sou · H7B346d3 · 2019-11-29 00:00:00 — Det finns vidare ett behov av att inhämta uppgifter från deltagare i system för betalningsavveckling som tillhandahåller, ju- ridiska personer som har ett kvalificerat innehav i en sådan deltagare och företag till vilka en sådan deltagare har utkontrakterat verksam- het. Detta avser alltså verksamhet om att tillhandahålla ett system för betalningsavveckling och i övrigt bidra till ett stabilt och effektivt finansiellt system. Många av deltagarna i nuvarande system för betalningsavveckling, RIX-systemet, står under tillsyn av och är därför uppgiftsskyldiga enligt gällande rätt och enligt förslaget ovan om en generellt formulerad uppgiftsskyldighet för finansiella företag. Det kan dock förekomma sådana deltagare som inte ryms inom den föreslagna definitionen av finansiella företag. Även dessa bör vara skyldiga att lämna nödvän- diga uppgifter. Omvänt skulle det kunna förekomma s.k. penning- politiska motparter som inte är deltagare i det ovannämnda systemet. I vissa fall kan det finnas ett behov av att inhämta uppgifter från kvalificerade ägare till deltagare i system som tillhanda- 2010/11:FiU16 s. 9. håller och från företag till vilka sådana deltagare har utkontrakterat verksamhet (jfr avsnitt 21.3). En deltagare kan t.ex. ha utkontrakte- rat viss it-verksamhet som är av betydelse för deltagarens möjlig- heter att fullgöra sina förpliktelser. För att säkerställa att Riksban- ken kan få del av den information som banken behöver, föreslås att de uppgiftsskyldigas krets utvidgas till att avse nämnda aktörer. Den utkontrakterade verksamheten ska dock ha samband med deltagan- det i det system för betalningsavveckling som tillhanda- håller för att ska få inhämta uppgifter. Detta innebär en utvidgning av uppgiftsskyldigheten jämfört med gällande rätt. Administratörer av finansiella infrastruktursystem och vissa andra juridiska personer bör också inom ramen för övervakningen av den finan- siella infrastrukturen kunna få tillgång till uppgifter från de företag som är föremål för övervakning, dvs. administratörer av finansiella infrastruktursystem och andra juridiska personer som enligt Riks- bankens bedömning är av särskild betydelse för stabiliteten och effek- tiviteten i den finansiella infrastrukturen. Bakgrunden till detta är att enligt kommitténs för- slag ska övervaka den finansiella infrastrukturen (se avsnitt 21.3). För att övervakningen ska fungera på ett ändamålsenligt sätt behöver administratörer av finansiella infrastruktursystem och andra juri- diska personer som är av särskild betydelse för den finansiella infra- strukturen vara skyldiga att lämna nödvändiga uppgifter till Riks- banken. Till den sistnämnda kategorin juridiska personer hör exempelvis större ägare till de företag som driver systemen, banker som deltar i dem och juridiska personer som kontrollerar de regelverk som styr sådana system. De nämnda juridiska personerna torde i stor ut- sträckning vara finansiella företag enligt definitionen ovan. Större ägare kan dock vara icke-finansiella företag. Detsamma gäller vissa deltagare i exempelvis en central motpart. I vissa fall kan t.ex. en förening som inte står under tillsyn ha del i clearingverksamhet av stor omfattning, exempelvis vad gäller och den s.k. dataclearingen. En sådan förening får anses vara av särskild betydelse för den finansiella infrastrukturen och således uppgiftsskyldig (jfr avsnitt 21.3). Inte endast de företag inom den finansiella infrastrukturen som står under övervakning av bör vara skyldiga att lämna uppgifter. Dessa företag kan nämligen utkontraktera viktig verksam- het till underleverantörer, exempelvis vad gäller it-verksamhet. För att kunna övervaka stabilitet och effektivitet i den finansiella infra- strukturen behöver även kunna få tillgång till uppgifter direkt från sådana underleverantörer, såvitt gäller förhållanden