EtikU 11 Medlemmarnas tillämpning av lagen om åtgärder mot penningtvätt och finansiering av terrorism

5.13En verksamhetsutövare ska som kundkännedomsåtgärd identifiera kunden och kontrollera kundens identitet. Detta gäller för såväl juridiska som fysiska kunder. Även kundens företrädare ska kontrolleras. På vilket sätt detta ska ske beskrivs samt illustreras även i tabellform i 7 § Revisorsinspektionens föreskrifter och i 3 kap. 3–4 §§ i länsstyrelsernas förskrifter, se relevant tillsynsmyndighets föreskrift

5.14Kontroll av kundens identitet kan, utöver genom kopior av godkända identitetshandlingar, se nedan punkt 5.18 och punkt 5.25, även ske genom elektronisk identifiering. Dessa två metoder för kontroll är likställda och innebär således att verksamhetsutövaren kan välja en av dessa metoder för identitetskontrollen av kunden.

5.15Som elektronisk identifiering gäller att verksamhetsutövaren får använda medel för elektronisk identifiering och betrodda tjänster enligt Europaparlamentets och rådets förordning (EU) nr 910/2014 av den 23 juli 2014 om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden och om upphävande av direktiv 1999/93/EG. Andra säkra identifieringsprocesser på distans eller på elektronisk väg som är reglerade, erkända, godkända eller accepterade av relevanta myndigheter får också användas.9

5.16Lagens krav att kontroll av kundens och den verkliga huvudmannens identitet ska slutföras innan en affärsförbindelse etableras innebär att dessa kontroller ska ha skett innan uppdragsavtalet undertecknas. Om kontrollen sker via elektronisk legitimation (t.ex. Bank-ID) ska detta således ske innan uppdragsavtalet undertecknas.

5.17I penningtvättslagen ges dock utrymme för att i vissa fall – om det är nödvändigt för att inte avbryta verksamhetens normala gång – utföra ID-kontrollen senast när affärsförbindelsen etableras. Undantaget gäller endast lågriskkunder. Om elektronisk legitimation används för att underteckna uppdragsavtal kan kontrollen, under förutsättning att det rör sig om en lågriskkund, utföras i samband med att avtalet undertecknas.

5.18I 3 kap. 3 och 4 §§ länsstyrelsernas föreskrifter anges att verksamhetsutövaren först ska identifiera en fysisk person genom att begära uppgifter om personens namn, person-, samordnings- eller motsvarande nummer samt adress. Sedan ska kundens identitet kontrolleras. I både 3 kap. 4 § länsstyrelsernas och 7 § Revisorsinspektionens föreskrifter anges att identitetskontrollen ska göras genom inhämtande av

• tillförlitlig elektronisk legitimation, eller

• kopia av giltigt pass eller annan giltig identitetshandling som utvisar ett fotografi av den fysiska personen och är utfärdad av myndighet eller annan behörig och tillförlitlig utfärdare.

5.19Enligt länsstyrelsernas föreskrifter kan dock identiteten även kontrolleras genom andra dokument och uppgifter från oberoende och tillförlitliga källor. Om det uppstår svårigheter att bedöma om en källa är tillförlitlig och oberoende ska flera källor användas. Exempel på andra dokument är intyg eller andra referenser. Vidtagna kontrollåtgärder ska dokumenteras genom bevarande av kopia. Av dokumentationen ska framgå när kontrollen utfördes.

5.20Av tillsynsmyndigheternas föreskrifter ovan följer att identiteten alltid ska kontrolleras på det sätt som anges i punkterna 5.18–5.19 ovan. Detta gäller även när kunden är känd sedan tidigare, en offentlig person eller när risken av andra skäl bedöms som låg. Att kunden är känd hos verksamhetsutövaren sedan tidigare är något som kan beaktas inom ramen för riskbedömningen.

