sou · GVB323 · 2008-01-01 00:00:00 — Det kan konstateras att i den mån ett innehav är förvaltarregistrerat så försvåras, potentiellt, möjligheterna att identifiera den verkliga huvudmannen. När det gäller identifiering av den verkliga huvud- mannen finns dock en möjlighet att välja huruvida man vill använda offentliga register över verkliga huvudmän, be sina kunder om rele- vanta uppgifter eller erhålla uppgifterna på annat sätt, under förut- sättning att riskbedömningen tillåter detta. Det måste bedömas som en brist, utifrån ett brottsbekämp- ningsperspektiv, att ägarförhållanden i aktiebolag inte alltid kan kontrolleras i ett offentligt register. Frågan om inrättandet av ett aktieägarregister har utretts. Aktiebolagskommittéen fick i tilläggsdirektiv i uppdrag att redovisa förutsättningarna för ett sådant. har föreslagit att samtliga aktieägare i alla bolag utom s.k. avstämningsbolag skall finnas antecknade i ett aktieägarregister (SOU 2001:1 bilaga Aktieägarregister). Beredning av förslaget, som har remitterats, pågår inom . Betänkandet har således ännu inte lett till lagstiftning i denna del. Flertalet stiftelser registreras i stiftelseregistret (se 10 kap. 1 § stiftelselagen). för en stiftelse är den läns- styrelse som skall vara tillsynsmyndighet för stiftelsen. Stiftelser som har tillgångar värda mindre än tio prisbasbelopp behöver dock inte registreras annat än om en registreringsskyldighet följer av stiftelseförordnandet. Det har ifrågasatts om inte alla stiftelser borde registreras. En allmän registreringsplikt skulle, har det häv- dats, underlätta tillsynen och minska utrymmet att utnyttja stiftel- seformen för ekonomiska oegentligheter. har det sagts att nuvarande regler medför att förhållandevis små stiftelser tvingas registrera sig med oproportionerliga kostnader för redovisning, revision m.m. som följd. Stiftelser är således inte i registrerade i ett nationellt register. Under FATF- utvärderingen kritiserade utvärderarna detta förhållande som en brist i effektiviteten, liksom det förhål- landet att vissa mindre stiftelser är helt undantagna från registre- Registrering av stiftelser och huvudmannaskap för registren har varit föremål för utredning. Utredaren har redovisat sitt uppdrag (Vissa frågor i stiftelselagen, DS 2007:7). I promemorian lämnas följande förslag. Alla stiftelser skall vara regi- strerade och tilldelas organisationsnummer. Syftet är att underlätta tillsyn och minska utrymmet att utnyttja stiftelseformen för eko- nomiska oegentligheter genom att det blir enklare att få informa- tion angående en stiftelse. Med registreringen följer också att stif- telsens styrelse eller förvaltare införs i stiftelseregistret. Tillsynen koncentreras till färre länsstyrelser. Förslag lämnas också om bok- föring och revision av stiftelser. Vissa ytterligare krav föreslås för s.k. insamlingsstiftelser. Med hänsyn till pågående redovisade arbete finns inte skäl att i detta sammanhang behandla frågan om innehållet i stiftelseregistret. Vidare kritiserade FATF att flertalet ideella organisationer inte behöver registreras. Sådana juridiska personer anses särskilt sårbara när det gäller terrorismfinansiering. Enligt FATF:s specialrekom- mendation VIII skall länderna se över sin lagstiftning när det gäller ideella organisationer (non-profit organisations) i syfte att de inte skall missbrukas genom att terroristorganisationer använder dem som legitim täckmantel, för att undvika frysningsåtgärder eller genom att dölja överföringar av medel till terroristorganisationer. Inom EU pågår förhandlingar om genomförandet av specialre- kommendationen. är det osäkert vilket utfallet blir. Även om utredningen inte har i uppdrag att se över åtgärder mot penningtvätt och terrorismfinansiering i detta hänseende innebär nämnda förhållande att det knappast är görligt att föreslå föränd- ringar med bäring endast på registrering. Även tidsramarna talar emot ett sådant arbete. har många ideella organisationer, av olika slag