Allmänt

Genom den föreslagna lagstiftningen genomförs Europaparlamentets och rådets direktiv (EU) 2019/1153 om fastställande av bestämmelser för att underlätta användning av finansiell information och andra uppgifter för att förebygga, upptäcka, utreda eller lagföra vissa brott och om upphävande av rådets beslut 2000/642/RIF (nedan kallat direktivet om finansiell information). Samtidigt kompletteras genomförandet av Europaparlamentets och rådets direktiv (EU) 2018/843 om ändring av direktiv (EU) 2015/849 om åtgärder för att förhindra att det finansiella systemet används för penningtvätt eller finansiering av terrorism, och om ändring av direktiven 2009/138/EG och 2013/36/EU (nedan det femte penningtvättsdirektivet). Dessutom föreslås andra kompletterande bestämmelser på grund av nationella ändringsbehov. 

I överensstämmelse med direktivet om finansiell information föreslås i lagen att de myndigheter som ska få åtkomst till övervakningssystemet för bank- och betalkonton ska anges på det sätt som avses i direktivet. Dessutom utvidgas på det sätt som direktivet om finansiell information förutsätter rätten för centralen för utredning av penningtvätt att lämna ut uppgifter för att förebygga, upptäcka och utreda allvarliga brott som avses i bilaga I till Europolförordningen. 

Som en nationell utvidgning utvidgas antalet myndigheter som har rätt att använda övervakningssystemet för bank- och betalkonton jämfört med nuläget. I propositionen föreslås dessutom att det byggs upp en teknisk lösning i anslutning till övervakningssystemet för bank- och betalkonton: ett sammanställningsprogram med vars hjälp det ska vara möjligt att från övervakningssystemet för bank- och betalkonton förmedla information till behöriga myndigheter. Förvaltningsutskottet instämmer i den åsikt som framförts i regeringens motivering, således att ett sammanställningsprogram bättre motsvarar det krav på ett centraliserat datasöksystem som ställs i det femte penningtvättsdirektivet. Samtidigt betonar utskottet att bankernas och kundernas administrativa börda dock inte får öka. 

Förvaltningsutskottet har fått utlåtanden om propositionen av grundlagsutskottet (GrUU 10/2022 rd) och ekonomiutskottet (EkUU 5/2022 rd). Förvaltningsutskottet tar upp dessa utlåtanden nedan. Sammantaget ställer sig förvaltningsutskottet bakom propositionens målsättningar. Utskottet tillstyrker lagförslagen, men med följande anmärkningar och ändringsförslag. 

Utökning av de myndigheter som använder övervakningssystemet för bank- och betalkonton

I propositionen föreslås utöver de gällande åtkomsträttigheterna i lagen om ett övervakningssystem för bank- och betalkonton att Skatteförvaltningen, Tullen, Utsökningsverket, polisen och Gränsbevakningsväsendet, Försvarsmakten och Finansinspektionen ska ha åtkomst till övervakningssystemet för bank- och betalkonton. För dessa myndigheter föreslås inga nya befogenheter i fråga om åtkomst till bank- och betalkontouppgifter, utan åtkomsten baserar sig på befogenheterna enligt gällande lagstiftning. Propositionen utvidgar ändamålen som övervakningssystemet för bank- och betalkonton kan användas för, eftersom systemet för närvarande enligt direktiven endast kan användas om det är nödvändigt för att förhindra, avslöja och utreda penningtvätt och finansiering av terrorism. Utskottet anser att man i propositionsmotiven på ett heltäckande sätt har öppnat upp till vilka delar den föreslagna regleringen beror på genomförandet av direktiven och vad som däremot beror på nationella behov. 

Det femte penningtvättsdirektivet och direktivet om finansiell information är så kallade minimidirektiv, varvid det i direktivet eller dess bestämmelser föreskrivs om den miniminivå som ska iakttas på Europeiska unionens nivå. Då är det möjligt att utfärda bestämmelser som är mer långtgående på nationell nivå. Medlemsstaterna kan således utfärda bestämmelser som går längre än direktiven, förutsatt att regleringen uppfyller exempelvis kraven på proportionalitet och ändamålsenlighet. 

Förvaltningsutskottet konstaterar att det i propositionen på ett ganska täckande sätt beskrivs för vilka ändamål myndigheterna begär uppgifter om bankkonton och för vilka ändamål de i fortsättningen begär uppgifter via övervakningssystemet för bank- och betalkonton. Förvaltningsutskottet anser det också motiverat att tillgången till uppgifter begränsas av kravet på nödvändighet i fråga om behöriga myndigheter. 