5.21Att en affärsrelation sker på distans, utan användning av metoder som på ett tillförlitligt sätt kan säkerställa kundens identitet, är en av de omständigheter som kan tyda på att risken för penningtvätt eller finansiering av terrorism är hög (2 kap. 5 § p. 9 penningtvättslagen). Länsstyrelserna anger i 3 kap. 4 § länsstyrelsernas föreskrifter att vissa åtgärder ska vidtas för att säkerställa identiteten av kunder på distans.

5.22En medlem ska i sådana fall inhämta uppgifter om kundens identitet samt kontrollera uppgifterna genom

• tillförlitlig elektronisk legitimation, eller

• avstämning mot externa register, intyg eller andra oberoende och tillförlitliga källor samt därefter antingen

  • skicka en bekräftelse till kundens folkbokföringsadress (eller annan tillförlitlig adress), eller

  • inhämta en vidimerad kopia på en identitetshandling från kunden.

5.23Externa register kan vara kreditupplysningsregister, register tillgängliga hos kortutfärdare/korttillverkare och register hos myndigheter, såsom folkbokföringsregister och näringslivsregister. Exempel på intyg eller andra oberoende och tillförlitliga källor kan vara bankintyg och intyg från notarius publicus (eller dess motsvarighet i utlandet), ambassader, konsulat och affärspartner utomlands.

5.24När en kopia vidimeras ska det framgå att en annan person, med sin namnteckning, ett namnförtydligande och kontaktuppgifter, intygar att kopian överensstämmer med originalet.

5.25Identitetskontroll av en svensk juridisk person och uppgift om dess företrädare utförs enligt 3 kap. 4 § länsstyrelsernas föreskrifter och 7 § Revisorsinspektionens föreskrifter med ledning av registreringsbevis, registerutdrag eller uppgifter från andra tillförlitliga och oberoende källor. Motsvarande bör i tillämpliga delar gälla för en utländsk juridisk person.10 Registreringsbevis eller motsvarande registerutdrag bör som regel inte vara äldre än en vecka när kontrollen utförs mot registerutdrag som kan uthämtas från Bolagsverket eller liknande databaser.11 Om utdrag hämtas från en webbplats som tillhandahåller information om juridiska personer, bör det framgå vilken myndighet som uppgifterna härstammar från. När identitetskontrollen sker med ledning av ett registreringsbevis eller andra behörighetshandlingar som inte är lätt tillgängliga i en databas, bör sådana handlingar enligt FAR:s mening inte vara äldre än tre månader. Medlemmen ska bevara en kopia av de kontrollerade handlingarna. Av dokumentationen ska framgå när kontrollen har utförts.

5.26Fysiska personer som företräder en juridisk person gentemot verksamhetsutövaren ska identifieras på samma sätt som anges ovan i fråga om fysiska personer. Sådan identitetskontroll ska även utföras vid förändringar av kundens företrädare eller ombud. En företrädare eller ombud kan representera en juridisk person t.ex. genom fullmakt, förordnande, firmateckningsrätt eller motsvarande behörighetshandling. Utöver identitetskontroll såsom för fysisk person ska även fullmakt, förordnande eller motsvarande behörighetshandling som åberopas kontrolleras. Kopia av den kontrollerade handlingen ska bevaras.

5.27När ett uppdrag antas för en koncern och uppdraget omfattar både moderbolag och dotterbolag, ska moderbolaget kontrolleras enligt punkterna 5.25 och 5.26. För dotterbolagen krävs att det säkerställs att dessa existerar samt att de i sin helhet ägs direkt eller indirekt av moderbolaget.

5.28En verksamhetsutövare ska utreda om kunden har en verklig huvudman. En sådan utredning ska åtminstone avse sökning i registret över verkliga huvudmän enligt lagen (2017:631) om registrering av verkliga huvudmän. Om kunden är en juridisk person, en trust eller en liknande juridisk konstruktion, ska utredningen omfatta åtgärder för att förstå kundens ägarförhållanden och kontrollstruktur. Om kunden har en verklig huvudman, ska verksamhetsutövaren vidta åtgärder för att kontrollera den verkliga huvudmannens identitet. Enligt 3 kap. 4 § i länsstyrelsernas föreskrifter ska ID-kontroll av verklig huvudman alltid utföras och detta ska ske på samma sätt såsom ID-kontroll för en fysisk person.

