sou · H4B341 · 2016-06-07 00:00:00 — Ett typiskt exempel på identi- tetsstöld är att någon beställer varor, skaffar sig lån eller begår andra bedrägerier i en annan persons namn. I vissa fall föregås brotten av omsorgsfull planering t.ex. på det sättet att gärningsmannen bestäl- ler ett kreditkort eller en e-legitimation i någon annans namn och därefter stjäl det kreditkort, uppgift om koder eller liknande som skickas till den förmente beställarens hemadress. begär gär- ningsmannen adressändring för brottsoffret och får på så sätt tillgång till hans eller hennes post. Därefter utnyttjas kreditkortet, e-legiti- mationen eller motsvarande för att exempelvis köpa varor eller ta upp lån. Det är som regel först när krav på obetalda varor eller åter- betalning av lån börjar dyka upp, som den vars identitet har utnytt- 11 Datainspektionens beslut , dnr 1612-2011 och 1613-2011. 12 Se , Få budgetkoll med en app, 2014, samt och , Säkerhetsexpert varnar för ekonomiappar, Testfakta 2014. jats, upptäcker vad som har inträffat. kan varor till sammanlagt stort värde ha lämnats ut eller lån ha tagits till avse- värda summor.13 Problemet med stöld av identiteter uppges ha vuxit sig mycket stort . Det är framför allt ändrade köpvanor och betalningsvanor som har lett till att olovlig användning av annans identitetsuppgifter ökar. Både köp, beviljande av lån, betalningar och kontakter med myndigheter, görs numera via internet eller telefon, i stället för öga mot öga. Detta ökar avsevärt möjligheterna att utge sig för att vara någon annan. Gärningsmännen drar också nytta av att bedrägerioffret – t.ex. en kreditgivare – inte har samma möjligheter som vid ett personligt sammanträffande att bilda sig en uppfattning om den person som han eller hon gör affärer med. Det är också enkelt att skaffa ett SMS-lån i någon annans namn om man känner till hans eller hennes personnummer, eftersom företagen tillåter att detta görs enbart via mobiltelefonen.14 Ett grundproblem är, enligt uppgifter från bl.a. och , att de svenska legitimationerna, som det finns många varianter av, är lätta att förfalska. Det finns exempel på att bedragare kapat kända finansmäns identiteter, skaffat e-legitima- tioner i deras namn och sedan tagit ut stora belopp från deras kon- ton.15 Ett annat uppmärksammat exempel är att s.k. hackers stal personlig information för hundra miljoner användare från Network. Enligt hade tio miljoner användare bl.a. sina kreditkortsuppgifter på servern där dataintrånget begicks.16 En företeelse som är starkt förknippad med identitetsstöld är s.k. phishing, som på svenska kallas nätfiske eller lösenordsfiske. Nätfiske utförs som regel genom att någon skickar e-postmeddelan- den – som ofta ser ut att komma från en bank eller ett kreditkortsfö- retag – och som innehåller en uppmaning att logga in möjligt och en länk till en falsk webbsida med inloggningsformulär. E-postmeddelandet kan också vara utformat så att det ser ut att komma från t.ex. ett företags supportavdelning eller en myndighet. Det förekommer också att gärningsmännen skapar falska webbsidor 13 betänkande Stärkt straffrättsligt skydd för egendom, SOU 2013:85, s. 191. 14 SOU 2013:85 s. 192 f. 15 , Den stora blåsningen, Di Digital . 16 , Tiden mogen att begrava kreditkortet, 2011. utan att skicka ut e-postmeddelanden, i förhoppningen om att enskilda ska logga in på fel hemsida. Metoden används ibland också på det sättet att det görs ett massutskick, som skenbart kommer från ett företag med många kunder, och som underrättar mottagaren om att han eller hon tyvärr har debiterats två gånger för samma räkning och där man efterfrågar kontonummer och andra uppgifter för att kunna sätta in det felaktigt debiterade beloppet på kundens konto. Syftet är oftast att lura innehavare till bankkonton eller kreditkort att lämna ut kreditkortsnummer, lösenord eller annan känslig infor- mation till den som skickat meddelandet. Gärningsmannen vill komma åt uppgifterna om bankkonton och kreditkort för att