prop · H20380 · 2015-03-17 00:00:00 — handlingar eller uppgifter om åtgärder som vidtagits för att uppnå kundkännedom, uppfylla uppgifts- och granskningsskyldigheten och för att bevara uppgifter om åtgärder som vidtagits vid granskning av transaktioner. Besked om att personuppgifter behandlas i samband med den närmare analysen och rapporteringen till får inte lämnas ut till den registrerade. En verksamhetsutövares register får inte samköras med motsvarande register hos någon annan. Den som är verksam hos en verksamhetsutövare får inte obehörigen röja att uppgifter om närmare analys eller rapportering till har skett. Tystnadsplikten omfattar att känsliga personuppgifter behandlas enligt kapitlet och att närmare analys och rapportering till har skett. Nuvarande bestämmelse om rättelse och skadestånd flyttas, med vissa ändringar, över till det nya kapitlet. Promemorians förslag överensstämmer delvis med regeringens förslag. I promemorian föreslås att uppgifter som behandlas enligt kapitlet inte får lämnas ut till den registrerade. Vidare föreslås att tystnadsplikten ska omfatta behandling av personuppgifter enligt kapitlet. Remissinstanserna: De flesta remissinstanserna tillstyrker förslaget eller har inget att invända mot det. Kammarrätten i menar att skyldigheten att bevara handlingar eller uppgifter enligt penningtvättslagen från det att affärsförbindelsen upphörde kan innebära ett arkiveringskrav på i vissa fall decennier eller sekel, vilket – i skenet av personuppgiftslagens bestämmelser – kan kräva andra överväganden än de som framkommer i promemorian. Förvaltningsrätten i anser att det bör tydliggöras var gränsen för koncerngemensamma arbetssätt går och att regeringen bör överväga om inte koncerngemensamma elektroniska register alternativt samkörning av register mellan verksamhetsutövare inom en koncern bör tillåtas. Datainspektionen anser att det måste klargöras i vilken omfattning 3 kap. 1 § penningtvättslagen ska tillämpas i stället för 21 § personuppgiftslagen. För det fall 21 § personuppgiftslagen inte är tillämplig på den personuppgiftsbehandling som sker när verksamhetsutövaren genomför den generella granskningen enligt 3 kap. 1 § första stycket, finns det enligt Datainspektionen anledning att överväga att ge regeringen eller den myndighet som regeringen bestämmer ett bemyndigande att meddela föreskrifter om vilka sanktionslistor som får användas i samband med den generella granskningen. Datainspektionen påpekar att bestämmelsen om förenklad behandling i 5 a § personuppgiftslagen inte föreslås få någon motsvarighet i penningtvättslagen. Som en följd av den avvikelsen begränsas t.ex. möjligheten att behandla känsliga personuppgifter i ostrukturerat material. Datainspektionen tillstyrker att den förenklade regleringen inte ska tillämpas när personuppgifter behandlas enligt penningtvättslagen, men anser att detta bör tydliggöras. Datainspektionen anser vidare att bestämmelsen om information till den registrerade innebär en ändring i sak på grund av det nya kapitlets tillämpningsområde. Det nya kapitlet omfattar all personuppgiftsbehandling som syftar till att förhindra att verksamheten utnyttjas för penningtvätt eller finansiering av terrorism. Datainspektionen kan inte se att det finns anledning att undanhålla den registrerade information om exempelvis vilka uppgifter som hämtats in för identifiering och kontroll av om en person är en person i politiskt utsatt ställning. efterfrågar en möjlighet att sekretessbelägga enligt 30 kap. 23 § 2 offentlighets- (2009:400) och vill därför att ett tillägg görs i bilagan till offentlighets- och sekretessförordningen (2009:641). välkomnar förtydligandet att 3 kap. 1 § penningtvättslagen ska tillämpas i stället för 21 § personuppgiftslagen och förutsätter att det inte är begränsat till endast transaktionsgranskning, utan gäller all granskning för att uppfylla kravet på att uppnå kundkännedom. , till vilken i allt väsentligt ansluter