5.29Registret över verkliga huvudmän förs av Bolagsverket och omfattar som huvudregel alla svenska juridiska samt utländska juridiska personer som driver verksamhet i Sverige. Undantagna från registreringsplikten är dock staten, regioner och kommuner, kommunalförbund och samverkansorgan, samt juridiska personer över vilka nyssnämnda institutioner har ett bestämmande inflytande, aktiebolag vars aktier är upptagna till handel på en reglerad marknad (börsbolag), dödsbon och konkursbon, enkla bolag, enskilda näringsidkare samt ideella föreningar som inte har någon verklig huvudman. På Bolagsverkets webbplats finns omfattande information om registret och om anmälan av verklig huvudman.

Om kunden är en svensk juridisk person eller en utländsk juridisk person med verksamhet i Sverige är kunden i regel skyldig att registrera verklig huvudman i Bolagsverkets register över verkliga huvudmän enligt lagen om registrering av verkliga huvudmän.

5.30En verklig huvudman är den eller de personer som ytterst äger eller kontrollerar en juridisk person. En person kan kontrollera en juridisk person genom att inneha mer än 25 % av rösterna genom t.ex. aktier eller ha rätt att utse eller avsätta mer än hälften av ledamöterna. Det kan även finnas avtal eller bestämmelser i t.ex. bolagsordningen som gör att en person är verklig huvudman. Om en person äger eller kontrollerar en juridisk person tillsammans med närstående ska deras kontroll räknas samman. Som närstående räknas maka, make, sambo, registrerad partner, föräldrar, barn, barns makar, sambor och registrerade partner. Huruvida det finns en eller flera verkliga huvudmän avgörs utifrån förhållandena i det enskilda fallet.

5.31För att utreda den verkliga huvudmannens identitet har verksamhetsutövaren en skyldighet att göra en sökning i registret vad avser sådana juridiska personer. När det gäller utländsk juridisk person som inte bedriver verksamhet i Sverige, så kan verksamhetsutövaren behöva inhämta uppgifterna på annat sätt t.ex. utdrag från ett motsvarande register i det andra landet. Beroende på riskbedömningen i det enskilda fallet och under förutsättning att det finns erforderliga uppgifter i registret, kan det vara tillräckligt att förlita sig på uppgifterna i registret. Verksamhetsutövaren bör dock även försäkra sig om att uppgifterna i registret är uppdaterade. Om en verksamhetsutövare misstänker att de uppgifter som anmälts till registret är felaktiga eller om uppgifter saknas ska verksamhetsutövaren anmäla detta till Bolagsverket.

5.32Om det finns oklarheter kring den verkliga huvudmannens identitet bör verksamhetsutövaren vidta ytterligare åtgärder för att fastställa identiteten genom att använda andra offentliga register, be kunden om relevanta uppgifter eller få fram uppgifter på annat sätt. Finns det offentliga uppgifter att tillgå bör dock sådana normalt användas i första hand. Kraven på utökad kontroll är normalt inte lika långtgående som skyldigheten att kontrollera en kunds identitet. En omständighet som motiverar en utökad kontroll är om en kund varken kan eller vill redogöra för sina ägarförhållanden eller kontrollstruktur.

5.33Om det står klart att den juridiska personen inte har någon verklig huvudman eller om verksamhetsutövaren har anledning att anta att den person som identifierats som verklig huvudman inte är det, ska kundens styrelseordförande, verkställande direktör eller motsvarande befattningshavare anses vara ”alternativ verklig huvudman”. Vem som ska anses vara alternativ huvudman får grundas på en bedömning av vem som kan anses utöva mest kontroll över den juridiska personen. Om kunden är en stat, en region, en kommun eller motsvarande och riskprofilen bedöms som låg finns ingen skyldighet att ange någon som alternativ verklig huvudman (jfr. 3 kap. 8 a § penningtvättslagen).

