sou · H4B38 · 2016-02-01 00:00:00 — Så- ledes bör undantag från 21 § personuppgiftslagen i dessa fall fort- sättningsvis begäras av Datainspektionen. Uppluckring av samkörningsförbudet när det gäller vissa koncernförhållanden Som framkommit omfattar den nuvarande penningtvättslagen ett förbud mot samkörning av personuppgifter. En verksamhetsutövare får således inte samköra sina register mot en annan verksamhets- utövares. Samkörningsförbudet gäller även mellan verksamhets- utövare som ingår i samma koncern. Att samkörningsförbudet även gäller inom koncerner har i flera olika sammanhang ifrågasatts.8 Det främsta argumentet är att för- budet försämrar ett effektivt informationsflöde inom en koncern. I förlängningen kan detta påverka koncernens arbete med att effek- tivt förhindra penningtvätt och finansiering av terrorism. Som tidi- gare noterats omfattar det fjärde penningtvättsdirektivet tydligt uttalade krav på att det ska finnas koncerngemensamma rutiner för att förhindra penningtvätt och finansiering av terrorism. Dessa ska genomföras effektivt inom koncernen och bör omfatta rutiner för informationsutbyte (se artikel 45.1, jämför även artikel 45.8 och avsnitt 11.4.3). Samkörningsförbudet begränsar onekligen verksamhetsutövarens möjligheter att utbyta information inom koncernen. Enligt utred- ningens bedömning kan det inte vara meningen att verksamhets- utövares organisatoriska lösning tillåts försämra effektiviteten i verksamhetsutövarens system. Således finns det, enligt utredningens mening, skäl att föreslå en uppluckring av förbudet. Det går dock inte att bortse från att samkörningsförbudet som sådant i allra högsta grad är motiverat. Skyddet för enskildas personliga integri- tet måste hållas högt. Det innebär att en uppluckring av förbudet inte kan göras hur långtgående som helst. Tvärtom måste undantag från samkörningsförbudet begränsas till vad som är nödvändigt för att upprätthålla ett effektivt system mot penningtvätt och finan- siering av terrorism. 8 Jämför t.ex. prop. 2008/09:70, s. 145 och prop. 2014/15:80, s. 40. Behandling av personuppgifter och bevarande av handlingar m.m. En lämplig ordning, anser utredningen, är att enbart undanta vissa typer av koncernförhållanden från samkörningsförbudet. Ut- redningen har funnit att de verksamhetsutövare som torde ha störst behov av att kunna utbyta uppgifter på detta sätt är de som i penningtvättsdirektivet definieras som kreditinstitut och finansiella institut. Samkörning bör kunna ske mellan sådana verksamhets- utövare som ingår i samma koncern och som har hemvist i . Samkörning bör vidare kunna ske mellan moderbolag med hemvist i och filialer och helägda dotterbolag med hemvist i ut- landet, i första hand inom EES. Samkörning bör också tillåtas med filialer och helägda dotterbolag i tredje länder. Dock enbart under förutsättning att lagstiftningen i det landet omfattar bestämmelser som motsvarar kraven i det fjärde penningtvättsdirektivet och filialen eller det helägda dotterbolaget står under tillsyn med av- seende på efterlevnaden av bestämmelserna. En ytterligare förut- sättning för att samkörning ska kunna äga rum med filialer och helägda dotterföretag i utlandet bör vara att detta inte hindras av den utländska lagstiftningen. Detta gäller oavsett om filialen eller det helägda dotterföretaget har hemvist inom eller utanför EES. Utredningen anser att en sådan lösning bidrar till att upprätt- hålla ett effektivt system mot penningtvätt och finansiering av terrorism. Den föreslagna ordningen är inte heller för långtgående. Uppluckringen av samkörningsförbudet hålls på en nivå som går att det gör att ett effektivt skydd för enskildas personliga integritet ändå kan upprätthållas. Av 4 kap. 6 § i nuvarande penningtvättslag följer att den som är verksam hos en verksamhetsutövare inte obehörigen får röja att behandling sker av känsliga personuppgifter eller den behandling som sker vid analys och rapportering. Utredningen anser att en bestämmelse med motsvarande inne- börd ska införas i den nya penningtvättslagen. Tystnadsplikten bör dock utvidgas till att omfatta den behandling som, enligt vad ut- redningen föreslår, avser uppgifter om lagöverträdelser som inne- fattar brott. SOU 2016:8 Behandling av personuppgifter och bevarande av handlingar m.m. Utredningen anser också att den nuvarande bestämmelsen i 4 kap. 6 § andra stycket ska överföras till den nya lagen. Det inne- bär att en överträdelse av tystnadsplikten i detta avseende inte ska medföra ansvar för brott mot tystnadsplikt enligt brottsbalken9. 