Uppgiftsskyldighet för vissa e-legitimationsföretag

Finansdepartementet Finansmarknadsavdelningen Uppgiftsskyldighet för vissa e-legitimationsföretag April 2025

Promemorians huvudsakliga innehåll

För banker och andra finansiella företag gäller uppgiftsskyldighet. Uppgiftsskyldigheten innebär att brottsbekämpande myndigheter, i den brottsbekämpande verksamheten, har rätt att ta del av information om enskildas förhållanden som finns hos företagen och som annars omfattas av tystnadsplikt. För att tillgodogöra sig tjänster hos finansiella företag krävs ofta att en e-legitimation används, t.ex. för att logga in i en e-tjänst eller godkänna transaktioner. I denna promemoria föreslås en uppgiftsskyldighet för företag som tillhandahåller e-legitimationer som används mot finansiella företag. Genom förslaget får de brottsbekämpande myndigheterna möjlighet att vända sig direkt till ett e-legitimationsföretag för att inhämta information om en persons e-legitimationsanvändning mot finansiella företag. I promemorian föreslås även att uppgiftsskyldigheten för företag som tillhandahåller kryptotillgångar och kryptorelaterade tjänster ska utökas till att gälla i de brottsbekämpande myndigheternas underrättelseverksamhet. Lagändringarna föreslås träda i kraft den 1 januari 2026.

1 Lagförslag

1.1 Förslag till lag om uppgiftsskyldighet för vissa e-legitimationsföretag

Härigenom föreskrivs följande.

Lagens innehåll

1 § Denna lag innehåller bestämmelser om skyldigheter för e-legitimationsföretag att till brottsbekämpande myndigheter lämna uppgifter om enskildas förhållanden till ett finansiellt företag. Med e-legitimationsföretag avses företag som tillhandahåller tjänster för elektronisk identifiering och elektronisk underskrift. Med finansiellt företag avses företag som omfattas av uppgiftsskyldighet enligt – lagen (1998:1479) om värdepapperscentraler och kontoföring av finansiella instrument, – lagen (2004:46) om värdepappersfonder, – lagen (2004:297) om bank- och finansieringsrörelse, – lagen (2006:531) om särskild tillsyn över finansiella konglomerat, – lagen (2007:528) om värdepappersmarknaden, – lagen (2010:751) om betaltjänster, – försäkringsrörelselagen (2010:2043), – lagen (2011:755) om elektroniska pengar, – lagen (2013:561) om förvaltare av alternativa investeringsfonder, – lagen (2014:968) om särskild tillsyn över kreditinstitut och värdepappersbolag, – lagen (2019:742) om tjänstepensionsföretag, – lagen (2021:899) med kompletterande bestämmelser till EU:s förordning om gräsrotsfinansiering, – lagen (2022:1746) med kompletterande bestämmelser till EU:s förordning om en paneuropeisk privat pensionsprodukt (PEPP-produkt), – lagen (2024:114) om clearing och avveckling av betalningar, eller – lagen (2024:1159) med kompletterande bestämmelser till EU:s förordning om marknader för kryptotillgångar.

Uppgiftsskyldighet i underrättelseverksamhet

2 § Ett e-legitimationsföretag ska på begäran av Polismyndigheten, Skatteverket, Säkerhetspolisen eller Tullverket lämna uppgifter om enskildas förhållanden till ett finansiellt företag, om uppgifterna behövs i ett enskilt fall i myndighetens verksamhet för att förebygga, förhindra eller upptäcka brottslig verksamhet som innefattar brott för vilket det i straffskalan ingår fängelse i ett år eller mer.

3 § Ett e-legitimationsföretag eller den som är verksam i ett sådant företag får inte obehörigen röja för den enskilde eller för någon utom-

stående att en myndighet har gjort en begäran eller att uppgifter har lämnats enligt 2 §. Bestämmelser om ansvar för den som bryter mot tystnadsplikten enligt första stycket finns i 20 kap. 3 § brottsbalken.

Uppgiftsskyldighet i vissa utredningar och ärenden

4 § Ett e-legitimationsföretag ska lämna uppgifter om enskildas förhållanden till ett finansiellt företag om det 1. under en utredning enligt bestämmelserna om förundersökning i brottmål begärs av undersökningsledaren, 2. under en utredning om självständigt förverkande begärs av åklagaren, 3. i ett ärende om rättslig hjälp i brottmål begärs av åklagaren på framställning av en annan stat eller en mellanfolklig domstol, eller 4. i ett ärende om erkännande och verkställighet av en europeisk utredningsorder begärs av åklagaren.

5 § Den undersökningsledare eller åklagare som begär uppgifter enligt 4 § får besluta att e-legitimationsföretaget eller den som är verksam i ett sådant företag inte får röja för den enskilde eller för någon utomstående att en myndighet har gjort en begäran eller att uppgifter har lämnats enligt 4 § eller att det pågår en förundersökning, en utredning om självständigt förverkande, ett ärende om rättslig hjälp i brottmål eller ett ärende om erkännande och verkställighet av en europeisk utredningsorder. Ett sådant förbud får meddelas om det krävs för att en utredning om brott eller självständigt förverkande inte ska äventyras eller för att uppfylla en internationell överenskommelse som är bindande för Sverige. Förbudet ska vara tidsbegränsat, med möjlighet till förlängning, och får inte avse längre tid än vad som är motiverat med hänsyn till syftet med förbudet. I ett ärende om rättslig hjälp i brottmål eller om erkännande och verkställighet av en europeisk utredningsorder får dock förbudet tidsbegränsas endast om den stat eller mellanfolkliga domstol som ansökt om rättslig hjälp eller den utländska myndighet som har utfärdat utredningsordern samtycker till detta. Om ett förbud inte längre är motiverat med hänsyn till syftet med förbudet, ska undersökningsledaren eller åklagaren besluta att förbudet ska upphöra.

6 § Till böter döms den som uppsåtligen eller av grov oaktsamhet bryter mot ett meddelandeförbud enligt 5 §.

Formerna för uppgifternas lämnande

7 § Uppgifter enligt 2 och 4 §§ ska lämnas utan dröjsmål och i elektronisk form.

8 § Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om hur uppgifter enligt 2 och 4 §§ ska lämnas.

Denna lag träder i kraft den 1 januari 2026.

1.2 Förslag till lag om ändring i lagen (2000:562) om internationell rättslig hjälp i brottmål Härigenom föreskrivs att 5 kap. 10 § lagen (2000:562) om internationell rättslig hjälp i brottmål ska ha följande lydelse.

5 kap.

10 §

Bestämmelser om uppgiftsskyldighet finns i

– 8 kap. 2 b § lagen (1998:1479) om värdepapperscentraler och konto-

– 2 kap. 20 § lagen (2004:46) om värdepappersfonder,

– 1 kap. 11 § lagen (2004:297) om bank- och finansieringsrörelse,

– 6 kap. 8 § lagen (2006:531) om särskild tillsyn över finansiella konglo-

– 1 kap. 12 § lagen (2007:528) om värdepappersmarknaden,

– 3 kap. 14 § lagen (2010:751) om betaltjänster,

– 19 kap. 46 § försäkringsrörelselagen (2010:2043),

– 3 kap. 14 § lagen (2011:755) om elektroniska pengar,

– 8 kap. 25 § lagen (2013:561) om förvaltare av alternativa investerings-

– 6 kap. 11 § lagen (2014:968) om särskild tillsyn över kreditinstitut och

– 16 kap. 37 § lagen (2019:742) om tjänstepensionsföretag,

– 1 kap. 7 § lagen (2021:899) med kompletterande bestämmelser till

EU:s förordning om gräsrotsfinansiering,

– 1 kap. 6 § lagen (2022:1746) med kompletterande bestämmelser till

EU:s förordning om en paneuropeisk privat pensionsprodukt (PEPP-

I de lagar som anges i första stycket finns även bestämmelser om

meddelandeförbud och ansvarsbestämmelser för den som bryter mot ett

Denna lag träder i kraft den 1 januari 2026.

Senaste lydelse 2025:173

1.3 Förslag till lag om ändring i lagen (2024:114) om clearing och avveckling av betalningar Härigenom föreskrivs att 6 kap. 7 § lagen (2024:114) om clearing och avveckling av betalningar ska ha följande lydelse.

6 kap.

7 §

Denna lag träder i kraft den 1 januari 2026.

1.4 Förslag till lag om ändring i lagen (2024:1159) med kompletterande bestämmelser till EU:s förordning om marknader för kryptotillgångar

Härigenom föreskrivs i fråga om lagen (2024:1159) med kompletterande bestämmelser till EU:s förordning om marknader för kryptotillgångar dels att det närmast efter rubriken ”Uppgiftsskyldighet” ska införas en ny paragraf, 1 kap. 4 a §, dels att det ska införas en ny paragraf, 1 kap. 8 §, och närmast före 1 kap. 8 § en ny rubrik av följande lydelse.

1 kap.

gifter enligt 4 a och 5 §§ ska lämnas. Denna lag träder i kraft den 1 januari 2026.

2 Rättslig reglering

2.1 E-legitimationer

E-legitimationer och e-legitimationsföretag

En e-legitimation är en elektronisk identitetshandling som kan användas för att identifiera innehavaren på distans. En e-legitimation kan finnas som en applikation i en mobiltelefon eller surfplatta eller som en fil på en dator. Den kan också finnas på en fysisk bärare, som ett kort. En innehavare av en e-legitimation kan använda denna för att identifiera sig vid kontakter med företag och myndigheter över internet och telefon. Ofta innefattar e-legitimationstjänsten en funktion för elektronisk underskrift, vilket gör det möjligt för innehavaren att på distans t.ex. underteckna ansökningar, ingå avtal och godkänna ekonomiska transaktioner. I det följande kommer både identifiering och underskrift med hjälp av e-legitimation benämnas legitimering. Sverige har, till skillnad från många andra länder, inte någon statlig e-legitimation. På den svenska marknaden finns däremot ett flertal privata aktörer som tillhandahåller e-legitimationstjänster. Två av dessa företag, Finansiell ID-teknik BID AB och Freja eID Group AB, tillhandahåller e-legitimationer som kan användas av privatpersoner för legitimering mot banker och andra finansiella företag. Finansiell ID-teknik BID AB ägs och förvaltas av sju svenska banker och tillhandahåller e-legitimationen bank-id. Bank-id finns i tre varianter, Mobilt bank-id, bank-id på fil och bank-id på kort. Bank-id utfärdas till privatpersoner av tio olika banker. Den som vill skaffa bank-id behöver ha ett svenskt personnummer och vara kund i någon av de tio bankerna. Bankid är den dominerande e-legitimationen på den svenska marknaden. Under 2024 hade 99,9 procent av alla folkbokförda personer i Sverige mellan 18 och 67 år ett bank-id. Allra vanligast är mobilt bank-id. Samma år var 7 500 organisationer från såväl privat som offentlig sektor anslutna till bank-id, däribland ett stort antal finansiella företag. Freja eID Group AB tillhandahåller e-legitimationen Freja plus. Freja eID Group AB är till skillnad från Finansiell ID-teknik BID AB fristående från banker och andra finansiella företag. Freja plus är den näst mest använda e-legitimationen i Sverige efter bank-id med över 1,2 miljoner användare 2024. Freja plus kan skaffas av personer som är folkbokförda i Sverige och har ett svenskt personnummer eller personer som inte är folkbokförda i landet men som har ett samordningsnummer med styrkt identitet. Freja plus kan användas i över 500 e-tjänster, däribland hos vissa finansiella företag. Utöver bank-id och Freja plus finns e-legitimationer som inte används mot finansiella företag, t.ex. den e-legitimation som finns i Skatteverkets id-kort för personer som är folkbokförda i Sverige och som utfärdas av Aktiebolaget Svenska Pass.

