prop · H403173 · 2017-04-26 00:00:00 — 2016/17:173 förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). FAR, , Svensk Försäkring och anser att det är oklart hur förslaget förhåller sig till avvikande bestämmelser om bevarande av handlingar och uppgifter i andra lagar Skälen för regeringens förslag: Bestämmelser om behandling av personuppgifter finns i artiklarna 40, 41 och 43 i fjärde penningtvätts- Artikel 40 avser bevarande av handlingar och uppgifter, vilket behandlas i avsnitt 10.2. Av artikel 41.1 följer att behandling av personuppgifter enligt direktivet omfattas av och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet) såsom det är införlivat med nationell rätt. artikel 41.2 får personuppgifter som behandlas av verksamhetsutövare på grundval av direktivet endast ske i syfte att förebygga sådan penningtvätt och finansiering av terrorism och får inte senare behandlas på ett sätt som är oförenligt med dessa syften. Behandling av personuppgifter på grundval av direktivet för något annat ändamål, exempelvis kommersiella ändamål, ska vara förbjuden. I artikel 41.3 finns hänvisning till skyldigheten att informera nya kunder om verksamhets- medlemsstaterna ska anta lagstiftningsåtgärder genom vilka den registrerades rätt att få tillgång till personuppgifter som rör honom eller henne begränsas helt eller delvis. åtgärder av detta slag ska ske för att göra det möjligt för verksamhets- utövare eller nationella myndigheter att fullgöra sina krav enligt direktivet samt för att inte förhindra officiella eller rättsliga utredningar och analyser m.m. som syftar till att förebygga, utreda eller upptäcka finansiering av terrorism. I artikel 43 i direktivet fastslås att behandling av personuppgifter på grundval av direktivet för att förbygga penningtvätt eller finansiering av terrorism ska betraktas som något som är i det allmännas intresse enligt dataskyddsdirektivet. Regeringen konstaterar att direktivets artiklar om personuppgifts- behandling bygger på den grundläggande förutsättningen att verksam- hetsutövare ska kunna behandla personuppgifter på ett sätt som gör det möjligt för dem att uppfylla skyldigheterna enligt direktivet. skydd för behandling av personuppgifter ska inte heller hindra att information lämnas till rättsvårdande myndigheter om de behövs för att utreda och beivra penningtvätt eller finansiering av terrorism. Det anförda innebär, på sätt som följer av gällande rätt (4 kap. penningtvättslagen), att det i vissa avseenden är nödvändigt att avvika från de grundläggande bestämmelserna om information till den registrerade i personuppgiftslagen (1998:204) och att inskränka den lagens tillämpning i fråga om förbud mot behandling av känsliga bestämmelser i penningtvättslagen. Av direktivet följer att det måste säkerställas att dessa avvikelser endast är tillåtna om de sker i syfte att förhindra penningtvätt och finansiering av terrorism. I den nya penningtvättslagen krävs således, i likhet med vad som följer enligt gällande rätt, vissa specialbestämmelser om verksamhetsutövarnas personuppgiftsbehandling. I likhet med vad som följer av gällande rätt (4 kap. 1 § penningtvätts- lagen) bör kapitlet om behandling av personuppgifter inledas med en bestämmelse som klargör att bestämmelserna endast gäller verksamhetsutövares personuppgiftsbehandling som sker med stöd av penningtvättslagen. Bestämmelser som avviker från eller kompletterar personuppgiftslagen som finns i andra författningar påverkas således inte av penningtvättslagens specialreglering. Denna inledande bestämmelse ska även avse personuppgiftsbehandling som sker vid bevarande av handlingar och uppgifter. Därigenom klargörs penningtvättslagens förhållande till avvikande bestämmelser om bevarande av handlingar och uppgifter i andra lagar eller författningar. Ett sådant klargörande efterfrågas av , Lotteriinspektionen, FAR, Mäklarsam- fundet, Svensk Försäkring och . Vidare bör också, enligt