sig, föreslår att syftet i 4 kap. 1 § omformuleras på ett sätt som tydligare klargör förhållandet mellan personuppgiftslagen och penningtvättslagen. föreningen att uppgifter om lagöverträdelser m.m. inte betraktas som känsliga personuppgifter enligt personuppgiftslagen, varför hänvisningen i 4 kap 3 § bör avse både 13 och 21 §§ personuppgiftslagen. föreningen anser vidare att uttrycket ”endast” i 4 kap. 3 § kan innebära en olycklig begränsning av verksamhetsutövarens möjligheter att på ett effektivt sätt motverka penningtvätt och finansiering av terrorism och bör därför tas bort. anser också att det bör införas ett stöd i penningtvättslagen för att utföra kontroller av kunden mot olika listor såsom lokala sanktionslistor upprättade av medlemsstater inom EU, men även globala listor från exempelvis FN och OFAC. menar vidare att det bör införas en möjlighet för verksamhetsutövare som ingår i en koncern att samordna sin information med de verksam- hetsutövare som inom koncernen har att följa bestämmelserna. advokatsamfund påpekar att det är viktigt att penningtvättslagens bestämmelser om olika kontrollåtgärder anpassas efter lagstiftningen om lagring och behandling av personuppgifter så att de kontrollåtgärder som penningtvättslagen uppställer är möjliga och tillåtna enligt personupp- giftslagen samt att åtgärderna går att utföra på ett smidigt sätt utan att personuppgiftslagen försvårar eller fördröjer klientkännedomsarbetet. Skälen för regeringens förslag: Med behandling av personuppgifter avses varje åtgärd eller serie av åtgärder som vidtas i fråga om person- uppgifter, vare sig det sker på automatisk väg eller inte. De skäl som låg till grund för införandet av särskilda bestämmelser om register är inte längre aktuella (se avsnitt 5.5.1). Regleringen bör i stället utgå från behandling av personuppgifter. I personuppgiftslagen (1998:204), (förkortad PUL), finns generell reglering om behandlingen av personuppgifter. Av 2 § PUL följer att om det i annan lag eller förordning finns bestämmelser som avviker från lagen ska de bestämmelserna gälla. att det är viktigt att de kontrollåtgärder som penningtvättslagen uppställer är möjliga och tillåtna enligt PUL samt att åtgärderna går att utföra på ett smidigt sätt utan att PUL försvårar eller fördröjer kundkännedomsarbetet. Enligt regeringens mening ska bestämmelserna i tillämpas i de allra flesta fall när det gäller den behandling av personuppgifter som sker med stöd av penningtvättslagens bestämmelser. I vissa fall bedöms dock PUL ett hinder mot att leva upp till 13 § PUL om I penningtvättslagen bör det därför tas in regler som i vissa avseenden avviker från vad som följer av PUL. I promemorians förslag till lagtext anges att personuppgifter får behandlas enligt kapitlet i syfte att förhindra att finansiell verksamhet och annan näringsverksamhet utnyttjas för penningtvätt eller finansiering av terrorism. Någon ändring av bestämmelsen, som föreslår, bedöms inte nödvändig att göra. Kapitlet gäller vid verksamhetsutövares behandling av personuppgifter, om behandlingen är helt eller delvis automatiserad eller om personuppgifterna ingår eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Något undantag görs inte för behandling av personuppgifter som omfattas av den s.k. missbruksregeln i 5 a § PUL, dvs. behandling av personuppgifter som inte ingår i eller är avsedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt underlätta sökningen efter eller sammanställning av personuppgifter. Som Datainspektionen framhåller är det föreslagna nya kapitlet även tillämpligt på behandling som omfattas av 5 a § PUL. Kapitlet innebär således i vissa avseenden en begränsning när det gäller sådan behandling av personuppgifter, såvitt behandlingen faller under det nya kapitlet. Som berörts kan det principiella förbudet i 13 § PUL mot att behandla känsliga personuppgifter, bl.a. sådana som avslöjar ras, etniskt ursprung eller politiska åsikter, i