prop · H503142 · 2018-03-13 00:00:00 — Det är tänkbart att även andra av undantagen i artikel 9 efter omständig- heterna kan vara tillämpliga på finansmarknadsområdet. Vissa av undan- tagen, t.ex. det i artikel , hänvisar till nationell rätt. 2017/18:105 är det uppenbart att det för detta undantag krävs ett annat stöd i rättsordningen, utöver det som dataskyddsförordningen ger (s. 75). Förslagen i propositionen Ny dataskyddslag 2017/18:105 föreslår regeringen att det i den nya dataskyddslagen ska anges vissa generella undantag från förbudet att behandla känsliga personuppgifter, bl.a. för att möjliggöra behandling med hänsyn till viktiga allmänintressen (dvs. ett utflöde av artikel i dataskydds- Där föreslås i det avseendet bl.a. att myndigheter ska få behandla känsliga personuppgifter om uppgifterna har lämnats in till myndigheten och behandlingen krävs enligt lag. heter få behandla känsliga personuppgifter om det är nödvändigt för handläggningen av ett ärende, eller i annat fall om det är nödvändigt med hänsyn till ett viktigt allmänt intresse och inte innebär ett otillbörligt intrång i den registrerades personliga integritet. regeringen ska få meddela föreskrifter om ytterligare undantag från förbudet, om det är nödvändigt med hänsyn till ett viktigt allmänt intresse (3 kap. 2 och 4 §§ dataskyddslagen). För att säkerställa nödvändiga och lämpliga skyddsåtgärder föreslås att myndigheter och andra som behandlar känsliga personuppgifter enbart med stöd av 3 kap. 2 § dataskyddslagen inte ska få utföra sökningar i syfte att få fram ett personurval grundat på känsliga personuppgifter (3 kap. 3 § dataskyddslagen). Frågan om undantag från förbudet mot behandling av känsliga upp- gifter i försäkringssammanhang, som Svensk Försäkring tar upp, berörs också i samma proposition. Regeringen konstaterar där, med hänvisning till förarbetena till den nuvarande regleringen, att försäkringsföretag även i fortsättningen bl.a. med stöd av artikel 9.2 f kommer att kunna behandla känsliga personuppgifter när detta är nödvändigt till följd av försäkrings- avtal, t.ex. vid kollektiva försäkringar (s. 79). I övrigt torde känsliga personuppgifter i de flesta fall även kunna behandlas med stöd av samtycke från den registrerade. I remissyttrandet när det gäller förslagen i prop. 2017/18:105, till vilket Svensk Försäkring hänvisar i sitt yttrande när det gäller förslagen i förevarande proposition, nämner Svensk Försäkring vidare särskilt bl.a. behovet av att kunna behandla känsliga personuppgifter för statistiska ändamål. Som regeringen redogör för i prop. 2017/18:105 är sådan behandling möjlig, förutom genom samtycke från den registrerade, genom den särskilda bestämmelse om behandling för statistiska ändamål som föreslås i den nya dataskyddslagen (3 kap. 7 §), och även genom den direkt tillämpliga artikel 9.2 j i dataskyddsförordningen. Behandling för statistiska ändamål enligt artikel 9.2 j ställer krav på säkerhetsåtgärder från den personuppgiftsansvarige i enlighet med artikel 89.1. Kravet i artikel 9.2 j på att den rätt som ger stöd för behandling av känsliga personuppgifter för statistiska ändamål i sin tur ska innehålla lämpliga och särskilda skyddsåtgärder för att säkerställa den registre- rades grundläggande rättigheter och intressen, aktualiserar frågan om behovet av en generell lagstadgad tystnadsplikt för personer verksamma i försäkringsföretag. Frågan om en sådan generell tystnadsplikt har berörts i flera tidigare lagstiftningsärenden (se bl.a. prop. 2006/07:41, 2009/10:241 och 2009/10:246). Det finns dock inte förutsättningar för att inom ramen för förevarande lagstiftningsärende göra de överväganden som frågan om ett införande av en sådan tystnadsplikt skulle kräva. Analys och ställningstagande till huruvida en generell bestämmelse om tystnadsplikt bör införas på försäkringsområdet bör göras i särskild ordning. Bestämmelse om