder.

Udgangspunktet om oplysningspligt finder endvidere ikke anvendelse, jf. forordningens artikel 14, stk. 5, litra b, hvis og i det omfang udgangspunktet sandsynligvis vil gøre det umuligt eller i alvorlig grad vil hindre opfyldelse af formålene med denne behandling. Dette kunne f.eks. forekomme i forbindelse med politimæssig efterforskning af en konkret sag.

Det vil f.eks. være tilfældet, hvis en underretning efter en konkret vurdering kan skade en efterforskning eller forfølgning af en lovovertrædelse.

Erhvervsministeriet er opmærksom på, at Erhvervsstyrelsens om dataansvarlig skal opfylde sin oplysningsforpligtelse, så snart ovenstående beskyttelseshensyn ikke længere er til stede.

Dog bemærkes, at den anmeldte i alle tilfælde vil blive underrettet om anmeldelsen via whistleblowerordningen, såfremt henvendelsen giver anledning til konkret stillingtagen, og forholdet er omfattet af partshøringsforpligtelsen i forvaltningslovens § 19.

Endelig skal det generelt bemærkes, at de øvrige bestemmelser i databeskyttelsesforordningen og databeskyttelsesloven ligeledes skal iagttages, når Erhvervsstyrelsen behandler personoplysninger som led i whistleblowerordningen.

3.2. Forslag om tavshedspligt ved modtagelse af underretninger fra Hvidvasksekretariatet

Som omtalt ovenfor gælder databeskyttelsesforordningen og databeskyttelsesloven blandt andet for behandling af personoplysninger, der helt eller delvis foretages ved hjælp af automatisk databehandling og på ikke automatisk behandling af personoplysninger, der er eller vil blive indeholdt i et register.

Forordningen og loven gælder imidlertid ikke for behandling af personoplysninger omfattet af Europa-Parlamentets og Rådets direktiv 2016/680/EU af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA (retshåndhævelsesdirektivet). Retshåndhævelsesdirektivet er gennemført ved lov nr. 410 af 27. april 2017 om retshåndhævende myndigheders behandling af personoplysninger (retshåndhævelsesloven).

Hvidvasksekretariatets videregivelse af personoplysninger fra sekretariatets Hvidvaskdatabase skal således ske i overensstemmelse med retshåndhævelseslovens relevante bestemmelser om, hvornår personoplysninger må behandles i lovens §§ 9 og 10.

Herudover skal de grundlæggende principper i retshåndhævelseslovens §§ 4 og 5 iagttages.

Som nævnt under afsnit 2.2, vil Hvidvasksekretariatet videresende oplysninger til Erhvervsstyrelsen, der vurderes at kunne være relevante for styrelsens kontrolopgaver i relation til de introducerede covid-19-kompensationsordninger. Det forudsættes i den forbindelse, at Hvidvaskssekretariatets videregivelse af oplysninger til Erhvervsstyrelsen sker i overensstemmelse med de relevante gældende regler. Det er således bl.a. et kriterium, at oplysningerne kan have betydning for Erhvervsstyrelsens opgave med at forebygge og bekæmpe svindel med styrelsens kompensationsordninger som følge af covid-19. Dette indebærer, at Hvidvasksekretariatet ikke må videregive flere oplysninger end nødvendigt for, at Erhvervsstyrelsen på et forsvarligt grundlag kan beslutte, om der er grundlag for at gå nærmere ind i sagen.

Erhvervsstyrelsens behandling af oplysningerne efter modtagelse heraf skal ske i overensstemmelse med databeskyttelsesforordningens og databeskyttelseslovens bestemmelser herom, herunder reglerne om behandlingshjemmel, jf. ovenfor under afsnit 3.1.

I tilfælde, hvor der foretages videregivelse af oplysninger omfattet af retshåndhævelsesloven, følger det af lovens § 6, at den videregivende kompetente myndighed fastsætter og underretter om eventuelle særlige vilkår for behandling af oplysningerne. Det følger endvidere af § 6, stk. 2, at behandling af oplysninger, der er modtaget fra en kompetent myndighed, ikke må ske i strid med særlige vilkår, som er fastsat af den videregivende kompetente myndighed.

For så vidt angår nærværende forslag til § 22 b, er det Erhvervsministeriets vurdering, at disse regler kan indføres inden for rammerne af forordningens artikel 6 og 10 (om behandling af ikke-fortrolige oplysninger og oplysninger om strafbare forhold og øvrige lovovertrædelser), databeskyttelseslovens § 11 (om behandling af cpr-nummer) samt § 6 og §§ 9-10 i retshåndhævelsesloven.

