7.1
Lagen om ett övervakningssystem för bank- och betalkonton
1 kap
. Allmänna bestämmelser
Lagförslagets 1 kap. innehåller allmänna bestämmelser och paragraferna 1–1 e §.
1 §
.
Övervakningssystemet för bank- och betalkonton och lagens syfte.
Paragrafen innehåller bestämmelser som beskriver syftet med övervakningssystemet för bank- och betalkonton samt dess allmänna struktur och funktion. Det föreslås att den gällande paragrafen ändras så att lagens syfte fogas till paragrafens rubrik, innehållet i 1 och 2 mom. i paragrafen ändras och 3 mom. flyttas till nya 1 a § och 4 mom. till 1 b §. Med de föreslagna ändringarna beskrivs innehållet i övervakningssystemet för bank- och betalkonton i enlighet med förslaget via det två funktionerna i övervakningssystemet för bank- och betalkonton.
I enlighet med 1 mom. i paragrafen består övervakningssystemet för bank- och betalkonton av ett centraliserat automatiserat kontouppgiftssystem samt ett centraliserat elektroniskt system för transaktions- och saldouppgifter. I det första momentet förklaras skillnaden mellan de två olika funktionerna i övervakningssystemet för bank- och betalkonton, vilka avviker från varandra i fråga om sättet att behandla information och den rättsliga grunden. Det centraliserade automatiserade kontouppgiftssystemet baserar sig på det automatiserade och omedelbara systemet innehållande ägaruppgifter om ett konto enligt lagen om ett övervakningssystem för bank- och betalkonton, vilket baserar sig på kravet i femte penningtvättsdirektivet för medlemsstaterna att införa centraliserade automatiserade mekanismer, såsom centraliserade register eller centraliserade elektroniska datasöksystem, som gör det möjligt att med nödvändig skyndsamhet fastställa identiteten hos fysiska eller juridiska personer som innehar eller kontrollerar betalkonton och bankkonton som identifieras med IBAN-nummer samt bankfack som innehas av ett kreditinstitut inom deras territorium. Med andra ord motsvarar systemet och informationsbehandlingen enligt den gällande lagen om ett övervakningssystem för bank- och betalkonton det centraliserade automatiserade kontouppgiftssystemet enligt förslaget.
Det centraliserade elektroniska systemet för transaktions- och saldouppgifter baserar sig å sin sida på en myndighets nationella behov av att få kontotransaktions- och saldouppgifter via ett centraliserat elektroniskt system. Funktionen i det centraliserade systemet för transaktions- och saldouppgifter baserar sig å ena sidan på elektronisk informationsbehandling, men avviker från det omedelbara utlämnandet av uppgifter i det automatiserade systemet på så sätt att en rimlig tidsfrist ges för behandlingen av begäranden om information hos kredit- och betalningsinstitutet eller hos andra uppgiftslämnare. Uppgiftslämnaren har följaktligen möjlighet att bedöma grunderna för utlämnandet av information utifrån den mottagna begäran och även möjlighet att vägra att lämna ut informationen, om den anser att begäran om information inte är lagenlig. Lagen innehåller inte bestämmelser om principerna för informationsbehandling eller de tekniska sätt som uppgiftslämnaren ska iaktta i sitt eget system, men med lagen möjliggörs att en uppgiftslämnare har en faktisk möjlighet att till exempel granska innehållet i en begäran om information av den myndighet som gjort begäran.
Enligt paragrafens 2 mom. är syftet med lagen att främja myndigheternas automatiska tillgång till information om bank- och betalkonton och bankfack och elektroniska tillgång till information om kontotransaktions- och saldouppgifter samt om uppgifter om värdepapper. Syftet med det centraliserade systemet är att skapa en datasäker kanal för behandling av de personuppgifter som lämnas ut. Ett ytterligare syfte med lagen är att myndigheternas förfrågningar om bankkonton riktas på ett ännu bättre sätt, vilket minskar såväl myndigheternas som de anmälningsskyldigas arbetsmängd. Propositionen främjar målet i regeringsprogrammet om att förbättra digitaliseringens kostnadseffektivitet genom att befintliga nationella informationsresurser och informationssystem utnyttjas på ett informationssäkert sätt i större utsträckning än för närvarande och bland annat förbättra digitaliseringen såväl i brottsundersökningen som i brottsbekämpningen.
Enligt paragrafens 3 mom. behandlas personuppgifter i övervakningssystemet för bank- och betalkonton med ett datasöksystem för bank- och betalkonton, registret över bank- och betalkonton, systemet för utlämnande av uppgifter och ovan nämnda sammanställningsprogram som förmedlar information. I 1 § 1 mom. i den gällande lagen föreskrivs det att övervakningssystemet för bank- och betalkonton består av ett datasöksystem för bank- och betalkonton, registret över bank- och betalkonton samt ett sammanställningsprogram. I och med förslaget preciseras det att övervakningssystemet för bank- och betalkonton delas upp i två funktioner, där samma systemdelar, datasöksystemet för bank- och betalkonton, registret över bank- och betalkonton och sammanställningsprogrammet utnyttjas i behandlingen av uppgifter. Eftersom den föreslagna lagen innehåller bestämmelser om en skyldighet för alla uppgiftslämnare att lämna ut kontotransaktions- och saldouppgifter via övervakningssystemet för bank- och betalkonton, lämnar kredit- och betalningsinstitut som inte skapat ett datasöksystem ut uppgifter via det föreslagna systemet för utlämnande av uppgifter. Stiftandet av bestämmelser om den rättsliga grunden för informationsbehandlingen i det centraliserade systemet baserar sig på artikel 6.3 i allmänna dataskyddsförordningen. I enlighet med den ska den rättsliga grunden för behandlingen av information ur övervakningssystemet för bank- och betalkonton stiftas antingen i a) unionsrätten eller b) en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. Den rättsliga grunden för rätten att få kontotransaktions- och saldouppgifter för de behöriga myndigheterna föreskrivs i speciallagarna. Avsikten med den föreslagna lagen är inte att ändra den rättsliga grunden för tillgången till information för de behöriga myndigheterna, utan att skapa en elektronisk kanal för att myndigheterna ska få bankkontoinformation och kontotransaktions- och saldoinformation från kredit- och betalningsinstituten.
1 a §.Tillämpningsområde.
Det föreslås att nya 1 a §, med bestämmelser om lagens tillämpningsområde, fogas till lagen. I enlighet med paragrafens 1 mom. tillämpas lagen på erhållande och förmedling av information om bank- och betalkonton, uppgifter om bankfack, transaktions- och saldouppgifter samt uppgifter om värdepapper från betalningsinstitut, institut för elektroniska pengar, kreditinstitut och leverantörer av kryptotillgångstjänster till behöriga myndigheter när ovan nämnda uppgifter behandlas med övervakningssystemet för bank- och betalkonton.
I paragrafens 2 mom. finns det bestämmelser om tillämpningen av lagen på filialer i Finland till utländska betalningsinstitut, institut för elektroniska pengar, kreditinstitut och leverantörer av kryptotillgångstjänster. Momentet flyttas från 1 § 3 mom. i den gällande lagen till 1 a §.
1 b §.Förhållande till annan lagstiftning samt sekretess för uppgifter.
Det föreslås att nya 1 b § fogas till lagen. Paragrafen innehåller bestämmelser om offentligheten för uppgifter som behandlas i övervakningssystemet för bank- och betalkonton. I enlighet med paragrafförslaget är uppgifter som behandlas i övervakningssystemet för bank- och betalkonton, det vill säga en begäran om information och innehållet i svaret på den, sekretessbelagda uppgifter. Den föreslagna regleringen motsvarar sekretessregleringen i den gällande lagen. De uppgifter som behandlas i övervakningssystemet för bank- och betalkonton utgörs av myndigheternas riktade begäranden om information och de kunduppgifter som kredit- och betalningsinstituten, instituten för elektroniska pengar och leverantörerna av kryptotillgångstjänster lämnar ut utifrån dessa, såsom identifieringsuppgifter om kunderna, olika kontotransaktioner, betalningar och inköp och anknutna identifieringsuppgifter samt om uppgifter om värdepapper och som finns i registren hos de uppgiftslämnare som avses i 1 a § i den föreslagna lagen. En del av uppgifterna i övervakningssystemet för bank- och betalkonton finns dessutom i registret över bank- och betalkonton. Sekretessen gäller för övervakningssystemet för bank- och betalkonton i sin helhet, det vill säga för båda funktionerna, det centraliserade automatiska kontouppgiftssystemet, inklusive registret över bank- och betalkonton, och det centraliserade elektroniska systemet för transaktions- och saldouppgifter.
Det finns allmänna bestämmelser om sekretessen för en myndighetshandling i lagen om offentlighet i myndigheternas verksamhet (621/1999, nedan
offentlighetslagen
). I 24 § 1 mom. 23 punkten i offentlighetslagen föreskrivs det att om inte något annat föreskrivs särskilt, är myndighetshandlingar sekretessbelagda om de innehåller uppgifter om en persons årsinkomster eller totala förmögenhet eller inkomster och förmögenhet som ligger till grund för stöd eller förmåner eller som annars beskriver hans ekonomiska ställning, utsökningsmyndigheternas handlingar till den del de innehåller uppgifter som införda i utsökningsregistret skulle vara sekretessbelagda enligt utsökningsbalken samt uppgifter om fysiska personer som utsökningsgäldenärer och utsökningsutredningar. De kredit- och betalningsinstitut som lämnar ut uppgifter och övriga aktörer som avses i 1 a §, liksom även de som utnyttjar information, det vill säga uppgifterna i myndigheternas register, omfattas av olika bestämmelser om uppgifternas offentlighet och sekretess. Kredit- och betalningsinstituten, instituten för elektroniska pengar och leverantörerna av kryptotillgångstjänster lämnar ut uppgifter om bankkonton och transaktionerna på dessa till olika myndigheter för skötseln av väldigt olika myndighetsuppgifter. Eftersom sättet att använda pengar och betalningsrörelsen har ändrats i hög grad från användning av kontanter till betalningsrörelse via bankkonton, är det möjligt att få en väldigt detaljerad bild av en persons privatliv utifrån uppgifterna om transaktionerna på ett bankkonto. Transaktionerna kan rentav avslöja känsliga uppgifter, såsom uppgifter om medlemskap i religionssamfund och användning av hälso- och sjukvårdstjänster. Detaljerade kontouppgifter om en fysisk person kan följaktligen anses vara jämställbara med känsliga uppgifter som hör till kärnområdet för skyddet för personuppgifter, på grund av vilka den föreslagna specialregleringen om sekretessbeläggning av uppgifter i övervakningssystemet för bank- och betalkonton kan anses vara befogad med tanke på skyddet för privatlivet och personuppgifter. Med den föreslagna bestämmelsen skyddas följaktligen i synnerhet uppgifter som enligt föreskrifterna är känsliga, och det handlar om en särskild skyddsåtgärd som skyddar den registrerades rättigheter och friheter i behandlingen av dessa.
Sekretessen för uppgifter som behandlas i övervakningssystemet för bank- och betalkonton ska utsträckas till privata aktörer som lämnar ut uppgifter, det vill säga till alla uppgiftslämnare enligt föreslagna 1 a §. I motsats till behandlingen av uppgifter enligt den gällande lagen, får ett kreditinstitut som administrerar ett datasöksystem eller en annan uppgiftslämnare i fråga om en begäran om kontotransaktions- och saldouppgifter som gjorts via Tullens sammanställningsprogram i enlighet med förslaget information om vilken myndighet som begärt information och för vilket användningsändamål information begärts. De uppgifter som förmedlas omfattar utöver namn även befogenhetsparagrafen enligt 17 a och c §, myndighetsuppgiften och referens- eller diarieuppgiften för det aktuella fallet. Uppgiftslämnaren får naturligtvis även information om vilken kunds information som är föremål för förfrågan och för vilken tid då den mottar en förfrågan. När uppgiftslämnaren mottar en begäran om information, begränsar principen om ändamålsbegränsning användningen av uppgiften för det ändamål som behandlingen av information förutsätter. I artikel 6.4 i allmänna dataskyddsförordningen finns det bestämmelser om användningsändamål som är kompatibla med de ursprungliga användningsändamålen för behandlingen av uppgifter. Det finns dock skäl att utfärda bestämmelser om sekretessen, eftersom det med stöd av artikel 6.3 i allmänna dataskyddsförordningen är möjligt att anpassa tillämpningen av reglerna i förordningen i fråga om bland annat bundenheten till användningsändamålet. Följaktligen handlar sekretessbestämmelsen om reglering kring skyddsåtgärder som utfärdas med stöd av handlingsutrymmet i allmänna dataskyddsförordningen, med vilken de allmänna förutsättningarna i allmänna dataskyddsförordningen anpassas, vilka gäller lagenligheten i behandlingen av personuppgifter av den personuppgiftsansvarige. Sekretessbestämmelsen avlägsnar kredit- och betalningsinstitutets möjlighet att utnyttja information för ett annat ändamål än för att genomföra begäran om information. Genom att utfärda bestämmelser om sekretessen tryggas myndighetens verksamhet. Det centraliserade elektroniska systemet för transaktions- och saldouppgifter innebär ett inkräktande på den registrerades rättigheter och för att behandlingen av uppgifter ska vara proportionerlig och för att minimera den höga risken för den registrerades rättigheter, ska såväl begäranden om information som de uppgifter som lämnas ut vara sekretessbelagda.
I paragrafens 2 mom. föreskrivs det att kredit- och betalningsinstitut och andra aktörer enligt 1 a § inte får behandla begäranden av information som gjorts av myndigheterna i övervakningssystemet för bank- och betalkonton i annat syfte än för att svara på begäran. Uppgiftslämnaren har följaktligen inte rätt att på grund av en begäran om information göra till exempel anteckningar i kunduppgifterna om fysiska eller juridiska personer som är föremål för förfrågningar och information om en begäran om information får inte utnyttjas till exempel i riskhanteringen av kundrelationen eller för annan övervakning av kundrelationen. Uppgiftslämnaren får inte heller för föremålet för begäran avslöja att myndigheten gjort en begäran om information, liksom inte heller svaret på och innehållet i det. I princip medför användning av en sådan begäran för ett annat användningsändamål en hög risk för den registrerades rättigheter. En begäran om information av en myndighet kan bero till exempel på en anhängig brottsundersökning hos myndigheten, vars föremål kan visa sig vara oskyldigt, men det kan även handla om ett offer för ett brott eller en utomstående, och därför ska begäran om information inte heller ha konsekvenser för kundrelationen för den som är föremål för begäran om information. Å andra sidan kan avslöjandet om att en begäran om information gjorts äventyra en myndighets lagstadgade uppgift, såsom en anhängig brottsundersökning och till exempel återvinning av medel. Det handlar om reglering kring skyddsåtgärder som ges med stöd av handlingsutrymmet i allmänna dataskyddsförordningen. Användning av information för ett annat än ett lagstadgat ändamål har föreskrivits som straffbart i enlighet med artikel 83 i allmänna dataskyddsförordningen.
I paragrafens 3 mom. föreskrivs det att den behöriga myndighet som gjort förfrågan inte får behandla uppgifter som den fått från en uppgiftslämnare enligt 1 a § för något annat ändamål än det för vilket uppgifterna har lämnats ut. Enligt principen om ändamålsbegränsning i artikel 5.1 b i allmänna dataskyddsförordningen ska personuppgifter samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Ett förbud för en myndighet att utnyttja information för användningsändamål som inte överensstämmer med det ursprungliga användningsändamålet ska dock stiftas för att trygga den registrerades rättigheter. Följaktligen handlar det om reglering kring skyddsåtgärder som ges med stöd av handlingsutrymmet i allmänna dataskyddsförordningen, med vilken ändamålsbundenheten anpassas. En myndighet får inte vidareöverlåta information som den fått ur övervakningssystemet för bank- och betalkonton direkt i oförändrad form till exempel för en annan egen myndighetsuppgift med ett annat användningsändamål eller till en annan myndighet, utan varje myndighet gör en egen förfrågan med stöd av den egna rätten att få information. Detta innebär dock inte att myndigheten i enlighet med de egna författningarna om utlämnande av information till exempel till en annan myndighet får lämna ut sådan information för vilken den information som fåtts ur övervakningssystemet för bank- och betalkonton utnyttjats. Detta avser till exempel polisens rätt att förmedla kontotransaktionsuppgifter som utgör brottsundersökningsmaterial till åklagaren eller Skatteförvaltningens möjlighet att utnyttja kontotransaktionsuppgifter för en skatterevisionsberättelse och vidare för att förmedla denna skatterevisionsberättelse till polisen som material i en begäran om utredning.
Enligt artikel 5 i allmänna dataskyddsförordningen ska personuppgifter vara korrekta och om nödvändigt uppdaterade. Den personuppgiftsansvarige måste vidta alla rimliga åtgärder för att säkerställa att personuppgifter som är felaktiga i förhållande till de ändamål för vilka de behandlas raderas eller rättas utan dröjsmål. Eftersom de uppgifter som fås med förfrågningarna och deras användningsändamål beror på myndigheten, ska varje myndighet själv bedöma den förvaringstid som behövs för den information som fåtts ur systemet. Till exempel polisen kan i undersökningen av ekonomiska brott ha fall där uppgifterna behövs för väldigt långa tider. Å andra sidan kan en myndighets behov av information vara väldigt kortvarigt. Uppgifterna ska dock alltid raderas omedelbart efter att myndighetens behov av att förvara dessa har upphört. Om en myndighet, omedelbart efter att fått en uppgift, upptäcker att den uppgift som den begärt inte är relevant för den eller att den till och med fått fel information, ska myndigheten i enlighet med allmänna dataskyddsförordningen omedelbart radera de uppgifter som den fått. Om det handlar om en eventuell misstanke som gäller informationens integritet, ska myndigheten behandla ärendet enligt de egna informationshanteringsprocesserna och eventuellt föra ärendet vidare för kännedom till dataombudsmannen.
1 c §
.
Sammanställningsprogram.
Det föreslås att nya 1 c §, som innehåller bestämmelser om det sammanställningsprogram om administreras av Tullen, fogas till lagen. Paragrafen motsvarar i huvudsak innehållet i 7 a § 1, 3 och 4 mom. i den gällande lagen, men eftersom sammanställningsprogrammet i enlighet med den föreslagna lagen används för att förmedla såväl uppgifter enligt det automatiserade kontouppgiftssystemet som uppgifter ur det centraliserade elektroniska systemet för transaktions- och saldouppgifter, föreslås det att de nämnda bestämmelserna i lagen fogas till kapitlet med allmänna bestämmelser.
Paragrafens 1 mom. motsvarar innehållet i 7 a § 1 mom. i den gällande lagen, vilket enligt förslaget preciseras och kompletteras. Enligt förslaget kan de behöriga myndigheterna inom ramen för sin behörighet göra begäranden om information enligt 2 och 3 kap. via övervakningssystemet för bank- och betalkonton. Tullen ansvarar för att förmedla en myndighets begäran om information som inkommer från sammanställningsprogrammet för de användningsändamål som föreskrivs i 2 och 3 kap. till aktörer enligt 1 a § och för att förmedla det mottagna svaret på begäran om information till den behöriga myndigheten. Skyldigheten för kredit- och betalningsinstitut och andra aktörer enligt 1 a § att lämna ut uppgifter via sammanställningsprogrammet i övervakningssystemet för bank- och betalkonton baserar sig på 4, 6 och 17 f § i den föreslagna lagen.
Paragrafens 1 mom. innehåller i enlighet med den gällande lagen bestämmelser om Tullens roll som personuppgiftsansvarig för sammanställningsprogrammet. I fråga om sammanställningsprogrammet tillämpas en personuppgiftsansvarigs ansvar och skyldigheter enligt allmänna dataskyddsförordningen på Tullen i egenskap av personuppgiftsansvarig. Enligt artikel 4.7 i förordningen avses med personuppgiftsansvarig en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter; om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt. Enligt punkt 2 i samma artikel avses med behandling en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring.
