sou · H9B342 · 2021-06-01 00:00:00 — Enligt vår bedömning finns det skäl att inkludera leverantörer av en e-legitimationstjänst i de fort- satta övervägandena. I vilken mån det kan finnas skäl till anpassningar av den ordning som vi föreslår om förslaget års ID-korts- utredning genomförs får lämpligen övervägas i den fortsatta bered- ningen av det senare förslaget. Således bör företag som har tillstånd att bedriva clearing- respektive kreditupplysningsverksamhet och leverantörer av en e-legitimations- tjänst eller en tjänst avseende mobil överföring av pengar där över- föringen sker inkluderas i övervägandena. När det gäller vissa av dessa kategorier av verksamhetsutövare är det möjligen endast en eller ett fåtal aktörer som skulle träffas av lagstiftningen. Men eftersom tanken är att regleringen ska få en generell utformning och att även andra aktörer som skulle komma att tillhandahålla motsvarande tjänster framöver skulle omfattas av lagstiftningen, bedömer utredningen att lagstiftningen inte skulle strida mot principen om förbud mot lagstiftning in casu (jfr RÅ 80 1:92). 17.5.2En uppgiftsskyldighet för vissa tjänsteleverantörer Ett alternativ att överväga är att utvidga kretsen verksamhetsutövare enligt penningtvättslagen till att även omfatta de aktörer som är av intresse i detta sammanhang och därmed ålägga dessa att fullgöra de skyldigheter som följer av den lagen. Enligt utredningens bedömning finns det ett par omständigheter som talar mot detta. En central del bland en verksamhetsutövares uppgifter är skyldig- heten att ha kännedom om sina kunder (3 kap. penningtvättslagen). Just kännedom om kunder spelar en viktig roll vid fullgörandet av verk- samhetsutövares skyldighet att övervaka affärsförbindelser och trans- aktioner och rapportera misstankar om penningtvätt eller finansiering av terrorism. I de fall som är aktuella här saknas det en kundrelation i förhållande till dem som är intressanta att övervaka. Kundrelationen finns i stället mellan tjänsteleverantören och verksamhetsutövaren men denna relation är inte av framträdande intresse i detta avseende. Redan med beaktande av detta framstår det som främmande att defi- Rapporterings- och uppgiftsskyldighet vid användning av vissa tjänster niera tjänsteleverantörer som verksamhetsutövare. Även i övrigt följer relativt betungande skyldigheter med rollen som verksamhetsutövare. Här kan visserligen konstateras att de tjänsteleverantörer som det skulle röra sig om är resursstarka och ägs av verksam- hetsutövare. Enligt utredningens bedömning skulle det bl.a. mot denna bakgrund inte vara oproportionerligt att ålägga dessa vissa skyldig- heter. Däremot framstår det inte som proportionerligt att ålägga tjänsteleverantörerna samtliga skyldigheter sett i relation till den nytta det skulle tillföra avseende möjligheterna att mer effektivt kunna vidta åtgärder mot penningtvätt och finansiering av terrorism. Enligt utredningens bedömning bör mot denna bakgrund därför inte tjänste- leverantörer definieras som verksamhetsutövare enligt penningtvätts- lagen. Det är i stället rimligare att överväga om tjänsteleverantörer ska åläggas att utföra någon eller några av de uppgifter som åvilar verk- samhetsutövare, eller en variant av dessa, utan att tjänsteleverantörerna omfattas av lagen i dess helhet. Som framgår av avsnitt 17.4.2 är integritetsaspekten central vid dessa överväganden. Även frågan om proportionalitet mellan de resur- ser som tjänsteleverantörer skulle behöva lägga ned och vad som skulle stå att vinna med en sådan ordning är central. Enligt utred- ningens mening är en rimlig utgångspunkt att inleda med att överväga åtgärder som ur ett integritets- respektive resursperspektiv framstår som mindre ingripande respektive betungande. Den reglering som då står närmast till hands att överväga ändringar i är regleringen om uppgiftsskyldighet i penningtvättslagen. På begäran av (Finanspolisen) eller Säkerhets- polisen ska