vedtak til lov om tiltak mot hvitvasking og terrorfinansiering mv. (hvitvaskingsloven)

1. Lov 20. juni 2003 nr. 41 om tiltak mot hvitvasking av utbytte fra straffbare handlinger mv. (hvitvaskingsloven) oppheves.

2. I lov 24. mai 1985 nr. 28 om Norges Bank og pengevesenet mv. (sentralbankloven) gjøres følgende endring:

§ 12 annet ledd skal lyde:

Taushetsplikt etter foregående ledd gjelder ikke overfor Kredittilsynet eller overfor andre EØS-staters sentralbanker. Taushetsplikten etter foregående ledd gjelder heller ikke overfor ØKOKRIM ved oversendelse av opplysninger i henhold til § 18 i lov om tiltak mot hvitvasking og terrorfinansiering mv. (hvitvaskingsloven).

Kapittel 1. Innledende bestemmelser

§ 1 Lovens formål

Lovens formål er å forebygge og avdekke transaksjoner med tilknytning til utbytte av straffbare handlinger eller med tilknytning til terrorhandlinger.

§ 2 Definisjoner

I denne lov forstås med:

• 1. rapporteringspliktige: personer som nevnt i § 4,

• 2. transaksjon: enhver overføring, formidling, ombytting eller plassering av formuesgoder,

• 3. reelle rettighetshavere: fysiske personer som i siste instans eier eller kontrollerer en kunde eller som en transaksjon gjennomføres på vegne av. En fysisk person skal i alle tilfelle regnes som reell rettighetshaver dersom vedkommende:

• a) direkte eller indirekte eier eller kontrollerer mer enn 25 prosent av eierandelene eller stemmene i et selskap, unntatt selskap som har finansielle instrumenter opptatt til notering på et regulert marked i EØS-stat eller er underlagt informasjonsplikt tilsvarende det som gjelder ved notering på et regulert marked i EØS-stat,

• b) utøver kontroll over ledelsen av en juridisk person på annen måte enn nevnt i bokstav a,

• c) ifølge vedtekter eller på annet grunnlag skal motta 25 prosent eller mer av formuesgodene i en stiftelse, et fond eller en tilsvarende juridisk person eller formuesmasse,

• d) har hovedinteressen av opprettelsen eller forvaltningen av en stiftelse, et fond eller en tilsvarende juridisk person eller formuesmasse, eller

• e) utøver kontroll over mer enn 25 prosent av formuesgodene i en stiftelse, et fond eller en lignende juridisk person eller formuesmasse.

• 4. tilbydere av virksomhetstjenester: fysiske og juridiske personer som tilbyr en eller flere av følgende tjenester:

• a) oppretter selskaper og andre juridiske personer,

• b) opptrer som tillitsvalgte eller ledende ansatte i selskap, deltaker i ansvarlig selskap eller kommandittselskap, eller lignende posisjoner i andre typer juridiske personer,

• c) besørger forretningsadresser, administrative adresser eller postadresser og dertil knyttede tjenester for juridiske personer,

• d) administrerer eller forvalter fond eller tilsvarende formuesmasser,

• e) opptrer som aksjeeiere for tredjeperson, med mindre denne er et selskap som har finansielle instrumenter opptatt til notering på et regulert marked i EØS-stat eller er underlagt informasjonsplikt tilsvarende det som gjelder ved notering på et regulert marked i EØS-stat, eller

• f) sørger for at andre personer opptrer i posisjoner som nevnt i bokstav b, d og e.

§ 3 Geografisk virkeområde

Loven gjelder for rapporteringspliktige som er etablert i Norge, herunder filialer av utenlandske foretak.

Loven gjelder for Svalbard og Jan Mayen. Departementet kan i forskrift fastsette at deler av loven ikke skal gjelde på Svalbard og Jan Mayen og fastsette særlige regler for disse områdene for fremme av lovens formål.

§ 4 Rapporteringspliktige

Loven gjelder for følgende juridiske personer:

• 1. finansinstitusjoner,

• 2. Norges Bank,

• 3. e-pengeforetak,

• 4. foretak som driver virksomhet som består i overføring av penger eller pengefordringer,

• 5. verdipapirforetak,

• 6. forvaltningsselskaper for verdipapirfond,

• 7. forsikringsselskaper,

• 8. foretak som driver forsikringsformidling som ikke er gjenforsikringsmegling,

• 9. postoperatører ved formidling av verdisendinger,

• 10. verdipapirregistre, og

• 11. foretak som driver depotvirksomhet.

