Privatlivspolitik for whistleblowerordning

1. FORMÅL

Birch Ejendomme Holding ApS, CVR-nr: 40975292 og alle hertil direkte og indirekte ejede datterselskaber (herefter samlet "Birch Ejendomme", "vi", "os", "vores") har etableret en koncernfælles whistleblowerordning, som vi efter whistleblowerloven er forpligtet til at have, og som er nærmere beskrevet i Birch Ejendommes whistleblowerpolitik. Vi behandler dine oplysninger under whistleblowerordningen, hvis du selv foretager en indberetning, eller hvis du bliver genstand for eller i øvrigt nævnes i en indberetning, som en anden har foretaget. Her kan du læse om, hvordan vi behandler personoplysninger i forbindelse med vores whistleblowerordning. 

2. DATAANSVAR

Birch Ejendomme er dataansvarlig for den behandling af de personoplysninger, som behandles under whistleblowerordningen. Se vores kontaktoplysninger nedenfor under pkt. 10.

3. KATEGORIER AF PERSONOPLYSNINGER OG KILDER

Vi kan behandle identitets- og kontaktoplysninger, ansættelses-/funktionsoplysninger, sagsbeskrivelser, dokumentation (filer/billeder), tekniske metadata (fx tidsstempler/logs), særlige kategorier af persondata (fx helbredsoplysninger, politisk overbevisning, seksuel orientering mv.) samt oplysninger om mulige lovovertrædelser.

Personoplysningerne modtager vi fra whistlebloweren, interne systemer, involverede personer/vidner, åbne kilder og eksterne rådgivere/myndigheder.

4. FORMÅL MED OG RETSGRUNDLAG FOR BEHANDLINGEN AF PERSONOPLYSNINGER

Vores hovedformål er at foretage lovpligtig sagsbehandling af whistleblowerordningen, dvs. at modtage, behandle og følge op på indberetninger, gennemføre nødvendige undersøgelser og opfølgning med hjemmel i:

• Whistleblowerlovens § 22 ved retlig forpligtelse.
• GDPR art. 6(1)(c) ved retlig forpligtelse.
• GDPR art. 9(2)(b) og (g) ved arbejds-/væsentlig samfundsinteresse.
• Databeskyttelsesloven § 8, stk. 3 og stk. 4 ved oplysninger om strafbare forhold.

Derudover anvender vi dine personoplysninger til supplerende formål, herunder nødvendige drifts- og dokumentationsformål, såsom sikkerheds- og adgangslogning, intern dokumentation og kvalitetskontrol, compliance-rapportering, anonymisering til statistik samt etablering, håndhævelse eller forsvar af retskrav med hjemmel i:

• GDPR art. 6(1)(f) for legitime interesser.
• GDPR art. 9(2)(f) for særlige kategorier i retskravssammenhæng.

Indberetninger uden for whistleblowerordningens anvendelsesområde håndteres efter relevant intern proces (fx via HR) med hjemmel i:

• GDPR art. 6(1)(f) for legitime interesser.
• GDPR art. 9(2)(f) for særlige kategorier i retskravssammenhæng og væsentlig samfundsinteresse.
• Databeskyttelsesloven § 8, stk. 3 og stk. 4 ved oplysninger om strafbare forhold.

5. MODTAGERE AF PERSONOPLYSNINGERNE

I det omfang en indberetning fremsendes elektronisk via Birch Ejendommes hjemmeside, vil dine personoplysninger blive behandlet af PricewaterhouseCoopers Statsautoriseret Revisionspartnerselskab ("PwC"), som selvstændig dataansvarlig i forhold til vurdering af hvorvidt indberetningen falder indenfor eller udenfor ordningens anvendelsesområde, bekræftelse af indberetning overfor dig og videresendelse af indberetning til Birch Ejendomme.

Dine personoplysninger kan derudover videregives til vores eksterne rådgivere, hvis vi f.eks. har brug for revisionsmæssig eller juridisk bistand i en whistleblowersag, hvor du er involveret, og hvor de relevante personoplysninger derfor skal bruges. Herudover kan personoplysninger blive videregivet til politiet eller andre myndigheder, hvis dette er nødvendigt.

Hvis indberetningen giver anledning til en nærmere undersøgelse, kan dine personoplysninger blive delt med det koncernselskab, som du er ansat i eller som episoden i øvrigt relaterer sig til.

6. OVERFØRSEL TIL TREDJELANDE

Overførsel af personoplysninger til et land uden for EU/EØS, som EU-Kommissionen har vurderet som sikkert (tilstrækkeligt beskyttelsesniveau), kan ske uden særlig godkendelse. Skal data overføres til et land uden en sådan vurdering, kan det stadig lade sig gøre, hvis der etableres passende garantier, der beskytter de registredes rettighederre, for eksempel ved at indgå EU-Kommissionens standardkontraktbestemmelser med modtageren. Hvis der hverken er en tilstrækkelighedsvurdering eller passende garantier, kan overførsel i særlige tilfælde stadig ske efter undtagelserne i GDPR artikel 49, stk. 1, for eksempel ved udtrykkeligt samtykke, når det er nødvendigt for at opfylde en kontrakt, eller når det er nødvendigt i forbindelse med et retskrav. Du kan få en kopi af passende garantier eller oplysning om, hvor det er blevet gjort tilgængeligt, ved at kontakte os.