Det bemærkes, at databeskyttelsesforordningens og databeskyttelseslovens øvrige bestemmelser, herunder reglerne om pligter for den dataansvarlige, på tilsvarende måde som omtalt ovenfor under afsnit 3.1., som udgangspunkt gælder for behandling af personoplysninger inden for rammerne af den foreslåede bestemmelse til § 22 b. Disse regler skal således iagttages, når personoplysninger behandles efter den foreslåede bestemmelse.

Efter forordningens artikel 5, stk. 1, litra e, skal personoplysninger opbevares på en sådan måde, at det ikke er muligt at identificere de registrerede i et længere tidsrum end det, der er nødvendigt til de formål, hvortil de pågældende personoplysninger behandles. Bestemmelsen forpligter således den dataansvarlige til at slette af egen drift. Dette vil i Erhvervsstyrelsen ske ud fra samme betragtninger som omtalt under afsnit 3.1.

Målgruppen for databehandlingen efter forslaget til § 22 b, er afgrænset i overensstemmelse med princippet om formålsbegrænsning i forordningen. Det er således et kriterium, at oplysningerne kan have betydning for myndighedernes opgave med at forebygge og bekæmpe svindel med Erhvervsstyrelsens kompensationsordninger som følge af covid-19. Oplysningerne vil blive videregivet i ikke-aggregeret og ikke-pseudonymiseret form, det vil sige, at oplysningerne vil kunne henføres til en bestemt registreret uden brug af supplerende oplysninger. Dataudvekslingen vil imidlertid ske på en sikker måde, idet udvekslingen af data sker mellem parter, der i forvejen er vant til at behandle personoplysninger med de nødvendige tekniske og organisatoriske sikkerhedsforanstaltninger iagttaget.

Det vurderes således, at databehandlingen, der vil finde sted efter de foreslåede bestemmelser, har et legitimt formål, og at kravet om lovlighed, rimelighed og gennemsigtighed efter forordningen anses for at være opfyldt.

Det vurderes endvidere, at behandlingen af personoplysninger er tilstrækkelig, relevant og begrænset til, hvad der er nødvendig i forhold til de formål, hvortil de behandles.

Det er som følge heraf vurderingen, at den behandling, der lægges op til, vil være i overensstemmelse med forordningens artikel 5 om principperne for behandling af personoplysninger.

Med den foreslåede bestemmelse til § 22 b, vil Erhvervsstyrelsen behandle almindelige personoplysninger efter forordningens artikel 6, særlige kategorier af personoplysninger efter forordningens artikel 9 og personoplysninger vedrørende straffedomme og lovovertrædelser efter forordningens artikel 10, jf. databeskyttelseslovens § 8, samt cpr-nummer i overensstemmelse med databeskyttelseslovens § 11. Oplysningerne vedrører bl.a. navn, cpr-nummer, virksomhedsnavn og cvr-nummer, samt hvilken strafbar overtrædelse mistanken omhandler. Underretningerne kan undtagelsesvist indeholde oplysninger om religiøst eller fagforeningsmæssigt tilhørsforhold, helbredsoplysninger eller oplysninger om seksuel orientering.

For så vidt angår behandlingen af følsomme personoplysninger, vurderes det, at der er hjemmel til behandlingen i databeskyttelsesforordningens artikel 9, stk. 2, litra f. Der lægges i den forbindelse navnlig vægt på, at behandlingen af oplysningerne sker som led i offentlig myndighedsudøvelse, og at udvekslingen vil kunne have en nødvendig betydning for administrativ afgørelsesvirksomhed. Det vurderes desuden, at de foreslåede bestemmelser kan rummes inden for forordningens artikel 9, stk. 2, litra g, da der med bestemmelserne skabes national hjemmel til en behandling, som er nødvendig af hensyn til væsentlige samfundsinteresser.

Hjemlen til at behandle oplysninger om strafbare forhold findes i databeskyttelsesforordningens artikel 10, og databeskyttelseslovens § 8, stk. 1.

I medfør af databeskyttelseslovens § 11, kan en offentlig myndighed behandle oplysninger om personnummer med henblik på entydig identifikation.

For at beskytte de personoplysninger, der med de foreslåede bestemmelser lægges op til at behandle, foreslås det, at det kommer til at fremgå klart af lovteksten, at ansatte i Erhvervsstyrelsen, der som led i deres arbejde modtager oplysninger i overensstemmelse med den foreslåede bestemmelse, er underlagt en særlig tavshedspligt med hensyn til de pågældende oplysninger.