Nuvarande reglering av e-legitimationsföretag

I Europaparlamentets och rådets förordning (EU) nr 910/2014 av den 23 juli 2014 (eIDAS-förordningen), reviderad genom Europaparlamentets och rådets förordning (EU) 2024/1183 av den 11 april 2024, finns viss reglering av företag som tillhandahåller e-legitimationer. Förordningen syftar till att möjliggöra gränsöverskridande användning av e-legitimationer och innehåller bland annat bestämmelser om anmälan till EUkommissionen av system för elektronisk identifiering, tillitsnivåer för sådana system och krav på så kallade betrodda tjänster, dvs. tjänster för elektronisk underskrift. Förordningen kompletteras av bestämmelser i lagen (2016:561) med kompletterande bestämmelser till EU:s förordning om elektronisk identifiering samt förordningen (2016:576) med kompletterande bestämmelser till EU:s förordning om elektronisk identifiering. Utöver eIDAS-förordningen och de kompletterande bestämmelserna till förordningen finns det i svensk rätt inte någon direkt reglering av e-legitimationsföretagens verksamhet.

2.2 Uppgiftsskyldighet för finansiella företag

Uppgiftsskyldighet i rörelselagstiftningen

Den verksamhet som bedrivs av finansiella företag regleras i stor utsträckning av bestämmelser i den så kallade rörelselagstiftningen. I rörelselagarna finns bestämmelser om tystnadsplikt som innebär att finansiella företag inte obehörigen får röja uppgifter om enskildas förhållanden till företaget, se t.ex. 1 kap. 10 § lagen (2004:297) om bankoch finansieringsrörelse. Tystnadsplikten omfattar bl.a. uppgifter som enskilda lämnar vid en ansökan om att bli kund hos ett finansiellt företag, uppgifter om vilka transaktioner den enskilda genomför hos företaget och uppgifter om vilka tjänster som nyttjas hos företaget. Tystnadsplikten omfattar även teknisk information, t.ex. sådan information som genereras i samband med inloggning med en e-legitimation i företagets e-tjänster. De uppgifter som finansiella företag har om sina kunder kan ha stor betydelse för utredningar om brott. I rörelselagstiftningen finns därför bestämmelser om undantag från tystnadsplikten som innebär att företagen är skyldiga att lämna ut uppgifter om enskildas förhållanden till företaget när detta begärs av brottsbekämpande myndigheter (uppgiftsskyldighet). Uppgiftsskyldigheten gäller under förundersökning samt i vissa andra straffprocessuella ärenden, däribland ärenden om rättslig hjälp i brottmål (se t.ex. 1 kap. 11 § lagen om bank- och finansieringsrörelse). Från och med den 1 april 2025 gäller uppgiftsskyldighet även i de brottsbekämpande myndigheternas underrättelseverksamhet, dvs. för att förebygga, förhindra eller upptäcka brottslig verksamhet (se t.ex. 1 kap. 10 b § lagen om bank- och finansieringsrörelse). Uppgiftsskyldigheten gäller samtliga uppgifter om enskildas förhållanden till företaget. För att motverka att den som är misstänkt för brott får kännedom om att uppgifter har lämnats till brottsbekämpningen finns även

bestämmelser om tystnadsplikt och meddelandeförbud som innebär att anställda hos företaget inte får avslöja att uppgifter har begärts av eller lämnats till brottsbekämpande myndigheter (se t.ex. 1 kap. 10 b, 12 och 13 §§ lagen om bank- och finansieringsrörelse). Bestämmelser om uppgiftsskyldighet finns även i penningtvättslagstiftningen, se 4 kap. 6 § lagen (2017:630) om åtgärder mot penningtvätt och finansiering av terrorism.

Uppgiftsskyldighet för företag som omfattas av EU:s förordning om marknader för kryptotillgångar

Sedan den 30 december 2024 tillämpas Europaparlamentets och rådets förordning (EU) 2023/1114 av den av den 31 maj 2023 (EU:s förordning om marknader för kryptotillgångar). Förordningen fastställer enhetliga krav för utgivare av kryptotillgångar och leverantörer av kryptotillgångstjänster. Vilka företag som omfattas av bestämmelserna framgår av artikel 2. Förordningen kompletteras i svensk rätt av lagen (2024:1159) med kompletterande bestämmelser till EU:s förordning om marknader för kryptotillgångar. Lagen innehåller en bestämmelse om tystnadsplikt, som innebär att den som är eller har varit knuten till ett företag som omfattas av EU-förordningen som anställd eller uppdragstagare inte obehörigen får röja eller utnyttja vad han eller hon i anställningen eller under uppdraget har fått veta om någon annans affärsförhållanden eller personliga förhållanden (1 kap. 4 §). Därtill finns en bestämmelse om uppgiftsskyldighet (1 kap. 5 §). Uppgiftsskyldigheten gäller uppgifter som begärs av en förundersökningsledare under en förundersökning eller utredning om självständigt förverkande eller av en åklagare i ett ärende om rättslig hjälp i brottmål, på framställning av en annan stat eller en mellanfolklig domstol, eller i ett ärende om erkännande och verkställighet av en europeisk utredningsorder. Lagen innehåller däremot inte någon bestämmelse om uppgiftsskyldighet i underrättelseverksamhet (se föregående avsnitt).

3 Behovet av förändring

Promemorians bedömning: De brottsbekämpande myndigheterna behöver i sin brottsbekämpande verksamhet få tillgång till uppgifter från e-legitimationsföretag och företag som omfattas av EU:s förordning om marknader för kryptotillgångar. Behovet finns även i underrättelseverksamheten. En lagstadgad uppgiftsskyldighet för e-legitimationsföretag bör därför införas. Uppgiftsskyldigheten för företag som omfattas av EU:s förordning om marknader för kryptotillgångar bör utökas till att gälla i underrättelseverksamhet.

Skälen för promemorians bedömning

De brottsbekämpande myndigheterna har behov av finansiell information För att hindra brottsutvecklingen och främja en effektiv brottsbekämpning krävs att brottsbekämpande myndigheter på ett effektivt sätt kan få tillgång till information. Informationsbehovet från bl.a. finansiella företag kartläggs i betänkandet Ökat informationsflöde till brottsbekämpningen – En ny huvudregel (SOU 2023:69). I betänkandet framkommer att myndigheterna har behov av tillgång till finansiell information och att sådan information bedöms vara betydelsefull för bekämpande av all slags brottslighet, inte minst den organiserade brottsligheten. Behovet finns redan i myndigheternas underrättelseverksamhet. Vidare framkommer att privata aktörer många gånger motsätter sig att lämna uppgifter till de brottsbekämpande myndigheterna när lagstöd för detta saknas, bl.a. med hänvisning till att uppgiftslämnandet kan strida mot Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 (EU:s dataskyddsförordning) . Som ett resultat av kartläggningen infördes de bestämmelser om uppgiftsskyldighet i underrättelseverksamhet för finansiella företag som redogjorts för i föregående avsnitt (se avsnitt 6.2, 16.3 och 16.4 i betänkandet samt avsnitt 8 i prop. 2024/25:65).

E-legitimationsföretag har ett helikopterperspektiv på uppgifter om enskildas e-legitimationsanvändning mot finansiella företag Bland den finansiella information som är av betydelse för de brottsbekämpande myndigheternas arbete finns uppgifter om enskildas användning av e-legitimation mot finansiella företag. E-legitimationstjänster gör det möjligt för finansiella företag att legitimera sina kunder över internet, t.ex. vid inloggning i e-tjänster och för godkännande av transaktioner. I dag godkänns majoriteten av alla finansiella transaktioner som genomförs med hjälp av en e-legitimation. Brottsbekämpande myndigheter kan begära ut information om enskildas e-legitimationsanvändning mot ett finansiellt företag med stöd av bestämmelserna om uppgiftsskyldighet i rörelselagstiftningen. Ett finansiellt företag kan i regel endast lämna uppgifter som rör legitimeringar mot de tjänster som företaget tillhandahåller. En bank kan t.ex. endast lämna ut uppgifter om godkännande av sådana betalningar som genomförs av banken i fråga. En kartläggning av en persons e-legitimationsanvändning riskerar därför att bli resurskrävande eftersom förfrågningar måste göras mot flera olika finansiella företag. E-legitimationsföretag har tillgång till samtliga uppgifter om enskildas e-legitimationsanvändning och kan därför ge en samlad bild av hur en viss e-legitimation används. Med detta helikopterperspektiv är det möjligt att upptäcka mönster och beteenden som tyder på att e-legitimationen används vid brottslig verksamhet. Det kan t.ex. vara fråga om att en e-legitimation används för att godkänna betalningar i flera led över olika banker eller för att på kort tid ansöka om lån hos flera olika långivare. Det kan även vara att en viss persons e-legitimationer används från olika platser under samma tid, vilket kan tyda på att e-legitimationerna nyttjas av andra personer än innehavaren. Genom att kontrollera och använda flera digitala identiteter än sin egen i kontakten med finansiella företag kan kriminella

personer bl.a. genomföra bedrägerier eller vidta transaktioner med bulvanidentiteter.

En lagstadgad uppgiftsskyldighet för e-legitimationsföretag bör införas I betänkandet Stärkta åtgärder mot penningtvätt och finansiering av terrorism (SOU 2021:42, avsnitt 17.4) framkommer att Polismyndigheten har behov av att kunna inhämta uppgifter direkt från e-legitimationsföretag och på så sätt få tillgång till samlade uppgifter om enskildas e-legitimationsanvändning mot finansiella företag. En möjlighet för brottsbekämpande myndigheter att vända sig direkt till e-legitimationsföretagen och begära uppgifter bedöms kunna effektivisera myndigheternas arbete med att upptäcka och bekämpa brottslighet. Till skillnad från vad som gäller för finansiella företag saknas en lagreglerad tystnadsplikt för e-legitimationsföretag. Det finns alltså inte något som hindrar att e-legitimationsföretag vid misstanke om brott lämnar uppgifter om enskildas förhållanden till berörda myndigheter. Det finns emellertid inte heller någon skyldighet för dessa företag att lämna uppgifter till myndigheterna. Under pågående förundersökning kan uppgifter under vissa förhållanden inhämtas med stöd av rättegångsbalkens regler om beslag och husrannsakan (27 kap. 1 § och 28 kap. 1 § rättegångsbalken). Vidare kan en domstol efter framställan från förundersökningsledaren besluta om edition, det vill säga att ett visst skriftligt bevis ska läggas fram (23 kap. 14 § och 38 kap. 2 § rättegångsbalken). Möjligheterna till informationsinhämtning genom beslag, husrannsakan eller edition är dock begränsade i flera avseenden och kan inte användas i underrättelseverksamhet. För att undvika osäkerhet och säkerställa ett effektivt uppgiftslämnande bör det därför införas en lagstadgad uppgiftsskyldighet för e-legitimationsföretag.

