prop · H40322 · 2016-10-25 00:00:00 — Arbetsdomstolen ifrågasätter promemorians förslag att bestämmelsen om att man inte ska kunna göras ansvarig för att ha åsidosatt någon tystnadsplikt inte skulle vara tillämplig i det allmännas verksamhet. Bestämmelsen om rätt att åsidosätta tystnadsplikt verkar innebära att en arbetstagare som inte är verksam i det allmännas verksamhet utan risk för negativa arbetsrättsliga konsekvenser kan trotsa ett av arbetsgivaren med stöd av sin arbetsledningsrätt meddelat förbud att göra en anmälan, dvs. bryta mot sin lydnadsplikt. I det allmännas verksamhet skulle dock arbetstagaren enligt förslaget inte kunna göra det. Skillnaden förefaller enligt Arbetsdomstolen omotiverad. Regeringen instämmer med Arbetsdomstolen att arbetstagare i det allmännas verksamhet bör ha samma möjligheter att åsidosätta tystnadsplikt som arbetstagare i den privata sektorn. När det gäller Arbetsdomstolens exempel om att en arbetsgivare i allmän verksamhet skulle kunna hindra en anställd från att anmäla misstänkta överträdelser till konstaterar regeringen att en anställd torde kunna trotsa en sådan order med stöd av den grundlagsskyddade yttrandefriheten. När det gäller anställda vid myndigheter har en arbetstagares anmälningar till andra myndigheter nämligen ansetts utgöra ett utnyttjande av den grundlagsskyddade yttrandefriheten och innebär i regel att arbetsgivaren inte kan ingripa mot den anställde (AD 2003 nr 51). Oavsett detta anser regeringen att det är viktigt att det är tydligt för den enskilde vilka rättigheter denne har. Som framgår ovan möjliggör regleringen i OSL att uppgifter som rör misstänkta överträdelser av marknadsmissbruksförordningen kan lämnas till . Om det inte skulle vara möjligt torde uppgifts- lämnandet vara straffbart enligt 20 kap. 3 § (brott mot tystnadsplikt). Regeringen delar därför Arbetsdomstolens uppfattning att den hänvisning till OSL som finns i promemorians förslag inte är nödvändig. Bestämmelsen om att den som har anmält en misstänkt överträdelse av marknadsmissbruksförordningen inte ska kunna göras ansvarig för att ha åsidosatt någon tystnadsplikt bör således vara tillämplig även i det allmännas verksamhet. Regeringens förslag: ska ha ändamålsenliga sys- tem och rutiner för att deras anställda internt ska kunna rapportera misstänkta överträdelser av marknadsmissbruksförordningen. I kompletteringslagen införs ett undantag från förbudet i person- uppgiftslagen mot behandling av personuppgifter som rör brott när det gäller de interna rapporteringssystemen. Tystnadsplikt ska gälla för uppgifter i en anmälan eller utsaga om en misstänkt överträdelse av marknadsmissbruksförordningen, om uppgiften kan avslöja anmäla- rens eller den utpekade personens identitet. En anställd som har gjort en anmälan till ett sådant rapporterings- system får inte göras ansvarig för att ha åsidosatt någon tystnadsplikt, om anmälaren hade anledning att anta att en överträdelse hade skett. Utredningens förslag överensstämmer delvis med regeringens förslag. Utredningens förslag avviker från regeringens förslag genom att utred- ningen föreslår att skyldigheten att ha interna rapporteringssystem ska omfatta alla företag som står under tillsyn. ningen föreslår inte något undantag från förbudet mot behandling av personuppgifter som rör brott, att tystnadsplikt ska gälla för uppgifter i anmälan eller utsaga om uppgiften kan avslöja anmälarens eller den utpekade personens integritet, eller någon bestämmelse om rätt att åsido- Remissinstanserna: Flertalet remissinstanser tillstyrker förslaget eller har inget att invända mot det. Datainspektionen anför att om det, för att ska leva upp till kraven i artikel 32 i marknadsmissbruksför- ordningen, är nödvändigt att företag som står under tillsyn behandlar uppgifter om lagöverträdelser i större omfattning än vad som är tillåtet enligt Datainspektionens föreskrifter (2010:1) bör detta komma till uttryck genom särskilda bestämmelser i