Ansatte i Erhvervsstyrelsen, der modtager oplysninger fra Hvidvasksekretariatet med henblik på kontrol med kompensationsordningerne på Erhvervsstyrelsens område som følge af covid-19, skal således under ansvar efter straffelovens §§ 152, 152 a, og §152 c-152 f, hemmeligholde de modtagne oplysninger.

Det bemærkes, at det også som følge af bestemmelserne om særlig tavshedspligt, vil være muligt at gøre undtagelse til den registreredes indsigtsret i databeskyttelsesforordningens artikel 15, stk. 1, i samme omfang som efter reglerne i offentlighedslovens §§ 19-29 og § 35, jf. databeskyttelseslovens § 22, stk. 3.

Samtidig bemærkes, at bestemmelsen vil medføre, at der kan gøres undtagelse til oplysningspligten efter databeskyttelsesforordningens artikel 14, stk. 5, litra d, idet der vil være tale om oplysninger, som skal forblive fortrolige som følge af tavshedspligt i henhold til EU-retten eller medlemsstaternes nationale ret, herunder lovbestemt tavshedspligt.

Samlet vurderes det, at behandlingen af oplysninger efter den foreslåede bestemmelse, kan finde sted inden for rammerne af forordningen og databeskyttelsesloven. Der indføres imidlertid med bestemmelsen nationale særregler for behandling af personoplysninger efter artikel 6 og 10, hvorfor tjeklisten ved udarbejdelse af nye nationale særregler for behandling af ikke-følsomme personoplysninger, jf. side 168 ff., i Justitsministeriets betænkning nr. 1565/2017, skal iagttages. Erhvervsministeriet har foretaget vurderingen af de foreslåede bestemmelser i overensstemmelse hermed.

4. Økonomiske konsekvenser og implementeringskonsekvenser for det offentlige

Lovforslaget medfører omkostninger for staten til etablering samt drift af whistleblowerordningen. Der kan ikke på nuværende tidspunkt gives et præcist udgiftsskøn vedr. etablering og drift af en whistleblowerordning. Ressourcebehovet til drift kan vise sig at være betydeligt, såfremt der kommer mange anmeldelser. Der vil også være udgifter til etablering af et teknisk set-up, hvor der dog forventes at kunne genbruges erfaringer og teknologi fra den eksisterende whistleblowerordning på revisionsområdet og strukturfondsområdet.

Et foreløbigt estimat vil være, at en it-løsning vil indebære udgifter for 1 mio. kr., og at der skal afsættes op til 10 årsværk årligt til håndtering af henvendelser, svarende til en udgift på 8 mio. kr. i 2020 og årligt herefter, så længe ordningen skal eksistere, heraf 6 mio. kr. i lønsum årligt. Udgifterne vil blive afholdt inden for administrationsbevillingerne til covid-19-kompensationsordningerne.

5. De økonomiske og administrative konsekvenser for erhvervslivet m.v.

Lovforslaget medfører ikke økonomiske eller administrative konsekvenser for erhvervslivet.

6. De administrative konsekvenser for borgerne

Lovforslaget har ingen administrative konsekvenser for borgerne.

7. De miljømæssige konsekvenser

Lovforslaget har ikke miljømæssige konsekvenser.

8. Forholdet til EU-retten

Lovforslaget indeholder ikke EU-retlige aspekter. Når Europa-Parlamentets og Rådets direktiv (EU) 2019/1937 af 23. oktober 2019 om beskyttelse af personer, der indberetter overtrædelser af EU-retten (whistleblowerdirektivet) implementeres i dansk ret, kan det betyde, at den foreslåede whistleblowerordning for Erhvervsstyrelsens covid-19-kompensationsordninger skal tilpasses.

9. Hørte myndigheder og organisationer m.v.

Et udkast til lovforslag er ikke forinden fremsættelsen sendt i offentlig høring. Lovforslaget ønskes hastebehandlet, bl.a. idet der dagligt udbetales meget store beløb i kompensation til virksomhederne, og tusindvis af lønmodtagere i den kommende tid vil modtage oplysninger om, hvilken periode deres arbejdsgiver har modtaget lønkompensation for. For at kunne modtage og behandle værdifulde anmeldelser om mulig svindel med kompensationsmidlerne igennem whistleblowerordningen og for at kunne udveksle oplysninger om mulig svindel med bl.a. politiet og anklagemyndigheden hurtigst muligt, er det vurderingen, at interessen i en forudgående offentlig høring må vige for samfundets interesse i en hurtig behandling og vedtagelse af lovforslaget. Lovforslaget sendes derfor ikke i høring i forbindelse med fremsættelsen.