Uppgiftsskyldigheten för företag som omfattas av EU:s förordning om marknader för kryptotillgångar bör gälla i underrättelseverksamhet Som redogjorts för i föregående avsnitt har de brottsbekämpande myndigheterna behov av finansiell information i sin underrättelseverksamhet. Till skillnad från vad som gäller för andra finansiella företag saknas det bestämmelser om uppgiftsskyldighet i underrättelseverksamhet för företag som omfattas av EU:s förordning om marknader för kryptotillgångar. Det finns inte några skäl för att en sådan uppgiftsskyldighet inte skulle gälla för dessa företag. Uppgiftsskyldigheten bör därför utökas till att gälla i underrättelseverksamhet.

4 Uppgiftsskyldighet för e-legitimationsföretag

4.1 Uppgiftsskyldighetens omfattning och skyddet för den personliga integriteten

Promemorians bedömning: En uppgiftsskyldighet för e-legitimationsföretag bör utformas med beaktande av det grundlagsstadgade skyddet mot betydande intrång i den personliga integriteten. Syftet med uppgiftsskyldigheten bör vara att komplettera uppgiftsskyldigheten för finansiella företag.

Skälen för promemorians bedömning

Allmänt om skyddet för den personliga integriteten Av 2 kap. 6 § andra stycket regeringsformen följer att var och en är gentemot det allmänna skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Skyddet för den personliga integriteten får endast begränsas genom lag och för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle. En begränsning får aldrig gå utöver vad som är nödvändigt med hänsyn till ändamålet (2 kap. 20 – 21 §§ regeringsformen). Rätten till skydd för den personliga integriteten följer även av artikel 8 i Europakonventionen. Var och en har enligt konventionen rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. Rätten till skydd för privat- och familjeliv omfattar bl.a. skydd mot övervakning i olika former och får inte inskränkas annat än med stöd av lag och om det i ett demokratiskt samhälle är nödvändigt, till exempel med hänsyn till statens säkerhet och den allmänna säkerheten, förebyggande av oordning och brott eller skydd för andra personers fri- och rättigheter. Ett motsvarande skydd för privat- och familjeliv finns i artikel 7 i EU:s rättighetsstadga.

Uppgiftsskyldigheten bör endast avse uppgifter om enskildas förhållanden till finansiella företag E-legitimationsföretag har tillgång till alla uppgifter om de legitimeringar som sker med en e-legitimation som företaget tillhandahåller. E-legitimationer används i stor utsträckning mot andra aktörer än finansiella företag. E-legitimationer kan t.ex. användas vid myndighetskontakter och vårdbesök, för identifikation hos apotek eller postombud eller för att signera handlingar digitalt. Företagen har även tillgång till uppgifter som enskilda lämnar när de införskaffar e-legitimationen. Det kan handla om kontaktuppgifter, uppgifter från pass eller id-kort och fotografier av användaren. När en legitimering genomförs får e-legitimationsföretaget i regel också olika slags lokaliseringsuppgifter från den enhet, t.ex. mobiltelefon, som

e-legitimationen finns på. Det kan vara fråga om uppgifter om uppkopplingar mot gps-nätverk, wifi-nätverk eller mobilnätverk. Med hjälp av den stora mängd uppgifter som e-legitimationsföretag har om sina användare kan det, för den som har tillgång till uppgifterna, i många fall vara möjligt att skapa en tydlig bild av enskilda personers liv och rörelsemönster. En lagstadgad rätt för myndigheter att ta del av dessa uppgifter kan innebära betydande intrång i enskildas personliga integritet. En begränsning av det grundlagsstadgade skyddet för den personliga integriteten, som en uppgiftsskyldighet innebär, måste utformas på ett sätt som gör att begränsningen inte blir större än vad som är proportionerligt och nödvändigt. Det behov av information från e-legitimationsföretag som framkommit avser i första hand samlade uppgifter om enskildas e-legitimationsanvändning mot finansiella företag, dvs. ett helikopterperspektiv på sådana uppgifter som i dag kräver att en förfrågan görs hos varje enskilt finansiellt företag. En uppgiftsskyldighet för e-legitimationsföretag bör därför syfta till att komplettera de befintliga bestämmelserna om uppgiftsskyldighet för finansiella företag. Mot denna bakgrund bör uppgiftsskyldigheten för e-legitimationsföretag begränsas till att endast avse uppgifter om enskildas förhållanden till finansiella företag. En lagstadgad uppgiftsskyldighet som omfattar fler uppgifter än så kräver överväganden som inte kan göras inom ramen för denna promemoria.

E-legitimationsföretag bör inte vara skyldiga att lämna ut andra slags uppgifter än de finansiella företagen De uppgifter som e-legitimationsföretagen har om enskildas förhållanden till finansiella företag utgörs i huvudsak av uppgifter om e-legitimationsanvändning mot de finansiella företagen. När en legitimering sker mot ett finansiellt företag får företaget tillgång till vissa uppgifter, t.ex. tidpunkten för legitimering och i vilket syfte legitimeringen har gjorts. Dessa uppgifter kan därefter begäras ut från det finansiella företaget. E-legitimationsföretagen, som tillhandahåller den tekniska infrastrukturen för e-legitimationerna, har dock i regel tillgång till mer information om en legitimering än vad som delas med det finansiella företaget. Ett exempel på sådan information är lokaliseringsuppgifter. De brottsbekämpande myndigheternas rätt att inhämta lokaliseringsuppgifter i samband med brottsutredningar är begränsad och omgärdad av vissa rättssäkerhetsgarantier. Inhämtning under förundersökning regleras i 27 kap. rättegångsbalken. Inhämtning får endast ske i fråga om vissa brottstyper och kräver tillstånd från domstol. I underrättelseverksamhet regleras inhämtning av lokaliseringsuppgifter i lagen (2012:278) om inhämtning av uppgifter om elektronisk kommunikation i de brottsbekämpande myndigheternas underrättelseverksamhet och lagen (2007:979) om åtgärder för att förhindra vissa särskilt allvarliga brott. Enligt den förstnämnda lagen krävs tillstånd från åklagare och att Säkerhets- och integritetsskyddsnämnden underrättas om inhämtningen. Enligt den senare lagen krävs tillstånd från domstol. Båda lagarna kräver att det är fråga om särskilt kvalificerad brottslighet. Syftet med de föreslagna bestämmelserna om uppgiftsskyldighet är att ge de brottsbekämpande myndigheterna en samlad bild av enskildas e-legitimationsanvändning mot finansiella företag. Med beaktande av detta och skyddet för den personliga integriteten bör förslaget inte innebära

en utökning av den lagstadgade möjligheten för myndigheter att inhämta lokaliseringsuppgifter eller andra uppgifter om enskildas e-legitimationsanvändning. En uppgiftsskyldighet för e-legitimationsföretag bör därför endast omfatta uppgifter om en legitimering som hade kunnat lämnas ut av det finansiella företaget som legitimeringen skett mot. Av detta följer att de uppgifter som omfattas av uppgiftsskyldigheten kan variera från fall till fall. Det bör ankomma på e-legitimationsföretaget att i det enskilda fallet avgöra vilka uppgifter som företaget är skyldigt att lämna ut samt vid behov samråda med det finansiella företaget som uppgifterna avser. I sammanhanget bör det noteras att lokaliseringsuppgifter kan omfattas av uppgiftsskyldigheten för finansiella företag i den mån uppgifterna kan kopplas till en kund hos företaget (se prop. 2024/25:65 s. 166 – 167). Ett e-legitimationsföretag som delar lokaliseringsuppgifter med ett finansiellt företag är därmed skyldigt att lämna ut uppgifterna i den mån uppgifterna hade kunnat lämnas ut av det finansiella företaget.

Begränsningen av skyddet för den personliga integriteten är proportionerlig De föreslagna bestämmelserna om uppgiftsskyldighet för e-legitimationsföretag förväntas effektivisera arbetet med att bekämpa alla former av brott, däribland den allvarliga, organiserade brottsligheten. Uppgiftsskyldigheten begränsas på så sätt att e-legitimationsföretag inte är skyldiga att lämna ut andra uppgifter än sådana uppgifter som de brottsbekämpande myndigheterna redan har rätt att ta del av från de finansiella företagen (se även i det följande ang. begränsningar av uppgiftsskyldigheten i underrättelseverksamhet). Även om uppgiftsskyldigheten för e-legitimationsföretag ger de brottsbekämpande myndigheterna rätt att ta del av fler uppgifter om enskilda är det inte fråga om några andra slags uppgifter än vad de redan har tillgång till. De uppgifter som e-legitimationsföretagen lämnar skyddas också av sekretessbestämmelser i de mottagande myndigheternas verksamhet, t.ex. 18 kap. 1 och 2 §§ samt 35 kap. 1 § offentlighetsoch sekretesslagen (2009:400). Den begränsning av skyddet för den personliga integriteten som förslaget innebär bedöms därför vara proportionerlig (jfr prop. 2024/25:65 s. 171 – 172).

4.2 En ny lag om uppgiftsskyldighet för vissa e-legitimationsföretag

Promemorians förslag: Det ska införas en ny lag om att vissa e-legitimationsföretag ska vara skyldiga att på begäran av brottsbekämpande myndigheter lämna uppgifter om enskildas förhållanden till finansiella företag.

Skälen för promemorians förslag: En lagstadgad uppgiftsskyldighet för e-legitimationsföretag införs lämpligast genom en ny lag. Den nya lagen bör innehålla bestämmelser om uppgiftsskyldighet för e-legitimationsföretag och relaterade bestämmelser om b.la. tystnadsplikt och meddelandeförbud. Bestämmelserna är avsedda att komplettera de bestämmelser

om uppgiftsskyldighet som finns för finansiella företag och bör därför utformas med ledning av de bestämmelser om uppgiftsskyldighet som finns i rörelselagstiftningen. Den föreslagna uppgiftsskyldigheten är avsedd att möjliggöra ett helikopterperspektiv över sådan information som redan i dag kan inhämtas med stöd av bestämmelser om uppgiftsskyldighet i rörelselagstiftningen, dvs. uppgifter om enskildas förhållanden till finansiella företag. Det bör därför framgå av lagen att den föreslagna uppgiftsskyldigheten gäller för uppgifter om enskildas förhållanden till sådana finansiella företag som omfattas av bestämmelser om uppgiftsskyldighet. Som en följd av att det införs en ny bestämmelse om uppgiftsskyldighet som gäller i ärenden om internationell rättslig hjälp i brottmål bör en ändring göras i lagen (2000:562) om internationell rättslig hjälp i brottmål, där nu gällande uppgiftsskyldigheter finns uppräknade.

4.3 E-legitimationsföretagens uppgiftsskyldighet

Promemorians förslag: Ett e-legitimationsföretag ska vara skyldigt att på begäran av Polismyndigheten, Skatteverket, Säkerhetspolisen eller Tullverket lämna uppgifter om enskildas förhållanden till ett finansiellt företag. Uppgifterna ska lämnas om de behövs i ett enskilt fall i myndighetens verksamhet för att förebygga, förhindra eller upptäcka brottslig verksamhet som innefattar brott för vilket det i straffskalan ingår fängelse i ett år eller mer. Ett e-legitimationsföretag ska vara skyldigt att lämna uppgifter om enskildas förhållanden till ett finansiellt företag om det begärs av en förundersökningsledare eller en åklagare under en förundersökning, en utredning om självständigt förverkande, ett ärende om rättslig hjälp i brottmål eller ett ärende om erkännande och verkställighet av en europeisk utredningsorder. Promemorians bedömning : E-legitimationsföretag bör inte stå under tillsyn.

