Denna lag innehåller bestämmelser om ett övervakningssystem för bank- och betalkonton som består av ett centraliserat automatiserat kontouppgiftssystem samt ett centraliserat elektroniskt system för transaktions- och saldouppgifter. 

Personuppgifter i övervakningssystemet för bank- och betalkonton behandlas med hjälp av ett datasöksystem för bank- och betalkonton, ett register över bank- och betalkonton, ett system för utlämnande av uppgifter samt ett sammanställningsprogram. 

Denna lag tillämpas på erhållande och förmedling av information om bank- och betalkonton samt bankfack, transaktions- och saldouppgifter samt uppgifter om värdepapper från betalningsinstitut, institut för elektroniska pengar, kreditinstitut och leverantörer av kryptotillgångstjänster till behöriga myndigheter med hjälp av ett övervakningssystem för bank- och betalkonton. 

Det som i denna lag föreskrivs om betalningsinstitut, institut för elektroniska pengar, kreditinstitut och leverantörer av kryptotillgångstjänster tillämpas också på i Finland belägna filialer till utländska betalningsinstitut, institut för elektroniska pengar, kreditinstitut och leverantörer av kryptotillgångstjänster. 

Uppgifter som behandlas i övervakningssystemet för bank- och betalkonton är sekretessbelagda. På registret över bank- och betalkonton tillämpas i övrigt bestämmelserna i lagen om offentlighet i myndigheternas verksamhet (621/1999), dock så att uppgifter i registret över bank- och betalkonton endast kan lämnas ut för de användningsändamål som anges i denna lag och för de användningsändamål som anges i 11 och 12 §, 26 § 3 mom. och 29 § 1 mom. 3 punkten i lagen om offentlighet i myndigheternas verksamhet. 

En behörig myndighets begäran om information får inte behandlas hos aktörer som avses i 1 a § i annat syfte än för att behandla begäran samt för att lämna ut uppgifter i enlighet med begäran. 

Uppgifter som erhållits av en aktör som avses i 1 a § får inte behandlas för något annat ändamål än det för vilket uppgifterna har lämnats ut. 

Tullen ska administrera ett sammanställningsprogram med vars hjälp den mekaniskt överför behöriga myndigheters begäranden om information till aktörer som avses i 1 a § för de ändamål för behandling som anges i 2 och 3 kap., samt lämnar ut de uppgifter som erhållits genom att i enlighet med begäran om information förmedla dem till den behöriga myndigheten. Tullen är personuppgiftsansvarig för de personuppgifter som behandlas med sammanställningsprogrammet. 

Behandlingen av personuppgifter med sammanställningsprogrammet sker automatiskt. Uppgifter som lämnats ut via sammanställningsprogrammet ska raderas ur programmet omedelbart efter det att uppgifterna har lämnats vidare. Om den behöriga myndigheten inte med hjälp av sitt datasöksystem har hämtat de uppgifter som den begärt i sammanställningsprogrammet inom den tid som Tullen bestämmer, raderas uppgifterna automatiskt ur programmet. 

Med avvikelse från det som föreskrivs i artikel 15 i Europaparlamentets och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), nedan den allmänna dataskyddsförordningen, om den registrerades rätt till tillgång till uppgifter, har den registrerade inte tillgång till uppgifter när uppgifterna behandlas med sammanställningsprogrammet. Uppgifterna ska på den registrerades begäran lämnas till dataombudsmannen med iakttagande av vad som föreskrivs i 34 § i dataskyddslagen (1050/2018). Begäran om utövande av den indirekta rätten till insyn ska framställas till dataombudsmannen eller Tullen med iakttagande av 35 § 2 mom. i lagen om behandling av personuppgifter inom Tullen (650/2019). En begäran som framställts till Tullen ska utan dröjsmål lämnas till dataombudsmannen. 

Ett kreditinstitut ska administrera ett elektroniskt datasöksystem för bank- och betalkonton med vars hjälp det trots sekretessbestämmelserna till en behörig myndighet lämnar ut i 2 och 3 kap. avsedda uppgifter om sina kunder och deras transaktions- och saldouppgifter. Om det är motiverat med beaktande av kreditinstitutets storlek samt verksamhetens art och omfattning, får institutet avvika från skyldigheten att administrera ett datasöksystem, om Finansinspektionen beviljar tillstånd till detta. 

Betalningsinstitut, institut för elektroniska pengar och leverantörer av kryptotillgångstjänster kan administrera ett i 1 mom. avsett datasöksystem för bank- och betalkonton. De ska då till den behöriga myndigheten lämna ut i 2 och 3 kap. avsedda uppgifter med hjälp av datasöksystemet. 