Til § 1

Til nr. 1

Det følger af den gældende § 22 i erhvervsfremmeloven, at erhvervsministeren fra personer og virksomheder, der ydes midler efter loven, kan kræve alle oplysninger og regnskaber til brug for kontrol og tilsyn. Regnskaber omfatter årsregnskaber med eventuelle koncernregnskaber og ledelsesberetninger, periode- og delregnskaber samt relevant regnskabsmateriale, herunder bogføringsmateriale, ledelsens protokoller og lignende materiale, revisors protokoller og beretninger m.v. samt andet materiale og oplysninger, som skønnes af betydning for udførelsen af kontrol og tilsyn. Det følger af den gældende bestemmelse i stk. 2, at Erhvervsministeren efter aftale med finansministeren kan bemyndige en underliggende myndighed til at træffe afgørelser i forbindelse med gennemførelsen af kontrol og tilsyn efter denne lov. Endelig følger det af den gældende stk. 3, at erhvervsministeren mod behørig legitimation uden retskendelse til brug for den i stk. 1 nævnte kontrol og tilsyn kan få adgang til en virksomheds eller sammenslutnings lokaler og transportmidler, og på stedet gøre sig bekendt med og tage kopi af enhver oplysning, herunder regnskaber, regnskabsmateriale, bøger, andre forretningspapirer og elektronisk lagrede data. Der henvises til afsnit 2.1 i lovforslagets almindelige bemærkninger for en nærmere beskrivelse af gældende ret. Der eksisterer i dag ikke en whistleblowerordning, som sikrer anmelderen af mistænkelige forhold diskretion i forhold til offentligheden, da de almindelige forvaltningsretlige regler i offentlighedsloven og forvaltningsloven som udgangspunkt ikke undtager en anmelders navn fra retten til aktindsigt eller partsaktindsigt.

Med forslaget indsættes en bestemmelse i erhvervsfremmelovens § 22 a om etablering af en whistleblowerordning i Erhvervsstyrelsen.

Det foreslås i bestemmelsens stk. 1, 1. pkt., at Erhvervsstyrelsen etablerer en whistleblowerordning, som omfatter de erhvervsrettede covid-19-kompensationsordninger, som administreres af Erhvervsstyrelsen. Ordningen skal således understøtte Erhvervsstyrelsens kontrolindsats i forhold til de oplysninger, styrelsen modtager i forbindelse med behandlingen af kompensationssager.

Efter bestemmelsens 2. pkt. omfatter ordningen alene oplysninger af betydning for styrelsens efterprøvelse af kompensationsgrundlaget. Dermed afgrænses ordningens anvendelsesområde til henvendelser om forhold af betydning for styrelsens vurdering af oplysninger om, hvorvidt kompensationsbetingelserne er opfyldt. Den indholdsmæssige afgrænsning skal modvirke, at ordningen utilsigtet benyttes til anmeldelse af andre forhold, som er kompensationsordningerne uvedkommende

Efter bestemmelsens 3. pkt. kan Erhvervsstyrelsen afvise anmeldelser, som ikke er omfattet af ordningen. Samtidig vil styrelsen blive undtaget fra den forvaltningsretlige forpligtelse til at videresende anmeldelserne til rette myndighed. Med bestemmelsen gives Erhvervsstyrelsen dermed adgang til at afvise anmeldelser, som fejlagtigt er indgivet under den særlige whistleblowerordning for mistanke om misbrug af de erhvervsrettede kompensationsordninger.