en verksamhetsutövare utan dröjsmål lämna alla uppgifter som behövs för en utredning om penningtvätt eller finansiering av terrorism (4 kap. 6 §). Regleringen brukar också benämnas fråge- rätten och beskrivs närmare i avsnitt 12.2.3. Genom tillkomsten av nuvarande penningtvättslag gäller uppgiftsskyldigheten även för den som bedriver eller har bedrivit penning- insamling för humanitärt, välgörande, kulturellt eller något annat allmännyttigt ändamål. I detta avseende går svensk nationell rätt ut- över vad som krävs enligt det fjärde penningtvättsdirektivet. Skälet för detta motiverades med att insamlingsverksamhet identifierats som särskilt sårbar för att utnyttjas för finansiering av terrorism. I den mån myndigheterna får kännedom om att en insamlingsverksamhet utnyttjas för sådana syften är det av stor vikt att de har möjlighet att Rapporterings- och uppgiftsskyldighet vid användning av vissa tjänster få tillgång till relevanta uppgifter från föreningen (se prop. 2016/17:173 s. 294). I förarbetena konstaterades vidare att skyldigheten för verksam- hetsutövare att lämna uppgifter på begäran av Finanspolisen har flera syften. Avseende sådana verksamhetsutövare vars kunduppgifter m.m. omfattas av sekretessbestämmelser innebär bestämmelsen en sekretess- brytande regel. Förekomsten av bestämmelsen i penningtvättslagen innebär vidare att en vägran att följa Finanspolisens begäran om upp- gifter innebär en överträdelse som kan föranleda beslut om sanktioner mot verksamhetsutövaren. Härigenom skapas en reell skyldighet för verksamhetsutövaren att medverka. När det gäller insamlingsorganisa- tioner konstaterades dock att dessa inte står under tillsyn och att det inte i praktiken skulle skapas någon skyldighet för organisationen att följa Finanspolisens begäran. Utökningen skulle dock ge Finanspolisen en befogenhet att efterfråga och behandla dessa uppgifter (se samma prop. s. 295). Enligt utredningens bedömning är det rimligt att de här aktuella tjänsteleverantörerna ska vara skyldiga att lämna uppgifter på begäran av Finanspolisen eller Säkerhetspolisen. För i vart fall vissa av tjänste- leverantörerna gäller en lagreglerad tystnadsplikt. Den som är eller har varit knuten till en clearingorganisation7 som anställd eller upp- dragstagare får inte obehörigen röja eller utnyttja vad han eller hon i anställningen eller under uppdraget har fått veta om någon annans affärsförhållanden eller personliga förhållanden (1 kap. 11 § första stycket lagen om värdepappersmarknaden). En liknande bestämmelse om tystnadsplikt för den som är eller har varit verksam i kreditupplys- ningsverksamhet finns i 14 § kreditupplysningslagen. En skyldighet att på begäran lämna uppgifter skulle därmed bryta den tystnadsplikt som kan gälla hos aktören. Vidare skulle i vart fall för den som bedriver clearingverksamhet den tillsyn som företaget redan står under även omfatta ett fullgörande av en uppgiftsskyldighet i detta avseende. Som framgår ovan motiverades uppgiftsskyldigheten när den inför- des för insamlingsorganisationer av att regleringen gav Finanspolisen en befogenhet att efterfråga och behandla dessa uppgifter. Samma skäl gör sig enligt utredningen gällande här. Utredningen föreslår därför att bestämmelsen om uppgiftsskyldighet i 4 kap. 6 § penning- tvättslagen utvidgas till att även omfatta nu aktuella tjänsteleveran- 7Med clearingorganisation avses bl.a. ett företag som har tillstånd enligt 19 kap. lagen om värdepappersmarknaden. Rapporterings- och uppgiftsskyldighet vid användning av vissa tjänster Även dessa ska alltså vara skyldiga att efter begäran från Polis- myndigheten (Finanspolisen) eller Säkerhetspolisen lämna alla upp- gifter som behövs för en utredning om penningtvätt eller finansiering av terrorism. Som utredningen noterat i avsnitt 17.4.2 bör principer om behov och proportionalitet vara styrande vid myndigheternas tillämpning av regleringen. Att tillräcklig information kan fås genom