prop · H903251 · 2022-06-02 00:00:00 — skulle också kunskap kunna spridas om hur en samverkan kan ske på ett lämpligt och effektivt sätt. Den myndighet som i praktiken kan komma i fråga för ett sådant uppdrag är , som både är FIU och ansvarar för samordningsfunktionen för åtgärder mot penningtvätt och finansiering av terrorism. bör därför vara kontaktpunkt för frågor om samverkan. anser att innebörden av funktionen behöver klargöras. Enligt regeringen bör i sin roll som kontaktpunkt t.ex. fungera som ett forum för informationsutbyte och kunskapsöverföring för de brottsbekämpande myndigheter, tillsynsmyndigheter och verksamhets- utövare som får delta i samverkan. Den närmare regleringen av funktionen Prop. 2021/22:251 bör dock ske på lägre nivå än lag. och tar upp frågor om kunskaps- och erfarenhetsutbyte. Det kan konstateras att samordningsfunktionen för åtgärder mot penningtvätt och finansiering av terrorism har ett ansvar för att sprida information till verksamhetsutövare för att bidra till bl.a. deras riskbedömningar och riskklassificeringar av kunder (15 § penningtvättsförordningen). Det får förutsättas att de myndigheter som får delta i samverkan – i den mån det står i överensstämmelse med sekretess och annan tystnadsplikt och i övrigt är lämpligt – utbyter erfarenheter och kunskaper som kommer fram genom samverkan med varandra, med andra myndigheter som deltar i samordningsfunktionen och samt med kreditinstitut och andra verksamhetsutövare. 7Behandling av personuppgifter i samverkan Regeringens förslag: ska få behandla känsliga personuppgifter och personuppgifter om lagöverträdelser om det är nödvändigt för att lämna uppgifter i en samverkan. Regeringens bedömning: Det finns i övrigt ett tydligt författningsstöd för myndigheter och behandling av personuppgifter som krävs för att delta i samverkan och fullgöra den föreslagna uppgiftsskyldigheten. Utredningens förslag och bedömning överensstämmer med regeringens. Remissinstanserna: Flertalet remissinstanser tillstyrker förslaget och bedömningen eller har inget att invända mot dem. () framför att det är tveksamt om ett beslut om samverkan innebär att det uppstår en rättslig förpliktelse för deltagarna i dataskyddsförordningens mening, eftersom ett deltagande i samverkan föreslås vara frivilligt. anser dock att den behandling av personuppgifter som utförs inom ramen för samverkan kan ske med stöd av artikel 6.1 e i förordningen, så länge behandlingen är nödvändig för att utföra en uppgift av allmänt intresse som följer av lag. framhåller vidare att personuppgifter måste skyddas mot obehörig åtkomst genom lämpliga tekniska och organisatoriska säkerhetsåtgärder i samband med behandlingen och att detta bör beaktas när samverkan beslutas. anser också att det finns anledning att analysera om det bör göras begränsningar av vilka personuppgifter som får utbytas i samverkan och om det bör införas s.k. kompensatoriska åtgärder för att stärka de registrerades rättigheter. Länsstyrelserna i , och län efterlyser en analys av hur samverkan påverkar den personliga integriteten. Förslaget och bedömningen i utkastet till lagrådsremiss överensstämmer med regeringens. 2021/22:251 Remissinstanserna tillstyrker förslaget och bedömningen eller har inget att invända mot dem. Skälen för regeringens förslag och bedömning Det finns redan rättsligt stöd för myndigheter och kreditinstitut att behandla personuppgifter i samverkan Bestämmelserna om behandling av personuppgifter behandlas i avsnitt 5.2.Som redovisas där kräver reglerna att behandling av personuppgifter ska vara nödvändig i förhållande till den rättsliga grund som behandlingen stöder sig på och att behandlingen ska följa vissa grundläggande principer. Förslaget om samverkan innebär att brottsbekämpande myndigheter, tillsynsmyndigheter och kreditinstitut får delta i samverkan och i den dela information mellan varandra (avsnitt 6). I samband med samverkan kommer personuppgifter att behandlas. Ändamålet med samverkan, att förebygga, förhindra eller upptäcka penningtvätt och finansiering av terrorism, ligger inom ramen för de uppdrag som brottsbekämpande myndigheter, tillsynsmyndigheter och kreditinstitut redan har enligt straffprocessrättslig och förvaltningsrättslig lagstiftning. Det innebär att deltagarna i princip inte får nya uppgifter att bekämpa penningtvätt och finansiering av terrorism. För de aktörer som omfattas av dataskyddsförordningen är bekämpning av penningtvätt och finansiering av terrorism dessutom en uppgift av allmänt intresse (artikel Personuppgiftsbehandlingen som sker i samverkan är nödvändig för att utföra uppgiften och får också tydliga ramar genom de föreslagna bestämmelserna om samverkan. Därmed finns det som utgångspunkt också rättslig grund för den personuppgiftsbehandling som sker till följd av ett deltagande i samverkan. anser att den personuppgiftsbehandling som sker i samverkan får anses vara av allmänt intresse men ifrågasätter om deltagarna åläggs en rättslig förpliktelse genom ett beslut om samverkan. Det kan konstateras att det endast krävs att behandlingen har stöd i någon av de rättsliga grunder som anges i dataskyddsförordningen, vilket är fallet här. Sammanfattningsvis bedömer därför regeringen att den rättsliga grunden för den personuppgiftsbehandling som sker i samverkan är fastställd i enlighet med 6.3 i EU:s dataskyddsförordning. Den behandling av personuppgifter som sker i samverkan är proportionerlig I samverkan kommer en uppgiftsskyldighet att gälla för deltagarna. Uppgiftsskyldigheten innebär som utgångspunkt att information ska lämnas vidare till en annan deltagare utan hinder av sekretess eller annan tystnadsplikt. Det innebär i teorin en möjlighet till ett omfattande utbyte av personuppgifter mellan deltagarna. Uppgiftsutbytet kommer sannolikt att avse uppgifter som rör lagöverträdelser och andra personuppgifter av känslig natur. I vissa fall kan det, t.ex. i samverkan som inriktar sig mot finansiering av terrorism, vara aktuellt att dela personuppgifter om politiska åsikter eller religiös övertygelse. Bestämmelserna om samverkan innehåller flera begränsande regler som gör att ett utbyte av uppgifter i praktiken inte kommer att vara lika om- fattande som vad man vid en första anblick kan få intrycket av. Samverkan är begränsad till allvarligare former av penningtvätt och finansiering av terrorism och ska anordnas så att den inte blir mer långtgående än vad som behövs med hänsyn till det ändamål som föranlett samverkan och så att det avsedda resultatet står i rimligt förhållande till de olägenheter som kan antas uppstå för enskilda som berörs av samverkan. Deltagarna måste noga överväga behovet av samverkan och vilka uppgifter som kommer att bli aktuella att dela inom ramen för den (se avsnitt 6.3). Vidare begränsas uppgiftsskyldighetens omfattning genom kravet på att mottagaren ska ha behov av en uppgift som lämnas ut (se avsnitt 6.4). Det innebär att det inte är möjligt att på ren slentrian dela uppgifter. I detta ligger också att mottagaren måste kunna använda den uppgift som lämnas ut i sin egen verksamhet för att anses ha behov av uppgiften. Om en myndighets registerförfattning hindrar att en viss typ av uppgift tas emot och behandlas eller ställer upp särskilda villkor för att uppgiften ska få behandlas gäller detta även när myndigheten deltar i samverkan. De föreslagna bestämmelserna tillåter alltså i princip inte deltagarna att behandla personuppgifter i större utsträckning än vad som är möjligt (jfr prop. 2015/16:173 s. 42). De avgränsningar av samverkan som föreslås bedöms innebära att den personuppgiftsbehandling som kan komma att ske i samverkan får anses vara proportionerlig. Med anledning av den analys som länsstyrelserna i , och län efterfrågar kan framhållas