prop · H503142 · 2018-03-13 00:00:00 — Författningsändringar på finansmarknadsområdet med anledning av EU:s dataskyddsförordningar Regeringens proposition 2017/18:142 området med anledning av Regeringen överlämnar denna proposition till . Propositionen innehåller förslag som syftar till att anpassa lagar på finansmarknadsområdet till EU:s nya dataskyddsförordning. Förslagen innebär framför allt att hänvisningar till personuppgiftslagen (1998:204) tas bort och i vissa fall ersätts av hänvisningar till dataskyddsförord- ningen. Lagändringarna föreslås träda i kraft , vilket är det datum när dataskyddsförordningen ska börja tillämpas. Förslag till riksdagsbeslut ................................................................. Förslag till lag om ändring i lagen (1991:980) om handel med finansiella instrument 2.2Förslag till lag om ändring i lagen (1998:1479) om värdepapperscentraler och kontoföring av finansiella 2.3Förslag till lag om ändring i lagen (1999:889) om registrering av krigsskada på egendom ............................ 2.4Förslag till lag om ändring i lagen (2004:46) om 2.5Förslag till lag om ändring i lagen (2004:297) om bank- och finansieringsrörelse.......................................... 2.6Förslag till lag om ändring i lagen (2007:528) om 2.7Förslag till lag om ändring i lagen (2010:751) om 2.8Förslag till lag om ändring i försäkringsrörelselagen (2010:2043)...................................................................... 2.9Förslag till lag om ändring i lagen (2016:1306) med kompletterande bestämmelser till EU:s 2.10Förslag till lag om ändring i lagen (2017:630) om åtgärder mot penningtvätt och finansiering av 2.11Förslag till lag om ändring i lagen (2017:631) om registrering av verkliga huvudmän................................... Ärendet och dess beredning............................................................ Anpassning av nationell reglering.................................... Krav på behandlingen av personuppgifter ...................................... Tillåten behandling av personuppgifter............................ 5.3Uppgifter om fällande domar i brottmål och Personuppgiftsansvariga och personuppgiftsbiträden..................... Bestämmelser om personuppgiftsansvaret ....................... Den registrerades rättigheter........................................................... 7.1Rättigheterna enligt dataskyddsförordningen och Bestämmelser om tystnadsplikt........................................ Rätten till rättelse............................................................. Rättelse enligt dataskyddsförordningen.......... Anpassningar av bestämmelser om Rätten till radering........................................................... Rätten till begränsning av behandling ............................. Rätten till dataportabilitet................................................ Rätten till invändningar................................................... 7.8Rätten att motsätta sig automatiserat individuellt Rättsmedel, ansvar och sanktioner................................................. Skadestånd enligt dataskyddsförordningen .... Anpassning av skadeståndsreglerna ............... Hänvisningar till personuppgiftslagen............................. Personnummer och annat identifieringsnummer............. Lagring, gallring och arkivering...................................... Ikraftträdande- och övergångsbestämmelser.................................. 12.1Förslaget till lag om ändring i lagen (1991:980) om handel med finansiella instrument................................... 12.2Förslaget till lag om ändring i lagen (1998:1479) om värdepapperscentraler och kontoföring av finansiella 12.3Förslaget till lag om ändring i lagen (1999:889) om registrering av krigsskada på egendom ........................... 