prop · GX03220 · 2010-05-06 00:00:00 — på grund av omständigheter utanför partens kontroll finns i artikel 78. Enligt denna bestämmelse föreligger inget ansvar i enlighet med reglerna om godkännande och genomförande av betalningstransaktioner (som behandlats i avsnitten 9.49.10) om en part kan åberopa osedvanliga eller oförutsägbara omständigheter som låg utanför dennes kontroll och var omöjliga att avvärja. Av artikel 78 framgår också att ansvar inte kan göras gällande mot en betaltjänstleverantör som är bunden av andra rättsliga En motsvarande bestämmelse föreslås i promemorian. Bestämmelser om ansvarsbefrielse på grund av omständigheter utanför partens kontroll, s.k. force majeure-klausuler är mycket vanliga i olika typer av avtal. Det är mindre vanligt att det i lag uttryckligen föreskrivs om sådan ansvarsbefrielse. Direktivets artikel 78 ska dock, i enlighet med vad som sägs i artikel 86.1, genomföras i svensk rätt. För att den svenska Prop. 2009/10:220 lagstiftningen avseende ansvarsbefrielse vid godkännande och genom- förande av betalningstransaktioner ska överensstämma med direktivet bör dock en bestämmelse som reglerar ansvarsbefrielse i dessa fall införas i den nu föreslagna lagen om betaltjänster. Behandling av personuppgifter om Av betaltjänstdirektivets artikel 79 framgår att medlemsstaterna ska tillåta att betalningssystem och betaltjänstleverantörer behandlar personuppgifter när detta är nödvändigt för att säkerställa förebyggande, undersökning och avslöjande av betalningsbedrägerier. personuppgiftsbehandlingen ska ske i enlighet med och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (det s.k. dataskyddsdirektivet), som innehåller bestämmelser om behandling av personuppgifter. 10.1.2 Behandling av personuppgifter om betalningstransaktioner Regeringens förslag: Betaltjänstleverantörer och sådana personer som har ansvar för betalningssystem får granska betalningstransaktioner för att kunna säkerställa att betalningsbedrägerier kan förebyggas, undersökas och avslöjas. Bestämmelser införs i lagen om betaltjänster om behandling av personuppgifter, som ska tillämpas utöver person- Promemorians förslag: I promemorian föreslås enbart en bestäm- melse om att personuppgiftslagen (1998:204) är tillämplig vid behand- ling av personuppgifter för att förebygga, undersöka och avslöja Remissinstanserna: Flertalet remissinstanser tillstyrker förslaget eller lämnar det utan erinran. Datainspektionen framför att en långtgående rätt för betaltjänsteleverantörer att samla in, behandla och utbyta person- förutsätter särskild registerlagstiftning. föreningen anser att det av lagförslaget måste framgå att medlemsstaterna är skyldiga att tillåta behandling av personuppgifter i syfte att motverka bedrägerier. Skälen för regeringens förslag En särskild reglering av behandling av personuppgifter krävs Enligt direktivets artikel 79, som medlemsstaterna har att genomföra i sin nationella lagstiftning, ska betaltjänstleverantörer och betalningssystem kunna behandla personuppgifter när det är nödvändigt för att säkerställa förebyggande, undersökning och avslöjande av betalningsbedrägerier. Sådan personuppgiftsbehandling ska ske i enlighet med data- skyddsdirektivet. Utöver det som anges i artikel 79 innehåller direktivet inte någon reglering av förutsättningarna för behandling av personuppgifter. I promemorian föreslås en bestämmelse som anger att person- uppgiftslagen (1998:204) är tillämplig vid behandling av personuppgifter för att säkerställa förebyggande, undersökning eller avslöjande av betalningsbedrägerier. I promemorians författningkommentar uppges att betaltjänstleverantörerna tillåts att samla in, behandla och utbyta personuppgifter avseende personer som är involverade i betalnings- bedrägerier. Dessutom anges att verksamheten bör bedrivas i överens- stämmelse med artikel 7 i dataskyddsdirektivet och att behandling av personuppgifter bör ske i enlighet med 8 a § personuppgiftslagen. Inledningsvis kan här konstateras, vilket både Datainspektionen och har gjort i sina remissvar, att den form av behandling av personuppgifter som det är fråga om torde innebära behandling av uppgifter om misstänkta lagöverträdelser. Enligt 21 § första stycket personuppgiftslagen (1998:204) är det förbjudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. Om sådana uppgifter ska behandlas av exempelvis betaltjänstleverantörer krävs, som både Datainspektionen och har framfört, att det i lag föreskrivs ett undantag från 21 § personuppgiftslagen. Direktivets artikel 79 ålägger medlemsstaterna en skyldighet att tillåta sådan behandling av personuppgifter, vilket också framhållits av . Betaltjänstleverantörer och betalningssystem ska kunna behandla personuppgifter för de syften som anges i artikel 79 och nationell lagstiftning får inte förhindra sådan behandling av person- uppgifter. Den behandling av personuppgifter som här avses är sådan som syftar till att säkerställa förebyggande, undersökning och avslöjande av betalningsbedrägerier. Betaltjänstleverantörer och de som ansvarar för betalningssystem ska kunna granska betalningstransaktioner för att upptäcka misstänkta beteenden och transaktioner. I fall då misstänkta beteenden eller transaktioner påträffas vid granskning, ska betaltjänst- leverantörer och de som ansvarar för betalningssystem kunna lämna uppgifter om sådana beteenden eller transaktioner till polis eller åklagare. För att möjliggöra detta krävs ett undantag från 21 § personuppgifts- lagen. Bestämmelser om betaltjänstleverantörers och betalningssystems möjlighet att behandla personuppgifter när de granskar betalnings- transaktioner i syfte att kunna säkerställa förebyggande, undersökning och avslöjande av betalningsbedrägerier bör därför införas i lagen om betaltjänster. Dessutom bör det av lagen om betaltjänster framgå att lagens bestämmelser om behandling av personuppgifter gäller utöver personuppgiftslagen. Det bör framhållas att det, enligt 9 § personuppgiftsförordningen (1998:1191) också är möjligt för här berörda aktörer att genom beslut från Datainspektionen medges undantag från förbudet i 21 § första stycket personuppgiftslagen att behandla personuppgifter om lag- överträdelser. Datainspektionen kan alltså besluta att viss behandling av personuppgifter, som går utöver den här föreslagna regleringen, ska vara tillåten. Som framgått av det ovan sagda krävs det en mer omfattande reglering än den som föreslagits i promemorian för att genomföra artikel 79 i direktivet. Det behövs bl.a. regler som gör det möjligt för betal- tjänstlevarantörer eller den som har ansvar för ett betalningssystem att föra särskilda register över vad som framkommer vid granskning av betalningstransaktioner. När en betaltjänstleverantör eller den som har ansvar för ett betalningssystem under granskningen hittar indikationer på att bedrägeri förekommit i samband med en eller flera betalningstransaktioner, gör en närmare analys av omständigheterna runt transaktionen eller transak- tionerna och misstanke om brott därefter kvarstår, kan denne lämna uppgifter om alla relevanta omständigheter kring betalningstransaktionen till polis eller åklagare för vidare utredning. Vilka typer av brott ska omfattas av regleringen? I direktivets artikel 79 anges att syftet med personuppgiftsbehandlingen är att säkerställa förebyggande, undersökning och avslöjande av betalningsbedrägerier. I direktivets skäl 49 sägs att bestämmelser om effektivt utbyte av bl.a. personuppgifter mellan betaltjänstleverantörer krävs för att göra det möjligt att effektivt förebygga bedrägerier och bekämpa betalningsbedrägerier. Termen betalningsbedrägeri motsvarar inte någon brottsrubricering i svenska straffrättsliga bestämmelser. Bestämmelser om bedrägeri och annan oredlighet finns i 9 kap. . Enligt 9 kap. 1 § första stycket döms för bedrägeri den som medelst vilseledande förmår någon till handling eller