prop · GM0319 · 1999-01-01 00:00:00 — Personuppgifter får enligt 10 § behandlas bara om den registrerade har lämnat sitt samtycket till behandlingen eller om behandlingen är nödvändig för att bl.a. den personuppgiftsansvarige skall kunna fullgöra en rättslig skyldighet. Enligt 22 § får uppgifter om personnummer utan samtycke behandlas bara när det är klart motiverat med hänsyn till bl.a. ändamålet med behandlingen. 10.1.2 förslag Utredningen har föreslagit att de företag som avses i 2 § penningtvättslagen med hjälp av automatisk databehandling skall få föra register över den information om personer och transaktioner som det enligt lag eller föreskrift åligger dem att lämna till finanspolisen eller annan myndighet. Till stöd härför har anförts att det med hänsyn till den hastighet med vilken transaktioner nu genomförs knappast är möjligt att åstadkomma ett effektivt system mot penningtvätt om företagen inte får föra kundinformation med hjälp av ADB. Utredningen påpekar vidare att penningtvättslagen ställer höga krav på de företag som enligt 2 § är uppgiftsskyldiga. Enligt 13 § penningtvättslagen skall dessa ha rutiner till förhindrande av att de utnyttjas för transaktioner som har samband med brottsliga förvärv. Utredningen anser att det inte är möjligt för företagen att uppfylla dessa ålägganden om de inte ges lagstadgad möjlighet att med hjälp av ADB föra register över uppgifter som lämnats med stöd av penningtvättslagen. Utredningen föreslår därför att varje företag skall ha rätt att föra ett databaserat register över de uppgifter som företaget har lämnat till finanspolisen. De uppgifter som enligt förslaget skall få registreras är den anmäldes namn, person- eller organisationsnummer, adress, kontonummer eller annan liknande uppgift samt en kortfattad beskrivning av den händelse som föranlett uppgiftslämnandet. 10.2 Penningtvättsregister Regeringens förslag: Företag som avses i 2 § penningtvättslagen får, för att förhindra att företaget utnyttjas för penningtvätt, med hjälp av automatisk databehandling föra register över uppgifter som företaget lämnat till finanspolisen med stöd av 9 § andra stycket nämnda lag. De närmare förutsättningarna för registreringen skall anges i en särskild lag om penningtvättsregister. Utredningens förslag: Utredningens förslag överensstämmer i huvudsak med regeringens förslag. Regeringens förslag är emellertid mera detaljerat genom att de närmare förutsättningarna för registreringen framgår direkt av lagtexten . Remissinstanserna: Datainspektionen och LO har avstyrkt förslaget. Om förslaget genomförs anser Datainspektionen att den föreslagna lagen måste skärpas. och Justitiekanslern har framfört synpunkter vad gäller frister för bevarande och gallring. har tillstyrkt utredningens förslag. Kammarrätten i , , , , , och Riksåklagaren, har ansett att berörda företag bör få lagra uppgifter om misstänkt penningtvätt även i de fall uppgifterna kommer från andra företag eller från finanspolisen. Skälen för regeringens förslag Avvägning mellan intresset av ett register och enskildas personliga integritet Vissa större banker har med stöd av den nuvarande datalagen ansökt om tillstånd att få inrätta och föra personregister med hjälp av ADB, men Datainspektionen samt, efter överklagande, länsrätten och kammarrätten har avslagit ansökningarna. Automatiserad databehandling av personuppgifter skulle underlätta och effektivisera det brottsbekämpande arbetet väsentligt. Vid bedömningen av huruvida personuppgifter skall få hanteras med hjälp av automatiserad behandling måste emellertid integritetsfrågorna ställas i förgrunden. En utgångspunkt är härvid bestämmelserna i 2 kap. 3 § andra stycket regeringsformen att en person, i den utsträckning som föreskrivs i lag, skall skyddas mot att den personliga integriteten kränks genom att uppgifter om honom eller henne registreras med hjälp av automatiserad databehandling. Datainspektionen och LO har påpekat att möjligheten för banker och