5. Legitimasjonskontroll, registrering og oppbevaring av opplysninger mv.
- 5.1 Legitimasjonskontroll mv.
- 5.2 Plikt til å registrere og oppbevare opplysninger
- 5.3 Etablering av kontrollrutiner og opplæring av ansatte mv.
- 5.4 Legitimasjonskontroll av konti opprettet før 1. januar 1994
- 5.5 Elektroniske overvåkingssystemer
"Kjenn-din-kunde-prinsippet" anses internasjonalt for å være et av de viktigste virkemidler for å hindre at finansielle system misbrukes til hvitvasking av utbytte eller finansiering av terrorisme. Det er av vesentlig betydning at rapporteringspliktige kjenner sine kunder for å kunne oppdage transaksjoner som kan innebære hvitvasking av utbytte fra straffbare handlinger og finansiering av terrorisme.
Et første spørsmål er hva som utløser plikt til å foreta legitimasjonskontroll. Plikten til å foreta legitimasjonskontroll utløses etter gjeldende rett ved etablering av forretningsforhold og ved enkelttransaksjoner som overstiger 100 000 kroner. I samsvar med arbeidsgruppens forslag foreslår Regjeringen i hovedsak å videreføre gjeldende rett på dette punktet.
Et forretningsforhold anses bl.a. etablert ved åpning av konto i en bank, jf. direktivet artikkel 3 første ledd og hvitvaskingsforskriften § 2. Det er videre lagt til grunn at forretningsforhold anses etablert ved for eksempel åpning av konto i et verdipapirregister, tegning av en forsikringspolise, kjøp av fondsandeler og inngåelse av avtale om leie av bankboks. Generelt sett synes legitimasjonsplikten å utløses ved etablering av kundeforhold. Regjeringen mener det er hensiktsmessig å erstatte begrepet forretningsforhold med kundeforhold. Nærmere regler om når kundeforhold anses etablert vil kunne gis i forskrift. I slik forskrift vil det bl.a. kunne gis regler for nye rapporteringspliktige.
Når det gjelder "forhandlere", viser Regjeringen til at betaling av gjenstander ved transaksjoner på 40 000 kroner eller mer i normaltilfeller ikke vil innebære at det etableres et "kundeforhold" mellom forhandler og kjøper. Ved transaksjoner på 40 000 kroner eller mer vil det derfor i utgangspunktet ikke foreligge en generell plikt for forhandler til å kreve legitimasjon av kjøper, med mindre forhandleren har mistanke om at transaksjonen har tilknytning til utbytte av en straffbar handling eller til forhold som rammes av straffeloven § 147 a eller § 147 b, jf. lovforslaget § 5 tredje ledd. Det skal imidlertid i alle tilfelle kreves legitimasjon ved transaksjoner som gjelder 100 000 norske kroner eller mer, jf. lovforslaget § 5 andre ledd. Det vil som nevnt ovenfor kunne gis nærmere regler om dette i forskrift, jf. lovforslaget § 5 femte ledd.
Et neste spørsmål er hvilke legitimasjonsdokumenter som skal fremlegges og hvordan legitimasjonskontrollen skal gjennomføres. Arbeidsgruppen foreslår å videreføre kravet om at kunden skal fremlegge skriftlig gyldig legitimasjon og at legitimasjonskontrollen som hovedregel skal skje ved kundens personlige fremmøte hos den rapporteringspliktige. Arbeidsgruppen foreslår bl.a. at det kan gjøres unntak fra kravet til personlig fremmøte dersom dette er til vesentlig ulempe for kunden, såfremt betryggende identitetskontroll likevel kan finne sted, jf. lovforslaget § 2. Forslaget er i samsvar med gjeldende rett. Arbeidsgruppen legger til grunn at det i forskrift kan fastsettes eventuelle ytterligere unntak fra plikten til å gjennomføre legitimasjonskontroll.