kunna föra över pengar från kontona eller kunna utnyttja kreditkortsnum- mer för köp via internet.17 En annan typ av bedrägerier som enligt bl.a. ökar är det som kallas för Facebook-bedrägerier. Vid ett Facebook-bedrägeri kapar bedragaren ett konto på Facebook för att därefter via medde- landen på sajten lura den kapades vänner att exempelvis lämna ifrån sig inloggningsuppgifter till nätbanken.18 När någon annans identitet olovligen används vid ett bedrägeri kan konstateras att dagens reglering ger straffrättsligt skydd mot själva bedrägeriet. Detsamma gäller brukandet av falska och osanna handlingar, t.ex. handlingar som ger sken av att gärningsmannen har en viss identitet som tillhör någon annan. Något straffrättsligt skydd mot användningen av någon annans identitet i sig finns däremot inte . lämnade i sitt betänkande19 föreslag om att olovlig användning av andras identitetsuppgifter ska straffbeläggas som ett särskilt brott, benämnt identitetsintrång. Syftet med straffbestämmelsen är att ge skydd mot den integritets- kränkning som olovlig användning av annans identitetsuppgifter innebär och att ge den drabbade bättre möjligheter att ta tillvara sin rätt. lämnade regeringen ett förslag till om en sådan lagstiftning.20 17 SOU 2013:85 s. 193. 18 Bedrägerier, information på webbplats – foretag/sakerhet/sakerhet-och-vanliga-bedragerier/bedragerier/index.htm#!/ 19 SOU 2013:85. 20 Regeringens proposition Straffrättsligt skydd mot olovlig identitetsanvändning, prop. 2015/16:150. Ett område där banker och kreditmarknadsbolag har varit fram- gångsrika när det gäller dataanalys är just i kampen mot kortbedräge- rier. Genom att analysera ett stort antal faktorer av en transaktion kan it-systemen hitta de kortköp som förefaller vara bedrägerier. I en artikel i 2013 berättade en företrädare för Visa att företaget då baserade sina analyser på 500 olika aspekter av en kort- transaktion, vilket stoppar bedrägeriförsök för miljarder dollar.21 Inom ramen för ett nordiskt samarbete har banker utväxlat upp- gifter om IP-adresser som förekommit i samband med intrångsför- sök. Syftet med behandlingen har inte varit att utpeka innehavaren av IP-adressen som misstänkt brottsling, utan att förhindra angrepp mot bankerna och deras kunder. Bankerna har inte själva haft möjlig- het att identifiera personen som står bakom IP-numret. Datainspektionen har därför gett tillstånd till sådant utbyte av infor- mation, trots att grundprincipen är att endast myndigheter får behandla personuppgifter om lagöverträdelser som innefattar brott.22 15.4Behandling av uppgifter för att uppfylla rapporteringskrav m.m. Banker och kreditmarknadsbolag är i viss mån skyldiga att lämna ut uppgifter till olika myndigheter. Det finns bl.a. en skyldighet att lämna ut uppgifter till Polis- eller under en pågående förundersökning. Det finns även en skyldighet att lämna uppgifter till i samband med att den myn- digheten undersöker om en enskild har tillgångar som kan utmätas eller beläggas med kvarstad. Vidare finns också en skyldighet att lämna sedvanliga kontrolluppgifter till . 21 , Identifies Billions of Dollars in Fraud, 2013. 22 Datainspektionens beslut , dnr 1402-2007. Av särskilt intresse i detta sammanhang är dock de särskilda skyl- digheter som banker och kreditmarknadsbolag har i arbetet för att förhindra penningtvätt och finansiering av terrorism samt inom ramen för det internationella skatterättsliga samarbetet. Åtgärder för att förhindra penningtvätt och finansiering av terrorism Den verksamhet som banker och kreditmarknadsbolag bedriver kan utnyttjas för omfattande penningtvätt och finansiering av terrorism. Det kan handla om att föra in tillgångar från brottslig verksamhet – t.ex. rån, skattebrott, narkotikahandel, prostitution, trafficking eller människohandel – i det lagliga, finansiella systemet för att dölja den brottsliga källan, eller för insamling, tillhandahållande eller motta- gande av tillgångar i syfte att de ska användas eller med vetskap om att