sou · H4B38 · 2016-02-01 00:00:00 — Enligt utredningen kan detta åstadkommas genom att det i lagtexten kommer till uttryck att det inte är ett obehörigt röjande av uppgift att en kund direkt eller indirekt får kännedom om att en gransk- ning har genomförts eller att uppgifter har lämnas eller att en under- sökning utförts eller kan komma att utföras, när ett sådant röjande inte kan undvikas till följd av verksamhetsutövarens i denna lag angivna skyldigheter att avstå transaktioner, att avstå från att inleda en affärsförbindelse eller plikt att avsluta en sådan affärsförbindelse. Genom en särskild bestämmelse i 7 kap. 1 § i nu gällande penning- tvättslag kan den som uppsåtligen eller av grov oaktsamhet bryter mot meddelandeförbudet i 3 kap. 4 § dömas till böter. Utform- ningen av bestämmelsen i 3 kap. är sådan att ansvar inte bara ska kunna utkrävas av en fysisk person som är verksamhetsutövare eller, om verksamhetsutövaren är en juridisk person, är styrelseledamot, utan också av anställda. När bestämmelsen infördes uttalade regeringen5 att det måste beaktas att det rör sig om överträdelser av administrativa regler vilka syftar till att penningtvättslagens föreskrifter ska efterlevas. ”Straff- värdet för sådana förseelser torde enligt regeringens mening inte vara så högt att fängelse bör ingå i straffskalan”. Den utredning som föregick införandet av bestämmelsen hade föreslagit att påföljden skulle kunna bestämmas till böter eller fängelse upp till sex måna- der. Bestämmelsen har den har funnits aldrig tilläm- pats i den meningen att den skulle ha lett till strafföreläggande eller dom. Det kan naturligtvis mot den bakgrunden ifrågasättas om bestämmelsen behövs. 5 Se prop. 1998/99:19 s. 63. Granskning och rapportering m.m. Utredningen anser dock att en bestämmelse om tystnadsplikt som, när den överträds, inte på ett naturligt sätt kan förväntas blir föremål för arbetsrättsliga åtgärder eller skadestånd måste förenas med någon form av sanktion. Läckage av uppgifter om att en viss verksamhetsutövare är föremål för särskild uppmärksamhet kan ligga i såväl verksamhetsutredarens intresse som i en anställds intresse. Det är därför inte säkert att den anställde skulle bli föremål för arbetsrättsliga åtgärder. Att granskningar och rapporter till Polis- myndigheten (Finanspolisen) hålls hemliga är främst är nödvändigt för att inte försvåra upptäckt och utredning av brott men är också betingat av intresset av att skydda personer som förekommer i mate- rialet. Det är i och för sig möjligt att en berörd person, vars upp- gifter avslöjats, skulle resa skadeståndsanspråk mot verksamhets- utövaren. En överträdelse som försvårar möjligheterna att utreda ett misstänkt brott kan däremot inte utgöra grund för skadestånd. Det är därför nödvändigt att förena bestämmelsen om tystnads- plikt med någon form av sanktion. För att möjliggöra att även anställda generellt ska kunna bli föremål för en sanktion är det inte tillräckligt med de administrativa sanktioner som har införts och föreslås införas. Utredningen anser därför att en straffrättslig sank- tion är nödvändig. Bestämmelsen om tystnadsplikt är avsedd att skydda vitala sam- hällsintressen. Det är inte endast en fråga om att upprätthålla admi- nistrativa regler i penningtvättslagen. Utredningen anser därför att en överträdelse av tystnadsplikten ska kunna bestraffas med tillämp- ning av bestämmelsen om brott mot tystnadsplikt i 20 kap. 3 § . Utredningen föreslår därför att den nuvarande straff- bestämmelsen i penningtvättslagen inte överförs till den nya pen- ningtvättslagen. Det är inte nödvändigt att i en bestämmelse om tystnadsplikt upplysa om att bestämmelsen om brott mot tystnads- plikt ska tillämpas vid en överträdelse. Utredningen föreslår dock, av pedagogiska skäl, att den föreslagna bestämmelsen om tystnads- plikt i föreslagna 4 kap. 10 § kompletteras med en erinran om ansvar för den som bryter mot tystnadsplikten i första stycket finns i 