Flere høringsinstanser har innvendinger til arbeidsgruppens forslag. Blant andre foreslår Nærings- og handelsdepartementet (NHD) at kvalifiserte elektroniske sertifikater bør kunne anerkjennes. NHD uttaler bl.a. at en forutsetning for å akseptere en slik legitimasjon må være at den elektroniske legitimasjonen bygger på en legitimasjonskontroll der kunden møter opp fysisk og fremlegger godkjent og gyldig skriftlig legitimasjon. NHD uttaler at kravene for å få et kvalifisert sertifikat synes å være i samsvar med legitimasjonskravene etter gjeldende hvitvaskingsregler.
Regjeringen er i utgangspunktet enig i høringsinstansenes innvendinger om at gjeldende regler synes å være upraktiske særlig i forhold til elektroniske finansielle tjenester. Gjeldende regler og arbeidsgruppens forslag om å videreføre disse, synes å reise problemer i to retninger. For det første ved forslaget om å videreføre et krav om skriftlig legitimasjon. For det andre ved forslaget om å videreføre som hovedregel et krav om personlig fremmøte. Regjeringen mener i likhet med høringsinstansene at den nye loven bør ta høyde for teknologisk utvikling. Etter Regjeringens syn må det i en vurdering av å lempe på eller endre kravene til legitimasjonskontroll foretas en avveining av hensynet til en effektiv forebyggelse og bekjempelse av hvitvasking av utbytte og terrorfinansiering, mot den belastning pliktene påfører de rapporteringspliktige og deres ansatte, jf. ovenfor om betydningen av "kjenn-din-kunde-prinsippet".
Etter Regjeringens syn er det mest hensiktsmessig å lovfeste et krav om at kunden skal fremlegge gyldig legitimasjon ved etableringen av kundeforhold. Som gyldig legitimasjon anses åpenbart skriftlig legitimasjon. Videre bør det vurderes om elektroniske kvalifiserte sertifikater kan anses som gyldig legitimasjon. Det bør bl.a. vurderes om krav til utstedere av slike sertifikater vil gi en betryggende identitetskontroll mht. hensynet til bekjempelse av hvitvasking og terrorfinansiering. Det legges til grunn at det i forskrift kan fastsettes nærmere regler om hva som anses som gyldig legitimasjon. Det vises til lovforslaget § 5 første ledd, jf. siste ledd.
Etter gjeldende regler skal rapporteringspliktige uansett beløp kreve legitimasjon dersom det foreligger mistanke om at en transaksjon har tilknytning til utbytte av en straffbar handling som etter loven kan medføre høyere straff enn fengsel i 6 måneder. Bestemmelsen foreslås endret som følge av at strafferammebegrensningen foreslås opphevet. Videre foreslår Regjeringen at rapporteringspliktige skal ha en tilsvarende plikt der det foreligger mistanke om at en transaksjon har tilknytning til forhold som rammes av straffeloven § 147 a eller § 147 b. Det vises til lovforslaget § 5 tredje ledd.
Regjeringen mener at gjeldende hovedregel om identitetskontroll ved kundens personlige fremmøte bør videreføres, jf. lovforslaget § 5 fjerde ledd. Dersom det senere (i forskrift) åpnes for å godta elektroniske kvalifiserte sertifikater som gyldig legitimasjon, bør det imidlertid gjøres unntak fra dette kravet. Det vises i den anledning til at utstedelse av slike sertifikater forutsetter at identifisering skjer ved personlig fremmøte hos sertifikatutsteder. Etter Regjeringens syn bør en i tillegg videreføre gjeldende unntak der personlig oppmøte er til vesentlig ulempe for kunden eller det praktisk ikke er gjennomførbart. Det legges til grunn at nærmere regler kan gis i forskrift.
