prop · H503142 · 2018-03-13 00:00:00 — Enligt penningtvättslagen (5 kap. 6 § första stycket) får personupp- gifter om lagöverträdelser som avses i 21 § PUL behandlas endast om det är nödvändigt för att bedöma den risk som kan förknippas med en kundrelation enligt 2 kap. 3 § (risk för penningtvätt eller finansiering av terrorism), för att uppfylla skyldigheten att övervaka pågående affärs- förbindelser m.m. enligt 4 kap. 1 §, för att bedöma misstänkta transak- tioner och aktiviteter enligt 4 kap. 2 § och för att lämna uppgifter till enligt 4 kap. 3 och 6 §§. Uppgifter om lagöverträd- elser får enligt 5 kap. 6 § andra stycket också behandlas vid visst be- varande av handlingar om det är tillåtet att behandla uppgifterna enligt första stycket. Enligt 5 kap. 8 § får en verksamhetsutövares register med uppgifter om misstänkt penningtvätt eller finansiering av terrorism inte samköras med motsvarande register hos någon annan. Besked om att personuppgifter behandlas enligt 4 kap. 2, 3 eller 6 § och om att sådana uppgifter lagras enligt 5 kap. 3 eller 4 § får inte lämnas ut till den registrerade (5 kap. 7 §, se även avsnitt 7.2). Den som är verksam hos en verksamhetsutövare får inte obehörigen röja att person- uppgifter behandlas enligt 5 kap. 5 och 6 §§ eller 4 kap. 2, 3 och 6 §§ och att sådana uppgifter bevaras enligt 3 och 4 §§ (5 kap. 11 §). Datainspektionen ifrågasätter om förslaget till undantag i penning- tvättslagen kan anses omfattas av sådana särskilda och lämpliga skydds- åtgärder för den registrerades rättigheter och friheter som avses i artikel 10, särskilt som det enligt Datainspektionen inte finns någon tydlig begränsning för vad de verksamhetsutövare som lyder under den lagen kan behandla för att kunna bedöma risker för penningtvätt och finansiering av terrorism inom ramen för sin verksamhet. Regeringen konstaterar att bestämmelserna i penningtvättslagen som möjliggör behandling av personuppgifter som rör lagöverträdelser syftar till att verksamhetsutövare ska kunna behandla personuppgifter på ett sätt som gör det möjligt för dem att uppfylla skyldigheterna enligt fjärde penning- tvättsdirektivet (prop. 2016/17:173 s. 306–314). Det bör vidare beaktas att bestämmelsen om behandling av personuppgifter om lagöverträdelser till stor del endast innebär ett förtydligande av det rättsläge som ansetts föreligga även utan sådan särskild reglering (jfr prop. 2014/15:80 s. 43 f.). Behandlingen av personuppgifter om lagöverträdelser be- gränsas, i likhet med övrig behandling av personuppgifter som regleras i penningtvättslagen, av bestämmelsen som anger syftet med behand- lingen. Med hänsyn till att samkörning av register mellan olika verksamhets- utövare inte får ske och till att det råder tystnadsplikt för verksamma hos en verksamhetsutövare avseende personuppgifter om lagöverträdelser finns det också bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Sammanfattningsvis anser regeringen att bestämmelserna i penning- tvättslagen som tillåter behandling av personuppgifter enligt 21 § PUL är 2017/18:142 förenliga med dataskyddsförordningen. Hänvisningarna till 21 § PUL bör dock ersättas med hänvisningar till artikel 10 i dataskyddsförordningen. Liksom i dataskyddsdirektivet förutsätts i dataskyddsförordningen att det finns en personuppgiftsansvarig (i direktivet används dock termen registeransvarig) för all behandling av personuppgifter. Med person- uppgiftsansvarig avses den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av person- uppgifter. Om ändamålen med och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt, kan den person- uppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller den nationella rätten (artikel 4.7 i dataskyddsförordningen). Med uppgiften som personuppgiftsansvarig följer vissa skyldigheter enligt dataskyddsförordningen. Dessa skyldigheter är till stora delar de- samma som i dataskyddsdirektivet. Även dataskyddsförordningen