Loven gjelder også for følgende juridiske og fysiske personer i utøvelsen av deres yrke:

• 1. statsautoriserte og registrerte revisorer,

• 2. autoriserte regnskapsførere,

• 3. advokater og andre som ervervsmessig eller stadig yter selvstendig juridisk bistand, når de bistår eller opptrer på vegne av klienter ved planlegging eller utføring av finansielle transaksjoner eller transaksjoner som gjelder fast eiendom eller gjenstander med verdi over 40 000 kroner,

• 4. eiendomsmeglere og boligbyggelag når det drives eiendomsmegling,

• 5. foretak som mot vederlag tilbyr tilsvarende tjenester som nevnt i nr. 1 til 4,

• 6. tilbydere av virksomhetstjenester, og

• 7. forhandlere av gjenstander, herunder auksjonsforretninger, kommisjonærer og lignende, ved transaksjoner i kontanter på 40 000 norske kroner eller mer eller et tilsvarende beløp i utenlandsk valuta.

Loven gjelder også for foretak og personer som utfører tjenester på vegne av eller for personer som nevnt i første og annet ledd.

Når advokater opptrer som bostyrere, gjelder bestemmelsene i §§ 17, 18, 20, 21, 27 og 28.

Departementet kan i forskrift fastsette unntak fra enkelte eller flere av bestemmelsene i loven for visse rapporteringspliktige. Departementet kan i forskrift la enkelte eller flere av bestemmelsene i loven få anvendelse for forhandlere av gjenstander ved transaksjoner over bestemte beløpsgrenser ved bruk av nærmere angitte typer betalingsmiddel.

Departementet kan i forskrift fastsette regler som nærmere angir hvem som er omfattet av § 4 første og annet ledd og regler som gir loven anvendelse for foretak som driver spillvirksomhet, inkassoforetak, pensjonskasser og formidlere av andeler i ansvarlige selskaper og kommandittselskaper.

Kapittel 2. Kundekontroll og løpende oppfølging

§ 5 Risikobasert kundekontroll og løpende oppfølging

Rapporteringspliktige skal foreta kundekontroll etter §§ 6 til 13 og løpende oppfølging etter § 14. Kundekontroll og løpende oppfølging skal foretas på grunnlag av en vurdering av risiko for transaksjoner med tilknytning til utbytte av straffbare handlinger eller forhold som rammes av straffeloven §§ 147 a, 147 b eller 147 c, der risikoen vurderes ut fra type kunde, kundeforhold, produkt eller transaksjon.

Rapporteringspliktige skal kunne påvise at omfanget av utførte tiltak er tilpasset den aktuelle risiko.

§ 6 Plikt til å foreta kundekontroll

Rapporteringspliktige skal foreta kundekontroll ved

• 1. etablering av kundeforhold,

• 2. transaksjon som gjelder 100 000 norske kroner eller mer, for kunde som den rapporteringspliktige ikke har et etablert kundeforhold til,

• 3. mistanke om at en transaksjon har tilknytning til utbytte av straffbar handling eller forhold som rammes av straffeloven §§ 147 a, 147 b eller 147 c, eller

• 4. tvil om hvorvidt tidligere innhentede opplysninger om kunden er korrekte eller tilstrekkelige.

Beløpsgrensene i første ledd nr. 2 beregnes samlet for transaksjoner som gjennomføres i flere operasjoner som ser ut til å kunne ha sammenheng med hverandre. Dersom beløpet ikke er kjent når transaksjonen gjennomføres, skal kundekontrollen foretas så snart den rapporteringspliktige blir kjent med at beløpsgrensen er oversteget.

Departementet kan i forskrift fastsette nærmere regler om når kundeforhold skal anses etablert.

§ 7 Gjennomføring av kundekontroll

Kundekontroll som nevnt i § 6 skal omfatte

• 1. registrering av opplysninger som nevnt i § 8,

• 2. bekreftelse av kundens identitet på grunnlag av gyldig legitimasjon,

• 3. bekreftelse av identiteten til reelle rettighetshavere på grunnlag av egnede tiltak, og

• 4. innhenting av opplysninger om kundeforholdets formål og tilsiktede art.