12.4Förslaget till lag om ändring i lagen (2004:46) om 12.5Förslaget till lag om ändring i lagen (2004:297) om bank- och finansieringsrörelse......................................... 12.6Förslaget till lag om ändring i lagen (2007:528) om 12.7Förslaget till lag om ändring i lagen (2010:751) om 12.8Förslaget till lag om ändring i försäkringsrörelse- lagen (2010:2043)............................................................ 12.9Förslaget till lag om ändring i lagen (2016:1306) med kompletterande bestämmelser till EU:s 12.10Förslaget till ändring i lagen (2017:630) om åtgärder mot penningtvätt och finansiering av terrorism............... 12.11Förslaget till lag om ändring i lagen (2017:631) om registrering av verkliga huvudmän.................................. 2017/18:142 Bilaga 1 och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av person- uppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän Förteckning över remissinstanserna............................... Utdrag ur protokoll vid regeringssammanträde ......... Regeringen föreslår att antar regeringens förslag till 1.lag om ändring i lagen (1991:980) om handel med finansiella instru- ment, 2.lag om ändring i lagen (1998:1479) om värdepapperscentraler och kontoföring av finansiella instrument, 3.lag om ändring i lagen (1999:889) om registrering av krigsskada på egendom, 4.lag om ändring i lagen (2004:46) om värdepappersfonder, 5.lag om ändring i lagen (2004:297) om bank- och finansierings- rörelse, 6.lag om ändring i lagen (2007:528) om värdepappersmarknaden, 7.lag om ändring i lagen (2010:751) om betaltjänster, 8.lag om ändring i försäkringsrörelselagen (2010:2043), 9.lag om ändring i lagen om (2016:1306) med kompletterande bestäm- melser till EU:s marknadsmissbruksförordning, 10.lag om ändring i lagen (2017:630) om åtgärder mot penningtvätt och finansiering av terrorism, 11.lag om ändring i lagen (2017:631) om registrering av verkliga huvudmän. Inför upprättandet av ett pro- spekt och vid offentliggörande av det enligt 28–30 §§ får, i syfte att upprätta och offentliggöra pro- spektet, de personuppgifter behandlas som prospektet ska innehålla, inklusive sådana upp- gifter som avses i artikel 10 i och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän data- skyddsförordning). I den utsträck- ning det krävs enligt 28–30 §§ får personuppgifterna i prospektet föras över till en stat utanför EES. 2017/18:142 2 Regeringen har följande förslag till lagtext. 2.1Förslag till lag om ändring i lagen (1991:980) om handel med finansiella instrument Härigenom föreskrivs att 2 kap. 12 § lagen (1991:980) om handel med finansiella instrument1 ska ha följande lydelse. 12 §2 Inför upprättandet av ett pro- spekt och vid offentliggörande av det enligt 28–30 §§ får, i syfte att upprätta och offentliggöra pro- spektet och utan hinder av 21 § personuppgiftslagen (1998:204), de personuppgifter behandlas som prospektet skall innehålla. I den utsträckning det krävs enligt 28–30 §§ får personuppgifterna i prospektet föras över till en stat utanför EES. Denna lag träder i kraft . 1 Lagen omtryckt 1992:558. 2 Senaste lydelse 2005:833. Förslag till lag om ändring i lagen (1998:1479) Prop. om värdepapperscentraler och kontoföring av Härigenom föreskrivs att 1 kap. 6 §, 4 kap. 1 §, 5 kap. 4 § och 7 kap. 2 § lagen (1998:1479) om värdepapperscentraler och kontoföring av finansiella instrument1 ska ha följande lydelse. Nuvarande lydelse Föreslagen lydelse Svenska värdepapperscentraler och kontoförande institut ska tillhandahålla ändamålsenliga rapporteringssystem för anställda som vill göra anmälningar om misstänkta överträdelser av de bestämmelser som gäller för verksamheten. Personuppgiftslagen (1998:204) gäller vid behandling av person- uppgifter inom ramen för sådana rapporteringssystem som avses i första stycket. avstämningskonton som läggs upp avstämningskonton som läggs upp för ägare av finansiella instrument för ägare av finansiella instrument som registreras enligt denna lag. som registreras enligt denna lag. Sådana register förs med hjälp av Sådana register förs med hjälp av för den behandling av person- uppgifter som den värdepappers- Om inget annat följer av denna lag, av föreskrifter som meddelats med stöd av lagen, av förord- eller av rättsakter som har antagits med stöd av förordningen, behandling av personuppgifter om 1 Senaste lydelse av lagens rubrik 2016:51. 