Verdipapirfondenes Forening anfører at etablering av nye kundeforhold bør kunne godtas uten legitimasjonskontroll fra forvaltningsselskapets side, dersom pengene overføres fra kundens konto i en norsk bank eller bank i et land som er underlagt hvitvaskingsregler og tilsynsordninger som minst er på EØS-nivå. Foreningen viser bl.a. til dansk rett. Regjeringen slutter seg ikke til forslaget, selv om hvitvaskingsrisikoen åpenbart vil være noe mindre i tilfeller hvor penger overføres fra en institusjon som omfattes av hvitvaskingsregelverket. Etter Regjeringens syn bør det imidlertid i tillegg foretas en kontroll hos forvaltningsselskapet, uavhengig av hvordan pengeoppgjøret skjer. For øvrig antas at de praktiske problemer Verdipapirfondenes Forening peker på, vil kunne reduseres gjennom forslaget om å åpne for at elektroniske sertifikater skal kunne anses som gyldig legitimasjon, jf. lovforslaget § 5 første ledd, jf. femte ledd. Regjeringen slutter seg heller ikke til Verdipapirfondenes Forening subsidiære uttalelse om at det bør være tilstrekkelig å legge frem en ubekreftet kopi av legitimasjonsdokumentet. Etter Regjeringens vurdering vil kravet om at kopiene skal være bekreftet, bidra til å forhindre bruk av falske legitimasjonsdokumenter. Problemer knyttet til hvem som kan bekrefte legitimasjonsdokumenter, kan etter Regjeringens syn vurderes nærmere i forbindelse med utarbeidelse av forskrifter til den nye loven.
Fondsmeglerforbundet har reist spørsmål ved om kravet til at kunden skal møte personlig hos den rapporteringspliktige kan lempes, ved at kontrollen av legitimasjonsdokumentene opp mot kunden kan skje for eksempel i et møte mellom partene eller hos kunden. Regjeringen legger til grunn at kravet om legitimasjonskontroll "hos" den rapporteringspliktige, sikter til hvem som skal foreta kontrollen, og ikke til hvilket lokale dette skal skje i.
Regjeringen finner ikke at det foreligger tilstrekkelig grunnlag til å lovfeste en generell registreringsplikt for alle juridiske enheter, og slutter seg derfor ikke til forslaget fra Statistisk Sentralbyrå og Finansnæringens Hovedorganisasjon. Det samme gjelder opprettelse av et nasjonalt register for mistede legitimasjonsdokumenter. Dette er vidtrekkende forslag som eventuelt bør utredes nærmere.
Regjeringen legger for øvrig til grunn at det fastsettes nærmere regler om legitimasjonskontrollen mv. i forskrift, jf. lovforslaget § 5 femte ledd. Det antas også at ytterligere veiledninger kan gis i rundskriv fra Kredittilsynet.
Regjeringens forslag om at det kan unnlates identitetskontroll dersom det er til "vesentlig ulempe" for kunden med personlig fremmøte eller der fremmøte ikke er praktisk gjennomførbart, forutsetter at betryggende identitetskontroll likevel kan finne sted. De nærmere regler om dette vil gis i forskrift. Regjeringen understreker imidlertid at det ikke vil utpekes én enkelt institusjon som skal kunne utøve slik identitetskontroll. Regjeringen understreker for ordens skyld at ansvaret for overholdelse av hvitvaskingsregelverket ikke under noen omstendighet kan settes ut. Dette forblir hos den rapporteringspliktige. Det vises for øvrig til at den som etter regler i forskrift kan foreta slik identitetskontroll på vegne av den rapporteringspliktige, også vil anses å være rapporteringspliktig i forhold til loven, jf. lovforslaget § 4 fjerde ledd. I slike tilfeller påhviler således ansvaret for overholdelse av hvitvaskingsregelverket både den egentlige rapporteringspliktige, og den rapporteringspliktige som foretar identitetskontrollen.
Det vises til lovforslaget § 5.
Komiteen understreker at sikker identifisering av kunder er en grunnleggende forutsetning for en effektiv kamp mot hvitvasking av gevinst av kriminelle handlinger. Komiteen støtter i hovedsak Regjeringens forslag for utvidelse av krav om legitimasjonskontroll.