kräver till exempel att den personuppgiftsansvarige ser till att behandlingen av personuppgifter sker på ett korrekt och säkert sätt (artikel 5.2), att oriktiga uppgifter rättas (artikel 16) och att den registrerade ersätts för skada som en rättsstridig behandling av personuppgifter har medfört (artikel 82). En nyhet i dataskyddsförordningen är kravet i artikel 26 på att gemen- samt personuppgiftsansvariga ska ha ett inbördes arrangemang. Enligt artikeln ska gemensamt personuppgiftsansvariga fastställa sitt respektive ansvar för att fullgöra skyldigheterna enligt förordningen, såvida inte deras respektive skyldigheter fastställs genom unionsrätten eller den nationella rätt som de omfattas av. Arrangemanget ska återspegla de gemensamt personuppgiftsansvarigas roller och förhållanden gentemot de registrerade. Oavsett arrangemang får dock den registrerade utöva sina rättigheter enligt förordningen med avseende på, och emot, var och en av de personuppgiftsansvariga. En annan nyhet är att den personuppgiftsansvarige (och person- uppgiftsbiträdet, se avsnitt 6.2 nedan) i större utsträckning än är skyldig att utse ett dataskyddsombud (i direktivet används termen uppgiftsskyddsombud). Till exempel blir det obligatoriskt för i princip samtliga myndigheter att ha ett sådant ombud (artikel 37). I samman- hanget kan det nämnas att dataskyddsombudets ställning stärks, bl.a. genom att ombudet ska rapportera direkt till den personuppgifts- ansvariges eller personuppgiftsbiträdets högsta förvaltningsnivå och att ombudet inte får tilldelas arbetsuppgifter som leder till en intresse- konflikt (artikel 38). Dataskyddsförordningen medför något större förändringar för person- uppgiftsbiträdena (i dataskyddsdirektivet används termen registerförare). Definitionen av personuppgiftsbiträde är i sak densamma som defini- tionen av registerförare i dataskyddsdirektivet, nämligen den som behandlar personuppgifter för den personuppgiftsansvariges räkning (artikel 4.8 i dataskyddsförordningen). Mer långtgående skyldigheter för personuppgiftsbiträdet införs emellertid genom dataskyddsförordningen. Till exempel får biträdet inte anlita underbiträden utan tillstånd från den personuppgiftsansvarige (artikel 28.2). Vidare ställs det upp nya krav på det avtal eller den rättsakt som reglerar biträdets behandling av person- uppgifter (se artikel 28.3). Personuppgiftsbiträdet ska vidare, tillsammans med den personuppgiftsansvarige, i tillämpliga fall utse dataskydds- ombudet (artikel 37). Av särskild betydelse är att det genom dataskyddsförordningen införs egna skyldigheter för personuppgiftsbiträdena. Till exempel är biträdet skyldigt att ha en godtagbar säkerhetsnivå (artikel 32). Vidare kan ett biträde under vissa förutsättningar bli skyldig att betala ersättning till den registrerade vid felaktig behandling av personuppgifter (artikel 82). Regeringens förslag: Hänvisningar till personuppgiftslagen i bestäm- melser i lagarna på finansmarknadsområdet som pekar ut en person- uppgiftsansvarig ska tas bort. Regeringens bedömning: Bestämmelser om vem som är person- uppgiftsansvarig bör behållas. Lagar som pekar ut den registerförande myndigheten men inte den som är personuppgiftsansvarig behöver däremot inte kompletteras med bestämmelser om vem som är Promemorians förslag och bedömning överensstämmer med regeringens förslag och bedömning. Remissinstanserna tillstyrker förslaget och bedömningen eller har inget att invända mot dem. Skälen för regeringens förslag och bedömning Bestämmelser som pekar ut en personuppgiftsansvarig kan behållas På finansmarknadsområdet finns bestämmelser i lag som pekar ut en personuppgiftsansvarig enligt PUL bl.a. i 4 kap. 1 § lagen (1998:1479) om värdepapperscentraler och kontoföring av finansiella instrument (i det följande benämnd kontoföringslagen), 1 § lagen (1999:889) om registrering av krigsskada på egendom och 2 kap. 3 § LKMF. register bestäms ändamålen