sou · H9B342 · 2021-06-01 00:00:00 — lig grund är alltså uppfyllt och syftet – att vidta åtgärder mot penning- tvätt eller finansiering av terrorism – får anses framgå vid en samlad läsning av de föreslagna bestämmelserna. Utredningen har bedömt att det intrång i den enskildes integritet som ordningen innebär är proportionerligt i förhållande till målet att vidta åtgärder mot pen- ningtvätt och finansiering av terrorism (se t.ex. avsnitt 14.3, 14.4 och 15.1). Myndigheternas personuppgiftsbehandling för att fullgöra den föreslagna uppgiftsskyldigheten har således stöd i gällande person- uppgiftsregelverk. Av artikel 43 i fjärde penningtvättsdirektivet, i lydelsen enligt femte penningtvättsdirektivet, framgår att behandling av personuppgifter på grundval av direktivet för att förhindra penningtvätt och finan- siering av terrorism ska betraktas som en fråga om allmänt intresse enligt EU:s dataskyddsförordning. Personuppgiftsbehandling vid uppgiftslämnande inom ramen för en särskilt beslutad samverkan har således även stöd i den rättsliga grund som handlar om utförande av en uppgift av allmänt intresse. Vidare kan det röra sig om myndig- hetsutövning. Inom ramen för en särskilt beslutad samverkan kan det finnas behov av att behandla en personuppgift för ett annat ändamål än det för vilken uppgiften ursprungligen samlades in. En allmän dataskydds- rättslig princip är att personuppgifter bara får samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Vidare gäller att upp- gifterna inte senare får behandlas på ett sätt som är oförenligt med dessa ändamål (finalitetsprincipen). Båda dessa principer kommer till uttryck i artikel 5.1 b i EU:s dataskyddsförordning. Enligt EU:s dataskyddsförordning är det dock under vissa förutsätt- ningar tillåtet med bestämmelser som medger att insamlade person- uppgifter vidarebehandlas även om det nya ändamålet är oförenligt med insamlingsändamålet. I skäl 50 anges bl.a. att om behandlingen grundar sig på unionsrätten eller på medlemsstaternas nationella rätt som utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa i synnerhet viktiga mål av allmänt in- tresse, bör den personuppgiftsansvarige tillåtas att behandla person- uppgifterna ytterligare, oavsett om detta är förenligt med ändamålen eller inte. Slutsatsen får också stöd av en motsatstolkning av arti- kel 6.4. Där finns en särskild bestämmelse för det fall då en behand- ling för andra ändamål än det ändamål för vilket uppgifterna samlades in inte grundar sig på den registrerades samtycke eller på unions- rätten eller medlemsstaternas nationella rätt som utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle för att skydda de mål som avses i artikel 23.1. I artikel 6.4 ges exempel på vissa om- ständigheter som ska beaktas vid prövningen av om behandlingen är förenlig med det ursprungliga ändamålet. Det är tydligt att artikel 6.4, liksom skäl 50, utgår från att en sådan ytterligare behandling som utgör en nödvändig och proportionell åtgärd under alla omständig- heter skulle vara tillåten (se prop. 2017/18:95 s. 47 f.). Bland de mål som avses i artikel 23.1 ingår förebyggande, förhindrande, utredning, avslöjande eller lagföring av brott (punkten d). Som konstateras i avsnitt 15.1 utgör en uppgiftsskyldighet inom ramen för en särskilt beslutad samverkan i syfte att vidta åtgärder mot penningtvätt eller finansiering av terrorism en nödvändig och proportio- nell åtgärd. Med stöd av bestämmelsen kommer det därmed vara möj- ligt för myndigheterna att vid fullgörandet av uppgiftsskyldigheten behandla en personuppgift för ett annat ändamål än det för vilket den samlades in.10 Liksom vid all annan personuppgiftsbehandling måste behovet av den konkreta behandlingen alltid vägas mot den registrerades intresse av personlig integritet (se t.ex. prop. 