5.34En verksamhetsutövare ska bedöma om kunden eller kundens verkliga huvudman är en person i politiskt utsatt ställning (PEP) eller en familjemedlem eller känd medarbetare till en sådan. Utifrån sin ställning eller tidigare ställning anses en PEP vara en särskilt riskfylld person utifrån ett korruptionsperspektiv.

5.35En person i politiskt utsatt ställning definieras i 1 kap. 9 § penningtvättslagen som en person som innehar en offentlig funktion. De offentliga funktioner som anges är följande:

1. stats- eller regeringschefer, ministrar samt vice och biträdande ministrar,

2. parlamentsledamöter och ledamöter av liknande lagstiftande organ,

3. ledamöter i styrelsen för politiska partier,12

4. domare i högsta domstol, konstitutionell domstol eller andra rättsliga organ på hög nivå vilkas beslut endast undantagsvis kan överklagas,

5. högre tjänstemän vid revisionsmyndigheter och ledamöter i centralbankers styrande organ,

6. ambassadörer, beskickningschefer samt höga officerare i Försvarsmakten, och

7. personer som ingår i statsägda företags förvaltnings-, lednings- eller kontrollorgan.

5.36Med familjemedlem till en person i politiskt utsatt ställning avses enligt 1 kap. 10 § penningtvättslagen make, registrerad partner, sambo, barn och deras makar, registrerade partner eller sambor samt föräldrar. Med känd medarbetare till en person i politiskt utsatt ställning avses en fysisk person som har eller har haft nära förbindelser med en person i politiskt utsatt ställning (se närmare 1 kap. 10 § penningtvättslagen samt definitioner i avsnitt 9).

5.37Åtgärder för att kontrollera om kunden eller kundens verkliga huvudman är en person i politiskt utsatt ställning ska bestämmas av den risk som kan förknippas med kundrelationen. Den åtgärd som ligger närmast till hands för att bedöma om kunden eller kundens verkliga huvudman är en person i politiskt utsatt ställning är att ställa frågor om kundens eller den verkliga huvudmannens yrke och huruvida han eller hon är en person i politiskt utsatt ställning eller familjemedlem eller känd medarbetare till en sådan person. Även externa källor kan ge användbar information, inte minst för att verifiera eller komplettera från kunden erhållen information. Det kan handla om information som är tillgänglig på internet eller listor som tillhandahålles via olika databaser. Underlag för att bedöma om en kund tillhör denna kategori kan normalt erhållas genom den information som kunden själv lämnar. Uppgifterna kan dock behöva kontrolleras mot andra informationskällor. Om det är fråga om en lågriskkund kan det räcka med kontroll mot sådana listor. Medarbetare till en sådan person behöver inte särskilt efterforskas, utan i den delen gäller kravet enbart om förbindelsen är känd eller det finns anledning att anta att en sådan förbindelse finns. I sådana fall bör sökningar på internet kunna ge viktig information.

5.38Om kunden eller kundens verkliga huvudman är en person i politiskt utsatt ställning, en familjemedlem eller en känd medarbetare till en sådan person ska en verksamhetsutövare (enligt 3 kap. 19 § penningtvättslagen) utöver övriga föreskrivna åtgärder för att uppnå kundkännedom även

1. vidta lämpliga åtgärder för att ta reda på varifrån de tillgångar som hanteras inom ramen för affärsförbindelsen eller den enstaka transaktionen kommer,

2. tillämpa skärpt fortlöpande uppföljning av affärsförbindelsen och övervaka aktiviteter och transaktioner i förhöjd omfattning, och

3. inhämta godkännande från behörig beslutsfattare inför beslut om att ingå eller avbryta en affärsförbindelse.