en begäran om uppgifter från verksamhetsutövare kan tala för att frågerätten inte bör utnyttjas gentemot en tjänsteleverantör. En förutsättning för att frågerätten ska aktualiseras är att uppgifterna behövs för en utredning om penningtvätt eller finansiering av terrorism. I fråga om den närmare utformningen är det viktigt att det tydligt framgår vilka tjänsteleverantörer som ska vara uppgiftsskyldiga. Av- gränsningen när det gäller företag som bedriver clearing- respektive kreditupplysningsverksamhet kan lämpligen knytas till tillståndsplik- ten för sådana företag enligt respektive lagstiftning. När det gäller de övriga tjänster som är aktuella i detta sammanhang bedömer utred- ningen att de lämpligen kan benämnas e-legitimationstjänst8 respektive tjänst avseende mobil överföring av pengar där överföringen sker . Uppgiftsskyldigheten bör gälla för den som till en verk- samhetsutövare enligt penningtvättslagen tillhandahåller en sådan tjänst. Regeringen eller den myndighet som regeringen bestämmer har bemyndigats att meddela föreskrifter om hur uppgifter ska lämnas enligt 4 kap. 6 § penningtvättslagen (8 kap. 1 § 13 samma lag). Reger- ingen har i sin tur bemyndigat och Säkerhetspolisen att meddela sådana föreskrifter avseende respektive verksamhet (19 § andra och tredje stycket penningtvättsförordningen). Rätten att med- dela föreskrifter om uppgiftslämnande även i det nu aktuella avseen- det täcks således av befintliga bemyndiganden. 17.5.3En rapporteringsskyldighet för vissa tjänsteleverantörer Uppgiftsskyldigheten aktualiseras först sedan Finanspolisen eller Säkerhetspolisen har begärt att få uppgifter. Frågan är om det också skulle vara lämpligt att införa en skyldighet för aktuella tjänsteleve- rantörer att självmant lämna information motsvarande den rappor- 8Se SOU 2019:14 s. 129 f. om begreppet e-legitimation. Rapporterings- och uppgiftsskyldighet vid användning av vissa tjänster teringsskyldighet som gäller för verksamhetsutövare enligt 4 kap. 3 § penningtvättslagen. Inledningsvis ska framhållas att utredningen bedömer integritets- intrånget som större om ett uppgiftslämnande inte föregås av en fråga från någon myndighet än om så är fallet. Detta talar emot att införa en rapporteringsskyldighet motsvarande den som föreskrivs i 4 kap. 3 § penningtvättslagen. För att få kännedom om förhållanden som kan antas ha samband med eller utgöra penningtvätt eller finan- siering av terrorism skulle det vidare oftast krävas att tjänsteleveran- törerna aktivt och systematiskt letar efter sådana omständigheter. Sannolikt skulle en sådan övervakning också behöva föregås av en riskbedömning avseende hur den egna verksamheten kan utnyttjas för penningtvätt eller finansiering av terrorism. Åtgärder av detta slag kräver bl.a. för ändamålet kunnig personal och tekniskt stöd och är normalt mycket resurskrävande. En rapporteringsskyl- dighet motsvarande den som gäller enligt 4 kap. 3 § penningtvätts- lagen skulle därmed, för att inte vara illusorisk, i praktiken oftast förutsätta att det även införs en övervakningsskyldighet för aktuella tjänsteleverantörer. Det skulle även krävas att en tillsynsmyndighet övervakar att regleringen efterlevs. Till detta kommer att man endast skulle uppmärksamma aktiviteter som framstår som typiskt sett avvikande utan att kunna ställa det i relation till någon närmare kunskap om den person som har utfört aktiviteten. Detta skulle kunna få till följd att aktiviteter eller bete- enden som är helt legitima skulle rapporteras till Finanspolisen, vilket i sig utgör ett intrång i enskildas integritet. Eftersom rapporterings- skyldigheten enligt dagens ordning inträder vid relativt låg misstanke- grad förekommer sannolikt detta även . Utredningen bedömer dock att sådan obefogad rapportering i vart fall hos vissa av de aktuella tjänsteleverantörerna skulle ske oftare om dessa skulle åläggas en rapporteringsskyldighet. Som ett exempel kan nämnas att ett flertal