sou · H4B38 · 2016-02-01 00:00:00 — När det gäller de övriga tillsynsmyndigheter som utövar tillsyn enligt penningtvättslagen bör en motsvarande reglering föras in i deras myndighetsinstruktioner. När det gäller bör samfundet på lämp- ligt sätt informera om på vilka sätt information rörande överträdelser av penningtvättsregelverket kan överlämnas till samfundet och vilka rutiner som ska tillämpas när sådan information når samfundet. 16.7.3Skydd för den som rapporterar mot att drabbas av repressalier Utredningens bedömning: Kravet i artikel 61.2 b) i direktivet och artikel 21 i förordningen om uppgifter som ska åtfölja över- föringar av medel, på tillbörligt skydd för anställda eller perso- ner i jämförbar ställning som anmäler en verksamhetsutövares överträdelse, tillgodoses i gällande rätt. I artikel 61.2 b) ska anställda eller personer i jämförbar ställning som anmäler överträdelser begångna av verksamhetsutövare åtnjuta ett tillbörligt skydd. Förordningen om uppgifter som ska åtfölja över- föringar av medel hänvisar i artikel 21 till direktivets artikel 61.2. Vad som avses med tillbörligt skydd går inte att utläsa av direkti- vet. Dock gör utredningen bedömningen att ett tillbörligt skydd åtminstone måste omfatta skydd mot att drabbas av repressalier, diskriminering eller andra former av missgynnande behandling från en arbetsgivares sida. Det är på detta sätt som ”tillbörligt skydd” for- muleras i bl.a. kapitaltäckningsdirektivet. Ansvar för regelefterlevnad, intern kontroll m.m. kapitaltäckningsdirektivet gjordes bedömningen att kraven redan var tillgodosedda i gällande rätt, och det hänvisades bl.a. till arbetstagar- nas skydd enligt 7 och 8 §§ lagen om anställningsskydd (1982:80), som fastslår att en uppsägning ska vara sakligt grundad och avsked endast kan motiveras i de fall då arbetstagaren grovt åsidosätter sina åligganden mot arbetsgivaren samt till den praxis som Arbetsdom- stolen utvecklat.4 Den lag om stärkt skydd för arbetstagare som slår larm om allvarliga missförhållanden, som föreslagits i SOU 2014:31, kommer att omfatta även arbetstagare hos verksamhetsutövarna.5 Utredningen gör sammanfattningsvis bedömningen att kraven på tillbörligt skydd för den som rapporterar en överträdelse är tillgodo- sedda inom ramen för gällande rätt, men skulle ytterligare stärkas om det förslag som har lagts fram i den nämnda särskilda utredningen genomförs. 16.7.4Tillbörligt skydd för den tilltalade personen Utredningens bedömning: Det krav på tillbörligt skydd för en tilltalad person enligt artikel 61.2 c) uppfylls i gällande rätt. Enligt direktivets artikel 61.2 c) ska den person, som inom ramen för en rapportering av en ifrågasatt överträdelse, pekas ut som an- svarig åtnjuta tillbörligt skydd. Frågan om uppfyller internationella åtaganden i detta hänseenden har bl.a. behandlats i samband med genomförandet av kapitaltäckningsdirektivet.6 Utredningen har ingen avvikande upp- fattning i förhållande till vad som redovisas där. En utpekad persons rättigheter inom ramen för en tillsyns- myndighets handläggning tillgodoses främst genom de regler som finns i förvaltningslagen (1986:223). Skulle personen bli föremål för ett straffrättsligt förfarande tillgodoses skyddsintresset av regler i främst (1942:740) och förundersökningskungörel- sen (1947:948). 2013/14:228, s. 246 f. och SOU 2015:2 s. 523. 5I SOU 2014:31 anges som exempel på allvarliga missförhållanden överträdelser av föreskrif- ter meddelade av regering, riksdag eller annan myndighet. Även överträdelser av bindande EU-rättsakter anförs som exempel. 