I enlighet med 2 mom. i paragrafen sker informationsbehandlingen med sammanställningsprogrammet automatiskt. Paragrafen motsvarar 7 a § 3 mom. i den gällande lagen. I egenskap av myndighet som administrerar sammanställningsprogrammet har Tullen inte desto mer omfattande tillgång till begäranden som gjorts med sammanställningsprogrammet, utan förfrågningarna är direkta och tekniskt inbyggda på så sätt att Tullen inte kan ingripa i grunden för en begäran om information av en myndighet, föremålen för begäran samt de uppgifter som lämnas ut till den. Sammanställningsprogrammet granskar endast att myndigheterna uppfyller alla obligatoriska punkter i förfrågningsmeddelandet, till exempel den lagliga grunden för begäran om information och referensnumret för det fall som förfrågan gäller, så att förfrågan förmedlas vidare till uppgiftslämnaren. Den kontroll som i fråga om utlämnandet av uppgifter via systemet kan göras utifrån logguppgifterna är en kontroll som görs i efterskott. Kontrollen i efterskott sker hos den myndighet som begärt uppgifter. Logguppgifterna i sammanställningsprogrammet är avsedda för den behöriga myndighetens laglighetsövervakning. I momentet föreskrivs det dessutom att uppgifter som lämnats ut via programmet raderas från programmet omedelbart efter att uppgifterna lämnats ut.
Paragrafens 3 mom. innehåller bestämmelser om begränsningen av en registrerads rätt att få tillgång till de uppgifter som samlats in om honom eller henne. Paragrafen motsvarar partiellt 7 a § 4 mom. i den gällande lagen och i den görs dessutom en språklig precisering genom att lägga till allmänna dataskyddsförordningens hela namn. I paragrafen föreskrivs det att med avvikelse från vad som föreskrivs i artikel 15 i allmänna dataskyddsförordningen om den registrerades rätt att få tillgång till de uppgifter som samlats in om honom eller henne, föreligger inte rätt att få dessa uppgifter när de behandlas via sammanställningsprogrammet. Om den registrerades rättigheter inte begränsas, har denne rätt att av den personuppgiftsansvarige få information bland annat om myndigheten gjort sökningar i kontotransaktionsuppgifter som gäller honom eller henne och för vilket ändamål. Om den registrerades rättigheter inte begränsas, måste bedömningen varje gång göras separat av myndigheten. Den registrerade ska framföra sin begäran till den personuppgiftsansvarige, som är skyldig att svara på begäran. I fråga om Tullen innebär detta i praktiken att Tullen i egenskap av personuppgiftsansvarig för sammanställningsprogrammet ska ha tillgång till uppgifter till vilka Tullen inom ramen för sin befogenhet inte i övrigt har tillgång till i syfte att kunna svara på dessa frågor om behandlingen av en registrerad.
Begränsningen i 7 a § 4 mom. i den gällande lagen baserar sig på genomförandet av artikel 18 i direktivet om finansiell information, enligt vilken medlemsstaterna får anta lagstiftningsåtgärder som helt eller delvis begränsar de registrerades rätt att få åtkomst till personuppgifter som rör dem och som behandlas enligt detta direktiv i enlighet med artikel 23.1 i allmänna dataskyddsförordningen eller med artikel 15.1 i dataskyddsdirektivet för brottsbekämpning, beroende på vilken som är tillämplig. I den gällande lagen har man med andra ord föreskrivit en begränsning även utifrån dataskyddsdirektivet för brottsbekämpning. Behandlingsåtgärder som gäller utlämnande av uppgifter har dock ansetts höra till allmänna dataskyddsförordningens tillämpningsområde, då det handlar om utlämnande av personuppgifter från tillämpningsområdet för allmänna dataskyddsförordningen till tillämpningsområdet för dataskyddsdirektivet för brottsbekämpning. Följaktligen kan Tullen i rollen som personuppgiftsansvarig för sammanställningsprogrammet tillämpa endast allmänna dataskyddsförordningen. I enlighet med detta föreskrivs att hänvisningen till dataskyddslagen avseende brottmål avlägsnas från 7 a § 4 mom., som flyttas. Den dataskyddslagstiftning som tillämpas då en förfrågan görs beror däremot på användningsändamålet för personuppgifter. I sin egen informationsbehandlingen tillämpar myndigheterna antingen dataskyddsdirektivet för brottsbekämpning och dataskyddslagen avseende brottmål eller allmänna dataskyddsförordningen och dataskyddslagen, beroende på varje myndighets användningsändamål för mottagandet av information. Myndigheterna har dessutom egna speciallagar om behandlingen av personuppgifter.
I artikel 23 i allmänna dataskyddsförordningen föreskrivs det att det ska vara möjligt att i unionsrätten eller i en medlemsstats nationella rätt som den personuppgiftsansvarige eller personuppgiftsbiträdet omfattas av införa en lagstiftningsåtgärd som begränsar tillämpningsområdet för de skyldigheter och rättigheter som föreskrivs i artiklarna 12–22 och 34, samt artikel 5 i den mån dess bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 12–22. Artikeln innehåller en förutsättning om att en sådan begränsning till centrala delar sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle för att säkerställa de omständigheter som nämns i punkt 1 i artikeln. Den föreslagna begränsningen baserar sig på punkt a–e och underpunkt h i artikel 23.1, det vill säga att rätt inte föreligger, om utlämnandet av information äventyrar den nationella säkerheten, försvaret, den allmänna säkerheten eller är till skada för förebyggandet eller utredningen av brott. Enligt artikeln är en begränsning motiverad även då en olägenhet är möjlig för andra av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse, särskilt ett av unionens eller en medlemsstats viktiga ekonomiska eller finansiella intressen, däribland penning-, budget- eller skattefrågor, folkhälsa och social trygghet eller en tillsyns-, inspektions- eller regleringsfunktion som anknyter till de ovan nämnda uppgifterna. Eftersom uppgifterna för de behöriga myndigheterna i övervakningssystemet för bank- och betalkonton gäller ovan nämnda uppgifter, kan den föreslagna bestämmelsen anses vara en nödvändig och proportionell åtgärd.
Enligt artikel 15.2 i allmänna dataskyddsförordningen ska en registrerad ha rätt att bli informerad om begränsningen, såvida detta inte kan inverka menligt på begränsningen. Eftersom redan information om en förfrågan som gjorts av en myndighet i detta fall kan äventyra till exempel återvinningen av medel och en pågående utredning, har Tullen i egenskap av administratör av programmet inte någon skyldighet att redogöra för orsaken till begränsningen. Som en skyddsåtgärd i förhållande till begränsningen av en registrerads rättigheter utfärdas dock bestämmelser om utnyttjande av indirekt granskningsrätt. Det finns bestämmelser om den indirekta granskningsrätten i 34 § i dataskyddslagen.
I enlighet med 34 § 4 mom. i dataskyddslagen ska uppgifter enligt artikel 15.1 i allmänna dataskyddsförordningen på den registrerades begäran lämnas till dataombudsmannen. Begäran om utövande av rättigheter ska framställas till dataombudsmannen eller till Tullen enligt vad som föreskrivs i 35 § 2 mom. i lagen om behandling av personuppgifter inom Tullen. En begäran som lämnats till Tullen ska utan dröjsmål överföras till dataombudsmannen.
1 d §
.
Datasöksystem.
Enligt förslaget fogas till lagen nya 1 d §, som innehåller bestämmelser om de datasöksystem som hör till övervakningssystemet för bank- och betalkonton, med vilka kundrelationsuppgifter som gäller bank- och betalkonton och bankfack och kontotransaktions- och saldouppgifter om ett konto såväl lämnas ut som mottas. Innehållet i paragrafens 1 mom. motsvarar 4 § 1 mom. i den gällande lagen, det vill säga att det innehåller bestämmelser om att kreditinstitut ska administrera ett elektroniskt datasöksystem för bank- och betalkonton med vars hjälp institutet till en behörig myndighet ska lämna ut uppgifter enligt 2 och 3 kap. i den föreslagna lagen, det vill säga om de egna kundernas konto- och betalkonton och deras transaktions- och saldouppgifter. Eftersom ett och samma datasöksystem för bank- och betalkonton används i enlighet med förslaget även för att lämna ut kontotransaktions- och saldouppgifter utöver utlämnandet av bankkontouppgifter enligt föreskrifterna i den gällande lagen, är det ändamålsenligare att överföra bestämmelsen om skyldigheten att administrera ett datasöksystem för bank- och betalkonton till de allmänna bestämmelserna. Det moment som flyttas innehåller även en möjlighet att avvika från skyldigheten att administrera ett datasöksystem, om det med beaktande av arten och omfattningen av kreditinstitutets hela verksamhet är motiverat och om Finansinspektionen beviljar tillstånd till detta. Om det handlar om ett kreditinstitut som i fråga om storlek kan jämställas till exempel med ett betalningsinstitut, får det välja mellan att lämna ut kontouppgifter enligt 2 kap. via datasöksystemet eller kontoregistret. I enlighet med förslaget överlämnar de aktörer som lämnar ut i 2 kap. avsedda kontouppgifter till kontoregistret i det fallet i 3 kap. avsedda kontotransaktions- och saldouppgifter samt uppgifter om värdepapper via det system för utlämnande av uppgifter som Tullen byggt.
Paragrafens 2 mom. motsvarar i fråga om innehåll den andra bestämmelsen i 6 § 1 mom. i den gällande lagen med undantag för de tekniska hänvisningsbestämmelserna. I enlighet med denna bestämmelse kan betalningsinstitut, institut för elektroniska pengar och leverantörer av kryptotillgångstjänster, om de så önskar, förvalta ett datasöksystem för att överlämna kontouppgifter enligt 2 kap. i stället för de uppgifter som de lämnar ut till kontoregistret. Om ovan nämnda finansaktörer på eget initiativ grundat ett datasöksystem, har de i enlighet med förslaget på det sätt som beskrivs nedan i avsnitt 4.1.2 en skyldighet att lämna ut även kontotransaktions- och saldouppgifter enligt 3 kap. samt uppgifter om värdepapper utöver kontoägaruppgifter enligt 2 kap. till de behöriga myndigheterna genom att dra nytta av datasöksystemet.
I paragrafens 3 mom. finns det föreskrifter om begränsningar av den registrerades rättigheter. I enlighet med förslaget ska även uppgiftslämnarna ha ett loggregister enligt 17 h § över begäranden om information som hör till det centraliserade elektroniska systemet för transaktions- och saldouppgifter. I paragrafen föreskrivs det att med avvikelse från vad som i artikel 15 i den allmänna dataskyddsförordningen föreskrivs om den registrerades rätt till tillgång till uppgifter som samlats in om honom eller henne, föreligger rätt till uppgifterna i loggregistret inte när dessa behandlas via ett elektroniskt söksystem för bank- och betalningskonton I momentet föreskrivs det att i enlighet med 34 § i dataskyddslagen (1050/2018) ska uppgifter enligt artikel 15 i dataskyddsförordningen på den registrerades begäran lämnas till dataombudsmannen.
I artikel 23 i allmänna dataskyddsförordningen föreskrivs det att det ska vara möjligt att i unionsrätten eller i en medlemsstats nationella rätt som den personuppgiftsansvarige eller personuppgiftsbiträdet omfattas av införa en lagstiftningsåtgärd som begränsar tillämpningsområdet för de skyldigheter och rättigheter som föreskrivs i artiklarna 12–22 och 34, samt artikel 5 i den mån dess bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 12–22. Artikeln innehåller en förutsättning om att en sådan begränsning till centrala delar sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle för att säkerställa de omständigheter som nämns i punkt 1 i artikeln. Den föreslagna begränsningen baserar sig på punkt a–e och underpunkt h i artikel 23.1, det vill säga att rätt inte föreligger, om utlämnandet av information äventyrar den nationella säkerheten, försvaret, den allmänna säkerheten eller är till skada för förebyggandet eller utredningen av brott. Enligt artikeln är en begränsning motiverad även då en olägenhet är möjlig för andra av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse, särskilt ett av unionens eller en medlemsstats viktiga ekonomiska eller finansiella intressen, däribland penning-, budget- eller skattefrågor, folkhälsa och social trygghet eller en tillsyns-, inspektions- eller regleringsfunktion som anknyter till de ovan nämnda uppgifterna. Eftersom uppgifterna för de behöriga myndigheterna i övervakningssystemet för bank- och betalkonton gäller ovan nämnda uppgifter, kan den föreslagna bestämmelsen anses vara en nödvändig och proportionell åtgärd.
Om den registrerades rättigheter inte begränsas i fråga om loggregistret, har denne rätt att av den personuppgiftsansvarige få information bland annat om myndigheten gjort sökningar i kontotransaktionsuppgifter som gäller honom eller henne och för vilket ändamål. Detta kan vara till skada för en pågående undersökning eller äventyra till exempel återvinningen av medel. Enligt artikel 15.2 i allmänna dataskyddsförordningen ska en registrerad ha rätt att bli informerad om begränsningen, såvida detta inte kan inverka menligt på begränsningen. Eftersom redan information om en förfrågan som gjorts av en myndighet i detta fall kan äventyra till exempel återvinningen av medel och en pågående utredning, har uppgiftslämnaren inte någon rätt att redogöra för orsaken till begränsningen. Som en skyddsåtgärd i förhållande till begränsningen av en registrerads rättigheter utfärdas dock bestämmelser om utnyttjande av indirekt granskningsrätt. Det finns bestämmelser om den indirekta granskningsrätten i 34 § i dataskyddslagen. Dataombudsmannen har med stöd av dataskyddsregleringen dock rätt att på begäran av den registrerade granska lagenligheten i behandlingen av personuppgifter. I 34 § i dataskyddslagen föreskrivs det att om den registrerade inte har rätt att bekanta sig med uppgifter som samlats in om honom eller henne, ska de uppgifter som avses i artikel 15.1 i allmänna dataskyddsförordningen lämnas till dataombudsmannen på begäran av den registrerade.
Enligt förslaget reglerar paragrafens 4 mom. att behöriga myndigheter ska administrera ett elektroniskt datasöksystem med hjälp av vilket respektive myndighet får begära och ta emot i lagförslaget avsedda uppgifter om kontots ägare och transaktions- och saldouppgifter. Övervakningssystemet för bank- och betalkonton baserar sig på myndigheternas rätt att få bankuppgifter för en viss enskild övervaknings-, undersöknings- eller annan myndighetsuppgift. Följaktligen är myndighetens system startpunkten för hela informationsbehandlingen. En förfrågan av en myndighet startar informationsbehandlingen i övervakningssystemet för bank- och betalkonton och informationsbehandling existerar följaktligen inte utan en förfrågan av en myndighet. Myndigheten hämtar även själv den information som den fått från sammanställningsprogrammet med sitt eget datasöksystem, det vill säga att sammanställningsprogrammet inte har åtkomst till myndighetens datasöksystem. Även om informationsförmedlingen sker ytterst snabbt och så gott som i realtid i synnerhet i fråga om användning av det automatiska informationssystemet enligt 2 kap., ansvarar myndigheten själv för det slutliga mottagandet av den begärda informationen. Med en myndighets datasöksystem avses i praktiken ett gränssnitt som baserar sig på en förfrågan och som möjliggör datasökning och det handlar följaktligen inte om ett egentligt informationssystem. Myndigheterna bygger ett gränssnitt till sammanställningsprogrammet. Varje myndighet kan genomföra ett gränssnitt av egen form, vilket överensstämmer med Tullens föreskrift och dess egna system och arkitektur. Datasöksystem kan även anknyta till myndighetens befintliga data- eller arkiveringssystem.
I paragrafens 4 mom. föreskrivs det dessutom att en myndighet har en skyldighet att i sin begäran om information ange om dess begäran om information hänför sig till uppgifter i det centraliserade automatiserade kontouppgiftssystemet enligt 2 kap. eller till uppgifter enligt det centraliserade elektroniska systemet för transaktions- och saldouppgifter enligt 3 kap. Genom att ålägga myndigheten att rikta sin begäran om information till den funktion i övervakningssystemet för bank- och betalkonton till vilken begäran hänför sig, säkerställs det att behandlingen av en begäran om information genomförs på lagstadgat sätt. Det centraliserade automatiserade kontouppgiftssystemet och det centraliserade elektroniska systemet för transaktions- och saldouppgifter avviker från varandra i fråga om sättet att behandla uppgifter på det sätt som angetts ovan i avsnitt 4.1. I det hänseende som behandlingen av information i det automatiserade kontouppgiftssystemet är direkt och automatiskt, avviker funktionen i det centraliserade systemet för transaktions- och saldouppgifter från den direkta karaktären i det automatiserade systemet på så sätt att en rimlig tid ges för uppgiftslämnaren att behandla begäranden om information. Uppgiftslämnaren har följaktligen möjlighet att bedöma grunderna för utlämnandet av information utifrån den mottagna begäran och även möjlighet att vägra att lämna ut informationen. Skyldigheten att rikta en begäran om information stärker den registrerades rättsskydd, i synnerhet vid behandling av kontotransaktioner innehållande känsliga uppgifter. Det faktum att en förfrågan riktas endast till den uppgiftslämnare som har de uppgifter som myndigheten behöver, minimerar riskerna för skyddet för personuppgifter. Skyldigheten bidrar till att skapa ett inbyggt dataskydd och dataskydd som standard, vilket kompletteras med kraven på innehållet i en begäran om information enligt 17 e §. I enlighet med artikel 25 i allmänna dataskyddsförordningen ska den personuppgiftsansvarige genomföra lämpliga tekniska och organisatoriska åtgärder för att, i standardfallet, säkerställa att endast personuppgifter som är nödvändiga för varje specifikt ändamål med behandlingen behandlas. Denna skyldighet gäller antalet inhämtade personuppgifter, omfattningen av behandlingen, förvaringstiden och tillgången till dessa. Med dessa åtgärder ska det i synnerhet säkerställas att personuppgifter som standard inte görs tillgängliga för ett obegränsat antal personer utan medverkan av en fysisk person.
Enligt paragrafens 5 mom. övervakar Tullen att de skyldigheter som avses i 1 mom. och 4 § 2 mom. fullgörs och Tullen ger även ut en föreskrift om de tekniska kraven på datasöksystemen. Det föreslagna momentet motsvarar i fråga om innehåll 4 § 5 mom. i den nuvarande lagen, men från det stryks definitionen av datasöksystem för bank- och betalkonton, varvid utfärdande av tekniska krav som gäller myndigheternas datasöksystem fogas som en uppgift för Tullen. Tullen har den 26 oktober 2022 utfärdat en föreskrift om gränssnittet för förfrågningar till datasöksystem och en anvisning om genomförandet av det. Varje kreditinstitut som genomför datasöksystemet eller varje annan uppgiftslämnare genomför ett datasöksystem enligt föreskriften, vilket överensstämmer med de egna systemen och arkitekturerna och med vilket information kan förmedlas ur systemet enligt Tullens föreskrift om sammanställningsprogrammet. Enligt 4 § 5 mom. i den gällande lagen har Tullen ansvar för att övervaka att kreditinstituten bygger och för ett elektroniskt övervakningssystem för bank- och betalkonton, med vilket de kan lämna ut information om deras kunders bank- och betalkonton till myndigheterna. Det anses vara ändamålsenligt att flytta detta moment till den nya paragrafens med en beskrivning av datasöksystemet, eftersom det föreslås att användningen av datasöksystemet för bank- och betalkonton utökas från utlämnande av kontoägaruppgifter till att omfatta även utlämnande av kontotransaktions- och saldouppgifter. På grund av att paragrafen flyttas, rättas hänvisningarna för att överensstämma med ordningen i den föreslagna lagen. Det föreslås inte att innehållet i bestämmelsen om tillsynsansvaret ändras.
