prop · H103161 · 2014-03-12 00:00:00 — Uppdragets innehåll beskrivs i ett avtal om finansmarknadsstatistik som företrädare för och har undertecknat. Enligt avtalet ska SCB svara för uppgiftsinsamling, statistikframställning och vissa därmed sammanhängande tjänster och produkter mot en betalning som uppgick till . ska enligt avtalet leverera primärdata till undersökningar som specificeras i en bilaga. SCB har enligt avtalet rätt att framställa och nyttja en kopia av slutliga observationsregister samt annat material som upprättats med anledning av avtalet för att i sin uppdragsverksamhet och eljest framställa annan statistik än den som omfattas av avtalet. Bestämmelser om offentlighet och sekretess Enligt 2 kap. 1 § tryckfrihetsförordningen, TF, ska varje svensk medborgare ha rätt att ta del av allmänna handlingar. Samma rätt har enligt 14 kap. 5 § TF utländska medborgare förutsatt att rätten inte har begränsats i lag. Några sådana begränsningar har inte gjorts. I TF regleras även vad som avses med allmänna handlingar. Offentlighets- och sekretesslagen (2009:400), förkortad OSL, innehåller bestämmelser som innebär begränsningar i den rätt för enskilda att ta del av allmänna handlingar som följer av TF. 6.4.1Sekretess mellan och inom myndigheter Offentlighets- och sekretesslagen reglerar också sekretess mellan myndigheter. Enligt 8 kap. 1 § OSL får en uppgift för vilken sekretess gäller enligt OSL inte röjas för andra myndigheter, om inte annat anges i OSL eller i lag eller förordning som OSL hänvisar till. Enligt 8 kap. 2 § OSL ska vad som föreskrivs om sekretess mot andra myndigheter i 1 § och vad som föreskrivs i andra bestämmelser i om uppgiftslämnande till andra myndigheter och överföring av sekretess mellan myndigheter, gälla också olika verksamhetsgrenar inom en myndighet när de är att betrakta som självständiga i förhållande till varandra. Det sagda innebär att, om det finns självständiga verksamhetsgrenar inom en myndighet, sekretessbelagda uppgifter inte fritt ska kunna lämnas mellan dessa verksamhetsgrenar. Vad som är att betrakta som en självständig verksamhetsgren har varit föremål för överväganden i flera lagstiftningsärenden och i uttalanden av JO m.fl. Frågan om det föreligger sekretess mellan olika verksamheter behandlades i ett antal propositioner under sekretesslagens (1980:100) tid. I dessa propositioner anfördes att, om olika delar av en myndighet har att tillämpa olika sekretessbestämmelser, de får anses utgöra olika verksamhetsgrenar i sekretesslagens mening (se prop. 2007/08:126 s. 162 och där gjorda hänvisningar). När OSL infördes överfördes sekretesslagens motsvarande bestämmelse till nämnda 8 kap. 2 § OSL. I propositionen med förslag till OSL uppmärksammades emellertid att det var en ofrånkomlig följd redan av sekretesslagens systematik att en myndighet kunde ha att tillämpa såväl sekretessbestämmelser till skydd för allmänna intressen som sekretessbestämmelser till skydd för enskilda intressen utan att det var fråga om olika verksamhetsgrenar i sekretesslagens mening. Det kunde vidare noteras att sekretessregleringen avseende vissa områden hade delats upp på flera paragrafer i följd utan att det för den skull kunde avses vara fråga om olika verksamhetsgrenar i sekretesslagens mening. Regeringen ansåg därför att det faktum att en myndighet har att tillämpa olika sekretessbestämmelser inte med automatik innebär att det finns olika verksamhetsgrenar inom myndigheten. Om det däremot finns olika delar av en myndighets verksamhet som har att tillämpa sinsemellan helt olika set av sekretessbestämmelser är det fråga om olika verksamhetsgrenar i sekretesslagens mening (prop. 2008/09:150 s. 356–359). 