och av olika storlek. Frågor om registrering av dessa föreningar innefattar många grundläggande och principiellt viktiga frågor. Dessutom skall ändamålet med en registrering rimligen uppfylla fler behov än de som är betingade av önskemålet att för- hindra penningtvätt och terrorismfinansiering. Utredningen lägger därför inte fram några förslag med anknytning till ideella organisa- tioner. Sammanfattningsvis har utredningen inte bedömt det som möj- ligt att föreslå några lagstiftningsåtgärder eller andra åtgärder när det gäller frågan om tillgång till offentliga register som innehåller uppgifter av betydelse för den som omfattas av regelverket. Svårig- heter att identifiera en person torde få bedömas utifrån den sed- vanliga riskbedömningen som skall göras inom principen om kundkännedom. Däremot har utredningen inte kommit till slutsat- sen att vissa juridiska personer generellt är att bedöma som högriskkunder, vilket i så fall skulle kunna föranleda lagstiftning. 4.7.2Elektroniska systemstöd och kontroller mot listor – förhållandet till personuppgiftslagen Utredningens bedömning och förslag: Lagkrav på användande av elektroniska systemstöd bör inte införas. Kravet på kundkännedom innebär att behandling av personuppgifter blir aktuell i ett antal situationer. Det går inte att med säkerhet förutse alla tänkbara fall. Avvikelser från personuppgiftslagen föreslås för användande av databaser för visst ändamål och identitetshandlingar skall, även om de innehåller känsliga personuppgifter, kunna lagras elektroniskt. Det är angeläget att integritetsskyddsfrågor ges fortsatt uppmärk- samhet framöver. Som framgått av den redogörelsen ställer direktivet långgå- ende krav på kännedom om kunderna, att verksamhetsutövaren bevarar information om sina kunder och följer upp deras verksam- het. Framförallt för aktörer med många kunder, exempelvis banker och försäkringsbolag, ställs särskilda krav på hur denna information skall kunna hanteras på ett praktiskt och lagenligt sätt. Användan- det av elektroniska system är en förutsättning i många fall, vilket också noteras i direktivets preambel som något önskvärt i samband med frysning eller beslag av tillgångar. I övrigt har inte i direktivet angivits hur skyldigheterna i olika avseenden skall fullgöras. förekommer användandet av elektroniska systemstöd hos vissa större banker. I allmänna råd anges att den ökade automatiseringen i det finansiella systemet, såväl i som utomlands, gör att det finns skäl att överväga användandet av elektroniska system vid granskningen av ärenden. Utredningen har inhämtat information om förhållandena i , där det finns lag- krav på elektronisk övervakning av transaktioner för finansinstitu- tioner (LOV nr 41: Lov om tiltak mot hvitvasking av utbyte fra strafbare handlinger mv. (hvitvaskingsloven)). Syftet är framförallt att kunna upptäcka misstänkta transaktionsmönster. Systemet får inte användas i något annat syfte än för att bekämpa penningtvätt. Det finns inte, enligt utredningens mening, anledning att på grund av innehållet i direktivet eller av andra skäl på motsvarande sätt i svensk lag reglera hur kraven på kundkännedom skall uppfyl- las i form av tekniska lösningar och liknande. Mot detta talar också de olika förhållanden som bestämmelserna skall fungera under. Direktivet gäller många olika typer av företag, av olika storlek och med skilda verksamheter. Det finns alltså utrymme för företagen att välja det sätt som är effektivt och ändamålsenligt, utifrån en bedömning av risker och verksamhetens art och omfattning. I en större verksamhet kan därmed vara kostnadseffektivt att för olika ändamål använda sig av elektroniska system. En förutsättning är naturligtvis att det inte råder någon osäkerhet rörande lagligheten av användandet av sådana system. Utredningens uppgift bör därför vara att så långt möjligt söka utröna om användandet av systemstöd kan vara förenat med hinder av olika slag och särskilt i förhållande till personuppgiftslagen. I sådant