att förslagens konsekvenser för den personliga integriteten löpande har övervägts i samband med att bestämmelserna har utformats. Behandling av personuppgifter för nya ändamål i samverkan Utöver att det ska finnas en rättslig grund för behandlingen sätter dataskyddslagstiftningen vissa gränser för behandling som sker för andra ändamål än det som uppgifterna ursprungligen samlades in för, något som kan förekomma i samverkan. Regelverket innebär att personuppgifter bara får samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Ändamålet ska vara mer konkret än den rättsliga grunden för behandlingen. För brottsbekämpande myndigheter kan godtagbara ändamål vara behandling av personuppgifter inom ramen för en förundersökning eller en pågående närmare angiven underrättelseverksamhet. Tillsynsmyndigheter kan behöva behandla personuppgifter för att utöva tillsyn över kreditinstitut eller granska en viss företeelse. kan behöva behandla personuppgifter för att uppfylla någon av skyldigheterna enligt penningtvättslagen, som åtgärder för kundkännedom eller transaktionsövervakning. Uppgifter som behandlas för ett godtagbart ändamål får därefter inte behandlas på ett sätt som är oförenligt med detta ändamål. Detta gäller oavsett om behandlingen sker med stöd av dataskyddsförordningen, brottsdatalagen eller lagen (2019:1182) om Säkerhetspolisens behandling av personuppgifter. I brottsdatalagen och de registerförfattningar som kompletterar den anges i vilka fall en behandling av personuppgifter för nya ändamål kan tillåtas när uppgifterna behandlas inom brottsdatalagens tillämpningsområde. Innan personuppgifter får behandlas för ett nytt ändamål ska det 2021/22:251 säkerställas att det finns en rättslig grund för den nya behandlingen och att det är nödvändigt och proportionerligt att personuppgifterna behandlas för det nya ändamålet (2 kap. 4 § första stycket brottsdatalagen). lämnas vidare till en annan myndighet gäller bestämmelsen bara om ändamålet för den behandlingen ligger inom brottsdatalagens tillämp- Innan personuppgifter som behandlas med stöd av brottsdatalagen behandlas för ett ändamål utanför lagens tillämpningsområde ska det säkerställas att det är nödvändigt och proportionerligt att personupp- gifterna behandlas för det nya ändamålet (2 kap. 22 § brottsdatalagen). rör sig då om en ny behandling i dataskyddsförordningens mening 2017/18:232 s. 134). I den utsträckning en skyldighet att lämna uppgifter följer av lag eller förordning behöver det inte göras någon prövning av om en ny behandling är nödvändig och proportionerlig, oavsett om den fortsatta behandlingen sker inom eller utanför brottsdatalagens tillämpningsområde (2 kap. 4 § andra stycket och 22 § andra stycket brottsdatalagen). ansett att det finns skäl att införa en uppgiftsskyldighet har denne redan tagit ställning till att uppgiftslämnandet är nödvändigt och proportionerligt och den myndighet som lämnar ut en uppgift behöver då inte göra en egen proportionalitetsbedömning (prop. 2017/18:232 s. 138). Detta innebär att myndigheter som tillämpar brottsdatalagen i allmänhet inte behöver göra någon bedömning av om ett utlämnande av uppgifter i samverkan är nödvändigt och proportionerligt. Detsamma gäller även i andra fall för myndigheter vars registerförfattningar innehåller bestämmel- ser med motsvarande innebörd. Som utredningen redovisar innehåller flera av registerförfattningar sådana bestämmelser. fallet för Säkerhetspolisen och (SOU 2021:42 s. 374 och 378). När åklagare deltar i samverkan kommer de däremot inte att omfattas av uppgiftsskyldighet (se avsnitt 6.4). Det innebär att åklagare måste bedöma om det finns förutsättningar att behandla personuppgifter för nya ändamål när uppgifter lämnas i samverkan (2 kap. 4 § och 22 § brottsdatalagen och 2 kap. 2 § lagen [2018:1697] om åklagarväsendets behandling av person- uppgifter inom brottsdatalagens