kompletterings- Det vore även lämpligt om det i kompletteringslagen tydliggörs att personuppgiftslagen gäller vid behandling av personuppgifter. Skälen för regeringens förslag: Enligt marknadsmissbruksförord- ningen ska medlemsstaterna kräva att arbetsgivare som utför verksamhet som styrs av reglering avseende finansiella tjänster inför lämpliga interna förfaranden för att deras anställda ska kunna rapportera överträdelser av den förordningen (artikel 32.3). Regeringen anser liksom utredningen att skyldigheten att tillhandahålla interna förfaranden för anställda bör omfatta företag under Finansin- Regeringen anser dock att kretsen av företag under tillsyn bör avgränsas till företag som bedriver verksamhet med anknyt- ning till värdepappersmarknaden. ningen är tillämplig på värdepappersmarknaden, är det företag som är verksamma på värdepappersmarknaden som kan överträda förordningens Därför bör skyldigheten att tillhandahålla interna rapport- eringssystem omfatta sådana företag. En lämplig avgränsning är att ange att skyldigheten ska omfatta finansiella företag. bör då avses svenska AIF-förvaltare, börser, clearingorganisationer, fondbolag, försäkringsföretag, kreditinstitut, värdepappersbolag och värdepapperscentraler samt utländska företag som hör hemma utanför Europeiska ekonomiska samarbetsområdet och som efter tillstånd från från filial i driver motsvarande verksamhet som de svenska företagen. I marknadsmissbruksförordningen ställs det inte upp något särskilt krav på det förfarande som det interna rapporteringssystemet ska inne- bära, annat än att det ska vara fråga om lämpliga interna förfaranden. Beträffande vissa finansiella företag, exempelvis värdepapperscentraler och värdepappersbolag, finns det redan, till följd av EU-reglering, skyldigheter att tillhandahålla interna rapporteringssystem för anställda som vill göra anmälningar om misstänkta överträdelser av bestämmelser som gäller för bolagets verksamhet (se t.ex. lagen om värdepappers- centraler och kontoföring av finansiella instrument och 8 kap. 4 a § lagen om värdepappersmarknaden). Bestämmelserna genomför regler i förord- ningen om värdepapperscentraler (artikel 65.3) och kapitaltäcknings- direktivet (artikel 71.3). Regeringen har föreslagit att detsamma ska gälla fondbolag (se prop. 2015/16:170 med förslag till ny 2 kap. 17 e § lagen om värdepappersfonder). Förslaget är avsett att genomföra UCITS-direktivet (artikel 99 d.5). Av EU-rättsakterna följer att medlems- staterna ska kräva att företagen har ändamålsenliga förfaranden för att deras anställda ska kunna rapportera överträdelser internt genom en särskild, oberoende och fristående kanal. Det som avses kan t.ex. vara visselblåsarsystem. Sådana system kan bestå i en särskild e-postadress, telefontjänst eller webbplats genom vilka uppgifter om brottsmisstankar om enskilda personer samlas in och behandlas (prop. 2013/14:228 s. 249 och prop. 2015/16:10 s. 219). Regeringen bedömer att nuvarande regler om att värdepapperscentraler och värdepappersbolag ska ha ändamålsenliga rapporteringssystem för anställda bör anses omfatta kravet i marknadsmissbruksförordningen på interna rapporteringsystem för anmälan om överträdelser av marknads- missbruksförordningen. Om antar regeringens ovan nämnda förslag beträffande fondbolag bör detsamma gälla dessa. Som framgår nedan bör det dock för de system som ska inrättas till följd av marknads- missbruksförordningen införas ett undantag från personuppgiftslagen och även en bestämmelse om tystnadsplikt. Något undantag från person- uppgiftslagen finns inte när det gäller de finansiella företag som redan omfattas av krav på interna rapporteringssystem, och det är endast beträffande värdepapperscentraler som det finns en tystnadsplikt som avser den utpekade personens identitet (8 kap. 2 § andra stycket lagen om värdepapperscentraler och kontoföring av finansiella instrument). En bestämmelse om skyldighet att inrätta interna rapporteringssystem