135 Prop. 2015/16:29
6.4 Särskilt om DAC
Regeringens förslag: En bestämmelse ska tas in i den nya lagen om automatiskt utbyte av upplysningar om finansiella konton som anger att Skatteverket, vid säkerhetsöverträdelser avseende uppgifter om fysiska personer, ska underrätta de fysiska personerna om att en överträdelse av skyddet för uppgifterna har skett, om överträdelsen sannolikt kommer att påverka skyddet av deras personuppgifter eller integritet negativt. En motsvarande bestämmelse ska också tas in i den nya IDKAL om att rapporteringsskyldiga finansiella institut ska underrätta fysiska personer när överträdelsen har skett avseende uppgifter hos institutet. När det gäller Skatteverkets skyldighet att underrätta om överträdelser bör en bestämmelse om detta tas in även i lagen (2012:843) om administrativt samarbete inom Europeiska unionen i fråga om beskattning.
I lagen om administrativt samarbete inom Europeiska unionen i fråga om beskattning ska det även tas in en bestämmelse om att automatiskt utbyte av upplysningar om livförsäkringsprodukter enligt den lagen inte ska gälla när livförsäkringsprodukten omfattas av informationsutbytet enligt den nya lagen om automatiskt informationsutbyte om finansiella konton.
Regeringens bedömning: Några bestämmelser behöver i övrigt inte införas i svensk lag för att genomföra bestämmelserna i artiklarna 1–4 i DAC 2, utöver vad som föreslås i avsnitt 6.2 och 6.6.
Promemorians förslag och bedömning: Överensstämmer med regeringens förslag och bedömning.
Remissinstanserna: Inga remissynpunkter har lämnats som har anknytning till denna fråga.
Skälen för regeringens förslag och bedömning: I artikel 1 i DAC 2 görs ändringar i artiklarna 3, 8, 20, 21 och 25 samt två bilagor tillförs direktivet.
I artikel 3.9 görs endast mindre redaktionella ändringar som inte behöver införas i svensk lag. Vidare har ett tillägg gjorts där det framgår att i vissa artiklar ska alla begrepp med stor begynnelsebokstav ha den betydelsen som de har enligt motsvarande definitioner i bilaga I.
Artikel 8.3 justeras på så sätt att tröskelvärdet för när en medlemsstat önskar erhålla upplysningar avseende de kategorier av inkomster och kapital som avses i punkt 1 tas bort.
Artikel 8.3a där punkt 3a är helt ny reglerar i första stycket att varje medlemsstat ska vidta de åtgärder som krävs för att de rapporteringsskyldiga finansiella instituten ska följa rapporteringen och åtgärderna för kundkännedom i bilagorna I och II. Denna del behandlas nedan i avsnitt 6.6. I övrigt innehåller punkten bl.a. bestämmelser om automatiskt utbyte av upplysningar om finansiella konton, vilka upplysningar som ska lämnas och från och med vilken beskattnings-period som upplysningarna ska lämnas. Dessa delar behandlas ovan under avsnitt 6.2.2. Punktens tredje stycke anger att punktens första och andra stycken ska ha företräde framför punkt 1 c och alla andra unionens rättsliga instrument, inklusive rådets direktiv 2003/48/EG av den 3 juni
Prop. 2015/16:29
136
2003 om beskattning av inkomster från sparande i form av räntebetalningar (sparandedirektivet), i den mån det berörda utbytet av upplysningar omfattas av punkt 1 c eller något annat av unionens instrument (inklusive sparandedirektivet). Punkt 1 c avser utbyte av upplysningar gällande livförsäkringsprodukter. Livförsäkringsprodukter kan vara finansiella konton och därför även omfattas av det nya utbytet av upplysningar om finansiella konton. Bestämmelsen i tredje stycket syftar till att undvika dubbelt informationsutbyte avseende sådana livförsäkringsprodukter och innebär att uppgifter inte behöver utbytas enligt punkten 1 c i artikel 8 om produkten omfattas av det nya utbytet av upplysningar om finansiella konton. När det gäller förhållandet mellan det nya utbytet av upplysningar och andra unionsrättsakter bör det uppmärksammas att kommissionen den 18 mars 2015 publicerade ett förslag om upphävande av sparandedirektivet. I lagen (2012:843) om administrativt samarbete inom Europeiska unionen i fråga om beskattning bör det därför tas in en bestämmelse om att automatiskt utbyte av upplysningar om livförsäkringsprodukter enligt den lagen inte ska gälla när livförsäkringsprodukten omfattas av informationsutbytet enligt den nya lagen om automatiskt informationsutbyte om finansiella konton. Artikel 8.5 riktar sig endast till kommissionen och rådet. Någon bestämmelse behöver inte införas i svensk lag med anledning av de förändringar som gjorts i denna punkt. Det kan dock nämnas att den behöriga myndigheten ska lämna upplysningar om samtliga kategorier av inkomster och kapital och inte endast avseende tre kategorier som tidigare nämndes i direktivet. Vidare framgår numera att det finns avsikt att i framtiden utvidga det automatiska utbytet på så sätt att upplysningar ska lämnas om royalties.