Skälen för promemorians förslag och bedömning

Allmänt om bestämmelsernas utformning För finansiella företag gäller uppgiftsskyldighet dels i de brottsbekämpande myndigheternas underrättelseverksamhet, dels under förundersökning samt vissa andra straffprocessuella ärenden, se t.ex. 1 kap. 10 b och 11 §§ lagen om bank- och finansieringsrörelse. För att uppgiftsskyldigheten för e-legitimationsföretag ska uppnå sitt syfte bör den gälla i motsvarande utsträckning. Det finns därför anledning att utforma bestämmelserna om uppgiftsskyldighet för e-legitimationsföretag på ett sätt som överensstämmer med hur bestämmelserna om uppgiftsskyldighet i rörelselagstiftningen är utformade. Bestämmelserna om uppgiftsskyldighet bör innebära en skyldighet för e-legitimationsföretag att lämna uppgifter om enskildas förhållanden till finansiella företag. De finansiella företag som avses är sådana företag som omfattas av bestämmelser om uppgiftsskyldighet. Skyldigheten omfattar

enbart sådana uppgifter om enskildas förhållanden, i praktiken uppgifter om legitimeringar, som hade kunnat lämnas ut av de finansiella företagen i fråga.

Uppgiftsskyldighet i underrättelseverksamhet De brottsbekämpande myndigheter som har rätt att begära uppgifter i underrättelseverksamhet bör, precis som för finansiella företag, vara Polismyndigheten, Skatteverket, Säkerhetspolisen och Tullverket. Polismyndighetens rätt att begära uppgifter omfattar även den underrättelseverksamhet som Polismyndigheten bedriver för Ekobrottsmyndigheten. När uppgifter begärs i underrättelseverksamhet saknas ofta konkreta brottsmisstankar eller en utpekad misstänkt person. Risken för att den information som lämnas ut visar sig vara irrelevant eller avse personer utan koppling till brottslighet får anses större än när uppgifter lämnas under en pågående förundersökning. Bestämmelser om uppgiftsskyldighet i underrättelseverksamhet innebär alltså en ökad risk för att uppgifter lämnas på ett sätt som medför oproportionerliga intrång i enskildas personliga integritet. Bestämmelserna om uppgiftsskyldighet i underrättelseverksamhet för finansiella företag är därför begränsade i vissa avseenden. Uppgiftsskyldigheten gäller endast om det finns behov av uppgifterna i ett enskilt fall. Detta innebär att det måste finnas ett konkret underrättelseärende som ger myndigheten anledning att begära ut uppgifterna. Det ska inte vara fråga om ett systematiskt insamlande av uppgifter. Det måste även vara fråga om misstankar om kvalificerad brottslighet. Med kvalificerad brottslighet avses brott för vilka det i straffskalan ingår fängelse i ett år eller mer. Det är tillräckligt att de uppgifter som begärs typiskt sett behövs för att förebygga, förhindra och upptäcka sådan brottslighet (prop. 2024/25:65 s. 167 – 169). Motsvarande krav bör uppställas när det gäller den nu föreslagna uppgiftsskyldigheten. Uppgiftsskyldigheten i underrättelseverksamhet för e-legitimationsföretag bör därför förutsätta att uppgifterna behövs i ett enskilt fall för att förebygga, förhindra eller upptäcka brottslig verksamhet som innefattar brott för vilket det i straffskalan ingår fängelse i ett år eller mer.

Uppgiftsskyldighet i vissa utredningar och ärenden Finansiella företag är skyldiga att lämna uppgifter när det begärs av en förundersökningsledare eller en åklagare under en förundersökning, en utredning om självständigt förverkande, ett ärende om rättslig hjälp i brottmål eller ett ärende om erkännande och verkställighet av en europeisk utredningsorder. Motsvarande uppgiftsskyldighet bör gälla för e-legitimationsföretag. Uppgiftsskyldigheten bör gälla oavsett om de uppgifter som begärs avser en misstänkt person eller inte, så länge uppgifterna har betydelse för ärendet.

E-legitimationsföretag bör inte stå under tillsyn För de finansiella företag som står under Finansinspektionens tillsyn omfattar tillsynen att bestämmelserna om uppgiftsskyldighet efterlevs (se t.ex. 13 kap. 2 § lagen om bank- och finansieringsrörelse). E-legitimationsföretag är inte finansiella företag och deras verksamhet omfattas inte av 19

någon rörelselagstiftning eller av Finansinspektionens tillsyn. Att den föreslagna uppgiftsskyldigheten avser finansiell information ger inte anledning att införa bestämmelser om tillsyn över e-legitimationsföretag.

4.4 Tystnadsplikt och meddelandeförbud

Promemorians förslag: Ett e-legitimationsföretag eller den som är eller har varit verksam i företaget ska inte obehörigen få röja att en myndighet har gjort en begäran om uppgifter eller att uppgifter har lämnats i myndighetens underrättelseverksamhet. En förundersökningsledare eller åklagare som begär uppgifter från ett e-legitimationsföretag ska få besluta om meddelandeförbud.

Skälen för promemorians förslag

Tystnadsplikt respektive meddelandeförbud ska gälla för att uppgifter har begärts eller lämnats De föreslagna bestämmelserna om uppgiftsskyldighet syftar till att möjliggöra och effektivisera upptäckt och bekämpande av brott. För att uppnå detta syfte är det viktigt att införa mekanismer för att förhindra att personer som misstänks för brott får kännedom om att uppgifter som rör dem har begärts av eller lämnats ut till de brottsbekämpande myndigheterna. Det bör därför införas förbud för e-legitimationsföretag, eller de som är verksamma i ett sådant företag, att röja att uppgifter har begärts eller lämnats i enlighet med de föreslagna bestämmelserna om uppgiftsskyldighet. Ett röjandeförbud kan utformas antingen som en tystnadsplikt eller som ett meddelandeförbud. En tystnadsplikt är generell och kräver inte något särskilt beslut för att gälla. Ett meddelandeförbud innebär att den förundersökningsledare eller åklagare som begärt uppgifterna får besluta att uppgiftslämnaren inte får röja att uppgifter har begärts eller lämnats. Meddelandeförbudet kan förenas med en ansvarsbestämmelse. Bestämmelser om tystnadsplikt och meddelandeförbud utgör begränsningar av yttrandefriheten enligt 2 kap. 1 § första stycket 1 regeringsformen. Bestämmelserna om uppgiftsskyldighet i rörelselagarna kompletteras i regel med bestämmelser om tystnadsplikt i fråga om underrättelseverksamhet och meddelandeförbud i fråga om förundersökning m.m. (se t.ex. 1 kap. 10 b och 12 §§ lagen om bank- och finansieringsrörelse).

Tystnadsplikt ska gälla för att uppgifter har begärts eller lämnats i underrättelseverksamhet I förarbetena till bestämmelserna om uppgiftsskyldighet i underrättelseverksamhet för finansiella företag konstateras att det, eftersom det gäller just underrättelseverksamhet, kan förutses att ett meddelandeförbud skulle behöva beslutas i den stora majoriteten av alla de ärenden där en begäran kan komma att göras. Detta talar för att begränsningen av yttrandefriheten i praktiken knappast blir nämnvärt större med en tystnadsplikt än med ett meddelandeförbud, samtidigt som en ordning med meddelandeförbud riskerar att bli administrativt krävande (prop. 2024/25:65 s. 173).

Samma skäl gör sig gällande vid utformningen av ett röjandeförbud beträffande den nu föreslagna uppgiftsskyldigheten i underrättelseverksamhet. Röjandeförbudet bör därför utformas som en tystnadsplikt. Tystnadsplikten bör omfatta både att uppgifter har begärts och att de har lämnats och gälla för såväl e-legitimationsföretaget i sig som den som är verksam i företaget. Med den som är verksam i företaget avses en person som är eller har varit knuten till företaget i egenskap av styrelseledamot eller anställd. Tystnadsplikten bör endast avse obehörigt röjande, vilket innebär att det är tillåtet att lämna uppgifter t.ex. om det sker med stöd av lag (jfr prop. 2024/25:65 s. 173 – 174). För brott mot tystnadsplikten gäller ansvar enligt 20 kap. 3 § brottsbalken. Det bör införas en upplysning om detta i bestämmelsen om tystnadsplikt.

Meddelandeförbud ska kunna meddelas när uppgifter har begärts eller lämnats i vissa utredningar och ärenden En bestämmelse om meddelandeförbud vid uppgiftslämnande inom ramen för bl.a. förundersökning finns i 1 kap. 12 § lagen om bank- och finansieringsrörelse. I förarbetena till bestämmelsen anges, som skäl för ett meddelandeförbud i stället för en generell tystnadsplikt, att ett generellt förbud är för långtgående när förbudet ska gälla oavsett vilken slags brottslighet det är fråga om. Vidare anges att det kan finnas situationer då det saknas behov av att förbjuda ett röjande, t.ex. då den misstänkte inom kort ska konfronteras med bevisningen, samt situationer där ett förbud bör kunna tidsbegränsas (prop. 2004/05:144 s. 187). Samma skäl gör sig gällande när det kommer till utformningen av ett röjandeförbud för e-legitimationsföretag som lämnar uppgifter under förundersökning m.m. Röjandeförbudet bör därför utformas som ett meddelandeförbud. Meddelandeförbudet bör omfatta både att uppgifter har begärts och lämnats och beslutas av den förundersökningsledare eller åklagare som har begärt uppgifterna. Förbudet bör kunna riktas mot samma krets som omfattas av tystnadsplikt enligt 3 § och vara tidsbegränsat. Om det avser uppgifter som lämnats i ett ärende om rättslig hjälp eller europeisk utredningsorder krävs dock samtycke från den stat, mellanfolkliga domstol eller utländska myndighet som gjort ansökan. När förbudet inte tidsbegränsats bör det hävas när det inte längre är motiverat. För att säkerställa efterlevnaden av meddelandeförbudet bör detta, i enlighet med vad som gäller för meddelandeförbud för finansiella företag, förenas med en bestämmelse om straffansvar. Den som uppsåtligen eller av grov oaktsamhet bryter mot förbudet bör därför kunna dömas till böter (jfr 1 kap. 13 § lagen om bank- och finansieringsrörelse och prop. 2004/05:144 s. 187 – 188).

Tystnadsplikt och meddelandeförbud utgör proportionerliga begränsningar av yttrandefriheten Begränsningar av yttrandefriheten får endast göras genom lag och med hänsyn till vissa särskilt angivna ändamål, bl.a. förebyggandet och beivrandet av brott. Begränsningarna måste också tillgodose ändamål som är godtagbara i ett demokratiskt samhälle och får aldrig gå utöver vad som

är nödvändigt med hänsyn till det ändamål som har motiverat dem (2 kap. 20, 21 och 23 §§ regeringsformen). De föreslagna bestämmelserna om tystnadsplikt och meddelandeförbud har ett angeläget syfte, nämligen att förhindra att brottsmisstänkta personer får reda på att det har inletts ett underrättelseärende eller att uppgifter inhämtats inom ramen för t.ex. en förundersökning. Detta är nödvändigt för att ge den föreslagna uppgiftsskyldigheten avsedd effekt och säkerställa en effektiv brottsbekämpning. Tystnadsplikten har därtill begränsats till att endast omfatta obehörigt röjande och meddelandeförbudet till att endast gälla efter särskilt beslut. Den begränsning av yttrandefriheten som förslaget innebär bedöms därför vara proportionerlig.

