prop · H303170 · 2016-05-25 00:00:00 — Som framgår ovan är det regeringens uppfattning att UCITS-direktivet inte ställer krav på att företag inom den finansiella sektorn behandlar uppgifter om lagöverträd- elser i större omfattning än vad som är tillåtet enligt dessa föreskrifter vid användandet av de särskilt inrättade rapporteringssystemen. När motsvarande regler i kapitaltäckningsdirektivet och förordningen om värdepapperscentraler genomfördes i svensk rätt lämnade regeringen en utförlig redogörelse för hur ett internt system för anmälningar kan utformas och hur behandlingen av personuppgifter i ett sådant system förhåller sig till reglerna i personuppgiftslagen (prop. 2013/14:228 s. 247–254 och prop. 2015/16:10 s. 218–223). Det som anges där gör sig gällande även beträffande motsvarande rapporteringssystem för fond- bolag och regeringen hänvisar därför till det som anförs där. Det kan emellertid särskilt nämnas att regeringen bl.a. konstaterade att val av rapporteringssystem och metoder för att omhänderta inkomna anmäl- ningar inverkar på vilken typ av anmälningar som får omhändertas inom ramen för ett särskilt inrättat system. Det är alltså upp till företagen att själva avgöra vilken typ av rapporteringskanal som de vill inrätta och som är ändamålsenlig för just deras verksamhet. Om det system som an- vänds innebär en behandling av personuppgifter enligt personuppgifts- lagen måste, såsom framgår ovan, systemet uppfylla och användas i enlighet med de krav som följer av den lagen och Datainspektionens föreskrifter på området. Ett kreditinstitut ska tillhandahålla ändamålsenliga rapporteringssystem för anställda som vill göra anmälningar om misstänkta överträdelser av bestämmelser som gäller för kreditinstitutets verksamhet (6 kap. 2 a § lagen om bank- och finansieringsrörelse). Det innebär att det inte krävs några genomförandeåtgärder i svensk rätt för att genomföra reglerna om rapporteringssystem för förvaringsinstitut i UCITS-direktivet (artikel 99d.5). När det gäller fondbolag bör reglerna genomföras i en mot- svarande bestämmelse i lagen om värdepappersfonder. Som Finans- inspektionen påpekar innebär det en skillnad i förhållande till AIF- förvaltare om det inte införs motsvarande bestämmelser även när det gäller dem. Något sådant krav finns emellertid inte i AIFM-direktivet. 2015/16:170 Utredningen föreslår inte heller att det införs något sådant krav. Ett förslag om att införa en skyldighet även för AIF-förvaltare att ha ett rapporteringssystem för anmälningar skulle kräva remittering och det finns det inte utrymme för inom förevarande lagstiftningsärende. Skydd för anmälarens identitet Regeringens förslag: Nuvarande bestämmelse om sekretess i lagen om värdepappersfonder ska utvidgas till att omfatta uppgifter i en anmälan eller en utsaga om en misstänkt överträdelse av en bestäm- melse som gäller för ett fondbolags verksamhet, om uppgiften kan avslöja anmälarens identitet. Regeringens bedömning: Reglerna i UCITS-direktivet om krav på skydd för identiteten på den som har anmält en överträdelse är uppfyllda i gällande rätt. Utredningens bedömning överensstämmer med regeringens bedöm- Utredningen lämnar inte något förslag om att nuvarande sekretess- bestämmelse i lagen om värdepappersfonder ska utvidgas. Remissinstanserna: () och föreslår en utvidgning av det sekretesskydd som finns i 30 kap. 4 b § offentlighets- och sekretesslagen (2009:400) till att avse uppgiftslämnande till alla myndigheter vars myndighetsutövning består i tillståndsgivning eller tillsyn. Skälen för regeringens förslag och bedömning Medlemsstaterna ska enligt UCITS-direktivet införa regler som säker- ställer att identiteten på den person som rapporterar en överträdelse inte röjs (artikel 99d.2 d). Kravet på identitetsskydd är, liksom i MiFID II (artikel 73.2), kopplat till de mekanismer för rapportering som de behöriga myndigheterna ska tillhandahålla (se avsnitt 8.3.2). en skillnad i förhållande till reglerna i kapitaltäckningsdirektivet (artikel 71.3) och förordningen om värdepapperscentraler (artikel 65.3) som innebär att motsvarande identitetsskydd ska finnas inom ramen för de särskilt inrättade system för anmälningar som företagen själva ska Skydd för identiteten hos Motsvarande regler avseende skydd för anmälarens identitet som i UCITS-direktivet finns, som konstateras ovan, i kapitaltäcknings- direktivet och förordningen om värdepapperscentraler och även i Reglerna i kapitaltäckningsdirektivet har i svensk rätt genom- förts genom 30 kap. 4 b § offentlighets- och sekretesslagen med inne- börden att sekretess ska gälla i en statlig myndighets verksamhet som består i tillståndsgivning eller tillsyn med avseende på bank- och kredit- väsendet, värdepappersmarknaden eller försäkringsväsendet för uppgifter i en anmälan eller utsaga om överträdelse av en bestämmelse som gäller för den som myndighetens verksamhet avser, om uppgiften kan avslöja anmälarens identitet (se prop. 2013/14:228 s. 254–258). Genom den bestämmelsen ansåg regeringen att även kraven i förordningen om värdepapperscentraler var uppfyllda när det gäller skydd för anmälarens identitet (se prop. 2015/16:10 s. 224–229). Regeringen gör samma bedömning när det gäller kraven i UCITS-direktivet på sådant skydd. Att eventuellt utvidga sekretesskyddet till att avse uppgiftslämnande till alla myndigheter vars myndighetsutövning består i tillståndsgivning eller tillsyn som () och föreslår är emellertid ingen fråga som bör hanteras i det före- varande lagstiftningsärendet. Skydd för identiteten hos fondbolagen Regleringen i offentlighets- och sekretesslagen om begränsningar av enskildas rätt att ta del av allmänna handlingar är inte tillämplig inom den privata sektorn. På finansmarknadsområdet finns det i stället sär- skilda regler om sekretess och tystnadsplikt för olika slag av finansiella företag och verksamheter i den lagstiftning som gäller för t.ex. bank- rörelse, försäkringsrörelse eller värdepappersrörelse. Som framgår i avsnitt 8.3.6 är den tystnadsplikt som gäller anställda i fondbolag enligt lagen om värdepappersfonder utformad så att ett obehörigt röjande av enskildas förhållanden till värdepappersfonden, ett fondbolag eller ett förvaringsinstitut är förbjudet (se 2 kap. 19 §). Sekretessbestämmelsen i den lagen säkerställer alltså inte ett skydd för en anmälares identitet vid användandet av ett fondbolags interna rapporteringssystem. Till skillnad från i UCITS-direktivet ställs det, som nämns ovan, i kapitaltäcknings- direktivet och förordningen om värdepapperscentraler krav på att de särskilt inrättade system för anmälningar som företagen ska tillhanda- hålla ska ha samma identitetsskydd som om anmälan ges in till en myndighet. Reglerna i kapitaltäckningsdirektivet har i svensk rätt genom- förts på så sätt att bestämmelserna om sekretess i lagen om bank- och finansieringsrörelse (1 kap. 10 §) och lagen om värdepappersmarknaden (1 kap. 11 §) utvidgats till att omfatta uppgifter i en anmälan eller en utsaga om en misstänkt överträdelse av en bestämmelse som gäller för sådan verksamhet, om uppgiften kan avslöja anmälarens identitet (se prop. 2013/14:228 s. 255 och 258 f.). Bestämmelserna omfattar anmäl- ningar om överträdelser av bestämmelser som gäller för berörda företags verksamhet och är inte begränsade till enbart anmälningar och utsagor som rör överträdelser av bestämmelser som är direkt knutna till kapital- täckningsdirektivet och tillsynsförordningen (se a. prop. s. 253). Enligt regeringen finns det inga skäl för att den som rapporterar överträdelser av de bestämmelser som gäller för ett fondbolag ska ha ett sämre skydd än den som rapporterar överträdelser inom ramen för t.ex. ett förvarings- instituts verksamhet. Om skydd för anmälarens identitet inte skulle finnas vid intern rapportering hos fondbolagen skulle det enligt regeringens bedömning också riskera att väsentligen hämma användandet av de interna systemen. Den nuvarande bestämmelsen om sekretess i lagen om värdepappersfonder (2 kap. 19 §) bör därför utvidgas till att omfatta uppgifter om enskildas personliga förhållanden som lämnas inom ramen för ett fondbolags särskilda rapporteringssystem och som på något sätt kan avslöja vem anmälaren är. I likhet med det som gäller 2015/16:170 enligt nuvarande bestämmelse, bör sekretesskyddet endast omfatta skydd för obehörigt röjande. Enligt regeringens mening bör ledning för vad som ska anses utgöra ett obehörigt röjande i nu aktuella fall kunna sökas utifrån det som gäller vid röjande av enskildas förhållanden enligt nuvarande bestämmelse (se vidare avsnitt 8.3.6 under rubriken ”Det bör införas en regel om ansvarsfrihet”). 8.3.6 En anmälare ska inte göras ansvarig för att ha åsidosatt någon tystnadsplikt Regeringens förslag: I lagen om värdepappersfonder, lagen om bank- och finansieringsrörelse och lagen om värdepappersmarknaden ska det tas in bestämmelser om att en anställd som har gjort en anmälan om misstänkta överträdelser till eller Europeiska värdepappers- och marknadsmyndigheten, eller via företagets interna rapporteringssystem för misstänkta överträdelser, inte får göras ansvarig för att ha åsidosatt någon tystnadsplikt, om anmälaren hade anledning att anta att en överträdelse hade skett. Utredningens förslag överensstämmer i huvudsak med regeringens förslag. Utredningens förslag avviker från regeringens förslag genom att det omfattar alla som har gjort en anmälan om misstänkta överträdelser och inte endast anställda. Utredningens förslag är inte heller avgränsat till anmälningar till eller Europeiska värdepappers- och marknadsmyndigheten. Utredningens förslag omfattar inte heller rapportering som sker via företagets interna rapporteringssystem för överträdelser. Remissinstanserna tillstyrker förslaget eller har inget att invända mot det. Skälen för regeringens förslag Rapportering till de behöriga myndigheterna eller från anställda i fondbolag och förvaringsinstitut ska enligt UCITS-direktivet (artik- el 99d.4) inte anses vara en överträdelse av de restriktioner avseende utlämnande av information som följer av avtal, lagar eller andra författ- ningar, och den person som rapporterar ska inte ådra sig något ansvar med anledning av rapporteringen. Som framgår i avsnitt 8.3.4 finns det redan bestämmelser om rapportering av överträdelser i lagen om bank- och finansieringsrörelse och lagen om värdepappersmarknaden. De bestämmelserna innehåller dock inte någon uttrycklig regel om ansvars- frihet som innebär att den som har rapporterat inte ska göras ansvarig för att ha åsidosatt någon tystnadsplikt (några regler som motsvarar dem i artikel 99d.4 i UCITS-direktivet finns varken i kapitaltäckningsdirektivet [artikel 71] eller i förordningen om värdepapperscentraler [artikel 65]). Det bör införas en regel om ansvarsfrihet Den tystnadsplikt som åvilar anställda i fondbolag och förvaringsinstitut enligt lag är utformad så att det är ett obehörigt röjande av enskildas förhållanden som är förbjudet (se 2 kap. 19 § lagen om värdepappers- fonder och 1 kap. 10 § lagen om bank- och finansieringsrörelse). Normalt torde rapportering av överträdelser huvudsakligen röra interna företeelser hos fondbolaget eller förvaringsinstitutet, men beroende på vad det är fråga om för överträdelse är det inte uteslutet att rapporteringen även innefattar uppgifter om kunder och motparter som omfattas av tystnads- plikt enligt lagen om värdepappersfonder eller lagen om bank- och finansieringsrörelse. I sådana fall är det inte självklart att ett röjande av uppgifter om kunder i samband med en rapportering av överträdelser ska ses som ett ”behörigt” röjande. I förarbetena till bestämmelsen om bank- sekretess anges som exempel på behörigt röjande att uppgiften behöver röjas för att fullgöra kundens uppdrag, att kunden har gett samtycke till röjandet och att banken enligt lag är skyldig att röja uppgiften (prop. 2002/03:139 s. 478 f.). Där anges också att det kan vara fråga om ett behörigt röjande även i fall då det inte föreligger