andra företag som omfattas av 2 § penningtvättslagen att registrera uppgifter om misstänkt penningtvätt i ADB-register kan komma att medföra att personer, kriminella men även oförvitliga, hamnar på en svart lista . De uppgiftsskyldiga företagen i 2 § penningtvättslagen omfattas av skyldigheten i 13 § att ha rutiner för att förhindra att företaget utnyttjas för penningtvätt. Med stöd av bemyndigande i samma paragrafs andra stycke har bl.a. utfärdat närmare föreskrifter om vilka rutiner som skall följas. Dessa föreskrifter återfinns i (FFFS 1994:9 och 1994:10). I 4 § FFFS 1994:9 föreskrivs att företaget skall ha ett internt rapporteringssystem i syfte att ha kundinformation lätt tillgänglig för föreskrivna kontroller. Enligt 8 § andra stycket FFFS 1994:10 skall företaget, i samband med att misstänkta transaktioner rapporteras till finanspolisen, hålla dokumentation angående genomförda rutinkontroller och granskning inom företaget tillgänglig. Företagen har således möjlighet att föra register över uppgifter som lämnats till finanspolisen. Enligt 21 § personuppgiftslagen är det förbjudet för andra än myndigheter att behandla personuppgifter om bl.a. lagöverträdelser som innefattar brott. I andra stycket finns emellertid möjlighet för regeringen eller den myndighet som regeringen bestämmer att meddela föreskrifter om undantag från förbudet i fråga om automatiserad behandling av personuppgifter. Enligt artikel 8.5 i dataskyddsdirektivet får behandling av sådana uppgifter utföras endast under kontroll av en myndighet eller om lämpliga skyddsåtgärder finns i nationell lag med förbehåll för de avvikelser som medlemsstaterna kan tillåta med stöd av nationella bestämmelser som innehåller lämpliga specifika skyddsåtgärder. Flera remissinstanser däribland Datainspektionen har pekat på att det, om förslagen i betänkandet genomförs, krävs att noga och uttömmande anger gränserna. Utöver ändamålet med registreringen anser Datainspektionen även att tydliga regler om bl.a. innehåll, åtkomst och gallring måste anges. Med hänsyn till det starka samhälleliga intresse av att bekämpa penningtvätt som finns, anser regeringen att de företag som omfattas av uppgiftsskyldigheten bör ges en lagstadgad möjlighet att med hjälp av automatisk databehandling föra register över uppgifter som de lämnat med stöd av penningtvättslagen. För att den personliga integriteten skall skyddas så långt som möjligt och kraven på skyddsåtgärder som ställs i dataskyddsdirektivet skall uppfyllas, måste emellertid ramarna för sådana register noggrant anges. Gränserna för registreringen bör därför framgå direkt av lagen. Uppgifter som får registreras Ändamålet med upprättande av penningtvättsregister är att förhindra att de uppgiftsskyldiga företagen utnyttjas för penningtvätt. Penningtvättsregister bör därför få föras av företagen för att förhindra att de medverkar vid transaktioner som utgör penningtvätt och uppfylla uppgiftsskyldigheten i 9 § andra stycket penningtvättslagen. Det åligger företagen att se till att uppgifterna i registret inte används för något ändamål som är oförenligt med detta. Företagen bör var för sig centralt få föra ett bevakningsregister för penningtvättsärenden vilket skall kunna konsulteras vid misstänkta transaktioner. De personuppgifter som får registreras skall vara adekvata och relevanta för ändamålet. Företagen bör vidare inte få registrera fler personuppgifter än som är nödvändigt. har föreslagit att penningtvättsregister skall innehålla uppgifter som lämnats till finanspolisen med stöd av 9 § andra stycket penningtvättslagen. Riksåklagaren har i det sammanhanget påpekat att registret även bör omfatta uppgifter som lämnats med stöd av tredje stycket i samma paragraf. Regeringen anser att det skulle föra för långt om företagen tilläts registrera även sådana uppgifter som lämnas med anledning av en förfrågan från finanspolisen i en utredning som anmälts av ett annat företag. De uppgifter som får registreras bör således