praktiken omöjliggöra viss behandling av personuppgifter enligt penningtvättslagen. Det handlar t.ex. om uppgifter som behandlas i syfte att ta reda på om kunden eller dess verkliga huvudman är en person i politiskt utsatt ställning, liksom om en person är familjemedlem eller känd medarbetare till en sådan person. Vidare skulle personuppgifter som framgår av pass- eller andra identitetshandlingar, som innehåller bild, i förening med namn och uppgift om medborgarskap, i vissa fall kunna avslöja etniskt ursprung. Det kan också vara nödvändigt att behandla känsliga personuppgifter för att uppfylla uppgifts- och granskningsskyldigheten och för att bevara uppgifter om åtgärder som vidtagits vid granskning av transaktioner. Det finns därför skäl att i penningtvättslagen införa bestämmelser som avviker från PUL i detta avseende. I penningtvättslagen bör det således anges att känsliga personuppgifter får behandlas. Behandlingen bör dock endast vara tillåten om det är nödvändigt av skäl som är hänförliga till skyldigheter som åligger verksamhetsutövare enligt penningtvättslagen. Regeringen delar inte Svenska Bankföreningens synpunkt att ”endast” bör tas bort ur den föreslagna lagtexten. Enligt 13 § PUL är utgångspunkten att det är förbjudet att behandla känsliga personuppgifter. Regleringen i penningtvättslagen innehåller ett undantag från förbudet. Enligt regeringens mening bör det därför tydligt framgå att känsliga personuppgifter inte får behandlas av andra skäl än de som uttryckligen anges i den aktuella bestämmelsen i penningtvättslagen. Som framhåller är uppgifter om lagöverträdelser inte känsliga personuppgifter i den mening som avses 13 § PUL. Regeringen vill betona att avsikten med den föreslagna bestämmelsen inte är att reglera behandling av personuppgifter som avser Någon hänvisning till 21 § PUL bör därför inte göras i 3 § penningtvättslagen, vilket efterfrågar. I 21 § PUL anges att det är förbjudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattar uppgifter om bl.a. brott. Om det i annan lag eller förordning finns bestämmelser som avviker från PUL ska de bestämmelserna gälla. I 3 kap. 1 § penning- tvättslagen finns en skyldighet för verksamhetsutövare att granska transaktioner för att kunna upptäcka sådana som den misstänker eller har skälig grund att misstänka utgör ett led i penningtvätt eller finansiering Om misstanke efter närmare analys kvarstår, ska verk- samhetsutövaren lämna uppgifter till om alla omständigheter som kan tyda på penningtvätt eller finansiering av Denna bestämmelse, som innebär en skyldighet för verksam- hetsutövare att behandla uppgifter om att en person kan misstänkas ha begått brott, avviker från bestämmelsen i 21 § PUL. 3 kap. 1 § penningtvättslagen ska således, i enlighet med vad som sagts ovan, tillämpas i stället för 21 § PUL. bolagens förening lyfter frågan om vilken granskning enligt 3 kap. 1 § Den granskning som sker enligt första stycket är av generell karaktär och syftar till att upptäcka misstänkta transaktioner. den granskningen som åsyftas här. De uppgifter som avses är sådana som framkommer vid den närmare analysen enligt andra stycket första meningen, när verksamhetsutövaren har konstaterat att det föreligger omständigheter som kan tyda på penningtvätt eller finansiering av Som framgått är 21 § PUL inte heller tillämplig på den behandling av personuppgifter som sker när uppgifterna om misstänkt penningtvätt eller finansiering av terrorism rapporteras till Polismyndig- efterfrågar en ändring i penningtvättslagen som möjliggör kontroller mot s.k. sanktionslistor. I den mån uppgifterna i sådana listor rör lagöverträdelser bör frågan, enligt regeringens mening, alltjämt hanteras av Datainspektionen (jfr prop. 2008/09:70 s. 140–142). Det gäller som framgått dock inte behandling av personuppgifter som avser lagöverträdelser och som aktualiseras i samband med den närmare analysen eller rapporteringen till . En särskild fråga är hur