Hvis det efterfølgende konstateres, at anmeldelsen vedrører forhold, som ikke er omfattet af whistleblowerordningen, vil oplysningerne om anmelders identitet ikke længere være underlagt den særlige beskyttelse, jf. lovforslagets § 1, stk. 2. Bestemmelsens 3. pkt. omfatter også anmeldelser, der åbenlyst falder uden for den i lovforslaget foreslåede whistleblowerordning. Efter forvaltningslovens § 7, stk. 2, har en myndighed, der modtager en skriftlig henvendelse uden for sit ressortområde, som udgangspunkt pligt til at videreformidle henvendelsen til rette myndighed. Dette udgangspunkt fraviges med bestemmelsen i stk. 1, 3. pkt. Styrelsen kan således afvise en anmeldelse, som for eksempel vurderes at være åbenbar grundløs, uvæsentlig eller som vedrører forhold, som ikke har noget at gøre med de statslige kompensationsordninger eller henhører under et andet ressort. Der består i sådanne tilfælde ikke en pligt for Erhvervsstyrelsen til at videresende anmeldelsen til en rette myndighed. Det bemærkes i den forbindelse, at en eventuel videresendelsespligt til relevante ressortmyndighed i forhold til det formentligt ganske betydelige antal henvendelser, som må forventes helt eller delvist at falde uden for ordningens anvendelsesområde, ville medføre et uforholdsmæssigt ressourceforbrug og en uhensigtsmæssig sagsgang, idet det ikke er intentionen, at whistleblowerordningen skal bruges som en fælles indgang til samtlige statslige myndigheder for så vidt angår oplysninger om virksomhedernes adfærd, herunder i forhold til kompensationsordningerne. Whistleblowerordningen er heller ikke tiltænkt at være en generel kommunikationskanal til styrelsen. Virksomheder og organisationer, der ønsker at korrespondere om kompensationsordningerne med Erhvervsstyrelsen, må henvises til at rette henvendelse ad de almindelige, officielle kanaler, lige så vel som fx en fagforening, der ønsker formelt at gøre indsigelse over for en virksomheds ret til lønkompensation i almindelighed må gøre dette officielt. Det bemærkes endvidere, at muligheden for at afvise anmeldelser er fakultativ og kan fraviges, hvis anmeldelsens karakter tilsiger dette, eksempelvis hvis anmeldelsen vedrører grove overtrædelser af anden lovgivning. I disse tilfælde vil anmelders identitet dog som udgangspunkt ikke være omfattet af den særlige beskyttelse i medfør af den foreslåede whistleblowerordning.

Med den foreslåede bestemmelse i stk. 2 fastslås det, at Erhvervsstyrelsen ikke må videregive oplysninger om identiteten på en person eller oplysninger, som kan anvendes til at udlede identiteten på en person, når vedkommende igennem whistleblowerordningen, jf. stk. 1, har anmeldt en fysisk eller en juridisk person til styrelsen for overtrædelse eller potentiel overtrædelse af reglerne om kompensation til virksomheder m.v. i økonomisk krise som følge af covid-19, jf. dog stk. 3. Identitetsoplysningerne må således hverken udleveres til parter f.eks. den virksomhed, anmeldelsen vedrører, eller til offentligheden i kraft af reglerne om aktindsigt og partsaktindsigt. De oplysninger, som er omfattet af bestemmelsen, udgør bl.a. oplysninger om identiteten på en person, dvs. vedkommendes navn eller personnummer eller oplysninger, som kan anvendes til at udlede identiteten på en person såsom postadresse, e-mailadresse, telefonnummer, eller metadata som ip-adresse eller andet identifikationsnummer. Det bemærkes, at sådanne oplysninger i almindelighed ikke vil være at betragte som fortrolige oplysninger i henhold til forvaltningslovens § 27, og dermed ikke kunne undtages fra retten til aktindsigt. Af de anførte grunde foreslås det, at der indføres en generel begrænsning i adgangen til videregivelse af oplysninger vedrørende identiteten af personer, der henvender sig til Erhvervsstyrelsen igennem whistleblowerordningen. Oplysninger om anmelders identitet må således kun videregives i de i stk. 3 og 4 anførte tilfælde. Bestemmelsen går således forud for både forvaltningsloven og offentlighedslovens bestemmelser om retten til aktindsigt.

Med den foreslåede bestemmelse i stk. 3, fastslås det, at Erhvervsstyrelsen kan videregive alle nødvendige oplysninger, som er modtaget som led i whistleblowerordningen, til anklagemyndigheden og politiet samt til andre myndigheder til brug for disses opgaver relateret til de statslige kompensationsordninger i anledning af covid-19. Dermed vil det altid være muligt for Erhvervsstyrelsen at videregive nødvendige oplysninger, som er modtaget som led i whistleblowerordningen, herunder oplysninger om identiteten på en person eller oplysninger, der kan anvendes til at udlede identiteten på en person såsom navn, personnummer, postadresse, e-mailadresse, telefonnummer, eller metadata som ip-adresse eller andet identifikationsnummer, til andre offentlige myndigheder. De relevante myndigheder er typisk anklagemyndigheden og politiet, men med bestemmelsen udelukkes det ikke at videregive oplysningerne til øvrige relevante myndigheder, hvis oplysningerne fra ordningen formålstjenstligt bidrager til den pågældende myndigheds opgaver relateret specifikt til de statslige kompensationsordninger i anledning af covid-19. Den ret til anonymitet over for offentligheden, som foreslås med bestemmelsens stk. 2, kan således ikke udstrækkes til en ret for whistlebloweren til at bevare sin ret til anonymitet over for andre offentlige myndigheder, herunder anklagemyndigheden og politiet. Hvis whistleblowerhenvendelsen for eksempel giver anledning til, at Erhvervsstyrelsen politianmelder forholdet, kan anklagemyndigheden eksempelvis vælge at indkalde whistlebloweren som vidne i en eventuel straffesag mod den fysiske eller juridisk person, oplysningerne vedrører.