2013/14:161 Huruvida de olika verksamhetsgrenarna är att betrakta som självständiga i förhållande till varandra beror dock på hur verksamheten hos myndigheten i fråga har organiserats (prop. 2007/08:126 s. 202). Enligt 24 kap. 8 § OSL gäller sekretess i sådan särskild verksamhet hos en myndighet som avser framställning av statistik för uppgift som avser en enskilds personliga eller ekonomiska förhållanden och som kan hänföras till den enskilde. Uppgift som behövs för forsknings- eller statistikändamål och uppgift som inte genom namn, annan identitetsbeteckning eller liknande förhållande är direkt hänförlig till den enskilde, får dock lämnas ut, om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men. Sekretessens föremål utgörs av uppgifter som avser en enskilds personliga eller ekonomiska förhållanden och som kan hänföras till den enskilde. Härigenom skyddas inte bara sådana uppgifter som innehåller identitetsbeteckningar som namn och personnummer på en enskild utan även uppgifter som över huvud taget kan – direkt eller indirekt – hänföras till en viss enskild (Lenberg m.fl., Offentlighets- och sekretesslagen En kommentar s. 24:8:2). Statistiksekretessen gäller i första hand i särskild verksamhet som avser framställning av statistik. När det gäller verksamhet för framställning av statistik sägs i förarbetena till bestämmelsen att det är fråga om en allmänt utredande verksamhet utan anknytning till något särskilt ärende (prop. 1979/80:2 del A s. 263). Ett typexempel utgörs av framställningen av den officiella statistiken, som enligt 3 § lagen om den officiella statistiken ska finnas för allmän information, utredningsverksamhet och forskning. En myndighet som ägnar sig huvudsakligen åt framställning av statistik är SCB. Andra myndigheter, framför allt de som är statistikansvariga myndigheter enligt förordningen om den officiella statistiken, ägnar sig till stor del åt annan verksamhet, men även åt verksamhet för framställning av statistik. Statistik framställs även i verksamhet som inte alls har statistikframställning som sitt främsta mål. Ett exempel utgörs av tillsynsverksamhet, i vilken det samlas in en mängd uppgifter som sammanställs och bearbetas med statistiska metoder och som läggs till grund för inspektionens tillsynsåtgärder. Bestämmelsen om statistiksekretess är inte tillämplig i all verksamhet som avser framställning av statistik, utan endast särskild verksamhet. Med särskild verksamhet avses verksamhet som är skild från annan verksamhet hos myndigheten. Utmärkande är att verksamheten är organiserad som en egen enhet eller liknande (prop. 1979/80:2 del A s. 263). Se också avsnitt 6.4.1. Vid bedömningen av frågan om en särskild verksamhet är en Prop. 2013/14:161 verksamhet för framställning av statistik måste en helhetsbedömning göras av verksamheten. Om den särskilda verksamhetens huvudsakliga syfte är att framställa statistik är bestämmelserna om statistiksekretess tillämpliga. Å andra sidan är bestämmelserna inte tillämpliga i en verksamhet som inte har statistikframställning som sitt främsta syfte även om det i den verksamheten skulle förekomma insamling eller bearbetning av uppgifter med hjälp av statistiska metoder. För att en särskild verksamhet ska anses som en verksamhet för framställning av statistik är det inte nödvändigt att verksamheten leder till en slutlig statistikprodukt. Det kan vara tillräckligt att det inom verksamheten samlas in uppgifter som i en annan myndighets särskilda verksamhet bearbetas vidare, analyseras och redovisas. En förutsättning är dock att den andra myndighetens särskilda verksamhet kan karaktäriseras som en verksamhet för framställning av statistik (jfr prop. 1979/80:2 del A s. 265). För statistiksekretessens räckvidd saknar det således betydelse varifrån uppgifterna kommer eller hur de har kommit till myndigheten. Avgörande är i stället den verksamhet i vilken de förekommer. En och samma uppgift hos en myndighet kan därför vara offentlig när den behandlas hos en handläggande avdelning, men sekretessreglerad hos