2013/14:228 s. 245. Ansvar för regelefterlevnad, intern kontroll m.m. 16.7.5Skydd för behandlingen av personuppgifter Utredningens bedömning: Ett genomförande av artikel 61 inne- bär att all behandling av personuppgifter ska ske i enlighet med de krav som följer av personuppgiftslagen (1998:204). Några be- hov av författningsändringar bedöms inte föreligga. Artikel 61.2 d) ålägger medlemsstaterna att säkerställa ett skydd för att personuppgifter behandlas i enlighet med vad som följer av data- skyddsdirektivet, både för de personer som rapporterar om över- trädelser och sådana fysiska personer som är ansvariga för en över- trädelse. Som nämnts i avsnitt 14.2.2 har dataskyddsdirektivet i svensk rätt genomförts genom personuppgiftslagen (1998:204). Det fjärde penningtvättsdirektivets krav på att all behandling av personuppgif- ter ska vara förenlig med vad som följer av dataskyddsdirektivet, förutsätter därför – för svenska förhållanden – att all behandling av personuppgifter inom ramen för ett särskilt rapporteringssystem, står i överensstämmelse med de krav som följer av personuppgifts- lagen. Hantering av rapporter om överträdelser kan i vissa fall innefatta uppgifter om lagöverträdelser som innefattar brott. Behandling av sådana uppgifter är enligt 21 § personuppgiftslagen förbjuden för andra än myndigheter. Datainspektionen har med stöd av 9 § per- sonuppgiftsförordningen (1998:1191) meddelat undantag från detta förbud bl.a. när det gäller uppgifter som rör visselblåsarsystem.7 Undantaget är emellertid i vissa avseenden begränsat. Det innebär att verksamhetsutövarna särskilt bör uppmärksamma om den be- handling av personuppgifter som i detta avseende kan vara önskvärd ryms inom ramen för undantaget.8 7DIFS 2010:1 om ändring av 1998:3. 8Se vidare prop. 2013/14:228 s. 249 ff. och SOU 2015:49 s. 364 f. Ansvar för regelefterlevnad, intern kontroll m.m. 16.7.6Krav på att verksamhetsutövare ska inrätta särskilda system för anmälningar Utredningens förslag: I penningtvättslagen, lagen (2010:751) om betaltjänster och lagen (2011:755) om elektroniska pengar tas in bestämmelser som innebär att verksamhetsutövare ska ha system för att från anställda och därmed jämförbara personer omhänder- ta anmälningar om eventuella överträdelser av penningtvätts- regleringen. Ytterligare föreskrifter, som bl.a. kan tillgodose krav på anonymitet, kan meddelas i författning av lägre valör. Av artikel 61.3 i direktivet följer att medlemsstaterna ska kräva att verksamhetsutövare inrättar lämpliga rutiner för att deras anställda eller personer i jämförbar ställning ska kunna rapportera överträdel- ser av penningtvättsregleringen internt genom en särskild, självstän- dig och anonym kanal som står i proportion till verksamhetsutöva- rens typ och storlek. Artikeln ställer inte några särskilda krav i fråga om vilken typ av rutiner som verksamhetsutövare ska tillhandahålla för anställda och därmed jämförbara personer. Liknande regler finns bl.a. i kapital- täckningsdirektivet. En skillnad mot kapitaltäckningsdirektivet är dock att penningtvättsdirektivet kräver att kanalen för rapportering ska kunna vara anonym. För kreditinstitutens del har bl.a. en bestämmelse införts i lagen (2004:297) om bank- och finansieringsrörelse (LBF) (6 kap. 1 a §) som ålägger instituten att ha ett ändamålsenligt system för att an- ställda ska kunna rapportera överträdelser av de bestämmelser som reglerar institutens verksamhet.9 I förarbetena till bestämmelsen i LBF beskrivs närmare hur ett sådant system kan utformas och hur behandlingen av personuppgifter i ett sådant system förhåller sig till reglerna i personuppgiftslagen. En motsvarande bestämmelse finns i lagen (2007:528) om värde- pappersmarknaden (LVM) (8 kap. 4 a §). I den utredning som bl.a. haft i uppgift att genomföra UCITS V-direktivet i svensk rätt föreslås en liknande bestämmelse även införas i lagen (2004:46) om värde- 2013/14:228 s. 248 ff. Ansvar för regelefterlevnad, intern kontroll m.m. pappersfonder.10 Även i fråga om revisorslagen håller ett förslag på att beredas som innefattar en liknande bestämmelse. De befintliga reglerna i LBF och LVM samt den föreslagna re- gleringen i lagen om värdepappersfonder och i revisorslagen måste anses uppfylla penningtvättsdirektivets krav såvitt avser de verksam- hetsutövare som där regleras. För att artikel 61.3 ska