regeringens mening, förtydligas att behandling av personuppgifter som sker med stöd av penningtvättslagen endast får ske i syfte att kunna fullgöra skyldigheterna enligt lagen. Därigenom säkerställs att personuppgifter som behandlas med stöd av penningtvättslagen inte behandlas för något annat ändamål. Detta krävs enligt artikel 41.2 i direktivet. Känsliga personuppgifter enligt 13 § personuppgiftslagen får enligt 4 kap. 2 § penningtvättslagen behandlas, om det är nödvändigt för att verksamhetsutövaren ska bedöma om kunden är en person i politiskt utsatt ställning eller en familjemedlem eller känd medarbetare till en sådan person. Känsliga personuppgifter får också behandlas om det krävs för att uppfylla skyldigheten att granska och analysera transaktioner och rapportera misstänkt penningtvätt eller finansiering av terrorism till . Reglering av motsvarande innehåll bör föras in i den nya penningtvättslagen. Av artikel 33.1 a i direktivet följer att verksamhetsutövare ska åläggas att besvara finansunderrättelseenhetens begäran om ytterligare uppgifter när en rapport har lämnats in. Verksamhetsutövaren ska då direkt eller indirekt ge all nödvändig information till finansunderrättelseenheten (jfr avsnitt 9.2). Även vid detta uppgiftslämnande kan verksamhetsutövare vara skyldiga att till lämna ut känsliga personuppgifter som inhämtats i enlighet med kraven i penningtvättslagen. Eftersom ett sådant utlämnande utgör behandling av personuppgifterna, bör bestämmelsen som tillåter behandling av känsliga personuppgifter utökas till att omfatta även denna situation. Regeringen konstaterar vidare att alla uppgifter som inhämtats om kunderna ligger till grund för verksamhetsutövarens bedömning av risken för penningtvätt och finansiering av terrorism som kan förknippas med kunden. Det gäller även känsliga personuppgifter som framkommit vid bedömningen av om kunden är en person i politiskt utsatt ställning eller vid den löpande övervakningen och bedömningen av avvikande aktiviteter eller transaktioner. För tydlighets skull bör därför framgå att fullgör skyldigheten att riskklassificera sina kunder. I 21 § personuppgiftslagen finns ett förbud för andra än myndigheter att behandla personuppgifter om lagöverträdelser. ärende har regeringen bedömt att det är fråga om behandling av personuppgifter om lagöverträdelser när verksamhetsutövaren konstaterat att det föreligger omständigheter som kan tyda på penningtvätt eller finansiering av terrorism (prop. 2014/15:80 s. 43 f.). ansetts gälla vid rapportering av detta förhållande till . I den nämnda propositionen bedömde regeringen dock att bestämmel- serna i 3 kap. 1 § i penningtvättslagen innebär ett undantag från 21 § personuppgiftslagen som gör det möjligt för verksamhetsutövare att behandla uppgifterna i den utsträckning som krävs enligt penningtvätts- Regeringen föreslår nu att det ska införas en bestämmelse som uttryckligen reglerar förhållandet mellan penningtvättslagen och 21 § En uttrycklig reglering förtydligar det nämnda förhållandet och är därutöver nödvändig för att klargöra att även den inledande granskningen av avvikande aktiviteter och transaktioner ska ha regeringen att de europeiska tillsynsmyndigheterna har publicerat ett utkast till riktlinjer om de riskfaktorer som ska beaktas och åtgärder som ska vidtas när förutsättningar för förenklade och skärpta åtgärder för kundkännedom föreligger (JC 2015 061 ). avser de riktlinjer som ska meddelas med stöd av artiklarna 17 och 18.4 i fjärde penningtvättsdirektivet för finansiella institut och kreditinstitut. Dessa riktlinjer ska utan ytterligare åtgärder för ett nationellt genomförande tillämpas av och finansiella institut. Av riktlinjerna framgår att kreditinstitut och finansiella institut vid sin riskklassificering av kunder ska beakta bl.a. uppgifter i media (s.k. adverse media) om att kunden är misstänkt för brott eller förekommer i Verksamhetsutövare förutsätts