1 e §. System för utlämnande av uppgifter.
Det föreslås att nya 1 e §, som innehåller bestämmelser om det system för utlämnande av uppgifter som administreras av Tullen, fogas till lagen. Det handlar om ett sätt att lämna ut uppgifter med vilket de aktörer som avses i 1 a § vilka inte byggt ett datasöksystem för bank- och betalkonton, lämnar ut kontotransaktions- och saldouppgifter och uppgifter om värdepapper till de behöriga myndigheterna. Eftersom kontoregistret för bank- och betalkonton, dit ovan nämnda aktörer med jämna mellanrum lämnar ut uppgifter som hänför sig till deras kunders kundrelation, är ett enkelriktat register, finns det inget gränssnitt från det till de aktörer som lämnar ut information till registret. Följaktligen kan Tullen inte förmedla kontotransaktions- och saldoförfrågningar direkt till dessa aktörer och inte heller ta emot information direkt av dessa aktörer, utan Tullen genomför en datasäker lösning – ett system för utlämnande av uppgifter – med vilket aktörer som överlämnar kontouppgifter enligt 2 kap. till kontoregistret lämnar ut kontotransaktions- och saldouppgifter med hjälp av Tullens sammanställningsprogram till myndigheterna.
Paragrafens andra moment innehåller bestämmelser om en skyldighet för Tullen att ge tekniska föreskrifter om sätten att lämna ut uppgifter till systemet för utlämnande av uppgifter. I den gällande lagen finns det bestämmelser om utfärdande av tekniska föreskrifter såväl om datasöksystemet som om de uppgifter som lagras i kontoregistret, varför det även i fråga om det föreslagna nya systemet för utlämnande av uppgifter anses vara behövligt att lägga till en sådan bestämmelse. När kraven fastställs finns det skäl att beakta bland annat de strukturella och innehållsmässiga lösningar som baserar sig på ISO20022-standarden samt de olika befintliga tekniska lösningarna mellan parterna.
1 f §. Avgiftsfrihet för uppgifter.
Enligt förslaget fogas till lagen nya 1 f §, som ersätter innehållet i 8 § i den gällande lagen, vilken enligt förslaget upphävs, på så sätt att Tullen i den föreslagna paragrafen tilldelas rätt att avgiftsfritt få även uppgifter ur datasöksystemen för bank- och betalkonton utöver de uppgifter som lagras i registret över bank- och betalkonton.
Den gällande lagen innehåller bestämmelser om avgiftsfriheten för utlämnande av uppgifter ur registret över bank- och betalkonton. Inga utgifter tas ut för de uppgifter som Tullen lämnar ut. Det föreslås att innehållet i bestämmelsen ändras till avgiftsfrihet för tillgång till information. Paragrafens andra moment innehåller bestämmelser om att de behöriga myndigheterna har rätt att avgiftsfritt få uppgifter ur registret över bank- och betalkonton och därtill även ur datasöksystemen för bank- och betalkonton. Eftersom övervakningssystemet för bank- och betalkonton innehåller uppgifter som fås såväl ur kontoregistret som datasöksystemet för bank- och betalkonton, är det ändamålsenligare att utfärda bestämmelser om myndighetens rätt att avgiftsfritt få information ur övervakningssystemet för bank- och betalkonton i sin helhet.
2 §.Definitioner
. Paragrafens 1 punkt ändras så att hänvisningsparagafen i punkten ändras från 4 § 1 mom. till 1 d §, dit undantagsbestämmelsen enligt förslaget fogas.
Paragrafens 2 punkt kompletteras så att även andra eventuella aktörer som skapat ett datasöksystem för bank- och betalkonton fogas till definitionen vid sidan om kreditinstitut. Dessutom preciseras ordalydelsen i den gällande lagen genom att till definitionen foga kontotransaktions- och saldouppgifter och värdepappersuppgifter enligt 3 kap. i den föreslagna lagen. Därtill görs en språklig precisering görs i den.
Till 3 punkten i paragrafen fogas de myndigheter som är berättigade att använda det föreslagna systemet för transaktions- och saldouppgifter, vilka definierats i 17 a och 17 c §.
Dessutom föreslås det att 11 punkten i paragrafen ändras så att en precision om innehållet i de uppgifter som förmedlas fogas till den. Eftersom sammanställningsprogrammet är en del av övervakningssystemet för bank- och betalkonton, är det därtill behövligt att korrigera ordalydelsen i definitionen i den gällande lagen. Sammanställningsprogrammet förmedlar därmed bank- och betalkontouppgifter, bankfackuppgifter, kontotransaktions- och saldouppgifter samt värdepappersuppgifter med hjälp av övervakningssystemet för bank- och betalkonton. I enlighet med förslaget förmedlas kontotransaktions- och saldouppgifter med samma sammanställningsprogram som ägaruppgifterna om bank- och betalkonton enligt den gällande lagen. Sättet att förmedla uppgifter avviker dock från varandra på så sätt Tullens sammanställningsprogram i fråga om en förfrågan som gäller kontoägaruppgifter inte förmedlar myndighetens förfrågan i oförändrad form, utan pseudonymiserar en del av uppgifterna i förfrågan så att alla bakgrundsuppgifter i förfrågan inte förmedlas till uppgiftslämnaren. I fråga om förfrågningar som gäller kontotransaktions- och saldouppgifter förmedlar sammanställningsprogrammet mer uppgifter, så att kredit- och betalniningstitutet har faktisk möjlighet att bedöma förfrågans proportionalitet och vid behov begära tilläggsuppgifter av den myndighet som gjort förfrågan. Skillnaderna mellan förfrågningarna har förklarats i motiveringarna till paragrafens 1 §.
Dessutom föreslås att den nya 12 punkten
centraliserat automatiserat kontouppgiftssystem
fogas till bestämmelsen, vilket avser behandling av ägaruppgifter om ett konto enligt femte penningtvättsdirektivet och den gällande lagen. Målet med den nya definitionen är att förtydliga lagens innehåll och bättre illustrera de två olika sätten att behandla information i den föreslagna lagen. Det centraliserade automatiserade kontouppgiftssystemet innehåller behandling av uppgifter enligt den gällande lagen, det vill säga omedelbart mottagande av kontoägaruppgifter. I artikel 32 a i femte penningtvättsdirektivet förutsätts det att medlemsstaterna ska införa centraliserade automatiserade mekanismer, såsom centraliserade register eller centraliserade elektroniska datasöksystem, som gör det möjligt att med nödvändig skyndsamhet fastställa identiteten hos fysiska eller juridiska personer som innehar eller kontrollerar betalkonton och bankkonton som identifieras med IBAN-nummer, samt bankfack som innehas av ett kreditinstitut inom deras territorium.
Det föreslås att nya 13 punkten
centraliserat elektroniskt system för transaktions- och saldouppgifter
fogas till paragrafen, vilken beskriver sättet att behandla förfrågningar om de föreslagna kontotransaktions- och saldouppgifter som fogas till övervakningssystemet för bank- och betalkonton. Med den nya definitionen förtydligas skillnaden mellan behandling av förfrågningar som gäller kontotransaktions- och saldouppgifter och det direkta sättet att behandla förfrågningar som gäller kontoägaruppgifter enligt den gällande lagen. Övervakningssystemet för bank- och betalkonton är i enlighet med den föreslagna lagen ett taksystem, som omfattar två olika funktioner som stödjer sig på olika rättsliga grunder och sätt att behandla uppgifter. De förmedlar olika uppgiftsinnehåll, men informationsbehandlingen genomförs i bägge funktioner via samma datasöksystem och sammanställningsprogram.
Det föreslås att en ny 14 punkt fogas till paragrafen, med vilken det tydliggörs vad som avses med
saldo
i den föreslagna lagen. Med saldo avses det belopp som finns på ett bank- och betalkonto vid tidpunkten då förfrågan om saldoinformationen besvaras, vilket en myndighet har möjlighet att begära för att kunna sköta en enskild myndighetsuppgift via övervakningssystemet för bank- och betalkonton. En eventuell täckningsreservering ska ha dragits från kontosaldot. Eftersom en uppgiftslämnare ska svara på en förfrågan om saldouppgifter omedelbart, men senast på följande bankdag, kan kontots saldo variera mellan den tidpunkt då myndigheten gjort förfrågan och den tidpunkt då uppgiftslämnaren ger ett svar. Uppgiftslämnaren ska alltid ge information om kontots saldo enligt svarstidpunkten.
Enligt förslaget fogas till paragrafen den nya 15 punkten
transaktionsuppgifter
, som avser sådana i 1 artikel 1 2 b 7 a i direktivet om finansiell information 2024/1654 avsedda detaljerade uppgifter om transaktioner som under en fastställd period har genomförts via ett särskilt betalkonto eller via ett bankkonto som identifieras med IBAN-nummer eller detaljerade uppgifter om överföringar av kryptotillgångar.
I direktivet om finansiell information föreskrivs att kredit- och betalningsinstituten åläggs att på EU-nivå överlämna kontotransaktionsuppgifter i det elektroniskt strukturerade format som kommissionen angett till den behöriga laglighetstillsynsmyndigheten. I praktiken har ett ISO20022-meddelande ansetts utgör en modell för det elektroniskt strukturerade formatet. Innehållet i en kontotransaktionsförfrågan som gäller det centraliserade elektroniska systemet för transaktions- och saldouppgifter är förenligt med ISO20022-meddelandestrukturen, varför alla identifieringsuppgifter enligt meddelandestrukturen ses som kontotransaktionsuppgifter, till exempel identifieringsnumret för transaktionen, dess datum och klockslag, betalningens mottagare eller betalarens namn och kontonummer samt alla referens- eller meddelandeuppgifter som gäller betalningen. Genom att i förfrågningar om kontotransaktionsinformation på det nationella planet utnyttja samma tekniska format som i enlighet med direktivet om finansiell information ska iakttas i gränsöverskridande begäranden om information, främjas den nationella implementeringen av direktivet om finansiell information.
Det föreslås att den nya 16 punkten
värdepappersuppgifter
fogas till paragrafen. Med värdepappersuppgifter avses uppgifter enligt 2 § i lagen om värdeandelskonton (827/1991), vilka gäller arten på och antalet värdeandelar som antecknas på ett värdeandelskonto och eventuella rättigheter och begränsningar som hänför sig till dessa. I enlighet med 3 § 1 punkten i lagen om värdeandelssystemet och om clearingverksamhet (348/2017) avses med värdeandelar sådana aktier, andelar och andra rättigheter enligt 2 kap. 1 § i värdepappersmarknadslagen (746/2012), andra finansiella instrument enligt 1 kap. 14 § i lagen om investeringstjänster (747/2012) och med dem jämförbara rättigheter samt andra värdepapper som har anslutits till värdeandelssystemet. Följaktligen är ett värdeandelskonto ett konto som är avsett för förvaring av värdepapper, där olika elektroniska värdepapper förvaras. Sjätte penningtvättsdirektivet medför en skyldighet för medlemsländerna att tillgängliggöra en identifierare för ett värdepapperskonto och öppnings- och slutdatum för kontot via en centraliserad automatiserad mekanism. Enligt artikel 2.10 i sjätte penningtvättsdirektivet avses med värdepapperskonto ett värdepapperskonto som definierats i underpunkt 28 i artikel 2.1 i Europarlamentets och rådets förordning nr 909/2014 om förbättrad värdepappersavveckling i Europeiska unionen och om värdepapperscentraler samt ändring av direktiv 98/26/EG och 2014/65/EU och förordning (EU) nr 236/2012. I den nämnda förordningen avses med värdepapperskonto ett konto på vilket krediterings- och debiteringsanteckningar görs. Nationellt avses med detta ett värdeandelskonto enligt lagen om värdeandelskonton (827/1991). Skyldigheten enligt sjätte penningtvättsdirektivet att förmedla identifieringsuppgifter om ett värdepapperskonto via en centraliserad automatiserad mekanism ska implementeras nationellt före den 10 juli 2027. Eftersom en begäran om information om värdeandelar på värdeandelskonton inte kan riktas till rätt värdeandelskonton innan identifierarna om värdeandelskontot är tillgängliga via den centraliserade automatiserade mekanismen, det vill säga via det automatiserade kontouppgiftssystemet för bank- och betalkonton, tillämpas föreslagna 17 d § 2 mom. först från och med den 10 juli 2027.
2 kap.
Centraliserat automatiserat kontouppgiftssystem
Lagförslagets 2 kap. täcker i stor utsträckning innehållet i den gällande lagen, det vill säga att det gäller en automatiserad lösning för kontoägaruppgifter enligt femte penningtvättsdirektivet för behandling av kontoägaruppgifter. Eftersom ett helt nytt användningssätt enligt nya 3 kap., ett centraliserat system för förfrågningar om kontotransaktions- och saldouppgifter, bildas till övervakningssystemet för bank- och betalkonton med den föreslagna regleringen, bildas utifrån regleringen enligt den gällande regleringen en funktion som beskriver behandlingen av kontoägaruppgifter enligt 2 kap. i den föreslagna lagen. Denna funktion kallas för det centraliserade automatiserade kontouppgiftssystemet. Följaktligen innehåller 2 kap. i förslaget i fråga om innehåll 3–17 §, som beskriver regleringen enligt den gällande lagen.
3 §. Myndigheter som använder det centraliserade automatiserade kontouppgiftssystemet.
Paragrafens rubrik ändras för att i enlighet med 2 kap. beskriva användare av det automatiserade kontouppgiftssystemet. Eftersom övervakningssystemet för bank- och betalkonton i enlighet med förslaget utgörs av två funktioner med avvikande rättsliga grunder och användningsändamål för informationen, finns det skäl att utfärda separata bestämmelser om de myndigheter som använder dessa. Eftersom ett centraliserat automatiserat kontouppgiftssystem enligt 2 kap. i den föreslagna lagen bildas utifrån regleringen enligt den gällande lagen, fogas till paragrafens rubrik en precision av vilken del av övervakningssystemet för bank- och betalkonton myndigheterna enligt paragrafen är berättigade att använda. Befogenhetsparagraferna i den gällande lagen ändras inte genom den föreslagna lagen.
Dessutom avskiljs befogenhetsparagrafen för Gränsbevakningsväsendet till en egen 10 punkt från 7 § i den gällande lagen, där Gränsbevakningsväsendets befogenheter inkluderats i befogenhetsparagraferna för polisen. Genom den föreslagna ändringen till en egen befogenhetsparagraf rättas befogenhetsparagraferna för Gränsbevakningsväsendet för att motsvara med dess uppgifter. I den gällande lagen, där polisens och Gränsbevakningsväsendets uppgifter har grupperats under samma 7 punkt, har Gränsbevakningsväsendet till uppgift att upprätthålla den nationella säkerheten. Denna uppgift hör inte till Gränsbevakningsväsendet, utan Gränsbevakningsväsendets befogenhet gäller förebyggande, avslöjande och utredning samt överlämnande av brott för åtalsprövning i enlighet med lagen om brottsbekämpning inom Gränsbevakningsväsendet (108/2018). På grund av den nya befogenhetsparagrafen som gäller Gränsbevakningsväsendet görs dessutom en teknisk ändring i anteckningen av paragrafen om Finansinspektionens rätt till information.
Dessutom föreslås det att 8 punkten om Försvarsmaktens behörighet ändras så att lagen om militär disciplin och brottsbekämpning inom försvarsmakten (255/2014) ersätts med en ny lag om militär disciplin och brottsbekämpning inom Försvarsmakten (89/2025) som träder i kraft den 1 december 2025. Enligt 8 punkten har Försvarsmakten rätt att få tillgång till sådana uppgifter i övervakningssystemet för bank- och betalkonton som lämnas ut i enlighet med 4 § och som registrerats i enlighet med 6 §, om det är nödvändigt för att följande uppgifter ska kunna utföras och om myndigheten någon annanstans i lag har rätt att få ovannämnda uppgifter. Försvarsmaktens rätt till information grundar sig på förhindrande, avslöjande och utredning av brott enligt lagen om militär disciplin och brottsbekämpning inom Försvarsmakten (89/2025) samt på det som föreskrivs i 104 § i lagen om militär underrättelseverksamhet.
3 a §. Behöriga myndigheters åtkomst till uppgifterna i det centrala automatiserade kontouppgiftssystemet och förutsättningarna för sökning av uppgifterna.
Enligt förslaget fogas preciseringen ”i det centrala automatiserade kontouppgiftssystemet” till paragrafens rubrik. Med den föreslagna ändringen förtydligas befogenhetsbestämmelserna för övervakningssystemet för bank- och betalkonton då den i enlighet med förslaget innehåller två olika funktioner som baserar sig på olika befogenhetsbestämmelser.
4 §. Uppgifter om bank- och betalkonton som lämnas ut ur datasöksystemet för bank- och betalkonton.
Det föreslås att den gällande paragrafen ändras på så sätt att en precision av de uppgifter om bank- och betalkonton som lämnas ut fogas till rubriken. Eftersom även andra uppgifter än de som nämns i den gällande paragrafen lämnas ut via datasöksystemet för bank- och betalkonton i enlighet med den föreslagna lagen, är det ändamålsenligt att ge information om att paragrafen i fråga innehåller en bestämmelse som uttryckligen gäller uppgifter om bank- och betalkonton enligt femte penningtvättsdirektivet. Dessutom görs en språklig korrigering, som gäller formuleringen av ordet utlämnande.
Det föreslås att paragrafens 1 mom. ändras så att skyldigheten att föra ett elektroniskt datasöksystem för bank- och betalkonton enligt paragrafens 1 mom. och grunden för undantag till skyldigheten avlägsnas och fogas till 1 d §. Följaktligen innehåller paragrafens 1 mom. endast en skyldighet enligt 1 mom. i den gällande lagen att lämna ut de uppgifter om de egna kundernas bank- och betalkonton enligt specifikationen i 2 mom. till den behöriga myndigheten. Utlämnandet av uppgifter ska i enlighet med den gällande lagen vara omedelbart och uppgifterna ska lämnas ut trots sekretessbestämmelserna. Förutsättningen om att omedelbart lämna ut informationen innebär att uppgifterna kan lämnas ut via en teknisk anslutning direkt då en begäran om information inkommit och uppgifterna samlats elektroniskt.
Det föreslås att 2 mom. 1 punkten i paragrafen ändras i anknytning till kontoinnehavaren och en innehavare av dispositionsrätt på så sätt att även start- och slutdatum för kundrelationen och dispositionsrätten ska lämnas ut för de ovan nämnda, eftersom detta reglerats endast för juridiska personer i den gällande lagen. Start- och slutdatum för kundrelationen är behövliga uppgifter även för andra än juridiska personer. I fråga om registret över bank- och betalkonton har det föreskrivits en skyldighet att lämna ut uppgifter om start- och slutdatumet för en kundrelation. Sålunda finns det skäl att utfärda bestämmelser om skyldigheten att lämna ut uppgifter på ett sätt som motsvarar kontoregistret för datasöksystemet. Uppgifterna om en innehavare med rätt använda kontot till ett konto är uppgifter enligt punkt 3 i artikel 16 i sjätte penningtvättsdirektivet, vilka ska vara tillgängliga via medlemsstaternas centraliserade bankkontoregister på så sätt att det är möjligt att göra sökningar i dessa. En innehavare med rätt använda kontot av ett konto är en kund, som handlar för egen vinning, men för kontoinnehavarens räkning. En innehavare med rätt att använda kontot är dock inte alltid kund hos kredit- och betalningsinstitutet. På grund av detta är inte start- och slutdatum för kundrelationen, utan start- och slutdatum för rätten att använda kontot betydelsefull information i fråga om en innehavare med rätt att använda kontot. Enligt artikel 16.3 i sjätte penningtvättsdirektivet ska även start- och ett eventuellt slutdatum för dispositionsrätten till ett konto vara tillgängligt på ett omedelbart och ofiltrerat sätt via de centraliserade bankkontoregistren.