4.5 Formerna för uppgifternas lämnande

Promemorians förslag: Uppgifter ska lämnas till de brottsbekämpande myndigheterna utan dröjsmål och i elektronisk form. Regeringen eller den myndighet som regeringen bestämmer ska få meddela föreskrifter om hur uppgifterna ska lämnas.

Skälen för promemorians förslag: Det är viktigt att brottsutredningar kan bedrivas på ett effektivt sätt, inte minst i ärenden där frihetsberövanden förekommer. Uppgifter som begärs enligt de föreslagna bestämmelserna bör därför lämnas utan dröjsmål. När ett e-legitimationsföretag får in en begäran om att lämna uppgifter ankommer det på företaget att skyndsamt pröva om förutsättningar för utlämnande finns. Det är i praktiken fråga om en formell prövning som omfattar att kontrollera att begäran innehåller den information som krävs för uppgiftsskyldighet, t.ex. att det finns ett pågående underrättelseärende avseende tillräckligt kvalificerad brottslighet. E-legitimationsföretaget kan utgå från att de materiella förutsättningarna för att lämna uppgifter är uppfyllda (jfr prop. 2024/25:65 s. 169 – 170). De föreslagna bestämmelserna om uppgiftsskyldighet utgör en miniminivå för vilka uppgifter som ett e-legitimationsföretag är skyldigt att lämna till brottsbekämpningen. Det ankommer på e-legitimationsföretaget att säkerställa att de uppgifter som lämnas motsvarar de uppgifter som hade kunnat lämnas av det finansiella företag som uppgifterna avser. Till skillnad från vad som gäller för finansiella företag omfattas uppgifter om enskilda som finns hos e-legitimationsföretag inte av någon lagstadgad tystnadsplikt. Det finns därför inte något lagligt hinder mot att e-legitimationsföretaget lämnar fler uppgifter än vad det finansiella företaget hade kunnat lämna. När uppgifter lämnas bör detta ske i elektronisk form på samma sätt som gäller för finansiella företag (se t.ex. 1 kap. 10 b och 11 §§ lagen om bankoch finansieringsrörelse samt prop. 2017/18:291 s. 36 – 37). Den information som begärs ut kan behöva lämnas på olika sätt, t.ex. beroende på vad det är fråga om för uppgifter och om informationen inhämtas i underrättelseverksamhet eller inte. Det kan därför behövas mer detaljerad reglering av hur uppgiftslämnandet ska ske. En sådan reglering bör inte ske i lag. Det bör i stället införas ett bemyndigande som innebär att 22 regeringen eller den myndighet som regeringen bestämmer får meddela

föreskrifter om hur uppgifter ska lämnas. Liknande bemyndiganden finns i rörelselagstiftningen (t.ex. 16 kap. 1 § första stycket 2 lagen om bankoch finansieringsrörelse). Även om föreskrifter meddelas med stöd av bemyndigandet ankommer det på e-legitimationsföretagen och de brottsbekämpande myndigheterna att tillsammans upprätta rutiner och system som möjliggör ett effektivt informationsutbyte.

4.6 Personuppgiftsbehandling

Promemorians bedömning: Det behöver inte införas någon ytterligare reglering av den personuppgiftsbehandling som följer av förslaget om uppgiftsskyldighet.

Skälen för promemorians bedömning: EU:s dataskyddsförordning är tillämplig på den personuppgiftsbehandling som sker hos e-legitimationsföretag. Att behandla personuppgifter för att lämna ut dem i enlighet med de föreslagna uppgiftsskyldigheterna innebär ett fullgörande av rättsliga förpliktelser och att uppgifter av allmänt intresse utförs och bör därför vara tillåten (laglig) enligt artikel 6.1 c och e i förordningen. De personuppgifter som lämnas enligt uppgiftsskyldigheterna har dock i regel samlats in i samband med enskildas e-legitimationsanvändning, vilket väcker frågan om en vidarebehandling av uppgifterna ska anses tillåten. Av artikel 5.1 b följer att personuppgifter endast får samlas in för vissa särskilda, uttryckligt angivna och berättigade ändamål och att de därefter inte får bli föremål för vidarebehandling på ett sätt som är oförenligt med ändamålet. Av artikel 6.4 framgår dock att sådan vidarebehandling är tillåten om den grundar sig på en medlemsstats nationella rätt som utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle för att skydda de mål som avses artikel 23.1, däribland förebyggande, utredning eller lagföring av brott. De föreslagna bestämmelserna om uppgiftsskyldighet syftar till att effektivisera brottsbekämpningen och förutsätter att e-legitimationsföretag behandlar personuppgifter i syfte att lämna dessa till brottsbekämpande myndigheter. Bestämmelserna utgör därmed rättslig grund enligt artikel 6.4 för vidarebehandling av personuppgifter. Det ankommer dock på e-legitimationsföretagen att säkerställa att vidarebehandlingen även i övrigt är förenlig med de krav som uppställs i EU:s dataskyddsförordning. Fullgörande av uppgiftsskyldigheten kan komma att innebära behandling av känsliga personuppgifter eller uppgifter om lagöverträdelser (artikel 9.1 och 10). Känsliga personuppgifter får behandlas om det är nödvändigt med hänsyn till ett viktigt allmänt intresse som sker på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen (artikel 9.2 g). Att effektivisera brottsbekämpningen, vilket är syftet med de föreslagna bestämmelserna om uppgiftsskyldighet, är ett sådant viktig allmänt intresse som kan motivera behandling av känsliga personuppgifter. Uppgifter om lagöverträdelser får be-

handlas av andra än myndigheter om det är nödvändigt för att fullgöra en rättslig förpliktelse enligt lag (artikel 10 och 5 § 2 förordningen [2018:219] med kompletterande bestämmelser till EU:s dataskyddsförordning). De föreslagna bestämmelserna innebär en rättslig förpliktelse för e-legitimationsföretag. Sådan behandling av uppgifter om lagöverträdelser som är nödvändig för att fullgöra uppgiftsskyldigheten bör därför vara tillåten. Vidare är skyldigheten att lämna uppgifter begränsad på flera sätt och de uppgifter som lämnas kommer att omfattas av sekretess i de brottsbekämpande myndigheternas verksamhet. Sammanfattningsvis bedöms därför den personuppgiftsbehandling som förslaget medför för e-legitimationsföretagen vara förenlig med EU:s dataskyddsförordning. Förslaget medför inte behov av att införa några särskilda bestämmelser för personuppgiftsbehandlingen. I artiklarna 13 – 15 i EU:s dataskyddsförordning finns bestämmelser om enskildas rätt att få information om att deras personuppgifter behandlas och att få tillgång till uppgifterna. Av 5 kap. 1 § lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen) följer att rätten till information och tillgång inte gäller sådana uppgifter som den personuppgiftsansvarige inte får lämna ut till den registrerade enligt lag eller annan författning eller enligt beslut som har meddelats med stöd av författning. Detta innebär att e-legitimationsföretag inte är skyldiga att lämna ut sådana uppgifter om personuppgiftsbehandling som omfattas av tystnadsplikt eller meddelandeförbud enligt de föreslagna bestämmelserna. När de brottsbekämpande myndigheterna tar emot begärda uppgifter gäller brottsdatalagen (2018:1177). Brottsdatalagen kompletteras av de brottsbekämpande myndigheternas registerförfattningar. Det finns rättslig grund för den personuppgiftsbehandling som aktualiseras hos myndigheterna i dessa lagar, se t.ex. 2 kap. 1 § lagen (2018:1693) om polisens behandling av personuppgifter inom brottsdatalagens område. När Säkerhetspolisen behandlar personuppgifter som rör nationell säkerhet i myndighetens brottsbekämpande verksamhet gäller dock inte brottsdatalagen. I stället är lagen (2019:1182) om Säkerhetspolisens behandling av personuppgifter (Säkerhetspolisens datalag) tillämplig. Rättslig grund för Säkerhetspolisens personuppgiftsbehandling finns i 2 kap. 1 § i den lagen. De föreslagna bestämmelserna kommer innebära ökad personuppgiftsbehandling för de brottsbekämpande myndigheterna. Det är däremot inte fråga om några andra slags personuppgifter än vad myndigheterna redan har rätt att ta del av från de finansiella företagen. Det integritetsintrång som den aktuella behandlingen hos de brottsbekämpande myndigheterna ger upphov till för den enskilde bedöms stå i proportion till det eftersträvade syftet, nämligen att effektivisera arbetet med att bekämpa brott. Mot den bakgrunden medför inte förslaget något behov av ytterligare bestämmelser för de brottsbekämpande myndigheternas personuppgiftsbehandling.

5 Uppgiftsskyldighet för företag som omfattas av EU:s förordning om marknader för kryptotillgångar

5.1 En ny bestämmelse om uppgiftsskyldighet i underrättelseverksamhet ska införas

Promemorians förslag: Företag som omfattas av EU:s förordning om marknader för kryptotillgångar ska vara uppgiftsskyldiga i de brottsbekämpande myndigheternas verksamhet för att förebygga, förhindra eller upptäcka brottslig verksamhet. Regeringen eller den myndighet som regeringen bestämmer ska få meddela föreskrifter om hur uppgifterna ska lämnas.

Skälen för promemorians förslag

Uppgiftsskyldigheten ska gälla i underrättelseverksamhet Avsaknaden av möjligheter för de brottsbekämpande myndigheterna att begära in uppgifter i underrättelseverksamheten från företag som omfattas av EU:s förordning om marknader för kryptotillgångar medför en risk för att brottslighet inte upptäcks, att utredningar försvåras och att gärningspersoner undgår lagföring. En bestämmelse om uppgiftsskyldighet i underrättelseverksamhet bör därför införas i lagen med kompletterande bestämmelser till EU:s förordning om marknader för kryptotillgångar. Bestämmelsen bör utformas på samma sätt och med samma begränsningar som motsvarande bestämmelser för andra finansiella företag. Uppgiftsskyldigheten bör därför endast gälla när uppgifter begärs i ett enskilt fall och det finns behov av uppgifterna i den begärande myndighetens brottsbekämpande verksamhet. De brottsmisstankar som underrättelseärendet avser måste också vara kvalificerade på så sätt att det för den aktuella brottsligheten ska vara föreskrivet minst ett års fängelse. När uppgifter begärts ansvarar företaget som har uppgifterna för att pröva om förutsättningarna för utlämnande är uppfyllda. I praktiken blir det fråga om en formell prövning (jfr prop. 2024/25:65 s. 166 f.).

