Centraliserat utbyte av kontouppgifter till myndigheterna

Denna lag innehåller bestämmelser om ett system för övervakning av bank- och betalkonton som består av ett centraliserat automatiserat kontouppgiftssystem samt ett centraliserat elektroniskt system för transaktions- och saldouppgifter.

Syftet med övervakningssystemet för bank- och betalkonton är att

1) främja myndigheternas automatiserade tillgång till information om bank- och betalkonton samt bankfack,

2) främja myndigheternas elektroniska tillgång till transaktions- och saldouppgifter samt uppgifter som hänför sig till värdepapper, samt

3) förbättra datasäkerheten för de personuppgifter som lämnas ut.

Personuppgifter i övervakningssystemet för bank- och betalkonton behandlas med hjälp av ett datasöksystem för bank- och betalkonton, ett register över bank- och betalkonton, ett system för utlämnande av uppgifter samt ett sammanställningsprogram.

Denna lag tillämpas på erhållande och förmedling av information om bank- och betalkonton samt bankfack, transaktions- och saldouppgifter samt uppgifter om värdepapper från betalningsinstitut, institut för elektroniska pengar, kreditinstitut och leverantörer av kryptotillgångstjänster till behöriga myndigheter med hjälp av ett system för övervakning av bank- och betalkonton.

Det som i denna lag föreskrivs om betalningsinstitut, institut för elektroniska pengar, kreditinstitut och leverantörer av kryptotillgångstjänster tillämpas också på i Finland belägna filialer till utländska betalningsinstitut, institut för elektroniska pengar, kreditinstitut och leverantörer av kryptotillgångstjänster.

Uppgifter som behandlas i övervakningssystemet för bank- och betalkonton är sekretessbelagda. På registret över bank- och betalkonton tillämpas i övrigt bestämmelserna i lagen om offentlighet i myndigheternas verksamhet (621/1999), dock så att uppgifter i registret över bank- och betalkonton endast kan lämnas ut för de användningsändamål som anges i denna lag och för de användningsändamål som anges i 11 och 12 §, 26 § 3 mom. och 29 § 1 mom. 3 punkten i lagen om offentlighet i myndigheternas verksamhet.

En behörig myndighets begäran om information får inte behandlas hos aktörer som avses i 1 a § i annat syfte än för att behandla begäran samt för att lämna ut uppgifter i enlighet med begäran.

Uppgifter som erhållits av en aktör som avses i 1 a § får inte behandlas för något annat ändamål än det för vilket uppgifterna har lämnats ut

Tullen ska administrera ett sammanställningsprogram med vars hjälp den mekaniskt överför behöriga myndigheters begäranden om information till i 1 a § avsedda aktörer för de ändamål för behandling som anges i 2 och 3 kap., samt utlämna de uppgifter som erhållits genom att i enlighet med begäran om information förmedla dem till den behöriga myndigheten. Tullen är personuppgiftsansvarig för de personuppgifter som behandlas med sammanställningsprogrammet.

Behandlingen av personuppgifter med sammanställningsprogrammet sker automatiskt. Uppgifter som lämnats ut via sammanställningsprogrammet ska raderas ur programmet omedelbart efter det att uppgifterna har lämnats vidare.

Med avvikelse från det som föreskrivs i artikel 15 i Europaparlamentets och rådets förord-ning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av person-uppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) om den registrerades rätt till tillgång till uppgifter, har den registrerade inte tillgång till uppgifter när uppgifterna behandlas med sammanställningsprogrammet. Uppgifterna ska på den registrerades begäran lämnas till dataombudsmannen med iakttagande av vad som föreskrivs i 34 § i dataskyddslagen (1050/2018). Begäran om utövande av den indirekta granskningsrätten ska framställas till dataombuds-mannen eller Tullen med iakttagande av 35 § 2 mom. i lagen om behandling av personuppgifter inom Tullen (650/2019). En begäran som framställts till Tullen ska utan dröjsmål lämnas till dataombudsmannen.