länge uppgifter som behandlas enligt 4 kap. penningtvättslagen ska bevaras. Enligt vad som föreslås i föregående avsnitt ska vissa personuppgifter bevaras enligt penning- I avsaknad av en sådan särskild reglering är PUL tillämplig. Enligt PUL (9 § i) ska den personuppgiftsansvarige se till att person- uppgifter inte bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. således den yttersta gränsen för hur länge personuppgifter får bevaras, när annat inte följer av penningtvättslagen. Kammarrätten i menar att den gällande skyldigheten att bevara handlingar och uppgifter om åtgärder som vidtagits för att uppnå kundkännedom (2 kap. 13 § penningtvättslagen) kräver andra överväganden än de som framkommer i promemorian. kammarrätten framhåller kan det bli så att vissa uppgifter sparas under en Det finns emellertid inte utrymme att inom ramen för detta lag- stiftningsärende överväga ändringar i den bestämmelsen. Den nuvarande regleringen i 4 kap. penningtvättslagen innebär att register får föras för att uppfylla gransknings- och uppgiftsskyldigheten enligt penningtvättslagen (se prop. 2008/09:70 och prop. 1998/99:19). De nuvarande bestämmelserna utgår således från uppgifterna i sådana register. I promemorian anges att förslagen inte innebar att någon ändring i sak var avsedd i fråga om bestämmelserna om information till den registrerade, samkörning, rättelse och skadestånd samt tystnadsplikt. Datainspektionen framhåller dock att promemorians förslag till lagtext i fråga om information till den registrerade innebär en ändring i sak jämfört med nuvarande bestämmelse. Enligt promemorians förslag till lagtext får uppgifter som behandlas enligt kapitlet inte lämnas ut till den registrerade. Som Datainspektionen framhåller bör den registrerade inte undanhållas information om exempelvis vilka uppgifter som hämtats in för kontroll av om personen är en person i politiskt utsatt ställning. Liksom bör regleringen, enligt regeringens mening, utgå från uppgifts- och granskningsskyldigheten. När det gäller granskningsskyldigheten anser regeringen dock att det är uppgifter om att en närmare analys gjorts enligt 3 kap. 1 § andra stycket första meningen som är av den karaktären att de inte bör lämnas ut till den registrerade. Även promemorians förslag till lagtext när det gäller förbud mot samkörning innebär att bestämmelsen får ett bredare tillämpningsområde än . Bestämmelsen har tillkommit i syfte att skydda den personliga integriteten (prop. 1998/99:19 s. 78). Regeringen bedömer att integritetshänsyn alltjämt gör sig gällande när det gäller förbudet mot att samköra register. I den mån register förs bör förbudet omfatta alla personuppgifter. Förvaltningsrätten i och tar upp frågor om koncerngemensamma regler. Sådana frågor kräver enligt regeringens mening överväganden som inte ryms inom ramen för detta lagstiftningsärende. Enligt promemorians förslag omfattar tystnadsplikten personuppgiftsbehandling enligt kapitlet. Tystnadsplikten bör enligt regeringens mening omfatta att känsliga personuppgifter behandlas enligt kapitlet. Sådana uppgifter är till sin natur sådana att det inte finns skäl att röja att de behandlas. Därutöver bör tystnadsplikten omfatta att närmare analys och rapportering till har skett. Länsstyrelserna i och efterfrågar ändringar i offentlighets- och sekretessförordningen. Förordningsändringar behandlas dock i annan ordning. Lagrådet förordar, eftersom bestämmelserna om personuppgiftsbehandling kommer att bli föremål för ytterligare överväganden i en pågående utredning, att förändringarna i 4 kap. övervägs ytterligare och genomförs samlat inom ramen för beredningen av det betänkandet. Lagrådet påpekar därvid att utformningen av 4 kap. väcker flera frågor och lyfter fram två sådana. Den ena frågan gäller att den första paragrafen i kapitlet kan uppfattas så att den ger uttryck för såväl tillämpningsområde som de ändamål för vilka behandlingen får ske. Någon uttrycklig bestämmelse