underlåtenhet, som innebär för gärnings- mannen och skada för den vilseledde eller någon i vars ställe denne är. Enligt paragrafens andra stycke döms också till ansvar för bedrägeri när någon genom att lämna oriktig eller ofullständig uppgift, genom att ändra i program eller upptagning eller på annat sätt olovligen påverkar resultatet av en automatisk informationsbehandling eller någon annan liknande automatisk process, så att det innebär för gärnings- mannen och skada för någon annan. Bedrägeri är ett gradindelat brott som omfattar grovt bedrägeri enligt 9 kap. 3 § samt bedrägligt beteende enligt 9 kap. 2 (jfr m.fl., Kommentar till , 9 kap. 1 §). De beskrivna bestämmelsen om bedrägeri i 9 kap. kan bli tillämpliga i många situationer där det beteende som leder till ansvar inte har någon anknytning över huvud taget till tillhandahållande eller användning av betaltjänster. Det framstår därför inte som lämpligt att knyta rätten att behandla personuppgifter enbart till brottsrubriceringen bedrägeri. En sådan reglering skulle innebära att personuppgifter med anknytning till många verksamheter som inte har något samband med tillhandahållande eller användning av betaltjänster skulle kunna bli föremål för behandling. I direktivet används, som noterats ovan, termen betalningsbedrägerier för att avgränsa de verksamheter som insamlingen och utbytet av uppgifter ska förhindra. I lagen om betaltjänster bör det anges att Prop. 2009/10:220 behandling av personuppgifter får ske för att kunna upptäcka sådana transaktioner som betalningsleverantören eller den ansvarige för betalningssystemet misstänker eller har skälig grund att misstänka utgör ett led i bedrägeri i samband med tillhandahållande eller användning av betaltjänster. Detta innebär att personuppgiftsbehandling är tillåten vid granskning av transaktioner i samband med tillhandahållande eller användning av betaltjänster, såsom sådana tjänster definieras i den nya lagen. Personuppgiftsbehandling ska alltså vara tillåten vid misstanke om såväl bedrägeri, grovt bedrägeri som bedrägligt beteende i samband med Dessutom bör det framhållas att misstanken kan avse betaltjänstanvändare, betaltjänstleverantörer, den som har ansvar för ett betalningssystem eller en utomstående part som nyttjar betalningssystem eller betaltjänster som tillhandahålls av en betaltjänstleverantör utan att något avtalsförhållande mellan parterna föreligger. Vilka ska ges tillåtelse att behandla personuppgifter? Enligt artikel 79 ska betaltjänstleverantörer och betalningssystem kunna behandla personuppgifter för att säkerställa förebyggande, undersökning och avslöjande av betalningsbedrägerier. leverantör som termen betalningssystem definieras i direktivets artikel 4 och i lagen om betaltjänster. När det gäller betaltjänstleverantörer framstår det som otvetydigt att avsikten med regleringen är att dessa ska kunna behandla personuppgifter på det sätt som anges i artikeln. bör också framgå av lagen om betaltjänster. När det gäller betalnings- system kan dock noteras att denna term betecknar ett system för överföring av medel och inte nödvändigtvis en viss person eller ett visst Såvitt gäller betalningssystem bör motsvarande möjligheter till personuppgiftsbehandling ges till den som har ansvar för ett Detta innebär att den person med stor sannolikhet en juridisk person som innehar och ansvarar för driften av ett betalningssystem omfattas av lagen i denna del. Vilka personuppgifter får behandlas? De personuppgifter som får bli föremål för behandling i enlighet med lagen om betaltjänster är de som krävs för att kunna identifiera en viss Detta är nödvändigt för att exempelvis kunna fastställa om en viss person medverkat till en eller flera betalningstransaktioner där det finns misstankar om att bedrägeri har förekommit. De uppgifter som får behandlas enligt den nu föreslagna lagstiftningen bör därför vara uppgifter som framgår av en betaltjänstanvändares pass eller