få fullt genom- slag för samtliga verksamhetsutövare måste dock ytterligare bestäm- melser införas. För att regleringen ska träffa samtliga verksamhetsutövare anser utredningen att en bestämmelse av denna innebörd bör föras in i penningtvättslagen. I syfte att anpassa svensk rätt till den reviderade förordningen om uppgifter som ska åtfölja betalningar av medel bör bestämmelser också föras in i lagen (2010:751) om betaltjänster och lagen (2011:755) om elektroniska pengar (se närmare om anpass- ningarna till förordningen i avsnitt 21.5). Utredningen föreslår att de bestämmelser som införs ska utfor- mas i överensstämmelse med 6 kap. 1 a § LBF. Direktivet ställer krav på att rapportering ska kunna ske ano- nymt. Det är generellt sett till nackdel för möjligheterna att utreda en ifrågasatt överträdelse om rapportören är anonym. Det medför bl.a. att det inte är möjligt att ställa kompletterande frågor till den som påstår att en överträdelse kan ha skett. Det bör därför upp- muntras att rapportören uppger sitt namn. Rapporteringsrutinerna bör dock utformas med hänsyn till det som en möjlighet att vara anonym måste finnas. Utformningen av ändamålsenliga system för anmälningar av över- trädelser bör närmare regleras i förordning eller myndighetsföre- skrifter. 10SOU 2015:62, s. 104–105. 11SOU 2015:49, delbetänkande av Utredningen om EU:s revisionspaket, Nya regler för revi- sorer och revision. Ansvar för regelefterlevnad, intern kontroll m.m. 16.7.7Skydd för anmälarens identitet Utredningens förslag: I penningtvättslagen förs in en bestäm- melse om tystnadsplikt avseende identiteten på den som rappor- terar en överträdelse. Motsvarande tystnadsplikt införs också i lagen (2010:751) om betaltjänster och lagen (2011:755) om elek- troniska pengar. 30 kap. 4 b § offentlighets- och sekretesslagen (2009:400) (OSL) kompletteras för att säkerställa sekretess för uppgifter som kan avslöja en anmälares identitet inte bara med avseende på bank- och kreditväsendet utan också betaltjänstverksamhet och utgivning av elektroniska pengar. En ny bestämmelse införs i 30 kap. OSL angående sekretess för uppgift om identiteten på den som rapporterar överträdelse av bestämmelser i penningtvättslagen. Bestämmelsen utformas efter mönster av 30 kap. 4 b §. I artikel 61.2 e) ställs krav på medlemsstaterna att införa regler som säkerställer att identiteten på den person som rapporterar en över- trädelse inte röjs. Även förordningen om uppgifter som ska åtfölja överföringar av medel ställer ett sådant krav(se artikel 21 och av- snitt 21.5). Skydd behöver dock inte erbjudas om det med stöd av nationell rätt krävs att identitetsuppgifterna röjs för att kunna utreda överträdelsen vidare eller överlämna ärendet för en rättslig process. Skydd för anmälarens identitet hos behöriga myndigheter Motsvarande krav på skydd för anmälarens identitet finns bl.a. i kapi- taltäckningsdirektivet. Kapitaltäckningsdirektivets regel genomfördes genom 30 kap. 4 b § i offentlighets- och sekretesslagen (2009:400) (OSL), om att sekretess ska gälla i en statlig myndighets verksamhet som består i tillståndsgivning eller tillsyn för uppgifter i en anmälan eller utsaga om överträdelse av en bestämmelse som gäller för den som myndighetens verksamhet avser, om uppgiften kan avslöja an- identitet. Bestämmelsen avser den sekretess som ska gälla i samband med bl.a. tillsyn avseende bank- och kreditväsendet, värdepappersmarkna- den och försäkringsväsendet. För att också säkerställa sekretess för Ansvar för regelefterlevnad, intern kontroll m.m. anmälarens identitet med avseende på anmälningar som kan göras inom ramen för verksamheter som bedrivs enligt betaltjänstlagen (2010:751) och lagen (2011:755) om elektroniska pengar bör 30 kap. 4 b § OSL kompletteras med avseende på dessa områden. Sekretess gäller oavsett vilken typ av överträdelse det är fråga om, således över- trädelser av bl.a. bestämmelser i penningtvättslagen och förordning- en om uppgifter