Dersom kunden er en juridisk person, skal identiteten til den som handler på vegne av kunden bekreftes på grunnlag av gyldig legitimasjon. Videre skal det dokumenteres, ved firmaattest, stiftelsesdokument, skriftlig fullmakt eller lignende, at vedkommende er berettiget til å representere kunden utad.

Dersom andre enn kunden er gitt disposisjonsrett over en konto eller et depot, eller er gitt rett til å gjennomføre transaksjonen, skal vedkommendes identitet bekreftes på grunnlag av gyldig legitimasjon.

Dersom bekreftelse av en fysisk persons identitet skal skje på grunnlag av fysisk legitimasjon uten vedkommendes personlige fremmøte, skal det fremlegges ytterligere dokumentasjon som bekrefter vedkommendes identitet.

Bekreftelse av fysiske personers identitet etter første ledd nr. 2, annet ledd og tredje ledd kan foretas på annet grunnlag enn gyldig legitimasjon dersom den rapporteringspliktige er sikker på vedkommendes identitet.

Departementet kan i forskrift fastsette nærmere regler om gjennomføring av kundekontroll, herunder hva som anses som gyldig legitimasjon.

§ 8 Registrering av opplysninger

Rapporteringspliktige skal registrere følgende opplysninger om kunder:

• 1. fullt navn eller foretaksnavn,

• 2. fødselsnummer, organisasjonsnummer, D-nummer eller, dersom kunden ikke har slikt nummer, annen entydig identitetskode,

• 3. fast adresse, og

• 4. referanse til legitimasjon som er brukt for å bekrefte kundens identitet.

Plikten til å registrere kundens faste adresse etter første ledd nr. 3 gjelder ikke dersom folkeregisteret har vedtatt at kundens adresse skal være fortrolig eller strengt fortrolig.

For fysiske personer som ikke har fått tildelt norsk fødselsnummer eller D-nummer, skal det registreres fødselsdato, fødested, kjønn og statsborgerskap. Dersom den rapporteringspliktige er kjent med at kunden har to statsborgerskap, skal dette registreres.

For juridiske personer som ikke er registrert i offentlig register, skal det i tillegg registreres opplysninger om organisasjonsform, stiftelsestidspunkt samt daglig leder, forretningsfører, innehaver eller tilsvarende kontaktperson. Dersom kontaktperson er en juridisk person, skal det også oppgis en fysisk person som kontaktperson og registreres opplysninger som nevnt i første ledd om vedkommende.

Rapporteringspliktige skal registrere opplysninger som entydig identifiserer reelle rettighetshavere.

§ 9 Tidspunkt for kundekontroll

Kundekontroll skal gjennomføres før etablering av kundeforhold eller utføring av transaksjon.

Fra første ledd gjelder følgende unntak:

• 1. Bekreftelse av identiteten til kunder og reelle rettighetshavere skal kunne foretas under etablering av kundeforhold, dersom etableringen av kundeforholdet er nødvendig for ikke å hindre den alminnelige forretningsdrift og det er liten risiko for transaksjoner med tilknytning til en straffbar handling eller forhold som rammes av straffeloven §§ 147 a, 147 b eller 147 c.

• 2. Bekreftelse av identiteten til den begunstigede etter en livsforsikringspolise kan foretas etter tegning av polisen, forutsatt at bekreftelse av identiteten foretas før utbetalingstidspunktet eller det tidspunkt den begunstigede utøver sine rettigheter etter polisen.

• 3. Bekreftelse av identiteten til kunden og reelle rettighetshavere kan foretas etter åpning av bankkonto, forutsatt at det finnes foranstaltninger som sikrer at transaksjoner knyttet til kontoen ikke kan utføres av kunden eller på dennes vegne før bekreftelse av identiteten er foretatt.

§ 10 Følger av at kundekontroll ikke kan gjennomføres

Dersom kundekontroll ikke kan gjennomføres, skal rapporteringspliktige ikke etablere kundeforhold eller utføre transaksjonen. Et etablert kundeforhold skal avvikles hvis fortsettelse av kundeforholdet medfører risiko for transaksjoner med tilknytning til utbytte av straffbare handlinger eller forhold som rammes av straffeloven §§ 147 a, 147 b eller 147 c.

Første ledd gjelder ikke når advokater og andre som ervervsmessig eller stadig yter selvstendig juridisk bistand er i ferd med å fastslå en klients rettsstilling eller bistår klienten i forbindelse med rettergang.