fall aktualiseras frågan om sär- skilda regler behövs för att ersätta reglerna där. I direktivet har integritetsskyddsfrågorna inte särskilt uppmärk- sammats annat än att det i preambeln (35) bl. a. anges att bestäm- melserna i art 28 (som rör röjandeförbudet) inte får inkräkta på nationell lagstiftning om skydd av personuppgifter och tystnads- plikt. Det är en brist. De åtgärder som företagen har att vidta i form av kontroller och anmälningar av sina kunder gränsar nära till myndigheters brottsutredande arbete, trots att från kundernas horisont de sysslar med förhållandevis vardagliga ting som att öppna ett bankkonto eller köpa en försäkring. Det är av betydelse att klargöra vad som åligger de olika parterna. Det låter sig sägas att en riskbedömning skall göras och att de som omfattas av lagstift- ningen skall känna sina kunder, men hur mycket skall man känna till, dvs. vilka uppgifter om kunderna bör samlas för att en riskbe- dömning skall kunna göras? Vid åtminstone tre olika skeden kan det kan vara aktuellt att behandla personuppgifter då kunden kontrolleras vid inledandet av en affärsförbindelse, vid övervakningen (uppföljningen) av kundförhållandet och slutligen vid en gransknings- och rapporte- ringssituation. Direktivet innehåller ett krav på att bl.a. kreditin- stitut skall inrätta system som gör det möjligt att snabbt och full- ständigt lämna upplysningar om sina affärsförbindelser till myn- digheterna (art. 32). ställer i sina föreskrifter krav på att kopior av utländska pass skall bevaras. För en snabb åtkomst av den handlingen– internt och för att kunna lämna upplysningar- kan det finnas behov av att scanna in hand- lingen för att ha den elektroniskt tillgänglig, vid uppföljning av kundförhållandet. Vid det inledande skedet finns vidare ett praktiskt behov av att utföra kontroller mot vissa listor eller databaser, som innehåller namn på personer och organisationer. Dels finns den s.k. sank- tionslistan, vars användning är särskilt reglerad genom en EG- för- ordning som gäller som lag i . Den berörs inte vidare i detta sammanhang. För svenska banker är det av betydelse att via den s.k. OFAC-listan kontrollera att transaktioner med vissa personer inte genomförs. Kravet på skärpt kundkännedom innebär att s.k. (Politically Exposed Persons) skall identifieras. Gruppen av personer som omfattas är vag i konturerna och ständigt föränderlig. Kraven innebär ett krav på rutiner för att kunna fånga upp dessa personer och därefter tillämpa skärpt övervakning och beslutsfat- tande på en högre nivå än annars. Även dessa personer kan sökas med hjälp av listor, som emellertid inte tillhandahålls av någon myndighet. Det finns kommersiella, utländska, databaser som tillhandahåller registrerade uppgifter om personer, vilka kan användas på olika sätt och som innehåller uppgifter om bland annat . Företagen kan, enligt uppgift, tillhandahålla olika tjänster, och olika delar av data- basen, beroende på önskemål. Den som är abonnent kan på väg kontrollera en person genom en förfrågan om vederbörande är registrerad. Ett särskilt problem kan vara att bedöma kvaliteten på uppgifterna i basen. Abonnenten kan istället välja att ladda ner uppgifterna från databasen, eller samköra sitt kundregister mot uppgifterna. Av direktivet framgår inte närmare hur kravet på fortlöpande övervakning av affärsförbindelserna skall fullgöras. Huvuddelen av verksamhetsutövarna torde alltjämt välja att sköta övervakningen av affärsförbindelserna manuellt. Många företag, framför allt en del stora internationellt verksamma banker, har installerat elektroniska övervakningssystem. Genom dessa system jämförs genomförda transaktioner med ett antal kundprofiler. Dessa innefattar ett antal kriterier för vad som är normalt för olika typer av kunder t.ex. när det gäller transaktionernas antal, belopp, avsändare, mottagare, geografiska destinationer m.m. Om en kund utför transaktioner som avviker från vad som är normalt för hans vidkommande avges en