12 Interna förfaranden för uppgiftslämning

Värdepappersföretag ska införa och upprätthålla lämpliga interna policyer och förfaranden för uppgiftslämning så att personalen kan rapportera potentiella eller faktiska överträdelser av förordning (EU) 2019/2033 och nationella bestämmelser som införlivar direktiv (EU) 2019/2034 genom en särskild, oberoende och fristående kanal. Personalen ska inte behöva ha bevis för en överträdelse för att rapportera den, men de bör ha en grad av säkerhet som ger tillräckliga skäl för att inleda en utredning. Värdepappersföretag ska även införa lämpliga processer och förfaranden som säkerställer att de fullgör sina skyldigheter enligt det nationella genomförandet av Europaparlamentets och rådets direktiv (EU) 2019/1937 av den 23 oktober 2019 om skydd för personer som rapporterar om överträdelser av unionsrätten.

För att undvika intressekonflikter ska det vara möjligt för personalen att rapportera överträdelser utanför sedvanliga rapporteringsvägar (t.ex. genom funktionen för regelefterlevnad, internrevisionsfunktionen eller ett oberoende internt förfarande för rapportering av överträdelser). Förfarandena för uppgiftslämning ska säkerställa att personuppgifterna om både den person som rapporterar överträdelsen och den fysiska person som påstås vara ansvarig för överträdelsen skyddas, i enlighet med förordning (EU) 2016/679²⁶ (allmänna dataskyddsförordningen).

²⁶ Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning).

Förfarandena för uppgiftslämning ska göras tillgängliga för all personal i ett värdepappersföretag.

Information som lämnas av personalen genom förfarandena för uppgiftslämning ska, om så är lämpligt, göras tillgänglig för ledningsorganet och andra ansvariga funktioner som förtecknas i den interna policyn för uppgiftslämning. När så krävs av den anställde som rapporterar en överträdelse ska informationen vidarebefordras till ledningsorganet och andra ansvariga funktioner i anonymiserad form. Värdepappersföretag får också inrätta ett förfarande för rapportering av överträdelser som gör det möjligt att lämna information anonymt.

Värdepappersföretag ska se till att den person som rapporterar överträdelsen skyddas på erforderligt sätt från eventuella negativa konsekvenser, t.ex. repressalier, diskriminering eller andra former av missgynnande behandling. Värdepappersföretag ska säkerställa att ingen person som står under värdepappersföretagets kontroll bestraffar en person som har rapporterat en överträdelse, och ska vidta lämpliga åtgärder mot personer som utför sådan bestraffning.

Värdepappersföretag ska också skydda personer som har rapporterats från eventuella negativa konsekvenser om utredningen inte finner några bevis som motiverar att åtgärder vidtas mot den personen. Om åtgärder vidtas ska värdepappersföretaget vidta dem på ett sätt som skyddar den berörda personen från oavsiktliga negativa konsekvenser som går utöver syftet med den vidtagna åtgärden.

I synnerhet ska interna förfaranden för uppgiftslämning

• a. dokumenteras (t.ex. i form av personalhandböcker),
• b. omfatta tydliga regler som säkerställer att uppgifter om den som rapporterar en överträdelse, den som är föremål för rapporten samt överträdelsen behandlas konfidentiellt i enlighet med förordning (EU) 2016/679, såvida inte röjande av uppgifterna krävs enligt nationell lagstiftning i samband med ytterligare utredningar eller efterföljande rättsliga förfaranden,
• c. skydda personal som lämnar uppgifter från att bestraffas till följd av att de har rapporterat överträdelser,
• d. säkerställa att de potentiella eller faktiska överträdelser som rapporteras bedöms och vidarebefordras, inbegripet, när så är lämpligt, till den berörda behöriga myndigheten eller det berörda brottsbekämpande organet,
• e. säkerställa, när så är möjligt, att bekräftelse på att informationen har mottagits lämnas till personal som har rapporterat potentiella eller faktiska överträdelser,
• f. säkerställa att resultaten av utredningar av rapporterade överträdelser följs upp,
• g. säkerställa att lämplig registerföring och dokumentation sker.