5.39Med behörig beslutsfattare avses som regel en överordnad person, om en sådan finns, eller någon annan sådan person som enligt verksamhetsutövarens system för antagande av kunder ska godkänna högriskkunder. I en mindre verksamhet torde detta vara den som utsetts till funktionsansvarig (se avsnitt 7 om intern kontroll och funktionsansvar).

5.40När en person i politiskt utsatt ställning upphör att utöva den offentliga funktionen ska ovannämnda åtgärder (enligt 3 kap. 20 § penningtvättslagen) fortsatt vidtas i 18 månader. Därefter ska åtgärderna vidtas om risken för penningtvätt eller finansiering av terrorism som kan förknippas med kundrelationen fortfarande bedöms som hög. Bedömningen av om en person ska anses medföra en fortsatt risk för penningtvätt eller finansiering av terrorism ska göras på lämpligt sätt med beaktande av relevanta faktorer, exempelvis om personen fortsätter att utöva något formellt eller informellt inflytande, eller om personen i sin nya befattning har kopplingar till sin tidigare funktion och i så fall nivån på den tidigare funktionen. En högre nivå innebär generellt sett en högre risk.

5.41De länder som anses utgöra högrisktredjeländer innebär som huvudregel ett krav för verksamhetsutövaren att vidta skärpta kundkännedomsåtgärder då risken för penningtvätt kan vara högre. Det kan röra sig om att kunden är etablerad i ett högrisktredjeland, att kunden har hela eller delar av sin produktion i ett sådant land eller att kunden gör affärer med ett högrisktredjeland. Europeiska kommissionen har identifierat ett antal länder utanför EES med strategiska brister i sin bekämpning av penningtvätt och terrorfinansiering, som utgör ett betydande hot mot unionens finansiella system. Vilka länder som avses framgår av kommissionens lista med högrisktredjeländer.13

5.42Omfattningen av kontrollåtgärder ska bestämmas av den risk som kan förknippas med kunden. Om kunden är etablerad i ett land utanför EES som har identifierats som ett högrisktredjeland av Europeiska kommissionen ska skärpta åtgärder för att uppnå kundkännedom normalt vidtas (se avsnitt 4). Sådana åtgärder ska enligt 3 kap. 17 § penningtvättslagen åtminstone avse skärpning av övervakningen av pågående affärsförbindelser och bedömningen av enstaka transaktioner och även omfatta inhämtande av

• ytterligare information om kunden och den verkliga huvudmannen,

• ytterligare information om affärsförbindelsens eller den enstaka transaktionens syfte och art,

• information om kundens och den verkliga huvudmannens ekonomiska situation och varifrån kundens och den verkliga huvudmannens ekonomiska medel kommer, och

• godkännande från en behörig beslutsfattare att etablera eller upprätthålla en affärsförbindelse.

Det finns ett undantag från kravet att vidta skärpta åtgärder om kunden är filial eller dotterföretag till en juridisk person som är verksamhetsutövare enligt penningtvättslagen eller motsvarande och etablerad inom EES samt tillämpar rutiner och riktlinjer avseende åtgärder för kundkännedom, övervakning och rapportering samt för behandling av personuppgifter eller rutiner och riktlinjer för koncerner enligt 2 kap. 9 § PTL eller motsvarande nationella krav. Undantaget gäller bara om inte kundens riskprofil bedöms som hög.

5.43Verksamhetsutövaren ska inhämta tillräckligt med information för att kunna bedöma hur den egna byråns tjänster ska användas av kunden och vad motpartens affärsverksamhet går ut på samt hur den bedrivs och vilken omfattning den har. I vissa fall framgår detta redan vid de inledande kontakterna med kunden, medan det i andra fall krävs mer ingående efterforskningar. Som regel ingår detta som en naturlig del av de åtgärder som vidtas inför upprättandet av uppdragsbrevet för kunden.

5.44Vilken information som behöver inhämtas och omfattningen av de bedömningar som ska göras beror till stor del på vilken tjänst som ska tillhandahållas. Den inledande bedömningen kan i många fall baseras på antaganden om hur kunder normalt sett använder tjänsten ifråga.