2017/18:142 s. 25 f.). Till det ovan anförda kommer att för en del av de myndigheter som kan ingå i en särskilt beslutad samverkan – Kronofogdemyndig- heten, och – finns särskilda registerförfatt- ningar som kompletterar EU:s dataskyddsförordning. Dessa lagar innehåller s.k. sekundära ändamål, vilka reglerar i vilken utsträckning personuppgifter, som myndigheten har samlat in för ett primärt ändamål, får behandlas för att lämnas ut till annan verksamhet inom den egna myndigheten, till enskilda eller till andra myndigheter för att tillgodose deras behov. Som ett tillåtet sekundärt ändamål anges i dessa lagar att fullgöra uppgiftslämnande som sker i överensstäm- melse med lag eller förordning.11 10Det kan i sammanhanget noteras att har gjort bedömningen att utöver sekretessprövningen ska den personuppgiftsansvariga myndigheten inte göra någon kontroll av förenligheten med finalitetsprincipen i samband med lämnande av uppgifter enligt 5 § offentlighets- och sekretesslagen (se HFD 2021 ref. 10). 11Se 1 kap. 5 § 3 lagen (2001:181) om behandling av uppgifter i beskattnings- verksamhet, 1 kap. 4 § andra stycket lagen (2001:182) om behandling av personuppgifter i folkbokföringsverksamhet, 12 § andra stycket lagen (2015:899) om identitets- kort för folkbokförda i , 2 kap. 3 § 3, 9 § 3, 15 § 2 och 20 a § 2 lagen (2001:184) om be- handling av uppgifter i verksamhet och 1 kap. 5 § 3 lagen (2001:185) om behandling av uppgifter i verksamhet. I EU:s dataskyddsförordning ställs det upp ytterligare begräns- ningar när det gäller behandling av vissa slags personuppgifter, t.ex. sådana som rör lagöverträdelser. Enligt artikel 10 i EU:s dataskydds- förordning får behandling av personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott eller därmed sam- manhängande säkerhetsåtgärder enligt artikel 6.1 endast utföras under kontroll av myndighet eller då behandling är tillåten enligt unions- rätten eller medlemsstaternas nationella rätt, där lämpliga skydds- åtgärder för de registrerades rättigheter och friheter fastställs. Av propositionen Ny dataskyddslag kan utläsas att det är oklart om brotts- misstankar omfattas av begreppet lagöverträdelser som innefattar brott. Även om så skulle vara fallet framgår det av samma förarbeten att regeringen anser att artikeln bör innebära att det är tillåtet att behandla personuppgifter som rör lagöverträdelser om den person- uppgiftsansvarige är en myndighet (se prop. 2017/18:105 s. 98 f., se även prop. 2019/20:166 s. 85). I 3 kap. 8 § första stycket dataskydds- lagen anges också uttryckligen att myndigheter får behandla sådana personuppgifter som avses i artikel 10 i EU:s dataskyddsförordning. Som framgår är huvudregeln således att de myndigheter som kan komma att ingå i en särskilt beslutad samverkan kan behandla person- uppgifter om lagöverträdelser vid fullgörandet av uppgiftsskyldigheten. För vissa av myndigheterna finns det dock bestämmelser i register- författningarna avseende här aktuella delar av verksamheten som ut- gör en begränsning i förhållande till EU:s dataskyddsförordnings och dataskyddslagens bestämmelser om möjligheten att behandla personuppgifter om lagöverträdelser. Så är t.ex. fallet för Skatte- verkets beskattningsverksamhet och för verksamhet med undantag av den brottsbekämpande verksamheten. I dessa fall får sådana uppgifter endast behandlas om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det (se 1 kap. 7 § lagen [2001:181] om behandling av uppgifter i beskatt- ningsverksamhet och 1 kap. 7 § lagen [2001:185] om behandling av uppgifter i verksamhet). Begränsningarna har införts i syfte att skydda den personliga integriteten (se t.ex. prop. 2000/01:33 s. 100 f. och prop. 2017/18:95 s. 66). Enligt utredningens bedömning är det rimligt om motsvarande begränsningar gäller för