vara sådana som lämnats av företaget med stöd av 9 § andra stycket penningtvättslagen. bör innehålla identifieringsuppgifter avseende fysiska eller juridiska personer som rapporterats till finanspolisen, dvs. uppgift om namn och person- eller organisationsnummer samt adress. Registret bör också innehålla uppgift om kontonummer eller motsvarande. Slutligen bör registret även innehålla de övriga uppgifter som lämnats av företaget med stöd av 9 § andra stycket penningtvättslagen. har i den föreslagna lagen om penningtvättsregister föreslagit att uppgifterna i registret skall få bevaras endast . Som ledning för företagen anges i betänkandet att bör vara en rimlig tidsgräns. Utredningen anser emellertid att detta inte behöver anges i lagen utan bör falla inom ansvarsområde. I ett särskilt yttrande som bilagts betänkandet har den i utredningen förordnade experten föreslagit att det avgörande för om en uppgift skall gallras eller inte skall vara om uppgiften kan antas vara aktuell i ett ärende om penningtvätt. En lagringstid efter det att de senast rapporterade uppgifterna tillförts ett registrerat ärende bör enligt Tetzell vara ett riktmärke. Flera remissinstanser däribland , Jusitiekanslern och Datainspektionen har emellertid påpekat att föreskrifter om hur uppgifter i registret får bevaras bör framgå av lagen. I likhet med den kritik som framförts av remissinstanserna anser regeringen att det, för att skydda den personliga integriteten i så stor utsträckning som möjligt, är lämpligt att tidsgränsen för gallring av uppgifterna i penningtvättsregistret framgår direkt av lagen. I personuppgiftslagen anges att personuppgifter inte skall bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Regeringen anser därför att den föreslagna tidsgränsen är rimlig. Tidsfristen bör löpa från den dag då uppgifterna lämnades till finanspolisen. Det är viktigt att penningtvättsregistret innehåller uppgifter som är aktuella och riktiga. Om polisen beslutar att lägga ned en utredning om penningtvätt som föranletts av uppgifter som lämnats med stöd av penningtvättslagen bör, såsom påpekats av Datainspektionen, företagets uppgifter i registret gallras. Detsamma bör gälla i sådana fall där finanspolisen inte ens funnit skäl att inleda en utredning. Om en förundersökning har avslutats utan att åtal väckts eller lagakraftvunnen dom eller beslut meddelats av domstol med anledning av lämnade uppgifter, bör uppgifterna likaså gallras. Om det förekommer anledning att misstänka att en uppgift i registret är felaktig eller ofullständig, bör företaget utan dröjsmål vidta skäliga åtgärder för att utreda förhållandet. Visar det sig i ett sådant fall att uppgiften var felaktig eller ofullständig bör den rättas, kompletteras eller uteslutas ur registret. Såsom påpekats av Lagrådet, gäller bestämmelserna om rättelse i personuppgiftslagen även vid behandling av personuppgifter i penningtvättsregister. Det torde därför vara tillräckligt att en hänvisning till bestämmelserna om rättelse i personuppgiftslagen tas in i den nya lagen. I 23 § personuppgiftslagen finns bestämmelser om att en enskild person har rätt att få del av de uppgifter om honom själv som finns registrerade. Utredningen har föreslagit att en särskild bestämmelse om undantag från denna regel bör tas in i den nya lagen. Kammarrätten i har påpekat att detta redan framgår av bestämmelsen i 11 § penningtvättslagen om meddelandeförbud. Lagrådet har i denna fråga förordat att en motsvarighet till den av utredningen föreslagna bestämmelsen tas in i den nya lagen för att förebygga att den registrerade begär registerutdrag enligt 26 § personuppgiftslagen. Enligt 27 § samma lag gäller nämligen inte 26 §, om det i bl.a. lag är särskilt föreskrivet att uppgifter inte får lämnas ut till den registrerade. Meddelandeförbudet i 11 § penningtvättslagen avser själva uppgiftslämnandet, medan 26 § personuppgiftslagen tar sikte på själva behandlingen av uppgifter. Härtill kommer att det är