14.3Bevarande av handlingar och andra uppgifter 14.3.1Huvuddragen i Fatfs rekommendationer och det fjärde penningtvättsdirektivet En särskild fråga är hur länge personuppgifter och annan informa- tion som en verksamhetsutövare använder i sitt arbete ska bevaras. Artikel 40.1–2 i det fjärde penningtvättsdirektivet innehåller vissa bestämmelser om detta. Direktivets skyldigheter att bevara uppgifter och handlingar bygger på Fatfs rekommendation nr 11. Av artikel 40.1 a) följer att verksamhetsutövare, när det gäller krav på kundkännedom, ska bevara en kopia av eller uppgifter om den bevisning som krävs efter det att affärsför- bindelsen med kunden upphörde. Skyldigheterna att bevara hand- lingar och uppgifter omfattar även annat än sådana som används vid identitetskontroller. Dessa skyldigheter följer av artikel 40.1 b). Artikeln tar sikte på andra handlingar och uppgifter som legat till grund för en affärsförbindelse eller en transaktion. Den svenska översättningen av artikel 40.1 b) är visserligen inte helt lätt att ta till sig. I ljuset av andra språkversioner får den, enligt utredningens uppfattning, tolkas så att handlingar och uppgifter ska bevaras efter det att affärsförbindelsen avslutats eller transaktio- nerna utförts. Handlingar och uppgifter ska bevaras i form av ori- ginalhandlingar eller sådana kopior som i enlighet med nationell rätt får företes i domstolsförfaranden. ska verksamhetsutövaren förstöra personuppgifter, om något annat inte följer av nationell rätt (se artikel 40 andra stycket). Medlemsstaterna får tillåta eller kräva att handlingarna bevaras längre, efter att ha gjort en grundlig bedömning av huru- vida detta är nödvändigt och proportionerligt. En sådan ytterligare lagringstid måste bedömas som nödvändig för att förebygga, upp- 9 Jämför 4 kap. 10 § i utredningens förslag till penningtvättslag. Behandling av personuppgifter och bevarande av handlingar m.m. täcka eller utreda penningtvätt eller finansiering av terrorism. Den extra lagringstiden får dock inte överstiga en period . Artikel 40.2 ska i det närmaste ses som en möjlighet att föra in en övergångsbestämmelse. I de fall rättsliga förfaranden som rör förebyggande, upptäckt, utredning eller lagföring av penningtvätt eller finansiering av terrorism får medlemsstaterna besluta att relevanta handlingar och uppgifter bevaras från den tidpunkten. Även den lagringstiden får, om det befinns nöd- vändigt, förlängas . Utredningens förslag: Handlingar och uppgifter som använts vid åtgärder för att uppnå kundkännedom samt vid granskning och rapportering enligt 4 kap. 2 § första meningen i utred- ningens förslag till ny penningtvättslag ska som huvudregel bevaras . När det gäller åtgärder för kundkännedom ska tiden räknas från det att åtgärderna utfördes eller, i de fall då en affärsförbindelse har etablerats, affärsförbindelsen upphörde. I de fall som avser granskning och rapportering ska tiden räknas från det att aktiviteten utfördes eller från det att verksamhets- utövaren avstod från att utföra en transaktion. Om det är nödvändigt för att förebygga, upptäcka eller ut- reda penningtvätt eller finansiering av terrorism får verksam- hetsutövare bevara handlingar och uppgifter än . Den sammanlagda tiden får dock inte överstiga . Utredningens bedömning: Det finns inte skäl att genomföra den möjlighet som artikel 40.2 i direktivet erbjuder. Skyldigheten att bevara vissa uppgifter och handlingar har även funnits med