sådan behand- ling som sker inom ramen för en särskilt beslutad samverkan. Inte heller i detta avseende finns det alltså behov av några ändringar. Vidare gäller enligt EU:s dataskyddsförordning begränsningar av- seende behandling av känsliga personuppgifter. Utgångspunkten är att behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella lägg- ning är förbjuden (artikel 9.1). Från förbudet görs ett antal undantag (artikel 9.2). Förbudet gäller t.ex. inte om behandlingen är nödvän- dig av hänsyn till ett viktigt allmänt intresse, på grundval av unions- rätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga inne- hållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläg- gande rättigheter och intressen (artikel ). I 3 kap. 3 § dataskyddslagen finns en bestämmelse om myndig- heters behandling av känsliga personuppgifter som grundar sig i detta undantag. Enligt bestämmelsen får känsliga uppgifter behandlas av en myndighet med stöd av artikel i EU:s dataskyddsförordning bl.a. om behandlingen är nödvändig för handläggningen av ett ärende eller i annat fall, om behandlingen är nödvändig med hänsyn till ett viktigt allmänt intresse och inte innebär ett otillbörligt intrång i den registrerades personliga integritet. Bestämmelsen är avsedd att gälla för offentlig verksamhet där sektorsspecifik reglering avseende behand- ling av känsliga personuppgifter saknas. I förarbetena angavs att det kan finnas anledning att för vissa sektorer närmare precisera och ytterligare avgränsa möjligheterna att behandla känsliga personuppgifter (se prop. 2017/18:105 s. 91). En till 3 kap. 3 § avvikande reglering finns t.ex. i 1 kap. 7 § lagen om behandling av uppgifter i beskatt- ningsverksamhet och 1 kap. 7 § lagen om behandling av uppgifter i Tull- verkets verksamhet. Denna reglering har utformats utifrån de särskilda behov som respektive verksamhet har (se prop. 2017/18:95 s. 63). Gällande rätt ger således ett visst utrymme för myndigheter att behandla känsliga personuppgifter inom ramen för en särskilt beslutad samverkan. Liksom när det gäller behandling av personuppgifter om lagöverträdelser anser utredningen att de begränsningar som gäller även bör gälla för sådan behandling som sker inom ramen för en särskilt beslutad samverkan. Mot bakgrund av redogörelsen gör utredningen bedömningen att den befintliga regleringen i EU:s dataskyddsförordning, dataskydds- lagen och relevanta registerlagar utgör tillräcklig reglering för den per- sonuppgiftsbehandling som förslaget kan föranleda hos de myndig- heter som kan delta i en särskilt beslutad samverkan. 18.3.5Sammanfattande och avslutande kommentarer Utredningen bedömer sammanfattningsvis att den personuppgifts- behandling som den föreslagna uppgiftsskyldigheten inom ramen för en särskilt beslutad samverkan ger upphov till för myndigheterna är förenlig med EU:s dataskyddsförordning, brottsdatalagen och lagen om Säkerhetspolisens behandling av personuppgifter. Den befintliga regleringen på personuppgiftsområdet utgör tillräcklig reglering för den personuppgiftsbehandling som ordningen föranleder för aktuella myndigheter. Det behöver således inte införas någon ytterligare regler- ing om denna behandling. Förslaget syftar till att åstadkomma lättnader vid utbyte av upp- gifter mellan aktörer inom ramen för en särskilt beslutad samverkan. Den föreslagna ordningen omfattar alltså inte myndigheternas fort- satta användning av uppgifterna inom den egna verksamheten. Möjlig- heten att behandla personuppgifter som erhållits genom samverkan förutsätter alltså stöd för behandlingen i personuppgiftsregelverket (jfr prop. 2015/16:167 s. 42). När det gäller frågor om bevarande av uppgifter och om gallring bör normal hantering för uppgifter som inkommer till de olika verksamheterna gälla (jfr t.ex. prop. 2019/20:166 s. 125 f.). Det är givetvis viktigt att regelverket noga efterlevs och att de begränsningar som finns åtföljs. Respektive myndighet har därför att se till att den har rutiner och arbetar på ett sådant sätt inom sam- verkan att de krav som följer av dataskyddsregleringen efterlevs (jfr prop. 2015/16:167 s. 27). 