de är avsedda att användas för terrorism. Det finns därför ett behov av åtgärder som effektivt motverkar att bankernas tjänster används för sådan verksamhet. Inom FN fattas för medlemsstaterna bindande beslut om sank- tioner mot vissa organisationer, personer, grupper och företag, för att motverka internationell terrorism. I EU genomförs nämnda sanktioner genom gemensamma ståndpunkter och EU-förordningar. i är följaktligen skyldiga att respektera dessa beslut. Företagen ska bl.a. informera om konton och belopp som frysts enligt sanktionerna och meddela förändringar för dessa konton. Därutöver uppställer lagen om åtgärder mot penningtvätt och finansiering av terrorism krav på företag inom EU att vidta åtgärder för att förhindra att den egna verksamheten utnyttjas för penning- tvätt. Enligt lagen, som bygger på EU:s tredje penningtvättsdirektiv, ska finansiella företag ha rutiner för att säkerställa att de har tillräck- lig kunskap om sina kunder. En god kundkännedom anses förutsätta att företaget identifierar sin kund på ett säkert sätt och att pågående affärsförbindelser fortlöpande följs. Åtgärderna ska anpassas efter risken för att verksamheten utnyttjas för penningtvätt eller finansie- ring av terrorism. Bankernas åtgärder för att leva upp till kravet på kundkännedom kan t.ex. innebära att man, inför att en affärsförbindelse inleds med en ny kund, hämtar in grundläggande uppgifter om namn, person- nummer, adress m.m. från personen själv samt att banken kontrolle- rar personen mot EU:s sanktionslista och den amerikanska OFAC- listan. Det sistnämnda är en förteckning över sanktioner mot s.k. Persons (SDN), vilken administreras av en myndighet under finansdeparte- ment som heter Office of Foreign Assets Control (OFAC). Även den listan måste respekteras av svenska banker och kreditmarknads- bolag som t.ex. avser att ingå avtal med ett amerikanskt finansiellt institut. I de fall personen är föremål för skärpta åtgärder för att uppnå kundkännedom görs även en kontroll i databasen (Worldcompliance). I samband med detta kontrol- leras om personen är i politiskt utsatt ställning, en s.k. Politically Exposed Person (). En är en person som genom sin position och sitt inflytande anses inneha en ställning som i sig utgör en risk för att utnyttjas för bl.a. mutbrott och andra former av korruption och i förlängningen penningtvätt, liksom för aktiviteter som kan relateras till finansiering av terrorism. Banker och kreditmarknadsbolag måste också granska sina trans- aktioner för att kunna upptäcka misstänkta transaktioner. Vid miss- tanke ska detta anmälas till Finanspolisen (en sektion inom Nationella operativa enheten vid ). Uppgifter som identifierats i samband med kontrollerna bevaras i dessa fall i banker- nas penningtvättsregister. Om en person blir kund sparar banken loggar över de kontroller som gjorts. Om banken inte lyckas uppnå kundkännedom får en affärsförbindelse inte etableras eller en transaktion inte utföras med kunden. Om personen nekas att bli kund rapporteras detta till Finanspolisen. Foreign Account Tax Compliance Act (FATCA) är en amerikansk lag som ålägger finansiella institut, dvs. bl.a. banker och kapitalmarknadsföretag, i hela världen att identifiera finansiella kon- ton som innehas av amerikanska personer och rapportera tillgångar och inkomster på sådana konton till den amerikanska federala skat- temyndigheten (, IRS). är att IRS ska få tillgång till information om amerikanska personers kapitaltillgångar och kapitalinkomster som förvaltas av eller betalas till icke-amerikanska finansiella institut. I vissa fall ska de finansiella instituten också innehålla skatt för IRS räkning. som inte medverkar i detta samarbete riskerar att en skatt om 30 pro- cent innehålls på alla betalningar från . För att underlätta för svenska finansiella institut att medverka i samarbetet och lämna dessa uppgifter till IRS har ingått ett avtal med , det s.k. . Avtalet innebär i korthet att dessa företag lämnar kontrolluppgifter