en avdelning som framställer statistik (prop. 1979/80:2 del A s. 263). Statistiksekretessen är enligt huvudregeln absolut. Det innebär att uppgifter som omfattas av huvudregeln inte får lämnas ut över huvud taget. Enligt undantagsregeln för bl.a. uppgifter som behövs för forsknings- och statistikändamål får sådana uppgifter lämnas ut, om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men, dvs. en presumtion för sekretess (s.k. omvänt skaderekvisit). Sekretess i tillsynsverksamhet avseende 30 kap. 4 § OSL gäller sekretess i en statlig myndighets verksamhet som består i tillståndsgivning eller tillsyn med avseende på bank- och kreditväsendet, värdepappersmarknaden eller försäkrings- väsendet, dels för uppgifter om affärs- och driftförhållanden hos den som myndighetens verksamhet avser (punkt 1), dels för uppgifter om ekonomiska och personliga förhållanden för annan som har trätt i affärsförbindelse eller liknande förbindelse med den som myndighetens verksamhet avser (punkt 2). När det gäller affärs- och driftförhållanden hos den som tillstånds- givningen eller tillsynen avser gäller sekretess om det kan antas att denne lider skada om uppgiften röjs, dvs. en presumtion för offentlighet (s.k. rakt skaderekvisit). För de s.k. tredjemansuppgifterna, dvs. dem som är kunder eller står i något liknande förhållande till den som tillståndsgivningen eller tillsynen avser, gäller absolut sekretess. 2013/14:161 tillsyn omfattas självfallet av bestämmelsen. Ordet tillsyn ska enligt sekretesslagens förarbeten inte ges en alltför snäv tolkning utan får anses omfatta alla de fall där en myndighet har en övervakande eller styrande funktion i förhållande till näringslivet (prop. 1979/80:2 Del A s. 235). Med den innebörden torde även arbete med att övervaka betalningssystemets stabilitet kunna hänföras till sådan tillsyn som nämns i 30 kap. 4 § OSL. Om flera sekretessbestämmelser är tillämpliga på en och samma uppgift, och prövningen resulterar i att uppgiften inte är sekretessbelagd enligt en bestämmelse men omfattas av sekretess enligt en annan, har enligt 7 kap. 3 § OSL den bestämmelse företräde som innebär att uppgiften är sekretessbelagd, om inte annat anges i OSL. Enligt 10 kap. 28 § OSL hindrar sekretess inte att en uppgift lämnas till en annan myndighet, om uppgiftsskyldighet följer av lag eller förordning. De tidigare nämnda bestämmelserna i 4 kap. 3 § riksbankslagen och 7 § förordningen med instruktion för utgör sådana sekretessbrytande bestämmelser. 6.5Skydd för den personliga integriteten I den s.k. fri- och rättighetskatalogen i 2 kap. regeringsformen anges i 6 § andra stycket att var och en gentemot det allmänna är skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Enligt 2 kap. 20 § regeringsformen får bl.a. denna rätt under vissa närmare angivna förutsättningar begränsas genom lag. Personuppgiftslagen genomför och rådets direktiv 95/46/EG om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet). Personuppgiftslagen syftar till att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter (1 §). Till skillnad från bestämmelsen i regeringsformen ger lagen skydd inte enbart mot integritetsintrång från det allmänna utan också från enskilda. Personuppgiftslagen gäller för sådan behandling av personuppgifter som är helt eller delvis automatiserad. Lagen gäller även för annan behandling av personuppgifter, om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för Prop. 2013/14:161 sökning eller sammanställning enligt särskilda kriterier (5 §). Med personuppgifter avses i personuppgiftslagen all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet (3 §). Uppgifter om juridiska personer omfattas inte av definitionen. Däremot anses uppgifter om en enskild firma omfattade, eftersom innehavaren av en sådan firma alltid är en enda fysisk person och uppgifterna om firman kan hänföras till den