som ska åtfölja överföring av medel. För att säkerställa att motsvarande sekretess ska gälla hos alla tillsynsmyndigheter som övervakar efterlevnaden av penningtvätts- lagen och föreskrifter som har meddelats med stöd av den lagen, föreslår utredningen vidare att en ny bestämmelse införs i 30 kap. OSL. Bestämmelsen ska begränsas till uppgifter som finns i en an- mälan eller utsaga om överträdelse av penningtvättslagen och före- skrifter som har meddelats med stöd av den lagen. Utredningen anser att den nya bestämmelsen ska utformas efter mönster av 30 kap. 4 b § OSL. Det innebär att absolut sekretess ska gälla. Bestämmelsens räckvidd bör begränsas till att avse sekretess i en statlig myndighets verksamhet som består i tillsyn över efterlev- naden enligt penningtvättslagen, om uppgiften kan avslöja anmäla- rens identitet. Bestämmelsen ska i likhet med vad som gäller beträffande 30 kap. 4 b § inskränka rätten att meddela uppgifter enligt tryckfrihets- förordningen och yttrandefrihetsgrundlagen. 30 kap. 30 § OSL be- höver därför kompletteras. Grunderna är desamma som har redo- visats i prop. 2013/14:228 s. 257. Skydd för anmälarens identitet hos verksamhetsutövare Reglerna i OSL om enskildas rätt att ta del av allmänna handlingar är inte direkt tillämpliga inom den privata sektorn. I 1 kap. 10 § LBF finns den så kallade ”banksekretessen”. Bestäm- melsen utvidgades i samband med genomförandet av kapitaltäck- ningsdirektivet till att omfatta sekretess för uppgifter i en anmälan eller en utsaga om en misstänkt överträdelse av en bestämmelse som gäller för kreditinstitutets verksamhet, om uppgiften kan avslöja anmälarens identitet. I 1 kap. 11 § LVM finns en motsvarande bestämmelse om tyst- nadsplikt. Av andra stycket i 1 kap. 10 § LBF framgår att en överträ- Ansvar för regelefterlevnad, intern kontroll m.m. delse av tystnadsplikten inte ska medföra ansvar för brott mot tyst- nadsplikt i 20 kap. 3 § . En överträdelse av tystnads- plikten med avseende på värdepappersmarknaden kan däremot be- straffas som brott mot tystnadsplikt. Flertalet bestämmelser om tystnadsplikt inom finansmarknadsområdet kan inte heller bestraffas som brott mot tystnadsplikt. Undantag gäller enligt lagen (2004:46) om värdepappersfonder och lagen (2013:561) om förvaltare av alter- . Det kan också nämnas att överträdelse av den tystnadsplikt som gäller enligt 26 § revisorslagen kan bestraffas som brott mot tystnadsplikt. För att säkerställa ett skydd för en anmälares identitet i enlighet med vad penningtvättsdirektivet föreskriver föreslår utredningen att bestämmelserna om tystnadsplikt i lagen (2010:751) om betal- tjänster och lagen (2011:755) om elektroniska pengar kompletteras med avseende på den tystnadsplikt som bör gälla beträffande en an- mälares identitet. Dessa bestämmelser utformas efter mönster av mot- svarande bestämmelse i LBF dvs. generellt med avseende på över- trädelser i verksamheterna, således bl.a. överträdelser av bestämmel- ser i penningtvättslagen och förordningen om uppgifter som ska åt- följa överföringar av medel. Med syfte att täcka övriga verksamhetsutövares verksamheter bör också en särskild bestämmelse om tystnadsplikt införas i pen- ningtvättslagen i anslutning till den föreslagna bestämmelsen om särskilda rutiner för rapportering av överträdelser. Av bestämmelsen bör framgå att en uppgift eller utsaga om en misstänkt överträdelse av penningtvättsregleringen inte får obehö- rigen röjas om uppgiften kan avslöja anmälarens identitet. En uppgift anses inte lämnad obehörigen bl.a. om det sker inom ramen för en utredning som sker enligt reglerna om förundersök- ning i brottmål, annars med stöd av lag, med samtycke från den be- rörde eller om uppgiften måste lämnas vidare enligt de särskilda ruti- ner som gäller för handläggning av rapporter om överträdelser. Bestämmelserna om tystnadsplikt medför också att en verksam- hetsutövare inte till följd av bestämmelserna i personuppgiftslagen (1998:204) behöver