med och medlen för behandlingen i för- fattning (se t.ex. 4 kap. 1 § kontoföringslagen). Regeringen gör bedömningen att de nämnda bestämmelserna om personuppgiftsansvar är förenliga med dataskyddsförordningen, eftersom det enligt artikel 4.7 i förordningen är tillåtet att peka ut vem som är 2017/18:142 personuppgiftsansvarig i nationell lagstiftning. Hänvisningarna till PUL bör dock tas bort. Det är inte nödvändigt att ersätta dem med hänvis- ningar till dataskyddsförordningen. Bestämmelserna behöver inte heller kompletteras med mer detaljerade uppgifter om vem som är person- uppgiftsansvarig. I lagar där det inte pekas ut vem som är den personuppgiftsansvarige behöver det inte införas några kompletterande bestämmelser Det finns också lagar där det pekas ut vem som ska föra ett visst register eller en förteckning över vissa uppgifter, utan att uttryckligen peka ut den personuppgiftsansvarige. Som exempel kan nämnas lagen om värde- pappersmarknaden, där det i 6 kap. 7 § föreskrivs att för register över anknutna ombud, där de uppgifter som enligt lag eller andra författningar ska tas in i register skrivs in. Både ändamålen med och medlen för behandlingen bestäms i lagen (se 6 kap. 1 §). Detta möjliggör enligt artikel 4.7 i dataskyddsförordningen att det i nationell rätt före- skrivs vem som är personuppgiftsansvarig. Att den personuppgifts- ansvarige får pekas ut i nationell rätt betyder emellertid inte att så måste ske. De berörda lagarna behöver därför inte kompletteras med uppgift om vem som är personuppgiftsansvarig. 7.1Rättigheterna enligt dataskyddsförordningen och dataskyddslagen I dataskyddsförordningens tredje kapitel behandlas den registrerades rättigheter. Kapitlet avser rätten till information (artiklarna 13 och 14) och tillgång till bl.a. registerutdrag (artikel 15). Vidare behandlas rätten till rättelse (artikel 16), radering (artikel 17), begränsning av behandling (artikel 18) och dataportabilitet (artikel 20). Slutligen behandlas rätten att göra invändningar (artikel 21) och att motsätta sig automatiskt individu- ellt beslutsfattande (artikel 22). I anslutning till dessa rättigheter finns bestämmelser om hur och när information ska lämnas (artikel 12) och bestämmelser om anmälningsskyldighet för det fall rättelse, radering eller begränsning av behandling sker (artikel 19). Bestämmelserna om den registrerades rättigheter, med motsvarande skyldigheter för den personuppgiftsansvarige, är direkt tillämpliga. Rättigheterna är emellertid inte absoluta utan kan enligt artikel 23 i dataskyddsförordningen begränsas under vissa, i artikeln angivna, förut- sättningar. 2017/18:105 föreslås att det i den nya dataskyddslagen görs undantag från informationsskyldigheten enligt artiklarna 13–15 i dataskyddsförordningen p.g.a. sekretesskäl (5 kap. 1 § dataskyddslagen). Där föreslås vidare att den registrerades rätt till registerutdrag som huvudregel inte ska omfatta personuppgifter i löpande text som inte fått sin slutliga utformning när begäran gjordes eller som utgör minnes- anteckning eller liknande (5 kap. 2 § dataskyddslagen). Slutligen föreslås Prop. 2017/18:142 ett generellt bemyndigande för regeringen att meddela föreskrifter om ytterligare begränsningar enligt artikel 23 i dataskyddsförordningen (5 kap. 3 § dataskyddslagen). Regeringens bedömning: Bestämmelser om tystnadsplikt angående personuppgifter på finansmarknadsområdet är förenliga med EU:s dataskyddsförordning och bör stå kvar oförändrade. Regeringens förslag: Hänvisning till personuppgiftslagen i bestäm- melsen om tystnadsplikt gentemot förmånstagare i försäkringsrörelse- lagen ska ersättas med hänvisning till dataskyddsförordningen. Promemorians bedömning och förslag överensstämmer med regeringens bedömning och förslag. Remissinstanserna tillstyrker bedömningen och förslaget eller har inget att invända mot dem. Skälen för regeringens bedömning och förslag Allmänt om undantag från rätt till