också beakta att kunden är föremål för ett beslut om frysning av tillgångar till följd av exempelvis misstänkt finansiering av terrorism samt om verksamhets- utövaren har rapporterat kunden för misstänkt penningtvätt eller finansiering av terrorism. Det kan således konstateras att en korrekt tillämpning av direktivet förutsätter att verksamhetsutövare i viss utsträckning kan behandla personuppgifter om lagöverträdelser vid riskklassificeringen av kunder. bör den nya penningtvättslagen göra det möjligt för svenska verksam- hetsutövare att följa de europeiska riktlinjerna. Regeringen anser mot bakgrund av det anförda att det bör införas en ny bestämmelse som klargör att verksamhetsutövare får behandla person- uppgifter om lagöverträdelser i den utsträckning som detta följer av Sådan personuppgiftsbehandling bör vara tillåten vid övervakningen som sker i syfte att upptäcka avvikande aktiviteter och transaktioner, vid bedömning av om avvikelserna innebär misstänkt penningtvätt eller finansiering av terrorism och vid rapportering av sådana misstankar till . Även ett uppgiftslämnande till på myndigheternas begäran kan innebära att Det bör framgå i lagen att sådant utlämnande är tillåtet. Slutligen bör i lagen framgå att personuppgifter om lagöverträdelser får behandlas inom ramen för bedömningen av vilken risk för penningtvätt och finansiering av terrorism som kan förknippas med kunden. Detta krävs enligt det ovan nämnda förslaget till riktlinjer för kreditinstitut och finansiella institut, men följer också av att verksamhetsutövare inte är skyldiga att avsluta en affärsförbindelse när en rapport om misstänkt penningtvätt eller finansiering av terrorism har lämnats till . Att en kund rapporterats till innebär dock i regel att verksamhetsutövare får anledning att göra en ny bedömning av risken för penningtvätt eller finansiering av terrorism som kan förknippas med kunden. En pågående och kontinuerligt uppdaterad riskklassificering av kunden är ett krav som följer av direktivet och den nya penningtvättslagen. Det bör därför inte föreligga några oklarheter i fråga om verksamhetsutövarnas möjligheter att vid denna bedömning beakta det faktum att en kund har rapporterats för misstänkt penningtvätt eller finansiering av terrorism. (Brå) anser att förslaget i denna del riskerar att leda till att verksamhetsutövare behandlar personuppgifter om lagöverträdelser i syfte att upptäcka brott som riktas mot verksamhets- utövaren själv, t.ex. bedrägeri, förskingring eller trolöshet mot huvud- man. Behandlingen av personuppgifter om lagöverträdelser begränsas, i likhet med övrig personuppgiftsbehandling som regleras i penningtvätts- lagen, av bestämmelsen som anger syftet med personuppgiftsbehand- lingen. En behandling av personuppgifterna för annat syfte innebär att behandlingen strider mot personuppgiftslagen, vilket kan medföra skadeståndsskyldighet eller straffansvar enligt 48 och 49 §§ personuppgiftslagen. Det bör vidare beaktas att den föreslagna bestämmelsen om behandling av personuppgifter om lagöverträdelser i till stor del endast innebär ett förtydligande av det rättsläge som ansetts föreligga även utan sådan särskild reglering (jfr prop. 2014/15:80s. 43 f.). De farhågor som Brå uttrycker ger sammantaget inte anledning att avstå från den föreslagna bestämmelsen. Svensk Försäkring och efterfrågar en ändring i penningtvättslagen som möjliggör kontroller mot s.k. sanktionslistor. Regeringen har i tidigare lagstiftningsärenden konstaterat att i den mån uppgifterna i sådana listor rör lagöverträdelser bör frågan hanteras av Datainspektionen (prop. 2008/09:70 s. 140–142 och prop. 2014/15:80 s. 44). Det kan vidare konstateras att kontroller mot sanktionslistor inte är nödvändiga för att verksamhetsutövare ska kunna fullgöra sina skyldigheter enligt direktivet eller den föreslagna penningtvättslagen. Eventuella skyldigheter att göra sådana kontroller grundas på krav i andra