avslöja anmälarens identitet för den som anmä- lan avser.12 12 Se 27 § personuppgiftslagen (1998:204). Ansvar för regelefterlevnad, intern kontroll m.m. När det gäller frågan om och i så fall på vilket sätt en överträdel- se av tystnadsplikten ska kunna medföra sanktioner konstaterar ut- redningen att frågan har lösts på olika sätt i de olika rörelselagarna. Det finns skäl som talar för att en överträdelse borde kunna be- straffas som brott mot tystnadsplikt. Utredningen har dock stannat för att det måste anses tillräckligt att överträdelser kan bli föremål för administrativa sanktioner. Det innebär att verksamhetsutöva- ren, oavsett om det är en fysisk eller juridisk person liksom fysiska personer som innehar ledande funktioner kan, under vissa ytter- ligare förutsättningar, åläggas att betala en sanktionsavgift. Bestäm- melsen ska därför förenas med att ansvar för brott mot tystnads- plikt enligt inte ska följa på en överträdelse. En överträdelse av tystnadsplikten enligt 1 kap. 11 § LVM, som också omfattar uppgifter i en anmälan eller utsaga rörande en över- trädelse, kan bestraffas som brott mot tystnadsplikt enligt brotts- balken. Bestämmelsen i penningtvättslagen måste därför föreskriva att om det i annan lag finns en bestämmelse som avviker så ska den lagen gälla. 17 Tillsyn och sanktioner Reglerna om tillsyn och sanktioner på området för bekämpning av penningtvätt och finansiering av terrorism finns i en rad olika för- fattningar. Genom bemyndiganden i penningtvättslagen, penning- tvättsförordningen, lagar som reglerar vissa verksamhetsutövares verksamheter och därtill anslutande förordningar ges vissa myndig- heter behörighet att utfärda föreskrifter och utöva tillsyn gällande tillämpningen av penningtvättslagen. På samma sätt ges dessa till- synsmyndigheter behörighet att besluta om sanktioner för dem som inte lever upp till regelverket. Dagens regler om tillsyn över verksamhetsutövare är utformade på olika sätt. Framför allt skiljer sig sanktionssystemen åt mellan finansiella och icke-finansiella rörelselagar. De finansiella rörelse- lagarna uppvisar, eller uppvisade åtminstone tidigare, visserligen stora likheter. Sedan reglerna infördes i de olika finansiella rörelse- lagarna har dock regelverken för banker och vissa andra finansiella företag genomgått stora förändringar. Detta bl.a. mot bakgrund av att reglerna om bankernas kapitaltäckning och riskhantering blivit fler. Parallellt med denna utveckling har reglerna om sanktioner för finansiella företag utvecklats på europeisk nivå. förklarade kommissionen att man önskade harmonisera och skärpa sanktion- erna på det finansiella området.1 Ambitionen var att se till att det skulle finnas ett tillräckligt brett spektrum av sanktioner för att tillsynsmyndigheterna i varje enskilt fall skulle kunna välja sank- tioner som var effektiva, proportionerliga och avskräckande. Bland de åtgärder som föreslogs fanns bl.a. höga administrativa böter, 1 Communication from the Commission to parliment, the Council, the Euro- pean Ecnomic and Social Committe and the Committe of the regions, Reinforcing sanctioning regimes in the financial services sector, COM (2010) 716 final. sanktioner mot både fysiska och juridiska personer och gemen- samma kriterier för valet av sanktioner. Ambitionen har därefter fullföljts i den europeiska lagstiftningen för respektive företagstyp. Något motsvarande samlat grepp avseende sanktionssystemen har inte tagits i . är det framför allt lagen (2004:297) om bank- och finansieringsrörelse (LBF) och lagen (2007:528) om värdepappersmarknaden (LVM) som anpassats till unionsrätten i samband med genomförandet av direktiv. Utredningens mandat sträcker sig inte längre än till att föreslå nödvändiga förändringar för att genomföra penningtvättsdirek- tivet, Fatfs rekommendationer och förordningen om uppgifter som ska åtfölja överföringar av medel. Något genomgripande samlat grepp för att skapa en enhetlig sanktionsregim, som skulle vara att förorda, är därför inte möjligt att föreslå inom ramen för detta uppdrag. Utredningens ambition är dock att så långt det är möjligt, utifrån direktivets och Fatfs rekommendationer, skapa ett så enhet- ligt system som möjligt för tillsyn och sanktioner när det gäller åt- gärder mot penningtvätt och finansiering av terrorism. I detta kapitel redogör utredningen följaktligen för sina över- väganden och förslag på detta område. 