information vid lagstadgad Den personuppgiftsansvariges skyldighet att självmant tillhandahålla den registrerade information om behandlingen av personuppgifter följer av artiklarna 13 och 14 i dataskyddsförordningen. Motsvarande regler, om än inte lika utförliga, finns i artiklarna 10 och 11 i dataskyddsdirektivet, vilka i svensk rätt har genomförts genom 23–25 §§ PUL. rade har vidare enligt artikel 15 i dataskyddsförordningen rätt att på begäran få information om och tillgång till de personuppgifter som behandlas (s.k. registerutdrag). I artikel 14.5 i dataskyddsförordningen föreskrivs flera direkt tillämp- liga undantag från rätten till information angående uppgifter insamlade från annan än den registrerade, bl.a. om personuppgifterna måste förbli konfidentiella till följd av tystnadsplikt enligt unionsrätt eller nationell inbegripet lagstadgade sekretessförpliktelser (led d). anges endast att rätten till registerutdrag (kopia av de personuppgifter som är under behandling) inte ska påverka menligt på andras friheter och Bestämmelsen i artikel 23 möjliggör dock ytterligare undan- tag på samma sätt som dataskyddsdirektivet (jfr SOU 2017:39 s. 205). Enligt artikel 23.1 i dataskyddsförordningen ska det vara möjligt att i unionsrätten eller i en medlemsstats nationella rätt begränsa tillämp- ningsområdet för de skyldigheter och rättigheter som föreskrivs i bl.a. artiklarna 13–15, om en sådan begränsning sker med respekt för ande- meningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa bl.a. den nationella eller allmänna säkerheten (artikel 23.1 a respektive c) eller förebyggande, förhindrande, utredning, avslöjande eller lagföring av brott eller verkställande av straffrättsliga sanktioner, inbegripet skydd mot samt förebyggande och förhindrande av hot mot 2017/18:142 den allmänna säkerheten (artikel 23.1 d). Vidare gäller rätt till sådana undantag i syfte att säkerställa andra av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse, särskilt ett av unionens eller en medlemsstats viktiga ekonomiska eller finansiella intressen (artik- el 23.1 e). Ett annat syfte som omfattas av möjligheten till undantags- bestämmelser är säkerställande av skydd av den registrerades eller andras rättigheter och friheter (23.1 i). Av det direkt tillämpliga undantaget i artikel 14.5 d i dataskyddsförord- ningen följer alltså att den personuppgiftsansvarige inte på eget initiativ behöver förse den registrerade med information angående uppgifter insamlade från annan än den registrerade så snart uppgifterna omfattas av lagstadgad tystnadsplikt. anser det behövligt att klargöra att sådan tystnadsplikt också kan medföra att en begäran från den registrerade om bekräftelse och information enligt artikel 15 ska avslås. Mot denna bakgrund föreslår utredningen, som nämns i av- snitt 7.1, att det i den nya dataskyddslagen ska anges en generell bestäm- melse om att den registrerades rätt till information och tillgång till upp- gifter enligt artiklarna 13–15 inte gäller sådana uppgifter som den personuppgiftsansvarige inte får lämna ut till den registrerade enligt lag eller annan författning eller enligt beslut som har meddelats med stöd av författning. Den nuvarande generella bestämmelsen om sådant undantag finns i 27 § PUL. Mot bakgrund av att bedömer att rättsläget när det gäller möjligheten att begränsa den registrerades rätt till information och tillgång till uppgifter inte förändras i och med dataskyddsförord- ningen föreslår utredningen att den nya bestämmelsen ska motsvara nuvarande 27 § PUL i dess helhet. bedömer på samma sätt att förarbetsuttalanden och praxis rörande 27 § PUL bör kunna vara vägledande även vid tillämpningen av den nya bestämmelsen (se samma betänkande s. 204–206). 