I punkten b i artikel 8.6 har ett tillägg gjorts vad gäller upplysningarna i punkten 3a. Här framgår att upplysningar ska lämnas årligen, inom nio månader från utgången av det beskattningsår eller den andra lämpliga rapporteringsperiod som upplysningarna gäller för. Detta tillägg behandlas ovan under avsnitt 6.2.3.
Av artikel 8.7a där punkten 7a är ny framgår bl.a. att varje medlemsstat senast den 31 juli 2015 till kommissionen ska överlämna en förteckning över enheter och konton som ska betraktas som icke rapporteringsskyldiga finansiella institut och undantagna konton i enlighet med punkterna B.1 c och C.17 g i avsnitt VIII i bilaga I.
Undantagen behandlas i avsnitt 6.3.1 och 6.3.2.
I artikel 20.4 görs mindre redaktionella ändringar som inte medför ändringar i lag.
I artikel 21.2 införs bl.a. ett nytt tredje stycke som gäller medlemsstaternas skyldighet att säkerställa att varje rapporteringsskyldig fysisk person underrättas om en säkerhetsöverträdelse med avseende på dennes uppgifter när överträdelsen sannolikt kommer att påverka skyddet av dennes personuppgifter eller integritet negativt. En bestämmelse bör därför tas in i den nya lagen om automatiskt utbyte av upplysningar om finansiella konton som anger att Skatteverket, vid säkerhetsöverträdelser avseende uppgifter om fysiska personer, ska underrätta de fysiska personerna om att en överträdelse av skyddet för uppgifterna har skett, om överträdelsen sannolikt kommer att påverka skyddet av dennes personuppgifter eller integritet negativt. En motsvarande bestämmelse
137 Prop. 2015/16:29 bör också tas in i IDKAL om att rapporteringsskyldiga finansiella institut
ska underrätta fysiska personer när överträdelsen har skett avseende uppgifter hos institutet. När det gäller Skatteverkets skyldighet att underrätta om överträdelser bör en bestämmelse om detta tas in även i lagen (2012:843) om administrativt samarbete inom Europeiska unionen i fråga om beskattning.
I artikel 25 läggs ytterligare tre punkter till och den befintliga texten i artikeln bli artikelns punkt 1. Punkt 2 anger att de rapporteringsskyldiga finansiella instituten och de behöriga myndigheterna i varje medlemsstat ska anses vara registeransvariga enligt Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet). Av punkten 3 framgår att varje berörd rapporteringsskyldig fysisk person ska underrättas om de upplysningar som kommer att samlas in och överföras avseende utbytet om upplysningar om finansiella konton i artikel 8.3a. Det rapporteringsskyldiga finansiella institutet ska tillhandahålla denna person alla upplysningar som denne är berättigad till enligt dataskyddsdirektivet. För svensk del regleras detta i PUL. Avseende behandling av personuppgifter i Skatteverkets beskattningsverksamhet gäller dock SdbL. Informationen ska ges den uppgiftsberättigade i tillräckligt god tid för att den fysiska personen ska kunna utöva sina rättigheter vad gäller uppgiftsskydd och, under alla omständigheter, innan rapporteringen sker till den behöriga myndigheten i hemvistlandet.
Den tidsfrist som finns i artikel 10 och 11 i dataskyddsdirektivet är att information ska ha lämnats till den registrerade senast när uppgifterna lämnas ut till en tredjeman. När det gäller lämnande av kontrolluppgifter till Skatteverket ska information lämnas till den registrerade senast då kontrolluppgifterna lämnas till Skatteverket. Avsikten med den nya punkten i direktivet är inte att ha någon annan tidsfrist för information till den registrerade än vad som redan gäller enligt reglerna i dataskyddsdirektivet. Syftet är endast att det ska framgå att skyldigheten inte infinner sig efter det att uppgifterna lämnats ut. Eftersom någon ändring inte är avsedd i förhållande till dataskyddsdirektivet behöver ingen ändring i lag göras avseende denna nya punkt i artikel 25. Av punkten 4 framgår att upplysningarna som behandlas i enlighet med direktivet inte ska lagras längre än vad som är nödvändigt för att uppnå syftet med direktivet och under alla omständigheter i enlighet med varje registeransvarigs inhemska regler om tidsfrister. I 9 § första stycket i PUL anges redan att den personuppgiftsansvarige ska se till att personuppgifter inte bevaras under en längre tid än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Det föreslås dock i denna proposition att det tas in en bestämmelse i IDKAL som innebär att uppgifterna ska sparas i minst fem år efter att kontot avslutats.
I artikel 2 i DAC 2 framgår bl.a. när bestämmelserna i direktivet ska börja tillämpas, vilket är den 1 januari 2016. I denna proposition behandlas ikraftträdande- och övergångsbestämmelser i avsnitt 9.
I artikel 3 i DAC 2 framgår att direktivet träder i kraft den tjugonde dagen efter det att direktivet offentliggjorts i Europeiska unionens officiella tidning. I denna proposition behandlas ikraftträdande- och övergångsbestämmelser i avsnitt 9.
Prop. 2015/16:29
138
I artikel 4 i DAC 2 framgår att direktivet riktar sig till medlemsstaterna.