som avser en viss administratör av ett finansiellt infrastrukturföretag. Detta innebär en utvidgning av uppgiftsskyldigheten jämfört med gällande rätt. Juridiska personer och näringsidkare som omfattas av planerings- och kontrollansvar Dessutom förutsätter ansvar för krisberedskap och höjd beredskap att de juridiska personer och näringsidkare som om- fattas av planerings- och kontrollansvar ska vara skyl- diga att lämna nödvändig information till banken. I annat fall är det svårt för att fullgöra ett sådant ansvar. pla- nerings- och kontrollansvar föreslås i avsnitt 35.7.3 omfatta: •vissa deltagare i system för betalningsavveckling •andra juridiska personer som är av särskild betydelse för genom- förandet av betalningstransaktioner i •näringsidkare inom kontanthanteringen (se vidare nedan). Denna krets är vidare än finansiella företag eftersom den inkluderar även företag som inte står under tillsyn av eller en utländsk tillsynsmyndighet. I avsnitt 34.5.1 berörs behovet av uppgifter om kontanthante- ringen. Där konstateras att framför allt kommer att be- höva inhämta information från företag som står under Finansin- spektionens tillsyn, dvs. svenska finansiella företag. Dessa ryms in- om den föreslagna definitionen av uttrycket finansiella företag. Detta gäller bl.a. banker och företag som driver uppräkningsverk- samhet enligt lagen (2010:751) om betaltjänster. Det kan dock även finnas ett behov av att inhämta uppgifter från andra än finansiella företag enligt kommitténs definition. Det gäller den som driver så- dan yrkesmässig, fysisk transport av kontanter som avses i lagen om betaltjänster och den som tillhandahåller tjänster för uttag och in- sättning av kontanter som är av särskild betydelse för genomföran- det av betalningar med sedlar och mynt. Uppgiftsskyldigheten bör således avse även dessa aktörer. Detta kan åstadkommas genom att de näringsidkare inom kontanthanteringen som berörs i bestämmel- serna om krisberedskap och höjd beredskap också omfattas av upp- giftsskyldigheten enligt kapitlet om kontanter i den nya riksbanks- lagen. Den som har utfört transaktioner med en utländsk motpart Utöver detta behöver liksom för statistikändamål uppgifter från den som för egen eller annans räkning har utfört transaktioner med utländsk motpart eller hållit tillgångar och skul- der med utlandsanknytning. Detta avser betalnings- balansstatistik och statistik över utlandsställningen, se avsnitt 36.1.3. Denna bestämmelse behöver föras över till den nya riksbankslagen för att ska kunna framställa statistiken. Uppgifter från andra än finansiella företag Hot mot det finansiella systemet kan uppstå även utanför det finan- siella systemet. I det föregående föreslår kommittén att ska kunna vända sig till andra juridiska personer än finansiella före- tag för sin övervakning av den finansiella infrastrukturen. Kommit- tén föreslår dock inte någon generell bestämmelse om att Riksban- ken ska få inhämta information även från andra juridiska personer än tillståndspliktiga finansiella företag. Exempelvis föreslås inte nå- gon uppgiftsskyldighet för företag som är enbart är registrerade hos och alltså inte står under någon tillsyn i vanlig mening4 eller från innehavare av värdepapper. En sådan uppgiftsskyl- dighet framstår som alltför betungande i förhållande till vilken even- tuell betydelse som de aktuella uppgifterna kan ha i förhållande till penningpolitiken och stabiliteten i det finansiella systemet. Riks- banken får inte heller rätt att inhämta uppgifter direkt från privat- personer med kommitténs förslag (se dock vad som anförs ovan om att inhämta information på frivillig väg). behöver kunna meddela föreskrifter om uppgiftsskyl- digheten, exempelvis om vilka som ska lämna uppgifter, vilka upp- gifter som ska lämnas och tidpunkten för detta. I fråga om t.ex. sta- tistikproduktion kan det finnas ett behov av att