område). I den praktiska tillämpningen bör det emellertid inte uppstå någon skillnad i förhållande till de myndig- heter som omfattas av den föreslagna uppgiftsskyldigheten, eftersom det som utgångspunkt får anses både nödvändigt och proportionerligt för åklagare att lämna uppgifter i en samverkan. För behandling av personuppgifter som inte omfattas av brottsdata- lagens tillämpningsområde ska i stället dataskyddsförordningen tillämpas vid bedömningen av om ett vidarelämnande av uppgifter är tillåtet. gäller framför allt tillsynsmyndigheter, men även kreditinstitut när de deltar i samverkan. Bedömningen bör utfalla på samma sätt som för de myndigheter som direkt kan tillämpa 2 kap. 4 och 22 §§ brottsdatalagen eller bestämmelser med motsvarande innebörd. Enligt dataskyddsförordningen gäller att den personuppgiftsansvarige ska fastställa huruvida behandling för andra ändamål är förenlig med det ändamål för vilket personuppgifterna ursprungligen samlades in om en sådan behandling inte grundar sig på den på unionsrätten eller medlemsstaternas nödvändig och proportionell åtgärd i ett demokratiskt samhälle för att skydda de vissa närmare angivna mål som Prop. 2021/22:251 anges i förordningen, bl.a. att förebygga och förhindra brott (artikel 6.4). Under förutsättning att behandlingen är fastställd i nationell rätt och utgör en nödvändig och proportionell åtgärd bör alltså behandling för nya ändamål vara tillåtet. Detta får också stöd av skäl 50 till dataskyddsförordningen. Där anges det att den personuppgiftsansvarige bör tillåtas att behandla personuppgifter ytterligare, oavsett om detta är förenligt med ändamålen eller inte, bl.a. om behandlingen grundar sig på unionsrätten eller på medlemsstaternas nationella rätt som utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa i synnerhet viktiga mål av allmänt intresse. Ett vidarelämnande i samverkan bör därför som utgångspunkt vara tillåtet i det hänseendet. Sammanfattningsvis finns det för både myndigheter och kreditinstitut ett tillräckligt författningsstöd för den behandling av personuppgifter som kan komma att ske i samband med att uppgifter lämnas vidare till en annan deltagare i samverkan. Men uppgiftsskyldigheten påverkar inte mottagarens fortsatta användning av uppgifterna inom den egna verksamheten, och den behandlingen måste alltså ha ett eget stöd i författning (jfr prop. 2015/16:167 s. 42). Det innebär också att mottagaren måste ha rätt att behandla en viss personuppgift för att anses ha behov av den (se ovan). Utbyte av känsliga personuppgifter och uppgifter om lagöverträdelser i samverkan För vissa särskilt integritetskänsliga personuppgifter ställer regelverket – som är inne på – upp ytterligare krav för behandlingen. Det handlar om dels s.k. känsliga personuppgifter, dels uppgifter om lagöverträdelser. Med känsliga personuppgifter avses uppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa, sexualliv eller sexuell läggning. Utgångspunkten i brottsdatalagen är att behandling av känsliga personuppgifter inte är tillåten. Om uppgifter om en person behandlas får de dock kompletteras med sådana uppgifter när det är absolut nödvändigt för ändamålet med behandlingen (2 kap. 11 §). Biometriska och genetiska uppgifter får behandlas endast om det är särskilt föreskrivet och det är absolut nödvändigt för ändamålet med behandlingen (2 kap. 12 §). I de registerförfattningar som kompletterar brottsdatalagen finns det också särskilda föreskrifter om behandlingen av känsliga personuppgifter. Också i de fall behandlingen av känsliga personuppgifter ska bedömas med utgångspunkt i dataskyddsförordningen är huvudregeln att känsliga personuppgifter inte får behandlas (artikel 9.1) Förbudet gäller inte om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen (artikel ). Myndigheter får behandla känsliga personuppgifter med stöd av artikeln om behandlingen är nödvändig