Det bemærkes i øvrigt, at hvis en anmelder af et strafbart forhold - i dette tilfælde whistlebloweren - selv har begået den kriminelle handling eller har medvirket hertil, vil han eller hun ifalde strafansvar herfor. Det bemærkes i den forbindelse, at hvis der er konkret mistanke om, at en fysisk eller juridisk person har begået en lovovertrædelse, der kan medføre straf, gælder bestemmelser i lovgivning m.v. om pligt til at meddele oplysninger til myndigheder ikke i forhold til den mistænke, medmindre det kan udelukkes, at de oplysninger, som søges tilvejebragt, kan have betydning for bedømmelsen af den formodede lovovertrædelse, , jf. § 10 i lov nr. 442 af 9. juni 2004 om retssikkerhed ved forvaltningens anvendelse af tvangsindgreb og oplysningspligter (retssikkerhedsloven). Erhvervsstyrelsen skal derfor være opmærksom på, at indhentelse af supplerende oplysninger fra anmelderen - hvis denne er under konkret mistanke for et strafbart forhold - sker under behørig hensyntagen til reglerne om selvinkriminering.

Med bestemmelsens stk. 4, fastsættes det, at den foreslåede § 22 a, stk. 2 og 3, finder tilsvarende anvendelse for andre myndigheder, der har modtaget oplysninger og dokumenter indberettet gennem whistleblowerordningen efter stk. 1. Forbuddet mod at udlevere oplysninger om anmelders identitet eller oplysninger, som kan anvendes til at udlede vedkommendes identitet, følger således med, når oplysningen udleveres til andre myndigheder. Oplysningerne om anmelders identitet er således undtaget fra retten til aktindsigt ved den myndighed, som modtager de pågældende oplysninger fra Erhvervsstyrelsen. Dette sikrer, at myndighederne kan samarbejde effektivt med henblik på at føre tilsyn med eventuel svindel med kompensationsordningerne, uden at hensynet til beskyttelsen af anmelders identitet herved prisgives.

Efter forslaget til bestemmelsen i stk. 5, kan Erhvervsstyrelsen undlade at involvere en fysisk eller juridisk person i sagen om modtagelse af en henvendelse om vedkommende gennem whistleblowerordningen, herunder hvis hensyn til effektiv kontrol og retshåndhævelse taler imod det. En whistleblowerhenvendelse vil, hvis den beror på konkret viden om forholdet og en begrundet mistanke, normalt resultere i, at Erhvervsstyrelsen foretager en partshøring af den fysiske eller juridiske person, som anmeldelsen vedrører, hvorefter styrelsen på baggrund af høringssvar fra den fysiske eller den juridiske person træffer afgørelse om for eksempel sagsafslutning, krav om tilbagebetaling eller indgiver politianmeldelse.

Samtidig vil der kunne være anmeldelser, som har en så alvorlig og veldokumenteret karakter, at der straks må iværksættes kontrol og eventuelt politianmeldelse, og hvor forfølgning af lovovertrædelser, efterforskningsmæssige hensyn og hensyn til bevissikring m.v. taler for, at der ikke foretages partshøring af den omtalte fysiske eller juridiske person, eller at partshøring udskydes til et tidspunkt, hvor disse hensyn ikke længere gør sig gældende.

Ved åbenlyst grundløse anmeldelser forventes det, at Erhvervsstyrelsen meddeler den person, der har henvendt sig gennem whistleblowerordningen, at man fra myndighedens side har modtaget henvendelsen, men at anmeldelsen ikke kan behandles grundet f.eks. manglende dokumentation for mistanken, eller at mistanken efter myndighedens umiddelbare vurdering er grundløs. Ved anmeldelser, der åbenlyst falder uden for den i lovforslaget foreslåede whistleblowerordning, er det det retlige udgangspunkt efter gældende ret, at henvendelsen så vidt muligt skal videregives til den korrekte myndighed i overensstemmelse med forvaltningslovens § 7, stk. 2. Dette udgangspunkt fraviges med dette lovforslag, jf. bestemmelsens § 22 a, stk. 1. For så vidt angår Erhvervsstyrelsens oplysningspligt over for anmelder og den anmeldte i medfør af databeskyttelsesforordningens artikel 13 og 14, henvises til afsnit 3.1 ovenfor.