2 Senaste lydelse 2016:51. Ändringen innebär att andra stycket tas bort. 3 Senaste lydelse 2016:51. Ändringen innebär bl.a. att andra stycket tas bort. En registrering ska rättas, om den innehåller någon uppenbar oriktighet till följd av att den som vidtagit registreringsåtgärden eller någon annan har gjort sig skyldig till skrivfel, räknefel eller liknande förbiseende eller till följd av något tekniskt fel. Den vars rätt berörs ska ges möjlighet att yttra sig, om inte rättelsen är till förmån för denne eller yttrande annars är uppenbart obehövligt. I fråga om personuppgifter gäller detta i stället för rätten till rättelse av personuppgifter enligt artikel 16 i och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän data- skyddsförordning). 2017/18:142 ägare och innehavare av särskild rätt till finansiella instrument. 4 § En registrering skall rättas, om den innehåller någon uppenbar oriktighet till följd av att den som vidtagit registreringsåtgärden eller någon annan har gjort sig skyldig till skrivfel, räknefel eller liknande förbiseende eller till följd av något tekniskt fel. Den vars rätt berörs skall ges möjlighet att yttra sig, om inte rättelsen är till förmån för denne eller yttrande annars är uppenbart obehövligt. För skada som tillfogas en ägare av ett finansiellt instrument till följd av en oriktig eller missvisande uppgift i ett avstämningsregister eller i annat fall genom fel i samband med uppläggning eller förande av ett sådant register svarar värdepapperscentralen eller, om felet kan hänföras till ett kontoförande institut, institutet. Ersättningsansvar gäller dock inte om värdepapperscentralen respektive det kontoförande institutet visar att felet beror på en omständighet utanför dess kontroll vars följder inte skäligen kunde ha undvikits eller övervunnits. Indirekt förlust ersätts endast om den beror på försummelse av värdepapperscentralen eller det kontoförande institutet. Detsamma gäller skada som tillfogas panthavare och den till vars förmån en rådighetsinskränkning gäller. Ersättningsansvaret gäller på motsvarande sätt om felet beror på någon som har anlitats av värdepapperscentralen eller av ett kontoförande institut. 4 Senaste lydelse 2016:51. Ändringen innebär att fjärde stycket tas bort. För skada som kan hänföras till ett kontoförande institut svarar värde- papperscentralen solidariskt med institutet. Värdepapperscentralens an- svar är dock i sådant fall begränsat till för varje skadefall. Värdepapperscentralen har rätt till ersättning av det konto- förande har betalat till följd av det solidariska ansvaret. Bestämmelserna i person- uppgiftslagen (1998:204) om skadestånd ska gälla då person- uppgifter behandlats i strid med den lagen. Denna lag träder i kraft . 2017/18:142 2.3 Förslag till lag om ändring i lagen (1999:889) om registrering av krigsskada på egendom Härigenom föreskrivs att 1 § lagen (1999:889) om registrering av krigsskada på egendom ska ha följande lydelse. För det ändamål som anges i 3 § För det ändamål som anges i 3 § skall det föras ett för hela landet ska det föras ett för hela landet gemensamt register (krigsskade- Registret får föras med Registret får föras med som också är personuppgifts- som också är personuppgifts- lagen (1998:204). meddelas av regeringen. meddelas av regeringen. Denna lag träder i kraft . 