18.4Behov av ändringar för advokatsamfunds del Bedömning: Den reglering som finns på personuppgiftsområdet utgör tillräcklig reglering för den personuppgiftsbehandling som förslaget om en uppgiftsskyldighet inom ramen för en särskilt beslutad samverkan kan föranleda hos . Det behöver således inte införas någon ytterligare reglering om denna behandling. Även kan komma att ingå i en särskilt beslutad samverkan och inom ramen för denna behandla personupp- gifter. För advokatsamfunds behandling av personuppgifter gäller EU:s dataskyddsförordning med kompletterande nationell lag- stiftning. Som framgår av avsnitt 18.3.4 ger detta regelverk rättslig grund för behandling av personuppgifter inom ramen för en särskilt beslutad samverkan. I undantagsfall kan det vara aktuellt att behandla känsliga person- uppgifter inom ramen för en särskilt beslutad samverkan. Till skillnad från vad som gäller för myndigheterna innehåller inte dataskydds- lagen någon reglering som omfattar behandling av känsliga person- uppgifter hos . Enligt artikel i EU:s dataskyddsförordning är behandling av känsliga personuppgifter dock tillåten om den är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Undantaget behöver inte genomföras i svensk rätt för att vara tillämpligt (se prop. 2017/18:105 s. 84). Utredningen bedömer att den föreslagna uppgiftsskyldigheten har en sådan utformning att även behandling av känsliga personuppgifter i viss mån kan anses proportionerlig i för- hållande till syftet att vidta åtgärder mot penningtvätt och finansier- ing av terrorism. Den föreslagna uppgiftsskyldigheten är avgränsad och i viss utsträckning råder det tystnadsplikt för arbete inom (se avsnitt 15.2.2). Enligt utredningens be- dömning bör det därför finnas ett visst utrymme för advokat- samfund att behandla känsliga personuppgifter med stöd av angiven artikel. Som framgår av avsnitt 18.3.4 finns i artikel 10 i EU:s dataskydds- förordning en särskild reglering om behandling av personuppgifter som rör lagöverträdelser som kompletteras av nationell rätt. Reger- ingen eller den myndighet som regeringen bestämmer har bemyn- digats att meddela ytterligare föreskrifter om i vilka fall andra än myndigheter får behandla sådana personuppgifter som avses i arti- kel 10 i EU:s dataskyddsförordning (3 kap. 9 § första stycket data- skyddslagen). Genom sådana föreskrifter föreskrivs att i detta samman- hang aktuella personuppgifter får behandlas av andra än myndigheter bl.a. om behandlingen är nödvändig för att en rättslig förpliktelse enligt lag eller förordning ska kunna fullgöras (5 § 2 förordningen [2018:219] med kompletterande bestämmelser till EU:s dataskydds- förordning). Uppgiftsskyldigheten inom ramen för en särskilt beslutad samverkan utgör en sådan rättslig förpliktelse. Det finns således stöd i gällande regelverk för att behandla person- uppgifter som rör lagöverträdelser i den mån det är nödvändigt för att fullgöra den uppgiftsskyldighet som gäller inom ramen för en särskilt beslutad samverkan. Mot bakgrund av redogörelsen gör utredningen bedömningen att den befintliga regleringen för personuppgiftsbehandling hos utgör tillräcklig reglering för den personuppgifts- behandling som förslaget kan föranleda hos samfundet. Inte heller för advokatsamfunds del finns det således behov av några författningsändringar i detta avseende. 