om de ändamål för vilka personuppgifter får behandlas finns dock inte i lagen, vilket är en brist enligt Lagrådet. Den andra frågan gäller hur behandlingen av känsliga personuppgifter regleras. Lagrådet påpekar att bestämmelsen innebär att känsliga personuppgifter får behandlas om det är nödvändigt för att bl.a. bevara 2014/15:80 handlingar eller uppgifter om åtgärder som har vidtagits för att uppnå kundkännedom, men att det inte synes finnas någon bestämmelse som ger möjlighet att behandla känsliga uppgifter för att uppnå sådan kundkännedom. Enligt Lagrådet är det svårt att förstå när personuppgifter som inte får behandlas i övrigt ska få behandlas för att bevaras. Inledningsvis bör det enligt regeringens mening framhållas att de ändringar som föreslås i 4 kap. i huvudsak har sin grund i de ändringar som föreslås i lagen i övrigt. Det kan i och för sig, såsom Lagrådet påpekar, finnas skäl att överväga om ändringar bör genomföras i kapitlet då penningtvättslagen är föremål för översyn i en pågående utredning. Mot att avvakta med ändringar talar dock bl.a. att bestämmelsen om gallring bör ändras redan nu på grund av effektivitetsskäl (se avsnitt 5.4). Med anledning av de specifika frågor som Lagrådet lyfter fram vill regeringen anföra följande. Enligt regeringens mening framgår de ändamål för vilka personuppgifter får behandlas av 4 kap. 1 §, vilket bedöms vara tillräckligt. Vidare får enligt 4 kap. 2 § 1 känsliga personuppgifter behandlas för att bedöma om kunden är en person i politiskt utsatt ställning eller en familjemedlem eller känd medarbetare till en sådan person. Det är handlingar eller uppgifter som framkommer under en sådan kundkännedomsprocess som får bevaras enligt 4 kap. 2 § 2. Regeringen finner inte anledning att på grundval av Lagrådets påpekande rörande 4 kap. 2 § 2 i lagförslaget göra någon ändring i bestämmelsen. Mot denna bakgrund anser regeringen att de föreslagna ändringarna i 4 kap. bör genomföras, men erinrar om att det kan finnas skäl att återkomma till frågorna i den kommande översynen av lagen. Verksamhetsutövare ska enligt 2 kap. 1 § penningtvättslagen ha ett riskbaserat förhållningssätt när de vidtar åtgärder för att uppnå kundkännedom (se prop. 2008/09:70 s. 69). Av 5 kap. 1 § följer att de ska ha riskbaserade rutiner för att förhindra att verksamheten utnyttjas för penningtvätt eller finansiering av terrorism. De internationella standarderna utgår tydligare än tidigare från det riskbaserade förhållningsättet. Såväl länder som verksamhetsutövare ska ha ett riskbaserat förhållningssätt vid bekämpning av penningtvätt och finansiering av terrorism. Detta gäller även inom tillsynen. Ett riskbaserat förhållningssätt förutsätter att det har gjorts en riskbedömning. Både länder och verksamhetsutövare har enligt de internationella standarderna en skyldighet att göra en riskbedömning. Det innebär att de, efter att ha identifierat riskerna för penningtvätt och finansiering av terrorism i verksamheten, ska analysera och förstå dessa. Resurserna kan sedan fördelas utifrån och i enlighet med de risker som har framkommit vid riskbedömningen. Genom att rikta resurserna dit de bäst behövs, skapas bättre förutsättningar för en effektiv bekämpning av penningtvätt och finansiering av terrorism. Effektivitet i systemet för bekämpning av penningtvätt och finansiering av terrorism är centralt i de reviderade standarderna och något som Fatf särskilt beaktar vid Prop. 2014/15:80 utvärderingen av hur väl länder uppfyller dessa. 