personen. Med behandling (av personuppgifter) menas varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automatisk väg eller inte, t.ex. insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring (3 §). Personuppgiftslagen innehåller ett antal grundläggande krav på all behandling av personuppgifter. Bland annat gäller att personuppgifter får samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål samt att personuppgifter inte ska behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in (9 §). Personuppgiftslagen anger även när behandling av personuppgifter är tillåten (10–12 §§). Särskilda bestämmelser gäller för det som i personuppgiftslagen definieras som känsliga personuppgifter, nämligen uppgifter om ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening samt hälsa och sexualliv (13 §). Särskilda bestämmelser gäller även för personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål m.m. (21 §), och för uppgifter om personnummer och samordningsnummer (22 §). Med informationssäkerhet avses säkerhet för informationstillgångar avseende förmågan att upprätthålla önskad konfidentialitet, riktighet och tillgänglighet (Terminologi för informationssäkerhet, , utgåva 3). För verksamhet finns det inte några särskilda författningsbestämmelser om informationssäkerhet. För myndigheter under regeringen gäller förordningen (2006:942) om krisberedskap och höjd beredskap. Med krisberedskap avses enligt 4 § bl.a. att säkra kryptografiska funktioner. Enligt 30 a § ansvarar varje myndighet för att egna informationshanteringssystem uppfyller sådana grundläggande och särskilda säkerhetskrav att myndighetens verksamhet kan utföras på ett tillfredsställande sätt. Därvid ska behovet av säkra ledningssystem särskilt beaktas. Myndigheten för samhällsskydd och beredskap (MSB) har meddelat föreskrifter om sådana säkerhetskrav som avses i 30 a § krisberedskapsförordningen. Av 4 § MSB:s föreskrifter om statliga myndigheters informationssäkerhet (MSBFS 2009:10) framgår bl.a. att en myndighet i sitt arbete med att upprätthålla säkerhet i sin 2013/14:161 informationshantering ska tillämpa ett ledningssystem för informationssäkerhet. För myndigheter under regeringen gäller även förordningen (2003:770) om statliga myndigheters elektroniska informationsutbyte. Enligt 2 § ska en myndighet i sin verksamhet främja utvecklingen av ett säkert och effektivt elektroniskt informationsutbyte inom den offentliga förvaltningen. 6.7EU-rättslig reglering om insamling av finansiell information Det europeiska centralbankssystemet och Eurosystemet () och de nationella centralbankerna i EU:s medlemsstater bildar det europeiska centralbankssystemet (ECBS). Vid sidan om ECBS finns även Eurosystemet som utgörs av ECB och de nationella centralbankerna i de medlemsstater som har euron som valuta. Grundläggande bestämmelser om ECBS och ECB finns i fördraget om Europeiska unionens funktionssätt (EUF-fördraget) och i Stadgan för Europeiska centralbankssystemet och . I artikel 127 i EUF-fördraget anges målen för ECBS och dess viktigaste uppgifter. Huvudmålet ska vara att upprätthålla prisstabilitet. ECBS ska i övrigt bl.a. främja ett väl fungerande betalningssystem samt medverka till att de behöriga myndigheterna smidigt kan genomföra sin politik när det gäller tillsyn över kreditinstitut och det finansiella systemets stabilitet. För att fullgöra dessa och vissa andra uppgifter ska ECB enligt artikel 132 utfärda förordningar, fatta beslut och avge yttranden. Enligt artikel 139 ska bestämmelserna om målen och uppgifterna för ECBS i artikel 127 och om ECB:s akter i artikel 132 inte tillämpas på medlemsstater beträffande vilka rådet inte har beslutat att de uppfyller de nödvändiga villkoren för införandet av euron. Något sådant beslut har inte fattats beträffande . är således inte bundet av ECB:s förordningar. I artikel 5 i Stadgan för