för anställda som vill anmäla misstänkta överträdelser av marknadsmiss- bruksförordningen bör därför omfatta även de finansiella företag som redan har interna rapporteringssystem. I avsnitt 12.4 föreslås att ska kunna förelägga den som åsidosätter skyldigheten att tillhandahålla ändamålsenliga rapporte- ringssystem att göra rättelse. Det framgår inte uttryckligen av artikel 32.3 i marknadsmissbruksför- ordningen att de aktuella företagen ska iaktta bestämmelserna i data- skyddsdirektivet vid användningen av de interna rapporteringssystemen. Enligt regeringens uppfattning bör dock marknadsmissbruksförordningen anses förutsätta att all behandling av personuppgifter inom ramen för företagens särskilda rapporteringssystem står i överensstämmelse med de krav som följer av dataskyddsdirektivet. Dataskyddsdirektivet har i svensk rätt genomförts genom personuppgiftslagen. Detta innebär för svenska förhållanden att all behandling av personuppgifter inom ramen för ett särskilt rapporteringssystem ska stå i överensstämmelse med de krav som följer av personuppgiftslagen och Datainspektionens föreskrift- er. I likhet med i de bestämmelser om interna rapporteringssystem som finns i andra lagar på finansmarknadsområdet bör det i bestämmelsen i kompletteringslagen finnas en upplysning om att personuppgiftslagen gäller. Som Datainspektionen påpekar är det förbjudet för andra än myndig- heter att behandla personuppgifter om lagöverträdelser som innefattar brott (21 § personuppgiftslagen). Det gäller inte om det i lag eller i en förordning finns avvikande bestämmelser (2 §). Överträdelser av mark- nadsmissbruksförordningen utgör dock inte brott utan administrativa överträdelser. Förbudet i 21 § personuppgiftslagen är därför inte tillämp- ligt på personuppgifter som rör överträdelser av förordningens bestäm- melser. Däremot kan överträdelser av förbuden mot marknadsmissbruk (insiderhandel, marknadsmanipulation och olagligt röjande av insider- information) i förordningen utgöra brott enligt den nya lagen om straff för marknadsmissbruk. Bestämmelserna i personuppgiftslagen torde därför innebära att företag är förhindrade att behandla personupp- gifter som rör överträdelser av motsvarande förbud i marknadsmiss- bruksförordningen. I sammanhanget kan påpekas att och rådet antog förordningen (EU) 2016/679 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), även kallad data- skyddsförordningen. Förordningen utgör en ny generell reglering för personuppgiftsbehandling inom EU och kommer att ersätta det nuvar- ande dataskyddsdirektivet när den börjar tillämpas . I artikel 10 i dataskyddsförordningen finns liknande bestämmelser om förbud mot behandling av personuppgifter som rör fällande domar i brottmål samt överträdelser och som inte sker under kontroll av en myndighet. Förordningen ger dock på motsvarande sätt som dataskydds- direktivet medlemsstaterna möjlighet att införa undantag i sin nationella rätt, där lämpliga skyddsåtgärder för den registrerades fri- och rättigheter fastställs. Datainspektionen har med stöd av 9 § personuppgiftsförordningen meddelat föreskrifter om undantag från förbudet i 21 § personuppgifts- lagen, bl.a. för att möjliggöra användning av visselblåsarsystem (Data- inspektionens föreskrifter [2010:1] om ändring av Datainspek- tionens föreskrifter [1998:3] om undantag från förbudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser m.m.). Föreskrifterna medger att uppgifter om bl.a. brottslighet inom bank- och finansväsen behandlas, men enbart om uppgifterna avser personer i nyckelpositioner eller ledande ställning inom det egna bolaget eller koncernen. För att kunna upprätthålla ändamålsenliga rapporteringssystem bör det enligt regeringens mening vara möjligt för de nu aktuella företagen att behandla sådana uppgifter som rör misstänkt marknadsmissbruk även avseende andra än nyckelpersoner. I anslutning till bestämmelsen om Prop. 2016/17:22 interna rapporteringssystem bör det därför