Ett kreditinstitut ska administrera ett elektroniskt datasöksystem för bank- och betalkon-ton med vars hjälp det trots sekretessbestämmelserna till en behörig myndighet lämnar ut i 2 och 3 kap. avsedda uppgifter om sina kunder och deras transaktions- och saldouppgifter. Om det är motiverat med beaktande av kreditinstitutets storlek samt verksamhetens art och omfattning, får institutet avvika från skyldigheten att administrera ett datasöksystem, om Finansinspektionen beviljar tillstånd till detta.

Betalningsinstitut, institut för elektroniska pengar och leverantörer av kryptotillgångstjänster kan administrera ett i 1 mom. avsett datasöksystem för bank- och betalkonton. De ska då till den behöriga myndigheten lämna ut i 2 och 3 kap. avsedda uppgifter med hjälp av datasöksystemet.

Med avvikelse från det som föreskrivs i artikel 15 i den allmänna dataskyddsförordningen om den registrerades rätt till tillgång till uppgifter, har den registrerade inte tillgång till uppgifter när uppgifterna behandlas med ett elektroniskt söksystem för bank- och betalningskonton. Uppgifterna ska på den registrerades begäran lämnas till dataombudsmannen med iakttagande av vad som föreskrivs i 34 § i dataskyddslagen.

En behörig myndighet ska administrera ett elektroniskt datasöksystem för myndigheten med hjälp av vilket den trots sekretessbestämmelserna av aktörer som av i 1 a § får begära och ta emot i 2 och 3 kap. avsedda uppgifter om kunderna hos dessa aktörer samt om deras transaktions- och saldouppgifter och värdepappersuppgifter. I begäran om information ska det anges om begäran gäller uppgifter som avses i 2 eller i 3 kap.

Tullen övervakar att skyldigheterna enligt 1 mom. och 4 § 2 mom. fullgörs och meddelar en föreskrift om de tekniska krav som ställs på datasöksystem.

Tullen ska administrera ett system för utlämnande av uppgifter med vars hjälp de i 1 a § av-sedda aktörer som inte har byggt upp ett elektroniskt datasöksystem för bank- och betalkonton lämnar ut de uppgifter som avses i 3 kap. till behöriga myndigheter.

Tullen meddelar tekniska föreskrifter om på vilka sätt uppgifterna ska lämnas till systemet för utlämnande av uppgifter.

Tullen har rätt att avgiftsfritt få de uppgifter som förs in i registret över bank- och betalkonton samt de uppgifter som lämnas ut ur datasöksystemen för bank- och betalkonton.

De behöriga myndigheterna har rätt att avgiftsfritt få de uppgifter som avses i denna lag ur övervakningssystemet för bank- och betalkonton.

I denna lag avses med

1) register över bank- och betalkonton ett register där uppgifter samlas om kunder som har bank- och betalkonton i betalningsinstitut, institut för elektroniska pengar och i kreditinstitut med ett i 1 d § 1 mom. avsett och av Finansinspektionen beviljat undantagstillstånd samt om kunder hos leverantörer av kryptotillgångstjänster,

2) datasöksystem för bank- och betalkonton ett system med hjälp av vilket i kreditinstitutslagen (610/2014) avsedda kreditinstitut och i 1 d § 2 mom. avsedda andra aktörer som skapat ett datasöksystem till behöriga myndigheter överlåter information av information om bank- och betalkonton samt bankfack, transaktions- och saldouppgifter om dem samt uppgifter som hänför sig till värdepapper

3) behöriga myndigheter sådana myndigheter som avses i 3, 17 a och 17 c § samt advokatföreningen,

11) sammanställningsprogram en automatiserad teknisk lösning som administreras av Tullen och med vars hjälp Tullen förmedlar information om information om av information om bank- och betalkonton samt bankfack, transaktions- och saldouppgifter samt uppgifter som hänför sig till värdepapper inom övervakningssystemet för bank- och betalkonton,