rapport som granskas manuellt. Banken undersöker då närmare om transaktionen stämmer överens med företagets kunskap om kunden och med vad denne uppgivit om syftet med affärsförbin- delsen. Beroende på hur granskningen utfaller kan en rapport till Finanspolisen aktualiseras. Beträffande det sista skedet gäller att det material som rapporte- ras till Finanspolisen enligt penningtvättsregisterlagen får sparas . Den lagen gäller således i stället för personupp- giftslagen i vissa hänseenden. Särskilt om den s.k. OFAC-listan och andra åtgärder av OFAC Datainspektionen har i ett beslut från med stöd av 9 § personuppgiftsförordningen givit ett antal banker till- stånd att behandla personuppgifter om lagöverträdelser i enlighet med deras ansökan. Tillståndet är tidsbegränsat till utgången av . Bakgrunden till beslutet är följande. har ekonomiska sank- tioner mot flera länder, företag och personer vars tillgångar man försöker blockera eller frysa. Dessa sanktioner administreras av Office of Foreign Assets Control (OFAC), en myndighet under amerikanska . OFAC ger ut en lista (tillgäng- lig på hemsida) med dessa länder, företag och personer. I vissa fall är dessa desamma som förekommer på EU:s och FN:s sanktions- listor. Grunderna för uppförandet på listan anges inte, men det torde vanligen vara på grund av misstanke om brottslig verksamhet såsom terrorism, handel med narkotika eller vapen etc. Sanktio- nerna innebär, för svenskt vidkommande, att transaktioner som svenska bankers kunder gör till eller via , eller via andra län- ders banker som använder sig av OFAC-listan, riskerar att frysas. Ett behov finns därför att kunna kontrollera om betalningsavsända- ren- eller mottagaren finns på listan. Kontroll erfordras vid alla utlandsbetalningar oavsett valuta och mottagarland. Skälet är att utlandsbetalningar ofta genomförs i en kedja av banker i olika län- der som använder sig av listan. Vid träff uppstår frågan om tillämpning av penningtvättslagen. Kontrollen är huvudsakligen betingad av bankernas affärsrelationer med amerikanska banker. För att accepteras som samarbetspartners krävs att svenska banker kan utföra kontroller mot OFAC-listan. Datainspektionen bedömde att nedladdning av uppgifterna i och för sig var förbjuden och att möjligheterna till undantag skall utnyttjas restriktivt. Sammanfattningsvis ansågs kontroller mot listan innebära intrång i den personliga integriteten, men att skälen för att få utföra personuppgiftsbehandlingen vägde tyngre än integ- ritetsintrånget. Frågan om SWIFT:s roll i frågan om överförande av stora mäng- der finansiella data till OFAC aktualiserades . SWIFT, som står för Society for Worldwide Interbank Financal Telecom- munication, definierar sig själv som en global messaging interme- diary. Organet skapades 1973 av en grupp europeiska banker i syfte att utveckla en metod för att sända betalningsinstruktioner på ett standardiserat sätt till korrespondentbanker. Bolaget har säte i . SWIFT gav ut viss information efter att ha förelagts av OFAC (som är en del av UST, US Treasury Control). Beslutet föregicks av förhandlingar om villkoren för detta. Inga andra finansiella institutioner informerades om beslutet, inte heller någon tillsyns- myndighet. För att EG-direktivet om personuppgifter (95/46/EG) ska tilläm- pas på ett enhetligt sätt i medlemsstaterna har den s.k. "Artikel 29- gruppen" bildats. Gruppen är rådgivande och oberoende och har också till uppgift att yttra sig till om skyddsni- vån i länder utanför gemenskapen. Dessutom ska gruppen avge ytt- randen om branschöverenskommelser som utarbetas inom EU. Arbetsgruppen består av en företrädare för varje nationell tillsyns- myndighet i EU-medlemsstaterna samt en företrädare för EU- kommissionen. Gruppen har i ett yttrande av uttalat sig om SWIFT:s förfarande. Det beskrivs som en överträdelse av grundläggande europeiska principer när det gäller integritetsskydd och som oförenligt med såväl belgisk rätt som europeisk rätt. Gruppen 29-gruppen