författningar. Kontroller mot sanktionslistor nämns inte heller som ett normalt förekommande led i riskbedömningen av kunden i de europeiska tillsynsmyndigheternas förslag till riktlinjer (JC 2015 061 ). Utredningen har övervägt frågan och gjort samma bedömning som regeringen i de tidigare lagstiftningsärendena. Det finns sammantaget inte tillräckligt underlag att föreslå en ny reglering avseende kontroller mot sanktionslistor inom ramen för detta lagstiftningsärende. Av artikel 41.4 i direktivet följer att medlemsstaterna ska lagstiftningsåtgärder genom vilka den registrerades rätt att få tillgång till personuppgifter som rör honom eller henne begränsas helt eller delvis. Proportionerliga och nödvändiga åtgärder av detta slag ska ske för att göra det möjligt för verksamhetsutövare eller nationella myndigheter att fullgöra sina krav enligt direktivet samt för att inte förhindra officiella eller rättsliga utredningar och analyser m.m. som syftar till att förebygga, utreda eller upptäcka penningtvätt eller finansiering av terrorism. Av gällande rätt (4 kap. 3 § penningtvättslagen) följer att besked om att 3 kap. 1 § meningen inte får lämnas ut till de registrerade. behandling som omfattas av undantaget är den analys som ska genomföras för att avgöra om en transaktion ingår som ett led i penningtvätt eller finansiering av terrorism samt rapportering av misstankar om sådan brottslighet till . med motsvarande innehåll bör finnas i den nya penningtvättslagen. påpekar finns i artikel 39.1 i direktivet ett förbud som innebär att verksamhetsutövare inte får röja för kunden att uppgifter vidarebefordrats enligt artiklarna 33 och 34 i direktivet. både det spontana uppgiftslämnandet till och det uppgiftslämnande som sker på begäran. påpekar måste detta förbud mot att röja att uppgifter lämnats få genomslag även i bestämmelsen om undantag från skyldigheten att lämna uppgifter till den registrerade. uppkommer två oförenliga skyldigheter för verksamhetsutövare enligt Detta bör undvikas genom att undantaget från att lämna information till de registrerade utsträcks till personuppgifts- behandling som sker vid utlämnande av uppgifter på begäran av I 4 kap. 4 § penningtvättslagen finns ett förbud som innebär att en verksamhetsutövares register inte får samköras med motsvarande register hos någon annan (verksamhetsutövare). Det register som här avses (4 kap. 3 § i lydelse före ). Registret fick enligt den aktuella paragrafen föras för att förhindra penningtvätt och finansiering av terrorism och för att kunna uppfylla skyldigheten att rapportera misstänkt penningtvätt och finansiering av terrorism till Polismyndig- I registret fick förekomma vissa identitetsuppgifter, kontonummer eller motsvarande samt de övriga uppgifter som framkommit vid granskning och rapportering av misstänkta transaktioner. förekom således i huvudsak uppgifter om personer som verksamhets- utövaren granskat eller rapporterat för misstänkt penningtvätt eller finansiering av terrorism. Motsvarande register får allt jämt föras enligt bestämmelserna om tillåten personuppgiftsbehandling i syfte att motverka penningtvätt och finansiering av terrorism i 4 kap. penning- Samkörningsförbudet som gäller gentemot annan innebär att det inte är tillåtet att samköra uppgifter i register som finns hos olika företag inom I ett tidigare lagstiftningsärende bedömde regeringen att det inte fanns något krav på att möjliggöra samkörning av register inom koncerner direktiv och att det därför saknades tillräckliga skäl att tillåta sådan samkörning (prop. 2008/09:70 s. 145). Fjärde penningtvättsdirektivet innebär delvis nya krav i detta avseende. Av artikel 39.1 och 39.3 i direktivet följer sammanfattningsvis att det inte får uppställas ett förbud mot att dela vissa uppgifter inom kreditinstitut och finansiella institut eller inom koncerner och filialer, belägna inom eller utanför EES. De uppgifter som ska kunna delas avser att en kund