föreskriva vissa tid- punkter då uppgifter ska lämnas. behöver även kunna meddela föreskrifter om att uppgifter som ska lämnas till Riks- banken i stället ska lämnas till . Kommittén föreslår därför at ska ges en föreskriftsrätt i fråga om uppgiftsskyldigheten. Detta förslag överensstämmer med gällande rätt. Beträffande föreskrifter om andra uppgifter än sådana som rör betalningsbalansstatistiken och statistik över utlandsställningen ska ge och till- fälle att yttra sig. En motsvarande bestämmelse finns i 6 kap. 10 § riksbankslagen. Den föreslagna bestämmelsen överensstämmer såle- des i sak med gällande rätt. Ordet samråd bör dock bytas ut mot ”tillfälle att yttra sig”. Det är också den formulering som används beträffande motsvarande föreskriftsrätt, se t.ex. 5 kap. 2 b § förordningen (2004:329) om bank- och finansierings- rörelse. 4Med detta avses företag som inte behöver ansöka om tillstånd av för att få driva sin verksamhet, nämligen s.k. finansiella institut och inlåningsföretag, inklusive spar- och låneföreningar. Det räcker att ett sådant företag ansöker om registrering av verksamheten. Bland annat i avsnitten 35.7.8 och 36.2 lämnas förslag till ändringar i offentlighets- och sekretesslagen. Enligt kommitténs bedömning in- nebär dessa förslag ett tillräckligt sekretesskydd även med den ut- vidgade kretsen av uppgiftsskyldiga som föreslås i det föregående. I avsnitt 36.5 föreslås att ska få besluta om de föreläg- ganden som behövs för att uppgiftsskyldigheten enligt förslaget ovan och föreskrifter som avser bl.a. uppgiftsskyldighet ska följas. Kommitténs förslag: ska löpande framställa och of- fentliggöra betalningsbalansstatistik, statistik över utlandsställ- ningen och statistik över finansmarknaderna. får också framställa och sprida statistik som 1.är nödvändig för att banken ska kunna utföra sina uppgifter enligt denna lag, eller 2.behövs med anledning av samarbetet inom ECBS eller Banken för internationell betalningsutjämning, Internationella valuta- fonden eller andra internationella organisationer. För framställning av statistik tillämpas bestämmel- serna om uppgiftsskyldighet (se avsnitt 36.1.2). I avsnitt 36.1.2 föreslår kommittén att det ska framgå av riksbanks- lagen vilka finansiella företag och andra aktörer som ska vara skyl- diga att lämna uppgifter till . Vilka uppgifter som ska lämnas i det konkreta fallet, vem som ska lämna uppgifterna och när de ska lämnas beslutas dock av . För att de uppgifter som inhämtas ska kunna användas i verksamhet behöver uppgifterna som regel behandlas genom exempelvis registrering, or- ganisering och bearbetning. Någon särskild bestämmelse om detta behövs dock inte i riksbankslagen. Däremot bör det finnas bestäm- melser om statistikproduktion, eftersom detta är en central del av verksamhet. I avsnitt 36.1.1 beskrivs gällande rätt. Kommittén anser att de be- stämmelser om statistikprodukter som finns i den nuvarande riks- bankslagen ska föras över till den nya riksbankslagen. Det innebär att det av den nya riksbankslagen ska framgå att löpande ska framställa och offentliggöra betalningsbalansstatistik och sta- tistik över utlandsställningen. framställer emellertid också statistik över finansmark- naderna som publiceras av . Även denna stati- stikprodukt är av sådan betydelse att det bör framgå av riksbanks- lagen att ska framställa och offentliggöra den. Denna statistik inkluderar bl.a. den betalningsstatistik som framställs av . Att ska framställa och offentliggöra stati- stik hindrar dock inte att i stället ger Statistiska cen- tralbyrån i uppdrag att göra det. Det är dock inte möjligt att uttömmande räkna upp vilka sta- tistikprodukter som ska framställa. istället tas in en bestämmelse som ger stöd för att fram- ställa och sprida statistik som är nödvändig för att banken ska kunna utföra sina uppgifter enligt denna lag. Denna statistik inkluderar