känsliga personuppgifter i penningtvättslagen Bestämmelser som hänvisar till 13 § PUL finns i 5 kap. 5 § penning- tvättslagen. Enligt 5 kap. 5 § första stycket får känsliga personuppgifter som avses i 13 § PUL behandlas under vissa förutsättningar. Sådan behandling får ske om det är nödvändigt för att bedöma om en kund till en sådan verksamhetsutövare som omfattas av lagen är en person i politiskt utsatt ställning eller familjemedlem eller känd medarbetare till en sådan person (punkt 1). Sådan behandling får även ske om det är nödvändigt för att bedöma den risk för penningtvätt eller finansiering av terrorism som kan förknippas med kundrelationen (punkt 2) eller för att uppfylla skyldig- heten att övervaka pågående affärsförbindelser och bedöma enstaka transaktioner som är på visst sätt avvikande eller annars kan antas ingå som ett led i penningtvätt eller finansiering av terrorism (punkt 3). Vidare får känsliga personuppgifter behandlas om det är nödvändigt för att bedöma om det finns skälig grund att misstänka att det är fråga om penningtvätt eller finansiering av terrorism eller att egendom annars härrör från brottslig handling (punkt 4). Slutligen får behandling av känsliga personuppgifter ske om det är nödvändigt för att lämna upp- gifter till enligt 4 kap. 3 § om omständigheter som kan tyda på penningtvätt eller finansiering av terrorism eller att egendom annars härrör från brottslig handling eller om det annars är nödvändigt för att lämna uppgifter enligt 4 kap. 6 § som behövs för en utredning om penningtvätt eller finansiering av terrorism (punkt 5). Listan i 5 kap. 5 § första stycket är uttömmande. I andra stycket anges emellertid att känsliga personuppgifter också får behandlas vid en verksamhetsutövares bevarande av handlingar och uppgifter avseende åtgärder som har vidtagits för kundkännedom eller avseende vissa transaktioner (5 kap. 3 och 4 §§), om det är tillåtet att behandla upp- gifterna enligt första stycket. Enligt 5 kap. 8 § får en verksamhetsutövares register med uppgifter om misstänkt penningtvätt eller finansiering av terrorism inte samköras med motsvarande register hos någon annan. Besked om att personuppgifter behandlas enligt 4 kap. 2, 3 eller 6 § och om att sådana uppgifter lagras enligt 5 kap. 3 eller 4 § får inte lämnas ut till den registrerade (5 kap. 7 §, se även avsnitt 7.2). Den som är verk- sam hos en verksamhetsutövare får inte obehörigen röja att person- uppgifter behandlas enligt 5 kap. 5 och 6 §§ eller 4 kap. 2, 3 och 6 §§ och att sådana uppgifter bevaras enligt 3 och 4 §§ (5 kap. 11 §). Datainspektionen anför att det kan ifrågasättas om förslaget till undan- tag i penningtvättslagen kan anses avse ett viktigt allmänt intresse, stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla lämpliga och särskilda åtgärder för att säkerställa den registrerades rättigheter och intressen, sär- skilt som det enligt Datainspektionen inte finns någon tydlig begränsning för vad de som lyder under penningtvättslagen kan behandla för att kunna bedöma risker för penningtvätt och terrorism inom ramen för sin verksamhet. Datainspektionen invänder särskilt att några överväganden inte redo- visas avseende behovet av att behandla de nya särskilda kategorier av personuppgifter som skyddas i dataskyddsförordningen, såsom genetiska och biometriska uppgifter. Datainspektionen ifrågasätter om det kan finnas behov av att behandla dessa kategorier för att leva upp till kraven i penningtvättslagen. Regeringen konstaterar först när det gäller undan- taget i förhållande till de nya kategorierna av känsliga uppgifter att förslaget innebär att sådan behandling medges för det fall att det är nöd- vändigt för att leva upp till kraven i penningtvättslagen. När det gäller de nya särskilda kategorier av personuppgifter som nämns i artikel 9, framstår det t.ex. inte som osannolikt att behandling av biometriska uppgifter