införas ett undantag från 21 § personuppgiftslagen. Dataskyddsdirektivet ställer krav på att det i nationell rätt införs lämpliga skyddsåtgärder för personuppgifter som rör lagöverträdelser och behandlas av andra än myndigheter (artikel 8.5). Även enligt dataskyddsförordningen ska det fastställas lämpliga skydds- åtgärder för den registrerades fri- och rättigheter (artikel 10). Eftersom syftet med ett undantag från 21 § personuppgiftslagen bör vara att de aktuella företagen ska kunna behandla sådana uppgifter som rör misstänkt marknadsmissbruk även avseende andra än nyckelpersoner är det enligt regeringen inte lämpligt att ställa särskilda villkor för behand- lingen av just sådana personuppgifter. Eftersom det rör sig om uppgifter som är känsliga för den enskilde, är det dock lämpligt att det införs en bestämmelse om tystnadsplikt. I avsnitt 16.2 föreslås att det i OSL införs en bestämmelse om sekretess för uppgifter i en anmälan eller utsaga som kan avslöja anmälarens eller den anmäldes identitet. Ett liknande skydd bör finnas hos de företag som ska tillhandahålla interna rapporterings- system. I lagen om värdepapperscentraler och kontoföring av finansiella instrument har det införts en bestämmelse om tystnadsplikt avseende uppgifter om överträdelser som rapporteras, om uppgiften kan avslöja anmälarens eller den utpekade personens identitet (8 kap. 2 § andra stycket). Tystnadsplikten gäller den som är eller har varit anställd hos företaget. En motsvarande bestämmelse bör införas när det gäller de interna rapporteringssystem avseende överträdelser av marknadsmiss- bruksförordningen som finansiella företag ska ha. I likhet med bestäm- melsen om tystnadsplikt i lagen om värdepapperscentraler och konto- föring av finansiella instrument bör tystnadsplikten vad gäller finansiella företags interna rapporteringssystem för rapportering av misstänkta över- trädelser av marknadsmissbruksförordningen endast omfatta skydd för obehörigt röjande. Med det avses t.ex. inte att uppgifter lämnas på be- gäran av (jfr prop. 2015/16:10 s. 228) eller åklagaren. När det gäller andra lagar på finansmarknadsområdet som innehåller bestämmelser om interna rapporteringssystem har regeringen föreslagit bestämmelser om att en anställd som har gjort en anmälan till ett sådant rapporteringssystem inte får göras ansvarig för att ha åsidosatt någon tystnadsplikt om denne hade anledning att anta att en överträdelse hade skett (se prop. 2015/16:170 med förslag till ny 2 kap. 17 e § lagen om värdepappersfonder, 6 kap. 2 b § lagen om bank- och finansierings- rörelse och 8 kap. 4 b § lagen om värdepappersmarknaden). Även om det torde vara ovanligt att någon anses bryta mot en tystnadsplikt genom att anmäla en misstänkt överträdelse internt, är det motiverat med en sådan bestämmelse. I vissa fall kan det bli fråga om att lämna uppgifter om en kund, och det bör inte råda någon tveksamhet om att det är tillåtet. Det bör därför införas en sådan bestämmelse i anslutning till bestämmelsen om interna rapporteringssystem. Något undantag från möjligheten att åsidosätta tystnadsplikten, såsom föreslås när det gäller den bestämmelse som behandlas i avsnitt 15.4, är inte nödvändig. 2016/17:22 16 16.1Sekretess till skydd för enskilds personliga eller ekonomiska förhållanden Regeringens förslag: Det införs en bestämmelse i offentlighets- och sekretesslagen om att sekretess ska gälla för uppgift om en enskilds personliga eller ekonomiska förhållanden i en statlig myndighets verksamhet enligt kompletteringslagen, om det kan antas att den enskilde lider skada eller men om uppgiften röjs. Sådan sekretess ska inte gälla uppgifter som lämnats på grund av anmälningsskyldigheten för personer i ledande ställning eller dem närstående personer. Får en myndighet i ett ärende enligt artikel 17 i marknadsmissbruks- förordningen om offentliggörande av insiderinformation en uppgift som är sekretessreglerad enligt den nya bestämmelsen, ska bestäm- melsen