bl.a. annan statistik över valuta- och kreditförhållanden än den som nämns ovan. Därutöver behöver ta fram statistik med anledning av samarbetet inom ECBS eller Banken för internationell betalnings- utjämning, och andra internationella organisationer. Kommittén föreslår att en uttrycklig bestämmelse om statistikproduktion i dessa syften tas in i den nya riksbankslagen. Att framställa statistik är en uppgift som har. Riks- bankens statistikframställning får basera sig på uppgifter som samlas in med stöd av de bestämmelser om uppgiftsskyldighet som föreslås En särskild bestämmelse som upplyser om detta ska tas in i den nya riksbankslagen. Statistiken får dock också basera sig på andra uppgifter, t.ex. publika uppgifter. och annan behandling av personuppgifter, ska ske inom de gränser som följer av framför allt 2 kap. 6 och 20 §§ regeringsformen, EU:s dataskyddsförordning5 och lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen). Med behandling av personuppgifter avses ”en åt- gärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs auto- matiserat eller ej, såsom insamling, registrering, organisering, struk- turering, lagring, bearbetning eller ändring, framtagning, läsning, an- vändning, utlämning genom överföring, spridning eller tillhandahål- lande på annat sätt, justering eller sammanförande, begränsning, ra- dering eller förstöring” (artikel 4 i dataskyddsförordningen). I det följande behandlas översiktligt vilka begränsningar reger- ingsformen och dataskyddsregleringen innebär för myndigheters möjligheter att samla in och på annat sätt behandla personuppgifter. Enligt dataskyddsregleringen krävs att det finns en rättslig grund för att en myndighet ska få behandla personuppgifter. En sådan rättslig grund är att behandlingen är nödvändig för att utföra en uppgift av allmänt intresse som följer av lag eller annan författning, kollektiv- avtal eller beslut som har meddelats med stöd av lag eller annan för- fattning.6 Regeringen har i förarbetena till dataskyddslagen uttalat att för att myndigheternas verksamhet ska fungera måste begreppet ”uppgift av allmänt intresse” ges en vid innebörd. Enligt regeringen är alla uppgifter som riksdag eller regering har gett i uppdrag åt stat- liga myndigheter att utföra av allmänt intresse.7 De åtgärder som 5Europaparlamentets och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). 6Att en uppgift följer av en lagbestämmelse innebär inte att uppgiften måste framgå direkt av en författning. Vid bedömningen av om uppgiften följer av en lagbestämmelse kan bl.a. förar- betsuttalanden, bestämmelsens syfte och den rättsliga kontext bestämmelsen befinner sig i behöva beaktas (prop. 2017/18:105 s. 188 och 189). 2017/18:142 s. 27 konstateras att de uppgifter som myndigheter och privata aktörer har enligt lagarna på finansmarknadsområdet eller enligt beslut som har meddelats med stöd av sådana lagar regelmässigt är uppgifter av allmänt intresse. I vart fall utgör de rättsliga för- pliktelser och kan dessutom innefatta myndighetsutövning. myndigheterna vidtar i syfte att utföra dessa uppdrag ger alltså stöd för behandling av personuppgifter. (2 kap. 2 § dataskyddslagen och prop. 2017/18:105 s. 49, 56 och 57).8 Behandlingen av personuppgifter måste dock enligt dataskydds- lagen vara nödvändig för att myndigheten ska kunna utföra en upp- gift som den tilldelats. I det ligger bl.a. att den metod som myndig- heten väljer för att utföra sin uppgift måste vara ändamålsenlig, effektiv och proportionerlig (prop. 2017/18:105 s. 60 och 189). I förarbetena till dataskyddslagen konstaterade regeringen vidare att den rättsliga grunden bör vara tydlig och precis och dess tillämp- ning förutsebar för den som omfattas av den i enlighet med rätts- praxis från och Europeiska domstolen för de mänsk- liga rättigheterna (skäl 41 i dataskyddsförordningen). Vilken grad av tydlighet och