sou · H4B353d2 · 2016-08-31 00:00:00 — Re- gister får föras av en betaltjänstleverantör eller den som har ansvar för ett betalningssystem om det är nödvändigt för granskning av betalningstransaktioner (3 §). Utöver nämnda bestämmelser innehåller sjätte kapitlet även reg- ler om vilka uppgifter ett register får innehålla och om utlämnande av personuppgifter, gallring, rättelse och skadestånd samt tystnads- plikt. Bestämmelserna om behandling av personuppgifter i betaltjänst- lagen har genomfört det första betaltjänstdirektivets artikel 79, av vilken framgick att betaltjänstleverantörer och betalningssystem ska kunna behandla personuppgifter i enlighet med dataskyddsdirek- tivet när det är nödvändigt för att säkerställa förebyggande, under- sökning och avslöjande av betalningsbedrägerier. Motsvarande be- stämmelse finns i artikel 94.1 i det andra betaltjänstdirektivet. Av artikel 94.2, som är ny i förhållande till det första betaltjänst- direktivet, följer att betaltjänstleverantörer endast ska ha tillgång till, behandla och bevara sådana personuppgifter som är nödvändiga för att tillhandahålla betaltjänsterna. Till skillnad från den person- uppgiftsbehandling som får göras med stöd av 94.1 får person- uppgifter som är nödvändiga för tillhandahållande av betaltjänster endast behandlas efter uttryckligt medgivande från betaltjänstanvänd- aren. Personuppgiftslagen reglerar frågor om behandling av person- uppgifter. En betaltjänstleverantör som behandlar personuppgifter i sin verksamhet är personuppgiftsansvarig enligt lagen (3 § personupp- giftslagen). Lagens tillämpningsområde omfattar personuppgifts- ansvariga som är etablerade i (4 § personuppgiftslagen). Lagen tillämpas också när den personuppgiftsansvarige är etablerad i tredje land men använder sig av utrustning som finns i för behand- lingen av personuppgifter. Personuppgiftslagens bestämmelser gäller som huvudregel när behandlingen av personuppgifter – t.ex. insamling, registrering eller lagring – är helt eller delvis automatiserad (5 § personuppgiftslagen). Enligt de grundläggande kraven för personuppgiftsbehandling, som anges i 9 § första stycket personuppgiftslagen, ska den person- uppgiftsansvarige bl.a. se till att personuppgifter samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål (c), att de personuppgifter som behandlas är adekvata och relevanta i förhåll- ande till ändamålen med behandlingen (e), att inte fler personupp- gifter behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen (f) och att personuppgifter inte bevaras under än vad som är nödvändigt med hänsyn till ändamålen med behandlingen (i). Personuppgifter får som huvudregel endast behandlas om den registrerade har lämnat sitt samtycke (10 § personuppgiftslagen). Därutöver får personuppgifter behandlas när det är nödvändigt för att: fullgöra ett avtal i vilket den registrerade är part eller åtgärder som den registrerade begärt ska kunna vidtas innan ett avtal träffas (a), den personuppgiftsansvarige ska kunna fullgöra en rättslig skyldig- het (b), vitala intressen för den registrerade ska kunna skyddas (c), en arbetsuppgift av allmänt intresse ska kunna utföras (d), den per- sonuppgiftsansvarige eller en tredje man till vilken personuppgifter lämnas ut ska kunna utföra en arbetsuppgift i samband med myn- dighetsutövning (e) eller ett ändamål som rör ett berättigat intresse hos den personuppgiftsansvarige eller hos en sådan tredje man till vilka personuppgifterna lämnas ut ska kunna tillgodoses om detta intresse väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten (f). Samtycke definieras enligt 3 § personuppgiftslagen som ”Varje slag av frivillig, särskild och otvetydig viljeyttring genom vilken den registrerade, efter att ha fått information, godtar behandling av personuppgifter som rör honom eller henne”. Det finns inte några krav på att samtycket ska vara skriftligt eller att det ska dokumen- teras. Det kan alltså vara tillräckligt med ett muntligt samtycke. Sam- tycke kan