Dessutom föreslås det att 2 mom. 1 punkten ändras så att hänvisningen till en innehavare med rätt att använda kontot gäller kontot och inte kontoinnehavaren, såsom är fallet i den gällande lagen. Ordalydelsen i den gällande lagen har orsakat tolkningsoklarheter, varför den ska korrigeras så att den överensstämmer med en kontoinnehavare med rätt att använda kontot enligt penningtvättsdirektivet. Det föreslås att en liknande ändring görs i 2 mom. 4 punkten, där hänvisningen till en person med rätt använda kontot korrigeras att gälla för bankfack och inte hyraren av bankfacket.
6 §. Uppgifter som ska föras in i registret över bank- och betalkonton.
Det föreslås att en teknisk ändring görs i 1 mom. I paragrafen. Eftersom det föreslås att ett kreditinstituts skyldighet att föra ett datasöksystem för bank- och betalkonton enligt 4 § 1 mom. i den gällande lagen flyttas till nya 1 d §, ändras hänvisningen i 1 mom. till datasöksystem för bank- och betalkonton för att överensstämma med det föreslagna momentet. I 1 mom. görs dessutom en språklig ändring som gäller formuleringen av ordet utlämnande.
Dessutom föreslås det att 2 mom. 1 punkten i paragrafen ändras på samma sätt som 4 § 2 mom. 1 punkten, det vill säga att hänvisningen till en innehavare med rätt använda kontot gäller kontot och inte kontoinnehavaren, så som är fallet i den gällande lagen. Samma korrigering görs ovan i 3 mom. 1 och 4 punkten, där hänvisningen till en person med användningsrätt korrigeras för att gälla för bankfack och inte hyraren av bankfacket.
Dessutom föreslås att start- och slutdatumet för rätten att använda ett konto fogas till 2 mom. 2 punkten. I 6 § i den gällande lagen finns det bestämmelser om skyldigheten för uppgiftslämnare som lagrar uppgifter i kontoregistret att lämna ut uppgifter som start- och slutdatum för kundrelationen. Eftersom en innehavare med rätt att använda ett konto dock inte alltid har en kundrelation hos uppgiftslämnaren i fråga, är inte start- och slutdatum för kundrelationen, utan start- och slutdatum för rätten att använda kontot betydelsefull information i fråga om en innehavare med rätt att använda kontot. Enligt artikel 16.3 i sjätte penningtvättsdirektivet ska även start- och ett eventuellt slutdatum för dispositionsrätten till ett konto vara tillgängligt på ett omedelbart och ofiltrerat sätt via de centraliserade bankkontoregistren.
7 §.Utlämnande av uppgifter ur registret över bank- och betalkonton
. I paragrafens 2 mom. görs en språklig korrigering genom att stryka hela förordningens namn och ersätta den med den ovan i 1 c § nämnda kortformen av förordningens namn.
8 §. Utlämnande av uppgifter ur det centraliserade automatiserade systemet för kontouppgifter till behöriga myndigheter.
Det föreslås att den gällande paragrafen ändras för att gälla grunderna för att lämna ut information. Den föreslagna paragrafen motsvarar i fråga om innehåll 7 a § 2 mom. och den andra meningen i 3 mom. i den gällande lagen. Det föreslås att 7 a § i den gällande lagen upphävs och att dess 1 och 4 mom. och den första meningen i 3 mom. i enlighet med förslaget flyttas till 1 c § då det övriga innehållet flyttas till 8 §. Dessutom görs i 7 a § 2 mom. en språklig korrigering i anknytning till begreppet myndighet.
9 §. Avförande av uppgifter ur registret över bank- och betalkonton.
Registret över bank- och betalkonton fogas till rubriken i den gällande paragrafen. Med den föreslagna ändringen preciseras paragrafens innehåll.
10 §. Logguppgifter.
Det föreslås att den gällande paragrafens 1 mom. ändras så att skyldigheten för Tullen att föra ett loggregister över användningen av datasöksystemet för bank- och betalkonton ersätts med en skyldighet att föra ett loggregister över användningen av det centraliserade automatiserade kontouppgiftssystemet. Skyldigheten att föra ett loggregister över användningen av registret över bank- och betalkonton ändras inte. Dessutom görs språkliga korrigeringar i 1 mom. i fråga om begreppet myndighet och formuleringen i anknytning till 2 punkten.
Innehållet i paragrafens 2 och 3 mom. slås samman till ett moment på så sätt att skyldigheten för de behöriga myndigheterna att föra ett register i fråga om användningen av datasöksystem för bank- och betalkonton utsträcks att gälla för användning av hela det automatiserade kontouppgiftssystemet. I och med det sammanställningsprogram som föreskrivits genom regeringens proposition 163/2021 rd går alla begäranden om information från en myndighet via sammanställningsprogrammet, oberoende av om myndigheten gör en förfrågan om information ur registret över bank- och betalkonton eller ett datasöksystem för bank- och betalkonton. Därmed är det motiverat att myndigheten för ett register om användningen av det helt automatiserade informationssystemet. Med den föreslagna ändringen förtydligas formuleringen i den gällande lagen, där det i enlighet med 2 mom. först finns bestämmelser om de uppgifter som ska finnas i loggregistret och därefter om skyldigheten att föra ett loggregister.
12 §. Ordningsavgift.
Det föreslås att endast 1 mom. ändras i paragrafen, i vilken en teknisk ändring görs. Eftersom det föreslås att ett kreditinstituts skyldighet att föra ett datasöksystem för bank- och betalkonton enligt 4 § 1 mom. i den gällande lagen flyttas till nya 1 d § 1 mom., ändras hänvisningen i 1 mom. till datasöksystem för bank- och betalkonton för att överensstämma med det föreslagna momentet.
3 kap.
Centraliserat elektroniskt system för transaktions- och saldouppgifter
Lagförslagets 3 kap. innehåller en ny funktion för behandling av kontotransaktions- och saldouppgifter och kapitlet innehåller nya 17 a–17 h §.
17 a §.Utlämnande av saldouppgifter till behöriga myndigheter via ett tekniskt gränssnitt.
Enligt förslaget innehåller paragrafen bestämmelser om förmedling och utlämnande av saldoinformation till de behöriga myndigheterna via ett tekniskt gränssnitt ur systemet för transaktions- och saldouppgifter. Myndigheternas rätt att få saldouppgifter via systemet baserar sig på rättigheterna att få information i den övriga lagstiftningen, och det handlar därmed inte om en bestämmelse om rätten att få information. Det är behövligt att utfärda bestämmelser om utlämnande av uppgifter via ett tekniskt gränssnitt ur det elektroniska systemet för transaktions- och saldouppgifter, eftersom uppgifter lämnas ut elektroniskt från en privat aktör till en myndighet, och 22 eller 24 § i lagen om informationshantering inom den offentliga förvaltningen (906/2019) är sålunda inte tillämplig. För att även frågor som gäller handlingsutrymmet i EU-rätten ska beaktas, ska sättet att lämna ut uppgifter bindas till vissa användningsändamål, för vilka en myndighet kan utnyttja systemet för transaktions- och saldouppgifter.
Även om rätten att få information via gränssnittet fastställs utifrån de gällande rättigheterna att få information, möjliggör specialregleringen om det elektroniska sättet att lämna ut uppgifter tekniskt sett ett nytt sätt att behandla känsliga uppgifter. Eftersom det handlar om sekretessbelagda och känsliga uppgifter, binds rätten till att få uppgifter ur det centraliserade systemet till bestämmelsen om myndighetens rätt att få information. Rätten att få information har bundits till antingen kravet på ett behov eller kravet på nödvändighet i paragrafen om rätten till information för varje myndighet. Även för de myndigheter vars paragraf om rätten till information är bunden till kravet på behövlighet, har det i en separat personuppgiftslag föreskrivits att myndigheten kan behandla särskilda personuppgifter endast då det är nödvändigt. Det nödvändighetskrav som fogats till det elektroniska systemet för transaktions- och saldouppgifter är följaktligen en skyddsåtgärd som säkrar behandlingen av känsliga uppgifter. En myndighet kan begära saldouppgifter via ett tekniskt gränssnitt, om saldouppgifterna är nödvändiga för myndigheten för att avgöra en myndighetsuppgift som är under handläggning. Förutsättningarna för nödvändighet har behandlats enligt myndighet i avsnitt 4 i propositionen.
Enligt artikel 5.1 c i allmänna dataskyddsförordningen ska personuppgifterna vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. På grund av principen om uppgiftsminimering föreslås att två behörighetsnivåer föreskrivs för systemet för transaktions- och saldouppgifter. Åtkomsten till det centraliserade systemet för transaktions- och saldouppgifter är inte automatiskt lika omfattande för alla, utan de myndigheter som behöver till exempel endast saldouppgifter för att sköta sina uppgifter är berättigade endast till dessa uppgifter eller så kan de myndigheter vars rätt till information inte täcker känsliga personuppgifter ändå få utnyttja systemet för transaktions- och saldouppgifter för att göra förfrågningar om saldouppgifter. På grund av detta är det möjligt att ur det elektroniska systemet för transaktions- och saldouppgifter få två former av uppgifter: uppgifter som gäller endast saldot på kontot och kontotransaktionsuppgifter med ett bredare uppgiftsinnehåll. Även om en myndighet har rätt att få kontotransaktionsuppgifter med ett mer omfattande uppgiftsinnehåll, ska den alltid göra en nödvändighetsbedömning innan en förfrågan görs. Även en myndighet som är berättigad till ett mer omfattande uppgiftsinnehåll kan följaktligen hämta endast till exempel saldouppgifter om ett konto ur systemet för transaktions- och saldouppgifter, om myndigheten i ett enskilt uppdrag inte behöver andra närmare kontotransaktionsuppgifter.
Enligt paragrafens
1punkt
har polisen rätt att få saldouppgifter via ett tekniskt gränssnitt ur det centraliserade systemet för transaktions- och saldouppgifter. Polisens rätt att få saldouppgifter ur det centraliserade elektroniska systemet för transaktions- och saldouppgifter baserar sig på 4 kap. 3 § och 5 a kap. 50 § i polislagen. I detaljmotiveringen till 1 § polisförvaltningslagen (110/1992) konstateras att befogenhetsförhållandena mellan inrikesministeriet, Polisstyrelsen, skyddspolisen och övriga polisenheter har föreskrivits exakt. Trots detta har grundlagsutskottet i sitt utlåtande GrUU 53/2024 rd framfört en ståndpunkt om att det finns skäl att precisera regleringen kring de behöriga lagtillsynsmyndigheterna i 2 § 1 punkten i lagförslag 1 i regeringens proposition till riksdagen med förslag till lag om informationsutbyte mellan de brottsbekämpande myndigheterna i Europeiska unionens medlemsstater och till vissa lagar som har samband med den. Utskottet påpekade att hänvisningen till polisen i bestämmelsen, med beaktande av vad som föreskrivs i 1 § i polisförvaltningslagen, inte kan anses vara en tydlig definition av den behöriga myndigheten. Denna oklarhet kan ha särskild betydelse vid tillämpningen av till exempel bestämmelserna om en personuppgiftsansvarigs skyldighet. I sitt betänkande FvUB 25/2024 har förvaltningsutskottet klargjort att begreppet, enligt den utredning som det mottagit, har skapat en fungerande grund för informationsutbyte mellan behöriga brottsbekämpande myndigheter i Finland. I informationsutbytesdirektivet föreslås inte heller några ändringar i begreppet behörig brottsbekämpande myndighet. Utifrån det som förvaltningsutskottets konstaterade ovan, föreslog det inte någon ändring av förslaget till definition av behörig tillsynsmyndighet i regeringspropositionen. Med andra ord avses med polisen såväl enheter som lyder under Polisstyrelsen som skyddspolisen i propositionen. Enligt 1 § 5 mom. i polisförvaltningslagen gäller i fråga om polisväsendet i landskapet Åland vad som föreskrivs särskilt. Det bör dock beaktas att befogenhetsbestämmelserna om bankkontouppgifter i polislagen tillämpas på Ålands polis.
Polisens rätt att få information har avgränsats till att hindra eller utreda ett brott eller ett viktigt allmänt eller enskilt intresse. I 4 kap. 3 § i polislagen föreskrivs att oberoende av att en sammanslutnings medlemmar, revisorer, verkställande direktör, styrelsemedlemmar eller arbetstagare är bundna av företags-, bank- eller försäkringshemlighet har polisen på begäran av en polisman som hör till befälet rätt att få information som behövs för förhindrande eller utredning av brott. Om ett viktigt allmänt eller enskilt intresse kräver det har polisen samma rätt att få information som behövs vid polisundersökning enligt 6 kap. Mottagande av saldotransaktioner via övervakningssystemet i stället för det nuvarande utspridda och delvis manuella förfarandet ger polisen möjlighet att sköta ovan nämnda uppgifter effektivt. Vid polisen fattas beslutet om att inhämta de aktuella uppgifterna i praktiken av en polisman som hör till befälet separat i varje enskilt fall, varvid även nivån på beslutsfattandet är tillräckligt hög. Ett separat beslut och en separat begäran görs om inhämtning av uppgifter.
Behörigheterna för att göra förfrågningar om saldouppgifter ur övervakningssystemet för bank- och betalkonton i anknytning till upprätthållandet av den nationella säkerheten gäller skyddspolisens uppgifter för att skydda den nationella säkerheten, det vill säga för att bedriva civil underrättelseverksamhet. Skyddspolisen har rätt att få saldouppgifter med stöd av 4 kap. 3 § 1 mom. och 5 a kap. 50 § i polislagen. Föremålet för civil underrättelseverksamhet kan vara bland annat terrorism, utländsk underrättelseverksamhet, massförstöringsvapen, verksamhet som hotar samhällets livsviktiga funktioner och verksamhet av en främmande stat som kan orsaka skada för Finlands viktiga intressen. Det ska beaktas att informationsinhämtning om finansiering av terrorism följaktligen hör till skyddspolisens uppgifter, även då den bedriver civil underrättelseverksamhet. Bankförfrågningar har alltid en koppling till utförandet av en enskild tjänsteuppgift och varje begäran motiveras skriftligt. Beslutet om att göra en förfrågan görs av en polisman som hör till befälet, på motsvarande sätt som då en begäran görs för att förhindra ett brott. Tilldelningen av behörighet i anknytning till saldouppgifter till skyddspolisen handlar följaktligen inte om att en helt ny rätt att få information skapas för den, utan på att användningen av en redan existerande rätt att få information i en annan lag görs smidigare. Användningen av övervakningssystemet i skyddspolisens verksamhet begränsas av vad som annanstans föreskrivits om skyddspolisens rätt att få information. Till exempel 5 a kap. 50 § i polislagen förutsätter att en begäran är behövlig för utredning av verksamhet som bedrivs av målet för civil underrättelseverksamhet, där den nationella säkerheten är allvarligt hotad. Det ska även kunna förmodas att begäran är betydelsefull för att identifiera eller påträffa en person eller juridisk person som är föremål för civil underrättelseverksamhet eller utreda den aktuella personens kontaktuppgifter eller rörelse, rikta användningen av underrättelsemetoden på en viss person som är föremål för civil underrättelseverksamhet eller för att utreda ekonomisk verksamhet som förmodas ha en koppling till verksamhet enligt 3 § vilken bedrivs av en person eller juridisk person som är föremål för civil underrättelseverksamhet. Övervakningen av lag- och ändamålsenligheten i behandlingen av personuppgifter i skyddspolisens verksamhet är väldigt noggrann. Den interna laglighetsövervakningens resurser ökades kraftigt i samband med att underrättelselagarna trädde i kraft. Dessutom övervakas behandlingen av personuppgifter av dataombudsmannen som en extern laglighetsövervakare, underrättelsetillsynsombudet, som verkar som ett särskilt ombud, samt de högsta laglighetsövervakarna.
Enligt
2 punkten
i paragrafen har även centralen för utredning av penningtvätt rätt att få saldouppgifter via ett tekniskt gränssnitt ur det centraliserade systemet för transaktions- och saldouppgifter. Centralen för utredning av penningtvätt har rätt att få uppgifter i enlighet med 4 § i lagen om centralen för utredning av penningtvätt. Trots bestämmelserna om hemlighållande av uppgifter om företagshemligheter eller uppgifter om en enskild persons, sammanslutnings eller stiftelses ekonomiska förhållanden, ekonomiska ställning eller beskattningsuppgifter har centralen för utredning av penningtvätt rätt att av myndigheter, av sammanslutningar som har ålagts en offentlig uppgift och av rapporteringsskyldiga avgiftsfritt få uppgifter och handlingar som är nödvändiga för förhindrande och utredning av penningtvätt och av finansiering av terrorism. Beslut om inhämtande av sekretessbelagda uppgifter fattas av en polisman som hör till befälet och arbetar vid centralen för utredning av penningtvätt. Trots tystnadsplikten för en medlem, en revisor, en verksamhetsgranskare, en styrelseledamot eller en anställd har centralen för utredning av penningtvätt dessutom på skriftlig begäran av en polisman som hör till befälet och arbetar vid centralen rätt att av en enskild sammanslutning, stiftelse eller person avgiftsfritt få uppgifter som är nödvändiga för förhindrande och utredning av penningtvätt och av finansiering av terrorism.
Det är nödvändigt att använda saldouppgifter för att centralen för utredning av penningtvätt ska kunna utföra sin lagstadgade uppgift. I synnerhet analysen av anmälningar förutsätter detaljerad granskning av kontotransaktions- och saldouppgifter. Centralen för utredning av penningtvätt har tidigare tagit emot flera tiotusen anmälningar om penningtvätt per år, men antalet har stigit avsevärt under den senaste tiden. Till exempel år 2022 mottogs redan över 200 000 anmälningar. En del av dessa anmälningar väljs efter förbehandling till mål för fortsatt utredning och årligen öppnas omkring 1 500 utredningshelheter. Flera personer och bolag kan vara delaktiga i en utredningshelhet och i typfallet omfattar de 1–5 olika penningtvättsanmälningar. I praktiken görs framöver i så gott som alla dessa utredningshelheter flera förfrågningar som gäller såväl bankkontouppgifter enligt den gällande lagen som kontotransaktions- och saldouppgifter ur övervakningssystemet för bank- och betalkonton. Dessutom är såväl kontotransaktions- som saldouppgifter nödvändiga även i samband med förbehandlingen av anmälningar, så att det genom en analys är möjligt välja anmälningarna med störst risk för penningtvätt eller finansiering av terrorism till den fortsatta behandlingen.
Paragrafens 3
punkt
gäller Tullens rätt att få saldouppgifter via ett tekniskt gränssnitt ur systemet för transaktions- och saldouppgifter. Enligt förslaget har Tullen rätt att få saldouppgifter i enlighet med 102 § 2 mom. i Tullagen och 2 kap. 14 § 1 mom. i lagen om brottsbekämpning inom Tullen. I fråga om beskattnings- och skattekontrolluppgifter har Tullen rätt att begära kontotransaktionsuppgifter direkt från bankerna och andra motsvarande kreditinstitut med stöd av 102 § 2 mom. i tullagen, enligt vilket den som innehar uppgifter som behövs för en annan persons tullbeskattning eller för ett ärende som gäller ändringssökande och som följer av tullbeskattning ska på uppmaning av Tullen lämna uppgifterna till Tullen inom utsatt tid. Tullen har därtill, oberoende av att en sammanslutnings medlemmar, revisorer, verkställande direktör, styrelsemedlemmar, förvaltningsrådsmedlemmar eller arbetstagare är bundna av företags-, bank- eller försäkringshemlighet, rätt att av en privat eller offentlig sammanslutning eller en enskild få information som behövs för förhindrande, avslöjande eller utredning av tullbrott. Tullens tillgång till transaktions- och saldouppgifterna i övervakningssystemet för bank- och betalkonton anknyter till beskattningen och skattekontrollen och förhindrande, avslöjande eller utredning av tullbrott vid Tullen.