Komiteen viser til at elektroniske finansielle tjenester har økt sterkt i omfang. Dette har gitt kundene nye og forbedrede banktjenester, og har gitt finansinstitusjonene betydelige effektiviseringsgevinster. Også på andre områder vil elektroniske tjenester få økt omfang. Et system med godkjent elektronisk legitimasjon vil være en viktig forutsetning for at denne utviklingen skal gå videre. På en rekke områder innebærer elektronisk legitimasjon økt sikkerhet i forhold til skriftlig legitimasjon. Det gjelder f.eks. i forhold til mulighet for misbruk for andre enn rettmessig innehaver, kontrollmuligheter og muligheter for sporing av transaksjoner. En rekke høringsinstanser, bl.a. Nærings- og handelsdepartementet, Norges Bank, Abelia og Finansieringsselskapenes forening, har gått inn for likestilling av skriftlig og elektronisk informasjon. Komiteen viser til at krav til utstedelse av elektronisk kvalifisert sertifikat er regulert i lov om elektronisk signatur med tilhørende forskrift om krav til utstedere av elektronisk kvalifiserte sertifikater. Komiteen understreker at likestilling mellom skriftlig og elektronisk legitimasjon er ønskelig. Komiteen påpeker at en slik likestilling om nødvendig kan kombineres med at legitimasjonskravene for utstedelse av elektroniske kvalifiserte sertifikater i forskrift til lov om elektronisk signatur, bringes mer i samsvar med legitimasjonskravene i hvitvaskingsregelverket.
Komiteen merker seg at Regjeringen foreslår at det gis hjemmel for utforming av forskrift som kan godta elektronisk legitimasjon. I brev fra statsråd Per-Kristian Foss datert 8. mai 2003 opplyses det at dette ikke er inkludert i utkastet til forskrift om tiltak mot hvitvasking av utbytte for straffbare handlinger mv. som ble sendt på høring 11. april 2003. Komiteen understreker at slik likestilling bør gjennomføres.
Komiteen fremmer derfor følgende forslag:
"Stortinget ber Regjeringen innen utgangen av 2003 på egnet måte fremme nødvendige forslag for å sidestille skriftlig og elektronisk legitimasjon."
Regjeringen slutter seg til arbeidsgruppens vurdering og forslag om å oppheve alternativet om at rapporteringspliktige kan oppbevare en henvisning til legitimasjonsdokumentene. Arbeidsgruppens forslag innebærer at rapporteringspliktige skal oppbevare kopi av de nødvendige dokumenter brukt i forbindelse med identifisering av kunden.
Datatilsynet foreslår at det fastsettes en maksimumsgrense for oppbevaringstiden av opplysningene. Etter departements oppfatning kan personvernhensyn tale for at oppbevaringstiden for opplysninger knyttet til identifisering av kunder begrenses. Regjeringen slutter seg derfor til Datatilsynets forslag, og foreslår å lovfeste at opplysningene skal slettes etter utløpet av femårsperioden. Det synes rimelig at plikten til å slette inntrer noe tid etter at oppbevaringsplikten opphører. Det foreslås derfor at sletteplikten inntrer ett år etter at oppbevaringsplikten opphører.
Kredittilsynet foreslår at det vurderes inntatt i loven et krav om plikt til å registrere opplysninger om den egentlige eier eller den egentlige kunde. Kredittilsynet viser bl.a. til Basel-komiteens anbefalinger og forslag til reviderte FATF-anbefalinger.
I foreliggende forslag til reviderte FATF-anbefalinger heter det i anbefaling nr. 7 bokstav b):
"The measures that financial institutions should be required to undertake are as follows:
(...)
b) Identifying the beneficial owner and take reasonable measures to verify the identity of the beneficial owner such that the financial institution is satisfied that its knows who the beneficial owner is."