Tystnadsplikt ska gälla för att uppgifter har begärts eller lämnats För att uppgiftsskyldighet ska fungera som ett effektivt verktyg i brottsbekämpningen bör personer som kan misstänkas för brottslig verksamhet inte kunna få kännedom om att ett underrättelseärende pågår. Det finns därför anledning att införa en tystnadsplikt för att uppgifter har begärts eller lämnats, motsvarande den som gäller för andra finansiella företag (se t.ex. 1 kap. 10 b § lagen- om bank och finansieringsrörelse). Det bör även införas en upplysning om att ansvar enligt 20 kap. 3 § brottsbalken kan aktualiseras för brott mot tystnadsplikten.

Formerna för uppgifternas lämnande Uppgiftslämnande bör ske på samma sätt som när uppgifter lämnas under pågående förundersökning, det vill säga utan dröjsmål och i elektronisk form. I de övriga rörelselagarna har den närmare regleringen av sättet för uppgifternas lämnande överlåtits till regeringen eller den myndighet som regeringen bestämmer. Bemyndigandet gäller både vid fullgörande av uppgiftsskyldighet i underrättelseverksamhet och under pågående förundersökning m.m. (se t.ex. 16 kap. 1 § första stycket 2 lagen om bankoch finansieringsrörelse). Motsvarande bemyndigande bör införas beträffande bestämmelserna om uppgiftsskyldighet i lagen med kompletterande bestämmelser till EU:s förordning om marknader för kryptotillgångar.

5.2 Personuppgiftsbehandling

Promemorians bedömning: Det behöver inte införas någon ytterligare reglering av den personuppgiftsbehandling som följer av bestämmelsen om uppgiftsskyldighet. Den begränsning av det grundlagsstadgade skyddet mot betydande intrång i den personliga integriteten som förslaget innebär är proportionerlig. En tystnadsplikt som omfattar att uppgifter har begärts eller lämnats med stöd av bestämmelsen om uppgiftsskyldighet utgör en proportionerlig begränsning av yttrandefriheten.

Skälen för promemorians bedömning

Den föreslagna bestämmelsen om uppgiftsskyldighet utgör grund för personuppgiftsbehandling EU:s dataskyddsförordning är tillämplig på den personuppgiftsbehandling som sker hos företag som omfattas av EU:s förordning om marknader för kryptotillgångar. Att behandla personuppgifter för att lämna ut dem i enlighet med den föreslagna uppgiftsskyldigheten innebär ett fullgörande av rättsliga förpliktelser och att uppgifter av allmänt intresse utförs och bör därför vara tillåten (laglig) enligt artikel 6.1 c och e i förordningen. De personuppgifter som lämnas enligt uppgiftsskyldigheten har dock i regel samlats in i samband för andra ändamål, t.ex. när företagets kunder nyttjar dess tjänster. Som redogjorts för beträffande personuppgiftsbehandling när e-legitimationsföretag fullgör uppgiftsskyldighet bör bestämmelser om uppgiftsskyldighet till brottsbekämpande myndigheter utgöra grund för vidarebehandling av personuppgifter. En förutsättning är dock att vidarebehandlingen även i övrigt är förenlig med de krav som uppställs i EU:s dataskyddsförordning. Detsamma gäller i den mån uppgiftsskyldighet innebär behandling av känsliga personuppgifter eller uppgifter om lagöverträdelser. Även den nu föreslagna uppgiftsskyldigheten för företag som omfattas av EU:s förordning om marknader för kryptotillgångar utgör en rättslig förpliktelse och syftar till att effektivisera brottsbekämpningen. Den föreslagna bestämmelsen utgör därför grund för att behandla känsliga personuppgifter och uppgifter om lagöverträdelser.

Den föreslagna tystnadsplikten innebär ett undantag från skyldigheterna enligt artikel 13 – 15 i EU:s dataskyddsförordning att lämna uppgifter om personuppgiftsbehandling till den enskilde, se 5 kap. 1 § dataskyddslagen. Som redogjorts för beträffande e-legitimationsföretagens uppgiftslämnande är brottsdatalagen och myndigheternas egna kompletterande registerförfattningar, respektive Säkerhetspolisens datalag, tillämpliga när de brottsbekämpande myndigheterna tar emot uppgifter. Samma bedömning görs beträffande myndigheternas personuppgiftsbehandling enligt den utökade uppgiftsskyldighet som föreslås för företag som omfattas av EU:s förordning om marknader för kryptotillgångar.

Begränsningen av skyddet för den personliga integriteten är proportionerlig Den föreslagna bestämmelsen om uppgiftsskyldighet omfattar alla slags uppgifter om enskildas förhållanden till företaget och innebär en ökad personuppgiftsbehandling av såväl företaget som de myndigheter som begär uppgifterna. När uppgifter begärs i underrättelseverksamhet finns en risk för att de personuppgifter som behandlas dels visar sig vara av begränsat värde för brottsbekämpningen, dels avser personer varken är eller blir misstänkta för brott. I förarbetena till motsvarande bestämmelser om uppgiftsskyldighet för andra finansiella företag konstateras att skälen för en uppgiftsskyldighet i underrättelseverksamhet för finansiella företag är starka, eftersom tillgången till information om enskilda som finns hos företagen kan förväntas innebära att de brottsbekämpande myndigheternas förmåga att beivra brott ökar betydligt. Till detta kommer att uppgiftsskyldigheten är begränsad i sin omfattning och att de uppgifter som lämnas i stor utsträckning omfattas av sekretess hos de mottagande myndigheterna (prop. 2024/25:65 s. 171 – 172). Samma skäl gör sig gällande beträffande den nu föreslagna bestämmelsen. Den begränsning av skyddet för den personliga integriteten som bestämmelsen innebär bedöms därför vara proportionerlig.

Tystnadsplikten utgör en proportionerlig begränsning av yttrandefriheten Den tystnadsplikt som föreslås avseende att uppgifter har begärts eller lämnats utgör en begränsning av yttrandefriheten enligt 2 kap. 1 § första stycket regeringsformen. En sådan begränsning får enbart göras genom lag och för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle, t.ex. med hänsyn till förebyggande och beivrande av brott. Begränsningen måste vara proportionerlig i förhållande till ändamålet. Den föreslagna tystnadsplikten är inskränkt till att endast gälla obehörigt röjande. Tystnadsplikten har också ett angeläget syfte, att säkerställa en effektiv brottsbekämpning genom att hindra att personer som är inblandade i brottslig verksamhet får kännedom om att det pågår ett underrättelseärende. Under dessa förhållanden bedöms tystnadsplikten utgöra en proportionerlig begränsning av yttrandefriheten (jfr prop. 2024/25:65 s. 174).

6 Ikraftträdande

Promemorians förslag: Den nya lagen och lagändringarna ska träda i kraft den 1 januari 2026. Promemorians bedömning: Det saknas behov av övergångsbestämmelser.

Skälen för promemorians förslag och bedömning: Den nya lagen om uppgiftsskyldighet för vissa e-legitimationsföretag bör träda i kraft så snart som möjligt. Detsamma gäller de nya bestämmelserna i lagen med kompletterande bestämmelser till EU:s förordning om marknader för kryptotillgångar. Det är samtidigt viktigt att de berörda aktörerna ges tid att utveckliga nödvändiga rutiner och system för att kunna fullgöra de nya skyldigheterna. Den tidigaste tidpunkten för ikraftträdande bedöms därför vara den 1 januari 2026. Följdändringen i lagen om internationell rättslig hjälp i brottmål samt den ändring av rättelsekaraktär som görs i lagen (2024:114) om clearing och avveckling av betalningar bör träda i kraft vid samma tidpunkt. Den nya lagen och lagändringarna bör tillämpas omedelbart efter ikraftträdandet. Det saknas behov av att införa särskilda övergångsbestämmelser.

7 Konsekvensanalys

Promemorians bedömning: Förslagen har inga offentligfinansiella effekter. Förslagen bidrar till att öka effektiviteten i de brottsbekämpande myndigheternas arbete med att motverka brottslighet. Den begränsning av skyddet för enskildas personliga integritet som förslagen innebär är proportionerlig. Förslagen ökar konstaderna för e-legitimationsföretag. Förslagen ökar kostnaderna för företag som omfattas av EU:s förordning om marknader för kryptotillgångar. Förslagen påverkar inte myndigheters eller domstolars resursbehov.

Skälen för promemorians bedömning

Offentligfinansiella och samhällsekonomiska effekter Förslagen har inga offentligfinansiella effekter. Förslagen om uppgiftsskyldighet kommer att öka effektiviteten i det brottsbekämpande arbetet, vilket i sig har positiva samhällsekonomiska effekter då kriminell verksamhet medför stora kostnader och andra negativa effekter för såväl samhället som enskilda.

Effekter för skyddet för den personliga integriteten Förslagen om uppgiftsskyldighet kan, på det sätt som redogörs för i delavsnitten, innebära viss ökad risk för intrång i enskildas personliga integr-

itet. Förslagen har utformats med beaktande av detta och omfattningen har begränsats för att minska risken för intrång. Med de gjorda begränsningarna får konsekvenserna för enskilda i form av integritetsintrång anses vara proportionerliga och motiverade i förhållande till de brottsbekämpande myndigheternas behov av uppgifter från de berörda företagen.

Effekter för företagen Förslagen om uppgiftsskyldighet kan komma att innebära ett ökat antal förfrågningar från de brottsbekämpande myndigheterna till de berörda företagen och öka den administrativa bördan. Behovet av rutiner eller administrativa system för att kunna lämna uppgifter kan initialt leda till ökade kostnader. Det är i dagsläget två företag, Finansiell ID-teknik BID AB och Freja eID Group AB, som omfattas av förslaget till en ny lag om uppgiftsskyldighet för vissa e-legitimationsföretag. Det är upp till företagen att bedöma behovet av nya system för att kunna fullgöra skyldigheterna enligt lagen och i förekommande fall utforma dessa system. Det är därför svårt att uppskatta eventuella kostnadsökningar, men det bör vara fråga om begränsade kostnader. För företag som omfattas av EU:s förordning om marknader för kryptotillgångar bör den utökade uppgiftsskyldigheten kunna hanteras inom samma administrativa system som befintlig uppgiftsskyldighet. Uppgiftslämnande behöver endast ske på förfrågan från de brottsbekämpande myndigheterna. Även de löpande kostnaderna för att fullgöra skyldigheterna bör därför vara begränsade. Kostnaderna och den eventuella administrativa bördan för företagen bedöms vara proportionerliga i förhållande till nyttan som uppgiftsskyldigheten innebär för de brottsbekämpande myndigheterna och för samhället i stort.

Effekter för myndigheter och domstolar Det brottsbekämpande arbetet för de myndigheter som har rätt att begära uppgifter enligt de föreslagna bestämmelserna om uppgiftsskyldighet kommer att effektiviseras. Förslagen bedöms inte leda till några ökade kostnader för dessa myndigheter. Finansinspektionen har tillsyn över att företag som omfattas av EU:s förordning om marknader för kryptotillgångar bedriver sin verksamhet i enlighet med lagen med kompletterande bestämmelser till EU:s förordning om marknader för kryptotillgångar, däribland bestämmelserna om uppgiftsskyldighet. Tillsynen bör vara begränsad till att tillse att uppgiftsskyldigheten fullgörs. Eftersom uppgiftsskyldighet redan gäller på förundersökningsstadiet för dessa företag bör den tillkommande bestämmelsen endast leda till marginellt ökade kostnader för tillsyn för Finansinspektionen. Förslagen ger inte upphov till några nya måltyper eller ökad måltillströmning vid domstolarna.