till , som vidarebefordrar informationen till IRS. I kontrolluppgifterna ska bl.a. lämnas information om kontohavarna och uppgifter om saldon, inkomster samt ersättningar från försäljningar och inlösen av värde- papper. Vidare har det inom tagits fram en standard för automa- tiskt utbyte av upplysningar om finansiella konton. Denna globala standard, som även har antagits inom EU,23 bygger på modellen för de bilaterala FATCA-avtalen med . Standarden innebär att finansiella institut identifierar utländska kontohavare och lämnar information om deras tillgångar och kapitalinkomster till sina res- pektive nationella skatteverk. Informationen överförs därefter till det land där kontohavaren har hemvist. I lagen om åtgärder mot penningtvätt och finansiering av terrorism finns ett kapitel med bestämmelser om behandling av personuppgif- ter. Där finns bl.a. bestämmelser om behandling av känsliga person- uppgifter och om tystnadsplikt. I de fall annat inte följer av dessa bestämmelser är personuppgiftslagen tillämplig. Det innebär bl.a. att det är förbjudet att till tredje land föra över personuppgifter som är under behandling, om landet inte har en adekvat nivå för skyddet av personuppgifterna. Förbudet gäller också överföring av personupp- gifter för behandling i tredje land. Frågan om en skyddsnivå är adekvat ska bedömas med hänsyn till samtliga omständigheter som 23 Se rådets direktiv /16/EU av om administrativt samarbete i fråga om beskattning, senast ändrat genom rådets direktiv /107/EU av . Se även prop. 2015/16:29, En global standard för automatiskt utbyte av upplysningar om finansiella konton. har samband med överföringen. Särskild vikt ska läggas vid uppgif- ternas art, ändamålet med behandlingen, hur länge behandlingen ska pågå, ursprungslandet, det slutliga bestämmelselandet och de regler som finns för behandlingen i det tredje landet. innehåller bestämmelser som begränsar hur informationen får användas i det land som tar emot uppgifterna. Begränsningarna innebär bl.a. att informationen som IRS erhåller från bara får användas för beskattningsändamål i . Enligt personuppgiftslagen är det förbjudet för andra än myndig- heter att behandla uppgifter om lagöverträdelser som innefattar brott. Datainspektionen får dock i föreskrifter eller enskilda fall meddela undantag från detta förbud. Sådana undantag har meddelats bl.a. när det gäller bankers löpande kontroll av kunddatabaser mot den s.k. OFAC-listan.24 15.4.3Risker för den personliga integriteten Penningtvätt och finansiering av terrorism är internationella problem som skadar förtroendet för det finansiella systemet och i förläng- ningen hela samhället. Det finns därför ett starkt behov av åtgärder för att motverka sådan verksamhet. Detsamma gäller i stor utsträck- ning för skatteflykt.Vid sanktioner mot enskilda finns i princip alltid viss risk att helt oskyldiga personer felaktigt förknippas med en per- son med samma namn som förekommer på sanktionslistorna. Just detta problem kan dock motverkas genom att banker och andra har rutiner för att hindra sådan sammanblandning av personer. En enskild kan dock även av andra skäl bli felaktigt placerad på en sank- tionslista. Det medför stora konsekvenser för den enskilde som har obefintliga möjligheter att påverka listningen. Vidare innebär den mycket breda internationella uppslutningen kring standard för automatiskt utbyte av upplysningar om finansiella konton ett globalt genombrott för automatiskt informa- tionsutbyte i skatteärenden, och därmed för arbetet mot skatteun- dandragande och skattefusk. innebär i princip allt interna- tionellt informationsutbyte vissa risker från ett integritetsperspektiv. Det uppkommer bl.a. frågor om hur överskottsinformation hanteras 24 Datainspektionens beslut , dnr 589-2010. i systemen och om andra länder kan garantera att informationen inte används för otillåtna ändamål eller lämnas vidare. Sekretesskyddet hos den utländska mottagaren kan t.ex. vara svagare än i . Problematiken kan