för handläggningen av ett ärende eller, i annat fall, om behandlingen är nödvändig med hänsyn till ett viktigt allmänt intresse och inte innebär ett otillbörligt intrång i den registrerades personliga integritet (3 kap. 3 § dataskyddslagen). Det finns avvikande bestämmelser i myndig- heters registerförfattningar – bl.a. i och författ- ningar – som ytterligare preciserar eller avgränsar möjligheten att behandla känsliga personuppgifter. För kreditinstitut finns det särskilda bestämmelser i 5 kap. 5 § penning- Ett kreditinstitut får behandla känsliga personuppgifter endast om det är nödvändigt för att bedöma om kunden är en person i politiskt utsatt ställning eller familjemedlem eller känd medarbetare till en sådan person, bedöma den risk som kan förknippas med kundrelationen, uppfylla sina skyldigheter att övervaka pågående affärsförbindelser och bedöma enstaka transaktioner i syfte att upptäcka aktiviteter och transaktioner är avvikande eller som kan antas ingå som ett led i penningtvätt eller finansiering av terrorism samt att rapportera misstänkt penningtvätt och finansiering av terrorism till finanspolisen. Uppgifterna får i motsvarande utsträckning behandlas vid bevarande av bl.a. handlingar. Uppgifter om lagöverträdelser får i olika avseenden behandlas av främst brottsbekämpande myndigheter i enlighet med vad som närmare anges i bl.a. lagen (1998:620) om belastningsregister. I övrigt får behandling av personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott eller därmed sammanhängande säkerhetsåtgärder endast utföras under kontroll av myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs (artikel 10 i dataskyddsförordningen). Myndigheter har rätt att behandla uppgifter om lagöverträdelser (3 kap. 8 § dataskyddslagen). fall kan det finnas avvikande bestämmelser i sektorsspecifika lagar, vilket bl.a. är fallet för beskattningsverksamhet och folkbok- föringsverksamhet och verksamhet som inte avser brotts- Vidare har kreditinstitut rätt att behandla personuppgifter om lagöverträdelser i sin verksamhet i motsvarande utsträckning som de har rätt att behandla känsliga personuppgifter, dock att de inte har rätt att behandla uppgifter om lagöverträdelser för att bedöma om en kund är en person i politiskt utsatt ställning eller familjemedlem eller känd medarbetare till en sådan person (5 kap. 6 § penningtvättslagen). samverkan kommer det ofta vara aktuellt att behandla person- och samordningsnummer för att kunna övervaka eller vidta åtgärder mot en Med hänsyn till ändamålet med behandlingen framstår det som klart motiverat att en sådan behandling får ske inom ramen för samverkan (jfr 3 kap. 10 § dataskyddslagen). Myndigheter och kreditinstitut har alltså redan rätt att behandla känsliga personuppgifter och uppgifter om lagöverträdelser under särskilt angivna Härigenom finns det en balans mellan verksamheternas behov av att kunna behandla sådana uppgifter och den enskildes personliga Regeringen anser att det är rimligt att uppgifterna kan behandlas i motsvarande utsträckning i samverkan. att mottagaren har behov av en viss uppgift, vilket i sig innebär en spärr mot onödig behandling. Även om det inte kan antas bli alltför vanligt att känsliga personuppgifter behandlas i samverkan kan det i vissa fall finnas behov av det. Utredningar om penningtvätt kan ha samband med nästan alla typer av brottslighet eftersom penningtvätt omfattar åtgärder som syftar till att dölja eller omsätta från brottslig verksamhet, oavsett Prop. 2021/22:251 förbrott. Det kan också finnas behov av att behandla uppgifter om politiska eller religiösa åsikter i samverkan som syftar till att motverka finansiering av terrorism av olika slag. Mot den bakgrunden görs bedömningen att det inte bör införas några ytterligare begränsningar av vilka personuppgifter som får behandlas i samverkan. Vidare anser regeringen att det i penningtvättslagen