kreditansökningar inte säkert kan tas till intäkt för att det rör sig om brottslighet. Kreditupplysningsföretags avsaknad av information om syftet med en kredit skulle därför kunna medföra en obefogad rapportering. Motsvarande problem inställer sig i varierande grad för de övriga tjänsteleverantörerna. Enligt utredningens bedöm- ning framstår det mot denna bakgrund inte som lämpligt att ålägga tjänsteleverantörer en rapporteringsskyldighet av det slag som gäller för verksamhetsutövare enligt 4 kap. 3 § penningtvättslagen. Rapporterings- och uppgiftsskyldighet vid användning av vissa tjänster I fråga om företag som har tillstånd att driva clearingverksamhet finns det dock enligt utredningens mening skäl att göra vissa ytter- ligare överväganden. Finanspolisen har särskilt framhållit vikten av att få tillgång till information från sådana företag. Deras verksamhet är helt central för de finansiella flödena. Den information som sådana företag har tillgång till täcker i vart fall delvis den information som finns hos leverantörer av en tjänst avseende mobil överföring av pengar där överföringen sker . Dessa tjänsteleverantörer kan dra värdefulla slutsatser avseende avvikande transaktionskedjor eller transaktionsmönster utan att behöva sätta enskilda transaktioner eller aktiviteter i relation till en viss person. Risken för att ett typiskt sett avvikande beteende faktiskt skulle utgöra penningtvätt eller finan- siering av terrorism bör vara större i detta avseende jämfört med hos t.ex. kreditupplysningsföretag. Enligt utredningens bedömning skulle det vara av värde att Finanspolisen uppmärksammas på denna slags information. Som framgår ovan bedömer utredningen dock att det inte är lämp- ligt att ålägga dessa företag en rapporteringsskyldighet motsvarande den som gäller för verksamhetsutövare enligt 4 kap. 3 § penning- tvättslagen, vilken bygger på en övervakningsskyldighet. Det är dock enligt utredningens uppfattning möjligt att företag med tillstånd att driva clearingverksamhet självmant, dvs. utan att det gäller en övervak- ningsskyldighet, ibland skulle upptäcka avvikande transaktionsmönster eller liknande som kan antas ha samband med eller utgöra penning- tvätt eller finansiering av terrorism. I en sådan situation kan det fram- stå som rimligt att aktuella företag också utan dröjsmål ska under- rätta Finanspolisen om detta. En liknande underrättelseskyldighet finns bl.a. för tillsynsmyndigheterna (4 kap. 4 § penningtvättslagen). En sådan reglering skulle bryta den tystnadsplikt som annars före- ligger och skulle också ge stöd för att behandla personuppgifter för angivet syfte. Enligt utredningens bedömning skulle den ordning som övervägs inte innebära att alltför betungade uppgifter läggs på dessa företag. Nyttan av att Finanspolisen får del av dessa uppgifter får anses överstiga det arbete som skyldigheten skulle medföra för dessa företag. Även intrånget i enskildas integritet får anses acceptabelt. Utredningen föreslår därför att företag med tillstånd enligt 19 kap. lagen om värdepappersmarknaden som har upptäckt en omständighet som kan antas ha samband med eller utgöra penningtvätt eller finan- siering av terrorism utan dröjsmål ska underrätta Rapporterings- och uppgiftsskyldighet vid användning av vissa tjänster (Finanspolisen) om detta. En bestämmelse om detta bör tas in i 4 kap. penningtvättslagen, lämpligen som 4 a §. Enligt 8 kap. 1 § penningtvättslagen bemyndigas regeringen eller den myndighet som regeringen bestämmer att meddela föreskrifter i vissa avseenden, bl.a. om hur rapportering till ska göras enligt 4 kap. 3 § samma lag (punkt 12). Utredningen före- slår att det befintliga bemyndigandet ska utsträckas till att även om- fatta hur sådana underrättelser som föreslås ska göras. När det gäller frågan om tillsyn kan konstateras att företag med tillstånd att bedriva clearingverksamhet står under tillsyn av Finans- inspektionen. Denna tillsyn kommer även att