12) centraliserat automatiserat kontouppgiftssystem en automatiserad mekanism enligt Europaparlamentets och rådets direktiv (EU) 2018/843 om ändring av direktiv (EU) 2015/849 om åtgärder för att förhindra att det finansiella systemet används för penningtvätt eller finansiering av terrorism, och om ändring av direktiven 2009/138/EG och 2013/36/EU med hjälp av vilken det är möjligt att omedelbart få information om bank- och betalkonton samt bankfack,

13) centraliserat elektroniskt system för transaktions- och saldouppgifter ett sätt att behandla sådana transaktions- och saldouppgifter som erhålls ur övervakningssystemet för bank- och betalkonton samt uppgifter om behandlingen av värdepapper och som baserar sig på elektronisk databehandling,

14) saldo det belopp som finns på ett bank- och betalkonto vid den tidpunkt då en förfrågan besvaras, och från vilket avdragits en eventuell täckningsreservering,

15) transaktionsuppgifter sådana i 1 artikel 1 2 b 7 a i Europaparlaments och rådets direktiv (EU) 2024/1654 avsedda uppgifter om transaktioner som under en fastställd period har genomförts via ett särskilt betalkonto eller via ett bankkonto som identifieras med IBAN-nummer eller uppgifter om överföringar av kryptotillgångar, till den del det gäller behöriga myndigheters åtkomst till centraliserade bankkontoregister via sammankopplingssystemet och tekniska åtgärder för att underlätta användningen av transaktionsuppgifter i enlighet med direktiv (EU) 2019/1153 om ändring av behöriga myndigheter som ges direkt åtkomst till uppgifter i centraliserade bankkontoregister,

16) uppgifter om värdepapper uppgifter som antecknas på värdeandelskonton enligt 2 § i lagen om värdeandelskonton (827/1991).

Följande behöriga myndigheter har rätt att få åtkomst till sådana uppgifter i övervakningssystemet för bank- och betalkonton som lämnas ut i enlighet med 4 § och som registrerats i enlighet med 6 §, om detta är nödvändigt för fullgörandet av följande uppgifter och myndigheten enligt någon annan lag har rätt att få åtkomst till den nämnda informationen:

7) polisen, information som behövs för förebyggande, avslöjande och utredning av brott samt för förande av brott till åtalsprövning, information som behövs för upprätthållande av den nationella säkerheten, för utförande av i lagen om penninginsamlingar (863/2019) avsedd övervakning i samband med penninginsamlingar samt för polisundersökning enligt 6 kap. i polislagen (872/2011), om ett viktigt allmänt eller enskilt intresse kräver det,

8) Försvarsmakten för förhindrande, avslöjande och utredning av brott som avses i lagen om militär disciplin och brottsbekämpning inom Försvarsmakten (89/2025) samt i enlighet med 104 § i lagen om militär underrättelseverksamhet (590/2019),

9) Finansinspektionen för skötseln av uppgifter enligt i 3 § i lagen om Finansinspektionen (878/2008),

10) Gränsbevakningsväsendet, för förebyggande, avslöjande och utredning av brott samt för förande av brott till åtalsprövning i enlighet med lagen om brottsbekämpning inom gränsbevakningsväsendet (108/2018).

Ett kreditinstitut ska med hjälp av ett datasöksystem för bank- och betalkonton omedelbart och trots sekretessbestämmelserna till en behörig myndighet lämna ut sådana uppgifter om sina kunder som avses i 2 mom.

Via datasöksystemet ska till behöriga myndigheter utlämnas följande uppgifter om de, trots sekretessbestämmelserna och andra begränsningar som gäller erhållande av information, med stöd av någon annan lag har rätt att få dem:

1) fullständigt namn, födelsedatum och finsk personbeteckning eller, om sådan saknas, medborgarskap, för kontoinnehavaren och den som har rätt att använda kontot, datum när kund-relationen eller rätten att använda kontot har börjat och upphört eller, om kontoinnehavaren är en juridisk person, dess fullständiga namn, registernummer, registreringsdag och registermyndighet, datum när kundrelationen eller rätten att använda kontot har börjat och upphört, samt alla hos den juridiska personen som har rätt att använda kontot och sådana uppgifter om dem som ovan nämns för fysiska personer eller, om den som har rätt att använda kontot är en allmän intressebevakare, i stället för intressebevakarens namn, födelsedatum och personbeteckning, tjänsteproducentens identifieringsuppgifter, intressebevakarens titel samt, om tjänsteproducenten har fler än en allmän intressebevakare, intressebevakarens ordningsnummer,

2) fullständigt namn, födelsedatum och finsk personbeteckning eller, om sådan saknas, medborgarskap, för de verkliga förmånstagare som avses i 1 kap. 5–7 § i lagen om förhindrande av penningtvätt och av finansiering av terrorism,

3) i fråga om bank- och betalkonton IBAN-nummer eller något annat identifikationssignum samt datum för öppnande och avslutande av kontot,

4) fullständigt namn, födelsedatum och finsk personbeteckning eller, om sådan saknas, medborgarskap, för den som hyr ett bankfack och den som har rätt att använda bankfacket samt identifieringsuppgifter om bankfacket och hyrestidens längd eller, om det är fråga om en juridisk person, dess fullständiga namn, registernummer, registreringsdag och registermyndighet samt identifieringsuppgifter om bankfacket och hyrestidens längd eller, om den som har rätt att använda bankfacket är en allmän intressebevakare, i stället för intressebevakarens namn, födelsedatum och personbeteckning, tjänsteproducentens identifieringsuppgifter, intressebevakarens titel samt, om tjänsteproducenten har fler än en allmän intressebevakare, intressebevakarens ordningsnummer.

Den behöriga myndigheten ska specificera enligt vilken bestämmelse den begär information. Kreditinstituten svarar för att de uppgifter som de lämnar ut är korrekta och att rättelser görs utan ogrundat dröjsmål.

I samband med gemensamma konton som förvaltas av en advokat ska det uttryckligen antecknas att bank- eller betalkontot är ett gemensamt konto som förvaltas av en advokat och som omfattas av tystnadsplikten för advokater. Uppgifter om gemensamma konton som förvaltas av en advokat får inte lämnas ut via datasöksystemet, med undantag för information om att det är fråga om ett gemensamt konto som förvaltas av en advokat och om vilken advokat som förvaltar kontot.

Betalningsinstitut, institut för elektroniska pengar och leverantörer av kryptotillgångstjänster ska trots sekretessbestämmelserna och andra begränsningar som gäller erhållande av information lämna Tullen de uppgifter som avses i 2 mom. Betalningsinstitut, institut för elektroniska pengar och leverantörer av kryptotillgångstjänster kan administrera ett i 1 d § avsett datasöksystem för bank- och betalkonton, varvid de uppgifter som avses i 2 mom. i denna paragraf ska utlämnas via datasöksystemet.

I registret över bank- och betalkonton ska införas följande uppgifter om sådana kunder hos betalningsinstitut, institut för elektroniska pengar och leverantörer av kryptotillgångstjänster som enligt 3 kap. 2 § i lagen om förhindrande av penningtvätt och av finansiering av terrorism ska identifieras:

1) fullständigt namn, födelsedatum och finsk personbeteckning eller, om sådan saknas, medborgarskap, för kontoinnehavaren och den som har rätt att använda kontot samt kunden hos leverantören av kryptotillgångstjänster eller, om kontoinnehavaren eller kunden hos leverantören av kryptotillgångstjänster är en juridisk person, dess fullständiga namn, registernummer, registreringsdag och registermyndighet samt alla hos den juridiska personen som har rätt att använda kontot och sådana uppgifter om dem som ovan nämns för fysiska personer eller, om den som har rätt att använda kontot är en allmän intressebevakare, i stället för intressebevakarens namn, födelsedatum och personbeteckning, tjänsteproducentens identifieringsuppgifter, intressebevakarens titel samt, om tjänsteproducenten har fler än en allmän intressebevakare, intressebevakarens ordningsnummer,

2) datum när kundrelationen och rätten att använda kontot har börjat och upphört,

3) i fråga om betalkonton IBAN-nummer eller något annat identifikationssignum.