Förutsättningen för att få tillgång till uppgifterna är att de är nödvändiga för att utföra ovan nämnda uppgifter. Tullens beskattningsfunktioner har en betydande roll för återvinningen av medel, i synnerhet i fråga om EU:s traditionella egna medel. Tullens beskattningsfunktioner säkrar även unionens ekonomiska intressen. I fråga om brottsbekämpning är Tullen en förundersökningsmyndighet enligt förundersökningslagen och Tullen ansvarar för tullbrottsbekämpningen enligt föreskrifterna i lagen om brottsbekämpning inom Tullen och i den övriga lagstiftningen. Det är synnerligen viktigt att få tillgång till uppgifter vid skatteinspektioner. Även i fråga om brottsbekämpningen har kontotransaktioner en central betydelse. Motivet med ett tullbrott är så gott som utan undantag att få ekonomisk vinning. Kontotransaktionsförfrågningar är en väsentlig del av utredningen av brott och förfrågningar görs så gott som varje gång. Målet med kontotransaktionerna är att rikta straffansvaret, leta efter delaktiga i det misstänkta brottet samt även att utreda brottsvinningen och personers (även juridiska personers) förmögenhet. Spårning av brottsvinning görs i anknytning till förundersökningen även bland annat för att trygga skadestånd. Kontotransaktionsuppgifter begärs ofta i brottsundersökningar som görs av Tullen till exempel i undersökningen av ekonomiska brott och narkotikabrott samt i spårning av ekonomisk vinning. Tullens undersökningsverksamhetsenhet undersöker bland annat narkotikabrott, medicinbrott, skattebedrägerier, smugglingsbrott och andra brott som begåtts i samband med införsel i landet. Skattebedrägerier gäller ofta gärningar som skadar EU:s ekonomiska intressen, såsom undvikande av tullar eller antidumpningstullar, men Tullen utreder även brott som gäller punktbeskattningen. I allmänhet begärs kontotransaktionsuppgifter i utredningen av tullbrott med en blankett av standardform, på vilken all behövlig information om de uppgifter som begärs och det brott som undersöks antecknas. I samband med undersökningen av tullbrott har Tullen åren 2017 och 2018 gjort omkring 24 000 begäranden om kontouppgifter till kredit- och betalningsinstituten. Antalet förfrågningar har förblivit oförändrat. I egenskap av förundersökningsmyndighet är Tullen i enlighet med 1 kap. 2 § i förundersökningslagen (805/2011) även förpliktad att utreda den skada som har orsakats och den vinning som fåtts genom brottet och parterna (1 punkten) och möjligheterna att återställa egendom som har erhållits genom brottet och att verkställa en förverkandepåföljd som döms ut eller skadestånd som betalas till målsäganden med anledning av brottet (2 punkten). Tidvis förutsätts bankförfrågningar för att hitta brottsvinning och att de riktas till gärningsmannens närkrets (utvidgad vinning SL 10:3) och även till utomstående personer (SL 10:2.4). Följaktligen kan förfrågningarna vid spårning av vinning av brott rikta sig även till personer som inte är brottsmisstänkta, men som i stället fått vinning. Spårning av brottsvinning kan under förfrågningstiden för en bankförfrågan även förutsätta ett förfrågningsintervall som är längre än gärningstiden för brottet, till exempel i situationer som gäller utredning av utvidgad vinning, där det är behövligt att utreda personens lagliga inkomster och utgifter så noggrant som möjligt så att det vid behov är möjligt att utesluta sanningsenligheten i svarandens förklaring.
Enligt
4 punkten
i paragrafen har Gränsbevakningsväsendet rätt att få saldouppgifter via ett tekniskt gränssnitt ur det centraliserade systemet för transaktions- och saldouppgifter. Gränsbevakningsväsendet har rätt att få saldouppgifter i enlighet med 3 kap. 20 § i personuppgiftslagen. Följaktligen föreskrivs rätt för Gränsbevakningsväsendet att göra förfrågningar om saldotransaktioner via övervakningssystemet i anknytning till förhindrande, avslöjande och utredning av brott. Mottagande av kontotransaktions- och saldouppgifter via övervakningssystemet i stället för det nuvarande utspridda och delvis manuella förfarandet ger Gränsbevakningsväsendet möjlighet att sköta ovan nämnda uppgifter effektivt. Med stöd av den egna befogenhetsparagrafen har Gränsbevakningsväsendet trots att en sammanslutnings medlemmar, revisorer, verkställande direktör, styrelsemedlemmar eller arbetstagare är bundna av företagshemlighet, bankhemlighet eller försäkringshemlighet, på begäran av en anhållningsberättigad tjänsteman rätt att få uppgifter för att förebygga, avslöja eller utreda brott som undersöks av Gränsbevakningsväsendet. Om ett viktigt allmänt eller enskilt intresse kräver det har Gränsbevakningsväsendet samma rätt att få information för undersökning enligt 27 § i lagen om Gränsbevakningsväsendet.
Paragrafens
5 punkt
gäller Skatteförvaltningens rätt att få saldouppgifter via ett tekniskt gränssnitt ur systemet för transaktions- och saldouppgifter. Skatteförvaltningen har rätt att få saldouppgifter utifrån föreslagna 18 a § i lagen om beskattningsförfarande. I enlighet med den föreslagna paragrafen ska aktörer enligt 1 a § i lagen om ett övervakningssystem för bank- och betalkonton med övervakningssystemet för bank- och betalkonton till Skatteförvaltningen lämna ut uppgifter enligt 17 a § och 17 c § då dessa uppgifter är nödvändiga i beskattningen och förutsättningarna i 19 § i denna lag för att överlämna uppgifter uppfylls. I en situation enligt 1 mom. ska Skatteförvaltningen sörja för att behandlingen av uppgifter vid Skatteförvaltningen riktar sig endast på uppgifter som är nödvändiga i beskattningen. I enlighet med 22 § 4 mom. i lagen ska uppgifterna lämnas trots sekretessbestämmelserna och övriga begränsningar att få uppgifter.
I praktiken innebär detta att Skatteförvaltningen bedömer om saldoinformationen är behövlig utifrån en grund enligt 19 § i lagen om beskattningsförfarande, men användningen av övervakningssystemet för bank- och betalkonton ska vara nödvändig för att inhämta informationen. En tjänsteman från Skatteförvaltningen bedömer nödvändigheten att använda övervakningssystemet för bank- och betalkonton med beaktande av saldouppgiftens betydelse i det skatteärende som är föremål för kontroll och om de uppgifter som behövs i ärendet kan fås på annat sätt. Prövningen styrs dessutom av principerna för förvaltningsförfarandet och de principer som ska iakttas i beskattningen. Denna prövning är dock alltid bunden till de faktiska omständigheterna i ett enskilt fall, vilket definierar om uppgifterna är nödvändiga i det aktuella fallet. Saldouppgifter begärs i situationer där det inte är nödvändigt att begära kontotransaktionsuppgifter.
Enligt
6 punkten
i paragrafen har utsökningsverket rätt att få saldouppgifter via ett tekniskt gränssnitt ur det centraliserade systemet för transaktions- och saldouppgifter. Utsökningsverkets rätt att få information baserar sig på 3 kap. 64 § och 66 § i utsökningsbalken. Det föreslås att utsökningsmyndigheten får tillgång till saldotransaktioner för verkställigheten enligt utsökningsbalken. Utmätningsmannen ska i den omfattning som omständigheterna kräver söka efter egendom som tillhör gäldenären för att sökanden ska kunna få betalning (UB 3:48.1). Utmätningsmannens rätt att få information har i utsökningsbalken bundits till om uppgifterna är nödvändiga i ett enskilt utsökningsärende. Utmätningsmannen bedömer om uppgifterna är nödvändiga. Det finns bestämmelser om en utomståendes skyldighet att lämna uppgifter i 3 kap. 66 § i utsökningsbalken. En utomstående ska på begäran till utmätningsmannen meddela bland annat betalningsrörelsen på de konton som gäller fordran och gäldenärens rätt att använda kontona. Det kan anses att regleringen i utsökningsbalken stödjer rätten att tilldela en utmätningsman rätt att göra en förfrågan om saldotransaktioner via övervakningssystemet för bank- och betalkonton.
Enligt
7 punkten
i paragrafen har Finansinspektionen rätt att via ett tekniskt gränssnitt dra nytta av saldouppgifter som är tillgängliga ur systemet för transaktions- och saldouppgifter för att sköta dess uppgifter i enlighet med 18 § i lagen om Finansinspektionen. I fråga om Finansinspektionen ska tillsynsobjektet med stöd av lagen om Finansinspektionen trots sekretessbestämmelserna till Finansinspektionen överlämna de uppgifter och utredningar som den begärt och som är behövliga för att sköta en lagstadgad uppgift för Finansinspektionen. Motsvarande skyldighet har den som i ett tillsynsobjekt eller en annan finansmarknadsaktör har bestämmande inflytande enligt bokföringslagen och den som tillsynsobjektet eller någon annan finansmarknadsaktör har bestämmande inflytande i.
Enligt paragrafens
8 punkt
har Försvarsmakten rätt att få saldouppgifter via ett tekniskt gränssnitt ur det centraliserade systemet för transaktions- och saldouppgifter. Försvarsmakten har rätt till saldouppgifter i enlighet med 104 § i lagen om militär underrättelseverksamhet och 112 § i lagen om militär disciplin och brottsbekämpning inom Försvarsmakten (89/2025). I lagen om militär underrättelseverksamhet föreskrivs att trots att en sammanslutnings medlemmar, revisorer, verkställande direktör, styrelsemedlemmar eller arbetstagare är bundna av företags-, bank- eller försäkringshemlighet har militärunderrättelsemyndigheterna, på begäran av en för uppdraget förordnad och med användningen av metoder för underrättelseinhämtning särskilt förtrogen militärjurist eller annan tjänsteman, rätt att av privata sammanslutningar få sådana uppgifter som i ett enskilt fall kan antas vara behövliga vid utredningen av sådan verksamhet som avses i 4 § och som kan antas vara av betydelse för att identifiera eller nå en fysisk eller juridisk person som är föremål för militär underrättelseinhämtning, eller klarlägga personens kontaktuppgifter eller hur personen förflyttar sig, inrikta användningen av en metod för underrättelseinhämtning på en viss person, eller klarlägga ekonomisk verksamhet som bedrivs av en fysisk eller juridisk person. Försvarsmaktens Huvudstab har i enlighet med 112 § i lagen om militär disciplin och brottsbekämpning inom Försvarsmakten (89/2025) I uppgifter inom brottsbekämpning rätt att av en privat eller offentlig sammanslutning eller en person få information som är nödvändig för förhindrande och utredning av brott oberoende av att en sammanslutnings medlemmar, revisorer, verkställande direktör, styrelsemedlemmar eller arbetstagare är bundna av företags-, bank- eller försäkringshemlighet.
17 b §.Saldouppgifter som fås ur det centraliserade elektroniska systemet för transaktions- och saldouppgifter.
Enligt förslaget innehåller paragrafen bestämmelser om innehållet i uppgifter som fås ur det centraliserade systemet för transaktions- och saldouppgifter. Ur systemet är det möjligt att begära saldouppgifter om det konto som är föremål för förfrågan, det vill säga utöver kontonumret även penningbeloppet på kontot vid tidpunkten för begäran om ett svar. Eftersom utlämnande av saldouppgifter inte nödvändigtvis sker i realtid, då kontots saldo vid tidpunkten för en myndighets förfrågan kan avvika från saldot vid tidpunkten för uppgiftslämnarens svar, ska den utlämnade saldoinformationen gälla saldot vid tidpunkten för svaret. Svaret med saldoinformation ska ha en tidsstämpel, som preciserar tidpunkten för saldot. Även eventuella täckningsreserveringar som gäller kontot ska beaktas i kontots saldo. Enligt utsökningsbalken kan egendom som hör till en utomstående inte utmätas, varför täckningsreserveringar ska dras av från uppgiften om kontots saldo.
Enligt förslaget innehåller paragrafens 2 mom. bestämmelser om ett undantag som gäller ett gemensamt konto som förvaltas av en advokat, vilket baserar sig på tystnadsplikten för advokater. Enligt bestämmelsen får saldouppgifter som gäller ett gemensamt konto som förvaltas av en advokat inte lämnas ut via det centraliserade systemet för transaktions- och saldouppgifter. Med gemensamma konton avses konton för penningmedel och andra medel som innehas av en advokat eller dennes byrå och som tillhör någon annan än advokaten eller dennes byrå. Syftet med bestämmelsen är att förebygga en situation där saldouppgifter som gäller ett gemensamt konto som förvaltas av en advokat lämnas ut via det elektroniska systemet för transaktions- och saldouppgifter utan rättslig grund. När myndigheterna behöver information, ska de vända sig till den advokat som är kontoinnehavare för att utreda saldotransaktioner på ett gemensamt konto som förvaltas av en advokat.
17 c §.Utlämnande av uppgifter om kontotransaktioner och om värdepapper till behöriga myndigheter via ett tekniskt gränssnitt.
Enligt förslaget innehåller paragrafen bestämmelser om förmedling och utlämnande av kontotransaktionsuppgifter och uppgifter om värdepapper till de behöriga myndigheterna via ett tekniskt gränssnitt ur systemet för transaktions- och saldouppgifter. Myndigheternas rätt att få uppgifter om kontotransaktioner och värdepapper via systemet baserar sig på rättigheterna att få information i den övriga lagstiftningen, och det handlar därmed inte om en bestämmelse om rätten att få information. Det är behövligt att utfärda bestämmelser om utlämnande av uppgifter via ett tekniskt gränssnitt ur det elektroniska systemet för transaktions- och saldouppgifter, eftersom uppgifter lämnas ut elektroniskt från en privat aktör till en myndighet, och 22 eller 24 § i lagen om informationshantering inom den offentliga förvaltningen (906/2019) är sålunda inte tillämplig. För att även frågor som gäller handlingsutrymmet i EU-rätten ska beaktas, ska sättet att lämna ut uppgifter bindas till vissa användningsändamål, för vilka en myndighet kan utnyttja systemet för transaktions- och saldouppgifter.
Även om rätten att få information via gränssnittet fastställs utifrån de gällande rättigheterna att få information, möjliggör specialregleringen om det elektroniska sättet att lämna ut uppgifter tekniskt sett ett nytt sätt att behandla känsliga uppgifter. Eftersom det handlar om sekretessbelagda och känsliga uppgifter, binds rätten till att få uppgifter ur det centraliserade systemet till bestämmelsen om myndighetens rätt att få information. Rätten att få information har bundits till antingen kravet på ett behov eller kravet på nödvändighet i paragrafen om rätten till information för varje myndighet. Även för de myndigheter vars paragraf om rätten till information är bunden till kravet på behövlighet, har det i en separat personuppgiftslag föreskrivits att myndigheten kan behandla särskilda personuppgifter endast då det är nödvändigt. Det nödvändighetskrav som fogats till det elektroniska systemet för transaktions- och saldouppgifter är följaktligen en skyddsåtgärd som säkrar behandlingen av känsliga uppgifter. En myndighet kan begära uppgifter om kontotransaktioner och värdepapper via ett tekniskt gränssnitt, om dessa uppgifter är nödvändiga för myndigheten för att avgöra en myndighetsuppgift som är under handläggning.
Förutsättningarna för nödvändighet har behandlats separat enligt myndighet i avsnitt 4 i propositionen.
Enligt principen om ändamålsbegränsning i artikel 5.1 b i allmänna dataskyddsförordningen ska personuppgifter samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Eftersom avsikten vid behandling enligt propositionen är att utnyttja kontotransaktionsuppgifter från kredit- och betalningsinstituten, baserar sig det föreslagna sättet att använda uppgifterna i fråga om avvikelsen från ändamålsbegränsningen på myndigheternas rätt att få information i bestämmelserna i en medlemsstats lagstiftning i enlighet med inledningsfrasen i artikel 6.4 i allmänna dataskyddsförordningen.
Den föreslagna bestämmelsen är möjlig med stöd av underpunkt g i artikel 9.2 i allmänna dataskyddsförordningen. Enligt underpunkt g i artikeln är behandling av uppgifter som hör till de särskilda kategorierna av persongrupperna möjlig om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Kontotransaktionsuppgifter kan innehålla eventuella känsliga uppgifter, på grund av vilka detaljerade kontouppgifter om en fysisk person i enlighet med grundlagsutskottets utlåtandepraxis jämställs med känsliga uppgifter som hör till kärnområdet av skyddet för privatlivet (GrUU 48/2018 rd). I enlighet med grundlagsutskottets etablerade praxis har rätten till behandling av kontotransaktionsuppgifter sålunda avgränsats till den nödvändiga behandlingen (till exempel GrUU 58/2018 rd och GrUU 15/2018 rd).
Enligt paragrafens
1punkt
har polisen rätt att få kontotransaktionsuppgifter via ett tekniskt gränssnitt ur det centraliserade systemet för transaktions- och saldouppgifter. Polisens rätt att få kontotransaktions- och saldouppgifter ur det centraliserade elektroniska systemet för transaktions- och saldouppgifter baserar sig på 4 kap. 3 § och 5 a kap. 50 § i polislagen. Med polisen avses såväl enheter som lyder under Polisstyrelsen, som skyddspolisen och Ålands polis. På den sist nämnda tillämpas befogenhetsbestämmelserna om bankkontouppgifter i polislagen. Definitionen av polisen som en behörig myndighet har klargjorts mer ingående ovan i motiveringarna till 17 a § på s. 100. Polisens rätt att få information har avgränsats till att hindra eller utreda ett brott eller ett viktigt allmänt eller enskilt intresse. I 4 kap. 3 § i polislagen föreskrivs att oberoende av att en sammanslutnings medlemmar, revisorer, verkställande direktör, styrelsemedlemmar eller arbetstagare är bundna av företags-, bank- eller försäkringshemlighet har polisen på begäran av en polisman som hör till befälet rätt att få information som behövs för förhindrande eller utredning av brott. Om ett viktigt allmänt eller enskilt intresse kräver det har polisen samma rätt att få information som behövs vid polisundersökning enligt 6 kap. Enligt 15 § i personuppgiftslagen för polisen får polisen behandla uppgifter som hör till de särskilda kategorierna av persongrupper endast om behandlingen är nödvändig för behandlingsändamålet. Mottagande av kontotransaktionsuppgifter via övervakningssystemet i stället för det nuvarande utspridda och delvis manuella förfarandet ger polisen möjlighet att sköta ovan nämnda uppgifter effektivt. Vid polisen fattas beslutet om att inhämta de aktuella uppgifterna i praktiken av en polisman som hör till befälet separat i varje enskilt fall, varvid även nivån på beslutsfattandet är tillräckligt hög. Ett separat beslut och en separat begäran görs om inhämtning av uppgifter.
