²⁾ Följande fysiska eller juridiska personer ska på begäran av Polismyndigheten eller Säkerhetspolisen utan dröjsmål lämna alla uppgifter som behövs för en utredning om penningtvätt eller finansiering av terrorism:

2)

Senaste lydelse 2019:774.

1. en verksamhetsutövare,

2. en clearingorganisation som bedriver clearing eller avveckling av betalningar,

3. den som tillhandahåller finansiell infrastruktur som avser omedelbara betalningar, och

4. den som bedriver eller under de senaste fem åren har bedrivit penninginsamling för humanitärt, välgörande, kulturellt eller något annat allmännyttigt ändamål.

När uppgifter har lämnats enligt 3 §, ska även andra fysiska eller juridiska personer som avses i 1 kap. 2–5 §§ lämna de uppgifter för utredningen som Polismyndigheten eller Säkerhetspolisen begär.

³⁾ En verksamhetsutövare eller den som är verksam hos verksamhetsutövaren får inte för en kund eller någon utomstående obehörigen röja att en bedömning enligt 2 § utförs, har utförts eller kommer att utföras eller att uppgifter har lämnats enligt 3 eller 6 §.

3)

Senaste lydelse 2021:903.

Som obehörigt röjande avses inte att

1. uppgifter lämnas till en tillsynsmyndighet eller en brottsbekämpande myndighet,

2. uppgifter lämnas mellan verksamhetsutövare som avses i 1 kap. 2 § första stycket 1–13 med hemvist i EES och som ingår i samma koncern eller mellan sådana verksamhetsutövare och deras filialer och dotterföretag belägna i ett land utanför EES, förutsatt att filialerna och dotterföretagen utanför EES tillämpar gemensamma rutiner som fastställts enligt 2 kap. 8 eller 9 § eller motsvarande krav enligt lagstiftningen i det land där filialen finns eller dotterföretaget har hemvist,

3. uppgifter lämnas mellan advokater, andra oberoende jurister, revisorer, tillhandahållare av bokföringstjänster, skatterådgivare och fastighetsmäklare som omfattas av Europaparlamentets och rådets direktiv (EU) 2015/849, i den ursprungliga lydelsen, eller likvärdiga bestämmelser i ett land utanför EES och som är anställda eller på annat sätt verksamma inom samma juridiska person eller olika juridiska personer med gemensamt ägande, gemensam ledning eller gemensam efterlevnadskontroll,

4. uppgifter som rör samma kund och samma transaktion och som omfattar fler än en verksamhetsutövare lämnas mellan sådana juridiska och fysiska personer som anges i 1 kap. 2 § första stycket 1–13 och 18–22, förutsatt att de tillhör samma verksamhets- eller yrkeskategori och omfattas av skyldigheter i fråga om tystnadsplikt och skydd för personuppgifter som följer av denna lag,

5. en kund får kännedom om att åtgärder enligt första stycket vidtas eller kan komma att vidtas, när ett röjande inte kan undvikas till följd av verksamhetsutövarens skyldighet att avstå från en transaktion, att avstå från att inleda en affärsförbindelse eller att avsluta en affärsförbindelse enligt 3 kap. 1–3 §§, och

6. uppgifter lämnas i samverkan enligt 4 a kap.

Bestämmelser om ansvar för den som bryter mot tystnadsplikten enligt första stycket finns i 20 kap. 3 § brottsbalken.

En clearingorganisation som bedriver clearing eller avveckling av betalningar eller den som tillhandahåller finansiell infrastruktur som avser omedelbara betalningar får inte för någon utomstående obehörigen röja att uppgifter har lämnats enligt 6 §. Detsamma gäller den som är verksam hos ett sådant företag.

Bestämmelser om ansvar för den som bryter mot tystnadsplikten enligt första stycket finns i 20 kap. 3 § brottsbalken.

⁴⁾ En verksamhetsutövare eller den som är verksam hos verksamhetsutövaren får inte göras ansvarig för att ha åsidosatt tystnadsplikt för uppgifter som lämnas med stöd av 3 eller 6 §, om personen hade anledning att räkna med att uppgiften borde lämnas.

4)

Senaste lydelse 2018:737.

I fråga om europabolag och europakooperativ som har ett sådant förvaltningssystem som avses i artiklarna 39–42 i rådets förordning (EG) nr 2157/2001 av den 8 oktober 2001 om stadga för europabolag respektive artiklarna 37–41 i rådets förordning (EG) nr 1435/2003 av den 22 juli 2003 om stadga för europeiska kooperativa föreningar (SCE-föreningar) ska bestämmelserna i första stycket och i 9 § tillämpas på en ledamot i tillsynsorganet.

Av 16 § andra stycket och 22 § lagen (2004:575) om europabolag samt 21 § andra stycket och 26 § lagen (2006:595) om europakooperativ framgår att bestämmelserna i andra stycket ska tillämpas också på ledamöter i ett europabolags eller ett europakooperativs lednings- eller förvaltningsorgan.

Särskilda bestämmelser om ansvar för revisorer i aktiebolag, ekonomiska föreningar, stiftelser och vissa andra företag finns i 5 kap. 2 § stiftelselagen (1994:1220), 37 § revisionslagen (1999:1079), 29 kap. 2 § aktiebolagslagen (2005:551) och 21 kap. 2 § lagen (2018:672) om ekonomiska föreningar.

⁵⁾ I detta kapitel finns bestämmelser om behandling av personuppgifter enligt denna lag för

5)

Senaste lydelse 2018:332.

1. verksamhetsutövare (2–11 §§), och

2. andra än verksamhetsutövare (12 och 13 §§).