också ges digitalt, t.ex. via internet eller e-post. Samtycket måste dock alltid vara en viljeyttring från den regi- strerade, och viljeyttringen måste alltid i någon mening komma till uttryck på något sätt som en utomstående kan iaktta.12 Betaltjänstleverantörer som bedriver verksamhet i , oavsett om företaget har säte i landet eller bedriver verksamhet här genom ombud eller filial, omfattas således av personuppgiftlagens bestäm- melser i fråga om behandling av personuppgifter i samband med tillhandahållandet av deras tjänster. Som huvudregel ska en betal- tjänstleverantör inhämta samtycke från betaltjänstanvändaren innan personuppgifter behandlas i leverantörens verksamhet – med undan- tag för de i 10 § angivna situationerna – och samtycket ska alltså ges uttryckligen. 12 , och , S, Personuppgiftslagen, en kommentar (, Zeteo), kommentaren till 3 §. Med hänsyn till att betaltjänstleverantörers behandling av person- uppgifter omfattas av personuppgiftslagen torde det vara vanligt före- kommande att betaltjänstleverantörer lämnar informa- tion om personuppgiftsbehandling till sina kunder, t.ex. i de allmänna avtalsvillkor som betaltjänstanvändaren accepterar vid användning av betaltjänsten. Här kan också understrykas att de grundläggande kraven för personuppgiftsbehandling gäller även om betaltjänst- användaren samtycker till behandlingen. Det är följaktligen inte tillåtet att behandla personuppgifter som inte är relevanta i förhållande till ändamålet med behandlingen, även om användaren har samtyckt till detta. Betaltjänstleverantörernas hantering av personuppgifter i sam- band med tillhandahållandet av sina tjänster faller på sätt som be- skrivits ovan inom ramen för personuppgiftslagens tillämpningsom- råde. Några ytterligare åtgärder framstår inte som nödvändiga för att det andra betaltjänstdirektivets artikel 94.2 ska anses genomförd. I denna del behövs därmed inga nya bestämmelser i lag för att genomföra direktivet. Det kan dock nämnas att den allmänna data- skyddsförordningen, som antogs av och , kommer att ersätta den svenska personupp- giftslagen . Förordningen omfattar i stort sett all behand- ling av personuppgifter, dvs. sådan behandling som sker i företag, inom myndigheter och av privatpersoner och kommer innebära för- ändringar i förhållande till dagens nationella reglering om person- uppgiftsbehandling. 13.16 Information till konsumenter Förslag: Regeringen eller den myndighet regeringen bestämmer ska bemyndigas att meddela närmare föreskrifter om hur betal- tjänstleverantörer ska göra det informationsmaterial som kom- missionen ska utarbeta tillgängligt för sina användare som är konsumenter. Det ska dock framgå av betaltjänstlagen att till- handahållandet av denna information ska vara avgiftsfritt för användarna. Av artikel 106.1 följer att kommissionen ska utarbeta en användarvänlig elektronisk broschyr, som på ett tydligt och lättbegripligt sätt ska redogöra för konsumenternas rättigheter enligt direktivet och annan unionsrätt på närliggande områden. Enligt artikel 106.2 ska kommissionen informera medlems- staterna, europeiska betaltjänstleverantörers sammanslutningar och europeiska konsumentorganisationer om offentliggörandet av bro- schyren. Kommissionen, och de behöriga myndigheterna ska var för sig säkerställa att broschyren gör åtkomlig på ett lättillgäng- ligt sätt på deras webbplatser. Enligt artikel 106.3 ska betaltjänstleverantörer se till att broschyren görs åtkomlig på ett lättillgängligt sätt på deras webbplats, om de har någon sådan, och i pappersform vid deras filialer, hos deras ombud och vid de enheter till vilka deras verksamhet har utkontrak- terats. Betaltjänstleverantörer får inte ta ut någon avgift av sina kunder för den information som enligt denna artikel görs åtkomlig (artikel 106.4). För personer med funktionsnedsättning ska bestäm- melserna i denna artikel tillämpas med användning av alternativa medel, som medger att informationen görs åtkomlig i ett tillgäng- ligt format (artikel 106.5). Artiklarna 106.1 och 106.2 avser åtgärder som ska vidtas av kom- missionen och kräver således inte någon genomförandeåtgärd. Vad avser regleringen i artiklarna 106.3–5 om betaltjänstleverantörers skyldigheter kräver denna dock att åtgärder vidtas av medlemsstater- na. Mot bakgrund av de detaljerade kraven i fråga om betaltjänst- leverantörernas hantering av broschyren framstår det som en lämplig ordning att regeringen eller den myndighet regeringen bestämmer meddelar närmare föreskrifter om hur betaltjänstleverantörerna ska tillhandahålla broschyren till sina användare som är konsumenter. Det bör dock anges i betaltjänstlagen att tillhandahållandet av denna information ska vara avgiftsfritt för användarna. 13.17 Lösande av tvister mellan behöriga myndigheter Förslag: Det ska anges i betaltjänstlagen i vilka fall Finans- inspektionen får hänskjuta en fråga till för tvistlösning. I artikel 27.1 anges att om en behörig myndighet i en medlemsstat anser att det gränsöverskridande samarbetet med de behöriga myn- digheterna i en annan medlemsstat i ett visst ärende som avses i artiklarna 26, 28, 29, 30 eller 31 i direktivet inte överensstämmer med dessa bestämmelser, kan myndigheten hänskjuta ärendet till och begära dess bistånd i enlighet med artikel 19 i förordning (EU) nr 1093/2010 för tvistlösning. Bestämmelsen ger alltså Finansinspek- tionen möjlighet att hänskjuta frågor till för tvistlösning. En ny bestämmelse som anger i vilka fall enligt det andra betaltjänst- direktivet som kan hänskjuta frågor till bör införas i betaltjänstlagen. 13.18 Särskilt om revision i europakooperativ Förslag: Bestämmelserna i 3 kap. 9 § andra stycket betaltjänst- lagen om att europakooperativ ska upprätta årsredovisning och i förekommande fall koncernredovisning i enlighet med de bestäm- melser i lagen (1995:1559) om årsredovisning i kreditinstitut och värdepappersbolag som är tillämpliga på betalningsinstitut som drivs i ekonomisk förening ska upphöra att gälla. I 3 kap. 9 § andra stycket betaltjänstlagen anges att europakoopera- tiv ska upprätta årsredovisning och, i förekommande fall, koncern- redovisning i enlighet med de bestämmelser i lagen (1995:1559) om årsredovisning i kreditinstitut och värdepappersbolag som är tillämp- liga på betalningsinstitut som drivs i ekonomisk förening. Lagen om årsredovisning i kreditinstitut och värdepappersbolag är enligt sin nuvarande lydelse inte längre tillämplig på betalnings- institut. Följaktigen bör andra stycket i 9 § upphöra att gälla. Detta medför i sin tur att hänvisningen till lagrummet i 31 § lagen (2006:595) om europakooperativ ska tas bort. Detta innebär att ett europakooperativ som tillhandahåller betaltjänster ska upprätta års- redovisning och, i förekommande fall, koncernredovisning i enlig- het med de bestämmelser i årsredovisningslagen (1995:1554) som är tillämpliga på ekonomiska föreningar i enlighet med 31 § första stycket lagen om europakooperativ. 13.19 Lagen (2011:755) om elektroniska pengar Förslag: Regleringen i lagen (2011:755) om elektroniska pengar bl.a. i fråga om verksamhet som bedrivs genom ombud eller filial ska ändras för att överensstämma med motsvarande förslag till ändringar i betaltjänstlagen. Det andra betaltjänstdirektivets artikel 111 föreskriver flera ändring- ar i e-penningdirektivet, och rådets direktiv /110/EG av om rätten att starta och driva affärsverksamhet i pengar samt om tillsyn av sådan verksamhet, om ändring av direktiven /60/EG och 2006/48/EG och om upphävande av direktiv /46/EG. Ändringarna rör främst frågor om tillståndskrav och andra rörelse- krav. Artikel 111.1 a) anger att artikel 3.1 i e-penningdirektivet ska ändras så att den föreskriver att artiklarna 5, 11–17, 19.5 och 19.6 och 20–31 i det andra betaltjänstdirektivet ska gälla i tillämpliga delar för pengar, inklusive de delegerade akter som antas enligt artiklarna 15.4, 28.5 och 29.7. Av artikel 111.1 b) följer att e-penningsdirektivets artikel 3.4 föreskriver att