Med avvikelse från det som föreskrivs i artikel 15 i den allmänna dataskyddsförordningen om den registrerades rätt till tillgång till uppgifter, har den registrerade inte tillgång till uppgifter när uppgifterna behandlas med ett elektroniskt söksystem för bank- och betalningskonton. Uppgifterna ska på den registrerades begäran lämnas till dataombudsmannen med iakttagande av vad som föreskrivs i 34 § i dataskyddslagen. 

En behörig myndighet ska administrera ett elektroniskt datasöksystem för myndigheten med hjälp av vilket den trots sekretessbestämmelserna av aktörer som avses i 1 a § får begära och ta emot i 2 och 3 kap. avsedda uppgifter om kunderna hos dessa aktörer samt om deras transaktions- och saldouppgifter och uppgifter om värdepapper. I begäran om information ska det anges om begäran gäller uppgifter som avses i 2 eller i 3 kap. 

Tullen övervakar att skyldigheterna enligt 1 och 2 mom., 4 § 2 mom. och 6 § 1 mom. fullgörs och meddelar en föreskrift om de tekniska krav som ställs på sådana datasöksystem som avses i denna paragraf. 

Tullen ska administrera ett system för utlämnande av uppgifter med vars hjälp de i 1 a § avsedda aktörer som inte har byggt upp ett elektroniskt datasöksystem för bank- och betalkonton lämnar ut de uppgifter som avses i 3 kap. till behöriga myndigheter. 

Tullen meddelar tekniska föreskrifter om på vilka sätt uppgifterna ska lämnas till systemet för utlämnande av uppgifter. 

Tullen har rätt att avgiftsfritt få de uppgifter som förs in i registret över bank- och betalkonton samt de uppgifter som lämnas ut ur datasöksystemen för bank- och betalkonton. 

De behöriga myndigheterna har rätt att avgiftsfritt få de uppgifter som avses i denna lag ur övervakningssystemet för bank- och betalkonton. 

Ett kreditinstitut ska med hjälp av ett datasöksystem för bank- och betalkonton omedelbart och trots sekretessbestämmelserna till en behörig myndighet lämna ut sådana uppgifter om sina kunder som avses i 2 mom. 

Den behöriga myndigheten ska specificera enligt vilken bestämmelse den begär information. Kreditinstituten svarar för att de uppgifter som de lämnar ut är korrekta och att rättelser görs utan ogrundat dröjsmål. 

I samband med gemensamma konton som förvaltas av en advokat ska det uttryckligen antecknas att bank- eller betalkontot är ett gemensamt konto som förvaltas av en advokat och som omfattas av tystnadsplikten för advokater. Uppgifter om gemensamma konton som förvaltas av en advokat får inte lämnas ut via datasöksystemet, med undantag för information om att det är fråga om ett gemensamt konto som förvaltas av en advokat och om vilken advokat som förvaltar kontot. 

Betalningsinstitut, institut för elektroniska pengar och leverantörer av kryptotillgångstjänster ska trots sekretessbestämmelserna och andra begränsningar som gäller erhållande av information lämna Tullen de uppgifter som avses i 2 mom. Betalningsinstitut, institut för elektroniska pengar och leverantörer av kryptotillgångstjänster kan administrera ett i 1 d § avsett datasöksystem för bank- och betalkonton, varvid de uppgifter som avses i 2 mom. i denna paragraf ska utlämnas via datasöksystemet. 

Uppgifter får lämnas ut oberoende av vad som i artikel 18.1 a i den allmänna dataskyddsför-ordningen föreskrivs om den registrerades rätt att kräva att den personuppgiftsansvarige begränsar behandlingen av personuppgifter. 

Tullen förmedlar de i 3 § avsedda behöriga myndigheternas begäranden om sådan information som avses i 4 och 6 §, i vilka det i 3 § avsedda användningsändamålet preciserats, i pseudonymiserad form till kreditinstitutet, och överför i enlighet med begäran om information de uppgifter som mottagits från kreditinstitutet till den behöriga myndigheten med sammanställningsprogrammet. 

 

Vidare ska varje behörig myndighet föra ett loggregister som utöver de uppgifter som avses i 1 mom. även innehåller identifieringsuppgifter om den person som utfört en förfrågan eller en sökning i det centraliserade automatiserade systemet för kontouppgifter och om den person som förordnat förfrågan eller sökningen och, om möjligt, identifieringsuppgifter om mottagaren av resultatet av förfrågan eller sökningen. Den behöriga myndigheten ska utse en person som övervakar användningen av det centraliserade automatiserade systemet för kontouppgifter. Tullen ska i egenskap av personuppgiftsansvarig övervaka användningen av registret över bank- och betalkonton. Dataskyddsombudet ska regelbundet granska de loggregister som avses i denna paragraf. 

Logguppgifterna ska bevaras endast i syfte att säkerställa skyddet för personuppgifter och för att trygga datasäkerheten och rättssäkerheten, och de ska skyddas mot osaklig hantering. Logguppgifterna ska bevaras under det innevarande året och de fem följande åren, utom i det fall att de behövs i ett pågående tillsynsärende. 