konstaterar att SWIFT inte kan ses som endast en processor och inte heller som en underleverantör, oav- sett vilka kontraktuella arrangemang som må finnas. SWIFT har en mer självständig roll än att bara agera på uppmaning av sina kunder. Gruppen konstaterade att ett antal brister vid behandlingen förelåg i förhållande till datatskyddsdirektivet, att ansvaret för dessa brister åvilade SWIFT:s huvudkontor i , men också de banker som Det innebär att samtliga dataskyddsmyndigheter, även den svenska Datainspektionen, kan behöva vidta åtgärder. Enligt 10 § personuppgiftslagen får personuppgifter alltid behand- las med den registrerades samtycke. Enligt 3 § personuppgiftslagen definieras samtycke varje slag av frivillig, särskild och otvetydig viljeyttring genom vilken den registrerade, efter att ha fått infor- mation, godtar behandling av personuppgifter som rör honom eller henne. Är förutsättningarna härför uppfyllda, krävs inte att behandlingen av personuppgifter är nödvändig; även helt onödiga behandlingar får genomföras. Om samtycke saknas får personupp- gifter behandlas om det är nödvändigt. En behandling betraktas som nödvändig bl.a. för att ett avtal med de registrerade skall kunna fullgöras eller om den personuppgiftsansvarige skall kunna fullgöra en rättslig skyldighet. Grundläggande krav som ska vara uppfyllda vid behandling av personuppgifter anges i 9 § personupp- giftslagen. Enligt 9 § punkt b personuppgiftslagen ska den person- uppgiftsansvarige se till att personuppgifter alltid behandlas på ett korrekt sätt och i enlighet med god sed. Enligt 21 § första stycket personuppgiftslagen är det förbjudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administra- tiva frihetsberövanden. En uppgift om att någon har eller misstänks ha begått ett visst brott är en sådan uppgift om lagöverträdelse som omfattas av förbudet. Någon dom eller liknande beträffande brot- tet krävs inte. Datainspektionen har möjlighet att i föreskrifter eller enskilda fall meddela undantag från detta förbud. Tillståndet att använda OFAC-listan är ett exempel på ett sådant undantag. har i andra avseenden utfärdats bara i begränsad omfatt- ning. Som framgått är möjligheten att använda OFAC-listan av vital betydelse för finansiella företag. I realiteten skulle nekad användning i form av nedladdning innebära praktiska och rättsliga problem i samband med utlandsbetalningar, vilket naturligtvis drabbar de finansiella företagens renommé och i slutändan dess kunder. OFAC-listan har bäring på åtgärder mot bland annat ter- rorismfinansiering. Datainspektionen har i sitt beslut, med hänvis- ning till den bindande reglering som finns i form av sanktionslistor och de tvingande reglerna beträffande åtgärder mot penningtvätt och terrorismfinansiering, bedömt att hanteringen av listan bör regleras genom lag eller förordning. OFAC-listan beslutas och hanteras dock utanför de gemensamma internationella regelverken på området, vilka har att genomföra genom bindande lag- stiftning. Utredningen avstår därför från författningsförslag, utan konstaterar att frågan kan prövas genom ett förnyat tillståndsförfa- rande hos Datainspektionen. Till skillnad från användande av t.ex OFAC-listan är uppgifterna i en PEPS-databas, förutsatt att den enbart innehåller de uppgifter om namn, nationalitet och offentlig funktion, inte omfattade av personuppgiftslagens förbud på det sättet att de innehåller upp- gifter om lagöverträdelser. Inte heller torde de omfattas av förbu- det mot att behandla känsliga personuppgifter. Personerna är regi- strerade i kraft av att de innehar eller har innehaft en offentlig funktion, och inte för sina politiska åsikter (jfr 13 §). Möjligheten finns att genom en förfrågan kontrollera om en person finns registrerad som . Om den personuppgiftsansvarige är etablerad utomlands omfattas inte förfarandet av personuppgiftsla- gens bestämmelser. Om i stället uppgifterna laddas ner till det egna systemet eller om de samkörs med det egna