Europeiska centralbankssystemet och finns det bestämmelser om insamling av statistiska uppgifter. För att utföra ECBS:s uppgifter ska ECB med de nationella centralbankernas stöd samla in de statistiska uppgifter som behövs. Rådet ska fastställa kretsen av uppgiftsskyldiga fysiska och juridiska personer, sekretessföreskrifter samt lämpliga bestämmelser om genomförande och påföljder. Sådana bestämmelser finns i rådets förordning (EG) nr 2533/98 om Europeiska insamling av statistiska uppgifter. Enligt rådets förordning får ECB anta förordningar som gäller utformning och genomförande av de rapporteringskrav på statistiska uppgifter som banken ålägger den faktiska rapporteringspopulationen. ECB:s befogenhet är dock begränsad till de medlemsstater som har euron Prop. 2013/14:161 som valuta (artiklarna 5.1 och 1.3). Förordningen innehåller även bestämmelser om konfidentialitet. ECBS ska använda konfidentiella statistiska uppgifter uteslutande för fullgörandet av ECBS uppgifter, utom i vissa situationer. Bland annat nämns när det gäller nationella centralbanker situationer då de ifrågavarande statistiska uppgifterna används inom tillsynsverksamheten (artikel 8.1). 6.7.2Det europeiska systemet för finansiell tillsyn EU-organ och behöriga myndigheter i medlemsstaterna EU har inrättat tre myndigheter för finansiell tillsyn: Europeiska bankmyndigheten (), Europeiska försäkrings- och tjänstepensionsmyndigheten (Eiopa) och Europeiska värdepappers- och marknadsmyndigheten (). De bildar det europeiska systemet för finansiell tillsyn (ESFS) tillsammans med (), den gemensamma kommittén för de europeiska tillsynsmyndigheterna och de behöriga myndigheterna i medlemsstaterna. I är det som är behörig myndighet. Medlemsstaterna ska utse en eller flera behöriga myndigheter och underrätta de europeiska tillsynsmyndigheterna om hur ansvaret mellan dem fördelats. De europeiska tillsynsmyndigheternas uppgifter Till de tre europeiska tillsynsmyndigheternas uppgifter hör att bidra till upprättandet av gemensamma standarder och metoder för reglering och tillsyn, bidra till en konsekvent tillämpning av rättsligt bindande unionsakter samt övervaka och bedöma marknadens utveckling. För att fullgöra sina uppgifter ska myndigheterna bl.a. utarbeta förslag till s.k. tekniska standarder för tillsyn och för genomförande samt samla in nödvändiga uppgifter om finansinstitut. Tekniska standarder antas av kommissionen genom en förordning eller ett beslut och blir därigenom bindande och direkt tillämpliga i medlemsstaterna. De europeiska tillsynsmyndigheternas befogenheter preciseras närmare i ett antal sektorsdirektiv. I sektorsdirektiven anges ett antal områden inom vilka tillsynsmyndigheterna får utarbeta förslag till tekniska standarder för tillsyn. Det gäller exempelvis skyldigheten att lämna uppgifter i samband med förvärv av kvalificerade andelar i kreditinstitut och i samband med etablering av en filial till ett kreditinstitut i en annan medlemsstat. Däremot innehåller sektorsdirektiven inte några bestämmelser om periodisk rapportering av uppgifter om företagens verksamhet. De behöriga myndigheternas uppgifter i medlemsstaterna Medlemsstaternas behöriga myndigheter ska enligt de olika direktiven ansvara för tillsyn. De behöriga myndigheterna ska ges alla tillsyns- och utredningsbefogenheter som de behöver för att utföra sina uppgifter. Dessa befogenheter kan utövas på olika sätt. direkt av den behöriga myndigheten eller i samarbete med andra 2013/14:161 myndigheter. Befogenheterna kan även utövas på eget ansvar genom delegering eller genom ansökan hos behöriga rättsliga myndigheter. De behöriga myndigheternas befogenheter utgörs av olika kontroll- och tvångsåtgärder. Nya bestämmelser om uppgiftslämnande och rådet har beslutat ett nytt sektorsdirektiv, kapitaltäckningsdirektivet1, som ersätter två tidigare