Høringsuttalelse - Om tiltak mot hvitvasking og terrorfinansiering - gjennomføring av EØS-regler i norsk rett

Datatilsynet viser til Deres høringsbrev av 24.08.07 samt til oversendelse av NOU 2007:10 den 25.09.07 med forslag til revisjon av hvitvaskingsloven (heretter kalt utredningen).

Datatilsynet anerkjenner samfunnets behov for å ha adekvate virkemidler i kampen mot økonomisk kriminalitet. Tilsynet erkjenner også at virkemidlene må utformes internasjonalt da kriminaliteten som skal bekjempes ofte har internasjonale forgreninger. Datatilsynet konstaterer at de fremlagte lovforslagene innebærer en betydelig utvidelse av det norske hvitvaskingsregelverket. Dette reiser prinsipielle spørsmål. Det er derfor beklagelig at lovkommisjonen i liten grad drøfter prinsipielle problemstillinger i sin utredning. Utredningen bærer preg av å være en studie i hvordan det såkalte ”tredje hvitvaskingsdirektiv” er å forstå, og hvilke krav som settes til nasjonal lovgivning for å oppfylle kravene i direktivet.

En del av utvalgets mandat var å vurdere hvordan ”..hensynet til personvern kan ivaretas på en hensiktsmessig måte.”  Datatilsynet kan heller ikke se at dette er gjort, men er derimot av den oppfatning at lovforslaget frontkolliderer med grunnleggende personvernprinsipper.

Tilsynet  anbefaler derfor sterkt at følgende problemstillinger drøftes i hele sin bredde før lovgiver tar stilling til forslagene.  

Prinsipielle problemstillinger

1. Dokumentasjon av nytteverdien av eksisterende rapporteringsplikt

Da rapporteringsplikten for banker og finansieringsforetak ble iverksatt på begynnelsen av 90-tallet representerte dette noe kvalitativt nytt som kriminalpolitisk virkemiddel. I Økokrims årsrapport for 2006 fremgår det at Enheten for finansiell etterretning (tidligere Hvitvaskingsteamet) de siste fem årene har mottatt hele 22 767 rapporter om mistenkelige transaksjoner. Antallet ser ikke ut til å avta. Kun et fåtall av de innmeldte transaksjonene ender med domfellelse, men bruken av meldingene ser ut til å være nyttig for andre formål og for andre aktører. Datatilsynet savner en drøftelse og dokumentasjon av nytteverdien av den allerede svært omfattende meldeplikten ulike samfunnsaktører er pålagt, da det ikke kan være tvil om at mange uskyldige blir innmeldt.

2. Manglende behovsanalyse

Datatilsynet savner en begrunnelse for behovet for de foreslåtte endringer i hvitvaskingsloven-  og forskriften. Utredningen inneholder ikke noe om hvilke kriminalitetstyper som ikke blir oppklart eller iretteført ved de eksiterende hjemler. Snarere tvert imot, bærer Økokrims statistikker bud om at det foreligger en stor grad av overrapportering. Til tross for dette, foreslås det at terskelen for lovpålagt rapportering og registrering skal senkes til også å ramme overtredelse ved grov uaktsomhet (lovforslagets § 27) Endringen vil sannsynligvis ikke medføre at færre transaksjoner rapporteres snarere tvert om.

En beskrivelse av trusselbildet og de reelle behovene er derfor helt nødvendig for at høringsinstansene og lovgiver reelt skal kunne ta stilling til om de tiltak som foreslås er nødvendige og forholdsmessige.

3. Hvor langt skal samfunnet tillate privat etterforskning?

Helt nytt i lovforslaget er at rapporteringspliktige skal underlegges en plikt til å foreta omfattende og detaljerte krav til kundekontroll (lovforslagets § 7 flg). Den rapporteringspliktige skal selv foreta en ”risikovurdering” av kunden dersom mistanke om kriminell atferd vekkes. 

Forslaget representerer et enda tettere institusjonalisert samarbeid mellom sivile samfunnsinstitusjoner og politiet. Sagt på en annen måte: Politiets forlengende armer blir enda lengre.

I tillegg representerer forslaget en annen viktig dimensjon nemlig at rapporteringspliktige i langt høyerer grad må anvende sitt subjektive skjønn i vurderingen av om han har med en kriminell eller en lovlydig kunde å gjøre. Etter Datatilsynets oppfatning krever denne subjektive dimensjonen en helt annen prinsipiell drøftelse enn den utredningen byr på. Grensen mot etterforskning er påfallende, og spørsmålet er igjen hvem i samfunnet som skal og bør beskjeftige seg med etterforskning av kriminelle handlinger. Lovforslaget åpner også for at andre enn den rapporteringspliktige kan utføre kundekontroll (forslagets § 10). Dette innebærer nødvendigvis en utstrakt utveksling av kundeinformasjon uten at kunden selv er klar over forholdet. Dette står i skarp kontrast til grunnleggende personvernprinsipper som drøftes nærmere i neste punkt.