önskvärt att en sådan bestämmelse finns med i den särskilda registerlagen. Regeringen delar denna uppfattning och anser därför att en särskild bestämmelse härom bör tas in i den nya lagen. har föreslagit att säkerhetsbestämmelser införs som innebär att endast behöriga personer på säkerhetsavdelning eller personer med jämförbara positioner hos företagen skall få hantera informationen i penningtvättsregistren. Övrig personal skall enligt utredningen endast få tillgång till en markering som visar att behöriga personer skall kontaktas. Enligt utredningens förslag bör det åligga Datainspektionen att meddela närmare föreskrifter härom. Kammarrätten i har ifrågasatt om banker bör ges möjlighet att utöka sina kundregister med spärrmarkeringar av vilka framgår att säkerhetsavdelningen eller motsvarande skall kontaktas. En sådan markering innebär, enligt kammarrätten, i praktiken att all personal som har tillgång till kundregistret genom markeringen också får upplysning om vilka kunder som kan misstänkas för penningtvätt. Kammarrätten ifrågasätter även om det är förenligt med ändamålet med ett kundregister att registrera sådana uppgifter. I föreskrifter (FFFS 1994:9) angående kontrollrutiner m.m. till förebyggande av penningtvätt föreskrivs att uppgiftsskyldiga företag skall ha ett internt rapporteringssystem med kundinformation lätt tillgänglig för föreskrivna kontroller. För att uppfylla detta krav är det viktigt att de åtgärder som föreskrivs i penningtvättslagen kan tillgripas så tidigt och så snabbt som möjligt. Det finns ingenting som hindrar att personal inom företaget tar del av de uppgifter som lämnats till finanspolisen. Något sådant hinder bör inte heller finnas beträffande ADB-register. Det bör i stället ankomma på regeringen eller den myndighet som regeringen bestämmer, att meddela säkerhetsföreskrifter för penningtvättsregister i enlighet med bestämmelserna om säkerhetsåtgärder i personuppgiftslagen (se t.ex. 31, 32 och 50 §§). För att skydda den personliga integriteten är det viktigt att det finns bestämmelser om tystnadsplikt för de personer som får tillgång till uppgifterna i penningtvättsregistret. Banksekretessen i 1 kap. 10 § bankrörelselagen hindrar att enskildas förhållanden till bank obehörigen röjs. Någon motsvarande bestämmelse finns dock inte beträffande alla företag som omfattas av uppgiftsskyldigheten i penningtvättslagen. En särskild bestämmelse om tystnadsplikt bör därför tas in i lagen som innebär att den som är verksam inom ett företag som avses i 2 § penningtvättslagen inte obehörigen får röja uppgift i penningtvättsregister. har anfört att det är angeläget att kronofodemyndigheterna får tillgång till bankernas penningtvättsregister. har därvid hänvisat till skyldigheten i 4 kap. 15 § utsökningsbalken för banker m.fl. att lämna vissa uppgifter till kronofogdemyndigheten för bedömning om det finns utmätningsbar egendom hos en gäldenär. Med hänsyn till intresset av att skydda den personliga integriteten anser regeringen att det inte är lämpligt att kronofogdemyndigheterna får tillgång till företagens penningtvättsregister. För att skydda den personliga integriteten ytterligare, bör det även införas ett uttryckligt förbud i lagen mot samkörning av uppgifter i penningtvättsregister hos de uppgiftsskyldiga företagen, dvs. ett företags penningtvättsregister skall inte få samköras med motsvarande register hos ett annat företag. 