2.4Förslag till lag om ändring i lagen (2004:46) om värdepappersfonder Härigenom föreskrivs att 2 kap. 17 d § och 4 kap. 11 § lagen (2004:46) om värdepappersfonder1 ska ha följande lydelse. ska tillhandahålla ändamålsenliga rapporteringssystem för anställda som vill göra anmälningar om misstänkta överträdelser av bestämmelser som gäller för verksamheten. Personuppgiftslagen (1998:204) gäller vid behandling av person- uppgifter inom ramen för sådana rapporteringssystem som avses i första stycket. Fondbolaget ska föra eller låta Fondbolaget ska föra eller låta föra ett register över samtliga inne- föra ett register över samtliga inne- havare av andelar i fonden. havare av andelar i fonden. behandling av person- uppgifter finns bestämmelser i personuppgiftslagen (1998:204). Är lagen (1998:1479) om värdepapperscentraler och kontoföring av finansiella instrument tillämplig på andelarna i fonden, förs registret av en svensk värdepapperscentral. Fondbolaget har rätt till insyn i registret. Om lagen om värdepapperscentraler och kontoföring av finansiella instrument inte är tillämplig på andelarna i fonden, ska den som för registret anteckna inskränkningar enligt 13 kap. 19 § första stycket 4 eller 14 kap. 21 § första stycket 4 där. Fondbolaget ska till varje fondandelsägare skriftligen bekräfta att dennes fondandelsinnehav har registrerats. Av bekräftelsen ska det framgå värdepappersfondens och, i förekommande fall, andelsklassens beteckning samt namnen på fondbolaget och förvaringsinstitutet. Vidare ska det framgå var informationsbroschyren enligt 15 §, faktabladet enligt 16 a § samt årsberättelsen och halvårsredogörelsen enligt 18 § finns att tillgå. Denna lag träder i kraft . 1 Senaste lydelse av lagens rubrik 2013:563. 2 Senaste lydelse 2016:892. Ändringen innebär att andra stycket tas bort. 3 Senaste lydelse 2016:58. 2017/18:142 2.5 Förslag till lag om ändring i lagen (2004:297) om bank- och finansieringsrörelse Härigenom föreskrivs att 6 kap. 2 a § lagen (2004:297) om bank- och finansieringsrörelse ska ha följande lydelse. Nuvarande lydelse Föreslagen lydelse Ett kreditinstitut ska tillhandahålla ändamålsenliga rapporteringssystem för anställda som vill göra anmälningar om misstänkta överträdelser av bestämmelser som gäller för kreditinstitutets verksamhet. Personuppgiftslagen (1998:204) gäller vid behandling av person- uppgifter inom ramen för sådana rapporteringssystem som avses i första stycket. Denna lag träder i kraft . 1 Senaste lydelse 2014:982. Ändringen innebär att andra stycket tas bort. Förslag till lag om ändring i lagen (2007:528) Härigenom föreskrivs att 4 kap. 8 §, 8 kap. 4 a §, 10 kap. 15 § och 2 a § lagen (2007:528) Ett företag som avses i 4 § och som har fått tillstånd att driva värdepappersrörelse från filial i ska tillhandahålla ändamåls- enliga rapporteringssystem för anställda som vill göra anmälningar om misstänkta överträdelser av bestämmelser som gäller för verksamheten. Personuppgiftslagen (1998:204) gäller vid behandling av person- uppgifter inom ramen för sådana rapporteringssystem. Ett värdepappersbolag ska tillhandahålla ändamålsenliga rapporterings- system för anställda som vill göra anmälningar om misstänkta överträdelser av bestämmelser som gäller för verksamheten. Personuppgiftslagen (1998:204) gäller vid behandling av person- uppgifter inom ramen för sådana rapporteringssystem som avses i första stycket. Den som tillhandahåller en datarapporteringstjänst ska ha ändamåls- enliga rapporteringssystem för anställda som vill göra anmälningar om misstänkta överträdelser av bestämmelser som gäller för verksamheten. Personuppgiftslagen (1998:204) gäller vid behandling av person- uppgifter inom ramen för sådana rapporteringssystem. 