för att entydigt identifiera en fysisk person i vissa fall kan komma att vara nödvändig för att leva upp till dessa krav. När det gäller den nya kategorin avseende sexuell läggning bedöms behandling å andra sidan typiskt sett inte bli aktuell genom det uppställda nödvändighets- kravet. Detsamma gäller t.ex. personuppgifter om sexualliv, vilket redan omfattas av bestämmelsen om känsliga personuppgifter i PUL och därigenom av undantaget i penningtvättslagen. I förhållande till kravet på att behandlingen ska vara nödvändig finns det emellertid inte skäl att utesluta någon av kategorierna i artikel 9 i dataskyddsförordningen från möjligheten till behandling. 2017/18:142 Regeringen anser, till skillnad från Datainspektionen, att det inte finns anledning att ifrågasätta att behandling av känsliga personuppgifter som sker enligt 5 kap. 5 § penningtvättslagen är nödvändig med hänsyn till ett viktigt allmänt intresse. Det kan konstateras att grunden för behandlingen finns i nationell rätt, som i sin tur är grundad på unionsrätten (Europa- parlamentets och rådets direktiv (EU) 2015/849 av om åtgärder för att förhindra att det finansiella systemet används för penningtvätt eller finansiering av terrorism, om ändring av Europaparla- mentets och rådets förordning (EU) nr 648/2012 och om upphävande av och rådets direktiv /60/EG och kommissionens direktiv /70/EG [i det följande benämnt fjärde penningtvätts- direktivet], se bl.a. artikel 43). Enligt regeringens bedömning är det tillräckligt tydligt vilken behandling som är tillåten. Med hänsyn till att samkörning av register mellan olika verksamhetsutövare inte får ske och till att det råder tystnadsplikt för verksamma hos en verksamhetsutövare avseende känsliga personuppgifter finns det också bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Behandlingen får därför anses vara tillåten med stöd av artikel i dataskyddsförordningen. Det är därutöver möjligt att behandling av känsliga personuppgifter enligt 5 kap. 5 § penningtvättslagen kan vara tillåten på andra grunder enligt artikel 9.2. Sammanfattningsvis får bestämmelserna om behandling av känsliga personuppgifter i 5 kap. 5 § penningtvättslagen anses vara förenliga med dataskyddsförordningen. Hänvisningen till 13 § PUL bör emellertid ersättas med hänvisning till artikel 9.1 i dataskydds- förordningen. Det kan i sammanhanget påpekas att behandlingen i det enskilda fallet måste leva upp till dataskyddsförordningens krav i övrigt, t.ex. principerna för behandling i artikel 5, för att vara tillåten. Bestämmelse om känsliga personuppgifter i lagen om registrering av verkliga huvudmän Enligt lagen (2017:631) om registrering av verkliga huvudmän är en juridisk person skyldig att anmäla uppgifter om vem som är dess verkliga huvudman till (2 kap. 1 och 3 §§). Enligt 2 kap. 6 § gäller dock undantag från denna skyldighet i fråga om vissa närmare angivna känsliga uppgifter. Undantaget syftar till att undvika att känsliga person- uppgifter enligt 13 § PUL behandlas i registret (prop. 2016/17:173 s. 570). Exemplen på känsliga uppgifter i artikel 9.1 i dataskyddsförordningen är som nämns ovan något utökade i förhållande till 13 § PUL. För att undantaget i 2 kap. 6 § lagen om registrering av verkliga huvudmän ska stå i paritet med det som i dataskyddsförordningen avses med känsliga personuppgifter bör den bestämmelsen därför omfatta samma uppgifter som anges i artikel 9.1. Detta bör ske genom att en hänvisning till artikeln införs i bestämmelsen. 