11 Sanktioner mot företagen och där verksamma personer Regeringens förslag: Den som uppsåtligen eller av grov oaktsamhet åsidosätter gransknings- eller uppgiftsskyldigheten eller bryter mot meddelandeförbudet skall kunna dömas till böter. Utredningens förslag: Överensstämmer i huvudsak med regeringens förslag. Utredningen har dock föreslagit att anställda i ett företag, oavsett befattning, skall omfattas av straffansvar för brott mot 9 § penningtvätts- lagen samt att fängelse skall ingå i straffskalan. Remissinstanserna: , , och har avstyrkt förslaget att införa sanktioner mot de anställda innan motsvarande bestämmelser har införts för företagen. Riksåklagaren har uppgett att, för det fall att ansvaret skall avse samtliga anställda, ansvaret bör begränsas till uppsåtliga gärningar. Justitiekanslern har anfört att skälen för kriminaliseringen inte framstår som helt övertygande och menar, liksom Kammarrätten i , att förslaget bör analyseras mot bakgrund av de principer om företagaransvar som utbildats i rättspraxis. Skälen för regeringens förslag EG:s direktiv om penningtvätt Av EG:s penningtvättsdirektiv följer bl.a. att medlemsstaterna skall se till att de företag som omfattas av direktivet identifierar sina kunder, granskar alla transaktioner som kan ha samband med penningtvätt samt att företagen, deras styrelseledamöter och anställda rapporterar misstänka transaktioner utan att upplysa kunden om att så har skett. Företagen skall även avstå från att utföra en transaktion beträffande vilken misstanke uppstått till dess behörig myndighet underrättats. Slutligen bör företagen införa rutiner för internkontroll och utbilda de anställda. Enligt artikel 14 i penningtvättsdirektivet skall varje medlemsstat vidta de åtgärder som behövs för en fullständig tillämpning av alla bestämmelser i direktivet och särskilt föreskriva vilka påföljder som skall gälla vid överträdelse av regler som antagits på grund av direktivet. Vid införandet av penningtvättslagen föreslogs inte något straffansvar för den som bryter mot lagens bestämmelser. Det förutsattes att efterlevnaden av bestämmelserna skulle kunna upprätthållas med stöd av arbetsrättslig lagstiftning och de avtal som träffats på arbetsrättens område samt de sanktionssystem som förfogar över i sin tillsynsverksamhet (prop. 1992/93:207 s. 11). I en motion till (1992/93:Ju24) anfördes att det var nödvändigt med långtgående straffsanktioner för att förhindra att den svenska finansmarknaden användes för penningtvätt. Straffansvar föreslogs därför i kombination med företagsbot för banker och andra inrättningar som genomför transaktioner i strid med lagens bestämmelser. Motionen avstyrktes av justitieutskottet som i sitt av godtagna betänkande bl.a. hänvisade till gällande lagstiftning om häleri och företagsbot (1992/93:JuU37). I övrigt ansågs tillsyn, liksom de regler som finns i lag och avtal på arbetsrättens område, vara garantier nog. Utskottet hänvisade även till att restriktivitet rekommenderas i fråga om nykriminalisering. EFTA Surveillance Authority () undersökte hur hade genomfört EG:s penningtvättsdirektiv. Enligt ett yttrande av med anledning av denna undersökning, skulle det ligga närmare den tolkning av direktivet som gjorts av andra medlemsstater att anta påföljdsbestämmelser i form av böter eller fängelse vid brott mot bestämmelserna i penningtvättslagen. Som skäl angavs att samtliga medlemsstater, när direktivet antogs, förbundit sig att vidta alla nödvändiga ändringar i respektive strafflagstiftning för att uppfylla kraven i direktivet. Vidare anfördes att , och infört bestämmelser om böter. I kan även fängelsestraff utdömas vid grov brottslighet. Det svenska straffsystemet bygger på principen att endast fysiska personer kan begå brott och straffas för dessa. Detta utesluter emellertid inte att juridiska personer i vissa fall kan drabbas av sanktioner eller andra betungande rättsverkningar till följd av brott eller andra överträdelser som begås i den verksamhet som bedrivs. Om ett tillståndspliktigt företag i 2 § inte följer de regler om interna rutiner och utbildning av personal som följer av 13 § penningtvättslagen samt av allmänna råd och föreskrifter, kan företaget meddelas varning eller i sista hand återkallelse av tillståndet att driva den tillståndspliktiga verksamheten. kan även meddelas erinran. En översyn av vissa rörelse- och tillsynsregler på bankområdet görs av (dir. 1995:86). Enligt utrednings- direktiven skall kommittén bl.a. överväga behovet av ändrade regler för ingripanden och