Ekonomiutskottet har i sitt utlåtande om propositionen (EkUU 5/2022 rd) påpekat att uppgifter om bank- och betalkonton bör fås att gå via automatiserade mekanismer också med tanke på internationellt informationsutbyte i fråga om beskattning. De föreslagna ändringarna i fråga om användbarheten av övervakningssystemet för bank- och betalkonton förefaller enligt det inte vara tillräckliga bland annat med tanke på tillämpningsvillkoren för direktiv (EU) 2011/16 (administrativt samarbete i fråga om beskattning). Förvaltningsutskottet delar ekonomiutskottets åsikt och föreslår att 3 § 1 mom. 2 punkten i propositionen kompletteras. 

Sammanställningsprogrammet som en del av övervakningssystemet för bank- och betalkonton

Enligt propositionen är sammanställningsprogrammet en automatiserad teknisk lösning som administreras av Tullen och med vars hjälp Tullen förmedlar uppgifter från övervakningssystemet för bank- och betalkonton till behöriga myndigheter. Som det konstateras ovan motsvarar den centraliserade automatiserade lösningen bättre kravet i det femte penningtvättsdirektivet på ett centraliserat datasöksystem än det nuvarande decentraliserade datasöksystemet. 

Utskottet konstaterar att förslaget om ett sammanställningsprogram också har bredare relevans, eftersom kommissionens nya förslag till ändring av Europaparlamentets och rådets direktiv (EU) 2019/1153 när det gäller behöriga myndigheters tillgång till centrala bankkontoregister via en central kontaktpunkt kommer att öka medlemsstaternas skyldigheter i fråga om överföring av uppgifter i övervakningssystemet för bank- och betalkonton till myndigheter i andra medlemsstater. Förvaltningsutskottet har i sitt utlåtande om statsrådets skrivelse som ingår i förslaget (FvUU 7/2022 rd — U 62/2021 rd) ansett att de behöriga myndigheternas tillträde till det centraliserade system för EU-medlemsstaterna som kommissionen utvecklat och upprätthåller är ett viktigt framsteg när det gäller att spåra vinning av brott. Utan det föreslagna sammanställningsprogrammet har Finland inte någon sådan centraliserad automatiserad mekanism för identifiering av bank- och betalkonton som förutsätts i det femte penningtvättsdirektivet. 

Utskottet konstaterar att både bestämmelserna om sammanställningsprogrammet och om hela övervakningssystemet för bank- och betalkonton ska uppfylla kraven i bestämmelserna om dataskydd och grundläggande fri- och rättigheter. Artikel 25 i dataskyddsförordningen gäller inbyggt dataskydd och dataskydd som standard. Den personuppgiftsansvarige ska således genomföra lämpliga tekniska och organisatoriska åtgärder för att, i standardfallet, säkerställa att endast personuppgifter som är nödvändiga för varje specifikt ändamål med behandlingen behandlas. Den skyldigheten gäller mängden insamlade personuppgifter, behandlingens omfattning, tiden för deras lagring och deras tillgänglighet. De tekniska förbindelserna ska innehålla adekvata kontroller med vilka man begränsar och kontrollerar behandlingen av uppgifter, som utlämnande av uppgifter. Utskottet anser att man i propositionen på behörigt sätt har beaktat aspekter som hänför sig till skyddet av personuppgifter och riskerna med behandlingen av personuppgifter. 

De sakkunnigyttranden som lämnats till förvaltningsutskottet har visat att Tullens roll som registeransvarig för sammanställningsprogrammet och å andra sidan sammanställningsprogrammets anslutning till övervakningssystemet för bank- och betalkonton har förblivit oklar i propositionen. Utskottet anser att man i lagberedningen inte tillräckligt noggrant har framställt att det sammanställningsprogram som Tullen upprätthåller inte enbart är en automatiserad mekanism som förmedlar myndighetens begäran om information till övervakningssystemet för bank- och betalkonton, utan att det är en del av övervakningssystemet för bank- och betalkonton och en registerhelhet. Förvaltningsutskottet anser att sammanställningsprogrammet i detta sammanhang bör fogas till 1 § 1 mom. i den gällande lagen om ett övervakningssystem för bank- och betalkonton på det sätt som beskrivs nedan i detaljmotiveringen. Samtidigt förtydligas Tullens roll som personuppgiftsansvarig för sammanställningsprogrammet med de skyldigheter och ansvar som den personuppgiftsansvarige har enligt Europeiska unionens dataskyddslagstiftning och den nationella lagstiftningen. 