Om ett kreditinstitut har fått ett i 1 d § 1 mom. avsett tillstånd från Finansinspektionen att avvika från skyldigheten att administrera ett datasöksystem, ska följande uppgifter införas i registret över bank- och betalkonton:

1) fullständigt namn, födelsedatum och finsk personbeteckning eller, om sådan saknas, med-borgarskap samt datum när kundrelationen och rätten att använda kontot har börjat och upphört eller, om kontoinnehavaren är en juridisk person, dess fullständiga namn, register-nummer, registreringsdag och registermyndighet, datum när kundrelationen har börjat och upphört, samt alla hos den juridiska personen som har rätt att använda kontot och sådana uppgifter om dem som ovan nämns för fysiska personer eller, om den som har rätt att an-vända kontot är en allmän intressebevakare, i stället för intressebevakarens namn, födelsedatum och personbeteckning, tjänsteproducentens identifieringsuppgifter, intressebevakarens titel samt, om tjänsteproducenten har fler än en allmän intressebevakare, intressebevakarens ordningsnummer,

2) fullständigt namn, födelsedatum och finsk personbeteckning eller, om sådan saknas, med-borgarskap, för de verkliga förmånstagare som avses i 1 kap. 5–7 § i lagen om förhindrande av penningtvätt och av finansiering av terrorism,

3) i fråga om bank- och betalkonton IBAN-nummer eller något annat identifikationssignum samt datum för öppnande och avslutande av kontot,

4) fullständigt namn, födelsedatum och finsk personbeteckning eller, om sådan saknas, medborgarskap, för den som hyr ett bankfack och den som har rätt att använda bankfacket samt identifieringsuppgifter om bankfacket och hyrestidens längd eller, om det är fråga om en juridisk person, dess fullständiga namn, registernummer, registreringsdag och registermyndighet samt identifieringsuppgifter om bankfacket och hyrestidens längd eller, om den som har rätt att använda bankfacket är en allmän intressebevakare, i stället för intressebevakarens namn, födelsedatum och personbeteckning, tjänsteproducentens identifieringsuppgifter, intressebevakarens titel samt, om tjänsteproducenten har fler än en allmän intressebevakare, intressebevakarens ordningsnummer.

Uppgifter får lämnas ut oberoende av vad som i artikel 18.1 a i den allmänna dataskyddsför-ordningen föreskrivs om den registrerades rätt att kräva att den personuppgiftsansvarige begränsar behandlingen av personuppgifter.

Tullen förmedlar de i 3 § avsedda behöriga myndigheternas begäranden om sådan information som avses i 4 och 6 §, i vilka det i 3 § avsedda användningsändamålet preciserats, i pseudonymiserad form till kreditinstitutet, och överför i enlighet med begäran om information de uppgifter som mottagits från kreditinstitutet till den behöriga myndigheten med sammanställningsprogrammet.

Uppgifter som lämnats ut via sammanställningsprogrammet ska raderas ur programmet omedelbart efter det att uppgifterna har lämnats ut till den behöriga myndigheten.

Tullen ska föra ett loggregister över användningen av bank- och betalkontoregistret och användningen av det centraliserade automatiserade systemet för kontouppgifter via samman-ställningsprogrammet och på begäran lämna ut logguppgifterna till de behöriga myndigheter som avses i 3 §. Loggregistret ska innehålla åtminstone följande uppgifter:

1) referensuppgifter för ärendet,

2) de bestämmelser med stöd av vilka uppgifter begärs,

3) datum och klockslag för förfrågan eller sökningen,

4) typen av uppgifter som används för förfrågan eller sökningen,

5) identifieringsuppgifter för resultaten av förfrågan eller sökningen,

6) namnet på den behöriga myndighet som använt registret.