Kapitlet gäller om behandlingen helt eller delvis är automatiserad eller om personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier.

⁶⁾ Personuppgifter som avses i artikel 9.1 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning, får behandlas endast om det är nödvändigt för att

6)

Senaste lydelse 2018:332.

1. bedöma om kunden är en person i politiskt utsatt ställning eller familjemedlem eller känd medarbetare till en sådan person enligt 1 kap. 8–10 §§,

2. bedöma den risk som kan förknippas med kundrelationen enligt 2 kap. 3 §,

3. uppfylla övervakningsskyldigheten enligt 4 kap. 1 §,

4. bedöma misstänkta transaktioner och aktiviteter enligt 4 kap. 2 §,

5. lämna uppgifter enligt 4 kap. 3 och 6 §§, och

6. lämna uppgifter i samverkan enligt 4 a kap.

Personuppgifterna får också behandlas vid bevarande av handlingar och uppgifter enligt 3 och 4 §§, om det är tillåtet att behandla uppgifterna enligt första stycket.

⁷⁾ Personuppgifter som avses i artikel 10 i EU:s dataskyddsförordning får behandlas endast om det är nödvändigt för att

7)

Senaste lydelse 2018:332.

1. bedöma den risk som kan förknippas med kundrelationen enligt 2 kap. 3 §,

2. uppfylla övervakningsskyldigheten enligt 4 kap. 1 §,

3. bedöma misstänkta transaktioner och aktiviteter enligt 4 kap. 2 §,

4. lämna uppgifter enligt 4 kap. 3 och 6 §§, och

5. lämna uppgifter i samverkan enligt 4 a kap.

Personuppgifterna får också behandlas vid bevarande av handlingar och uppgifter enligt 3 och 4 §§, om det är tillåtet att behandla uppgifterna enligt första stycket.

Den som i väsentlig utsträckning har åsidosatt skyldigheter i näringsverksamhet eller som har gjort sig skyldig till allvarlig brottslighet får inte ägna sig åt verksamhet som är anmälningspliktig enligt 3 §.

Om verksamhetsutövaren är en juridisk person, gäller första stycket den som är verklig huvudman i den juridiska personen eller ingår i dess ledning.

Verksamhetsutövaren ska anmäla förändringar i ledningen till tillsynsmyndigheten.

Tillsynsmyndigheten ska förelägga en verksamhetsutövare som omfattas av ett förbud enligt 6 § första stycket att

1. upphöra med verksamheten, om verksamhetsutövaren är en fysisk person, eller

2. vidta rättelse och, om rättelse inte vidtas, upphöra med verksamheten, om verksamhetsutövaren är en juridisk person.

Tillsynsmyndigheten får förelägga den som omfattas av ett förbud enligt 6 § andra stycket att vidta de åtgärder som behövs för att personen inte längre ska vara verklig huvudman.

⁸⁾ Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om

8)

Senaste lydelse 2021:903.

1. undantag för vissa speltjänster från tillämpning av lagen eller bestämmelser i den,

2. innehållet i och omfattningen av den allmänna riskbedömningen enligt 2 kap. 1 § och om faktorer som kan tyda på låg eller hög risk för penningtvätt eller finansiering av terrorism,

3. undantag från kravet på dokumenterade riskbedömningar enligt 2 kap. 2 §,

4. riskklassificering av kunder enligt 2 kap. 3 §, inbegripet faktorer som kan tyda på låg eller hög risk för penningtvätt eller finansiering av terrorism,

5. innehållet i och omfattningen av interna och gemensamma rutiner enligt 2 kap. 8 och 9 §§,

6. innehållet i rutiner för lämplighetsprövning enligt 2 kap. 13 §,

7. dokumentation av genomförda utbildningar och vilken information och utbildning som ska tillhandahållas anställda enligt 2 kap. 14 §,

8. nödvändiga åtgärder och rutiner enligt 2 kap. 15 § och 6 kap. 4 a §,

9. åtgärder för identitetskontroll enligt 3 kap. 7 och 8 §§,

10. vad som avses med förenklade åtgärder för kundkännedom och i vilka situationer som förenklade åtgärder är tillåtna enligt 3 kap. 15 §,

11. vad som avses med skärpta åtgärder för kundkännedom och i vilka situationer som skärpta åtgärder ska vidtas enligt 3 kap. 16 och 17 §§,

12. hur rapportering till Polismyndigheten ska göras enligt 4 kap. 3 §,

13. hur uppgifter ska lämnas enligt 4 kap. 6 §,

14. system för uppgiftslämning enligt 4 kap. 7 §,

15. bevarande av handlingar och uppgifter enligt 5 kap. 3 §,

16. förutsättningarna för förlängt bevarande av handlingar och uppgifter enligt 5 kap. 4 §,

17. innehållet i och omfattningen av rutiner för intern kontroll och modellriskhantering enligt 6 kap. 1 §,

18. kriterierna för när funktioner som avses i 6 kap. 2 § första stycket ska inrättas samt de krav som ska gälla i fråga om funktionernas organisation, befogenheter och oberoende,

19. organisation, kompetens, befogenheter, funktion och oberoende för den centrala kontaktpunkten enligt 6 kap. 3 §,

20. det särskilda rapporteringssystemet enligt 6 kap. 4 §, och

21. skyldighet för verksamhetsutövare som avses i 1 kap. 2 § första stycket 1–13, 16, 17, 19, 20 och 22–24 att periodiskt eller på begäran lämna uppgifter om sin verksamhet, sina kunder och andra förhållanden som är nödvändiga för att tillsynsmyndigheter ska kunna bedöma den risk som kan förknippas med de verksamhetsutövare som står under tillsyn.