Endelig foreslås det med bestemmelsen i stk. 6, at anmeldelser i whistleblowerordningen indsendes via en digital indberetningsløsning på Erhvervsstyrelsens hjemmeside. Efter bestemmelsen betinges den delvise anonymitet af, at anmelderen anvender en dertil indrettet digital indberetningsløsning på Erhvervsstyrelsens hjemmeside. Ved at etablere én obligatorisk indgang for anmeldelser nedbringes risikoen for fejlagtig håndtering af anmeldelser, lige som administrationen af ordningen lettes betydeligt. For at sikre en entydig identifikation af anmelder og muliggøre skriftlig opfølgning på henvendelsen, vil brug af indberetningsløsningen kræve, at borgeren legitimerer sig med NemID. I en situation som den aktuelle, hvor selv en kortere udskydelse af udbetaling af kompensation som følge af mistanke om snyd kan have store konsekvenser for ansøgeren, er oplysningen om anmelders identitet af væsentlig betydning for Erhvervsstyrelsens vurdering af anmeldelsen. Det gælder bl.a., fordi oplysningen herom giver mulighed for at stille opklarende spørgsmål og udbede sig nærmere dokumentation for de anmeldte forhold. Legitimationskravet giver endvidere mulighed for at retsforfølge fysiske personer, som måtte anvende indberetningsløsningen til indgivelse af falske anmeldelser eller klagemål, jf. straffelovens bestemmelser herom. Indberetningsløsningen vil indeholde vejledning til brug af løsningen samt information om anmelderens retsstilling, herunder hvis det vurderes, at den indsendte anmeldelse ikke er omfattet af ordningen.

Med forslaget foreslås endvidere indsat en bestemmelse om indførelse af en særlig tavshedspligt som § 22 b i erhvervsfremmeloven. Med § 22 b, stk. 1, foreslås, at ansatte i Erhvervsstyrelsen under ansvar efter straffelovens §§ 152-152 e er forpligtet til at hemmeligholde oplysninger, der har tilknytning til underretninger vedrørende de statslige kompensationsordninger i anledning af covid-19, og som hidrører fra Hvidvasksekretariatet i SØIK. Det kunne f.eks. være oplysninger om en mistænkelig adfærd eller et usædvanligt transaktionsmønster for en virksomhed, der har ansøgt om kompensation. Herudover sikres der bl.a. en beskyttelse af ansatte hos de virksomheder omfattet af hvidvaskloven, som er forpligtede til at foretage underretninger til Hvidvasksekretariatet, f.eks. bankansatte.

Det foreslås i § 22 b, stk. 2, at tavshedspligten også finder anvendelse over for de personer og virksomheder, som oplysningerne vedrører. Herved fraviges forvaltningslovens § 9 om partsaktindsigt, § 19 om partshøring, § 24 om begrundelsespligt og forvaltningslovens §§ 28 og 31 om videregivelse af oplysninger til andre myndigheder.

Det følger af forvaltningslovens § 9, stk. 1, at den, der er part i en sag, hvori der er eller vil blive truffet afgørelse af en forvaltningsmyndighed, kan forlange at blive gjort bekendt med sagens dokumenter. Som følge af, at partsaktindsigtsadgangen i § 9 fraviges, vil den, der er part i sagen, ikke kunne blive gjort bekendt med de oplysninger, som fremgår af sagens dokumenter, der har tilknytning til underretninger vedrørende de erhvervsrettede covid-19-kompensationsordninger, og som hidrører fra Hvidvasksekretariatet.

Det følger af forvaltningslovens § 19, stk. 1, med de undtagelser der følger af stk. 2, at kan en part ikke antages at være bekendt med, at myndigheden er i besiddelse af bestemte oplysninger om en sags faktiske grundlag eller eksterne faglige vurderinger, må der ikke træffes afgørelse, før myndigheden har gjort parten bekendt med oplysningerne eller vurderingerne og givet denne lejlighed til at fremkomme med en udtalelse, og hvis oplysningerne eller vurderingerne er til ugunst for den pågældende part og er af væsentlig betydning for sagens afgørelse. Som følge af, at forpligtelsen i § 19, stk. 1, fraviges, skal Erhvervsstyrelsen, når den foretager partshøring, undlade at inddrage de oplysninger, der har tilknytning til underretninger vedrørende de erhvervsrettede covid-19-kompensationsordninger, og som hidrører fra Hvidvasksekretariatet.