20 kap. 3 § . Det innebär att den som överträder tystnadsplikten uppsåtligen eller av oaktsamhet kan dömas till böter, eller om gärningen begås med uppsåt, fängelse i högst . Granskning och rapportering m.m. Utredningens förslag: Bestämmelserna om dispositionsförbud överförs oförändrade från den befintliga lagen. Med anledning av att lagens tillämpningsområde utvidgas till att omfatta situa- tioner där en brottslig gärning ännu inte ägt rum, men där han- tering av egendom ingår som ett led i en påbörjad brottsplan, införs ett undantag som tydliggör att dispositionsförbud inte är möjligt i en sådan situation. Bestämmelser om dispositionsförbud i penningtvättslagen infördes och ändrades senast genom en lagändring som trädde i kraft . Det har inte kommit fram något behov av att förändra eller förbättra detta regelverk. Bestämmelserna bör därför överföras oförändrade från den befintliga lagen och placeras i kapitlet som rör granskning och rapportering m.m. Ett dispositionsförbud syftar till att utgöra ett kortvarigt för- stadium till ett straffprocessuellt tvångsmedel. Syftet med åtgärden är att kunna ingripa redan innan det föreligger en brottsmisstanke som är tillräcklig för att inleda förundersökning, vilket är en förut- sättning för att få besluta om tvångsmedel enligt . I 1 kap. 1 § föreslås att även sådana åtgärder med egendom som är ägnade att dölja att någon, genom fullföljande av en påbörjad brottsplan, avser att berika sig genom brottslig handling ska jämställas med penningtvätt vid tillämpning av lagen. Denna situation avser således att träffa situationer där egendom inte härrör från ett brott, men där egendomen vid brottsplanens fullbordande kommer att ha varit föremål för brott. I det skede som en verksamhetsutövare rap- porterar misstanke om denna situation har något brott ännu inte skett och tidpunkten för brottets fullbordan kan ligga relativt lång fram i tiden. Syftet med att även låta dessa situationer omfattas av lagens tillämpningsområde är, som framgått i avsnitt 9.2.3, att bidra till ett ökat underrättelseunderlag för och före- bygga brott, genom att verksamhetsutövare åläggs att rapportera och i förekommande fall avstå från att genomföra transaktioner. Om och Säkerhetspolisen tilläts meddela be- slut om dispositionsförbud även beträffande sådan egendom skulle dispositionsförbudet kunna utsträckas . Enligt utred- ningens bedömning är det därför inte proportionerligt eller annars Granskning och rapportering m.m. lämpligt att utsträcka och Säkerhetspolisens möj- ligheter att besluta om dispositionsförbud i dessa nya situationer. Detta bör tydliggöras genom ett tydligt undantag i anslutning till bestämmelserna om dispositionsförbud. 14Behandling av personuppgifter och bevarande av handlingar m.m. I ingressen till det fjärde penningtvättsdirektivet konstateras att vissa aspekter av direktivets genomförande inbegriper insamling, analys, lagring och utbyte av uppgifter.1 Behandling av personupp- gifter är alltså ett nödvändigt inslag för att en verksamhetsutövare ska kunna uppfylla kraven enligt direktivet. Behandling av personuppgifter aktualiseras i flera skeden av verk- samhetsutövarens arbete. Det krävs t.ex. personuppgiftsbehandling när kunden kontrolleras vid etableringen av en affärsförbindelse eller utförandet av en enstaka transaktion. Även vid uppföljningen av en affärsförbindelse krävs personuppgiftsbehandling. Behandling av personuppgifter blir vidare aktuellt vid granskning och rappor- tering av kundens aktiviteter. I detta kapitel går utredningen igenom sina överväganden och förslag när det gäller frågor om behandling av personuppgifter. Be- handling av personuppgifter föreslås omfattas av kapitel 6 i den nya lagen. Fatfs rekommendationer och det fjärde penningtvättsdirek- tivet ställer vidare vissa krav på bevarande av handlingar och upp- gifter. Även dessa krav, som föreslås ingå i kapitel 5 i den nya lagen, behandlas. 