17.2Huvuddragen i Fatfs rekommendationer och det fjärde penningtvättsdirektivet 17.2.1Det fjärde penningtvättsdirektivets bestämmelser om tillsyn Bestämmelserna om tillsyn finns i direktivets artiklar 47 och 48. I artikel 47 anges att medlemsstaterna ska föreskriva att valutaväx- samt tjänsteleverantörer till truster eller bolag ska ha tillstånd eller vara registrerade och att tillhanda- hållare av speltjänster ska regleras. Tillsynsmyndigheterna ska se till att de personer som har en ledande befattning i sådana verksam- heter, eller som är deras verkliga huvudmän, är lämpade. Vidare anges att när det gäller fysiska eller juridiska personer som driver verksamhet som revisorer, externa revisorer, skatterådgivare, viss verksamhet som notarier eller andra oberoende jurister samt fastig- hetsmäklare, ska medlemsstaterna se till att tillsynsmyndigheterna vidtar nödvändiga åtgärder för att hindra att brottslingar som dömts inom relevanta områden eller deras medhjälpare har en ledande befattning inom eller är verkliga huvudmän bakom dessa verksam- heter. I artikel 48 anges närmare bestämmelser om vad myndigheterna ska göra i sin tillsynsverksamhet. Myndigheterna ska effektivt över- vaka och vidta de åtgärder som är nödvändiga för att säkerställa att direktivet efterlevs. Medlemsstaterna ska se till att tillsynsmyndig- heterna har tillräckliga befogenheter och har tillräckliga ekonomiska, personella och tekniska resurser för att kunna fullgöra sitt uppdrag. Medlemsstaterna ska också se till att myndigheternas personal håller hög yrkesmässig standard, bl.a. när det gäller konfidentialitet och uppgiftsskydd, samt har stor integritet och rätt kompetens. I artikeln anges vidare att myndigheterna ska ha förstärkta till- synsbefogenheter för kreditinstitut, finansiella institut och tillhanda- hållare av speltjänster. I fråga om samtliga verksamhetsutövare gäller att tillsynsmyndigheterna i den stat där utövare driver verksamhet ska kontrollera att dessa företag iakttar statens nationella bestäm- melser. När det gäller de betaltjänstleverantörer och utgivare av elektroniska pengar som avses i artikel 45.9 och som verkar i en annan medlemsstat än där företagets huvudkontor ligger och i annan form än filial samt har krav på sig att utse en central kontaktpunkt, kan sådan kontroll inbegripa vidtagande av lämpliga och proportio- nella åtgärder för att rätta till allvarliga brister som kräver omedel- bart avhjälpande. Åtgärderna ska vara tillfälliga och avbrytas när de identifierade bristerna rättas till, inbegripet med stöd från eller i samarbete med tillsynsmyndigheterna i företagets hemmedlemsstat. Det föreskrivs även att medlemsstaterna ska se till att tillsyns- myndigheterna i den medlemsstaterna där verksamhetsutövaren driver företag ska samarbeta med tillsynsmyndigheterna i den med- lemsstat där utövaren har sitt säte, för att på så sätt säkerställa en effektiv övervakning av kraven i direktivet. Då tillsynsmyndigheterna tillämpar en riskbaserad tillsynsmetod ska de vidare enligt artikeln ha en klar uppfattning om riskerna för penningtvätt och finansiering av terrorism i sitt land, ha intern och extern tillgång till all relevant information om de specifika natio- nella och internationella risker som är kopplade till verksamhets- utövarnas kunder, produkter och tjänster, samt basera den interna och externa tillsynens frekvens och intensitet på verksamhets- utövarnas riskprofil och på risker för penningtvätt och finansiering av terrorism i det egna landet.