om ett pengar distribuerar elektroniska pengar i en annan medlemsstat genom att anlita en sådan fysisk eller juridisk person ska artiklarna 27–31, med undantag av artikel 29.4 och 29.5 i det andra betaltjänstdirektivet gälla i tillämp- liga delar för pengar, vilket inkluderar de delegerade akter som antas i enlighet med artiklarna 28.5 och 29.7. Enligt artikel 111.1 b) ska även e-penningdirektivets artikel 3.5 ges en ändrad lydelse. Av artikeln följer numera att pengar inte får ge ut elektroniska pengar via ombud. pengar ska dock tillåtas att tillhandahålla så- dana betaltjänster som avses i artikel 6.1 a i e-penningdirektivet via ombud i enlighet med villkoren som fastställs i artikel 19 i betaltjänst- direktivet. E-penningdirektivet har genomförts i svensk rätt i lagen (2011:755) om elektroniska pengar. En utgångspunkt vid genom- förandet av det nya e-penningdirektivet var att tillståndsreglerna för att få ge ut elektroniska pengar ska motsvara vad som gäller för betalningsinstitut enligt betaltjänstlagen. Regler om tillståndskrav för pengar är därmed utformade i stort sett på samma sätt som betaltjänstlagens regler för betalningsinstitut. E-penningdirektivets artikel 3.1 i den tidigare lydelsen har genom- förts i 2 kap. 6–8 §§ och 5 kap. 5–6 §§ samt 8–25 §§ i lagen om elektroniska pengar. I 2 kap. 6–8 §§ regleras när tillstånd att ge ut elektroniska pengar ska beviljas. Bestämmelserna motsvarar i stort sett regleringen i 2 kap. 6–7, och 9 §§ betaltjänstlagen som har genom- fört artiklarna 11–12 i det andra betaltjänstdirektivet. Utredningen har inte föreslagit några ändringar av dessa bestämmelser, utöver viss tillkommande reglering som avser leverantörer av betalningsinitie- ringstjänster. Det krävs således inte någon ändring av 2 kap. 6–8 §§ lagen om elektroniska pengar i denna del. I femte kapitlet i lagen om elektroniska pengar finns regler om tillsyn och ingripanden. Reglerna överensstämmer med de regler som finns i betaltjänstlagens åttonde kapitel. I de delar utredningen har föreslagit ändring av reglerna om tillsyn till följd av regleringen i artiklarna 13–17, 19.5, 19.6 och 20–31 bör följaktigen de berörda bestämmelserna i femte kapitlet i lagen om elektroniska pengar ändras på motsvarande sätt. För de aktörer som berörs av den lagen bör respektive enligt den möjlighet som ges i artikel 29.2 kunna inhämta information från utländska företag som agerar i med enligt 3 kap. 26 § lagen om elektroniska pengar. Möjligheten i artikel 29.4 att utse en central kontaktpunkt torde dock inte gälla för dessa aktörer, eftersom artikel 29.4 i det andra betaltjänstdirektivet enligt den nya lydelsen av artikel 3.4 i e- penningdirektivet inte är tillämplig för dem. Regleringen i de nämnda artiklarna i det andra betaltjänstdirek- tivet avser även frågor om tillhandahållande av tjänster genom om- bud eller filial. Regleringen i artikel 3.4 och 3.5 i e-penningdirek- tivet avser dessa typer av verksamhet och har genomförts i tredje kapitlet i lagen om elektroniska pengar. I detta kapitel bör änd- ringar som överensstämmer med de ändringar i betaltjänstlagen som utredningen föreslagit göras, till följd av det andra betaltjänstdirek- tivets reglering i de artiklar som även är tillämpliga på de aktörer som omfattas av e-penningdirektivet. En närmare redogörelse för utredningens överväganden i denna del finns i kapitel 12, som be- handlar genomförandet av de aktuella artiklarna i betaltjänstlagen. I utredningens uppdrag ingår att analysera konsekvenserna av lämna- de förslag i enlighet med 14–15 a kommittéförordningen (1998:1474). Eftersom utredningen lämnar författningsförslag ska konsekvens- analysen också göras i enlighet med 6 och 7 §§ förordningen (2007:1244) om konsekvensutredning vid regelgivning (15 a § kom- mittéförordningen). Förslagen innebär i vissa delar att högre krav ställs framför allt på företag som tillhandahåller betalningsinitieringstjänster respektive kontoinformationtjänster. Även företag som bedriver