illustreras med följande exempel. Världens banker genomför miljontals internationella transaktioner . Nästan alla dessa transaktioner görs genom Society for (Swift), som är ett belgiskt bolag. sparade Swift alla uppgifter om dessa transaktioner, dvs. om vem som överförde pengar till vem, på servrar i såväl EU som . Efter beslutade dock amerikanska myndigheter att ålägga Swift att ge dem tillgång till uppgifterna, för att myndigheterna skulle kunna spåra misstänka överföringar.25 När detta uppmärksammades och bl.a. Artikel 29-gruppen framförde skarp kritik, beslutade Swift att flytta den lagring som tidigare hade gjorts i till Schweiz.26 Den omständigheten att visst informationsutbyte, exempelvis utbytet enligt FATCA, kan omfatta en stor mängd uppgifter ökar risken för integritetsintrång. Skattskyldighet i föreligger om man är medborgare i , vilket även innefattar personer med dubbelt medborgarskap, eller ”tax resident” i landet (t.ex. en icke- amerikansk medborgare som har uppehålls- och arbetstillstånd, s.k. grönt kort, i ). Detta innebär att även amerikanska medborgare som flyttat ut ur landet eller aldrig ens har bott där, liksom icke- amerikaner som flyttat hem från men som fortfarande har grönt kort, är skatt- och deklarationsskyldiga i , trots att de betalar skatt i det nya hemlandet. Informationsskyldigheten enligt FATCA omfattar alltså alla dessa personer. Det måste dock även vägas in i bedömningen hur svenska kredit- institut och andra aktörer påverkas om man ställer sig utanför inter- nationella samarbeten. Det kan t.ex. medföra att affärstransaktioner måste avvecklas eller att utländska myndigheter vidtar åtgärder.27 , nr 2006, s. 10. , nr 2007, s. 6. 27 Datainspektionens beslut , dnr 589-2010. 15.5Kommitténs samlade bedömning av området hanteras en stor del av bankernas och kreditmarknadsföre- tagens verksamhet med hjälp av informationsteknik. Användningen av sådan teknik har också gett dessa företag tillgång till nya typer av uppgifter, som kan användas vid exempelvis kreditprövningar. Detta är på många sätt en positiv utveckling och har bl.a. lett till effektivi- tetsvinster. Utvecklingen har dessutom medfört en rad förbättringar för kunderna, inte minst när det gäller tillgänglighet. Ett exempel på detta är möjligheterna att använda appar och internetbank för många transaktioner. gäller de uppgifter som bankerna och kreditmarknads- bolagen behandlar i stor utsträckning enskildas personliga och eko- nomiska förhållanden. Sådana uppgifter är normalt att anse som integritetskänsliga. Ett uttryck för detta är att uppgifterna omfattas av tystnadsplikt eller sekretess. Den information om enskilda som finns hos dessa banker och kreditmarknadsbolag ger stora möjlighe- ter att göra en detaljerad kartläggning av en persons liv. Med utgångs- punkt från en individs inköpsmönster kan det vara möjligt att dra slutsatser om dennes personlighet. Det har också visat sig att det även i anonymiserade uppgiftssamlingar kan vara lätt att identifiera enskilda individer. I detta kapitel har vi analyserat risker för integritetsintrång som hör ihop med bankers och kreditmarknadsbolags behandling av per- sonuppgifter i samband med: ––kreditprövning och rådgivning, ––enskildas användning av kreditkort och transaktioner på internet, och ––i samband med rapporteringskrav. Möjligheten att basera kreditprövning på information som normalt inte behandlas hos kreditupplysningsbolagen, exempelvis uppgifter om inköpsmönster, ökar risken för att prövningen blir mindre trans- parent och för att ovidkommande faktorer beaktas. Om kreditgivare samlar in uppgifter om sina kunder utan att kunderna informeras om vilka uppgifter som behandlas, förlorar den enskilde också möjlighe- ten att kontrollera uppgifterna och att begära rättelse av eventuella felaktiga uppgifter. De s.k. svarta listor som uppges ha förekommit hos en av storbankerna illustrerar detta problem. Den stora mängden uppgifter som finns hos banker och kredit- marknadsbolag