18.5Behov av ändringar för verksamhetsutövares del Utredningen föreslår att verksamhetsutövare ska kunna ges möjlig- het att delta i en särskilt beslutad samverkan (se avsnitt 15.1.2). Dessutom föreslår utredningen utökade möjligheter för verksamhets- utövare att, även utanför en särskilt beslutad samverkan, sinsemellan utbyta uppgifter som omfattas av tystnadsplikt. Utredningens över- väganden i båda dessa avseenden inkluderar samtliga verksamhets- utövare som omfattas av regelverket för att vidta åtgärder mot pen- ningtvätt och finansiering av terrorism (se avsnitt 15.1.2 och 16.1). Därför måste också övervägandena om personuppgiftsbehandling med anknytning till dessa förslag omfatta samtliga verksamhetsutövare. Övervägandena i dessa frågor behandlas i avsnitt 18.5.2 och 18.5.3. 18.5.2Behov av ändringar med anledning av förslaget om särskilt beslutad samverkan Förslag: Bestämmelserna om behandling av känsliga personupp- gifter i 5 kap. 5 § penningtvättslagen ska kompletteras så att en verksamhetsutövare ska få behandla sådana personuppgifter om det är nödvändigt för att lämna uppgifter inom ramen för en särskilt beslutad samverkan enligt 4 a kap. penningtvättslagen. Motsvarande komplettering ska göras beträffande bestämmelserna om behand- ling av personuppgifter om lagöverträdelser i 5 kap. 6 § penning- tvättslagen. EU:s dataskyddsförordning är tillämplig på den personuppgifts- behandling som sker hos verksamhetsutövare. Av skäl 19 andra stycket i nämnda förordning framgår att när privata organs behand- ling av personuppgifter omfattas av tillämpningsområdet för förord- ningen, bör den ge medlemsstaterna möjlighet att, under särskilda villkor, i lag begränsa vissa skyldigheter och rättigheter, om en sådan begränsning utgör en nödvändig och proportionell åtgärd i ett demo- kratiskt samhälle för att skydda särskilda viktiga intressen, däribland allmän säkerhet samt förebyggande, förhindrande, utredning, avslöj- ande och lagföring av brott eller verkställande av straffrättsliga på- följder eller skydd mot samt förebyggande och förhindrande av hot mot den allmänna säkerheten. Det nämns att det t.ex. kan vara rele- vant i samband med bekämpning av penningtvätt. Rättslig grund för verksamhetsutövares behandling av personupp- gifter finns i artikel 6.1 i EU:s dataskyddsförordning, både i led c och led e. Som framgår av avsnitt 18.2 innehåller penningtvättslagen vissa närmare bestämmelser om verksamhetsutövares behandling av person- uppgifter enligt den lagen. Där framgår att en verksamhetsutövare får behandla personuppgifter i syfte att kunna fullgöra sina skyldig- heter enligt penningtvättslagen (5 kap. 2 §). Genom ovan nämnda reglering finns det således stöd för verksamhetsutövares behandling av personuppgifter inom ramen för en särskilt beslutad samverkan. Det kan finnas behov av att inom ramen för en särskilt beslutad samverkan behandla i vart fall vissa slags känsliga personuppgifter. Penningtvättslagen innehåller en särskild reglering avseende känsliga personuppgifter. Sådana uppgifter får behandlas endast om det är nödvändigt för vissa särskilt angivna ändamål, näm- ligen för att bedöma om kunden är en person i politiskt utsatt ställ- ning eller familjemedlem eller känd medarbetare till en sådan person, bedöma den risk som kan förknippas med kundrelationen, uppfylla övervakningsskyldigheten, bedöma misstänkta transaktioner och akti- viteter samt lämna uppgifter i enlighet med rapporterings- och upp- giftsskyldigheten enligt penningtvättslagen (5 kap. 5 § första stycket). Vidare får känsliga personuppgifter behandlas vid bevarande av hand- lingar och uppgifter, om det är tillåtet att behandla uppgifterna för ovan nämnda ändamål (5 kap. 5 § andra stycket). Utgångspunkten är att behandling av känsliga personuppgifter är förbjuden (artikel 9.1 i EU:s dataskyddsförordning). Som framgår av avsnitt 18.3.4 finns det dock vissa undantag från förbudet (se