5.3Uppgifter om fällande domar i brottmål och överträdelser Regeringens förslag: Hänvisningar i lagarna på finansmarknads- området till personuppgiftslagens bestämmelser om personuppgifter om lagöverträdelser, domar i brottmål, straffprocessuella tvångsmedel och administrativa frihetsberövanden ska ersättas av hänvisningar till EU:s dataskyddsförordning. Regeringens bedömning: Bestämmelserna på finansmarknads- området om uppgifter om fällande domar i brottmål och överträdelser är förenliga med dataskyddsförordningen. Promemorians förslag och bedömning överensstämmer med regeringens förslag och bedömning. Remissinstanserna: Flertalet remissinstanser tillstyrker förslaget och bedömningen eller har inget att invända mot dem. Datainspektionen avstyrker förslaget att tillåta behandling enligt penningtvättslagen av personuppgifter om lagöverträdelser som avses i artikel 10 i dataskydds- förordningen. Skälen för regeringens förslag och bedömning Enligt 21 § PUL är det förbjudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihets- berövanden. Förbudet gäller dock inte behandling för forskningsändamål, under vissa i paragrafen angivna förutsättningar. Vidare får regeringen eller den myndighet som regeringen bestämmer meddela föreskrifter om undantag från förbudet. Regeringen får dessutom i enskilda fall besluta om undantag från förbudet samt överlåta åt tillsynsmyndigheten att fatta sådana beslut. Enligt artikel 10 i dataskyddsförordningen får personuppgifter som rör fällande domar i brottmål och överträdelser eller därmed samman- hängande säkerhetsåtgärder endast behandlas under kontroll av myndig- het eller då behandling är tillåten enligt unionsrätten eller medlems- staternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Ett fullständigt register över fällande domar i brottmål får dock endast föras under kontroll av en myndighet. Artikeln har i stort samma lydelse som artikel 8.5 i dataskyddsdirektivet, även om tillämpningsområdet beträffande brottmålsdomar i förordningen begränsats till att enbart omfatta fällande sådana. Vidare är en betydande skillnad i förordningen jämfört med direktivet att det inte finns någon möjlighet för medlemsstaterna att med stöd av denna artikel begränsa behandlingen av personuppgifter om avgöranden i tvistemål och administrativa sanktioner. Förslagen i propositionen Ny dataskyddslag 2017/18:105 föreslås att det i den nya dataskyddslagen ska anges att personuppgifter som avses i artikel 10 i EU:s dataskyddsförordning får behandlas av myndigheter. Även andra än myndigheter föreslås få behandla sådana personuppgifter om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna följa föreskrifter om arkiv (3 kap. 8 § dataskyddslagen). Det föreslås också att den myndighet som regeringen bestämmer ska få meddela ytterligare föreskrifter om i vilka fall andra än myndigheter får behandla sådana uppgifter, och vidare att av regeringen utsedd myndighet i enskilda fall ska få besluta att andra än myndigheter får behandla sådana uppgifter (3 kap. 9 § dataskyddslagen). Eftersom dataskyddslagen föreslås vara subsidiär i förhållande till andra lagar och förordningar, kommer det även i fortsättningen att finnas utrymme för särreglering som tillåter behandling av personuppgifter som rör lagöverträdelser. 2017/18:105 framhålls att det dock bör noteras att det inte krävs en uttrycklig undantagsreglering för att behandling av uppgifter som rör lagöverträdelser ska vara tillåten. Således är det tillåtet att behandla sådana personuppgifter om det krävs för att t.ex. uppfylla en editionsplikt eller ett informationsföreläggande som meddelats av domstol med stöd av lag. Hänvisning till personuppgiftslagen i lagen om handel med finansiella instrument Lagen (1991:980) om finansiella instrument är en av tre lagar på finans- marknadsområdet som har bestämmelser med hänvisning till 21 § PUL. Bestämmelsen innebär undantag från förbudet i 21 § PUL (2 kap. 12 §). Inför upprättandet och offentliggörandet av ett emissionsprospekt får, utan hinder av 21 § PUL, sådana personuppgifter behandlas som pro- spektet ska innehålla (2 kap. 12 § lagen om handel med finansiella instrument). I den utsträckning det krävs enligt bestämmelserna om hur prospektet ska offentliggöras (2 kap. 28–30 §§) får personuppgifterna i