s.k. uppräk- ningsverksamhet kommer enligt förslagen att omfattas av betaltjänst- lagens krav på tillstånd för att få tillhandahålla sina tjänster. Detta får antas medföra ekonomiska konsekvenser för dessa företag i form av högre administrativa kostnader. Regleringen kan också komma att innebära vissa ökade kostnader för det allmänna, i första hand för . kostnader kommer dock till viss del att belasta betalningsinstituten och de registrerade betal- tjänstleverantörerna genom avgifter för tillstånd och tillsyn. Utredningen bedömer att följande områden inte berörs av för- slagen (15 § kommittéförordningen): –Den kommunala självstyrelsen, –brottsligheten och det brottsförebyggande arbetet, –sysselsättning och offentlig service i olika delar av landet, –jämställdheten mellan kvinnor och män eller –möjligheterna att nå de integrationspolitiska målen. Den föreslagna regleringen är i huvudsak en konsekvens av medlemskap i , och överensstämmer därmed med skyl- digheter som följer av anslutningen till EU (6 § 6 förordning om konsekvensutredning vid regelgivning). Utredningens huvudsakliga uppgift i denna del av uppdraget har varit att föreslå de författningsändringar som krävs för att genom- föra det andra betaltjänstdirektivet i svensk rätt. En konsekvensbe- dömning av reglerna i det andra betaltjänstdirektivet har gjorts av kommissionen i samband med utarbetande av förslaget till direktiv (se COM(2013) 547 final). Direktivet är, såvitt gäller det resultat som ska uppnås, bindande för medlemsstaterna och måste genom- föras i nationell rätt, oavsett vilka kostnader det för med sig. Vidare är direktivet ett s.k. fullharmoniseringsdirektiv, varför möjligheten till alternativa lösningar är begränsad. 14.2.1Aktörer som kommer att omfattas av ett tillståndskrav eller krav på registrering De företag som bedriver verksamhet som består i att tillhandahålla betalningsinitieringstjänster respektive kontoinformationstjänster agerar på en oreglerad marknad. Utredningens förslag innebär att leverantörer av betalningsinitieringstjänster kommer att omfattas av ett krav på tillstånd för att få tillhandahålla sina tjänster. På mot- svarande sätt föreslås leverantörer av kontoinformationstjänster om- fattas av ett registreringskrav. Vidare har utredningen funnit att värdebolagens uppräknings- verksamhet är en form av betaltjänstverksamhet och att den därför inte ska undantas från betaltjänstlagens krav på tillstånd, som varit fallet. Utredningen föreslår därför att de företag som bedriver uppräkningsverksamhet måste ansöka om tillstånd för denna verk- samhet. Utredningens förslag kommer att medföra att dessa företag får kostnader för att ta fram den ansökan som ska ges in till Finans- inspektionen. Uppgifter som behövs för ägar- och ledningsprövning överensstämmer i allt väsentligt med vad som gäller för övriga betal- tjänstleverantörer enligt betaltjänstlagen. Förslagen innebär också att de nämnda företagen måste uppfylla betaltjänstlagens rörelsekrav för betalningsinstitut respektive för registrerade betaltjänstleverantörer. För leverantörer av betalnings- initieringstjänster och för de företag som bedriver uppräkningsverk- samhet innebär detta bl.a. att de initialt ska ha ett startkapital och därefter en kapitalbas som inte får understiga ett belopp motsvaran- de startkapitalet. Förslagen innebär således att dessa aktörer kommer att drabbas av kostnader som innefattar dels arbetet med ansökan dels arbetet med att anpassa verksamheten till de rörelsekrav som kommer att gälla för dem. Det är inte möjligt för utredningen att uttala sig om hur stora dessa kostnader kan bli. Det måste också beaktas att före- tag som inte alls stått under tillsyn nu kommer att omfattas av regleringen i lagen (2009:62) om åtgärder mot penningtvätt och finansiering av terrorism. Att ha rutiner för detta innebär en extra kostnad för sådana företag. Inte heller dessa kostnader kan beräk- nas på något meningsfullt sätt. För leverantörer av betalningsinitieringstjänster