1 Senaste lydelse 2017:679. Ändringen innebär att andra stycket tas bort. 2 Senaste lydelse 2014:985. Ändringen innebär att andra stycket tas bort. 3 Senaste lydelse 2017:679. Ändringen innebär att andra stycket tas bort. En börs ska tillhandahålla ändamålsenliga rapporteringssystem för anställda som vill göra anmälningar om misstänkta överträdelser av bestämmelser som gäller för verksamheten. Personuppgiftslagen (1998:204) gäller vid behandling av person- uppgifter inom ramen för sådana rapporteringssystem. Denna lag träder i kraft . 4 Senaste lydelse 2017:679. Ändringen innebär att andra stycket tas bort. Förslag till lag om ändring i lagen (2010:751) Härigenom föreskrivs i fråga om lagen (2010:751) om betaltjänster dels att 6 kap. 8 § ska upphöra att gälla, dels att rubriken närmast före 6 kap. 8 § ska utgå, dels att 6 kap. 1 § ska ha följande lydelse. Om en betaltjänstleverantör eller den som ansvarar för ett betal- ningssystem granskar betalnings- transaktioner för att kunna upptäcka sådana transaktioner som leverantören eller den ansvarige för betalningssystemet misstänker eller har skälig grund att misstänka utgör ett led i bedrägeri i samband med tillhandahållande eller användning av betaltjänster, får leverantören eller den som ansvarar för ett betalningssystem behandla personuppgifter samt föra register enligt 2–9 §§ vilka gäller utöver personuppgiftslagen (1998:204). Om en betaltjänstleverantör eller den som ansvarar för ett betal- ningssystem granskar betalnings- transaktioner för att kunna upptäcka sådana transaktioner som leverantören eller den ansvarige för betalningssystemet misstänker eller har skälig grund att misstänka utgör ett led i bedrägeri i samband med tillhandahållande eller användning av betaltjänster, får leverantören eller den som ansvarar för ett betalningssystem behandla personuppgifter samt föra register enligt 2–9 §§. Denna lag träder i kraft . En personuppgift som anger att en försäkringstagare har vidtagit dispositioner beträffande försäk- ringsbelopp som utfaller i fram- tiden till förmån för någon annan får inte lämnas ut till förmåns- tagaren om uppgiften behandlas enligt och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän data- skyddsförordning). 2017/18:142 2.8 Förslag till lag om ändring i försäkringsrörelselagen (2010:2043) 4 kap. 14 § försäkringsrörelselagen (2010:2043) ska ha följande lydelse. 14 § En personuppgift som anger att en försäkringstagare har vidtagit dispositioner beträffande försäk- ringsbelopp som utfaller i fram- tiden till förmån för någon annan och som behandlas enligt person- uppgiftslagen (1998:204) får inte lämnas ut till förmånstagaren. Denna lag träder i kraft . Förslag till lag om ändring i lagen (2016:1306) Prop. med kompletterande bestämmelser till EU:s Härigenom föreskrivs att 2 kap. 3 och 7 §§ lagen (2016:1306) med ska ha följande lydelse. ska föra eller låta föra register (insynsregister) över anmälningar som har gjorts enligt artikel 19.1–19.10 i marknads- missbruksförordningen. Uppgifter som har lämnats av personer som inte längre omfattas av anmälningsskyldighet får tas bort ur registret. Registret ska föras med hjälp av Registret ska föras med hjälp av uppgiftsansvarig för den behand- ling av personuppgifter som sker i som sker i registret. ska på lämpligt sätt underrätta de registrerade om registret. registrerade om registret. Registret ska vara offentligt. Ett finansiellt företag ska tillhandahålla ändamålsenliga rapporterings- system för anställda som vill göra anmälningar om misstänkta över- trädelser av marknadsmissbruksförordningen. gäller vid behandling av person- uppgifter inom ramen för sådana 2016/679 av om lagöverträdelser som avses i 21 § skydd för fysiska personer med personuppgifter och om det fria brott enligt lagen (2016:1307) om flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning) får brott enligt lagen (2016:1307) om Denna lag träder i kraft . 