1 Se beaktandesats (42). Behandling av personuppgifter och bevarande av handlingar m.m. 14.2.1Utgångspunkter enligt det fjärde penningtvättsdirektivet Om man i grova drag ska beskriva den unionsrättsliga regleringen av personuppgiftsbehandling kan konstateras att det s.k. dataskydds- direktivet2 är basen. Dataskyddsdirektivet är den unionsrättsliga akt som generellt reglerar personuppgiftsbehandling. Direktivet bygger på principen att personuppgifter får behandlas endast om den regi- strerade samtycker till det eller om behandlingen är nödvändig för att t.ex. fullgöra en rättslig skyldighet eller för att tillgodose ett allmänt intresse. Det fjärde penningtvättsdirektivet omfattar, till skillnad mot sina föregångare, vissa bestämmelser som uttryckligen gäller behand- ling av personuppgifter. Dessa bestämmelser omfattas av artik- larna 41 och 43. Av dessa artiklar framgår tydligt att penningtvätts- direktivet ska läsas i ljuset av dataskyddsdirektivet. I artikel 43 uttalas t.ex. att behandling av personuppgifter på grundval av pen- ningtvättsdirektivet för att förebygga penningtvätt och finansiering av terrorism ska betraktas som något som är i det allmännas intresse enligt dataskyddsdirektivet. Artikel 41 kan beskrivas som en förädling av bestämmelserna i dataskyddsdirektivet – i den mening att den särskilt talar om hur personuppgifter får behandlas för att förhindra penningtvätt och finansiering av terrorism. Av artikel 41.2 följer att personuppgifter ska behandlas av verk- samhetsutövare endast i syfte att förebygga penningtvätt och finan- siering av terrorism. Personuppgifter får inte behandlas på ett sätt som är oförenligt med penningtvättsdirektivets syfte. Behandling av personuppgifter för något annat ändamål, såsom t.ex. kommer- siella ändamål, ska t.ex. vara förbjuden. I artikel 41.3 stadgas att verksamhetsutövare ska ge nya kunder viss information om personuppgiftsbehandlingen innan en affärs- förbindelse etableras eller en enstaka transaktion utförs. Den infor- mationen ska, förutom vad som följer av dataskyddsdirektivet, bl.a. 2 och rådets direktiv /46/EG av om skydd för enskilda med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter. Behandling av personuppgifter och bevarande av handlingar m.m. innehålla ett allmänt meddelande om verksamhetsutövarens rätts- liga skyldigheter enligt penningtvättsdirektivet. Artikel 41.4 är ett avsteg från informationsskyldigheten. Genom bestämmelsen åläggs medlemsstaterna att, om det bedöms nödvän- digt, helt eller delvis, begränsa den registrerades rätt att ta del av uppgifter i vissa fall. Detta för att göra det möjligt för verk- samhetsutövaren eller behörig myndighet att på ett korrekt sätt fullgöra sina skyldigheter enligt direktivet. En annan orsak till varför tillgången till personuppgifterna bör begränsas är för att inte hindra officiella eller rättsliga utredningar, analyser, förundersökningar eller förfaranden. Artikeln tar sikte på dels de situationer då den registrerade är föremål för rapportering till finansunderrättelse- enheten, dels då en analys avseende penningtvätt eller finansiering av terrorism pågår eller kan komma att utföras. Utredningens förslag: Huvuddragen i nuvarande 4 kap. penning- tvättslagen förs in i den nya lagen. Den nya penningtvättslagen ska dock beskriva ändamålet med verksamhetsutövares personuppgiftsbehandling på ett annat sätt. I en särskild bestämmelse anges att verksamhetsutövararen får behandla personuppgifter i syfte att kunna fullgöra sina skyl- digheter. Vid behandlingen av personuppgifter ska personupp- giftslagen (1998:204) tillämpas om något annat inte anges. Vidare införs bestämmelser som möjliggör viss samkörning register mellan verksamhetsutövare som är att anse som kredit- institut och finansiella institut. Penningtvättslagens företräde framför 21 § personuppgifts- lagen klargörs. En särskild bestämmelse införs. Av denna fram- går att en verksamhetsutövare får behandla personuppgifter om lagöverträdelser om det