någon juridisk skyldig- het att lämna ut en uppgift, t.ex. när en bank lämnar uppgifter till en myndighet som har tillsyn över personer som är kunder i banken. I doktrin och förarbeten finns många olika exempel på när ett röjande kan vara att betrakta som behörigt (se t.ex. , Banksekretess och annan finansiell sekretess, 2010, a. prop. 476–484, SOU 1999:82 s. 91–126 och Ds 2011:7). I de exempel som tas upp är det dock fråga om antingen att röjandet sker i kundens intresse eller att banken av någon anledning är skyldig att lämna ut uppgiften. När någon anställd rapport- erar en överträdelse sker ett eventuellt utlämnande av uppgifter om kunder varken i den enskilde kundens intresse eller på grund av en skyldighet att lämna uppgifter. Med hänsyn till syftet med rapporteringen torde emellertid röjandet av uppgifterna i de flesta fall inte anses som obehörigt. Dessutom råder sekretess för uppgifterna hos Finansinspek- tionen. Det kan emellertid inte uteslutas att oklarheter kan uppstå huru- vida ett sådant röjande är att betrakta som obehörigt och därmed strida mot sekretessreglerna i lagen om värdepappersfonder eller lagen om bank- och finansieringsrörelse. En anmälan om överträdelser skulle också kunna föranleda ansvar enligt annan lagstiftning. Till exempel kan straffansvar enligt 20 kap. 3 § ådömas vid åsidosättande av tystnadsplikten i lagen om värdepappersfonder. Enligt de nya regler som har införts i UCITS-direktivet (artikel 99d.4) ska ansvarsfrihet omfatta inte bara brott mot tystnadsplikt enligt lag eller andra författningar utan även avtalad tystnadsplikt. Det torde vara relativt vanligt förekommande med sekretessavtal i anställningsförhållanden på finansmarknadsområdet och det är inte otänkbart att rapportering av missförhållanden kan innefatta ett brott mot ett sådant åtagande. För att i svensk rätt genomföra reglerna i UCITS-direktivet i denna del bör det därför införas bestämmelser om ansvarsfrihet vid rapportering av överträdelser i berörda lagar. Utredningen föreslår att det i berörda lagar tas in bestämmelser om att den som har gjort en anmälan om misstänkta överträdelser av bestäm- melser som gäller för verksamheten inte får göras ansvarig för att ha 2015/16:170 åsidosatt någon tystnadsplikt. Regeringen anser emellertid att bestäm- melserna bör utformas mer direktivnära. I likhet med i UCITS-direktivet (artikel 99d.4) bör det därför anges att det som avses är anmälningar som görs av anställda i fondbolag och kreditinstitut. I enlighet med det som anges i direktivet bör det även i bestämmelserna anges att ansvarsfrihet gäller vid rapportering till eller (se artikel 99d.3 om skyldigheten för att inrätta säkra kommunikationskanaler för rapportering av överträdelser). Utöver anmälningar till dessa myndig- heter anser regeringen att ansvarsfrihet bör gälla även i de fall en anställd har gjort en anmälan om misstänkta överträdelser via företagens interna rapporteringssystem. Om anmälningar via företagens interna rapport- eringssystem inte skulle omfattas, skulle det enligt regeringens bedöm- ning riskera att väsentligen hämma användandet av de interna systemen. En sådan ordning skulle alltså motverka syftet att på ett effektivt sätt underlätta interna larm. Av reglerna i UCITS-direktivet följer att det är rapportering av över- trädelser av regler i det direktivet som ska omfattas av ansvarsfrihet. Det är emellertid svårt att avgränsa bestämmelserna till enbart anmälningar och utsagor som rör överträdelser av bestämmelser som hänför sig direkt till reglerna i direktivet. Regeringen anser därför att ansvarsfrihet bör gälla vid rapportering av överträdelser av bestämmelser som gäller för fondbolagets verksamhet. Av samma skäl bör den föreslagna bestämmel- sen i lagen om bank- och finansieringsrörelse gälla all rapportering av överträdelser av bestämmelser som gäller för verksamheten. På så sätt kan besvärliga gränsdragningsproblem undvikas. medför det ett både tydligare och säkrare skydd för anmälaren. Därtill