5.45Det är tillåtet att, på eget ansvar, förlita sig på åtgärder för kundkännedom som har utförts av vissa kategorier av utomstående, under förutsättning att verksamhetsutövaren utan dröjsmål får del av de uppgifter om kunden som den utomstående inhämtat och utan dröjsmål, på begäran, kan få del av den dokumentation som ligger till grund för uppgifterna. Godkända eller auktoriserade revisorer samt advokater inom EES eller från länder som tillämpar motsvarande regler som finns i penningtvättslagen och där tillsyn finns utgör sådana utomstående vars kundkännedomsåtgärder en verksamhetsutövare får förlita sig på. Den omständigheten att den utomstående har använt sig av andra handlingar och uppgifter än de som krävs enligt detta uttalande medför ingen annan bedömning under förutsättning att åtgärderna som har vidtagits uppfyller motsvarande krav i det aktuella landet.

5.46Skatte- och redovisningskonsulter omfattas däremot inte av de kategorier utomstående vars kundkännedomsåtgärder en verksamhetsutövare får förlita sig på, t.ex. som revisor.

5.47De kontroller som kan utföras av en utomstående avser kundens och den verkliga huvudmannens identitet samt åtgärden att inhämta information om affärsförbindelsens syfte och art.14

5.48Det bör betonas att det slutliga ansvaret för att kraven enligt penningtvättslagen uppfylls kvarstår hos den verksamhetsutövare som har förlitat sig på åtgärder utförda av en utomstående.

5.49Verksamhetsutövaren ska övervaka pågående affärsförbindelser med kunden och bedöma enstaka transaktioner i syfte att upptäcka aktiviteter och transaktioner som tyder på risk för penningtvätt eller finansiering av terrorism. För FAR:s medlemmar som är verksamhetsutövare innebär detta att de fortlöpande ska följa pågående affärsförbindelser och bedöma om aktiviteter och transaktioner hos kunden stämmer överens med den kunskap som verksamhetsutövaren har om kunden, kundens affärs- och riskprofil och varifrån kundens ekonomiska medel kommer.

5.50Utgångspunkten vid övervakningen ska vara hur ett uppdrag bör utföras enligt god yrkessed. Särskild uppmärksamhet ska ägnas avvikande aktiviteter och transaktioner hos kunden som en medlem blir varse i samband med kontakter med kunden eller på annat sätt. Det kan vara fråga om aktiviteter och transaktioner som antingen avviker från vad man normalt förväntar sig av den specifika kunden eller vad man har anledning att förvänta sig från den kategori av kunder som kunden tillhör. Vaksamheten styrs av kundens riskprofil och verksamhetsutövarens kunskap om kunden. En hög eller medelhög risk för penningtvätt eller finansiering av terrorism medför en förhöjd vaksamhet jämfört med när risken bedöms vara låg.

5.51Särskild uppmärksamhet bör således riktas mot eventuella förändringar av kundens normala beteende och den betydelse detta kan ha såvitt avser penningtvätt och finansiering av terrorism. Som exempel på avvikelser kan nämnas ändrad verksamhet eller att kunden börjar använda produkter och tjänster på ett nytt sätt. Särskild uppmärksamhet bör också iakttas vid granskning av transaktioner som har samband med personer eller företag i länder där det är mycket svårt eller omöjligt att få information om kunden eller kundens uppdragsgivare eller som har samband med länder som är uppsatta på EUs lista över hög risk och icke-samarbetsvilliga länder eller territorier (dvs. högrisktredjeländer).

5.52Även förfaranden som inte är avvikande bör uppmärksammas om de kan antas ingå som ett led i penningtvätt eller finansiering av terrorism. Detta innebär att i den utsträckning som typiska upplägg eller förfaranden för penningtvätt eller finansiering av terrorism är kända för verksamhetsutövaren, bör övervakning av affärsförbindelser eller bedömning av enstaka transaktioner med sådana upplägg ske i syfte att bedöma om det finns skälig grund att misstänka penningtvätt eller finansiering av terrorism. Det är viktigt att verksamhetsutövaren beaktar information om omständigheter och tillvägagångssätt som identifierats i den allmänna riskbedömningen och den information som myndigheter löpande publicerar.