2017/18:105 innehåller förslag i enlighet med betänkandet (s. 106 f.). Bestämmelser på finansmarknadsområdet om tystnadsplikt avseende visselblåsning I flera författningar på finansmarknadsområdet finns bestämmelser om sådan tystnadsplikt som enligt 27 § PUL, och den föreslagna bestäm- melsen i 5 kap. 1 § dataskyddslagen, ska gälla framför den registrerades rättigheter enligt artiklarna 13–15 i dataskyddsförordningen. I flera författningar finns bestämmelser om tystnadsplikt till skydd för s.k. visselblåsare. Innebörden av dessa är att uppgift i en anmälan eller en utsaga om en misstänkt överträdelse av en bestämmelse som gäller för verksamheten hos t.ex. en värdepapperscentral, ett fondbolag, ett kredit- institut eller ett annat finansiellt företag, inte får röjas obehörigen om uppgiften kan avslöja anmälarens identitet. Enligt fyra författningar gäller dessutom tystnadsplikt avseende uppgifter som kan avslöja den anmälde (ibland ”den utpekade”) personens identitet (8 kap. 2 § konto- föringslagen, 2 kap. 8 § LKMF, 1 kap. 11 § lagen om värdepappersmark- naden och 20 § lagen [2017:317] med kompletterande bestämmelser till EU:s förordning om faktablad för Priip-produkter). den anmälde personen är motiverad av integritetsskäl (prop. s. 226, prop. 2016/17:22 s. 329, prop. 2016/17:78 s. 57 och prop. 2016/17:162 s. 517). Tystnadsplikten enligt dessa bestämmelser avser endast skydd för obehörigt röjande. Med obehörigt röjande avses t.ex. inte att uppgifter lämnas på begäran av behöriga utredande myndigheter (se t.ex. prop. 2016/17:22 s. 321). Övriga bestämmelser om tystnadsplikt Utöver bestämmelser om tystnadsplikt i förhållande till visselblåsning finns ytterligare regler om tystnadsplikt med verkan mot en registrerad i 8 kap. 4 § kontoföringslagen, samt i 4 kap. 14 § försäkringsrörelselagen (2010:2043). Även i penningtvättslagen finns sådana bestämmelser om tystnadsplikt (se nedan). Bestämmelsen i 8 kap. 4 § kontoföringslagen ger en undersöknings- ledare eller åklagare som begär uppgifter från en svensk värdepappers- central, eller ett kontoförande institut, om enskildas förhållanden enligt 8 kap. 2 a § samma lag, rätt att besluta att värdepapperscentralen eller det kontoförande institutet samt värdepapperscentralens eller institutets styrelseledamöter och anställda inte får röja för kunden eller för någon utomstående att uppgifter har lämnats eller att det pågår en förunder- sökning eller ett ärende om rättslig hjälp i brottmål. Penningtvättslagen innehåller en huvudregel om tystnadsplikt gent- emot bl.a. en kund hos en verksamhetsutövare angående verksamhets- utövarens bedömning om det finns skälig grund att misstänka att transak- tioner eller andra aktiviteter utgör penningtvätt eller finansiering av terrorism eller att egendom annars härrör från brottslig handling (4 kap. 9 §). Samma tystnadsplikt gäller angående att verksamhetsutövaren lämnar uppgifter om sådana misstankar till enligt 4 kap. 3 eller 6 §. Enligt 5 kap. 7 § penningtvättslagen får besked om att personuppgifter behandlas avseende sådana åtgärder som nämns ovan och om att sådana uppgifter lagras inte lämnas ut till den registrerade. Tystnadsplikt enligt 5 kap. 11 § samma lag innebär att den som är verksam hos en verk- samhetsutövare inte obehörigen får röja att känsliga personuppgifter eller personuppgifter om lagöverträdelser behandlas enligt samma lag. Bestämmelsen i 4 kap. 14 § försäkringsrörelselagen stadgar att en personuppgift som anger att en försäkringstagare har vidtagit disposi- tioner beträffande försäkringsbelopp som utfaller till förmån för någon annan och som behandlas enligt PUL inte får lämnas ut till förmånstagaren. I så måtto att ovan nämnda begränsningar av den registrerades rätt till information grundar sig i bestämmelser om lagstadgad tystnadsplikt är de förenliga med det direkt tillämpliga undantaget i artikel 14.5 d i data- skyddsförordningen från den personuppgiftsansvariges skyldighet att på eget initiativ informera den registrerade. Att därutöver låta bestämmel- serna innebära undantag från den registrerades rätt till bekräftelse och information enligt