Effekter för hållbarhet och jämställdheten Förslagen bedöms inte medföra några konsekvenser för hållbarhet eller jämställdheten mellan män och kvinnor.

Överensstämmelse med unionsrätten Förslagen står i överensstämmelse med EU-rätten.

8 Författningskommentar

8.1 Förslaget till lag om uppgiftsskyldighet för vissa e-legitimationsföretag

1 § Denna lag innehåller bestämmelser om skyldigheter för e-legitimationsföretag att till brottsbekämpande myndigheter lämna uppgifter om enskildas förhållanden till ett finansiellt företag. Med e-legitimationsföretag avses företag som tillhandahåller tjänster för elektronisk identifiering och elektronisk underskrift. Med finansiellt företag avses företag som omfattas av uppgiftsskyldighet enligt – lagen (1998:1479) om värdepapperscentraler och kontoföring av finansiella instrument, – lagen (2004:46) om värdepappersfonder, – lagen (2004:297) om bank- och finansieringsrörelse, – lagen (2006:531) om särskild tillsyn över finansiella konglomerat, – lagen (2007:528) om värdepappersmarknaden, – lagen (2010:751) om betaltjänster, – försäkringsrörelselagen (2010:2043), – lagen (2011:755) om elektroniska pengar, – lagen (2013:561) om förvaltare av alternativa investeringsfonder, – lagen (2014:968) om särskild tillsyn över kreditinstitut och värdepappersbolag, – lagen (2019:742) om tjänstepensionsföretag, – lagen (2021:899) med kompletterande bestämmelser till EU:s förordning om gräsrotsfinansiering, – lagen (2022:1746) med kompletterande bestämmelser till EU:s förordning om en paneuropeisk privat pensionsprodukt (PEPP-produkt), – lagen (2024:114) om clearing och avveckling av betalningar, eller – lagen (2024:1159) med kompletterande bestämmelser till EU:s förordning om marknader för kryptotillgångar.

Paragrafen innehåller bestämmelser om lagens innehåll. Övervägandena finns i avsnitt 4.1 och 4.3. I paragrafens första stycke anges att lagen innehåller skyldigheter för vissa e-legitimationsföretag att till brottsbekämpande myndigheter lämna uppgifter om enskildas förhållanden till ett finansiellt företag. Vilka brottsbekämpande myndigheter som har rätt att begära uppgifter framgår av 2 och 4 §§. I andra stycket anges vad som i lagen avses med e-legitimationsföretag. I tredje stycket anges vad som avses med finansiella företag, nämligen företag som omfattas av bestämmelser om uppgiftsskyldighet beträffande enskildas förhållanden enligt de lagar som räknas upp i paragrafen. Detta innebär att företag som är uppgiftsskyldiga enligt någon av följande bestämmelser omfattas av begreppet finansiellt företag i den nu föreslagna lagens mening.

– 8 kap. 2 a och 2 b §§ lagen (1998:1479) om värdepapperscentraler och kontoföring av finansiella instrument, – 2 kap. 19 a och 20 §§ lagen (2004:46) om värdepappersfonder, – 1 kap. 10 b och 11 §§lagen (2004:297) om bank- och finansieringsrörelse, – 6 kap. 7 a och 8 §§ lagen (2006:531) om särskild tillsyn över finansiella konglomerat, – 1 kap. 11 b och 12 §§ lagen (2007:528) om värdepappersmarknaden, – 3 kap. 13 a och 14 §§ lagen (2010:751) om betaltjänster, – 19 kap. 45 a och 46 §§ försäkringsrörelselagen (2010:2043), – 3 kap. 13 a och 14 §§ lagen (2011:755) om elektroniska pengar, – 8 kap. 24 a och 25 §§ lagen (2013:561) om förvaltare av alternativa investeringsfonder, – 6 kap. 10 a och 11 §§ lagen (2014:968) om särskild tillsyn över kreditinstitut och värdepappersbolag, – 16 kap. 36 a och 37 §§ lagen (2019:742) om tjänstepensionsföretag, – 1 kap. 6 a och 7 §§ lagen (2021:899) med kompletterande bestämmelser till EU:s förordning om gräsrotsfinansiering, – 1 kap. 5 a och 6 §§ lagen (2022:1746) med kompletterande bestämmelser till EU:s förordning om en paneuropeisk privat pensionsprodukt (PEPP-produkt), – 1 kap. 3 a och 4 §§ lagen (2024:114) om clearing och avveckling av betalningar, eller – 1 kap. 5 § lagen (2024:1159) med kompletterande bestämmelser till EU:s förordning om marknader för kryptotillgångar. Beträffande lagen med kompletterande bestämmelser till EU:s förordning om marknader för kryptotillgångar lämnas i denna promemoria ett förslag till en ny paragraf, 1 kap. 4 a §, om uppgiftsskyldighet i underrättelseverksamhet.

2 § Ett e-legitimationsföretag ska på begäran av Polismyndigheten, Skatteverket, Säkerhetspolisen eller Tullverket lämna uppgifter om enskildas förhållanden till ett finansiellt företag, om uppgifterna behövs i ett enskilt fall i myndighetens verksamhet för att förebygga, förhindra eller upptäcka brottslig verksamhet som innefattar brott för vilket det i straffskalan ingår fängelse i ett år eller mer.

Paragrafen innehåller en bestämmelse om uppgiftsskyldighet för e-legitimationsföretag i vissa brottsbekämpande myndigheters underrättelseverksamhet. Övervägandena finns i avsnitt 4.3. Enligt paragrafen ska e-legitimationsföretag på begäran av Polismyndigheten, Skatteverket, Säkerhetspolisen eller Tullverket lämna uppgifter om enskildas förhållanden till ett finansiellt företag. Det kommer i första hand vara fråga om uppgifter som rör enskildas användning av e-legitimation mot ett finansiellt företag. Uppgiftsskyldigheten omfattar endast sådana uppgifter som hade kunnat lämnats ut direkt av det finansiella företaget med stöd av de bestämmelser om uppgiftsskyldighet som gäller för företaget i fråga. Till skillnad från finansiella företag omfattas e-legitimationsföretag inte av bestämmelser om tystnadsplikt för uppgifter om enskildas förhållanden till företaget. Den föreslagna bestämmelsen utgör inte något hinder mot att e-legitimationsföretag på frivillig väg lämnar fler uppgifter än vad som omfattas av uppgiftsskyldigheten.

En förutsättning för att e-legitimationsföretaget ska vara skyldigt att lämna uppgifter är att uppgifterna behövs i ett enskilt fall i myndighetens verksamhet för att förebygga, förhindra eller upptäcka viss brottslig verksamhet. Den brottsliga verksamheten ska innefatta brott för vilket det i straffskalan ingår fängelse i ett år eller mer. Med verksamhet för att förebygga, förhindra eller upptäcka brottslig verksamhet avses myndigheternas underrättelseverksamhet. Polismyndighetens underrättelseverksamhet omfattar även underrättelseverksamhet hos Ekobrottsmyndigheten. Att det ska finnas behov av uppgifterna i ett enskilt fall innebär att det ska finnas ett pågående underrättelseärende i vilket uppgifterna behövs. Det ska alltså inte vara fråga om ett generellt uppgiftsinhämtande utan koppling till viss brottslighet. Det ankommer på det e-legitimationsföretag som får en begäran att pröva om förutsättningarna för uppgiftslämnande är uppfyllda. Prövningen är av formell karaktär och syftar till att kontrollera att begäran uppfyller de krav som uppställs i bestämmelsen. E-legitimationsföretaget behöver även säkerställa att omfattningen av de uppgifter som lämnas motsvarar de uppgifter som den brottsbekämpande myndigheten hade kunnat få genom att vända sig direkt till det finansiella företaget i fråga. Paragrafens formuleringar motsvarar de i bl.a. 1 kap. 10 b § första stycket lagen om bank- och finansieringsrörelse (se författningskommentaren till den paragrafen, prop. 2024/25:65 s. 216 f.).

3 § Ett e-legitimationsföretag eller den som är verksam i ett sådant företag får inte obehörigen röja för den enskilde eller för någon utomstående att en myndighet har gjort en begäran eller att uppgifter har lämnats enligt 2 §. Bestämmelser om ansvar för den som bryter mot tystnadsplikten enligt första stycket finns i 20 kap. 3 § brottsbalken.

Paragrafen innehåller bestämmelser om tystnadsplikt. Övervägandena finns i avsnitt 4.4. Första stycket innebär att e-legitimationsföretaget eller den som är verksam i ett sådant företag inte får avslöja för den enskilde eller någon annan att uppgifter har begärts eller lämnats med stöd av 2 §. Med den som är verksam i företaget avses den som är eller har varit knuten till företaget i egenskap av styrelseledamot eller anställd. Tystnadsplikten omfattar endast obehörigt röjande. Röjande som sker t.ex. med stöd av bestämmelser i andra författningar är alltså tillåtet. I andra stycket finns en upplysning om att bestämmelser om brott mot tystnadsplikten finns i brottsbalken. Paragrafens formuleringar motsvarar de i bl.a. 1 kap. 10 b § andra och tredje stycket lagen om bank- och finansieringsrörelse (se författningskommentaren till den paragrafen, prop. 2024/25:65 s. 216 f.).

4 § Ett e-legitimationsföretag ska lämna uppgifter om enskildas förhållanden till ett finansiellt företag om det 1. under en utredning enligt bestämmelserna om förundersökning i brottmål begärs av undersökningsledaren, 2. under en utredning om självständigt förverkande begärs av åklagaren, 3. i ett ärende om rättslig hjälp i brottmål begärs av åklagaren på framställning av en annan stat eller en mellanfolklig domstol, eller

4. i ett ärende om erkännande och verkställighet av en europeisk utredningsorder begärs av åklagaren.

Paragrafen innehåller bestämmelser om skyldighet för e-legitimationsföretag att lämna uppgifter under förundersökning och vissa andra straffprocessuella förfaranden. Övervägandena finns i avsnitt 4.3. Uppgiftsskyldigheten gäller enskildas förhållanden till ett finansiellt företag. Med detta avses samma sak som i 2 §, dvs. i praktiken uppgifter som rör enskildas användning av e-legitimation mot ett finansiellt företag. Uppgiftsskyldigheten gäller endast i den utsträckning som uppgifterna hade kunnat lämnas av det finansiella företaget i fråga. Precis som i 2 § utgör bestämmelsen inte något hinder mot att fler uppgifter än så lämnas. Uppgifter ska lämnas när de begärs av en förundersökningsledare eller åklagare. Det ankommer på e-legitimationsföretaget att bedöma om de formella förutsättningarna för uppgiftslämnande är uppfyllda, t.ex. att uppgifterna begärs inom ramen för en förundersökning, och att omfattningen av de uppgifter som lämnas motsvarar de uppgifter som förundersökningsledaren eller åklagaren hade kunnat få genom att vända sig direkt till det finansiella företaget i fråga. Paragrafens formuleringar motsvarar de i bl.a. 1 kap. 11 § lagen om bank- och finansieringsrörelse (se författningskommentarerna till den paragrafen, prop. 2002/03:139 Del 1 s. 517 f., prop. 2016/17:218 s. 309 f. och prop. 2023/24:144 s. 486).