5.53Om verksamhetsutövaren, efter att ha vidtagit skärpta åtgärder för kundkännedom och andra nödvändiga åtgärder, finner att det finns skälig grund att misstänka penningtvätt eller finansiering av terrorism eller att egendom annars härrör från brottslig handling, ska verksamhetsutövare utan dröjsmål lämna uppgifter om alla omständigheter som kan tyda på detta till Finanspolisen. En sådan rapport ska göras även om någon affärsförbindelse inte har ingåtts eller transaktion utförts. Uppgiftslämnandet bör, om möjligt, ske i samråd med den som utsetts till funktionsansvarig (se avsnitt 7 om intern kontroll och funktionsansvar), eller en annan person som utsetts att biträda honom eller henne.

5.54Rapporteringen om misstänkt penningtvätt eller finansiering av terrorism ska ske till Finanspolisen via goAML vilket är ett digitalt rapporteringssystem som används för att ta emot rapporter om misstänkt penningtvätt. Finanspolisen önskar att man förregistrerar sig i goAML. På så sätt går det snabbare och underlättar att rapportera om situationen skulle uppstå.

5.55Att en verksamhetsutövare har lämnat en rapport till Finanspolisen bör medföra att verksamhetsutövaren gör en ny riskbedömning av kunden (se avsnitt 4 om riskbedömning av kunder). Vid en förhöjd risknivå kan affärsrelationen undantagsvis upprätthållas om verksamhetsutövaren, efter kompletterande åtgärder för kundkännedom och förstärkt övervakning av affärsförbindelsen, bedömer sig ha tillräckliga möjligheter att upptäcka och förhindra att verksamhetsutövaren utnyttjas för penningtvätt eller finansiering av terrorism. Om en verksamhetsutövare bedömer att dessa förutsättningar inte finns ska affärsförbindelsen avslutas.

5.56På begäran av Finanspolisen eller Säkerhetspolisen ska en verksamhetsutövare enligt 4 kap. 6 § penningtvättslagen utan dröjsmål lämna alla uppgifter som behövs för en utredning om penningtvätt eller finansiering av terrorism till myndigheten. Skyldigheten gäller oberoende av om medlemmen själv rapporterat misstanke eller inte. För att möjliggöra detta ska en verksamhetsutövare ha ett system för att snabbt och fullständigt kunna lämna uppgifter om huruvida verksamhetsutövaren under de senaste fem åren har haft en affärsförbindelse med en viss person och, om så skulle vara fallet, om förbindelsens art.

5.57Det finns ett begränsat undantag från den lagstadgade uppgiftsskyldigheten. Uppgiftsskyldigheten gäller inte för bl.a. auktoriserade eller godkända revisorer och skatterådgivare i fråga om sådan information som

• anförtrotts medlemmen i samband med att han eller hon försvarar eller företräder kunden i en fråga om ett rättsligt förfarande, inklusive rådgivning för att inleda eller undvika ett rättsligt förfarande, eller

• medlemmen fått avseende en kund i samband med att han eller hon bedömer kundens rättsliga situation.

5.58Undantaget gäller oavsett om medlemmen fått eller inhämtat informationen före, under eller efter det rättsliga förfarandet. Som framgår ovan undantas inte all rådgivning från rapporteringsplikten. Finansiell rådgivning eller allmänt hållen juridisk rådgivning som inte är kopplad till en konkret situation omfattas inte av undantaget. För revisorernas del omfattas typiskt sett inte heller sådan information som revisorer får del av i samband med revisionsuppdrag av undantaget.