prospektet föras över till en stat utanför EES. Bestämmelserna har införts mot bakgrund av att det i kommissionens förordning (EG) nr 809/2004 av om genomförande av och rådets direktiv /71/EG i fråga om informationen i prospekt, utform- ningen av dessa, införlivande genom hänvisning samt offentliggörande av prospekt och spridning av annonser (i det följande benämnd prospekt- förordningen) ställs upp ett krav på att uppgifter om personer i ledande befattning som har dömts i bedrägerirelaterade mål ska finnas med i prospektet, som bl.a. ska göras tillgängligt på en elektronisk hemsida (jfr prop. 2004/05:158 s. 176). Krav på prospektets innehåll finns i övrigt i 2 kap. 11 § lagen om handel med finansiella instrument. Enligt 2 kap. 19 § får Finansinspek- tionen i ett enskilt fall besluta om att information som krävs enligt 2 kap. 11 § eller prospektförordningen får utelämnas bl.a. om offentliggörande skulle innebära allvarlig skada för emittenten och utelämnande inte kan antas medföra att allmänheten vilseleds. Bestämmelsen medger dock inte att hänsyn kan tas till en fysisk person som uppgiften rör. Finansinspek- tionen får även besluta att information får utelämnas om den är av mindre betydelse och inte skulle påverka bedömningen beträffande den finansiella ställningen hos och framtidsutsikterna för emittenten, den som lämnar erbjudandet eller en eventuell garant. Det är bara inför upprättandet av prospektet, och vid offentliggörandet av prospektet, som undantaget i 2 kap. 12 § gäller. Bestämmelsen ger alltså inte stöd för en fortlöpande registrering av ledande personers brottslighet, utan det är bara när det har blivit aktuellt att upprätta ett prospekt som de uppgifter som prospektet ska innehålla får samlas in och behandlas i övrigt i syfte att upprätta och offentliggöra prospektet (se samma prop. Behandling av personuppgifter utan hinder av 21 § PUL enligt 2 kap. 12 § lagen om handel med finansiella instrument är således tillåten enligt såväl unionsrätten som nationell rätt och är, genom möjlighet att besluta om att viss information får utelämnas, i viss mening under myndighets kontroll. Eftersom bestämmelsen inte ger stöd för en fortlöpande registrering av ledande personers brottslighet utan endast behandling inför upprättande och offentliggörande av prospektet blir bestämmelsen proportionerlig i förhållande till sitt syfte. Bestämmelsen i 2 kap. 12 § lagen om handel med finansiella instrument bedöms mot denna bakgrund vara förenlig med dataskyddsförordningen. Hänvis- ningen till 21 § PUL bör dock ersättas med en hänvisning till artikel 10 i dataskyddsförordningen. Hänvisning till personuppgiftslagen i lagen med kompletterande bestämmelser till EU:s marknadsmissbruksförordning Även i lagen (2016:1306) med kompletterande bestämmelser till EU:s marknadsmissbruksförordning (förkortad LKMF) finns bestämmelse med undantag från förbudet i 21 § PUL (2 kap. 7§). Enligt LKMF ska ett finansiellt företag tillhandahålla ändamålsenliga rapporteringssystem för anställda som vill göra anmälningar om miss- tänkta överträdelser av marknadsmissbruksförordningen (2 kap. 7 § första stycket). PUL gäller vid behandling av personuppgifter inom ramen för sådana rapporteringssystem. Uppgifter om lagöverträdelser som avses i 21 § PUL får dock behandlas om uppgifterna avser brott enligt lagen (2016:1307) om straff för marknadsmissbruk på värdepap- persmarknaden (2 kap. 7 § andra stycket LKMF). Det finns flera bestämmelser på finansmarknadsområdet som ställer krav på att aktörer ska tillhandahålla rapporteringssystem för s.k. vissel- blåsande. I samtliga dessa bestämmelser, utom 2 kap. 7 § LKMF, anges att PUL gäller vid behandling av personuppgifter för sådana system, utan undantag. I fråga om LKMF har det dock ansetts nödvändigt med ett undantag från 21 § PUL för att leva upp till marknadsmissbruks- förordningens krav. Enligt