Erhvervsstyrelsen vil således heller ikke længere skulle oplyse den pågældende borger/registrerede om, at Erhvervsstyrelsen har modtaget oplysninger om transaktioner på den pågældende persons konti, f.eks. overførsler fra virksomheder, hvor personen er hovedaktionær, atypiske indsætninger på personens barns konto, indsætninger og hævninger på personens konto, som vedrører erhvervsmæssig aktivitet, eller store kontante indsætninger og hævninger på personens konto efter databeskyttelsesforordningens artikel 14. Der vil altså med den foreslåede bestemmelse blive mulighed for at gøre undtagelse til oplysningsforpligtelsen i databeskyttelsesforordningen, se herom afsnit 3.2.

De oplysninger, som Erhvervsstyrelsen modtager fra Hvidvasksekretariatet, vil fortsat som udgangspunkt alene danne grundlag for en eventuel sagsudvælgelse, og oplysningerne vil fortsat som udgangspunkt ikke i sig selv være tilstrækkelige til, at Erhvervsstyrelsen kan færdiggøre sagen. Endelig vil oplysningerne fra Hvidvasksekretariatet som udgangspunkt fortsat ikke vil indgå i det grundlag, som der træffes en afgørelse på.

Det vil også fortsat som udgangspunkt alene være de oplysninger, som Erhvervsstyrelsen efterfølgende indhenter, der danner grundlag for Erhvervsstyrelsens sagsbehandling, og den registrerede person eller virksomhed vil også fortsat blive partshørt over og have mulighed for aktindsigt i de oplysninger, som Erhvervsstyrelsen efterfølgende selv indhenter. De oplysninger, der vil danne grundlag for Erhvervsstyrelsens afgørelser, vil derfor fortsat være omfattet af den registrerede persons eller virksomheds partsrettigheder efter forvaltningsloven.

Der er tale om en særlig bestemmelse om tavshedspligt, jf. offentlighedsloven § 35, som begrænser pligten til at meddele oplysninger, når der er særlige bestemmelser om tavshedspligt fastsat ved lov eller med hjemmel i lov for personer, der virker i offentlig tjeneste eller hverv. Dette omfatter også pligten til at meddele oplysninger efter reglerne om egenacces i offentlighedslovens § 8.

Tavshedspligten for Erhvervsstyrelsens medarbejdere, efter den foreslåede bestemmelse, består også efter endt ansættelsesforhold.

Til § 2

Det foreslås med bestemmelsens stk. 1, at loven træder i kraft ved bekendtgørelsen i Lovtidende. Det er afgørende for en effektiv kontrol med de erhvervsrettede kompensationsordninger i anledning af covid-19, at der hurtigst muligt etableres en whistleblowerordning, som kan understøtte Erhvervsstyrelsens kontrolindsats i forhold til ordningerne. Henset til kompensationsordningernes økonomiske volumen, bør der tilvejebringes et hjemmelsgrundlag til at give Erhvervsstyrelsen mulighed for at modtage for offentligheden anonyme henvendelser fra virksomheder og personer, der har viden eller mistanke om fejl, misbrug og svindel med midlerne. Derfor bør loven træde i kraft hurtigst muligt.

Til § 3

Det fastsættes med § 3, at loven ikke gælder for Færøerne og Grønland. Loven skal ikke gælde for Færøerne og Grønland, idet det bemærkes, at lov om erhvervsfremme i øvrigt ikke finder anvendelse for Færøerne og Grønland, men dog ved kongelig anordning kan sættes helt eller delvist i kraft for Færøerne og Grønland med de ændringer, som de færøske og grønlandske forhold tilsiger, jf. § 29 i loven. Det bemærkes, at retten til kompensation efter ordningerne, som whistleblowerordningen efter dette lovforslag vil omfatte, alene tilkommer virksomheder, der er registreret i Det Centrale Virksomhedsregister (CVR) samt personer med B-indkomst, som har fast arbejdssted i Danmark. Kompensationsordningerne gælder således ikke virksomheder, der ikke er registreret i Danmark.

Bilag 1

Lovforslaget sammenholdt med gældende lov