§ 11 Kundekontroll utført av tredjeparter

For gjennomføring av kundekontrolltiltak som nevnt i § 7 nr. 2 til 4 kan rapporteringspliktige legge til grunn tiltak som er utført av følgende tredjeparter:

• 1. finansinstitusjoner,

• 2. verdipapirforetak,

• 3. forvaltningsselskaper for verdipapirfond,

• 4. forsikringsselskaper,

• 5. foretak som driver forsikringsformidling som ikke er gjenforsikringsmegling,

• 6. verdipapirregistre,

• 7. statsautoriserte og registrerte revisorer,

• 8. autoriserte regnskapsførere,

• 9. advokater og andre som ervervsmessig eller stadig yter selvstendig juridisk bistand, når de bistår eller opptrer på vegne av klienter ved planlegging eller utføring av finansielle transaksjoner, transaksjoner som gjelder fast eiendom eller transaksjoner som gjelder gjenstander med verdi over 40 000 kroner,

• 10. eiendomsmeglere og boligbyggelag når det drives eiendomsmegling, eller

• 11. tilsvarende juridiske og fysiske personer som nevnt i nr. 1 til 4 og 6 til 10 fra annen stat, såfremt disse er underlagt lovmessig registreringsplikt og regler om kundekontroll, oppbevaring og tilsyn som svarer til reglene i denne lov.

Adgangen til å legge til grunn kundekontrolltiltak utført av tredjeparter i medhold av første ledd, medfører ikke unntak fra den rapporteringspliktiges

• 1. plikt til å registrere opplysninger som nevnt i § 8 og oppbevare opplysninger og dokumenter som nevnt i § 22, eller

• 2. ansvar for at kundekontroll gjennomføres i samsvar med denne lov og forskrifter gitt med hjemmel i denne lov.

Rapporteringspliktige kan legge til grunn kundekontroll foretatt av tredjeparter som ikke er etablert i Norge, selv om bekreftelse av kundens identitet, jf. § 7 første ledd nr. 2, er foretatt på annet grunnlag enn gyldig legitimasjon.

Tredjepart skal stille de opplysninger vedkommende har samlet inn for gjennomføring av tiltak som nevnt i § 7 nr. 2 til 4, til rådighet for den rapporteringspliktige som kunden henvises til. Tredjepart skal etter anmodning, omgående videresende kopier av identifikasjons- og kontrollopplysninger og annen relevant dokumentasjon om kundens eller den reelle rettighetshavers identitet, til den rapporteringspliktige. Utlevering av opplysninger og dokumenter som er nødvendige for at den rapporteringspliktige skal kunne oppfylle sine plikter etter §§ 5 annet ledd, 8 eller 22, medfører ikke brudd på lovmessig taushetsplikt når kunden informeres om at opplysningene utleveres.

Departementet kan i forskrift fastsette unntak fra adgangen til å legge til grunn kundekontroll utført av tredjeparter.

§ 12 Utkontraktering av gjennomføring av kundekontroll

Rapporteringspliktige kan inngå skriftlige avtaler med oppdragstakere om utkontraktering av gjennomføring av kundekontroll.

Følgende juridiske og fysiske personer kan fungere som oppdragstakere etter første ledd:

• 1. rapporteringspliktige, med unntak av tilbydere av virksomhetstjenester som nevnt i § 4 annet ledd nr. 6 og forhandlere av gjenstander som nevnt i § 4 annet ledd nr. 7, og

• 2. postoperatører med konsesjon.

Den rapporteringspliktige har ansvar for at kundekontroll gjennomføres i samsvar med gjeldende lov og forskrifter og at det etableres forsvarlige rutiner og treffes nødvendige tiltak etter § 23.

Utlevering av opplysninger og dokumenter, som oppdragstaker har innhentet på grunnlag av utkontraktering av gjennomføring av kundekontroll, som er nødvendig for at den rapporteringspliktige skal kunne oppfylle sine plikter etter §§ 5 annet ledd, 8 og 22 medfører ikke brudd på lovmessig taushetsplikt.

Departementet kan i forskrift fastsette at andre enn de som er omfattet av annet ledd kan fungere som oppdragstakere.