identitetshandling, exempelvis ett körkort eller annat , och avser De uppgifter som därmed får behandlas är uppgifter om namn samt om person- eller samordningsnummer. tionsbeteckningar som är kopplade till en enskild firma och används för att identifiera denna vid betalningstransaktioner kan kopplas till den fysiska person som bedriver verksamheten. Om en fysisk person exempelvis inom ramen för enskild näringsverksamhet initierar en Prop. 2009/10:220 betalningstransaktion i egenskap av betalningsmottagare (t.ex. en handlare som tar emot en betalning med kontokort) kan uppgiften om t.ex. den unika beteckning som identifierar handlaren vid korttransaktionen (ett s.k. Merchant ID) utgöra en personuppgift som identifierar denne som betaltjänstanvändare. För att betaltjänstdirektivets artikel 79 ska genomföras i svensk rätt krävs att även sådana uppgifter får behandlas i enlighet med bestämmelserna i den nu föreslagna lagen. I detta sammanhang kan noteras att unika beteckningar som identifierar ett säljföretag som accepterar kortbetalningar (ett s.k. Merchant ID) av Datainspektionen har ansetts utgöra personuppgift när uppgiften avser en enskild näringsidkare (Datainspektionens beslut av , dnr 9592009). Det är nödvändigt att också sådana uppgifter, som alltså kan utgöra personuppgifter, får behandlas enligt de nu föreslagna bestämmelserna när de identifierar en person som betaltjänstanvändare. Det bör därför av lagen framgå att uppgifter om unika beteckningar som identifierar en viss person som betaltjänstanvändare får behandlas i enlighet med lagens bestämmelser. Regeringens förslag: En betaltjänstleverantör eller den som ansvarar för ett betalningssystem ska få föra register om det är nödvändigt för levarantörens eller den ansvariges granskning av betalningstransaktioner. Sådana register får innehålla uppgifter om en persons identitet, betalkontonummer eller motsvarande samt de övriga uppgifter som framkommit vid granskningen av den eller de misstänkta betalnings- Uppgifter ur registret som har lämnats över till polis eller åklagare får lämnas ut till andrabetaltjänstleverantörer och ansvariga Sådana uppgifter får inte lämnas ut till den Promemorians förslag: Promemorian innehåller inget förslag i denna Remissinstanserna: Datainspektionen framför, som ovan nämnts, att särskild registerlagstiftning krävs. Skälen för regeringens förslag Möjlighet att föra register För att sådan behandling av personuppgifter som anges i artikel 79 ska kunna ske krävs det att betaltjänstleverantörer och de som ansvarar för betalningssystem kan föra register som innehåller personuppgifter. registerföring inte är möjlig innebär detta stora svårigheter för betaltjänstleverantörer och de som driver betalningssystem, eftersom de då inte kommer att kunna behandla information på ett sätt som gör det möjligt att upptäcka misstänkta beteenden och betalningstransaktioner. Det är således nödvändigt att betaltjänstleverantörer och de som ansvarar för betalningssystem har möjlighet att lagra information om betalningstransaktioner och betaltjänstanvändare för att kunna upptäcka exempelvis återkommande transaktionsmönster och beteenden som tyder på att oegentligheter förekommer. Det bör alltså av lagen framgå att betaltjänstleverantörer och de som driver betalningssystem kan föra register som innehåller personuppgifter. Register får dock endast föras i den mån det är nödvändigt för sådan granskning av betalnings- transaktioner som betaltjänstleverantörer och ansvariga för ett betalningssystem utför för att kunna upptäcka transaktioner som dessa misstänker eller har skälig grund att misstänka kan utgöra ett led i bedrägeri i samband med tillhandahållande eller användning av betaltjänster. En bestämmelse om detta bör tas in i lagen om betaltjänster. Det bör i detta sammanhang framhållas att direktivets regler gör det möjligt för betaltjänstleverantörer och de som driver betalningssystem att behandla personuppgifter