Regjeringen viser til hvitvaskingsforskriften § 2 siste ledd, der det fremgår at institusjonen skal "søke å bringe på det rene" opplysninger som nevnt i forskriften § 3 dersom institusjonen har grunn til å tro at kunden handler på vegne av en annen. Forskriftsbestemmelsen gjennomfører endringsdirektivet artikkel 3 nr. 7 (tidligere artikkel 3 nr. 5). Rask og effektiv tilgang til relevant informasjon om reelle eiere er en åpenbar fordel i forbindelse med undersøkelser og etterforskning av transaksjoner som har tilknytning til hvitvasking og terrorfinansiering. Etter Regjeringens oppfatning synes gjeldende rett (hvitvaskingsforskriften § 2 siste ledd) å langt på vei tilfredsstille forslaget til revidert FATF-anbefaling. For å klargjøre plikten til å søke å bringe på det rene opplysninger om reell eier, foreslår Regjeringen at bestemmelsen lovfestes, jf. lovforslaget § 6 fjerde ledd. Det foreslås enkelte endringer i ordlyden.
Regjeringen foreslår at plikten til å oppbevare opplysninger knyttet til hhv. identitetskontrollen og undersøkelses- og rapporteringsplikten fastsettes i en og samme bestemmelse, jf. lovforslaget § 8. Det foreslås at departementet i forskrift kan fastsette nærmere regler om hvilke dokumenter som skal oppbevares og om oppbevaringsmåten, jf. lovforslaget § 8 fjerde ledd.
Det vises til lovforslaget § 6 første, andre, tredje og fjerde ledd og § 8 fjerde ledd.
Komiteen viser til at plikt til å registrere og oppbevare opplysninger er en sentral del av tiltak som skal bidra til å forhindre hvitvasking av gevinst fra kriminell virksomhet, og støtter i hovedsak Regjeringens forslag.
Komiteen påpeker imidlertid at det i forhold til kravet om å registrere reell eier er en forskjell i ordlyden mellom lovforslaget og FATF-anbefalingen. FATF-anbefalingens nr. 7 bokstav b), lyder:
"The measures that financial institutions should be required to undertake are as follows:
(…)
b) Identifying the beneficial owner and take reasonable measures to verify the identity of the beneficial owner such that the financial institution is satisfied that it knows who the beneficial owner is."
I lovens § 6 fjerde ledd heter det:
"Dersom den rapporteringspliktige vet eller kan ha grunn til å tro at kunden handler på vegne av en annen eller at en annen eier formuesgodet det handles for, skal den rapporteringspliktige søke å bringe på det rene opplysninger som nevnt i første og tredje ledd også om den det handles på vegne av, og registrere slike opplysninger."
Komiteen understreker at oppfølging av FATF-anbefalingene er viktig. Å kjenne den egentlige eier er en avgjørende forutsetning for at registrering av slike opplysninger skal ha noe for seg. Selv om forskjellen på "skal søke å" og "skal" kan synes liten, innebærer den første formuleringen en svakere undersøkelsesplikt. Komiteen fremmer derfor følgende forslag:
"Hvitvaskingslovens § 6 fjerde ledd skal lyde:
Dersom den rapporteringspliktige vet eller kan ha grunn til å tro at kunden handler på vegne av en annen eller at en annen eier formuesgodet det handles for, skal den rapporteringspliktige bringe på det rene opplysninger som nevnt i første og tredje ledd også om den det handles på vegne av, og registrere slike opplysninger."
Etter Regjeringens oppfatning er etablering av kontrollrutiner og opplæring av ansatte en grunnleggende forutsetning for at reglene om tiltak mot hvitvasking og terrorfinansiering skal gjelde etter sin hensikt. Regjeringen slutter seg til arbeidsgruppens forslag om å videreføre krav til etablering av kontrollrutiner og opplæring av ansatte mv. Regjeringen legger i likhet med arbeidsgruppens forslag til grunn at det kan fastsettes nærmere regler i forskrift. Regjeringen foreslår enkelte justeringer i ordlyden i lovforslaget.
Det vises til lovforslag § 13.
Komiteen slutter seg til Regjeringens forslag og vurdering.
Hvitvaskingsreglene i finansvl. § 2-17 ble satt i kraft fra 1. januar 1994. Det ble lagt til grunn at legitimasjonsplikten gjaldt etablering av nye forretningsforhold etter 1. januar 1994.