Tullen påför den som uppsåtligen eller av oaktsamhet försummar eller bryter mot skyldigheten att administrera ett sådant datasöksystem för bank- och betalkonton som avses i 1 d § 1 mom. eller skyldigheten att lämna Tullen sådana uppgifter som avses i 4 § 2 mom. eller i 6 § 2 eller 3 mom. en ordningsavgift. 

Saldouppgifter om gemensamma konton som förvaltas av en advokat får inte lämnas ut via det centraliserade elektroniska systemet för transaktions- och saldouppgifter. 

Dessutom är det möjligt att via det centraliserade elektroniska systemet för transaktions- och saldouppgifter begära uppgifter om kundens värdepapper. 

I 1 och 2 mom. avsedda uppgifter om gemensamma konton som förvaltas av en advokat får inte lämnas ut via det centraliserade elektroniska systemet för transaktions- och saldouppgifter. 

Rätt att få sådana uppgifter som avses i 17 b och 17 d § och möjlighet att göra begäranden om information som gäller dem ur det centraliserade elektroniska systemet för transaktions- och saldouppgifter har endast sådan personal vid en i 17 a § och 17 c § avsedd behörig myndighet som har utsetts och bemyndigats att utföra dessa uppgifter. 

En behörig myndighet ska med hjälp av sitt elektroniska datasöksystem specificera IBAN-numret eller någon annan identifieringskod för det bank- och betalkonto som begäran gäller, användningsändamålet för informationen samt referensuppgifterna för ärendet samt de bestämmelser med stöd av vilka den begär information från det centraliserade elektroniska systemet för transaktions- och saldouppgifter. 

Aktörer som avses i 1 a § ska trots sekretessbestämmelserna lämna ut sådana uppgifter som avses i 17 b § och 17 d § 1 mom. utan dröjsmål, men senast inom följande bankdag. 

De uppgifter som avses i 17 d 1 mom. ska på begäran lämnas ut för de fem föregående kalenderåren. Den behöriga myndigheten ska från fall till fall bedöma för vilken tid det är nödvändigt att begära uppgifterna samt utan obefogat dröjsmål radera onödiga personuppgifter. 

En aktör som avses i 1 a § kan av grundad anledning lämna ut uppgifter som avses i 17 d § 2 mom. på något annat elektroniskt informationssäkert sätt. 

 

Varje aktör som behandlar uppgifter som hör till det centrala elektroniska systemet för transaktions- och saldouppgifter är personuppgiftsansvarig i fråga om de uppgifter som den behandlar. 

Den behöriga myndigheten svarar för att dess begäran om transaktions- och saldouppgifter är nödvändig och proportionell. Den behöriga myndigheten svarar också för att de uppgifter som den lämnar ut i begäran om information är korrekta och för att sådana uppgifter rättas utan obefogat dröjsmål. 

Tullen förmedlar sådana i 17 b och 17 d § avsedda begäranden om information från behöriga myndigheter som avses i 17 a och 17 c § i fråga om vilka bestämmelserna om erhållande av information, informationens användningsändamål, ärendets referensuppgifter och kontaktuppgifterna till den behöriga myndigheten har specificerats, till aktörer som avses i 1 a §, och överför de uppgifter som erhållits av aktörerna som sådana till den behöriga myndigheten med sammanställningsprogrammet. 

Aktörer som avses i 1 a § svarar för att de transaktions- och saldouppgifter som de lämnar ut är korrekta och för att uppgifterna rättas utan obefogat dröjsmål. 

Den behöriga myndigheten ska underrätta Tullen om felaktiga uppgifter som den har upptäckt och tagit emot. 

Vidare ska den behöriga myndigheten och de aktörer som avses i 1 a § föra ett loggregister över användningen av det centraliserade elektroniska systemet för transaktions- och saldouppgifter. Loggregistret ska innehålla åtminstone de uppgifter som avses i 1 mom. 

Den behöriga myndighetens i 2 mom. avsedda loggregister ska även innehålla identifieringsuppgifter om den person som utfört en förfrågan i det centraliserade elektroniska systemet för transaktions- och saldouppgifter och om den person som förordnat förfrågan och, om möjligt, identifieringsuppgifter om mottagaren av resultatet av förfrågan. Den behöriga myndigheten ska utse en person som övervakar användningen av det centraliserade elektroniska systemet för transaktions- och saldouppgifter. 

Logguppgifterna ska bevaras endast i syfte att säkerställa skyddet för personuppgifter och för att trygga datasäkerheten och rättssäkerheten, och de ska skyddas mot osaklig hantering. Logguppgifterna ska bevaras under det innevarande året och de fem följande åren, utom i det fall att de behövs i ett pågående tillsynsärende.