precision som krävs i fråga om den rättsliga grunden för att en viss behandling av personuppgifter ska anses vara nödvän- dig måste enligt regeringens mening bedömas utifrån behandlingens och verksamhetens karaktär. Om intrånget är betydande och innebär övervakning eller kartläggning av den enskildes personliga förhållan- den krävs dessutom särskilt lagstöd enligt 2 kap. 6 och 20 §§ reger- ingsformen (prop. 2017/18:105 s. 50 och 51).9 För uppgifter som enligt dataskyddsförordningen klassificeras som känsliga uppgifter gäller särskilda begränsningar. Med känsliga uppgifter avses bl.a. personuppgifter som avslöjar etniskt ursprung, politiska åsikter, uppgifter om hälsa m.m. Uppgifter om en persons ekonomiska förhållanden räknas inte som känsliga uppgifter enligt dataskyddsförordningen. När en myndighet samlar in eller på annat sätt behandlar person- uppgifter måste den också beakta bl.a. de grundläggande principer som anges i artikel 5 i dataskyddsförordningen och proportionali- tetskravet i 5 § förvaltningslagen.10 8Myndigheten behöver inte vara skyldig att utföra uppgiften för att uppgiften ska anses vara av allmänt intresse. 9Enligt 2 kap. 6 § andra stycket regeringsformen är var och en gentemot det allmänna skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Denna rättighet är inte absolut, utan kan begränsas genom lag (2 kap. 20 § regeringsformen). Sådana begräns- ningar får dock endast göras för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle. De får aldrig gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den (2 kap. 21 § regeringsformen). 10Enligt artikel 5 i dataskyddsförordningen ska följande gälla vid behandling av personuppgif- ter: a) Uppgifterna ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den kan behöva olika typer av uppgifter för att få sin verk- samhet att fungera, t.ex. uppgifter om de anställda. Här ligger dock fokus på den typ av personuppgifter som kan behöva inhämta från banker och andra företag för att fullgöra sin verksam- het, dvs. främst uppgifter som rör enskildas ekonomiska förhållan- den, t.ex. lån och insättningar. Sådana uppgifter är inte känsliga upp- gifter enligt dataskyddsregleringen men är typiskt sett integritets- känsliga. Behandlingen av sådana uppgifter kan leda till ett mer känn- bart intrång för de enskilda. behöver en rättslig grund för att behandla sådana uppgifter och den rättsliga grunden ska vara tydlig och precis och dess tillämpning förutsebar för den som om- fattas av den. De uppgifter som har getts i uppdrag att utföra enligt riksbankslagen är relativt konkreta men överlämnar i stor utsträck- ning till att bestämma hur uppgifterna ska utföras. Det framgår inte heller av lagen vilka personuppgifter, eller andra upp- gifter, som får samla in från de finansiella aktörerna eller hur de i övrigt får behandlas. Det har överlämnats till att bestämma men behandlingen ska vara nödvändig för att ska kunna fullgöra sina uppgifter och i övrigt förenlig med data- skyddsregleringen. Som konstateras i avsnitt 36.1.2, kan för att utföra sina uppgifter avseende penningpolitiken behöva uppgifter om ban- kernas inlåning från och utlåning till bl.a. hushåll. registrerade (laglighet, korrekthet (eng. fairly) och öppenhet). b) De ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är ofören- ligt med dessa ändamål. Ytterligare behandling för arkivändamål av allmänt intresse, vetenskap- liga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 ska inte anses vara oförenlig med de ursprungliga ändamålen (ändamålsbegränsning). c) De ska vara ade- kvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (upp- giftsminimering). d) De ska vara korrekta och om nödvändigt uppdaterade. Alla rimliga åtgärder måste vidtas för att säkerställa att personuppgifter som är felaktiga i förhållande till de ändamål för vilka de behandlas raderas eller rättas utan dröjsmål (korrekthet). e) De får inte förvaras i en form som möjliggör identifiering av den registrerade än vad som är nödvän- digt för de ändamål för vilka personuppgifterna behandlas. Personuppgifter får lagras i den mån som personuppgifterna enbart behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1, under förutsättning att de lämpliga tekniska och organisatoriska åtgärder som krävs enligt denna förordning genomförs för att säkerställa den registrerades rättigheter och friheter (lagringsminimering). f) De ska behandlas på ett sätt som säkerställer lämplig säkerhet för per- sonuppgifterna, inbegripet skydd mot obehörig eller otillåten behandling och mot förlust, för- störing eller skada genom olyckshändelse, med användning av lämpliga tekniska eller organisato- riska åtgärder (integritet och konfidentialitet). inhämtas från bl.a. banker, men på aggregerad nivå. Enligt vad kommittén erfar är och övriga behandling av personuppgifter av mindre omfattning. Den nuvarande riksbankslagen innehåller inte några uttryckliga bestämmelser om personuppgiftsbehandling. De upp- gifter och befogenheter som tilldelas i den nya riksbank- slagen motiverar inte några författningsändringar i detta avseende. i detta betänkande (avsnitt 28.2) föreslår kommittén att det ska gälla ett instruktionsförbud när samlar in de stati- stikuppgifter som behövs inom Europeiska centralbankssystemet (9 kap. 13 § första stycket 5 regeringsformen). Det oberoendet gäller oavsett i vilken verksamhet uppgifterna samlas in, t.ex. finansiell sta- bilitet eller penningpolitik. Merparten av uppgiftsin- samling avser dock dess nationella uppgifter och omfattas inte av det nämnda instruktionsförbudet. När samlar in uppgifter för att utforma och genomföra penningpolitiken gäller dock in- struktionsförbudet enligt regeringsformen 9 kap. 13 § första stycket 1. Kommitténs förslag: Lagen (2014:484) om en databas för över- vakning av och tillsyn över finansmarknaderna ändras på följande sätt: 1.Uppgifter får behandlas i databasen för sammanställning och analys av information som behövs i verksamhet avseende det finansiella systemet. 2.I databasen får behandlas uppgifter som har samlats in med stöd den nya riksbankslagens bestämmelser om uppgiftsskyl- dighet, utom den som avser betalningsbalanssta- tistik och statistik över utlandsställningen. För att en uppgift ska få tas in i databasen för övervakning och tillsyn över finansmarknaden, ska den samlas in med stöd av föreskrifter om periodisk rapportering. För driften av databasen föreslår kom- mittén att också får meddela föreskrifter om att vissa uppgifter som enligt ovan ska lämnas till i stället ska lämnas till . Till följd av den nya riksbankslagen behöver det också göras en ändring i lagen om en databas för övervakning och tillsyn över fi- nansmarknaderna (databaslagen) och den bestämmelse i offentlig- hets- och sekretesslagen som behandlar sekretess för uppgifter i da- tabasen. Enligt den nuvarande lydelsen av databaslagen får uppgifter behandlas i databasen för sammanställning och analys av informa- tion som behövs bl.a. i verksamhet för att främja ett säkert och effektivt betalningsväsende (2 § 1). Uttrycket betalnings- väsendet utmönstras dock ur riksbankslagstiftningen (jfr avsnitt 13.1). Databaslagen bör därför ändras på så sätt att bestämmelsen i stället ska avse information som behövs i verksamhet avse- ende det finansiella systemet enligt den nya riksbankslagen, vilket har ett vidare tillämpningsområde. Vidare anger 3 § databaslagen att i databasen får sådana uppgifter behandlas som har samlats in med 6 kap. 9 § första och andra styck- ena riksbankslag. Eftersom den lagen upphävs måste hän- visningen ersättas med en hänvisning till bestämmelser i den nya riksbankslagen. Kommittén föreslår att en hänvisning ska ske till de bestämmelser som föreslås i avsnitt 36.1.2, men med ett undantag.