§ 13 Forenklet kundekontroll

Departementet kan i forskrift fastsette unntak fra plikt til å foreta kundekontroll etter § 6 første ledd nr. 1, 2 og 4 og annet ledd. Rapporteringspliktige skal før anvendelse av unntak innhente tilstrekkelige opplysninger til å fastslå at forholdet dekkes av den aktuelle unntaksbestemmelse.

Første ledd medfører ikke unntak fra plikt til å registrere opplysninger etter § 8 første til tredje ledd ved opprettelse av konto.

§ 14 Løpende oppfølging

Rapporteringspliktige skal løpende følge opp eksisterende kundeforhold, herunder påse at transaksjoner som den rapporteringspliktige blir kjent med er i samsvar med den rapporteringspliktiges kjennskap til kunden og dens virksomhet. Rapporteringspliktige skal oppdatere dokumentasjon og opplysninger om kunder.

§ 15 Forsterkede kontrolltiltak

I situasjoner som etter sin art innebærer høy risiko for transaksjoner med tilknytning til utbytte av straffbare handlinger eller forhold som rammes av straffeloven §§ 147 a, 147 b eller 147 c, skal rapporteringspliktige ut fra en risikovurdering anvende andre kontrolltiltak i tillegg til de tiltak som følger av §§ 5 til 14.

Rapporteringspliktige skal ha til rådighet egnede kontrolltiltak for å fastslå om kunden er en politisk eksponert person. Rapporteringspliktige skal, ved kundeforhold til eller transaksjoner for slike personer

• 1. påse at beslutningstaker innhenter samtykke fra overordnet før etablering av kundeforhold,

• 2. treffe egnede tiltak for å fastslå opprinnelsen til kundens formue og den kapital som inngår i kundeforholdet eller transaksjonen, og

• 3. føre forsterket løpende oppfølging med kundeforholdet.

Med politisk eksponert person som nevnt i annet ledd menes fysisk person som

• 1. innehar eller i løpet av det siste året har innehatt høytstående offentlig verv eller stilling i en annen stat enn Norge,

• 2. er nært familiemedlem til person som nevnt i nr. 1, eller

• 3. er kjent medarbeider til person som nevnt i nr. 1.

Rapporteringspliktige skal vie særlig oppmerksomhet til produkter og transaksjoner som fremmer anonymitet, og om nødvendig iverksette tiltak for å forebygge transaksjoner med tilknytning til utbytte av straffbare handlinger eller forhold som rammes av straffeloven §§ 147 a, 147 b eller 147 c.

Departementet kan i forskrift fastsette nærmere regler om hvilke situasjoner som skal omfattes av første ledd og hvilke kontrolltiltak som i slike tilfeller skal anvendes. Departementet kan i forskrift fastsette nærmere regler om hvem som skal anses som politisk eksponerte personer.

§ 16 Korrespondentbankforbindelser

Ved bruk av en institusjon fra stat utenfor EØS som korrespondentbank, skal kredittinstitusjoner

• 1. innhente tilstrekkelige opplysninger om korrespondentinstitusjonen til fullt ut å forstå arten av dens virksomhet og på grunnlag av offentlig tilgjengelige opplysninger fastslå institusjonens omdømme og tilsynets kvalitet,

• 2. vurdere korrespondentinstitusjonens kontrolltiltak for forebyggelse og bekjempelse av handlinger som beskrevet i straffeloven §§ 317 og 147 b,

• 3. påse at beslutningstaker innhenter samtykke fra overordnet før etablering av nye korrespondentbankforbindelser,

• 4. dokumentere den enkelte institusjons ansvar, og

• 5. i forbindelse med oppgjørskonti, forsikre seg om at korrespondentinstitusjonen

• a) har verifisert identiteten til, og fører løpende oppfølging av, kunder som har direkte adgang til konti hos kredittinstitusjonen, og

• b) på anmodning kan fremlegge relevante opplysninger fra kundekontrollen til kredittinstitusjonen.

Kredittinstitusjoner skal ikke inngå eller opprettholde korrespondentbankforbindelse til tomme bankselskaper. Kredittinstitusjoner skal treffe egnede tiltak for å sikre at de ikke inngår eller opprettholder korrespondentbankforbindelser med kredittinstitusjoner som er kjent for å tillate at deres konti brukes av tomme bankselskaper.

Med tomt bankselskap som nevnt i annet ledd menes en kredittinstitusjon som er opprettet i en stat der institusjonen ikke er fysisk til stede med en reell ledelse og administrasjon, og som ikke er tilknyttet et regulert finanskonsern.