i tidigare penningtvättsdirektiv och motsvaras i första hand av 2 kap. 13 § i den nuvarande penningtvättslagen. Av den nämnda paragrafen framgår att handlingar och uppgifter om åtgär- der som vidtagits för att uppnå kundkännedom ska bevaras . Tiden ska räknas från det att åtgärderna utfördes eller, i de fall då en affärsförbindelse har etablerats, affärsförbindelsen upp- SOU 2016:8 Behandling av personuppgifter och bevarande av handlingar m.m. Bestämmelsen kompletteras, , av 3 kap. 1 b §. Av denna paragraf följer att verksamhetsutövare ska bevara uppgifter som avser granskning och analys av transaktioner enligt 3 kap. 1 § andra stycket första meningen. Även i dessa fall ska tiden räknas från det att transaktionen utfördes eller från det att verksamhetsutövaren avstod från att utföra transaktionen. har framgått att det fjärde penningtvättsdirektivet om- fattar tydligare bestämmelser när det gäller behandling av person- uppgifter. Även skyldigheterna att bevara handlingar och uppgifter har fått en något annorlunda utformning. I tidigare penningtvätts- direktiv föreskrevs att handlingar och uppgifter ska bevaras . I det nya direktivet är femårsfristen, som framkommit, huvudregel. Den kan om nödvändigt tillåtas att förlängas, men får inte överstiga . Vad direktivet föreskriver är alltså att verk- samhetsutövare ska ”förstöra personuppgifter” . Om det befinns nödvändigt får medlemsstaterna förlänga tiden för be- varande av personuppgifter till . Frågan är då vilka lagändringar som är nödvändiga för att direk- tivet ska få genomslag i detta avseende. För det första bör den nya penningtvättslagen, för att följa direktivet, utgå ifrån att huvudregeln är att handlingar ska bevaras – och inte på sätt som nuvarande 2 kap. 13 § anger . Femårsregeln bör gälla både bevarande av handlingar som använts i kundkännedomsprocessen och vid den närmare gransk- ningen och rapporteringen. En särskild fråga är hur tiden ska räk- nas. När det handlingar och uppgifter som har använts vid åtgärder för att uppnå kundkännedom bedömer utredningen att den nu- varande ordningen kan behållas. Den är förenlig med kraven i Fatfs rekommendationer och i det nya direktivet. Fråga har visserligen uppkommit att, i den nya lagen, byta ut begreppet ”åtgärderna” mot ”transaktionerna”. Detta med anledning av att det inte sällan är utförandet av en transaktion som åtgärderna avser. Dock är dessa inte de enda åtgärder som bör träffas av regleringen. Exempel på en annan åtgärd som bör omfattas av kravet är inhämtande av infor- mation om affärsförbindelsens syfte och art. Således anser utred- ningen att de nuvarande formuleringarna bör behållas i den nya lagen. Även när det gäller gransknings- och rapporteringsskyldig- heten kan nuvarande ordning i stora drag bestå. I avsnitt 13.2 anger utredningen dock att begreppet transaktion är något missvisande Behandling av personuppgifter och bevarande av handlingar m.m. när det gäller gransknings- och rapporteringsskyldigheten. Där föreslås bl.a. att en verksamhetsutövare ska vara skyldig att granska kundens samtliga ”aktiviteter”, inte bara transaktioner. För att korrespondera mot utredningens förslag i den delen anser utred- ningen att tiden för bevarande av handlingar bör räknas från att ”aktiviteterna” utfördes. I övrigt bör den nuvarande regleringen föras in i den nya lagen. Om en verksamhetsutövare avstått från att utföra en transaktion ska tiden således fortsättningsvis räknas från det tillfället. Något egentligt behov av att genomföra övergångsregler av den karaktär artikel 42 erbjuder har utredningen inte funnit skäl att föreslå. Dock bör en generell bestämmelse som anger en maximal bevarande tid övervägas. Det kan konstateras att det i vissa fall kan vara motiverat att bevara personuppgifter som avser kundkännedomsprocessen m.m. . Ett pågående rättsligt förfarande kan vara ett sådant skäl. Det förefaller överlag mindre ändamålsenligt att låta bli att införa möjligheten att bevara uppgifter och handlingar . Detta