för att säkerställa förebyggande, undersökning eller avslöjande av bedrägeri i samband med tillhandahållande eller användning av betaltjänster. Däremot uppställer direktivet inget krav på att sådan behandling sker. Betaltjänstleverantörer och de som ansvarar för betalningssystem är inte heller enligt direktivet skyldiga att lämna uppgifter om misstänkt bedrägeri i samband med tillhandahållande eller användning av betaltjänster till någon rättsvårdande instans. Någon sådan skyldighet bör därför inte heller föreskrivas i lagen om betaltjänster. Betaltjänstleverantörer och de som ansvarar för betalningssystem har dock möjlighet att lämna uppgifter om misstänkta transaktioner till polis eller åklagare för att en utredning ska kunna inledas. Detta bör framgå av lagen. Förhållandet till reglerna om banksekretess m.m. Av betaltjänstdirektivets artikel 79 följer att medlemsstaterna är skyldiga att tillåta att betalningssystem och betaltjänstleverantörer behandlar personuppgifter när detta är nödvändigt för att säkerställa förebyggande, undersökning och avslöjande av betalningsbedrägerier. Direktivet uppställer sålunda en förpliktelse för medlemsländerna att se till att den nationella lagstiftningen medger sådan behandling av personuppgifter. Av skäl 49 till direktivet framgår att det bör införas bestämmelser om effektivt utbyte av uppgifter mellan betaltjänstleverantörerna. I lagen om betaltjänster bör därför ingå en bestämmelse som medger att utbyte av sådana uppgifter som har lämnats till polis eller åklagare med anledning av misstänkt bedrägeri i samband med tillhandahållande eller användning av betaltjänster mellan betaltjänstleverantörer och de som har ansvar för betalningssystem. Flera kategorier av betaltjänstleverantörer omfattas av särskilda sekretessregler som förhindrar sådant utbyte av uppgifter som krävs enligt betaltjänstdirektivets artikel 79. För kreditinstitut gäller enligt 1 kap. 10 § första stycket lagen (2004:297) om bank- och finansierings- rörelse att enskildas förhållanden till kreditinstitut inte obehörigen får röjas. En motsvarande bestämmelse gäller för pengar enligt 4 kap. 4 § första stycket lagen (2002:149) om utgivning av Prop. 2009/10:220 elektroniska pengar. En bestämmelse om tystnadsplikt för den som är eller har varit knuten till ett betalningsinstitut eller en registrerad betaltjänstleverantör som anställd eller uppdragstagare föreslås också tas in i lagen om betaltjänster. För att betaltjänstleverantörer ska kunna lämna ut uppgifter bör det därför införas en bestämmelse i lagen som anger att utlämnande av uppgifter får ske trots sådana särskilda sekretessregler. Vilka uppgifter får finnas i registren? I artikel 79 anges enbart att personuppgifter ska få behandlas för de i artikeln angivna syftena. Lagen om betaltjänster bör dock, av de skäl som angivits ovan, innehålla en bestämmelse där det tydligt anges vilka personuppgifter som får finnas i ett register som förs med stöd av lagen. Uppräkningen av de uppgifter som får registreras är uttömmande. De uppgifter som kan komma i fråga är sådana som gör det möjligt att kontrollera huruvida en person har medverkat i en eller flera misstänkta För att detta ska vara möjligt måste register- föring kunna ske dels av uppgifter om betaltjänstanvändares identitet, dels av uppgifter om betaltjänstanvändares betalkontonummer eller Uppgifter om betalkontonummer eller motsvarande gör det möjligt att se vilka betalningstransaktioner en viss person har medverkat Sådana uppgifter som kan behöva registreras med stöd i denna bestämmelse är exempelvis kontonummer för sådana konton som inte är betalkonton men som ändå har använts av betalare eller betalnings- mottagare vid en betalningstransaktion. I de fall då en betaltjänst- användare saknar ett konto, kan det bli nödvändigt att registrera uppgifter om exempelvis ett referensnummer som gör det möjligt att identifiera en Motsvarande avgränsning har gjorts i annan