Vidare ska varje behörig myndighet föra ett loggregister som utöver de uppgifter som avses i 1 mom. även innehåller identifieringsuppgifter om den person som utfört en förfrågan eller en sökning i det centraliserade automatiserade systemet för kontouppgifter och om den person som förordnat förfrågan eller sökningen och, om möjligt, identifieringsuppgifter om mottagaren av resultatet av förfrågan eller sökningen. Den behöriga myndigheten ska utse en person som övervakar användningen av det centraliserade automatiserade systemet för kontouppgifter. Tullen ska i egenskap av personuppgiftsansvarig övervaka användningen av registret över bank- och betalkonton. Dataskyddsombudet ska regelbundet granska de loggregister som avses i denna paragraf.

Logguppgifterna ska bevaras endast i syfte att säkerställa skyddet för personuppgifter och för att trygga datasäkerheten och rättssäkerheten, och de ska skyddas mot osaklig hantering. Logguppgifterna ska bevaras under det innevarande året och de fem följande åren, utom i det fall att de behövs i ett pågående tillsynsärende.

Tullen påför den som uppsåtligen eller av oaktsamhet försummar eller bryter mot skyldigheten att administrera ett sådant datasöksystem för bank- och betalkonton som avses i 1 d § 1 mom. eller skyldigheten att lämna Tullen sådana uppgifter som avses i 4 § 2 mom. eller i 6 § 2 eller 3 mom. en ordningsavgift.

Följande behöriga myndigheter har rätt att via ett tekniskt gränssnitt få de uppgifter som avses i 17 b § ur det centraliserade elektroniska systemet för transaktions- och saldouppgifter, om detta är nödvändigt för följande användningsändamål, om det är nödvändigt för skötseln av myndighetens uppgifter:

1) polisen, för ändamål enligt 4 kap. 3 § och 5 a kap. 50 § i polislagen (872/2011),

2) centralen för utredning av penningtvätt, för ändamål enligt i 4 § i lagen om centralen för utredning av penningtvätt,

3) Tullen, för ändamål enligt 102 § 2 mom. i tullagen och 2 kap. 14 § 1 mom. i lagen om brottsbekämpning inom Tullen,

4) Gränsbevakningsväsendet, för ändamål enligt 20 § i lagen om behandling av personuppgifter vid Gränsbevakningsväsendet (639/2019),

5) Skatteförvaltningen, för ändamål enligt 18 a § i lagen om beskattningsförfarande,

6) utsökningsmyndighet, för ändamål enligt 3 kap. 64 och 66 § i utsökningsbalken,

7) Finansinspektionen, för ändamål enligt 18 § i lagen om Finansinspektionen,

8) Försvarsmakten, för ändamål enligt 104 § i lagen om militär underrättelseverksamhet och 112 § i lagen om militär disciplin och brottsbekämpning inom Försvarsmakten.

I det centraliserade elektroniska systemet för transaktions- och saldouppgifter är det möjligt att begära följande uppgifter om saldot för bank- och betalkonton:

1) kontonummer,

2) saldo för kontot,

3).datum och klockslag för saldot.

Saldouppgifter om gemensamma konton som förvaltas av en advokat får inte lämnas ut via det centraliserade elektroniska systemet för transaktions- och saldouppgifter.

Följande behöriga myndigheter har rätt att via ett tekniskt gränssnitt få de uppgifter som avses i 17 d § ur det centraliserade elektroniska systemet för saldo- och kontotransaktioner för följande användningsändamål, om det är nödvändigt för skötseln av myndighetens uppgifter:

1) polisen, för ändamål enligt 4 kap. 3 § och 5 a kap. 50 § i polislagen,

2) centralen för utredning av penningtvätt, för ändamål enligt i 4 § i lagen om centralen för utredning av penningtvätt,

3) Tullen, för ändamål enligt 102 § 2 mom. i tullagen och 2 kap. 14 § 1 mom. i lagen om brottsbekämpning inom Tullen,

4) Gränsbevakningsväsendet, för ändamål enligt 20 § i lagen om behandling av personuppgifter vid Gränsbevakningsväsendet (639/2019),

5) Skatteförvaltningen, för ändamål enligt 18 a § i lagen om beskattningsförfarande,

6) utsökningsmyndighet, för ändamål enligt 3 kap. 64 och 66 § i utsökningsbalken,

7) Finansinspektionen, för ändamål enligt 18 § i lagen om Finansinspektionen,

8) Försvarsmakten, för ändamål enligt 104 § i lagen om militär underrättelseverksamhet och 112 § i lagen om militär disciplin och brottsbekämpning inom Försvarsmakten.