vara tillämplig även hos den mottagande myndigheten. För uppgift i en allmän handling ska sekretessen gälla i högst . Utredningen behandlar inte frågan. Remissinstanserna: anser att det i 30 kap. 6 § OSL bör tas in en hänvisning till kompletteringslagen. Övriga remiss- instanser tar inte upp frågan. Promemorians förslag överensstämmer med regeringens förslag. Remissinstanserna tillstyrker förslaget eller har inget att invända mot Skälen för regeringens förslag Skyddet för uppgifter om enskildas personliga eller ekonomiska förhållanden Enligt 30 kap. 4 § OSL gäller sekretess i en statlig myndighets verk- samhet som består i tillståndsgivning eller tillsyn med avseende på bl.a. värdepappersmarknaden för uppgift om affärs- eller driftförhållanden och ekonomiska eller personliga förhållanden under vissa villkor. Tillämp- ningsområdet för bestämmelsen har sedan den först infördes i den numera upphävda sekretesslagen (1980:100) utvidgats från att avse till- syn över vissa tillståndspliktiga institut till att avse tillsyn med avseende på ”värdepappersmarknaden” (8 kap. 5 § sekretesslagen, se prop. 1991/92:113 s. 130–133). Begreppet tillsyn ska inte ges en alltför snäv tolkning (prop. 1979/80:2 Del A s. 233). Även verksamhet som syftar till att förhindra problem på värdepappersmarknaden kan klassas som tillsyn (prop. 2015/16:5 s. 708). Bestämmelser om sekretess för uppgifter som framkommer till följd av övervakning enligt mark- nadsmissbrukslagen, och vissa andra lagar, regleras dock i 30 kap. 6 § OSL. övervakning omfattar fler aktörer än de som omfattas av tillsyn på grund av att de bedriver en När bestämmelsen infördes, och när den har utvidgats, har man skilt mellan ”tillsyn” och ”övervakning” och ansett att sekretess för uppgifter som framkommer i över- vakning ska regleras särskilt (se t.ex. prop. 2011/12:175 s. 35). Sekretessen enligt 30 kap. 6 § OSL gäller för sådan uppgift om en enskilds ekonomiska eller personliga förhållanden som ”på begäran” har lämnats av någon som är skyldig att lämna uppgifter till myndigheten i samband med övervakning enligt vissa lagar. Om en uppgift rör den uppgiftsskyldige gäller sekretessen endast om denne kan antas lida skada eller men om uppgiften röjs och sekretessen inte mot- verkar syftet med uppgiftsskyldigheten (se förslag till ändring av bestäm- melsen i avsnitt 16.5). Behovet av en ny sekretessbestämmelse anser att det bör göras en ändring i 30 kap. 6 § OSL på så sätt att kompletteringslagen läggs till i uppräkningen av lagar till följd av vilka inspektionen kan få uppgifter från enskilda i sin övervak- ning. Regeringen anser dock att det finns anledning att i stället överväga en ny sekretessbestämmelse. Som nämns ovan gäller sekretess enligt 30 kap. 6 § OSL endast för uppgifter som lämnats ”på begäran”. Bestämmelsen infördes i samband med att fick befogenhet att begära in uppgifter i syfte att utreda misstänkta överträdelser av insiderreglerna (prop. 1984/85:157 s. 52 f. och 73 f.). I förarbetena till den äldre bestämmelsen i sekretess- lagen anförs att begränsningen innebär att uppgifter som lämnas till följd av särskild anmälningsplikt, t.ex. uppgifter om affärer som en person med insynsställning i ett aktiemarknadsbolag har gjort i bolagets aktier, därmed inte omfattas av sekretess (sammaprop. s. 74). Sedan bestämmelsen infördes har det dock införts regler som innebär att sådana känsliga uppgifter som det var tänkt skulle skyddas av bestäm- melsen kan komma att lämnas till på annat sätt än till följd av en begäran från . I marknadsmissbrukslagen finns t.ex. en bestämmelse om att börser och värdepappersinstitut ska anmäla misstänkta överträdelser av marknadsmissbrukslagen till Finans- inspektionen (10 §). En motsvarande rapporteringsskyldighet finns i artikel 16 i marknadsmissbruksförordningen. Det är således fråga om en rapporteringsskyldighet. En anmälan innehåller i allmänhet uppgifter om en enskilds personliga eller ekonomiska