7. OPBEVARING AF DINE PERSONOPLYSNINGER

Indledningsvist foretager PwC en vurdering af indberetningen. Hvis indberetningen falder uden for ordningens anvendelsesområde, henvises/videresendes den målrettet til den relevante interne proces eller afdeling i Birch Ejendomme (fx i relation til HR, arbejdsmiljø, compliance, kundeklager eller IT-sikkerhed) uden for whistleblowerordningen. Vi videregiver kun oplysninger i det omfang, det er nødvendigt og lovligt, og vi begrænser kendskab til identitet til et strengt “need-to-know”. Det bemærkes i den forbidnelse, at såfremt du har indgivet en indbertning anonymt, vil din identitet til enhver tid forblive anonym. Irrelevante oplysninger slettes fra ordningen uden unødig forsinkelse.

Hvis det vurderes, at indberetningen er omfattet af ordningen, iværksættes en nærmere undersøgelse og det fulde sagsmateriale opbevares kun så længe, det er nødvendigt for undersøgelse og opfølgning samt eventuelle myndighedsforhold, hvorefter materialet reduceres hurtigst muligt til et snævert dokumentationsspor (“audit trail”), der kan opbevares i op til 5 år af hensyn til dokumentation, herunder intern compliance-dokumentation, og retskrav. Hvis der opstår eller kan opstå tvist/tilsyn/klage, sættes beregningen af fristen på hold, og sletning udskydes proportionalt og dokumenteret.

Hvis der på baggrund af de indsamlede oplysninger gennemføres en disciplinær sanktion over for en berørt medarbejder, eller der i øvrigt foreligger grunde til, at det er sagligt og nødvendigt fortsat at opbevare oplysninger om medarbejderen, overføres kun nødvendige oplysninger til den pågældendes personalesag. Her gælder særskilte HR-slettefrister og “need-to-know” adgangsbegrænsning i overensstemmelse med vores retningslinjer.

8. DINE RETTIGHEDER MV.

Du har efter databeskyttelsesforordningen en række rettigheder i forhold til vores behandling af oplysninger om dig. Hvis du vil gøre brug af dine rettigheder, skal du kontakte os. Dine rettigheder indebærer bl.a.:

• Ret til at se oplysninger (indsigtsret)

Du har ret til at få indsigt i de oplysninger, som vi behandler om dig, samt en række yderligere oplysninger. Der kan være tilfælde, hvor den særlige tavshedspligt i whistleblowerlovens § 25 indebærer en indskrænkning af din indsigtsret, jf. databeskyttelseslovens §  22.

• Ret til berigtigelse (rettelse)

Du har ret til at få urigtige oplysninger om dig selv rettet.

• Ret til sletning

I særlige tilfælde har du ret til at få slettet oplysninger om dig, inden tidspunktet for vores almindelige generelle sletning indtræffer. I så fald sletter vi alle oplysninger, som vi ikke efter lovgivning er pålagt, at skulle gemme, eller som er nødvendige for at opfylde de formål, hvortil de er blevet indsamlet eller på anden måde behandlet.

• Ret til begrænsning af behandling

Du har i visse tilfælde ret til at få behandlingen af dine personoplysninger begrænset. Hvis du har ret til at få begrænset behandlingen, må vi fremover kun behandle oplysningerne – bortset fra opbevaring – med dit samtykke, eller med henblik på at retskrav kan fastlægges, gøres gældende eller forsvares, eller for at beskytte en person eller vigtige samfundsinteresser.

• Ret til indsigelse

Du har i visse tilfælde ret til at gøre indsigelse mod behandlingen af dine personoplysninger. For vores retlige forpligtelse efter whistleblowerlovens § 22 og GDPR art. 6(1)(c) gælder indsigelsesretten som udgangspunkt ikke.

Du kan læse mere om dine rettigheder i Datatilsynets vejledning om de registreredes rettigheder, som du finder på www.datatilsynet.dk.

9. KLAGE TIL DATATILSYNET

Du har ret til at indgive en klage til Datatilsynet, hvis du er utilfreds med den måde, vi behandler dine personoplysninger på. Du finder Datatilsynets kontaktoplysninger på www.datatilsynet.dk.

10. KONTAKTOPLYSNINGER MV.

Hvis du har spørgsmål til vores behandling af dine personoplysninger som led i whistleblowerordningen, kan du kontakte os her:

Kontaktperson: Chief Legal Officer, Birch Ejendomme
Adresse: Sortenborgvej 2, 8600 Silkeborg
Telefonnr.: 89 20 72 00

E-mail: compliance@birchgm.dk

Birch Ejendommes kontaktoplysninger er i øvrigt:

Birch Ejendomme Holding ApS
CVR-nr. 40 97 52 92

E-mail: birchgm@birchgm.dk 

Der henvises i øvrigt til Birch Ejendommes whistleblowerpolitik samt øvrige politikker og retningslinjer, der tillige indeholder en beskrivelse af Birch Ejendommes behandling af personoplysninger.