har eller ska rapporteras för misstänkt penningtvätt eller finansiering av terrorism eller att en analys avseende penningtvätt eller finansiering av terrorism pågår eller kan komma att utföras. Det rör sig således om sådana uppgifter som förekommer i de register som omfattas av samkörningsförbudet. Därutöver anges i artikel 45.1 att det ska finnas rutiner och riktlinjer för bl.a. ett effektivt informationsutbyte inom koncerner för att bekämpa penningtvätt eller finansiering av terrorism. Enligt artikel 45.8 ska medlemsstaterna se till att informationsutbytet inom koncernen tillåts. Information om misstankar om att medel utgör av brottslig handling eller har koppling till finansiering av terrorism ska utbytas inom koncernen, om finansunderrättelseenheten inte anger något annat. Regeringen bedömer att samkörningsförbudet i gällande rätt innebär att ett effektivt informationsutbyte inom koncerner eller mellan filialer förhindras. Förbudet är således inte förenligt med artiklarna 39, 45.1 och 45.8 i direktivet. Enligt regeringens mening ska det vara tillåtet för verksamhetsutövare som ingår i samma koncern samt verksamhets- utövare som bedriver gränsöverskridande verksamhet via filial att samköra sina register. Det föreslås att detta undantag från samkörnings- förbudet begränsas till kreditinstitut och finansiella institut, som bedöms har störst behov av samköring, och att samkörning med dotterföretag eller filialer utanför EES endast ska vara tillåtet om tredjelandets lagstiftning avseende penningtvätt och finansiering av terrorism motsvarar kraven direktivet, inbegripet krav på tillsyn. Samkörning föreslås vidare endast kunna ske om det är tillåtet enligt hemvistlandets lag. Regeringen bedömer att förslaget innebär en rimlig avvägning mellan direktivets krav på effektivt informationsutbyte och skyddet för enskildas personliga integritet och anser därför att det bör genomföras. I 4 kap. 5 § penningtvättslagen anges att när personuppgifter behandlas enligt 4 kap. penningtvättslagen ska bestämmelserna i 28 och 48 §§ personuppgiftslagen tillämpas. Denna bestämmelse bör föras in i den nya penningtvättslagen. I 4 kap. 6 § regleras tystnadsplikt som rör viss personuppgifts- behandling enligt penningtvättslagen. Bestämmelsen innebär att den som är verksam hos en verksamhetsutövare inte obehörigen får röja att känsliga personuppgifter behandlas eller att analys av misstänkta transaktioner och rapportering av sådana transaktioner sker till . Detta bör gälla även i fortsättningen. Med anledning av att det föreslås en reglering som uttryckligen reglerar behandling av personuppgifter om lagöverträdelser bör tystnadsplikten utökas till obehörigt röjande av att sådana uppgifter behandlas. Som Polismyndig- heten påpekar innebär artikel 39.1 i direktivet att det är nödvändigt att låta personuppgiftsbehandling som sker vid utlämnande av uppgifter på begäran omfattas av tystnadsplikten. 2016/17:173 klargör detta förhållande bör således föras in i den nya penningtvätts- lagen. I likhet med vad som följer av gällande rätt ska ansvar enligt 20 kap. 3 § inte följa för den som bryter mot tystnads- plikten. FORUM – Idéburna organisationer med social inriktning och Svensk Försäkring berör frågan om hur förslaget förhåller sig till den allmänna dataskyddsförordningen. Fjärde penningtvättsdirektivet vilar på dataskyddsdirektivet. ska emellertid den allmänna data- skyddsförordningen börja tillämpas vilken ersätter dataskyddsdirektivet och personuppgiftslagen, som genomför dataskyddsdirektivet i . Anpassningen till dataskyddsförordningen kommer att ses över i särskild ordning inom departementet. Någon anpassning till dataskyddsförord- ningen bör därför inte genomföras inom ramen för detta lagstiftnings- ärende. anser att det bör framgå att även myndigheter ska få behandla personuppgifter vid underrättelse till . Regeringen bedömer i likhet med att detta är en förutsättning för att