Arbeidsgruppen foreslår at departementet i forskrift kan pålegge institusjonene å gjennomføre en identitetskontroll for forretningsforhold etablert før 1. januar 1994.
Arbeidsgruppen viser til at FATF (Financial Action Task Force) i Konsultasjonsdokumentet (Dokument vedtatt av FATF på et ekstraordinært plenarmøte i Washington 29.-30. oktober 2001 inneholdende åtte spesielle anbefalinger med tiltak mot terrorfinansiering ("FATF Special Recommendations on Terrorist Financing")) har drøftet dette temaet med forslag til flere valgmuligheter som høringsinstansene skal ta stilling til, herunder forslag om å foreta en slik fullstendig kundegjennomgang (jf. "option 2" på s. 37 i Konsultasjonsdokumentet). Etter arbeidsgruppens vurdering kan slike tiltak i praksis være ressurskrevende og problematisk for institusjonene å gjennomføre. En slik anbefaling fra FATF vil imidlertid kunne utløse krav til en slik prosess. Arbeidsgruppen finner det derfor hensiktsmessig at det lovfestes en hjemmel for å kreve identitetskontroll for samtlige forretningsforhold etablert før 1. januar 1994 hvor det ikke tidligere er foretatt en fullstendig og betryggende identitetskontroll.
Regjeringen er kjent med at FATF i forbindelse med revisjonen av de 40 anbefalingene ikke vil foreslå en anbefaling om legitimasjonskontroll av forretningsforhold etablert før 1. januar 1994. Regjeringen finner derfor ikke grunn til å foreslå en hjemmel for å innføre et slikt tiltak.
Det kan imidlertid ikke utelukkes at FATF likevel vil kunne vedta en slik anbefaling på et senere stadium i revisjonsprosessen. Regjeringen vil eventuelt følge opp dette når et slikt vedtak foreligger.
Komiteen slutter seg til Regjeringens vurdering.
Dette er ikke regulert i gjeldende rett.
Regjeringen slutter seg til arbeidsgruppens forslag om å pålegge finansinstitusjoner en plikt til å etablere elektroniske overvåkingssystemer.
Regjeringen er enig i Finansforbundets uttalelse om at elektroniske overvåkingssystemer kan redusere risikoen for trusler mv. mot rapporteringspliktige, ved at undersøkelsene anonymiseres. Systemet vil imidlertid forutsette at virksomhetens hvitvaskingsansvarlige vurderer meldingen fra det elektroniske systemet før det eventuelt oversendes en rapport til ØKOKRIM.
Regjeringen slutter seg ikke til høringsinstansene som tar til orde for at plikten til å etablere elektroniske overvåkingssystemer bør gjelde alle rapporteringspliktige. En forutsetning for et slikt pålegg må være at overvåkingen vil være et effektivt middel for å avdekke mistenkelige transaksjoner knyttet til straffbare handlinger. Etter Regjeringens syn vil slike systemer fortrinnsvis være effektive overvåkingsinstrumenter for virksomheter som utfører transaksjoner i elektroniske system. Videre forutsettes et visst transaksjonsvolum som medfører at det er mer hensiktsmessig å kontrollere transaksjonene elektronisk enn manuelt. Ut ifra disse forutsetningene mener Regjeringen det er hensiktsmessig å avgrense plikten til å gjelde finansinstitusjoner. Regjeringen vil imidlertid løpende vurdere om andre virksomheter, herunder verdipapirforetak og forvaltningsselskap for verdipapirfond, bør pålegges å etablere slike systemer.
Datatilsynet mener plikten til å etablere elektroniske overvåkingssystemer bør gis i lovs form. Regjeringen slutter seg til Datatilsynets uttalelse jf. lovforslaget § 15. Det legges imidlertid til grunn at det vil bli fastsatt nærmere regler i forskrift.
Det vises til lovforslaget § 15.
Komiteen slutter seg til Regjeringens forslag og vurdering.