Behörigheterna i anknytning till upprätthållandet av den nationella säkerheten att göra förfrågningar om kontotransaktionsuppgifter via ett tekniskt gränssnitt ur övervakningssystemet för bank- och betalkonton gäller skyddspolisens uppgifter för att skydda den nationella säkerheten, det vill säga för att bedriva civil underrättelseverksamhet. Skyddspolisen har rätt att få information om kontotransaktioner med stöd av 4 kap. 3 § 1 mom. och 5 a kap. 50 § i polislagen. Föremålet för civil underrättelseverksamhet kan vara bland annat terrorism, utländsk underrättelseverksamhet, massförstöringsvapen, verksamhet som hotar samhällets livsviktiga funktioner och verksamhet av en främmande stat som kan orsaka skada för Finlands viktiga intressen. Det ska beaktas att informationsinhämtning om finansiering av terrorism följaktligen hör till skyddspolisens uppgifter, även då den bedriver civil underrättelseverksamhet. Bankförfrågningar har alltid en koppling till utförandet av en enskild tjänsteuppgift och varje begäran motiveras skriftligt. Beslutet om att göra en förfrågan görs av en polisman som hör till befälet, på motsvarande sätt som då en begäran görs för att förhindra ett brott. Behörighetstilldelningen i anknytning till kontotransaktionsuppgifter till skyddspolisen handlar följaktligen inte om att en helt ny rätt att få information bildas för den, utan på att användningen av en redan existerande rätt att få information i en annan lag görs smidigare. Användningen av övervakningssystemet i skyddspolisens verksamhet begränsas av vad som annanstans föreskrivits om skyddspolisens rätt att få information. Till exempel 5 a kap. 50 § i polislagen förutsätter att en begäran är behövlig för utredning av verksamhet som bedrivs av målet för civil underrättelseverksamhet, där den nationella säkerheten är allvarligt hotad. Det ska även kunna förmodas att begäran är betydelsefull för att identifiera eller påträffa en person eller juridisk person som är föremål för civil underrättelseverksamhet eller utreda den aktuella personens kontaktuppgifter eller rörelse, rikta användningen av underrättelsemetoden på en viss person som är föremål för civil underrättelseverksamhet eller för att utreda ekonomisk verksamhet som förmodas ha en koppling till verksamhet enligt 3 § vilken bedrivs av en person eller juridisk person som är föremål för civil underrättelseverksamhet. Övervakningen av lag- och ändamålsenligheten i behandlingen av personuppgifter i skyddspolisens verksamhet är väldigt noggrann. Den interna laglighetsövervakningens resurser ökades kraftigt i samband med att underrättelselagarna trädde i kraft. Dessutom övervakas behandlingen av personuppgifter av dataombudsmannen som en extern laglighetsövervakare, underrättelsetillsynsombudet, som verkar som ett särskilt ombud, samt de högsta laglighetsövervakarna.
Enligt
2 punkten
i paragrafen har centralen för utredning av penningtvätt rätt att få kontotransaktionsuppgifter via ett tekniskt gränssnitt ur det centraliserade systemet för transaktions- och saldouppgifter. Centralen för utredning av penningtvätt har rätt att få uppgifter om kontotransaktioner i enlighet med 4 § i lagen om centralen för utredning av penningtvätt. Trots bestämmelserna om hemlighållande av uppgifter om företagshemligheter eller uppgifter om en enskild persons, sammanslutnings eller stiftelses ekonomiska förhållanden, ekonomiska ställning eller beskattningsuppgifter har centralen för utredning av penningtvätt rätt att av myndigheter, av sammanslutningar som har ålagts en offentlig uppgift och av rapporteringsskyldiga avgiftsfritt få uppgifter och handlingar som är nödvändiga för förhindrande och utredning av penningtvätt och av finansiering av terrorism. Beslut om inhämtande av sekretessbelagda uppgifter fattas av en polisman som hör till befälet och arbetar vid centralen för utredning av penningtvätt. Trots tystnadsplikten för en medlem, en revisor, en verksamhetsgranskare, en styrelseledamot eller en anställd har centralen för utredning av penningtvätt dessutom på skriftlig begäran av en polisman som hör till befälet och arbetar vid centralen rätt att av en enskild sammanslutning, stiftelse eller person avgiftsfritt få uppgifter som är nödvändiga för förhindrande och utredning av penningtvätt och av finansiering av terrorism.
Det är nödvändigt att använda kontotransaktionsuppgifter för att centralen för utredning av penningtvätt ska kunna utföra sin lagstadgade uppgift. I synnerhet analysen av anmälningar förutsätter detaljerad granskning av kontotransaktionsuppgifter. Centralen för utredning av penningtvätt har tidigare tagit emot flera tiotusen anmälningar om penningtvätt per år, men antalet har stigit avsevärt under den senaste tiden. Till exempel år 2022 mottogs redan över 200 000 anmälningar. En del av dessa anmälningar väljs efter förbehandling till mål för fortsatt utredning och årligen öppnas omkring 1 500 utredningshelheter. Flera personer och bolag kan vara delaktiga i en utredningshelhet och i typfallet omfattar de 1–5 olika penningtvättsanmälningar. I praktiken görs framöver i så gott som alla dessa utredningshelheter flera förfrågningar som gäller såväl bankkontouppgifter enligt den gällande lagen som kontotransaktioner ur övervakningssystemet för bank- och betalkonton. Dessutom är såväl kontotransaktions- som saldouppgifter nödvändiga även i samband med förbehandlingen av anmälningar, så att det genom en analys är möjligt välja anmälningarna med störst risk för penningtvätt eller finansiering av terrorism till den fortsatta behandlingen.
Paragrafens 3
punkt
gäller Tullens rätt att få kontotransaktionsuppgifter via ett tekniskt gränssnitt ur systemet för transaktions- och saldouppgifter. Tullen har rätt att få kontotransaktionsuppgifter i enlighet med 102 § 2 mom. i tullagen och 2 kap. 14 § i lagen om brottsbekämpning inom Tullen. I fråga om beskattnings- och skattekontrolluppgifter har Tullen rätt att begära kontotransaktionsuppgifter direkt från bankerna och andra motsvarande kreditinstitut med stöd av 102 § 2 mom. i tullagen, enligt vilket den som innehar uppgifter som behövs för en annan persons tullbeskattning eller för ett ärende som gäller ändringssökande och som följer av tullbeskattning ska på uppmaning av Tullen lämna uppgifterna till Tullen inom utsatt tid. Tullen har därtill, oberoende av att en sammanslutnings medlemmar, revisorer, verkställande direktör, styrelsemedlemmar, förvaltningsrådsmedlemmar eller arbetstagare är bundna av företags-, bank- eller försäkringshemlighet, rätt att av en privat eller offentlig sammanslutning eller en enskild få information som behövs för förhindrande, avslöjande eller utredning av tullbrott. Tullens tillgång till kontotransaktionsuppgifterna i övervakningssystemet för bank- och betalkonton anknyter till beskattningen och skattekontrollen och förhindrande, avslöjande eller utredning av tullbrott vid Tullen.
Förutsättningen för att få tillgång till uppgifterna är att de är nödvändiga för att utföra ovan nämnda uppgifter. Tullens beskattningsfunktioner har en betydande roll för återvinningen av medel, i synnerhet i fråga om EU:s traditionella egna medel. Tullens beskattningsfunktioner säkrar även unionens ekonomiska intressen. I fråga om brottsbekämpning är Tullen en förundersökningsmyndighet enligt förundersökningslagen och Tullen ansvarar för tullbrottsbekämpningen enligt föreskrifterna i lagen om brottsbekämpning inom Tullen och i den övriga lagstiftningen. Det är synnerligen viktigt att få tillgång till uppgifter vid skatteinspektioner. Även i fråga om brottsbekämpningen har kontotransaktioner en central betydelse. Motivet med ett tullbrott är så gott som utan undantag att få ekonomisk vinning. Kontotransaktionsförfrågningar är en väsentlig del av utredningen av brott och förfrågningar görs så gott som varje gång. Målet med kontotransaktionerna är att rikta straffansvaret, leta efter delaktiga i det misstänkta brottet samt även att utreda brottsvinningen och personers (även juridiska personers) förmögenhet. Spårning av brottsvinning görs i anknytning till förundersökningen även bland annat för att trygga skadestånd. Kontotransaktionsuppgifter begärs ofta i brottsundersökningar som görs av Tullen till exempel i undersökningen av ekonomiska brott och narkotikabrott samt i spårning av ekonomisk vinning. Tullens undersökningsverksamhetsenhet undersöker bland annat narkotikabrott, medicinbrott, skattebedrägerier, smugglingsbrott och andra brott som begåtts i samband med införsel i landet. Skattebedrägeribrotten kan gälla punktbeskattningen, mervärdesbeskattningen eller brott som skadar EU:s ekonomiska intressen, såsom undvikande av tullar eller antidumpningstullar. I allmänhet begärs kontotransaktionsuppgifter i utredningen av tullbrott med en blankett av standardform, på vilken all behövlig information om de uppgifter som begärs och det brott som undersöks antecknas. I samband med undersökningen av tullbrott har Tullen åren 2017 och 2018 gjort omkring 24 000 begäranden om kontouppgifter till kredit- och betalningsinstituten. Antalet förfrågningar har förblivit oförändrat. I egenskap av förundersökningsmyndighet är Tullen i enlighet med 1 kap. 2 § i förundersökningslagen (805/2011) även förpliktad att utreda den skada som har orsakats och den vinning som fåtts genom brottet och parterna (1 punkten) och möjligheterna att återställa egendom som har erhållits genom brottet och att verkställa en förverkandepåföljd som döms ut eller skadestånd som betalas till målsäganden med anledning av brottet (2 punkten). Tidvis förutsätts bankförfrågningar för att hitta brottsvinning och att de riktas till gärningsmannens närkrets (utvidgad vinning SL 10:3) och även till utomstående personer (SL 10:2.4). Följaktligen kan förfrågningarna vid spårning av vinning av brott rikta sig även till personer som inte är brottsmisstänkta, men som i stället fått vinning. Spårning av brottsvinning kan under förfrågningstiden för en bankförfrågan även förutsätta ett förfrågningsintervall som är längre än gärningstiden för brottet, till exempel i situationer som gäller utredning av utvidgad vinning, där det är behövligt att utreda personens lagliga inkomster och utgifter så noggrant som möjligt så att det vid behov är möjligt att utesluta sanningsenligheten i svarandens förklaring.
Enligt
4 punkten
i paragrafen har Gränsbevakningsväsendet rätt att få kontotransaktionsuppgifter via ett tekniskt gränssnitt ur det centraliserade systemet för transaktions- och saldouppgifter. Gränsbevakningsväsendet har rätt att få kontotransaktionsuppgifter i enlighet med 3 kap. 20 § i personuppgiftslagen för gränsbevakningsväsendet. Följaktligen föreskrivs rätt för Gränsbevakningsväsendet att göra förfrågningar om kontotransaktioner via övervakningssystemet i anknytning till förhindrande, avslöjande och utredning av brott. Mottagande av kontotransaktionsuppgifter via övervakningssystemet i stället för det nuvarande utspridda och delvis manuella förfarandet ger Gränsbevakningsväsendet möjlighet att sköta ovan nämnda uppgifter effektivt. Med stöd av den egna befogenhetsparagrafen har Gränsbevakningsväsendet trots att en sammanslutnings medlemmar, revisorer, verkställande direktör, styrelsemedlemmar eller arbetstagare är bundna av företagshemlighet, bankhemlighet eller försäkringshemlighet, på begäran av en anhållningsberättigad tjänsteman rätt att få uppgifter för att förebygga, avslöja eller utreda brott som undersöks av Gränsbevakningsväsendet. Om ett viktigt allmänt eller enskilt intresse kräver det har Gränsbevakningsväsendet samma rätt att få information för undersökning enligt 27 § i lagen om Gränsbevakningsväsendet.
Paragrafens 5
punkt
gäller Skatteförvaltningens rätt att få kontotransaktionsuppgifter via ett tekniskt gränssnitt ur systemet för transaktions- och saldouppgifter. Skatteförvaltningen har rätt att få kontotransaktionsuppgifter utifrån föreslagna 18 a § i lagen om beskattningsförfarande. I enlighet med den föreslagna paragrafen ska aktörer enligt 1 a § i lagen om ett övervakningssystem för bank- och betalkonton med övervakningssystemet för bank- och betalkonton till Skatteförvaltningen lämna ut uppgifter enligt 17 a § och 17 c § då dessa uppgifter är nödvändiga i beskattningen och förutsättningarna i 19 § i denna lag för att överlämna uppgifter uppfylls. I en situation enligt 1 mom. ska Skatteförvaltningen sörja för att behandlingen av uppgifter vid Skatteförvaltningen riktar sig endast på uppgifter som är nödvändiga i beskattningen. I enlighet med 22 § 4 mom. i lagen ska uppgifterna lämnas trots sekretessbestämmelserna och övriga begränsningar att få uppgifter.
I praktiken innebär detta att Skatteförvaltningen bedömer om informationen om kontotransaktioner är behövlig utifrån en grund enligt 19 § i lagen om beskattningsförfarande, men användningen av övervakningssystemet för bank- och betalkonton ska vara nödvändig för att inhämta informationen. En tjänsteman från Skatteförvaltningen bedömer nödvändigheten att använda övervakningssystemet för bank- och betalkonton med beaktande av kontotransaktionsuppgifternas betydelse i det skatteärende som är föremål för kontroll och om de uppgifter som behövs i ärendet kan fås på annat sätt. Prövningen styrs dessutom av principerna för förvaltningsförfarandet och de principer som ska iakttas i beskattningen. Denna prövning är dock alltid bunden till de faktiska omständigheterna i ett enskilt fall, vilket definierar om uppgifterna är nödvändiga i det aktuella fallet.
Kontotransaktionsuppgifterna säkerställer den skattskyldiges penningflöden och därmed hans eller hennes ekonomiska ställning, på vilken beskattningen baserar sig. Kontotransaktionsuppgifter begärs inte utan att behovet först bedömts utifrån de faktiska omständigheterna i ett enskilt fall och de anses vara nödvändiga för skattekontrollen. Med nödvändighet avses att det i skattekontrollen finns en beskattningsmässig orsak att utreda eller säkerställa att beskattningen är korrekt och Skatteförvaltningen inte har någon annan deklarationskälla, utomstående källa eller jämförelsekälla tillgänglig för att utreda de inkomster och medel som påverkar beskattningen av den skattskyldige. Det kan dock till exempel handla om en situation där ett företag inom plattformsekonomi anmält att en person fått plattformsekonomiska inkomster till Skatteförvaltningen och uppgiften om inkomsten är motstridig med de deklarationer som den skattskyldige lämnat in. I kontrollen utreds hur den skattskyldiges inkomster bildas och om skattedeklarationsuppgifterna är riktiga utifrån kontotransaktionsuppgifterna, som redogör för om inkomsterna de facto mottagits. I skattekontrollen kan det finnas ett behov av att utreda hur den skattskyldiges inkomster bildas även till exempel i en situation där den skattskyldiges fastighetsförmögenhet ökat, men Skatteförvaltningens uppgifter inte redogör för med vilka inkomster ett fastighetsförvärv finansierats. Utredning av ett ärende som gäller undvikande av skatt är inte en förutsättning för behandling av kontotransaktionsinformation, även om kontotransaktioner, i synnerhet i bekämpningen av grå ekonomi, har en stor betydelse i utredningen av skattebedrägerier, som ofta är sammanflätade med andra ekonomiska brott.
Enligt
6 punkten
i paragrafen har Utsökningsverket rätt att få kontotransaktionsuppgifter via ett tekniskt gränssnitt ur det centraliserade systemet för transaktions- och saldouppgifter. Utsökningsverkets rätt att få information baserar sig på 3 kap. 64 § och 66 § i utsökningsbalken. Det föreslås att utsökningsmyndigheten får tillgång till kontotransaktionsuppgifter för verkställigheten enligt utsökningsbalken. Utmätningsmannen ska i den omfattning som omständigheterna kräver söka efter egendom som tillhör gäldenären för att sökanden ska kunna få betalning (UB 3:48.1). Utmätningsmannens rätt att få information har i utsökningsbalken bundits till om uppgifterna är nödvändiga i ett enskilt utsökningsärende. Utmätningsmannen bedömer om uppgifterna är nödvändiga. Det finns bestämmelser om en utomståendes skyldighet att lämna uppgifter i 3 kap. 66 § i utsökningsbalken. En utomstående ska på begäran till utmätningsmannen meddela bland annat betalningsrörelsen på de konton som gäller fordran och gäldenärens rätt att använda kontona. Det kan anses att regleringen i utsökningsbalken stödjer möjligheten att ge en utmätningsman möjlighet att göra förfrågningar om kontotransaktioner via övervakningssystemet för bank- och betalkonton.
Enligt
7 punkten
i paragrafen har Finansinspektionen rätt att få kontotransaktionsuppgifter via ett tekniskt gränssnitt ur det centraliserade systemet för transaktions- och saldouppgifter. Finansinspektionen kan utnyttja kontotransaktionsuppgifter som fås ur systemet för transaktions- och saldouppgifter för att sköta de myndighetsuppgifter som fastställts för den i enlighet med 18 § i lagen om Finansinspektionen. Finansinspektionen har trots sekretessbestämmelserna rätt att av myndigheter och aktörer som sköter offentliga uppdrag få uppgifter och utredningar om tillsynsobjekt, andra finansmarknadsaktörer och personer som Finansinspektionen med stöd av sina uppgifter enligt 3 § utövar tillsyn över, vilka behövs för att sköta en lagstadgad uppgift för Finansinspektionen. Finansinspektionen har redan nu rätt att få uppgifter om ett kontos ägare via bank- och betalkontosystemet. Det är nödvändigt att få uppgifter om kontotransaktioner och andra identifieringsuppgifter i situationer där Finansinspektionen i sitt tillsynsuppdrag konstaterar en avsevärd avvikelse eller risk för penningtvätt eller finansiering av terrorism eller kringgående av ekonomiska sanktioner. Eftersom de uppgifter som ingår i bank- och betalkontosystemet är känsliga, ska tröskeln för att få uppgifterna höjas på så sätt att det ska vara nödvändigt att få uppgifterna för att utföra en tillsynsuppgift.
Enligt
8 punkten
i paragrafen har även Försvarsmakten rätt att få kontotransaktionsuppgifter via ett tekniskt gränssnitt ur det centraliserade systemet för transaktions- och saldouppgifter. Försvarsmakten har rätt att få kontotransaktionsuppgifter i enlighet med 104 § 2 mom. i lagen om militär underrättelseverksamhet och 112 § i lagen om militär disciplin och brottsbekämpning inom Försvarsmakten (89/2025). I lagen om militär underrättelseverksamhet föreskrivs att trots att en sammanslutnings medlemmar, revisorer, verkställande direktör, styrelsemedlemmar eller arbetstagare är bundna av företags-, bank- eller försäkringshemlighet har militärunderrättelsemyndigheterna, på begäran av en för uppdraget förordnad och med användningen av metoder för underrättelseinhämtning särskilt förtrogen militärjurist eller annan tjänsteman, rätt att av privata sammanslutningar få sådana uppgifter som i ett enskilt fall kan antas vara behövliga vid utredningen av sådan verksamhet som avses i 4 § och som kan antas vara av betydelse för att identifiera eller nå en fysisk eller juridisk person som är föremål för militär underrättelseinhämtning, eller klarlägga personens kontaktuppgifter eller hur personen förflyttar sig, inrikta användningen av en metod för underrättelseinhämtning på en viss person, eller klarlägga ekonomisk verksamhet som bedrivs av en fysisk eller juridisk person. Försvarsmaktens Huvudstab har i enlighet med 112 § i lagen om militär disciplin och brottsbekämpning inom Försvarsmakten (89/2025) I uppgifter inom brottsbekämpning rätt att av en privat eller offentlig sammanslutning eller en person få information som är nödvändig för förhindrande och utredning av brott oberoende av att en sammanslutnings medlemmar, revisorer, verkställande direktör, styrelsemedlemmar eller arbetstagare är bundna av företags-, bank- eller försäkringshemlighet.