direktiv. Kapitaltäckningsdirektivet skulle ha varit genomfört . ska även en förordning om tillsynskrav för kreditinstitut och värdepappersföretag, tillsynsförordningen, tillämpas.2 Tillsynsförordningen innehåller bl.a. bestämmelser om skyldighet för företagen att återkommande lämna uppgifter om sin verksamhet. Bestämmelser om uppgiftsskyldigheten finns i artiklarna 99–101, 394, 415, 416, 430 och 451 i förordningen. Uppgifterna ska lämnas till medlemsstaternas behöriga myndigheter. får enligt förordningen i uppgift att utarbeta tekniska standarder för genomförande avseende rapporteringsformat, intervall och datum för rapporteringen samt it-lösningar för rapporteringen. Kommissionen ges i tillsynsförordningen befogenhet att genom förordning anta sådana tekniska standarder för genomförande. Kommissionens förordningar med tekniska standarder blir direkt tillämpliga i . Förordningen (EG) nr 223/2009 om europeisk statistik innehåller bestämmelser om utveckling, framställning och spridning av europeisk statistik. Det europeiska statistiksystemet (ESS) beskrivs i förordningen som ett partnerskap mellan gemenskapens (numera unionens) statistikmyndighet, dvs. kommissionen (), och de nationella statistikbyråerna och andra nationella myndigheter som i medlemsstaterna ansvarar för att utveckla, framställa och sprida europeisk statistik (artikel 4). Den europeiska statistiken definieras enligt förordningen i programmet för europeisk statistik (artikel 1). Det nuvarande programmet gäller för perioden –2017 (och rådets förordning (EU) nr 99/2013 om programmet för europeisk statistik 2013–2017). I programmet fastställs inriktningar, huvudområden och mål för åtgärder som planeras för perioden. Det pekas också ut viktiga initiativ för utvecklingen av den europeiska statistiken . I förordningen definieras statistik som kvantitativ och kvalitativ, aggregerad och representativ information som beskriver en gemensam egenskap hos en bestämd population. Konfidentiella uppgifter definieras som data som gör det möjligt att antingen direkt eller indirekt identifiera 1Europaparlamentets och rådets direktiv /36/EU om behörighet att utöva verksamhet i kreditinstitut och om tillsyn av kreditinstitut och värdepappersföretag, om ändring av direktiv /87/EG och om upphävande av direktiv /48/EG och 2006/49/EG. 2Europaparlamentets och rådets förordning (EU) nr 575/2013 om tillsynskrav för kreditinstitut och värdepappersföretag och om ändring av förordning (EU) nr 648/2012. de statistiska objekten och därmed röja uppgifter om enskilda. För att Prop. 2013/14:161 avgöra om ett statistiskt objekt kan identifieras ska alla relevanta sätt som en utomstående rimligen kan använda för att identifiera det statistiska objektet beaktas (artikel 3). Bestämmelser om statistisk konfidentialitet finns i artiklarna 20–26. Syftet med bestämmelserna är att se till att konfidentiella uppgifter används uteslutande för statistiska ändamål och att förhindra otillåtet röjande. Konfidentiella uppgifter som erhållits uteslutande för framställning av europeisk statistik ska användas av nationella myndigheter och uteslutande för statistiska ändamål såvida inte det statistiska objektet otvetydigt har gett sitt medgivande till att de används för andra ändamål (artikel 20). Konfidentiella uppgifter får under vissa förutsättningar överföras mellan de myndigheter som ingår i ESS och ECBS, se avsnitt 6.6.1. All annan överföring ska godkännas av den myndighet som samlat in uppgifterna (artikel 21.1–21.3). Nationella bestämmelser om statistisk konfidentialitet får inte åberopas för att hindra överföring av konfidentiella uppgifter till myndigheter som ingår i ESS och ECBS om överföringen föreskrivs i en rättsakt från och rådet som har antagits enligt det ordinarie lagstiftningsförfarandet (artikel 21.4). Insamling av uppgifter för övervakning av och tillsyn över finansmarknaderna