Lovforslagets § 14 om forsterkede kontrolltiltak overfor politisk eksponerte personer og dennes krets, kan medføre registrering av svært sensitive personopplysninger som politisk tilhørighet, etnisitet osv. Datatilsynet er meget kritiske til at sivile samfunnsinstitusjoner pålegges en plikt til å kartlegge slike sensitive forhold rundt kunden. Det må stilles spørsmål om hvilke forutsetninger en bank eller en eiendomsmegler har til å foreta slik kartlegging.  

Datatilsynet stiller også spørsmål ved hvorfor de forsterkede kontrolltiltak bare skal kunne iversettes overfor personer som har innehatt  høytstående offentlig verv eller stilling i annen stat enn Norge? Ettersom lovforslaget bygger på et direktiv (artikkel 13) er det interessant å reise spørsmålet om hvorvidt norske politisk eksponerte personer, på de vilkår direktivet fastsetter, vil bli registret i andre lands bankers kunderegistre. 

4. Hvilke konsekvenser har det at rettssikkerhetsgarantier oppheves?

Datatilsynet konstaterer at det nye lov- og forskriftsforslaget representerer enda større grad av hemmelighold vis a vis innrapportert kunde enn tidligere. Dette, i kombinasjon med en utvidet undersøkelsesplikt for den rapporteringspliktige, bidrar til en betydelig svekkelse av en grunnleggende forutsetning i en samfunnsform som vår – nemlig at borgeren bør ha en rimelig mulighet for å vite hva andre vet om ham eller henne.  Betydelig grad av hemmelighold er med på å svekke den grunnleggende tillitten mellom individ og myndigheter som igjen er en grunnleggende forutsetning for et velfungerende og vitalt demokrati.

Datatilsynet minner om at  personopplysningsloven (§ 21) stiller krav om at den behandlingsansvarlige informerer sin kunde ved opprettelse og bruk av personprofiler samt informerer om hvilke opplysningskilder som anvendes for å opprette profilen. Hensynet bak denne bestemmelsen er bl.a. at den skal sikre ”kunnskapssymmetrien” mellom behandlingsansvarlig og den registrerte (kunden). Formålet er å unngå situasjoner der den ene vet noe om den andre uten at sistnevnte vet hvorfor og hvordan.

Tilsynet minner også om at i saker som angår kommunikasjonskontroll, har den kontrollerte i ettertid anledning til å gjøre seg kjent med omfanget av kontrollen. En tilsvarende rettighet bør som et minimumskrav innrømmes den innrapporterte. 

Datatilsynet vil heller ikke utelukke at en større grad av åpenhet hva gjelder innhenting, utlevering, bruk og videreformidling av opplysninger også vil kunne ha en preventiv effekt. Vissheten om at noen ”ser en i kortene” kan kanskje bidra til at man faktisk avstår fra videre kriminell virksomhet. En slik antatt sammenheng er i alle tilfelle verdt å undersøke, før rettssikkerhetsprinsipper tilsidesettes ytterligere.

5. Kontrollkommisjonens rolle

Det samlede lov- og forskriftsforslaget representerer såpass store innhugg i personvernet at Kontrollutvalgets rolle burde vært drøftet i utredningen. Det har ikke lykkes Datatilsynet å finne informasjon om Kontrollutvalget annet enn i statsbudsjettsammenheng samt en faktaopplysning i årsmeldingen fra Økokrim for 2006 (side 30) om at det var avholdt tre møter med Kontrollutvalget i meldingsåret.

For å bøte på den manglende mulighet til innsyn, opphevelse av taushetsplikt mellom samfunnsinstitusjoner og økt plikt til kartlegging av kunder, er det relevant å stille spørsmål om hvorvidt Kontrollutvalgets rapporter, funn og møtereferater (dersom slike eksisterer) i en eller annen form burde være offentlig tilgjengelig. Det bør også vurderes grundigere hvorvidt utvalgets mandat bør utvides. 

6. Andre merknader

Datatilsynet har med hensikt ikke avgitt merknader til de enkelte bestemmelsene i lov- og forskriftsforslaget, da det mener at de fem punkter som er behandlet i uttalelsen som et minimum må utredes før en realitetsbehandling av de enkelte bestemmelsene kan skje.

Datatilsynet er for øvrig tilfreds med at lovutvalget enstemmig går inn for ikke å fremme forslag om forbud mot kontant betaling.

Tilsynet har merket seg at rapportering av mistenkelige transaksjoner foregår via Altinn. Dette er en rapporteringsmetode som krever at fødselsnummeret til den som rapporterer må oppgis i pålogging, og er en bruk av fødselsnummeret Datatilsynet, av sikkerhetshensyn, fraråder.

datatilsynet.pdf