5.6.2 Nationell riskbedömning och strategi Enligt de internationella standarderna (rekommendation 1) ska länder göra en nationell riskbedömning för att identifiera, utvärdera och förstå sina risker för penningtvätt och finansiering av terrorism. anta en strategi som är förenlig med slutsatserna i riskbedömningen. Enligt standarderna ska en myndighet eller mekanism utses för att koordinera arbetet med att göra den nationella riskbedömningen. Regeringen beslutade (dnr Fi2012/4457) att ge , , , Fastig- hetsmäklarinspektionen, , , Lotteriinspektionen, i , i , i Län, , , , , och i uppdrag att i samverkan ta fram en nationell risk- bedömning avseende penningtvätt och finansiering av terrorism i utsågs till samordnande myndighet. de 16 myndigheterna har deltagit. lämnades rapporten , en nationell riskbedömning till regeringen och lämnades rapporten av terrorism, en nationell riskbedömning. I rapporten på området för penningtvätt anges att penningtvätt i sannolikt är omfattande och omsätter mångmiljardbelopp. rapporten identifieras risker relaterade till bl.a. kontantintensiva företag, valutaväxlingsföretag och in- och utförsel av kontanter. identifieras också ett antal särskilt svårbedömda områden där lite är känt om hotbilden, men som kan ha stor betydelse för riskläget. nämns penningtvättsaktiviteter relaterade till fastighetsbranschen och Även nya betalningsmetoder framhålls som ett I rapporten konstateras också att länsstyrelserna, på grund av lagtekniska hinder, saknar effektiva verktyg för att ingripa mot verksamhet som drivs olovligen. I rapporten på området för finansiering av terrorism anges att finansiering av terrorism sannolikt förekommer i . identifieras fem högriskområden; självfinansiering med legala intäkter, insamlingsverksamhet för vidarebefordran till utlandet, penningöver- föringar med begränsad spårbarhet, kontantsmuggling och annan utförsel samt remitteringar och bistånd till områden som kontrolleras av terrorist- Regeringen har tagit fram en strategi på området; En nationell strategi för en effektiv regim för bekämpning av penningtvätt och av finansiering av terrorism, skr. 2013/14:245. I det sammanfattande avsnittet i strategin anges bl.a. följande. Strategin har som övergripande målsättning att skapa en regim som på ett effektivt och ändamålsenligt sätt kan möta upp mot de hot och utmaningar av systemhotande karaktär som ställs inför på området. För att åstadkomma en sådan regim krävs, som en första delmålsättning, en tydligare och mer medveten strategi gällande 2014/15:80 samverkan mellan de brottsbekämpande, administrativa och övriga myndigheterna inom regimen för bekämpning av penningtvätt och finansiering av terrorism. Detsamma gäller för den samverkan som måste bedrivas mellan bekämpningen av grov organiserad brottslighet och bekämpningen av penningtvätt och finansiering av terrorism i . En regim för bekämpning av penningtvätt och finansiering av terrorism kan dock inte vara effektiv om den inte är dynamisk och har kapacitet att kunna anpassas efter omvärldens hot och utmaningar. För att kunna säkerställa en sådan kapacitet krävs, som en andra delmålsättning, att ett omfattande och kontinuerligt nationellt och internationellt arbete bedrivs med syfte att förstå och identifiera de hot som föreligger och att förmedla denna kunskap inom hela regimen. Länsstyrelserna i och ser positivt på samverkan mellan myndigheter. i menar att det är nödvändigt att detta kommer på plats för ett framgångsrikt arbete för att förhindra penningtvätt och finansiering av terrorism. framhåller att det inte finns det kunskapsstöd som länsstyrelserna behöver för att göra adekvata riskbedömningar och för att svara på verksamhetsutövarnas frågor kring vad de ska vara uppmärksamma på, vilket påverkar kvaliteten på eventuella rapporter till Finanspolisen eller att rapportering sker över huvud taget. framhåller att för en effektiv samverkan krävs enkla sekretessregler utan intresseavvägningar för ett väl fungerande informationsutbyte. 5.6.3Verksamhetsutövare ska göra en riskbedömning Regeringens förslag: Verksamhetsutövare ska kartlägga och bedöma riskerna för penningtvätt och finansiering av terrorism i verksamheten. Bedömningen ska dokumenteras och hållas uppdaterad. I de fall en fysisk person driver sin verksamhet som anställd hos en juridisk person, ska skyldigheten att göra en riskbedömning gälla den juridiska personen.