lagstiftning om registerföring av uppgifter om kontonummer och liknande information (se prop. 1998/99:19 s. 77). Därutöver bör betaltjänstleverantörer och de som ansvarar för betal- ningssystem i registret kunna föra in de övriga uppgifter som framkommit vid en sådan granskning som avses i avsnitt 10.1.2. Uppgifter ur registret som lämnats till polis eller åklagare får inte lämnas ut till den registrerade Enligt 26 § personuppgiftslagen ska uppgifter om en person i ett register lämnas till denne om personen i fråga ansöker om det. Det följer dock av 27 § samma lag att uppgifter inte får lämnas ut till den registrerade i enlighet med bestämmelserna i 26 §, om detta är förbjudet enligt lag eller I fråga om sådan personuppgiftsbehandling som kan komma att ske i samband med granskning av misstänkta betalningstransaktioner bör det föreskrivas att uppgifter ur ett register som förs enligt bestämmelserna i lagen om betaltjänster inte får lämnas ut till den registrerade. Förbudet att lämna ut information till den registrerade bör dock enbart avse sådana uppgifter som har lämnats till polis eller åklagare med anledning av att det uppstått misstanke om bedrägeri i samband med tillhandahållande eller användning av Prop. 2009/10:220 betaltjänster. Införandet av en sådan bestämmelse i lagen om betaltjänster innebär att den registrerade inte kan begära ut dessa uppgifter i enlighet med 26 § personuppgiftslagen. Liknande bestämmelser finns avseende uppgifter i register som förs i enlighet med lagstiftningen mot penningtvätt och finansiering av terrorism (se prop. 2008/09:70 s. 200 med hänvisning till prop. 1998/99:19 s. 78). Regeringens förslag: En uppgift i ett register ska gallras om en förundersökning har avslutats utan att åtal väckts, om lagakraftvunnen dom eller beslut har meddelats med anledning av de lämnade uppgifterna eller senast efter det att uppgifter lämnats till polis eller åklagare. Uppgifter som inte lämnas till polis eller åklagare ska gallras senast efter det att uppgifterna samlades in. Personuppgiftslagens bestämmelser om rättelse och skadestånd ska tillämpas när personuppgifter behandlas enligt lagen om betaltjänster. Tystnadsplikt avseende uppgifter i ett register som förs enligt lagen gäller för den som är verksam hos en betaltjänstleverantör eller den som ansvarar för ett betalningssystem. Promemorians förslag: Promemorian innehåller inget förslag i dessa frågor. Remissinstanserna: Datainspektionen framför, som ovan nämnts, att särskild registerlagstiftning krävs. Skälen för regeringens förslag Gallring av uppgifter i ett register De uppgifter som förs in i ett register ska gallras . Närmare bestämmelser om när gallring ska ske bör tas in i den nu föreslagna lagstiftningen. En uppgift ska gallras om ansvarig polismyndighet eller väljer att inte inleda eller att lägga ner utredningen om bedrägeri i samband med tillhandahållande eller användning av betaltjänster. En uppgift bör också gallras om en förundersökning har avslutats utan att åtal har väckts med anledning av den lämnade uppgiften. Detta innebär inte en skyldighet för betaltjänstleverantören eller den som ansvarar för ett betalningssystem att aktivt ta reda på om en förundersökning har lagts ner eller inte. Däremot ska betaltjänst- leverantören eller den som ansvarar för ett betalningssystem gallra uppgifterna ur registret så fort han får kännedom om att förundersökningen har lagts ner. Denna förpliktelse åvilar även andra betaltjänstleverantörer eller ansvariga för betalningssystem som, efter det att uppgifterna lämnades till polis eller åklagare, har fått tillgång till dem. En uppgift ska också gallras om en domstol har meddelat en lagakraftvunnen dom eller beslut med anledning av de lämnade uppgifterna. Om gallring inte har skett med anledning av någon av nu nämnda regler ska uppgifterna gallras senast efter det att uppgifter lämnats till polis eller åklagare med stöd av reglerna i lagen om betaltjänster.