5.59Verksamhetsutövaren har enligt 5 kap. 3 § första stycket penningtvättslagen en skyldighet att i fem år bevara handlingar och uppgifter som avser åtgärder för att uppnå kundkännedom antingen vid antagandet av ny kund eller vid förnyade kundkännedomsåtgärder på grund av iakttagelser vid övervakningen av affärsförbindelsen. Verksamhetsutövaren har även en skyldighet att bevara handlingar och uppgifter avseende transaktioner som gjorts med kunder inom ramen för affärsförbindelsen.

5.60Sådana handlingar eller uppgifter som utgjort dokumentation, såsom avtal, kopior av identitetshandlingar, kopior av bekräftelse av elektronisk signatur samt registreringsbevis eller andra behörighetshandlingar med noteringar om identitetskontroll, ska bevaras. Enligt 5 kap. 3 § andra stycket penningtvättslagen ska tiden på fem år räknas från det att åtgärderna eller transaktionerna utfördes eller, i de fall då en affärsförbindelse har etablerats, affärsförbindelsen upphörde. Om en enstaka transaktion inte har genomförts till följd av misstanke om penningtvätt eller finansiering av terrorism, ska tiden räknas från det att avståendet skedde. Det ska framgå av dokumentationen när kontrollen gjordes.

5.61Om dokumentation har upprättats inom ramen för ett uppdrag i revisions- eller redovisningsverksamhet, ska den arkiveras under tio år som föreskrivs för revisions- och redovisningsdokumentation. För uppdrag som pågår under många år krävs därför särskilda rutiner för att säkerställa att dokumentationen faktiskt finns kvar fem år efter det att uppdraget upphörde och inte rensas ut efter tio år.

5.62Om det är nödvändigt för att förebygga, upptäcka eller utreda penningtvätt eller finansiering av terrorism får handlingar bevaras i tio år. Verksamhetsutövaren förutsätts inte göra någon egen bedömning om en längre lagringstid är aktuell utan den längre lagringstiden blir endast aktuell efter en förfrågan därom görs av Polismyndigheten eller annan behörig myndighet.

5.63En verksamhetsutövare får behandla personuppgifter i syfte att fullgöra sina skyldigheter enligt penningtvättslagen. Vad gäller känsliga personuppgifter får sådana behandlas endast om det är nödvändigt för att:

1. bedöma om kunden är en person i politiskt utsatt ställning eller familjemedlem eller känd medarbetare till en sådan person,

2. bedöma kundrisken,

3. uppfylla övervakningsskyldigheten,

4. bedöma misstänkta transaktioner och aktiviteter, och

5. rapportera misstanke om penningtvätt eller finansiering av terrorism eller lämna uppgifter efter förfrågan till Polismyndigheten.

5.64Personuppgifter om lagöverträdelser anses som särskilt känsliga och får endast behandlas om det är nödvändigt för att:

1. bedöma kundrisken,

2. uppfylla övervakningsskyldigheten,

3. bedöma misstänkta transaktioner och aktiviteter,

4. fullfölja uppgiftsskyldigheten.

Känsliga personuppgifter och uppgifter om lagöverträdelser som får behandlas enligt ovan får även bevaras enligt reglerna om bevarande av dokumentation av åtgärder för att uppnå kundkännedom.

5.65Enligt dataskyddsförordningen15 är en verksamhetsutövare som behandlar personuppgifter som huvudregel skyldig att på en fysisk persons begäran lämna uppgift om verksamhetsutövaren behandlar personuppgifter som rör den fysiska personen eller inte. Om personuppgifter som rör den fysiska personen behandlas, ska verksamhetsutövaren lämna skriftlig information till den fysiska personen, s.k. registerutdrag, om bl.a. vilka personuppgifter som behandlas, för vilka ändamål och till vilka mottagare som uppgifterna lämnas ut.

5.66Det bör noteras att bestämmelserna i penningtvättslagen innebär att en verksamhetsutövare i vissa fall inte får lämna ut information till en fysisk person om att hans eller hennes personuppgifter behandlas. Detta gäller behandling av personuppgifter som omfattas av tystnadsplikten i penningtvättslagen, 5 kap. 7 §.