är nödvändigt för att uppfylla gransk- nings- och rapporteringsskyldigheten enligt föreslagna 4 kap. 1 och 2 §§. Tystnadsplikten utvidgas till att även omfatta förbud mot att obehörigen röja att uppgifter om lagöverträdelser behandlas. Behandling av personuppgifter och bevarande av handlingar m.m. Det kan till en början konstateras att dataskyddsdirektivet i svensk rätt är genomfört genom personuppgiftslagen (1998:204). Person- uppgiftslagen gäller för all behandling av personuppgifter, såtillvida det inte finns bestämmelser som avviker i annan lag eller förord- ning (se 2 §). Lagen gäller för sådan behandling av personuppgifter som är helt eller delvis automatiserad. Lagen gäller också för annan behandling av personuppgifter, om uppgifterna ingår i eller är av- sedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kri- terier (s.k. register). Av 10 § följer att personuppgifter får behandlas om den registrerade har lämnat sitt samtycke till behand- lingen eller om behandlingen är nödvändig för att den person- uppgiftsansvarige ska kunna fullgöra en rättslig skyldighet, vitala intressen för den registrerade ska kunna skyddas eller en arbets- uppgift av allmänt intresse ska kunna tillgodoses, om detta intresse väger tyngre än den registrerades intresse av skydd för den per- sonliga integriteten. Personuppgiftslagen kan och ska tillämpas i de allra flesta fall när det gäller en verksamhetsutövares behandling av personupp- gifter.3 Genom personuppgiftslagen ges verksamhetsutövare flera rättsliga möjligheter att behandla personuppgifter i syfte att före- bygga penningtvätt och finansiering av terrorism. Om verksamhetsutövare enbart hade haft personuppgiftslagen att tillgå skulle det emellertid vara svårt att uppfylla kraven i penningtvättslagen. I tidigare förarbeten har tvärtom konstateras att personuppgiftslagen innehåller bestämmelser som utgör hinder mot att leva upp till skyldigheterna enligt penningtvättsreglering- en.4 Enligt 13 § personuppgiftslagen är det t.ex. förbjudet att be- handla personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlem- skap i en fackförening. Undantag från detta förbud att behandla s.k. känsliga personuppgifter finns, bl.a. för den situationen att den registrerade har lämnat sitt uttryckliga samtycke till behandlingen eller på ett tydligt sätt offentliggjort uppgifterna. Dessa undantag är dock inte tillräckliga för att en verksamhetsutövare ska kunna fullgöra samtliga sina skyldigheter enligt penningtvättslagen. 2014/15:80, s. 41. 4Ibid., s. 42–43. Behandling av personuppgifter och bevarande av handlingar m.m. verksamhetsutövare måste t.ex. få behandla vissa känsliga person- uppgifter för att kunna ta reda på om kunden eller den verkliga huvudmannen är en person i politiskt utsatt ställning. Det kan också vara nödvändigt att behandla känsliga personuppgifter för att upp- fylla uppgifts- och granskningsskyldigheten. I syfte att möjliggöra för verksamhetsutövare att fullgöra sina skyldigheter har det därför tagits in särskilda bestämmelser i penningtvättslagen, som avviker från personuppgiftslagen. Dessa bestämmelser finns intagna i nuvarande kap. 4. Bestämmelserna i 4 kap. penningtvättslagen kom- pletterar personuppgiftslagen. Förutom behandling av känsliga per- sonuppgifter omfattar kapitlet viss särreglering när det gäller infor- mation till den registrerade (3 §), en bestämmelse om samkörnings- förbud (4 §), regler som gäller rättelse och skadestånd (5 §) samt bestämmelser om tystnadsplikt (6 §). Personuppgiftslagen och penningtvättslagen ger således tillsam- mans verksamhetsutövaren det rättsliga stödet för att få behandla personuppgifter. Enligt utredningens bedömning är den befintliga lagstiftningen i stort förenlig med penningtvättsdirektivets reg- lering av personuppgiftsbehandling. Utgångspunkten – att en verk- samhetsutövare måste ha möjlighet att behandla personuppgifter för att förebygga penningtvätt och finansiering av terrorism – är