Ur det centraliserade elektroniska systemet för transaktions- och saldouppgifter är det möjligt att begära följande uppgifter om kontotransaktioner som gäller bank- och betalkonton:

1) typ av transaktion,

2) datum och klockslag för transaktionen,

3) transaktionens belopp i kontovalutan och i den ursprungliga valutan,

4) meddelande och referensnummer för transaktionen,

5) kontonummer för transaktionen,

6) mottagarens eller avsändarens namn,

7) andra än i 1–6 punkten avsedda uppgifter som hänför sig till kontotransaktionen.

Dessutom är det möjligt att via det centraliserade elektroniska systemet för transaktions- och saldouppgifter begära uppgifter om kundens värdepapper.

I 1 och 2 mom. avsedda uppgifter om gemensamma konton som förvaltas av en advokat får inte lämnas ut via det centraliserade elektroniska systemet för transaktions- och saldouppgifter.

Rätt att få sådana uppgifter som avses i 17 b och 17 d § och möjlighet att göra begäranden om information som gäller dem ur det centraliserade elektroniska systemet för transaktions- och saldouppgifter har endast sådan personal vid en i 17 a § och 17 c § avsedd behörig myndighet som har utsetts och bemyndigats att utföra dessa uppgifter.

En behörig myndighet ska med hjälp av sitt elektroniska datasöksystem specificera IBAN-numret eller någon annan identifieringskod för det bank- och betalkonto som begäran gäller, användningsändamålet för informationen samt referensuppgifterna för ärendet samt de bestämmelser med stöd av vilka den begär information från det centraliserade elektroniska systemet för saldo- och kontotransaktioner.

Aktörer som avses i 1 a § ska lämna ut sådana uppgifter som avses i 17 b och 17 d § 1 mom. till det centraliserade elektroniska systemet för transaktions- och saldouppgifter. Uppgifterna ska trots sekretessbestämmelserna lämnas ut utan dröjsmål, men senast inom följande bankdag.

De uppgifter som avses i 17 d 1 mom. ska på begäran lämnas ut för de fem föregående kalenderåren. Den behöriga myndigheten ska från fall till fall bedöma för vilken tid uppgifterna behöver begäras samt utan obefogat dröjsmål radera onödiga personuppgifter.

En aktör som avses i 1 a § kan av grundad anledning lämna ut uppgifter som avses i 17 d § 2 mom. på något annat elektroniskt informationssäkert sätt.

Ovan i denna paragraf avsedda uppgifter ska raderas ur sammanställningsprogrammet omedelbart efter det att de har lämnats ut till den behöriga myndigheten. Om den behöriga myndigheten inte med hjälp av sitt datasöksystem har hämtat i 17 b och 17 d § avsedda uppgifter i sammanställningsprogrammet, raderas uppgifterna automatiskt ur programmet.

Varje aktör som behandlar uppgifter som hör till det centrala elektroniska systemet för transaktions- och saldouppgifter är personuppgiftsansvarig i fråga om de uppgifter som den behandlar.

Den behöriga myndigheten svarar för att dess begäran om transaktions- och saldouppgifter är nödvändig och proportionell. Den behöriga myndigheten svarar också för att de uppgifter som den lämnar ut i begäran om information är korrekta och för att sådana uppgifter rättas utan obefogat dröjsmål.