17 d §.Uppgifter om kontotransaktioner och värdepapper, vilka kan erhållas ur det centraliserade elektroniska systemet för transaktions- och saldouppgifter.
Enligt förslaget innehåller paragrafen bestämmelser om innehållet i kontotransaktionsuppgifter och värdepappersuppgifter vilka fås ur det elektroniska systemet för transaktions- och saldouppgifter. Enligt paragrafens 1 mom. är det möjligt att ur det centraliserade systemet för transaktions- och saldouppgifter begära kontotransaktionsuppgifter som gäller bank- och betalkonton. Med transaktionsuppgifter avses i enlighet med direktivet om finansiell information 2024/1654 alla detaljerade uppgifter om åtgärder som vidtagits under en viss tidsperiod via ett visst bank- eller betalkonto eller detaljerade uppgifter om överföringar av kryptotillgångar. Direktivet om finansiell information innehåller inte en närmare specifikation om vad dessa uppgifter innehåller, men enligt direktivet om finansiell information ska medlemsstaterna för att möjliggöra det gränsöverskridande samarbetet säkerställa att kontotransaktionsuppgifter överlämnas i det elektroniskt format som kommissionen förordnat. I samband med förhandlingarna om direktivet har man i praktiken konstaterat att förmedlingen av kontotransaktionsuppgifter ska genomföras med meddelandestrukturen ISO20022 (International Organization for Standardization).
För att göra förfrågningar om kontotransaktionsuppgifter och sända svar på dessa iakttas rekommendationen om användning av den ISO20022-meddelandestruktur (Camt.052/Camt.053) som används av de europeiska lagtillsynsmyndigheterna, varför uppgiftsinnehållet i en förfrågan fastställs enligt meddelandestrukturen. Användningen av ISO20022-meddelandestrukturen i förfrågnings- och svarsstrukturerna för kontotransaktionsuppgifter möjliggör ett smidigt genomförande av förpliktelsen enligt direktivet om finansiell information, som implementeras i den nära framtiden. När de kontotransaktionsuppgifter som överlämnas till de behöriga myndigheterna i medlemsstaterna redan färdigt är i det harmoniserade format som direktivet om finansiell information kräver och som genomförs med ISO20022-meddelandestrukturen, är det smidigt för den nationella informationsförmedlaren, det vill säga centralkriminalpolisens internationella enhet, att hämta de begärda uppgifterna ur det centraliserade systemet för transaktions- och saldouppgifter och förmedla dem till den som begärt informationen i rätt meddelandeform.
ISO20022-meddelandestrukturen innehåller ett brett uppgiftsinnehåll om kontotransaktionerna för den fysiska eller juridiska person som är föremål för förfrågan, och därför är det inte möjligt att definiera varje del av meddelandestrukturen på paragrafnivå. I 1–6 punkten i paragrafens 1 mom. specificeras de viktigaste identifieringsuppgifterna i anknytning till kontotransaktionsinformation. Ur det centraliserade elektroniska systemet för transaktions- och saldouppgifter är det möjligt att få till exempel uppgifter om transaktionstypen, transaktionsdatum och -klockslaget, kontonumret i anknytning till transaktionen, mottagarens och betalarens namn, transaktionens referensnummer och informationen i meddelandefältet. Det innehåll som specificerats i punkt 1–6 är följaktligen inte en uttömmande lista över de kontotransaktionsuppgifter som kan fås ur systemet. Sålunda gäller 7 punkten för alla andra uppgifter som gäller en kontotransaktion än de som definierats i 1–6 punkten.
I enlighet med 17 c § ovan ska den information som begärs ur övervakningssystemet för bank- och betalkonton vara nödvändig för de behöriga myndigheter som använder systemet för att utföra en lagstadgad uppgift för myndigheten, det vill säga att myndigheten ska pröva om nödvändighetsförutsättningen är uppfylld innan en begäran om information görs. Eftersom en myndighet kan ha ett behov av att avgränsa en begäran till de uppgifter som är nödvändiga för den, ska myndigheten då den gör en begäran i sitt eget system enligt förfrågan avgränsa (såväl i fråga om begäran som i fråga om svaret) vilken information myndigheten behöver, såvida det inte är nödvändigt för den att få alla uppgifter. Sålunda ska eventuella tekniska avgränsningar i fråga om informationens nödvändighet göras av den mottagande myndigheten i dess eget system. Enligt förslaget förmedlar Tullen alla grundläggande uppgifter som fastställts för en förfrågan med en kontotransaktionsförfrågan till uppgiftslämnaren, liksom även de tilläggsuppgifter som är förenliga med meddelandestrukturen, definierats i förfrågan och som är nödvändiga för den behöriga myndigheten. Uppgiftslämnaren överlämnar svaret i enlighet med det begärda innehållet till myndigheten.
Enligt förslaget innehåller paragrafens 2 mom. bestämmelser om att det är möjligt att via det centraliserade elektroniska systemet för transaktions- och saldouppgifter begära även uppgifter som gäller en fysisk eller juridisk persons värdepapper, vilka en behörig myndighet enligt 17 c § har rätt att få med stöd av den övriga gällande lagstiftningen. Med värdepappersuppgifter avses uppgifter enligt 2 § i lagen om värdeandelskonton (872/1991) om arten på och antalet värdeandelar som tagits upp på ett värdeandelskonto och eventuella rättigheter och begränsningar som hänför sig till dessa. I enlighet med 3 § 1 punkten i lagen om värdeandelssystemet och om clearingverksamhet (348/2017) avses med värdeandelar sådana aktier, andelar och andra rättigheter enligt 2 kap. 1 § i värdepappersmarknadslagen (746/2012), andra finansiella instrument enligt 1 kap. 14 § i lagen om investeringstjänster (747/2012) och med dem jämförbara rättigheter samt andra värdepapper som har anslutits till värdeandelssystemet. Med andra ord avses med värdepappersuppgifter uppgifter om kundens värdepapper.
De behöriga myndigheterna gör med stöd av sin rätt att få information även andra förfrågningar än förfrågningar om konto- och transaktionsuppgifter till bankerna, till exempel förfrågningar om kundens värdepappersförmögenhet. Dessa uppgifter kan vara av avgörande betydelse i en enskild myndighetsuppgift. För att få dessa förfrågningar till ett centraliserat och datasäkert förfarande som omfattas av laglighetsövervakningen, föreslås det följaktligen att det via systemet är möjligt att göra förfrågningar även om värdepappersuppgifter som omfattas av bankhemligheten. Även i förmedlingen av dessa uppgifter används globala meddelandestrukturer, som omfattar den mängd information som definierats för varje meddelandestruktur, varför det exakta uppgiftsinnehållet i förfrågan fastställs enligt meddelandestrukturen. Även i fråga om värdepappersuppgifter handlar det om sådana uppgifter som en behörig myndighet redan för närvarande är berättigad att få i enlighet med bestämmelserna om rätten att få information enligt motiveringarna till föreslagna 17 c § och som även i övrigt sänds längs en annan kanal, såsom per e-post. De aktuella uppgifterna enligt 2 mom. ska vara nödvändiga för de behöriga myndigheterna på samma sätt som uppgifterna enligt 1 mom. Följaktligen ska myndigheterna uppfylla alla förutsättningar för att göra en begäran om information enligt 17 g § 2 mom. även i fråga om begäranden om information som gäller i 2 mom. avsedda värdepappersuppgifter som omfattas av bankhemligheten. Sändningen av värdepappersuppgifter via övervakningssystemet för bank- och betalkonton är frivillig för kredit- och betalningsinstituten och den kan även göras på ett annat datasäkert sätt i enlighet med 17 f § 3 mom.
Enligt förslaget innehåller paragrafens 3 mom. bestämmelser om ett undantag som gäller ett gemensamt konto som förvaltas av en advokat, vilket baserar sig på tystnadsplikten för advokater. Enligt bestämmelsen får kontotransaktionsuppgifter och andra uppgifter som hänför sig till kundrelationen vilka gäller gemensamma konton som förvaltas av en advokat inte lämnas ut via det centraliserade systemet för transaktions- och saldouppgifter. Med gemensamma konton avses konton för penningmedel och andra medel som innehas av en advokat eller dennes byrå och som tillhör någon annan än advokaten eller dennes byrå. Klientmedel är exempelvis penningmedel som advokaten har fått i samband med ett visst uppdrag och som på klientens vägnar ska utbetalas till tredje part eller användas på annat sätt. Klientmedel är även penningmedel, värdepapper och värdeandelar samt föremål med förmögenhetsvärde som advokaten har mottagit av tredje part för klientens räkning med redovisningsskyldighet gentemot klienten eller för att förvaras för klientens räkning samt även medel som en advokat fått i samband med skötseln av uppdrag som advokaten förordnats att utföra. Syftet med bestämmelsen är att förebygga en situation där kontotransaktions- och värdepappersuppgifter som gäller ett gemensamt konto som förvaltas av en advokat lämnas ut via systemet för transaktions- och saldouppgifter utan rättslig grund. När myndigheterna behöver ovan nämnda information, ska de vända sig till den advokat som är kontoinnehavare för att utreda kontotransaktioner på ett gemensamt konto som förvaltas av en advokat.
17 e §.Behöriga myndigheters åtkomst till uppgifterna i det centraliserade elektroniska systemet för transaktions- och saldouppgifter och förutsättningarna för att göra begäranden om information som gäller uppgifterna.
Enligt förslaget innehåller paragrafen bestämmelser om vissa förutsättningar för att de behöriga myndigheternas ska få åtkomst till uppgifter och göra sökningar. I paragrafens 1 mom. föreskrivs det att rätt att få åtkomst till sådana uppgifter som avses i 17 b och 17 d § i den föreslagna lagen och möjlighet att söka sådana uppgifter innehas endast av den personal vid en i 17 a § eller 3 c § avsedd myndighet som har utsetts och bemyndigats att utföra dessa uppgifter. I informationshanteringslagen finns det bestämmelser bland annat om datasäkerheten, inbegripet identifiering av uppgifter som förutsätter pålitlighet, tilldelning av behörigheter och verifiering av pålitlighet samt om datasäkerheten för informationsmaterial och informationssystem. Den organisation som utnyttjar informationen ska sörja för att behörigheter beviljas endast till personer med befogenhet att göra förfrågningar. Dessutom ska myndigheten iaktta andra interna förfaranden för att begära uppgifter, vilka kan ha två nivåer, eller en annan process med vilken det är möjligt att visa att tjänsteansvaret hänför sig till den person som fattat beslutet om att begära kontotransaktions- och saldouppgifter. Myndigheten ska dessutom förvissa sig om att datasöksystemet har tillräckliga skyddsåtgärder för att säkerställa att en begäran om information hänför sig till rätt paragraf om rätten till information eller till en tillräcklig tidsperiod.
Enligt paragrafens 2 mom. ska myndigheten då den gör en begäran om information ge uppgifter om den rättsliga grunden för förfrågan, användningsändamålet och numret för det fall som begäran om information gäller, det vill säga referensnumret, samt IBAN-numret eller något annat identifikationssignum för det bank- och betalkonto som förfrågan gäller. Med referensnummer avses till exempel förundersökningsmyndighetens r-nummer eller ämbetsverkets interna diarienummer, med vilket myndigheten gör en förfrågan till systemet för transaktions- och saldouppgifter. Begäran förmedlas inte från myndighetens system till Tullens sammanställningsprogram, om myndigheten inte uppfyllt alla nödvändiga punkter för att göra en begäran. Det är möjligt att göra en förfrågan om saldo- eller kontotransaktionsuppgifter först då myndigheten specificerat det bank- och betalkonto som är föremål för dess begäran om information och det enskilda behov av uppgifter som ligger till grund för förfrågan. Om en myndighet inte har IBAN-numret för det konto som är föremål för dess begäran och den har rätt enligt 3 a § att använda övervakningssystemet för bank- och betalkonton enligt den gällande lagen, ska den först göra en förfrågan om kontoägarinformationen till det automatiserade kontouppgiftssystemet i övervakningssystemet för bank- och betalkonton. Om en myndighet inte har rätt enligt 3 a § till uppgifter enligt 4 och 6 §, ska kontots IBAN-nummer eller något annat identifikationssignum utredas på annat sätt innan begäran om information framförs.
17 f §. Behandlingen av uppgifter om det centraliserade elektroniska systemet för transaktions- och saldouppgifter.
Enligt förslaget innehåller paragrafen bestämmelser om utlämnande och förmedling av uppgifter ur det centraliserade elektroniska systemet för transaktions- och saldouppgifter, det vill säga att paragrafen innehåller reglering kring behandling av information för såväl uppgiftslämnarna som Tullens sammanställningsprogram.
I paragrafens 1 mom. föreskrivs en skyldighet för alla aktörer enligt 1 a § i lagen om ett övervakningssystem för bank- och betalkonton att lämna ut de uppgifter som avses i 17 b och 17 d § till det centraliserade elektroniska systemet för transaktions- och saldouppgifter. Skyldigheten att lämna ut ovan nämnda uppgifter till myndigheterna föreligger redan utifrån den gällande rätten att få information för myndigheter enligt 17 a och 17 c §. Avsikten med den föreslagna bestämmelsen är att utfärda bestämmelser om praxis för utlämnade av uppgifter via ett tekniskt gränssnitt. Om en aktör enligt 1 a § administrerar ett datasöksystem för bank- och betalkonton, ska uppgifter enligt 17 b och 17 d § lämnas ut genom att utnyttja datasöksystemet. Till exempel kreditinstitut överlämnar kontotransaktions- och saldouppgifter i princip med datasöksystemet för bank- och betalkonton. Betalningsinstitut, institut för elektroniska pengar och leverantörer av kryptotillgångstjänster kan om de så önskar administrera ett datasöksystem för bank- och betalkonton (i stället för de uppgifter som de lämnar ut till kontoregistret). Om ovan nämnda aktör skapat ett datasöksystem för bank- och betalkonton, sker utlämnandet av kontotransaktions- och saldouppgifter från dessa aktörer även med det aktuella datasöksystemet. Det föreslås inte att kontotransaktioner fogas till registret över bank- och betalkonton enligt 5 § i den gällande lagen, varför finansaktörer som lämnar ut uppgifter till kontoregistret, det vill säga i praktiken andra aktörer enligt 1 a § vilka inte byggt upp ett datasöksystem, lämnar ut kontotransaktions- och saldouppgifter enligt de behandlingsregler som Tullen fastställt och via det system för utlämnande av uppgifter som Tullen byggt upp.
Paragrafens 1 mom. innehåller dessutom bestämmelser om tidsfristen för att lämna ut kontotransaktions- och saldouppgifter. Kontotransaktions- och saldouppgifter ska överlämnas utan dröjsmål, men senast på följande bankdag. Dessutom ska uppgifter överlämnas utan hinder av sekretessbestämmelserna. Behandling av uppgifter enligt 2 kap. i den föreslagna lagen är automatisk och ägaruppgifter om ett konto ska överlämnas omedelbart till myndigheten. I motsats till den automatiska och omedelbara informationsbehandling som föreskrivits i 2 kap. för att genomföra femte penningtvättsdirektivet är informationsbehandlingen enligt 3 kap. inte automatisk eller omedelbar. Eftersom kontotransaktionsuppgifter inte hör till uppgifterna enligt direktivet, utan regleringen baserar sig på nationella grunder, ska de konstitutionella förutsättningarna i anknytning till utlämnande av särskilda personuppgifter iakttas i regleringen. Behandlingen av kontotransaktionsuppgifter som eventuellt innehåller även känsliga personuppgifter är förknippad med risker, varför kontotransaktionsuppgifterna kräver ett annorlunda sätt att behandla information, bland annat på grund av de olika skyddsåtgärderna. I behandlingen av kontotransaktionsuppgifter ska följaktligen särskild aktsamhet iakttas. Detta innebär bland annat att det kredit- eller betalningsinstitut som lämnar ut uppgifter ska ha faktisk möjlighet att bedöma förutsättningarna för att lämna ut uppgifterna. Om det handlar endast om saldouppgifter, ska kredit- eller betalningsinstitutet sträva efter att lämna ut uppgiften omedelbart, men även då det handlar om mer omfattande kontotransaktionsuppgifter som eventuellt innehåller känsliga uppgifter, ska kredit- eller betalningsinstitutet ges den tid som behövs för att göra en eventuell bedömning och samla in uppgifter. Eftersom det dock handlar om information som myndigheten i allmänhet behöver i brådskande ordning, till exempel i en förundersökning, ska informationen lämnas ut till myndigheten senast på följande bankdag efter förfrågan senast vid tjänstetidens slut, det vill säga senast kl. 16.15. Om en förfrågan inte inkommer inom ramen för tjänstetiden, det vill säga kl. 8.00–16.15, börjar beräkningen av tidsfristen från följande bankdag. Om en myndighet med andra ord sänder en förfrågan fredag kl. 18.00, är tidsfristen för att sända svaret följande tisdag kl. 16.15. På tidsfristerna tillämpas den finländska tidszonen.
Tidsfristen för att överlämna uppgifter börjar alltid från tidpunkten för förfrågan. Eftersom tidsfristen för att överlämna ett svar som gäller kontotransaktions- och saldouppgifter via övervakningssystemet för bank- och betalkonton är följande bankdag, kommer Tullen att göra en teknisk definition som stänger meddelandet vid denna tidpunkt. Om en uppgiftslämnare begär ytterligare information i anknytning till en förfrågan, ska svaret kunna överlämnas inom ramen för tidsfristen för förfrågan eller så ska den behöriga myndigheten göra en ny förfrågan efter att tilläggsuppgifterna överlämnats. En begäran om tilläggsinformation av en uppgiftslämnare kan inte förmedlas med sammanställningsprogrammet, utan begäran och den anknutna korrespondensen ska göras utanför systemet, till exempel per e-post. För sådana fall förmedlas den frågande myndighetens närmare kontaktinformation med begäran om information. Ingen tidsfrist föreskrivs för utlämnande av i 17 d § 2 mom. avsedda uppgifter om värdepapper och som begärs via systemet för transaktions- och saldouppgifter, utan uppgifterna ska lämnas ut enligt föreskrifterna i regleringen kring rätten att få information för varje myndighet som begär uppgifter.
Det andra momentet innehåller bestämmelser om den tidsmässiga längden på de uppgifter som lämnas ut. De kontotransaktionsuppgifter som avses ovan i 17 d § 1 mom. ska på begäran lämnas ut för de föregående fem åren. Detta innebär inte att uppgifterna ska lämnas ut för ovan nämnda tidsperiod för varje begäran om information, utan för den tidsperiod för vilken den behöriga myndigheten, om den så begär, har rätt att få kontotransaktionsuppgifter. När en myndighet gör en begäran om information ska den dock alltid bedöma vad som för den enskilda behandlingen och begäran om information är den nödvändiga tidsperioden för uppgifterna och följaktligen i egenskap av en aktör som behandlar uppgiften säkerställa att principen om uppgiftsminimering iakttas. Vad gäller lagens ikraftträdande föreskrivs i fråga om utlämnade av kontotransaktions- och saldouppgifter en övergångstid på tre år, enligt vilken uppgifter på begäran ska lämnas ut för de två föregående åren då tillämpningen av bestämmelsen börjar, på begäran för de tre föregående åren under det följande året och på begäran för de fyra föregående åren under det därpå följande året, medan skyldigheten att lämna ut uppgifter gäller uppgifterna för de fem senaste åren tre år efter att tillämpningen av bestämmelsen börjat. En uppgiftslämnare har dock möjlighet att lämna ut kontotransaktions- och saldouppgifter direkt efter att lagen trätt i kraft även för en längre tid än för de två föregående åren, och bestämmelsen begränsar inte i någon utsträckning myndigheternas lagstadgade rätt att få information för uppgifter som är äldre än detta. För utlämnande av över fem år gamla uppgifter tillämpas dock inte tidsfristen enligt det föregående momentet, utan uppgifterna ska lämnas ut inom den tidsfrist som föreskrivits i regleringen kring rätten att få information för varje myndighet som begär uppgifter.