omfatta att den nu föreslagna underrättelseskyldigheten fullgörs. Det ska dock noteras att det i detta fall blir tal om en delvis annan slags tillsyn än den som t.ex. avser verksamhetsutövares uppfyllelse av skyldigheterna enligt penningtvättslagen. Den skyldighet som föreslås ställer inte krav på att företag som bedriver clearingverksamhet har effektiva system för att upptäcka avvikande transaktionsmönster eller liknande som kan antas ha samband med eller utgöra penningtvätt eller finansiering av terrorism utan kräver endast att företaget agerar när man faktiskt av någon anledning har gjort en sådan upptäckt. Tillsynen kommer där- med närmast vara begränsad till att aktuella företag har tillräckliga rutiner för att säkerställa att en underrättelse i en sådan situation görs. I 1 kap. 2–5 §§ penningtvättslagen finns bestämmelser om lagens tillämpningsområde. Utgångspunkten är att lagen gäller för verksam- hetsutövare. Genom utredningens förslag i avsnitt 17.5.2 och 17.5.3 införs bestämmelser som ska gälla för aktörer som inte är verksam- hetsutövare. Avsnittet om lagens tillämpningsområde bör därför kom- pletteras med en bestämmelse som upplyser om att lagen även inne- håller bestämmelser om att ytterligare aktörer i vissa avseenden ska underrätta eller lämna uppgifter till Polismyndig- heten eller Säkerhetspolisen. Rapporterings- och uppgiftsskyldighet vid användning av vissa tjänster Som beskrivs tidigare i detta betänkande har verksamhetsutövare tyst- nadsplikt avseende att uppgifter har lämnats enligt 4 kap. 6 § penning- tvättslagen. I 4 kap. 9 § första stycket penningtvättslagen föreskrivs att den fysiska personen, den juridiska personen, dess styrelseleda- möter eller anställda inte för kunden eller för någon utomstående obehörigen får röja att en bedömning enligt 4 kap. 2 § utförs, har utförts eller kommer att utföras eller att uppgifter har lämnats enligt 4 kap. 3 eller 6 §. Bestämmelsen avser i första hand att skydda en ut- redning hos eller Säkerhetspolisen (se prop. 2003/04:156 s. 73). Från tystnadsplikten föreskrivs i paragrafens andra stycke några undantag (se mer om dessa i avsnitt 10.3). Tystnadsplikten är straff- reglerad (se tredje stycket samma paragraf). Enligt utredningens bedömning är det lämpligt att även de nu aktuella tjänsteleverantörerna har tystnadsplikt avseende att uppgifter har lämnats till Finanspolisen eller Säkerhetspolisen. Vidare bör den omständigheten att underrättelse till Finanspolisen har gjorts enligt den föreslagna 4 kap. 4 a § penningtvättslagen omfattas av tystnads- plikt. Bestämmelsen i 4 kap. 9 § penningtvättslagen tar sikte på verk- samhetsutövare (se prop. 2016/17:173 s. 541). Genom utredningens förslag om att lägga till aktuella tjänsteleverantörer bland de uppgifts- skyldiga enligt 4 kap. 6 § penningtvättslagen kommer ordalydelsen i 4 kap. 9 § penningtvättslagen att träffa dessa tjänsteleverantörer och dess styrelseledamöter eller anställda, låt vara att endast vissa delar av bestämmelsen kan aktualiseras för dessa. Även utan ändring av den senare bestämmelsen kommer således också tjänsteleverantörerna och dess styrelseledamöter eller anställda att omfattas av tystnads- plikt när det gäller uppgiftslämnande enligt 4 kap. 6 § penningtvätts- lagen. Däremot behöver bestämmelsen kompletteras så att även under- rättelser enligt den föreslagna 4 kap. 4 a § penningtvättslagen kommer att omfattas av tystnadsplikt. Av avsnitt 17.5.4 framgår att utredningen föreslår en upplysningsbestämmelse om lagens tillämpningsområde. I den bestämmelsen bör även upplysas om att det i 4 kap. 9 § penning- tvättslagen finns bestämmelser om tystnadsplikt för sådana under- rättelser och uppgifter som är aktuella här. 18 Behandling av personuppgifter I kapitel 15 och 16 lämnar utredningen förslag som i olika avseenden innebär ökade möjligheter att utbyta uppgifter som omfattas av sekre- tess eller annan tystnadsplikt. Det gäller informationsutbyte som