skulle, åtminstone i viss mån, innebära en inskränkning i förhållande till vad som gäller . Utredningen föreslår följaktligen att den möjlighet direktivet erbjuder utnyttjas. En bestämmelse av innebörd att och uppgifter, under vissa förutsättningar, får bevaras bör därför införas. Den möjligheten bör dock enbart kunna utnyttjas om det är nödvändigt och framstår som proportionerligt för att förebygga, upptäcka eller utreda penningtvätt eller finansiering av terrorism. Det framstår som lämpligast att låta tillsynsmyndigheterna bedöma när en sådan ytterligare lagringstid är nödvändig. Den närmare regleringen av bestämmelsen kan alltså med fördel ske i författning av lägre valör än lag. Utredningen bedömer i övrigt att den nuvarande regleringen är förenlig med de internationella åtagandena. Det kan konstateras att den nuvarande penningtvättslagen reglerar bevarandet av hand- lingar och uppgifter enbart i vissa avseenden. Som framkommit regleras bevarandet av uppgifter och handlingar när det gäller kund- kontroll och till viss del granskning och rapportering. Det finns inte något som talar för att penningtvättslagens bestämmelser borde utvidgas till att omfatta andra områden. I de fall penningtvättslagen inte innehåller några särskilda regler om bevarande av handlingar och uppgifter är däremot personuppgiftslagen tillämplig. Behandling av personuppgifter och bevarande av handlingar m.m. sonuppgiftslagen får personuppgifter inte behandlas än vad som är nödvändigt med hänsyn till ändamålen av be- handlingen (se 9 §). Den bedömningen utgör i dessa fall den yttersta gränsen för hur länge personuppgifter får bevaras. Utredningen anser slutligen att bestämmelserna om att bevara handlingar och uppgifter bör återfinnas i samlade i den nya lagen – och, som nämnts inledningsvis, regleras av ett särskilt kapitel. Fatfs reviderade rekommendationer och det fjärde penningtvätts- direktivet syftar till att skapa ett enhetligt och effektivt system för att förhindra penningtvätt och finansiering av terrorism. I detta syfte sträcker sig en verksamhetsutövares skyldigheter i vissa avseenden längre än till nationsgränserna. Det fjärde penningtvättsdirektivet omfattar flera bestämmelser som tar sikte på gränsöverskridande verksamheter. Dessa bestäm- melser kan delas upp i två olika led. De reglerar dels vilka utländska verksamheter som ska omfattas av nationell penningtvättsreglering, dels vilka åtgärder som ska vidtas i fråga om verksamheter i utlandet. I detta kapitel behandlas utredningens överväganden och förslag som tar sikte på gränsöverskridande verksamheter. Dessa bestäm- melser föreslås till övervägande delar omfattas av kap. 7 i den nya penningtvättslagen. Tillsyn över och möjligheterna att ingripa mot verksamheter som gränsöverskrider behandlas däremot i avsnitt 17.6. 15.2Huvuddragen i Fatfs rekommendationer och i det fjärde penningtvättsdirektivet Huvudregeln är att en verksamhetsutövare omfattas av lagstiftningen i det land där den är etablerad. En aktör, t.ex. en person som yrkes- mässigt handlar med varor och som etablerar sig i , ska således – i egenskap av verksamhetsutövare – följa den svenska penning- tvättslagstiftningen. När det gäller koncernförhållanden finns vissa specialbestäm- melser. Det fjärde penningtvättsdirektivet bygger på en och samma huvudprincip: Inom en koncern ska samma rutiner och åtgärder för att förhindra penningtvätt och finansiering av terrorism tillämpas fullt ut – eller åtminstone så långt det är möjligt. Av artikel 45.1 i det nya direktivet framgår t.ex. att medlemsstaterna ska kräva att verk- samhetsutövare inom en koncern genomför koncernens gemen- samma riktlinjer och rutiner, även inom filialer och majoritetsägda dotterföretag i medlemsstater och tredje länder (krav på koncern- gemensamma rutiner har behandlats i avsnitt 11.4). Om en verksamhetsutövare driver företag i en annan medlems- stat ska medlemsstaterna se till att dessa företag iakttar denna med- lemsstats nationella penningtvättsreglering (artikel 45.2). Artikel 45.3 gäller då verksamhetsutövaren har filialer eller majoritetsägda dotter- företag i tredjeländer där minimikraven för bekämpning av penning- tvätt och finansiering av terrorism är mindre stränga. I det fallet ska verksamhetsutövaren se till så att filialerna och de majoritetsägda dotterföretagen uppfyller kraven i medlemsstatens lag (inbegripet reglerna om behandling av personuppgifter) om tredjelandets lag- stiftning så tillåter. Om tredjelandets lagstiftning inte tillåter att koncernens gemen- samma riktlinjer och rutiner genomförs ska de behöriga myndig- heterna i hemmedlemsstaten informeras (artikel 45.5). Verksam- hetsutövaren ska också se till så att filialerna och de majoritetsägda dotterföretagen vidtar ytterligare åtgärder för att effektivt hantera riskerna för penningtvätt och finansiering av terrorism. Vilka ytterligare åtgärder som ska vidtas framgår inte av direk- tivet. Däremot följer av artikel 45.6 att de europeiska tillsynsmyn- digheterna, , ska ha lämnat förslag till tekniska standarder för bl.a. typen av sådana ytterligare åtgärder. De tekniska standarderna ska också ange minimiåtgärder som kredit- institut och finansiella institut ska vidta i vissa fall. Artiklarna i direktivet omfattar samtliga verksamhetsutövare. De främsta föremålen vid utformningen av artiklarna kan dock antas ha varit kreditinstituten och de finansiella instituten, eftersom de främst är dessa som bedriver verksamhet i den stora omfattning som äger rum inom ramen för en koncern.1 De har sin förlaga i Fatfs 1 Se bl.a. direktivets ingress, beaktandesats (48). rekommendation nr 18, som tar sikte på genomförandet av koncern- gemensamma rutiner inom ”Financial groups”. När det sedan gäller frågan i vilken utsträckning nationell rätt ska tillämpas på utländska verksamhetsutövare som etablerat sig här ges viss ledning i direktivets artikel 3.1-2. Dessa artiklar defi- nierar kreditinstitut och finansiella institut. Av artiklarna följer bl.a. att i begreppen inryms även filialer till sådana institut, oavsett om deras huvudkontor är beläget inom unionen eller i ett tredje land. En filial till ett kreditinstitut eller ett finansiellt institut som har eta- blerat sig i ska därför – enligt vad direktivet föreskriver – lyda under svensk penningtvättslagstiftning. 15.3Penningtvättsregleringens tillämpning i fråga om svenska verksamheter som gränsöverskrider Utredningens förslag: En utvidgad bestämmelse införs i den nya penningtvättslagen som reglerar verksamhetsutövares skyldigheter att se till så att koncerngemensamma rutiner genomförs effektivt inom filialer och majoritetsägda dotterföretag i utlandet. Om en verksamhetsutövare har en filial eller ett majoritetsägt dotter- företag i ett tredje land där bestämmelserna är mindre stränga så ska penningtvättslagens bestämmelser, som huvudregel, tilläm- pas. Tillåter lagstiftningen i det tredje landet inte detta så ska verksamhetsutövare vidta ytterligare åtgärder för att förhindra penningtvätt och finansiering av terrorism. Vidare ska en skrift- lig anmälan lämnas till behörig tillsynsmyndighet. Som en följd av det tredje penningtvättsdirektivet infördes en be- stämmelse i penningtvättslagen, som tar sikte på filialer och dotter- företag med hemvist utanför EES, i 2 kap. 12 §. Bestämmelsen reg- lerar skyldigheter för vissa av verksamhetsutövarna (kreditinstitut och finansiella institut). Enligt den bestämmelsen ska kreditinstitut och finansiella institut tillämpa bestämmelserna om kundkännedom och bevarande av handlingar även för sina filialer och majoritets- ägda dotterföretag med hemvist utanför EES. Om hemvistlandets lag hindrar detta ska verksamhetsutövaren vidta åtgärder för att effektivt hantera risken för penningtvätt och finansiering av terrorism. Verksamhetsutövaren ska även skriftligen underrätta Finansinspek- tionen om detta. Det kan konstateras att nuvarande penningtvättslag inte sträcker sig lika långt som det nya direktivet kräver. Således krävs att den nya