5 § Den undersökningsledare eller åklagare som begär uppgifter enligt 4 § får besluta att e-legitimationsföretaget eller den som är verksam i ett sådant företag inte får röja för den enskilde eller för någon utomstående att en myndighet har gjort en begäran eller att uppgifter har lämnats enligt 4 § eller att det pågår en förundersökning, en utredning om självständigt förverkande, ett ärende om rättslig hjälp i brottmål eller ett ärende om erkännande och verkställighet av en europeisk utredningsorder. Ett sådant förbud får meddelas om det krävs för att en utredning om brott eller självständigt förverkande inte ska äventyras eller för att uppfylla en internationell överenskommelse som är bindande för Sverige. Förbudet ska vara tidsbegränsat, med möjlighet till förlängning, och får inte avse längre tid än vad som är motiverat med hänsyn till syftet med förbudet. I ett ärende om rättslig hjälp i brottmål eller om erkännande och verkställighet av en europeisk utredningsorder får dock förbudet tidsbegränsas endast om den stat eller mellanfolkliga domstol som ansökt om rättslig hjälp eller den utländska myndighet som har utfärdat utredningsordern samtycker till detta. Om ett förbud inte längre är motiverat med hänsyn till syftet med förbudet, ska undersökningsledaren eller åklagaren besluta att förbudet ska upphöra.

Paragrafen innehåller bestämmelser om meddelandeförbud. Övervägandena finns i avsnitt 4.4. Enligt första stycket får den förundersökningsledare eller åklagare som har begärt uppgifter besluta att e-legitimationsföretaget eller den som är verksam i företaget inte får röja för den enskilde eller för någon utomstående att en begäran har gjorts eller att uppgifter har lämnats enligt 4 §, eller att det pågår ett sådant ärendet som avses i 4 § 1 – 4. Med den som är verksam i företaget avses samma personkrets som i 3 §. En förutsättning är att meddelandeförbudet krävs för att inte äventyra t.ex. en förundersökning eller för att uppfylla ett internationellt åtagande. Så kan vara fallet

när en misstänkt person av utredningsskäl inte bör känna till vilka uppgifter kring honom eller henne som har inhämtats. I andra stycket anges att förbudet ska vara tidsbegränsat. Förbudet får inte vara längre än vad som är nödvändigt för att uppfylla syftet med förbudet. När det är fråga om ett internationellt åtagande krävs dock samtycke till tidsbegränsning från den stat, mellanfolkliga domstol eller utländska myndighet som ansökt om rättslig hjälp eller utfärdat utredningsordern. Enligt tredje stycket ska meddelandeförbudet, oavsett om det är tidsbegränsat eller inte, upphöra att gälla när det inte längre är motiverat. En sådan situation kan t.ex. vara att uppgifterna har avslöjats för den enskilde i samband med ett förhör. Det är förundersökningsledaren eller åklagaren som tar ställning till detta i det enskilda fallet. När det är fråga om rättslig hjälp eller en europeisk utredningsorder är det dock upp till den ansökande staten, utländska myndigheten eller mellanfolkliga domstolen att avgöra om och i så fall när förbudet kan upphöra att gälla. Paragrafens formuleringar motsvarar de i bl.a. 1 kap. 12 § lagen om bank- och finansieringsrörelse (se författningskommentaren till den paragrafen, prop. 2004/05:144 s. 216).

6 § Till böter döms den som uppsåtligen eller av grov oaktsamhet bryter mot ett meddelandeförbud enligt 5 §.

Paragrafen innehåller en bestämmelse om straffansvar för den som uppsåtligen eller av grov oaktsamhet bryter mot meddelandeförbudet i 5 §. Övervägandena finns i avsnitt 4.4. Paragrafen innebär att den som bryter mot ett meddelandeförbud kan dömas till böter. Paragrafens formuleringar motsvarar de i bl.a. 1 kap. 13 § lagen om bank- och finansieringsrörelse (se författningskommentaren till den paragrafen, prop. 2004/05:144 s. 216).

7 § Uppgifter enligt 2 och 4 §§ ska lämnas utan dröjsmål och i elektronisk form.

Paragrafen innehåller en bestämmelse om formerna för uppgifternas lämnande. Övervägandena finns i 4.5. När uppgifter lämnas enligt bestämmelserna om uppgiftsskyldighet i 2 och 4 §§ ska detta ske utan dröjsmål och i elektronisk form. Detta innebär att e-legitimationsföretaget ska prioritera handläggningen av en begäran om uppgifter. Med elektronisk form avses att uppgifterna ska lämnas i ett elektroniskt läsbart format, men hindrar inte att uppgifter lämnas på ett icke-elektroniskt sätt, t.ex. genom överlämnande av ett USB-minne. Paragrafens formuleringar motsvarar de i bl.a. 1 kap. 10 b § första stycket andra meningen och 11 § andra stycket lagen om bank- och finansieringsrörelse (se författningskommentaren till de paragraferna, prop. 2017/18:291 s. 43 och prop. 2024/25:65 s. 216 f.).

8 § Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om hur uppgifter enligt 2 och 4 §§ ska lämnas.

Paragrafen innehåller bestämmelser om bemyndigande. Övervägandena finns i avsnitt 4.5. Genom paragrafen ges regeringen eller den myndigheten som regeringen bestämmer rätt att meddela föreskrifter om hur uppgiftslämnande ska ske.

8.2 Förslaget till lag om ändring i lagen (2000:562) om internationell rättslig hjälp i brottmål

5 kap.

10 § Bestämmelser om uppgiftsskyldighet finns i – 8 kap. 2 b § lagen (1998:1479) om värdepapperscentraler och kontoföring av finansiella instrument, – 2 kap. 20 § lagen (2004:46) om värdepappersfonder, – 1 kap. 11 § lagen (2004:297) om bank- och finansieringsrörelse, – 6 kap. 8 § lagen (2006:531) om särskild tillsyn över finansiella konglomerat, – 1 kap. 12 § lagen (2007:528) om värdepappersmarknaden, – 3 kap. 14 § lagen (2010:751) om betaltjänster, – 19 kap. 46 § försäkringsrörelselagen (2010:2043), – 3 kap. 14 § lagen (2011:755) om elektroniska pengar, – 8 kap. 25 § lagen (2013:561) om förvaltare av alternativa investeringsfonder, – 6 kap. 11 § lagen (2014:968) om särskild tillsyn över kreditinstitut och värdepappersbolag, – 16 kap. 37 § lagen (2019:742) om tjänstepensionsföretag, – 1 kap. 7 § lagen (2021:899) med kompletterande bestämmelser till EU:s förordning om gräsrotsfinansiering, – 1 kap. 6 § lagen (2022:1746) med kompletterande bestämmelser till EU:s förordning om en paneuropeisk privat pensionsprodukt (PEPP-produkt), – 1 kap. 4 § lagen (2024:114) om clearing och avveckling av betalningar, – 1 kap. 5 § lagen (2024:1159) med kompletterande bestämmelser till EU:s förordning om marknader för kryptotillgångar , och – 4 § lagen (2025:000) om uppgiftsskyldighet för vissa e-legitimationsföretag. I de lagar som anges i första stycket finns även bestämmelser om meddelandeförbud och ansvarsbestämmelser för den som bryter mot ett sådant förbud.

Paragrafen innehåller upplysningar om i vilka lagar det finns bestämmelser om uppgiftsskyldighet. Övervägandena finns i avsnitt 4.2. Första stycket sextonde strecksatsen , som är ny, är en följd av att den nya lagen om uppgiftsskyldighet för vissa e-legitimationsföretag innehåller en bestämmelse om uppgiftsskyldighet i ärenden om internationell rättslig hjälp i brottmål (4 §).

8.3 Förslaget till lag om ändring i lagen (2024:114) om clearing och avveckling av betalningar

6 kap.

7 § Om ett clearingbolag inte i tid lämnar de uppgifter som föreskrivits med stöd av 7 kap. 1 § 4 , får Finansinspektionen besluta att bolaget ska betala en försenings-

avgift med högst 100 000 kronor. 35

Avgiften tillfaller staten.

Paragrafen innehåller en bestämmelse om att Finansinspektionen har rätt att ta ut förseningsavgift från clearingbolag. Ändringen i första stycket , som är av rättelsekaraktär, innebär att hänvisning sker till 7 kap. 1 § 4 i stället för 7 kap. 1 § 3.

8.4 Förslaget till lag om ändring i lagen (2024:1159) med kompletterande bestämmelser till EU:s förordning om marknader för kryptotillgångar

1 kap.

4 a § Ett företag som omfattas av EU-förordningen ska på begäran av Polismyndigheten, Skatteverket, Säkerhetspolisen eller Tullverket lämna uppgifter om enskildas förhållanden till företaget, om uppgifterna behövs i ett enskilt fall i myndighetens verksamhet för att förebygga, förhindra eller upptäcka brottslig verksamhet som innefattar brott för vilket det i straffskalan ingår fängelse i ett år eller mer. Uppgifterna ska lämnas utan dröjsmål och i elektronisk form. Företaget eller den som är verksam i företaget får inte obehörigen röja för den enskilde eller för någon utomstående att en myndighet har gjort en begäran eller att uppgifter har lämnats enligt första stycket. Bestämmelser om ansvar för den som bryter mot tystnadsplikten enligt andra stycket finns i 20 kap. 3 § brottsbalken.

Paragrafen, som är ny, innehåller bl.a. bestämmelser om uppgiftsskyldighet och tystnadsplikt för företag som omfattas av EU:s förordning om marknader för kryptotillgångar. Övervägandena finns i avsnitt 5.1. Första stycket innebär en skyldighet för företag som omfattas av EUförordningen att lämna uppgifter om enskildas förhållanden till företaget till Polismyndigheten, Skatteverket, Säkerhetspolisen eller Tullverket. Polismyndighetens underrättelseverksamhet omfattar även underrättelseverksamhet hos Ekobrottsmyndigheten. Uppgifterna ska lämnas utan dröjsmål och i elektronisk form. Bestämmelsen bryter den tystnadsplikt som finns i 4 §. Av andra stycket följer att företaget inte obehörigen får röja att uppgifter har begärts eller lämnats. Förbudet är begränsat till obehörigt röjande. Sådant röjande som sker med stöd av lag, t.ex. till en tillsynsmyndighet, är inte obehörigt och därmed tillåtet. I tredje stycket finns en upplysning om att det i brottsbalken finns bestämmelser om brott mot tystnadsplikten. De hänvisningar som görs till EU-förordningen i de övriga bestämmelserna i lagen är dynamiska, dvs. avser förordningen i den vid varje tidpunkt gällande lydelsen. Det är också den hänvisningsteknik som används på finansmarknadsområdet (se prop. 2024/25:43 avsnitt 5.2). Den hänvisning som görs i denna paragraf ska därför också vara dynamisk. Paragrafens formuleringar motsvarar de i bl.a. 1 kap. 10 b § lagen om bank- och finansieringsrörelse (se författningskommentaren till den paragrafen, prop. 2024/25:65 s. 216 f.).

8 § Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om hur uppgifter enligt 4 a och 5 §§ ska lämnas.

Paragrafen, som är ny, innehåller ett bemyndigande som ger regeringen eller den myndighet som regeringen bestämmer rätt att meddela föreskrifter om hur uppgifter ska lämnas enligt bestämmelserna om uppgiftsskyldighet. Övervägandena finns i avsnitt 5.1.