marknadsmissbruksförordningen ska medlemsstaterna kräva att arbetsgivare som utför verksamhet som styrs av reglering avseende finansiella tjänster inför lämpliga interna förfaranden för att deras anställda ska kunna rapportera överträdelser av den förordningen. I den mån detta innebär behandling av personuppgifter avseende brott aktuali- serar det förbudet i 21 § PUL. Överträdelser av marknadsmissbruks- förordningen utgör dock inte brott utan administrativa överträdelser. Förbudet i 21 § PUL är därför inte tillämpligt på personuppgifter som rör 2017/18:142 överträdelser av förordningen. Däremot kan överträdelser av förbuden mot marknadsmissbruk (insiderhandel, marknadsmanipulation och olag- ligt röjande av insiderinformation) i förordningen utgöra brott enligt lagen om straff för marknadsmissbruk på värdepappersmarknaden. Bestämmelserna i torde enligt förarbetena till LKMF därför inne- bära att företag är förhindrade att behandla personuppgifter som rör över- trädelser av motsvarande förbud i marknadsmissbruksförordningen (prop. 2016/17:22 s. 318–321). Datainspektionen har med stöd av 9 § personuppgiftsförordningen (1998:1191), förkortad PUF, meddelat föreskrifter om undantag från förbudet i 21 § PUL, bl.a. för att möjliggöra användning av vissel- blåsarsystem (Datainspektionens föreskrifter [2010:1] om ändring av Datainspektionens föreskrifter [1998:3] om undantag från förbudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser m.m.). Föreskrifterna medger att uppgifter om bl.a. brottslighet inom bank- och finansväsen behandlas, men enbart om upp- gifterna avser personer i nyckelpositioner eller ledande ställning inom det egna bolaget eller koncernen. För att kunna upprätthålla ändamålsenliga rapporteringssystem har det ansetts att det bör vara möjligt för de aktuella företagen att behandla sådana uppgifter som rör misstänkt marknadsmissbruk även avseende andra än nyckelpersoner. Mot denna bakgrund har därför undantaget från 21 § PUL införts i LKMF i anslutning till bestämmelsen om interna rapporteringssystem (samma prop. s. 320 f.). Med hänsyn till att det rör sig om uppgifter som är känsliga för den enskilde och mot bakgrund av dataskyddsdirektivets krav om lämpliga skyddsåtgärder har det i LKMF införts en bestämmelse om tystnadsplikt i 2 kap. 8 § för den som är eller har varit anställd hos ett finansiellt företag avseende uppgifter i en anmälan eller utsaga som gjorts till ett sådant rapporteringssystem som avses i 2 kap. 7 § om uppgiften kan av- slöja anmälarens eller den utpekade personens identitet, samt en mot- svarande sekretessbestämmelse för sådan uppgift i en statlig myndighets verksamhet i 30 kap. 6 b § offentlighets- och sekretesslagen (2009:400) (se vidare avsnitt 7.2). I likhet med bestämmelsen om tystnadsplikt i lagen om värdepapperscentraler och kontoföring av finansiella instru- ment omfattar tystnadsplikten när det gäller finansiella företags interna system för rapportering av misstänkta överträdelser av marknadsmiss- bruksförordningen endast skydd för obehörigt röjande. Med det avses t.ex. inte att uppgifter lämnas på begäran av eller åklagare (samma prop. s. 321). Behandling av personuppgifter enligt 2 kap. 7 § LKMF har således stöd i nationell rätt. Möjligheten till behandling enligt bestämmelsen av personuppgifter om lagöverträdelser som innefattar brott är införd för att marknadsmissbruksförordningens krav på rapporteringssystem för vissel- blåsare ska kunna uppfyllas och får anses proportionerlig i förhållande till sitt syfte. Genom nuvarande bestämmelser om tystnadsplikt finns det lämpliga skyddsåtgärder. Hänvisningen till 21 § PUL bör dock ersättas med en hänvisning till artikel 10 i dataskyddsförordningen. Hänvisning till personuppgiftslagen i penningtvättslagen I penningtvättslagen finns också en hänvisning till 21 § PUL med undantag från förbudet under vissa angivna förutsättningar (5 kap. 6 §).