Informationsinnehållet i övervakningssystemet för bank- och betalkonton

Förvaltningsutskottet konstaterar att syftet med propositionen och de direktiv som ligger till grund för den är att förhindra penningtvätt och finansiering av terrorism genom att underlätta behöriga myndigheters tillgång till finansiella uppgifter, alltså bank- och betalkontouppgifter, för att förebygga, upptäcka, utreda och lagföra allvarliga brott. Utskottet anser att detta mål är viktigt och konstaterar att effektiva medel måste användas för att uppnå målet. Av propositionen och den sakkunnigutredning som utskottet fått framgår också att det decentraliserade övervakningssystemet för bank- och betalkonton, som har samband med genomförandet av det femte penningtvättsdirektivet, har använts i mycket liten utsträckning. 

Utskottet anser att de ändringar som ingår i regeringspropositionen inte i tillräcklig utsträckning når de ovan nämnda målen. Utskottet anser att när syftet med att bygga upp informationssystemet särskilt är att effektivisera återtagande av brottsvinning samt att förebygga, avslöja och utreda brott, är det nödvändigt att foga mer täckande uppgifter, transaktionsuppgifter, till informationsinnehållet i systemet. 

Vid den tidigare riksdagsbehandlingen av lagen om ett övervakningssystem för bank- och betalkonton (RP 167/2018 rd — EkUB 43/2018 rd — GrUU 48/2018 rd) betecknades uppgifterna om transaktioner som känsliga uppgifter som hör till kärnan i skyddet för privatlivet. Grundlagsutskottet såg det som särskilt beklagligt att området för det nationella handlingsutrymmet då beskrevs bristfälligt. Utskottets åsikt var att bestämmelser som de föreslagna, som skulle ha tillåtit att känsliga personuppgifter i kärnan av skyddet för privatlivet behandlas trots sekretessen, måste beredas, motiveras och utformas innehållsmässigt särskilt noggrant och med hänsyn till de krav som grundlagen ställer (GrUU 48/2018 rd, s. 7). Grundlagsutskottet har upprepat detta i samband med den aktuella propositionen (GrUU 10/2022 rd). 

Ekonomiutskottet har i sitt utlåtande (EkUU 5/2022 rd) ansett att den föreslagna lagstiftningen inte löser det nuvarande problemet med att myndigheternas förfaranden är splittrade och manuella, när det är fråga om känsliga kontouppgifter som omfattas av integritetsskyddet. Utskottet anser att det är motiverat att anse att manuell behandling av uppgifter inte garanterar en hög skyddsnivå. Även känsliga uppgifter kan behandlas automatiserat när det förutsätts att hanteringen av åtkomsträttigheter till systemen och informationssäkerheten har lösts på behörigt sätt. Det väsentliga är att begäran om och läsning av uppgifter resulterar i logganteckningar som inte kan ändras i efterhand. 

I ekonomiutskottets utlåtande konstateras att det nya systemet bör effektivisera, precisera och avgränsa begäranden om information och göra förfrågningarna lättare att följa. I det nya systemet bör avancerad teknik (t.ex. blockkedjeteknik) utnyttjas för att uppnå ovan nämnda mål. Endast på detta sätt kan man uppnå en balans mellan myndigheternas informationsbehov och integritetsskyddet för de finansiella institutens kunder. I datasystemet kan man noggrant avgränsa vem som kan se innehållet i den förmedlade informationen samt senare verifiera vem som har läst informationen. Det är också värt att notera att när en myndighet gör en förfrågan via Tullens sammanställningsprogram, blir informationen om den myndighet som frågar och grunden för förfrågan kvar i programmet och förmedlas inte vidare. Detta minskar möjligheten att missbruka uppgifter om vilken myndighet som har begärt uppgifterna. 

Förvaltningsutskottet delar ekonomiutskottets åsikt och anser att det är nödvändigt att man snabbt förbereder införandet av uppgifter om transaktioner i systemet, eftersom det nuvarande systemet orsakar osäkerhet och överlappande kostnader både hos myndigheterna och inom den privata sektorn. Utskottet anser att ett arrangemang där kontonummer har förts bakom komplicerade bestämmelser och dataskydd, men som inte omfattar behandling av uppgifter om transaktioner, inte är en trovärdig eller hållbar lösning med tanke på skyddet för enskilda individer, dataskyddet eller spårandet och återtagandet av brottsvinning och inte heller med beaktande av kostnaderna för systemet.