Kapittel 3. Undersøkelse og rapportering

§ 17 Undersøkelsesplikt

Dersom rapporteringspliktige har mistanke om at en transaksjon har tilknytning til utbytte av en straffbar handling eller forhold som rammes av straffeloven §§ 147 a, 147 b eller 147 c, skal det foretas nærmere undersøkelser for å få bekreftet eller avkreftet mistanken.

Rapporteringspliktige skal skriftlig eller elektronisk registrere resultatene av undersøkelsene.

Departementet kan i forskrift fastsette nærmere regler om undersøkelsesplikt.

§ 18 Rapporteringsplikt

Dersom undersøkelser som nevnt i § 17 ikke avkrefter mistanken, skal den rapporteringspliktige av eget tiltak oversende opplysninger til Økokrim om den aktuelle transaksjonen og om de forhold som har medført mistanke. Den rapporteringspliktige skal på forespørsel gi Økokrim alle nødvendige opplysninger om transaksjonen og mistanken.

Advokater og andre som ervervsmessig eller stadig yter rettshjelpvirksomhet har ikke plikt til å rapportere om forhold som de har fått kjennskap til gjennom arbeidet med å fastslå klientens rettsstilling, eller om forhold som de har fått kjennskap til før, under eller etter en rettssak, når de forhold opplysningene omhandler har direkte tilknytning til rettstvisten. Tilsvarende gjelder for revisorer og andre rapporteringspliktige når de bistår advokater eller andre som ervervsmessig eller stadig yter rettshjelpvirksomhet i arbeid som nevnt i første punktum.

Departementet kan i forskrift pålegge rapporteringspliktige å overføre opplysninger til Økokrim elektronisk. Departementet kan i forskrift fastsette nærmere regler om rapporteringsplikten.

§ 19 Gjennomføring av mistenkelige transaksjoner

Rapporteringspliktige skal ikke gjennomføre transaksjoner som medfører rapporteringsplikt som nevnt i § 18 før Økokrim er underrettet. Økokrim kan i særlige tilfeller gi pålegg om ikke å gjennomføre transaksjoner.

En transaksjon kan likevel gjennomføres før opplysninger er oversendt Økokrim, dersom unnlatelse av å gjennomføre transaksjonen kan vanskeliggjøre Økokrims undersøkelser eller eventuell etterforskning eller det ikke er mulig å la være å gjennomføre transaksjonen. Opplysninger skal i så fall oversendes Økokrim umiddelbart etter at transaksjonen er gjennomført.

§ 20 Forholdet til taushetsplikt

Meddelelse av opplysninger til Økokrim i god tro etter § 18 medfører ikke brudd på taushetsplikt og gir ikke grunnlag for erstatningsansvar eller straffansvar.

Finansinstitusjoner og forsikringsselskaper kan uten hinder av taushetsplikt utveksle nødvendige kundeopplysninger seg imellom når det anses nødvendig som ledd i undersøkelser som nevnt i § 17.

§ 21 Forbud mot å avsløre undersøkelser, rapportering eller etterforskning

Kunder eller tredjepersoner skal ikke gjøres kjent med at det foretas undersøkelser som nevnt i § 17, at det er gitt opplysninger som nevnt i § 18 eller at det er iverksatt etterforskning.

Første ledd er ikke til hinder for utveksling av opplysninger som nevnt i § 20 annet ledd.

Første ledd er ikke til hinder for at rapporteringspliktige som nevnt i § 4 annet ledd nr. 1 til 3 forsøker å få en klient til å avstå fra å begå en ulovlig handling.

Departementet kan i forskrift fastsette unntak fra første ledd.

Kapittel 4. Oppbevaring

§ 22 Oppbevaring av opplysninger og dokumenter

Rapporteringspliktige skal oppbevare kopier av dokumenter benyttet i forbindelse med kundekontroll som nevnt i § 7, samt registrerte opplysninger som nevnt i § 8, i fem år etter at kundeforholdet er avsluttet eller transaksjonen er gjennomført, med mindre lengre frister følger av annen lov eller forskrift. Dersom det er benyttet kvalifisert sertifikat, skal sertifikatets identifikasjonskode og opplysninger om sertifikatutstederens identitet oppbevares. Det skal ved bruk av kontonummer eller på annen måte registreres en entydig forbindelse mellom kundeforhold og registrerte opplysninger som nevnt i § 8.