artikel 15, liksom den registrerades rätt till informa- tion om behandling avseende uppgifter insamlade från den registrerade själv enligt artikel 13, förutsätter att ett sådant undantag är förenligt med förordningens bestämmelser om begränsningar av den registrerades rättigheter enligt artikel 23 (bortsett från att artikel 15.4 som nämns ovan stadgar om att en rätt till registerutdrag inte får inverka menligt på andras rättigheter och friheter). Bestämmelserna om tystnadsplikt när det gäller visselblåsning kan innebära att någon som blivit utpekad av en anmälare inte har rätt att begära ut information om denna behandling av personuppgifter i den mån denna information kan avslöja anmälarens identitet. I de fyra författ- ningar som nämns ovan där även den anmäldes identitet skyddas av sekretess är det inte skäl för sekretess gentemot den anmälde eftersom sådan sekretess endast motiveras av integritetsskäl, och inte t.ex. Av naturliga skäl gäller inte sekretess avseende den anmäldes identitet gentemot anmälaren heller. I den mån tredje mans personuppgifter behandlas i samband med en anmälan kan dock sekretess avseende såväl den utpekades som anmälarens identitet hindra att tredje man har rätt att begära ut information om behandlingen. Samtliga nuvarande bestämmelser i svensk rätt på finansmarknads- området om tystnadsplikt i förhållande till visselblåsning har sin grund i unionsrätten (se bl.a. och rådets förordning [EU] nr 909/2014 av om förbättrad värdepappersavveckling i Europeiska unionen och om värdepapperscentraler samt ändring av direktiv /26/EG och 2014/65/EU och förordning [EU] nr 236/2012, samt direktiv /36/EU av om behörighet att utöva verksamhet i kreditinstitut och om tillsyn av kreditinstitut och värdepap- persföretag, om ändring av direktiv /87/EG och om upphävande av direktiv /48/EG och 2006/49/EG). Bestämmelserna till skydd för anmälaren – visselblåsaren – syftar bl.a. till att säkra viktiga mål av all- mänt intresse för såväl unionen som . Eftersom en anmälan eller utsaga om en misstänkt överträdelse av bestämmelser som gäller för de berörda verksamheterna kan avse såväl brott som överträdelse av gällande etiska regler aktualiserar bestämmelserna även undantagen i artikel 23.1 d och g i dataskyddsförordningen. för den anmäldes integritet faller under artikel 23.1 i om skydd för den registrerades rättigheter och friheter. avseende visselblåsning bedöms respektera andemeningen i de grund- läggande rättigheterna och friheterna och utgöra nödvändiga och propor- åtgärder i ett demokratiskt samhälle, samt leva upp till de övriga kraven i artikel 23.2. Med hänsyn till detta, samt till att nuvarande bestämmelser ansetts vara förenliga med dataskyddsdirektivet, bör de När det gäller bestämmelserna om tystnadsplikt i kontoföringslagen och penningtvättslagen kan det först konstateras att även om tystnads- plikten enligt dessa bestämmelser avser att främja utredning av brott etc. rör bestämmelserna andra än behöriga brottsutredande myndigheter. Bestämmelserna faller därför inte utanför dataskyddsförordningens Genom sina syften går det vidare att konstatera att bestämmelserna gör flera av bestämmelserna om begränsningar i artik- el 23.1 i dataskyddsförordningen tillämpliga, såsom artikel 23.1 d av- seende förebyggande och utredande av brott m.m. penningtvättslagen aktualiseras också bestämmelserna i artikel 23.1 a och c avseende den nationella respektive den allmänna säkerheten. bestämmelsen i artikel 23.1 e angående andra viktiga mål av generellt Prop. 2017/18:142 allmänt intresse aktualiseras. Bestämmelserna om tystnadsplikt i konto- föringslagen och penningtvättslagen bedöms respektera andemeningen i de grundläggande rättigheterna och friheterna och utgöra nödvändiga och proportionella åtgärder i ett demokratiskt samhälle, samt leva upp till de övriga kraven i artikel 23.2 i dataskyddsförordningen. Med hänsyn till detta bör de kvarstå oförändrade.