bör förtydligas att kreditinstitut som deltar i samverkan ska få behandla känsliga personuppgifter och personuppgifter om lagöverträdelser om det är nödvändigt för att lämna uppgifter i samverkan. Detta i syfte att informationsutbytet i samverkan ska vara ändamålsenligt. Som framför bör det då övervägas om det bör införas s.k. kompensatoriska åtgärder för att stärka de registrerades rättigheter. Med det avses lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. I ett tidigare lagstiftningsärende har det ansetts att kraven på sådana åtgärder är uppfyllda för kreditinstitutens behandling av känsliga personuppgifter och uppgifter om lagöverträdelser med hänvisning till att institut inte får samköra register med uppgifter om misstänkt penningtvätt och finansiering av terrorism och till att det råder tystnadsplikt för verksamma hos ett personuppgifter (prop. 2017/18:142 s. 32 och 37). Regeringen gör nu samma bedömning, dvs. att det inte behöver vidtas ytterligare kompensatoriska åtgärder med anledning av samverkan. 8Informationsutbyte mellan verksamhetsutövare utanför samverkan Regeringens bedömning: Möjligheterna för verksamhetsutövare att utbyta uppgifter i situationer som inte har samband med att en transaktion genomförs bör inte utvidgas. Det finns inte förutsättningar att utvidga möjligheten för verksamhetsutövare att utanför samverkan utbyta information om misstänkta transaktioner. Utredningens bedömning och förslag överensstämmer delvis med regeringens bedömning. Utredningen föreslår att det ska vara möjligt för verksamhetsutövare att utbyta uppgifter om samma transaktion utan krav på att transaktionen sker mellan samma kund och mellan verksamhetsutövare som tillhör samma verksamhets- eller yrkeskategori. Remissinstanserna: Flertalet remissinstanser tillstyrker förslaget och bedömningen eller har inget att invända mot dem. Enligt bör verksamhetsutövare få tillgång till uppgifter i konto- och värdefackssystem i syfte att identifiera innehavaren av ett konto. anser att det ska vara möjligt för verksamhetsutövare att utbyta uppgifter om transaktioner med ett tekniskt samband. efterlyser ett förtydligande av hur kravet på samma transaktion ska tolkas för fondbolag. 2021/22:251 anser att även fastighetsmäklare bör ges möjlighet att utbyta uppgifter om misstänkta transaktioner. och anser att det paket med förslag till åtgärder mot penningtvätt och finansiering av terrorism som Europeiska kommissionen lagt fram kan medföra att förslaget inte kan genomföras. Bedömningen i utkastet till lagrådsremiss överensstämmer med regeringens. Remissinstanserna: Flertalet remissinstanser tillstyrker bedömningen eller har inget att invända mot den. , , i vars yttrande Svensk Värdepappersmarknad instämmer, och Svensk Försäkring anser att utredningens förslag om att det ska vara möjligt för verksamhetsutövare att i fler fall utbyta uppgifter om samma transaktion skulle förbättra effektiviteten i regelverket. , och anser att utredningens förslag bör genomföras medan Svensk Försäkring anser att regeringen under förhandlingarna av den kommande EU-förordningen bör verka för att förordningen får en motsvarande utformning som utredningens förslag om det inte genomförs. Skälen för regeringens bedömning Verksamhetsutövares möjligheter att utbyta uppgifter i situationer som inte har samband med att en transaktion genomförs bör inte utvidgas Utredningen har övervägt om verksamhetsutövare även utanför samverkan och utan att någon myndighet medverkar ska få utvidgade möjligheter att utbyta uppgifter om misstänkt penningtvätt och finansiering av terrorism med varandra. Övervägandena tar dels sikte på situationer där en transaktion genomförs mellan flera verksamhetsutövare (se rubriken nedan), dels situationer som inte har samband med att en transaktion genomförs. När det gäller de senare situationerna har utredningen bl.a. övervägt