Även om den personuppgiftsansvarige, i detta fall den myndighet som gör en begäran om information, redan i princip ska iaktta skyldigheterna enligt artikel 5 i allmänna dataskyddsförordningen då den behandlar uppgifter, såsom principerna om uppgiftsminimering och lagringsminimering, och därmed reglering som överlappar allmänna dataskyddsförordningen följaktligen bör undvikas, anses det vara behövligt med preciserande reglering på grund av karaktären på de uppgifter som förmedlas. Kontotransaktionsuppgifter kan vara förknippade med särskilda kategorier av personuppgifter, känsliga uppgifter och andra uppgifter som innebär djupa inskränkningar på den registrerades integritet. I behandlingen av personuppgifter är det därtill möjligt att behandla även personuppgifter om personer som är utomstående i förhållande till begäran om information. För att bestämmelsen ska vara exakt och noggrant avgränsad och styra till förutsägbar tillämpning, innehåller 2 mom. i paragrafen bestämmelser om en fallspecifik bedömning av en begäran om information och den tidsmässiga avgränsningen. I samband med kontotransaktionsuppgifter utlämnas till myndigheterna även sådan information som inte har någon koppling till det ärende som ligger till grund för begäran om information. Även om det i 6 § 1 mom. i lagen om behandling av personuppgifter i brottmål och vid upprätthållandet av den nationella säkerheten (1054/2018) föreskrivits att fråga obehövliga personuppgifter ska raderas utan oskäligt dröjsmål, ska en myndighet även i fråga om behandling av personuppgifter enligt denna lag ha en skyldighet att analysera de kontotransaktionsuppgifter som lämnats ut och radera obehövliga uppgiften utan oskäligt dröjsmål. På så sätt stärks de registrerades personuppgifts- och integritetsskydd och principen om minimering av behandling av personuppgifter och nödvändigheten att behandla personuppgifter fullgörs på ett säkrare sätt.
I paragrafens 3 mom. finns det bestämmelser om möjligheten för aktörer enligt 1 a § att av grundad anledning lämna ut uppgifter som avses i 17 d § 2 mom. på något annat elektroniskt datasäkert sätt. Om uppgifter om värdepapper till exempel på grund av uppgiftsinnehållets karaktär inte kan överlämnas i ett format enligt meddelandestrukturen ISO20022, vilket är ett krav på behandling av uppgifter i systemet för transaktions- och saldouppgifter, kan den aktör som lämnar ut uppgifter lämna ut dessa uppgifter på ett annat datasäkert sätt, till exempel med en skyddad e-postförbindelse. Den föreslagna bestämmelsen har inte någon konsekvens för den gällande rätten till information, utan avsikten är att den förtydligar skyldigheterna i anknytning till användningen av det centraliserade systemet för uppgiftslämnarna. Målet med lagen är att såväl förfrågningar av myndigheterna som svar som fåtts på dessa omfattas av ett datasäkert system, men beroende på uppgiftslämnarnas tekniska system och de interna sätten att behandla uppgifter i dessa föreslås det att det är möjligt att sända svar även utanför övervakningssystemet för bank- och betalkonton. Utlämnandet av uppgifter ska dock genomföras på ett datasäkert sätt. Den föreslagna regleringen förbättrar följaktligen datasäkerheten för lämnandet av uppgifterna i fråga jämfört med nuläget.
Det föreslås att paragrafens 4 mom. innehåller bestämmelser om Tullens skyldighet att radera uppgifter från sammanställningsprogrammet omedelbart efter att uppgifterna lämnats ut till den myndighet som gjort begäran. Uppgifterna lagras i sammanställningsprogrammet endast fram till dess att myndigheten hämtat uppgifterna från programmet. Enligt förslaget förmedlar Tullen inte uppgifter som den fått från kreditinstitut eller en annan uppgiftslämnare automatiskt till myndighetens system, utan myndigheten hämtar uppgifterna själv till sitt eget datasöksystem. Om myndigheten inte hämtar uppgifter som lagras temporärt i Tullens sammanställningsprogram inom den tid som Tullen förordnat, raderas uppgifterna automatiskt från sammanställningsprogrammet. När Tullen fastställer tidsfristen för att radera uppgifter beaktar Tullen den tidpunkt då svaret inkommit, så att myndigheten har möjlighet att hämta informationen inom en tillräcklig tid under tjänstetid.
17 g §.Personuppgiftsansvarig och ansvar i anslutning till det centraliserade elektroniska systemet för transaktions- och saldouppgifter.
Enligt förslaget innehåller paragrafen bestämmelser om aktörsspecifika ansvar för registeradministreringen och informationsbehandlingen i fråga om systemet för transaktions- och saldouppgifter.
Övervakningssystemet för bank- och betalkonton bildar en registerhelhet. I enlighet med paragrafens 1 mom. ansvarar varje behandlare av uppgifter i registerhelheten var och en för sig och självständigt för att behandlingen av de personuppgifter som hör till det centraliserade elektroniska systemet för transaktions- och saldouppgifter är lagenlig i enlighet med allmänna dataskyddsförordningen. I fråga om de uppgifter som behandlas i systemen utgörs de personuppgiftsansvariga följaktligen av de behöriga myndigheter som gör begäranden om information, Tullen i egenskap av administratör av sammanställningsprogrammet, de kredit- och betalningsinstitut som lämnar ut uppgifter, instituten för elektroniska pengar samt leverantörerna av kryptotillgångstjänster. Det föreslagna systemet för transaktions- och saldouppgifter är ett centraliserat system, där en behörig myndighet har ett gränssnitt som baserar sig på en förfrågan, det vill säga ett datasöksystem, med vilket den har möjlighet att få uppgifter från uppgiftslämnarna. En behörig myndighet är berättigad att göra en riktad förfrågan om kontotransaktions- och saldouppgifter till det centraliserade elektroniska systemet för transaktions- och saldouppgifter för ett enskilt ärende som är under behandling, undersökning eller utredning och endast till det kreditinstitut eller en annan aktör enligt 1 a § av vilken den behöver information. Myndigheten gör förfrågan via det egna datasöksystemet till Tullens sammanställningsprogram, som förmedlar förfrågan vidare till uppgiftslämnaren. Med andra ord har myndigheten inte direkt tillgång till exempel till kredit- och betalningsinstitutens datasöksystem och uppgiftslämnarna lämnar inte heller ut kontotransaktions- och saldouppgifter färdigt till något nytt register. Med andra ord bildas inte något nytt personregister med den föreslagna regleringen. Det centraliserade elektroniska systemet för transaktions- och saldouppgifter möjliggör endast att uppgiftslämnarna lämnar ut kontotransaktions- och saldouppgifter som de sammanställt för en enskild förfrågan till Tullens tillämpningsprogram, varifrån Tullen förmedlar begäran till den myndighet som framfört begäran. I helheten av behandlingen av personuppgifter byts personuppgiftsansvaret sömlöst vid övergången från gränssnittet i myndighetens datasöksystem till sammanställningsprogrammet. Personuppgiftsansvaret byts å ena sidan då Tullen förmedlar en begäran om information från sammanställningsprogrammet till uppgiftslämnarens system och vidare då svaret överförs från uppgiftslämnaren tillbaka till sammanställningsprogrammet. Personuppgiftsansvaret för sammanställningsprogrammet överförs å sin sida till myndigheten, då myndigheten hämtar uppgiften från sammanställningsprogrammet med sitt eget datasöksystem.
I artikel 4 i allmänna dataskyddsförordningen definieras vad som i förordningen avses med behandling av personuppgifter. Enligt definitionen avses med behandling en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring. Enligt förordningen avses med personuppgiftsansvarig en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter; om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt.
I det centraliserade elektroniska systemet för transaktions- och saldouppgifter tillämpas ett behandlingsorienterat tänkande i förhållande till ansvaren för informationsbehandlingen. I enlighet med allmänna dataskyddsförordningen avses med register varje strukturerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier, oavsett om samlingen är centraliserad, decentraliserad eller spridd på grundval av funktionella eller geografiska förhållanden. Eftersom övervakningssystemet för bank- och betalkonton bildar en registerhelhet, ansvarar varje behandlare av uppgifter i registerhelheten var och en för sig och självständigt för att behandlingen av de personuppgifter som hör till det centraliserade elektroniska systemet för transaktions- och saldouppgifter är lagenlig. Aktörerna har dock inte något gemensamt personuppgiftsansvar, eftersom de behandlar personuppgifter för olika ändamål, och de fastställer inte användningsändamålen för personuppgifter tillsammans. Med den föreslagna bestämmelsen om flera separata personuppgiftsansvariga kompletteras regleringen kring personuppgiftsansvariga i enlighet med artikel 4.7 i allmänna dataskyddsförordningen. Förslaget motsvarar det rådande läget, men i och med införandet av det nya centraliserade elektroniska systemet för transaktions- och saldouppgifter preciserar den föreslagna regleringen ansvaren för varje uppgiftsbehandlare, vilka i den gällande lagen har ansetts varit förknippade med otydlighet.
Enligt paragrafens 2 mom. ansvarar den behöriga myndigheten för att begäran om transaktions- och saldouppgifter är nödvändig och proportionell. Myndigheten ska innan en förfrågan görs på det sätt som förutsätts i motiveringarna till 17 b och 16 d § bedöma vilka uppgifter och för vilken tid det är nödvändigt att få uppgifter för att sköta sin aktuella uppgift. En myndighet ska då den gör en begäran om information ge information bland annat om den rättsliga grunden för begäran om information och dess användningsändamål samt om numret på det fall som begäran om information gäller, det vill säga referensnumret. De behöriga myndigheterna fungerar som personuppgiftsansvariga i fråga om begäranden om information som de gör via sammanställningsprogrammet och de personuppgifter som de tar emot utifrån dessa och de omfattas på lika sätt av skyldigheterna för personuppgiftsansvariga och behandling av personuppgifter enligt allmänna dataskyddsförordningen och speciallagarna för myndigheterna. Ingen förfrågan om kontotransaktions- och saldouppgifter eller behandling av information överhuvudtaget bildas utan en förfrågan av en myndighet, varför myndighetens ansvar och roll som en del av systemet är central. Övriga uppgiftsbehandlare i systemet, Tullens sammanställningsprogram, kreditinstitut som administrerar ett datasöksystem för bank- och betalkonton eller en annan uppgiftslämnare enligt 1 a § har inte likadana möjligheter att fullt ut uppfylla alla skyldigheter enligt artikel 5 i allmänna dataskyddsförordningen som en myndighet. På grund av detta kan myndighetens ansvar för att en begäran om information är proportionerlig anses vara betonad, även om inte någon uppgiftsbehandlares ansvar enligt allmänna dataskyddsförordningen kan avlägsnas med den föreslagna regleringen. Myndigheterna förfar under tjänsteansvar och som en följd av att datasökningen av kontotransaktions- och saldouppgifter digitaliseras, förbättras laglighetsövervakningen ytterligare vid den behöriga myndigheten i fråga om detta.
Enligt paragrafens 3 mom. ansvarar Tullen för att förmedla sådana i 17 b och 17 d § avsedda begäranden om information från myndigheter till uppgiftslämnare enligt 1 a §, samt för att överföra de uppgifter som erhållits av dem som sådana till behörig myndighet via det sammanställande programmet Tullen har inte rätt till den begärda informationen och inte heller möjlighet att bedöma proportionaliteten i en myndighets begäran till exempel i förhållande till den begärda tidsperioden. Automationen i sammanställningsprogrammet granskar endast att den behöriga myndigheten i samband med begäran om information gett alla uppgifter som behövs för att förmedla förfrågan. Tullen förmedlar tillsammans med förfrågan uppgifterna om förfrågans rättsliga grund och användningsändamål och uppgiften om det fall som begäran om information gäller, det vill säga referensnumret. Med referensuppgift avses till exempel förundersökningsmyndighetens r-nummer eller ämbetsverkets interna diarienummer, med vilket myndigheten gjort en förfrågan till systemet för transaktions- och saldouppgifter. Det handlar med andra ord inte om ett referensnummer som övervakningssystemet för bank- och betalkonton själv skapat. Dessutom förmedlar Tullen kontaktinformation om den myndighet som gjort förfrågan, det vill säga till exempel e-postadress och telefonnummer.
Tullens uppgifter som personuppgiftsansvarig gäller att sörja för dataskyddet och datasäkerheten, ge information om de registrerades rättigheter och övriga motsvarande uppgifter för en personuppgiftsansvarig. Tullen har dessutom en roll som personuppgiftsansvarig i fråga om de logguppgifter som lagras i programmet. Vid behov förmedlar Tullen logguppgifter till de behöriga myndigheterna för deras egen laglighetsövervakning.
Enligt paragrafens 4 mom. ansvarar uppgiftslämnare enligt 1 a § för att de uppgifter som lämnas ut är korrekta. Kreditinstituten förfar var och en som personuppgiftsansvarig för det egna datasöksystemet för bank- och betalkonton och de har en skyldighet att fullgöra den ansvarsskyldighet som förutsätts i artikel 5.2 i allmänna dataskyddsförordningen i fråga om lagenligheten i behandlingen av personuppgifter. Samma krav gäller även för andra uppgiftslämnare enligt 1 a §, oberoende av varje informationstekniska system. En av de viktigaste principerna är principen om korrekthet i punkt 1 d i artikel: personuppgifter ska vara korrekta och om nödvändigt uppdaterade; alla rimliga åtgärder måste vidtas för att säkerställa att personuppgifter som är felaktiga i förhållande till de ändamål för vilka de behandlas raderas eller rättas utan dröjsmål. Detta innebär att uppgiftslämnarna ska förvissa sig om att de lämnar ut alla uppgifter som myndigheten begärt, det vill säga uppgiftsinnehållets integritet. I enlighet med principen ska myndigheten kunna lita på att de uppgifter som den får är exakta och uppdaterade och täcker alla uppgifter som den begärt.
Eftersom korrekthet och integritet är viktigt för systemets pålitlighet och bristfälliga uppgifter kan orsaka en avsevärd olägenhet för den registrerades rättigheter och friheter, används handlingsutrymmet enligt artikel 6.3 i allmänna dataskyddsförordningen i förslaget och i 5 mom. föreslås det att myndigheten ska underrätta Tullen om bristfälligheter eller eventuella felaktigheter i uppgifterna vilka den observerat. Tullen har följaktligen möjlighet att utreda om det handlar om ett systemfel. Detta förfarande är en skyddsåtgärd som tillämpas för att säkerställa felfrihet. I princip har den myndighetspersonal som behandlar personuppgifter som fåtts ur systemet en skyldighet att anmäla misstankar om bristfälligheter i informationen vilka de observerat eller eventuella avvikelser från dataskyddet enligt den egna organisationens anvisningar. Om det inte handlar om ett tekniskt systemfel i övervakningssystemet för bank- och betalkonton, ska myndigheten vara i direkt kontakt med uppgiftslämnaren, som enligt föreslagna 17 g 3 mom. ansvarar för att de kontotransaktions- och saldouppgifter som den lämnat ut är korrekta och för korrigering av uppgifterna utan oskäligt dröjsmål. Om en störningssituation utifrån en intern utvärdering av organisationen uppfyller definitionen av en dataskyddsincident, ska den anmälas till tillsynsmyndigheten i enlighet med dataskyddsregleringen. Dataombudsmannen fungerar enligt 8 § i dataskyddslagen som nationell tillsynsmyndighet enligt allmänna dataskyddsförordningen. Dataombudsmannen övervakar följaktligen efterlevnaden av skyldigheterna i anknytning till behandling av personuppgifter i systemet för transaktions- och saldouppgifter.
17 h §. Logguppgifter för det centraliserade elektroniska systemet för transaktions- och saldouppgifter.
Den gällande lagen om ett övervakningssystem för bank- och betalkonton innehåller bestämmelser om skyldigheterna i anknytning till logguppgifter för Tullen, som administrerar kontoregistret och sammanställningsprogrammet och för behöriga myndigheter enligt 3 § i lagen, vilka får uppgifter ur ett datasöksystem. Bestämmelser ska stiftas om skyldigheten att samla in logguppgifter även för användningen av det centraliserade elektroniska saldo- och transaktionssystemet för samma aktörer. Dessutom föreskrivs det även att de som lämnar ut uppgifter ska föra ett loggregister om begäranden om information som gjorts via det centraliserade elektroniska saldo- och transaktionssystemet.
I paragrafens första moment föreskrivs att Tullen har en skyldighet att föra ett loggregister över förfrågningar som görs via sammanställningsprogrammet i det centraliserade elektroniska saldo- och transaktionssystemet. Tullen administrerar sammanställningsprogrammet och genom att behandla logguppgifter kan en personuppgiftsansvarig visa att den fullgör sin ansvarsskyldighet enligt artikel 5.2 i allmänna dataskyddsförordningen. Följaktligen är skyldigheten att föra ett loggregister en skyddsåtgärd enligt allmänna dataskyddsförordningen, som den personuppgiftsansvarige ansvarar för.
Dessutom föreskrivs en skyldighet för Tullen att lämna ut logguppgifter om sökningar i det centraliserade elektroniska systemet för transaktions- och saldouppgifter till myndigheterna enligt 17 a och 17 c § på begäran av dem. Med stöd av logguppgifterna kan de behöriga myndigheterna komplettera sin egen laglighetsövervakning. Enligt förslaget omfattar logguppgifter referensuppgifter om ärendet, det vill säga behandlingsnumret eller en annan identifieringsuppgift för ärendet, datum och klockslag för förfrågan eller hämtningen, typen av uppgifter som använts i förfrågan, identifieringsuppgifter för resultaten av förfrågan och namnet på den behöriga myndighet som använt systemet.
I paragrafens 2 mom. föreskrivs en skyldighet att föra ett loggregister för de behöriga myndigheterna och aktörer enligt 1 a § vilka lämnar ut uppgifter. Genom att föra ett register kan uppgiftslämnaren visa att den genomfört principerna enligt allmänna dataskyddsförordningen, det vill säga att kravet främjar dess ansvarsskyldighet.
Det föreslås att paragrafens 3 mom. innehåller en bestämmelse om att de behöriga myndigheternas loggregister ska redogöra för identifieringsuppgifterna om en person som gör en förfrågan till eller en sökning i det centraliserade elektroniska systemet för transaktions- och saldouppgifter och om en person som gett en order om detta samt om identifieringsuppgifterna om mottagaren av resultaten av förfrågan eller sökningen, om det är möjligt att få dessa. Enligt bestämmelsen ska den behöriga myndigheten utse en person som ska övervaka användningen av det centraliserade elektroniska systemet för transaktions- och saldouppgifter. Övervakningen omfattar regelbunden genomgång av uppgifterna i loggregistret för att upptäcka avvikelser. Granskningen av loggregistret ska vara aktiv, så att eventuella missbruk upptäcks snabbt.
Enligt paragrafens 4 mom. ska logguppgifterna bevaras i fem år, om uppgifterna inte behövs i ett tillsynsärende som är under beredning. Den föreskrivna tidsfristen motsvarar formuleringen om Tullens loggregister i den gällande lagen, varför det kan anses vara ändamålsenligt att förvaringstiden är enhetlig i fråga om det centraliserade automatiserade kontouppgiftssystemet och det centraliserade elektroniska systemet för transaktions- och saldouppgifter. Om någon myndighet har ett behov av att förvara logguppgifter i över fem år, ska den meddela detta till Tullen, så att förvaringstiden för logguppgifter i sammanställningsprogrammet kan förlängas även i fråga om dessa uppgifter.