sker dels inom ramen för en särskilt beslutad samverkan, dels mellan enbart verksamhetsutövare. Vidare föreslår utredningen i kapitel 17 att ytterligare privata aktörer ska bli skyldiga att, efter begäran, till (Finanspolisen) eller Säkerhetspolisen lämna upp- gifter som behövs för en utredning om penningtvätt eller finansiering av terrorism. Därutöver föreslås för en viss kategori av företag en underrättelseskyldighet gentemot (Finanspolisen) i visst avseende. Som också anges i kommittédirektiven väcker ett ökat informa- tions- och erfarenhetsutbyte frågor om behovet av en utökad möjlig- het att behandla personuppgifter för åtgärder mot penningtvätt och finansiering av terrorism och behovet av ytterligare reglering på per- sonuppgiftsområdet. Det ingår därför i uppdraget att analysera och överväga en utökad möjlighet för kreditinstitut att behandla person- uppgifter för åtgärder mot penningtvätt och finansiering av terrorism, inbegripet frågan om behovet av ytterligare reglering på personupp- giftsområdet. I övervägandena gällande förslagen i respektive kapitel har utred- ningen beaktat de krav och grundläggande principer som dataskydds- regelverket ställer upp. Utredningen gör bedömningen att den ökade personuppgiftsbehandling som förslagen kan medföra inte innebär ett sådant intrång i den personliga integriteten som går utöver vad som är godtagbart för att effektivt kunna vidta åtgärder mot penningtvätt eller finansiering av terrorism. Vid avvägningen mellan aktörernas be- hov av personuppgiftsbehandling och den enskildes rätt till skydd för den personliga integriteten anses förslagen således vara proportioner- liga. I detta kapitel redovisas de konkreta övervägandena i frågan om behovet av ändringar i personuppgiftsregelverket för att aktörernas informationsutbyte i enlighet med förslagen ska vara förenligt med dataskyddsregleringen. 18.2Allmänt om personuppgiftsbehandling i samband med åtgärder mot penningtvätt eller finansiering av terrorism Det finns olika regelverk när det gäller behandling på automatisk väg av personuppgifter, dvs. information som kan knytas till en fysisk per- son. I detta avsnitt beskrivs regleringen på ett mer övergripande plan medan de närmare detaljerna behandlas i anslutning till övervägandena i det följande. Relativt genomfördes en dataskyddsreform inom EU. Den generella regleringen om behandling av personuppgifter finns nu i och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behand- ling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsför- ordning), här kallad EU:s dataskyddsförordning.1 Utgångspunkten är att förordningen ska tillämpas på all behandling av personuppgifter, om behandlingen helt eller delvis sker på automatisk väg eller om person- uppgifterna ingår i eller kommer att ingå i ett register (artikel 2.1). EU:s dataskyddsförordning är i alla delar bindande och direkt tillämplig i samtliga EU:s medlemsländer men tillåter och förutsätter ibland att medlemsstaterna kompletterar förordningen med nationell lagstiftning. För svenskt vidkommande finns sådana kompletteringar bl.a. i lagen med kompletterande bestämmelser till EU:s dataskydds- förordning (dataskyddslagen) och förordningen med kompletterande bestämmelser till EU:s dataskyddsförordning. För behandling av personuppgifter inom den brottsbekämpande sektorn finns särskilda bestämmelser. med EU:s dataskydds- förordning antogs och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter 1Förordningen började tillämpas . för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verk- ställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF (dataskydds- direktivet). Sådan behandling som omfattas av dataskyddsdirektivet är undantagen från EU:s dataskyddsförordnings tillämpningsområde (artikel 2.2 d i EU:s dataskyddsförordning jämförd med artikel 1.1 i dataskyddsdirektivet). Dataskyddsdirektivet genomförs i svensk rätt i huvudsak genom brottsdatalagen, som är en ramlag.