penningtvättslagen anpassas till de förändrade förutsättningar- na. Det yttersta syftet måste vara att åstadkomma en enhetlig och effektiv tillämpning av rutiner och åtgärder mot penningtvätt och finansiering av terrorism inom alla större och gränsöverskridande koncerner. För att uppfylla direktivet bör det i penningtvättslagen införas ett generellt krav på att verksamhetsutövare genomför koncerngemen- samma rutiner även beträffande sina filialer och majoritetsägda dotterföretag med hemvist i utlandet. De föreslagna bestämmelserna bör inte göras direkt tillämpliga på filialerna och de majoritetsägda dotterföretagen. Enligt vad direktivet föreskriver bör skyldigheterna i stället ligga på den verksamhetsutövare som har en filial eller ett majoritetsägt dotterföretag i tredje land, dvs. i realiteten på moder- företaget inom en koncern. och dotter- företag är visserligen inte definierade i direktivet. De får för svenskt vidkommande emellertid anses ansluta sig till definitionerna av moderföretag och dotterföretag i 1 kap. 11 § aktiebolagslagen (2005:551).2 Det faktum att dotterföretaget ska vara majoritetsägt innebär att verksamhetsutövaren (moderföretaget) ska inneha mer än hälften av rösterna för samtliga aktier eller andelar i den juri- diska personen. Verksamhetsutövare bör även i övrigt åläggas att se till att filialer och majoritetsägda dotterföretag med hemvist i en stat utanför EES vidtar åtgärder mot penningtvätt och finansiering av terrorism som motsvarar kraven i penningtvättslagen. Penningtvättslagen bör alltså genomgående tillämpas i de fall lagstiftningen i det tredje lan- det är mindre ingripande. Detta innebär bl.a. att penningtvättslagens bestämmelser när det gäller krav på riskbedömning, riskbaserade rutiner, åtgärder för kundkännedom, bevarande av handlingar m.m. blir tillämpliga. Om lagen i det tredje land där företaget är etablerat hindrar detta, ska filialen eller det majoritetsägda dotterföretaget vidta andra åtgärder för att effektivt hantera risken för penningtvätt och finansiering av terrorism. Samma sak bör gälla om de koncern- 2 Se även prop. 2008/09:70, s. 195. gemensamma rutinerna inte kan genomföras. I dessa fall bör pen- ningtvättslagen även kräva att verksamhetsutövaren ska skicka en skriftlig anmälan till behörig tillsynsmyndighet. Vilka åtgärder som ska vidtas beror på föreliggande omständig- heter, såsom den risk för penningtvätt eller finansiering av terrorism som verksamheten är förenad med och vilka åtgärder som kan vidtas enligt den utländska statens lagstiftning. Sådana ytterligare åtgärder kommer också att behandlas i den tekniska standard som håller på att arbetas fram av de europeiska tillsynsmyndigheterna. Utred- ningen anser, under alla förhållanden, att det är en lämplig ordning att den närmare regleringen av dessa bestämmelser sker i författning av lägre valör än lag. I den nu gällande penningtvättslagen behandlas gränsöverskri- dande verksamheter i samma sammanhang som åtgärderna för att uppnå kundkännedom. Med tanke på att det nya direktivet utvidgar tillämpningsområdet till att omfatta mer än kundkännedom före- slår utredningen en förändrad placering. De föreslagna bestämmel- serna hör, enligt utredningens uppfattning, hemma i ett särskilt kapitel i den nya penningtvättslagen. 15.4Något om penningtvättslagens tillämpning på utländska verksamheter som etablerar sig i Utredningens förslag: Den nuvarande bestämmelsen om att penningtvättslagen ska tillämpas på filialer till kreditinstitut och finansiella institut förs in i den nya lagen. Som framkommit omfattar direktivets definitioner av kreditinstitut och finansiella institut även filialer till utländska institut. Detta innebär att penningtvättsregleringen bör tillämpas på en filial till ett utländskt kreditinstitut eller finansiellt institut. Defini- tionen av kreditinstitut och finansiella institut har om- fattat utländska filialer. Således finns en bestämmelse redan införd i den nuvarande penningtvättslagen som reglerar dessa.