t.ex. artikel i EU:s dataskyddsförordning). Utredningen bedömer att den föreslagna uppgiftsskyldigheten har en sådan utformning att även behandling av känsliga personuppgifter måste anses proportionerlig i förhållande till syftet att vidta åtgärder mot penningtvätt och finan- siering av terrorism. Den föreslagna uppgiftsskyldigheten är avgränsad och det råder tystnadsplikt för den som är verksam hos en verksam- hetsutövare avseende känsliga personuppgifter. Det finns således också bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen (jfr prop. 2017/18:142 s. 31 f.). Enligt utredningens bedömning är behand- ling av känsliga personuppgifter inom ramen för en särskild samver- kan förenlig med regleringen i artikel 9 i EU:s dataskyddsförordning. Utredningen föreslår därför att regleringen i 5 kap. 5 § penningtvätts- lagen kompletteras så att det tydligt framgår att verksamhetsutövare ska få behandla känsliga personuppgifter om det är nödvändigt för att lämna uppgifter inom ramen för en särskilt beslutad samverkan enligt 4 a kap. penningtvättslagen. Vidare kan det naturligtvis bli fråga om att inom en särskilt be- slutad samverkan behandla uppgifter om lagöverträdelser. I tidigare lagstiftningsärenden har det ansetts utgöra en fråga om behandling av personuppgifter om lagöverträdelser när verksamhetsutövaren kon- staterat att det föreligger omständigheter som kan tyda på penning- tvätt eller finansiering av terrorism. Detsamma har ansetts gälla vid rapportering av detta förhållande till (se prop. 2014/15:80 s. 43 f. och prop. 2016/17:173 s. 310).12 Som fram- går av avsnitt 18.3.4, och där redovisade förarbeten, framstår det dock som oklart om brottsmisstankar omfattas av begreppet lagöverträ- delser som innefattar brott enligt artikel 10 i EU:s dataskyddsför- ordning. Oavsett vilken tolkning som görs i detta avseende kan det inom ramen för en särskilt beslutad samverkan finnas behov av att utbyta uppgifter som tveklöst regleras i artikel 10 i EU:s dataskydds- förordning, t.ex. uppgifter om fällande domar i brottmål. Penningtvättslagen innehåller särskilda regler om behandling av personuppgifter om lagöverträdelser (5 kap. 6 §). Bestämmelsen inne- bär till stor del endast ett förtydligande av det rättsläge som ansetts föreligga även utan sådan särskild reglering (jfr prop. 2014/15:80 s. 43 f. och prop. 2017/18:142 s. 37). Bland de angivna tillåtna ändamålen för behandling ingår inte – till skillnad från behandling av känsliga personuppgifter – att bedöma om kunden är en person i politiskt utsatt ställning. I övrigt sammanfaller regleringen helt med den som gäller för behandling av känsliga personuppgifter. För att det tydligt ska framgå att det finns stöd för verksamhetsutövare att inom ramen för en särskilt beslutad samverkan behandla även personuppgifter om lagöverträdelser behöver bestämmelsen i 5 kap. 6 § penningtvätts- lagen kompletteras. Utredningen föreslår därför att sådana person- uppgifter även ska få behandlas om det är nödvändigt för att lämna uppgifter inom ramen för en särskilt beslutad samverkan enligt 4 a kap. penningtvättslagen. Den befintliga tystnadsplikten enligt 5 kap. 11 § penningtvätts- lagen för den som är verksam hos en verksamhetsutövare kommer även att omfatta den behandling av känsliga personuppgifter och per- sonuppgifter om lagöverträdelser som utredningen nu lämnar förslag om. 12I 21 § personuppgiftslagen fanns ett förbud för andra än myndigheter att behandla person- uppgifter om lagöverträdelser. 18.5.3Behov av ändringar med anledning av förslaget om ytterligare informationsutbyte mellan verksamhetsutövare Bedömning: Den reglering som finns på personuppgiftsområdet är tillräcklig för den personuppgiftsbehandling som förslaget om ytterligare informationsutbyte mellan verksamhetsutövare kan medföra.