konstaterar regeringen att de föreslagna bestämmelserna därmed kommer att stämma överens med det som föreslås för de rapporteringskanaler som är till- gängliga för anställda, såväl internt som externt (se avsnitten 8.3.2 och 8.3.4). Ansvarsfrihet bör gälla om anmälaren har anledning att anta att en överträdelse har skett En särskild fråga som inställer sig är i vilken utsträckning det bör ställas krav på att anmälaren ska ha ett visst kunskapsunderlag för att ansvars- frihet ska gälla. Enligt reglerna i UCITS-direktivet kan rapporteringen avse potentiella eller faktiska överträdelser (artikel 99d.1). Det talar enligt regeringens uppfattning för att det bör ställas ett krav på kunskaps- underlag hos anmälaren men att kravet bör ställas lågt. En självklar förutsättning är att uppgifterna har med en påstådd överträdelse att göra. För att en tystnadsplikt ska få brytas på eget initiativ – dvs. utan att t.ex. en myndighet har begärt uppgifter eller det finns en rapporterings- skyldighet – bör vidare de uppgifter som rapporteras ha viss kvalitet. En anmälare som medvetet lämnar felaktiga eller vilseledande uppgifter bör inte åtnjuta ansvarsfrihet. Enligt regeringens mening bör anmälaren lämna uppgifterna i tron om att de är riktiga. Eftersom en anmälan ska kunna avse även potentiella överträdelser bör det dock inte krävas att anmälaren är övertygad om att en överträdelse har skett. I propositionen Ett särskilt skydd mot repressalier för arbetstagare som slår larm om allvarliga missförhållanden (prop. 2015/16:128) föreslås att en av förutsättningarna för att arbetstagare ska omfattas av den före- slagna nya lagens särskilda skydd vid externa larm ska vara att arbets- tagaren hade fog för påståendet om allvarliga missförhållanden (se av- snitt 4.8.3). Skälet för det förslaget är bl.a. att det vid externa larm kan finnas en risk för att arbetsgivaren genom larmet skadas på ett omotiverat sätt. Samma skäl gör sig delvis gällande i förevarande lagstiftningsärende när det gäller rapportering till de behöriga myndigheterna. Regeringen konstaterar emellertid att det med extern rapportering enligt förslaget till lag om särskilt skydd mot repressalier för arbetstagare som slår larm om allvarliga missförhållanden avses inte bara rapportering direkt till myn- dighet utan även att en arbetstagare slår larm genom att offentliggöra uppgifter eller lämna uppgifter för offentliggörande. Det kan därför rim- ligen antas att den skada som skulle kunna uppstå för arbetsgivare vid extern rapportering enligt det regelverket skulle kunna bli större jämfört med den skada som kan uppstå vid rapportering till de behöriga myndig- heterna enligt de bestämmelser som föreslås i denna proposition. Enligt regeringens uppfattning föreligger det också en skillnad mellan att åtnjuta ansvarsfrihet i förhållande till en överträdelse av en ålagd tystnadsplikt och att få ett särskilt civilrättsligt skydd vid direkt extern rapportering av missförhållanden. Det är därför rimligt att kravet på kunskapsunderlag hos anställda i förevarande lagstiftningsärende ställs något lägre när det gäller rapportering till de behöriga myndigheterna. Utredningen gör bedömningen att den som haft anledning att räkna med att en misstänkt överträdelse borde ha rapporterats bör åtnjuta detta skydd. Regeringen gör samma bedömning som utredningen när det gäller den nivå som kravet bör läggas på. Det bör emellertid framhållas att det inte finns någon skyldighet för anställda att rapportera missförhållanden. Regeringen anser därför att kravet, såsom det också kommer till uttryck i utredningens förslag till lagtext, bör kopplas till huruvida en överträdelse har skett eller inte. Enligt regeringens uppfattning innebär ett krav på att anmälaren ska ha haft anledning att anta att en överträdelse av bestämmelserna som gäller för verksamheten har skett, en rimlig avvägning mellan de olika intressen som berörs. Det innebär att det bör krävas att det finns någon omständighet som kan konstateras