Tullen förmedlar sådana i 17 b och 17 d § avsedda begäranden om information från behöriga myndigheter som avses i 17 a och 17 c § i fråga om vilka bestämmelserna om erhållande av information, informationens användningsändamål, ärendets referensuppgifter och kontaktuppgifterna till den behöriga myndigheten har specificerats, till i 1 a § avsedda aktörer, och överför de uppgifter som erhållits av aktörerna som sådana till den behöriga myndigheten med sammanställningsprogrammet.

Aktörer som avses i 1 a § svarar för att de transaktions- och saldouppgifter som de lämnar ut är korrekta och för att uppgifterna rättas utan obefogat dröjsmål.

Den behöriga myndigheten ska underrätta Tullen om felaktiga uppgifter som den har upptäckt och tagit emot.

Tullen ska föra ett loggregister över användningen av det centraliserade elektroniska systemet för transaktions- och saldouppgifter via sammanställningsprogrammet och på begäran lämna ut logguppgifterna till de behöriga myndigheter som avses i 17 a och 17 c §. Loggregistret ska innehålla åtminstone följande uppgifter:

1) referensuppgifter för ärendet,

2) de bestämmelser med stöd av vilka uppgifter begärs,

3) datum och klockslag för förfrågan eller sökningen,

4) typen av uppgifter som används i förfrågan eller sökningen,

5) identifieringsuppgifter för resultaten av förfrågan eller sökningen,

6) namnet på den behöriga myndighet som använt systemet.

Vidare ska den behöriga myndigheten och de aktörer som avses i 1 a § föra ett loggregister över användningen av det centraliserade elektroniska systemet för transaktions- och saldouppgifter. Loggregistret ska innehålla åtminstone de uppgifter som avses i 1 mom.

Den behöriga myndighetens i 2 mom. avsedda loggregister ska även innehålla identifieringsuppgifter om den person som utfört en förfrågan i det centraliserade elektroniska systemet för transaktions- och saldouppgifter och om den person som förordnat förfrågan och, om möjligt, identifieringsuppgifter om mottagaren av resultatet av förfrågan. Den behöriga myndigheten ska utse en person som övervakar användningen av det centraliserade elektroniska systemet för transaktions- och saldouppgifter.

Logguppgifterna ska bevaras endast i syfte att säkerställa skyddet för personuppgifter och för att trygga datasäkerheten och rättssäkerheten, och de ska skyddas mot osaklig hantering. Logguppgifterna ska bevaras under det innevarande året och de fem följande åren, utom i det fall att de behövs i ett pågående tillsynsärende.

Denna lag träder i kraft den 20 . Lagens 3 kap. tillämpas dock först från och med den 1 juni 2026, med undantag av dess 17 d § 2 mom. som tillämpas från och med den 10 juli 2027 samt 17 f 3 mom., som tillämpas enligt följande:

1) från och med den 1 juni 2026 till och med den 31 maj 2027 ska uppgifter om kontotransaktioner lämnas för de två kalenderår som föregår begäran om information,

2) från och med den 1 juni 2027 till och med den 31 maj 2028 ska uppgifter om kontotransaktioner lämnas för de tre kalenderår som föregår begäran om information,

3) från och med den 1 juni 2028 till och med den 31 maj 2029 ska uppgifter om kontotransaktioner lämnas för de fyra kalenderår som föregår begäran om information,

4) från och med den 1 juni 2029 ska uppgifter om kontotransaktioner lämnas för de fem kalenderår som föregår begäran om information.

De aktörer som avses i 1 a § i lagen om ett övervakningssystem för bank- och betalkonton (571/2019) ska med hjälp av övervakningssystemet för bank- och betalkonton lämna Skatteförvaltningen de uppgifter som avses i 17 b och 17 d § i den lagen, om dessa uppgifter är nödvändiga för beskattningen och förutsättningarna för lämnande av uppgifter enligt 19 § i denna lag uppfylls.

Denna lag träder i kraft den 20 .

På utomståendes särskilda skyldighet att lämna uppgifter tillämpas 18 a, 19 och 20 § i lagen om beskattningsförfarande.

Denna lag träder i kraft den 20 .