rapportering ska kunna ske. Det saknas dock möjlighet att analysera myndigheternas möjligheter att behandla personuppgifter inom ramen för detta lagstiftningsärende. En sådan översyn får således anstå. Bevarande av handlingar och uppgifter Regeringens förslag: Bestämmelserna om bevarande av handlingar och uppgifter i den nuvarande penningtvättslagen ska med redaktio- nella ändringar föras över till den nya penningtvättslagen. från den nuvarande penningtvättslagen ska handlingar och uppgifter som huvudregel bevaras och bara om det är nödvändigt för att förebygga, upptäcka eller utreda penningtvätt eller finansiering av Bevarande av handlingar och uppgifter ska kunna ske i som längst . Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om hur handlingar och uppgifter ska bevaras samt förutsättningarna under vilka verksamhetsutövare ska bevara handlingar och uppgifter än . Regeringens bedömning: Möjligheten för medlemsstaterna enligt artikel 40.2 i fjärde penningtvättsdirektivet att för vissa rättsliga förfaranden rörande penningtvätt eller finansiering av terrorism som pågick införa särbestämmelser om bevarande av information och handlingar bör inte genomföras. Utredningens förslag och bedömning överensstämmer i huvudsak med regeringens förslag och bedömning. från regeringens förslag genom att det saknas en uttrycklig skyldighet att bevara uppgifter om transaktioner. Remissinstanserna: Flertalet remissinstanser tillstyrker förslaget och bedömningen eller har inget att invända mot dem. anser att det är oklart om förslaget är begränsat till nya handlingar och uppgifter eller om det också gäller befintliga handlingar eller uppgifter. anser att förutsättningarna för att bevara Prop. 2016/17:173 handlingar och uppgifter är oklara. Skälen för regeringens förslag och bedömning Direktivet och gällande rätt Bestämmelser om bevarande av handlingar eller uppgifter finns i artikel 40 i fjärde penningtvättsdirektivet. Medlemsstaterna ska kräva att verksamhetsutövare lagrar vissa handlingar och uppgifter i enlighet med nationell rätt för att finansunderrättelseenheten eller andra behöriga myndigheter ska kunna förebygga, upptäcka och utreda möjlig penningtvätt eller finansiering av terrorism (artikel 40.1 första stycket). Bevarandet ska, när det gäller åtgärder för kundkännedom, avse en kopia av de dokument och uppgifter som är nödvändiga för att uppfylla kraven som fastställs i fråga om åtgärder för kundkännedom i kapitel II, för en period efter det att affärsförbindelsen med kunden har upphört eller efter den dag då en enstaka transaktion utfördes (artikel 40.1 a). Därutöver ska styrkande handlingar och registreringar av transaktioner i form av originalhandlingar eller i rättsliga förfaranden godkända kopior enligt tillämplig nationell rätt, vilka behövs för att identifiera transaktioner, bevaras för en period efter det att affärsför- bindelsen med kunden har upphört eller efter den dag då en enstaka transaktion utfördes (artikel 40.1 b). Efter utgången av de lagringstider som avses i första stycket, ska medlemsstaterna se till att ansvariga enheter förstör personuppgifter, såvida inte annat föreskrivs i nationell rätt, vilket ska avgöra under vilka omständigheter ansvariga enheter därefter får eller ska lagra uppgifter (artikel 40.1 andra stycket). Medlemsstaterna får tillåta eller kräva att uppgifterna lagras längre, efter att ha gjort en grundlig bedömning av huruvida en sådan ytterligare lagring är nödvändig och proportionell och bedömer att den är nödvändig för att förebygga, upptäcka eller utreda penningtvätt eller finansiering av terrorism. Den ytterligare lagringstiden ska inte överstiga en period (artikel 40.1 andra stycket). Bestämmelser om bevarande av handlingar eller uppgifter finns i 2 kap. 13 § och 3 kap. 1 b § penningtvättslagen. En verksamhetsutövare ska enligt 2 kap. 13 § bevara handlingar och uppgifter om åtgärder som vidtagits för att uppnå kundkännedom.