respektive konto- informationstjänster kommer det också att gälla ett särskilt krav på ansvarsförsäkring, som följer av det andra betaltjänstdirektivet. Kom- missionen ska senast fastställa vilka belopp som ska täckas av denna försäkring. Det är inte möjligt att uppskatta pris- nivån för en ansvarsförsäkring innan försäkringsgivaren fått möjlig- het att ta del av hela den reglering som kommer att gälla för de aktörer som ska försäkras, omfattningen av deras rörelse m.m. Årspremiens storlek kan därför inte bedömas . Företag som ansöker om tillstånd kommer att få betala en an- sökningsavgift till . Avgiften för prövning av en ansökan om tillstånd är . Avgiften för prövning av en ansökan om undantag från tillståndsplikt är för juridiska personer och för fysiska personer . Dessutom tar ut en tillsynsavgift. ska betala i sådan avgift . Juridiska personer som har medgetts undantag från tillståndsplikt ska betala och fysiska personer i tillsynsavgift . I detta sammanhang kan nämnas att leverantörer av betalnings- initieringstjänster, till skillnad från företag som tillhandahåller andra former av betaltjänster, alltid omfattas av ett krav på tillstånd enligt den föreslagna regleringen. Betaltjänstlagens regler om undantag från tillståndsplikten som bl.a. gäller företag som bedriver betal- tjänstverksamhet i mindre omfattning, kan således inte bli aktuella för dem. Detta innebär att kostnaden för tillstånd och tillsyn samt övriga finansiella krav på tillståndspliktiga betaltjänstleverantörer kan bli förhållandevis betungande och medföra stora kostnader för mindre företag som tillhandahåller denna typ av tjänst. 14.2.2Krav på hantering av risker och kommunikation Det andra betaltjänstdirektivet innehåller en rad nya bestämmelser om hur företag ska hantera olika slag av risker i sin verksamhet och i vilka former de ska kommunicera med sina kunder, betaltjänstanvän- darna, och med varandra i samband med t.ex. en betalningstrans- aktion. Kontoförvaltande betaltjänstleverantörer ska tillämpa stark kund- autentisering vid kommunikation med betaltjänstanvändaren. Detta autentiseringsförfarande ska också tillämpas av leverantörer av be- talningsinitieringstjänster respektive kontoinformationstjänster, var- vid de dock ska kunna förlita sig på de uppgifter som den konto- förvaltande betaltjänstleverantören förser betaltjänstanvändaren med. Vilka krav som ska gälla i samband med tillämpandet av stark kund- autentisering kommer att framgå av de tekniska standarder som ska utarbeta på området, vilka ska överlämnas till kommissionen . Det går därför inte att uttala sig närmare om vilka ekonomiska konsekvenser denna reglering kommer att ha för betaltjänstleveran- törerna. Sannolikt kommer inrättandet av system för att tillämpa denna form av autentisering dock att innebära kostnader för före- tagen, och då främst för de kontoförvaltande betaltjänstleveran- törerna. Betaltjänstleverantörer kommer enligt förslaget att bli skyldiga att inrätta system med lämpliga åtgärder och kontrollmekanismer för att hantera operativa risker och säkerhetsrisker. De ska också vara skyldiga att med visst intervall rapportera till om operativa risker och säkerhetsrisker som är förknippade med de betaltjänster som de tillhandahåller och de åtgärder som vidtagits för att hantera riskerna. Betaltjänstleverantörerna föreslås också bli ålagda en rapporteringsskyldighet till i fråga om allvarliga operativa incidenter och säkerhetsincidenter samt med vissa intervall rapportera om bedrägerier som har genomförts i sam- band med användandet av olika betalningsinstrument. Inrättandet av ett system av beskrivet slag är förenat med kost- nader för företagen. Även rapporteringsskyldigheten innebär ökade kostnader. Hur stora kostnader det är fråga om är närmast omöjligt att svara på. Skyldigheten att rapportera till riskerar att öka de administrativa kostnaderna för företagen. Som utredningen funnit bör även med stöd av riksbanks- lagen kunna efterfråga denna information.