objektivt, dvs. det bör inte vara fråga om ett rent påstående från anmälarens sida. Ett sådant krav är rimligt även mot bakgrund av att rena påståenden inte kan anses vara till nytta för när det gäller att utreda om en överträdelse har skett. Eftersom det inte uppställs något krav på att de överträdelser som rapporteras ska vara av något kvalificerat slag, bör det även ställas krav på kunskapsunderlag vid rapportering via företagens interna rapport- eringssystem. Även om den skada som kan uppstå vid intern rapportering kan antas bli lägre än den vid rapportering till de behöriga myndigheterna är det rimligt, inte minst för att undvika rapportering av medvetet felaktig eller vilseledande information, att ställa ett sådant krav. Enligt regeringens bedömning bör samma krav på kunskapsunderlag ställas vid såväl rapportering till de behöriga myndigheterna som vid intern rapportering via företagens interna rapporteringssystem. Det kan noteras att detta innebär en skillnad i förhållande till det som föreslås gälla vid interna larm i förslaget till lag om särskilt skydd mot repressalier för arbetstagare som slår larm om allvarliga missförhållanden. 2015/16:170 gör i det lagstiftningsärendet bedömningen att lagens särskilda skydd ska inträda vid interna larm oavsett vilket kunskapsunderlag arbetstagaren har om uppgifternas riktighet (se avsnitt 4.6 i a. prop.). Regeringens upp- fattning i förevarande lagstiftningsärende är emellertid, som framgår ovan, att ett sådant krav bör ställas när det gäller nu föreslagna bestäm- melser som ger anställda rätt att undgå ansvar för åsidosättande av tystnadsplikt. Även om det inte framgår av UCITS-direktivet bör samma krav på kunskapsunderlag gälla vid rapportering till (artikel 99d.3). Rege- ringen bedömer också att en sådan ordning är förenlig med direktivet. Motsvarande bestämmelse bör gälla för värdepappersbolag och kreditinstitut innebär förslaget att en anställd som haft anledning att räkna med att en misstänkt överträdelse har skett, anmäler detta till eller , eller om rapportering skett via företagets interna rapporteringssystem för överträdelser, varken kan ådra sig straffrättsligt ansvar, skadeståndsskyldighet eller andra sanktioner för brott mot tystnadsplikt. Enligt regeringens uppfattning finns det inte skäl för att den som rapporterar överträdelser av de regler som gäller för fondbolag eller kreditinstitut ska ha ett starkare skydd än den som rapporterar över- trädelser av regler som gäller för företag på värdepappersmarknads- området. En motsvarande bestämmelse bör därför tas in i lagen om värdepappersmarknaden. Regeringen konstaterar emellertid att, eftersom MiFID II ännu inte har genomförts i svensk rätt, det endast är värdepappersbolag som har en skyldighet att inrätta interna rapporteringssystem (se 8 kap. 4 a § lagen om värdepappersmarknaden). Bestämmelsen bör därför gälla anställda i sådana bolag (jfr SOU 2015:2 s. 525). Eftersom enligt MiFID II inte har någon skyldighet mot- svarande den i UCITS-direktivet (artikel 99.d 3), dvs. skyldighet att inrätta kommunikationskanal för rapportering av överträdelser, bör be- stämmelsen i lagen om värdepappersmarknaden endast avse anmälningar av överträdelser till . Regeringens bedömning: Reglerna i UCITS-direktivet om att medlemsstaterna ska tillämpa dataskyddsdirektivet på behandling av personuppgifter som utförs enligt UCITS-direktivet kräver inte någon lagstiftningsåtgärd. Utredningens bedömning överensstämmer med regeringens bedöm- ning. Remissinstanserna tillstyrker bedömningen eller har inget att invända mot den. Skälen för regeringens bedömning: Enligt de nya regler som har införts i UCITS-direktivet (artikel 104a.1) ska medlemsstaterna tillämpa dataskyddsdirektivet på behandling av personuppgifter som utförs i medlemsstaterna enligt UCITS-direktivet (jfr även artikel 99d.2 c). framgår i avsnitt 8.3.4 har dataskyddsdirektivet genomförts i svensk rätt Prop. 2015/16:170 genom personuppgiftslagen. Personuppgiftslagen är tillämplig på