sanktioner. pågår beredning inom av betänkandet Straffansvar för juridiska personer (SOU 1997:127), vari föreslås att straffansvar för juridiska personer skall införas och sanktionsavgifter som konkurrerar med straffbestämmelser tas bort. Regeringen anser mot denna bakgrund att möjligheten att införa sanktionsbestämmelser mot de företag som omfattas av penningtvättslagen bör samordnas med beredningen av den ovannämnda utredningen resp. betänkandet. Regeringen avstår därför från att nu lägga fram något förslag i den delen. Sanktioner mot personer som är verksamma i företaget I samband med att frågor om sanktioner mot personer verksamma i företag diskuteras är det viktigt att skilja mellan straffrättsliga och administrativa bestämmelser. En person som är verksam i ett uppgiftsskyldigt företag och som uppsåtligen medverkar vid penningtvätt kan dömas enligt häleribestämmelser. Enligt de nu föreslagna reglerna i , kommer en sådan person i fortsättningen att kunna dömas för penninghäleri eller penninghäleriförseelse enligt 9 kap. 6 a och 7 a §§ eller för medhjälp därtill enligt bestämmelserna i samma lagrum jämfört med 23 kap. 4 §. Att bryta mot de administrativa bestämmelserna i penningtvättslagen eller föreskrifter genom att åsidosätta gransknings- eller uppgiftsskyldigheten eller bryta mot meddelandeförbudet är däremot inte straffrättsligt sanktionerat . Som exempel på en sådan situation kan nämnas att den verkställande direktören i ett uppgiftsskyldigt företag beslutar att en misstänkt transaktion inte skall rapporteras till finanspolisen på den grunden att det inte är önskvärt att företaget figurerar i penningtvättssammanhang. För att bekämpningen av penningtvätt skall bli så effektiv som möjligt är det nödvändigt att den lagstiftning som finns på området efterlevs av de personer som är verksamma inom företaget. Detta torde gälla såväl anställda i företaget, t.ex. säkerhetsansvariga, som styrelseledamöter och verkställande direktörer. Straffrättsliga sanktioner för överträdelser av penningtvättslagens administrativa bestämmelser bör därför införas. Hur ansvaret skall fördelas inom företaget har emellertid varit föremål för olika meningar. Flera remissinstanser, däribland , har framfört kritik mot att en anställd kan drabbas av straffansvar för en handling som utförts på grund av att ett företag underlåtit att fullgöra sin skyldighet att skapa tillräckliga förutsättningar för de anställda att efterleva lagstiftningen. De har även påpekat att det förefaller orimligt att ålägga den enskilde tjänstemannen straffansvar om han inte erhållit tillräcklig utbildning eller om företagets rutiner är bristfälliga. Principerna om företagaransvar torde kunna beskrivas enligt följande. Ansvaret åvilar i fråga om aktiebolag och andra juridiska personer med likartad struktur främst styrelsen och den verkställande direktören. I de flesta större företagen måste arbetsuppgifter och ansvar som primärt åvilar företagsledningen delegeras nedåt i organisationen. Det är nödvändigt dels eftersom företagsledningen i praktiken inte kan ha kontroll över hela verksamheten, dels eftersom ledningen av effektivitetsskäl inte kan syssla med detaljfrågor. Om en sådan delegering genomförs på ett korrekt sätt medför den i allmänhet att också straffansvaret flyttas från företagsledningen till den som arbetsuppgiften delegerats till. Detta förutsätter att företagsledningen har organiserat företagets verksamhet på ett rationellt sätt, utsett kompetenta befattningshavare samt sett till att erforderliga instruktioner lämnats. Det fordras vidare att den som fått ansvaret delegerat till sig också har tillräckliga beslutsbefogenheter och ekonomiska resurser för att vidta de åtgärder som är påkallade. Företagsledaren är alltid skyldig att skapa förutsättningar för en betryggande tillsyn och kontroll även om han inte kan utöva den själv. Det bör emellertid observeras att företagsledningens ansvar inte upphör ens efter en korrekt utförd delegering.