alltså i mångt och mycket tillgodosedd. Flera av bestämmelserna i den nuvarande lagen kan därför föras över oförändrade till den nya regleringen. Enligt utredningens bedömning finns det dock skäl att i den nya penningtvättslagen klargöra och förtydliga vissa förhåll- anden. Vidare finns det anledning att föreslå vissa förändringar. Nedan följer en genomgång av utredningens överväganden och de lagstiftningsåtgärder som bedömts vara nödvändiga. Tydligare utgångspunkter för personuppgiftsbehandling i penningtvättslagen behandlas ändamålet med en verksamhetsutövares be- handling av personuppgifter i 4 kap. 1 § penningtvättslagen. Av bestämmelsen följer, mer specifikt, att 4 kap. penningtvättslagen ska tillämpas när verksamhetsutövare behandlar personuppgifter i syfte att förhindra att verksamheten utnyttjas för penningtvätt och finansiering av terrorism. Där anges också att personuppgiftslagen Behandling av personuppgifter och bevarande av handlingar m.m. gäller vid verksamhetsutövarens behandling av personuppgifter, om något annat inte anges i kapitlet. Enligt utredningens bedömning är innebörden av bestämmelsen inte helt entydig. I den beredning som föregick det nuvarande 4 kap. anmärkte även Lagrådet mot bestämmelsens utformning.5 Lagrådet konstaterade bl.a. att en bestämmelse som tydligt angav ändamålet med verksamhetsutövares personuppgiftsbehandling sak- nas. I avsikt att ge verksamhetsutövare tydliga utgångspunkter när det gäller behandling av personuppgifter föreslår utredningen en något förändrad bestämmelse. Samtliga verksamhetsutövarens skyl- digheter enligt penningtvättslagen – dvs. att genomföra kund- kontroller, granskning och rapportering, bevara uppgifter m.m. – syftar till att förhindra penningtvätt och finansiering av terrorism. Verksamhetsutövare måste således få behandla personuppgifter i syfte att kunna fullgöra de skyldigheter som följer av penning- tvättslagen. Den föreslagna bestämmelsen syftar till att klargöra detta. Vid behandlingen bör i första hand personuppgiftslagen tillämpas, om något annat inte anges i penningtvättslagen. Person- uppgiftslagen och penningtvättslagen ska alltså, fortsättningsvis, möjliggöra för verksamhetsutövare att fullgöra sina skyldigheter. Behandling av personuppgifter som avser lagöverträdelser I 21 § personuppgiftslagen regleras behandling av personuppgifter som gäller lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövan- den. Sådana personuppgifter är visserligen inte att betrakta som känsliga personuppgifter. Enligt personuppgiftslagen är behandling av personuppgifter som avser lagöverträdelser som huvudregel för- behållen myndigheter. Datainspektionen får sedan meddela före- skrifter om undantag från förbudet eller i enskilda fall besluta om undantag från förbudet. I tidigare lagstiftningsarbeten har uttalats att det kan vara nöd- vändigt för en verksamhetsutövare att behandla personuppgifter som avser lagöverträdelser. Verksamhetsutövare är skyldiga att 5 Se bl.a. prop. 2014/15.80, s. 44. Behandling av personuppgifter och bevarande av handlingar m.m. granska transaktioner och andra aktiviteter för att kunna upptäcka penningtvätt och finansiering av terrorism. Vid den granskningen kan det visa sig att transaktionerna eller aktiviteterna avviker i sådan mån att en närmare analys krävs. Om den närmare analysen innebär att misstanke om penningtvätt eller finansiering av terrorism föreligger ska uppgifter om detta lämnas till Polis- myndigheten (Finanspolisen). Kravet på att verksamhetsutövaren ska göras en närmare analys av omständigheter som kan tyda på penningtvätt eller finansiering av terrorism – och rapportera in sådana misstankar till Polismyn- digheten – är en avvikelse från 21 § personuppgiftslagen. Bestäm- melsen i penningtvättslagen innebär i realiteten en skyldighet för verksamhetsutövare att behandla uppgifter om att en person kan misstänkas ha begått brott. I tidigare lagstiftningsärenden har det följaktligen