kundregistret behand- las personuppgifterna på eget ansvar och med de förutsättningar som angetts ovan. I flertalet fall torde inte några hinder att inhämta samtycke från kunden föreligga. Ett samtycke kan ges på flera sätt. Det är vid tvist den personuppgiftsansvarige som har bevisbördan för att den registrerade lämnat sitt samtycke till att uppgifterna används för att vidta åtgärder. Det bör därför dokumenteras. Det kan sättas i fråga om samtycke är en realistisk metod. Tillåtligheten av den personuppgiftsbehandling som görs med anledning av direktivet torde kunna bedömas mot bakgrund av hu- ruvida behandlingen är nödvändig för att den personuppgiftsansva- rige skall kunna fullgöra en rättslig skyldighet (10 § b). Med en sådan förstås en skyldighet grundad på författningsbestämmelse eller myndighets beslut. Av direktivet framgår inte hur kraven på kundkännedom ska fullgöras. Den rättsliga skyldigheten i detta fall består i att ha rutiner för att kunna identifiera kunden och följa upp kundförhållandet. Detta kan, som redan konstaterats, utföras genom rutiner. Å andra sidan kan i vissa fall detta vara mer tidskrävande och sannolikt kosta mer än vid ett automatiserat förfarande. Inget företag torde kunna bygga upp en egen kunskap om vilka personer som innehar offentliga funktioner runt om i världen. Det är därvid naturligt att det finns ett utrymme för före- tagen att välja de metoder som man bedömer är mest effektiva och ändamålsenliga beroende på verksamhetens art och omfattning. Ett automatiserat förfarande skulle åtminstone för företag med stor kundkrets innebära en påtaglig förenkling för den personuppgifts- ansvarige, vilket torde räcka för att nödvändighetskravet skall vara uppfyllt. Såväl nedladdning av PEP-listor och övervakning av kunden genom elektroniska system av ovan beskriven typ torde kunna vara förenliga med personuppgiftslagen. Utredningen finner att kravet på tydlighet och förutsebarhet i lagstiftningen motiverar en lagregel om personuppgiftsbehandling för användande av databaser inne- hållande uppgifter om . En förutsättning är naturligtvis att övriga krav enligt personuppgiftslagen är uppfyllda, bl.a. vad gäller kvalitet på uppgifterna. Andra fall kan kräva ytterligare överväganden. När det gäller exemplet med t. ex de inscannade passen är en första fråga om det kan anses avslöja ras eller etniskt ursprung, dvs. om det är en behandling av känsliga personuppgifter. Passet innehåller en bild, och i förening med namnet och uppgiften om nationalitet kan dessa personuppgifter förvisso avslöja såväl ras som etniskt ursprung. Även om det skulle anses vara en känslig uppgift kan personuppgiften behandlas genom att samtycke inhämtas från kunden. Det är emellertid ett grundläggande krav i direktivet att identiteten på en kund ska fastställas. Det är också en nödvändig förutsättning för verksamheten inom den finansiella sektorn och flertalet andra branscher. För en del personer är passet den enda tillgängliga identitetshandlingen. Särskilt gäller detta för personer från andra länder. Ett upptagande av dessa personer som kunder får inte försvåras. Även i andra identitetshandlingar än pass blir det vanligare att nationaliteten anges. En sådan behandling underlättar också för att företagen vid förfrågan från eller Finanspolisen skall kunna styrka att tillräckliga kontroller gjorts eller för att kunna lämna över underlag i samband med utredningar; detta särskilt som Finanspolisen strävar efter att tillhandahålla webbanmälningar via formulär. En elektronisk hantering är också i praktiken av stort praktiskt värde i företag med ett stort antal kun- der och i de fall då krav på kundkännedom fullgörs av tredje part. Mot bakgrund av personuppgiftslagens utformning bör en särskild bestämmelse reglera denna behandling. Enligt personuppgiftslagen har den registrerade rätt till informa- tion på sätt som regleras i 23-27 §§. Den personuppgiftsansvarige skall självmant lämna information om behandlingen av uppgifterna.