2017/18:142 2.10 Förslag till lag om ändring i lagen (2017:630) om åtgärder mot penningtvätt och finansiering Härigenom föreskrivs i fråga om lagen (2017:630) om åtgärder mot penningtvätt och finansiering av terrorism dels att 5 kap. 10 § ska upphöra att gälla, dels att rubriken närmast före 5 kap. 10 § ska utgå, dels att 5 kap. 1, 5 och 6 §§ och 6 kap. 4 § ska ha följande lydelse. Detta kapitel gäller vid en verksamhetsutövares behandling av personuppgifter enligt denna lag. Kapitlet gäller om behandlingen helt eller delvis är automatiserad eller om personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Personuppgiftslagen (1998:204) gäller vid verksamhetsutövarens behandling av personuppgifter, om inte annat följer av detta kapitel. Personuppgifter som avses i avses i 13 § personuppgiftslagen om det är nödvändigt för att 2016/679 av om skydd för fysiska personer med personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG här benämnd EU:s dataskydds- om det är nödvändigt för att 1. bedöma om kunden är en person i politiskt utsatt ställning eller familjemedlem eller känd medarbetare till en sådan person enligt 1 kap. 8–10 §§, 2. bedöma den risk som kan förknippas med kundrelationen enligt 2 kap. 3 §, 3.uppfylla övervakningsskyldigheten enligt 4 kap. 1 §, 4.bedöma misstänkta transaktioner och aktiviteter enligt 4 kap. 2 §, 1 Ändringen innebär att andra stycket tas bort. 5. lämna uppgifter enligt 4 kap. 3 och 6 §§. också behandlas vid bevarande av behandlas vid bevarande av hand- handlingar och uppgifter enligt 3 lingar och uppgifter enligt 3 och och 4 §§, om det är tillåtet att 4 §§, om det är tillåtet att behandla behandla uppgifterna enligt första uppgifterna enligt första stycket. Personuppgifter som avses i elser som avses i 21 § person- behandlas endast om det är om det är nödvändigt för att den risk som kan förknippas med 2 kap. 3 §, 2.uppfylla övervakningsskyldigheten enligt 4 kap. 1 §, 3.bedöma misstänkta transaktioner och aktiviteter enligt 4 kap. 2 §, 4.lämna uppgifter enligt 4 kap. 3 och 6 §§. får också behandlas vid bevarande av handlingar och uppgifter enligt 3 och 4 §§, om det är tillåtet att 3 och 4 §§, om det är tillåtet att behandla uppgifterna enligt första behandla uppgifterna enligt första En verksamhetsutövare ska tillhandahålla ändamålsenliga rapport- eringssystem för anställda och uppdragstagare som vill göra anmälningar om misstänkta överträdelser av bestämmelserna i denna lag eller före- skrifter som meddelats med stöd av lagen. För verksamhetsutövare som omfattas av förordning (EU) 2015/847 ska rapporteringssystemen även möjliggöra anmälningar av misstänkta överträdelser av bestämmelserna i den förordningen. Personuppgiftslagen (1998:204) gäller vid behandling av person- uppgifter inom ramen för sådana rapporteringssystem som avses i första och andra styckena. Denna lag träder i kraft . 2Ändringen innebär att tredje stycket tas bort. Undantaget i första stycket gäller också om en anmälan annars avslöjar personuppgifter som avses i artikel 9.1 i Europa- parlamentets och rådets förord- ning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän data- skyddsförordning). 2017/18:142 2.11 Förslag till lag om ändring i lagen (2017:631) om registrering av verkliga huvudmän Härigenom föreskrivs att 2 kap. 6 § lagen (2017:631) om registrering av verkliga huvudmän ska ha följande lydelse. Nuvarande lydelse Föreslagen lydelse En juridisk person som avses i 4 eller 5 § och som har ett politiskt, religiöst, kulturellt eller annat sådant ändamål eller är ett trossamfund som inte registrerats i handelsregistret enligt handelsregisterlagen (1974:157) är inte skyldig att i anmälan ange uppgifter om fysiska personer som är medlemmar i den juridiska personen, om en sådan anmälan medför att medlemmens åskådning i något av dessa avseenden blir känd.