uttalats att penningtvättslagen går före personuppgifts- lagen i detta avseende.6 Någon uttrycklig bestämmelse som reglerar penningtvättslagens förhållande till 21 § personuppgiftslagen har inte ansetts vara nöd- vändig. Utredningen delar uppfattningen att penningtvättslagen, i det fall som behandlats ovan, gäller framför 21 § personuppgiftslagen. Enligt utredningens mening bör dock detta kunna utläsas på ett tydligare sätt. Dessutom anser utredningen att även den inledande granskningen av aktiviteter bör ha företräde framför personupp- giftslagen när det gäller uppgifter om lagöverträdelser. De två bestämmelserna som reglerar granskning och rappor- tering finns i 4 kap. 1 och 2 §§ i utredningens förslag till penning- tvättslag. Bestämmelserna beskriver en process som, när det finns fog för det, avslutas genom att en rapport om misstänkt penning- tvätt eller finansiering av terrorism lämnas till . Den granskning som sker enligt 4 kap. 1 § är visserligen av generell karaktär7 men innebär att uppgifter om transaktioner och andra förhållanden som rör kundförhållandet behandlas. Bland dessa upp- gifter kan finnas sådana som sedda var för sig eller tillsammans kan indikera en misstanke om ett bakomliggande eller förestående brott. Under granskningsfasen kan var och en av uppgifterna innebära 2014/15:80, s. 43. 2014/15:80 s. 44. Behandling av personuppgifter och bevarande av handlingar m.m. inga eller endast vaga tecken på brottslig verksamhet och därmed en därav följande lika svag anknytning till någon person. Det skulle därför kunna göras gällande att verksamhetsutövaren på detta sta- dium inte behandlar några personuppgifter som avser lagöverträd- elser. Granskningen, som bl.a. innebär att uppgifter för bedömning presenteras tillsammans, syftar emellertid till att urskilja förhållan- den som kan ge upphov till misstankar. I vissa fall kommer således sambandet mellan en person och ett visst förhållande som indikerar brottslig aktivitet vara tydligare. Det är nu som iakttagelserna ska föranleda en särskild analys enligt 4 kap. 2 §. Analysen tillför nor- malt ingen ytterligare information angående sakförhållandena utan innebär att en sammanställning görs av kända förhållanden som förenas med en bedömning av betydelsen av iakttagelserna. Ana- lysen dokumenteras och utgör sådan information som också ska bevaras. Det innebär att verksamhetsutövaren måste tillåtas behandla personuppgifter som, även om de under det inledande gransknings- skedet kan vara mycket vaga, i någon mening kan anses utgöra uppgifter om lagöverträdelser som innefattar brott, under hela pro- cessen som omfattas av de två paragraferna. Utredningen föreslår sammanfattningsvis att en särskild bestäm- melse införs i penningtvättslagen som reglerar lagens företräde framför personuppgiftslagen vad avser uppgifter om lagöverträd- elser. Av bestämmelsen bör framgå att en verksamhetsutövare får behandla personuppgifter om lagöverträdelser om det är nödvän- digt för att uppfylla gransknings och rapporteringsskyldigheten enligt föreslagna 4 kap. 1 och 2 §§ samt för att bevara dessa hand- lingar. Bestämmelsen kan med fördel föras i anslutning till de övriga bestämmelser som avser reglera verksamhetsutövares person- uppgiftsbehandling. En särskild fråga är i vilken utsträckning en verksamhetsutövare har möjlighet att göra kontroller mot s.k. sanktionslistor. Även sådana kontroller kräver behandling av personuppgifter som avser lagöverträdelser. För en verksamhetsutövare kan det vara aktuellt att genomföra sådana kontroller i andra skeden än vid den analys och rapportering som avses ovan. Enligt utredningens mening bör dock inte penningtvättslagen generellt ges företräde framför 21 § personuppgiftslagen. Detta betyder att utredningen anser att per- sonuppgiftslagen bör vara tillämplig i de andra skeden som en Behandling av personuppgifter och bevarande av handlingar m.m. verksamhetsutövare genomför kontroller mot sanktionslistor.