förhållanden, t.ex. uppgift om att en viss transaktion kan misstänkas utgöra marknadsmanipulation. Upp- gifter i en sådan anmälan kan inte anses ha lämnats på Finansinspek- tionens begäran och omfattas alltså inte av 30 kap. 6 § OSL. När det gäller uppgifter i sådana anmälningar finns det därför inget sekretesskydd för uppgifterna hos . Uppgifterna skyddas dock hos åklagare när rapporten har överlämnats dit (35 kap. 1 § OSL). Även de nya befogenheter som får till följd av marknadsmissbruksförordningen och förslagen i denna proposition innebär att känsliga uppgifter kan komma till del utan att de har lämnats på begäran av inspektionen. Uppgifter som inhämtar i samband med en undersökning som har beslutats av (se avsnitt 10.5) kan inte anses ha lämnats på begäran. Sådana handlingar kan innehålla dels känsliga upp- gifter om affärs- eller driftförhållanden, dels uppgifter om andra ekonom- iska eller personliga förhållanden. Uppgifter som rör affärshemligheter kan även komma att lämnas till till följd av den övervakning över skyldigheten att offentliggöra insiderinformation som föreslås få ansvar för (avsnitt 11.2). I artikel 17.5 i marknadsmissbruksförordningen finns vidare en be- stämmelse som innebär att kreditinstitut och andra finansiella institut kan begära medgivande till ett uppskjutet offentlig- görande av insiderinformation om det behövs i syfte att bevara det finan- siella systemets stabilitet. Syftet med möjligheten till uppskjutet offent- liggörande är att uppgifterna inte ska offentliggöras förrän . En sådan begäran torde alltid innehålla uppgifter om ekonom- iska förhållanden, t.ex. om behov av stöd enligt lagen (2015:1017) om förebyggande statligt stöd till kreditinstitut, som alltså lämnas till Finans- inspektionen frivilligt. Uppgifter som kan gälla en enskilds ekonomiska eller personliga för- hållanden kan även komma att lämnas frivilligt till i samband med en anmälan till det system för mottagande av anmälningar om potentiella överträdelser som ska ha enligt mark- nadsmissbruksförordningen (se avsnitt 15.2). Det anförda innebär att det finns behov av att komplettera OSL med en bestämmelse som, i likhet med t.ex. 30 kap. 4 §, är tillämplig oavsett på vilket sätt har fått uppgifterna. När det gäller sekretessens föremål kan konstateras att de uppgifter som bör skyddas, i likhet med den nuvarande bestämmelsen i 30 kap. 6 § OSL, rör ekonomiska eller personliga förhållanden. Den nya bestämmelsen bör införas i anslutning till 30 kap. 6 § OSL (rubriken närmast före den paragrafen lyder ”Övervakning och kontroll enligt viss lagstiftning”). Lämpligen förs den in som en ny paragraf med beteckningen 30 kap. 6 a §. Hänvisningen i 30 kap. 6 § till marknads- missbrukslagen, som upphävs när kompletteringslagen och den nya lagen om straff för marknadsmissbruk träder i kraft, bör tas bort. Frågan om sekretess ska gälla eller inte och sekretessens räckvidd och styrka är alltid en avvägning mellan olika intressen. Lagstiftning bör inte införas som onödigt avlägsnar sig från den grundlagsfästa offentlig- hetsprincipen. Som en genomgående princip i svensk rätt gäller därför att sekretess bör gälla endast i den omfattning som är nödvändigt för att skydda det intresse som ligger till grund för bestämmelsen. Som en jämförelse kan konstateras att 30 kap. 4 § OSL gäller i ”en statlig myndighets verksamhet …”. De uppgifter som det nu är fråga om framkommer i en statlig myndighets verksamhet enligt kompletterings- lagen, dvs. Sekretess bör i första hand gälla i den verksamheten. Eftersom i kompletterings- lagen utses till behörig myndighet enligt marknadsmissbruksförordning- en, kommer sekretessen även att gälla i ärenden som inspektionen hand- lägger på grund av en bestämmelse i förordningen (t.ex. artikel 17.5). När det gäller ärenden om medgivande till uppskjutet offentliggörande av insiderinformation (artikel 17.5 i marknadsmissbruksförordningen) ska rådgöra med vissa andra myndigheter (artik- el 17.6).