representerar dessutom ett betydande ekonomiskt värde, och kan samköras med annan information. Det finns av dessa skäl en risk för handel med uppgifterna, trots sekretess. Som fram- gått ovan har det också förekommit att banker har fört vidare upp- gifter om kunder som nekats lån. Av betydelse i detta sammanhang är också att det måste finns ändamålsenliga rutiner som begränsar vilka inom banken eller kre- ditmarknadsföretaget som ska ha tillgång till olika uppgifter. Huvudregeln bör vara att endast den som behöver uppgifterna i sitt arbete ska ha tillgång till dem. Såvitt framkommit tillämpar banker och kreditgivare allt oftare olika former av åtkomstkontroll inom verksamheten. I sin kreditgivnings- och rådgivningsverksamhet behandlar ban- ker och kreditgivare en stor mängd uppgifter om en stor del av befolkningen. Uppgifter som sammantaget kan upplevas som när- gångna. Det är svårt för en enskild person att veta vilka uppgifter som ligger till grund för en kreditbedömning. Uppgifterna har ett ekonomiskt värde. Kommittén bedömer därför att det föreligger påtagliga risker för den personliga integriteten i samband med kre- ditprövning och rådgivning. Kreditkort och transaktioner på internet När det gäller kreditkort och transaktioner på internet konstaterar kommittén att de digitala spår som skapas genom sådana transaktio- ner gör det möjligt att kartlägga enskilda personers konsumtions- mönster på ett närgånget sätt. Sådana uppgifter har ett högt kom- mersiellt värde och kan komma att användas på sätt som den enskilde inte kan förutse. När det gäller användningen av banktjänster som internetbank och olika appar konstaterar kommittén att det är nöd- vändigt med hög säkerhet vid sådan behandling på grund av risken för att närgångna uppgifter blir åtkomliga för obehöriga. Digitala banktjänster är också förknippade med risken för den enskilde att bli utsatt för identitetsstölder. Behandling av personuppgifter i samband med användning av kreditkort och andra transaktioner på internet gör det möjligt att kartlägga enskilda personers konsumtionsmönster. Det handlar om stora mängder uppgifter om i stort sett alla människor. Företeelsen är förknippad med risker för bedrägerier och identitetsstölder. Kommittén bedömer därför att det finns allvarliga risker för integri- tetsintrång förknippade med användningen av kreditkort och andra digitala transaktioner. Det bör vidare understrykas att bankernas och kreditmarknads bolagen har fått en roll i arbetet mot bl.a. penningtvätt och mot finansiering av terrorism som innebär ett stort avsteg från principen att endast myndigheter får behandla uppgifter om lagöverträdelser som innefattar brott. I arbetet mot sådan brottslighet finns också en risk att helt oskyldiga personer placeras på olika former av sank- tionslistor, vilket kan få stora konsekvenser för den enskilde. Den enskilde har i praktiken inte heller någon möjlighet att påverka sådana åtgärder. Vid spridning av uppgifter till andra länder tillkommer problemet att det i praktiken inte längre går att kontrollera hur uppgifterna används och i övrigt behandlas. De amerikanska myndigheternas behandling av Swift-transaktionerna är ett exempel på detta. Riskerna i samband med hantering av personuppgifter på grund av olika rapporteringskrav består bl.a. i att uppgiftssamlandet kan påverka helt oskyldiga. Det kan vara svårt att kontrollera uppgifter som lämnats ut internationellt. Men området är reglerat och rimligen drabbas bara ett begränsat antal personer. Kommittén bedömer där- för att det finns påtagliga risker för den personliga integriteten i samband med att banker och kreditmarknadsbolag lämnar ut per- sonuppgifter på grund av olika rapporteringskrav. 16Kronofogdemyndighetens verksamhet, kreditupplysning och inkasso Kommitténs bedömning: Det finns vissa risker för den person- liga integriteten i kronofogdemyndighetens verksamhet. Det föreligger allvarliga risker för den personliga integriteten i kreditupplysningsföretagens verksamhet