Rapporteringspliktige skal oppbevare dokumenter i tilknytning til transaksjoner som nevnt i § 17 i minst fem år etter at transaksjonen er gjennomført.

Dokumenter og opplysninger som nevnt i første og annet ledd skal oppbevares på en betryggende måte, beskyttes mot uautorisert tilgang fra uvedkommende og slettes innen ett år etter at oppbevaringsplikten opphører. Personopplysningsloven gjelder for rapporteringspliktiges oppbevaring av personopplysninger.

Departementet kan i forskrift fastsette nærmere regler om oppbevaringsmåte og sletting av opplysninger.

Kapittel 5. Interne rutiner og systemer mv.

§ 23 Kontroll- og kommunikasjonsrutiner

Rapporteringspliktige skal ha forsvarlige interne kontroll- og kommunikasjonsrutiner som sikrer oppfyllelse av plikter etter denne lov.

Rutinene skal være fastsatt på øverste nivå hos den rapporteringspliktige. Det skal utpekes en person i ledelsen som skal ha et særskilt ansvar for å følge opp rutinene.

Rapporteringspliktige skal treffe nødvendige tiltak for å sikre at ansatte og andre personer som utfører oppgaver på vegne av den rapporteringspliktige

• 1. er kjent med de plikter som påligger den rapporteringspliktige etter denne lov,

• 2. lærer å kjenne igjen transaksjoner som nevnt i § 17, og

• 3. er kjent med den rapporteringspliktiges interne rutiner for håndtering av slike transaksjoner.

§ 24 Elektroniske overvåkningssystemer

Finansinstitusjoner skal etablere elektroniske overvåkningssystemer.

Departementet kan i forskrift pålegge andre rapporteringspliktige å etablere elektroniske overvåkningssystemer og fastsette nærmere regler om slike systemer.

§ 25 Systemer for oversikt over kundeforhold

Rapporteringspliktige som nevnt i § 4 første ledd skal ha systemer som muliggjør raske og fullstendige svar på forespørsler fra Økokrim eller tilsynsmyndighet om hvorvidt de har eller i løpet av de siste fem år har hatt kundeforhold til konkrete personer og om kundeforholdets art.

§ 26 Filialer og datterselskaper i stater utenfor EØS

Rapporteringspliktige som nevnt i § 4 første ledd skal påse at filialer og datterselskaper etablert i stater utenfor EØS

• 1. er kjent med kontroll- og kommunikasjonsrutiner som beskrevet i § 23, og

• 2. anvender tilsvarende tiltak for kundekontroll, løpende oppfølging og oppbevaring som beskrevet i kapittel 2 og 4.

Dersom lovgivningen i vedkommende stat ikke tillater anvendelse av tiltak som nevnt i første ledd nr. 2, skal den rapporteringspliktige

• 1. informere tilsynsmyndigheten om dette, og

• 2. iverksette andre tiltak som er egnet til å motvirke risikoen for transaksjoner med tilknytning til utbytte av straffbare handlinger eller forhold som beskrevet i straffeloven §§ 147 a, 147 b eller 147 c.

Kapittel 6. Avsluttende bestemmelser

§ 27 Pålegg og tvangstiltak

Tilsynsorgan kan gi den rapporteringspliktige pålegg om at forhold i strid med denne lov eller bestemmelser gitt i medhold av loven, skal opphøre. Tilsynsorgan kan sette en frist for at forholdene bringes i samsvar med pålegget.

Dersom den rapporteringspliktige ikke etterkommer pålegg etter første ledd, kan tilsynsorgan ilegge tvangsmulkt. Tvangsmulkten kan ilegges i form av engangsmulkt eller løpende mulkt. Ilagt mulkt er tvangsgrunnlag for utlegg.

Departementet kan i forskrift fastsette nærmere regler om fastsettelse av tvangsmulkt, herunder mulktens størrelse.

§ 28 Straff

Med bøter straffes den som forsettlig eller grovt uaktsomt overtrer eller medvirker til overtredelse av denne lovs §§ 5, 6, 7, 8, 15, 17, 18 eller 22, eller forskrifter gitt i medhold av disse bestemmelsene.

Ved særlig skjerpende omstendigheter kan fengsel inntil 1 år anvendes.

§ 29 Økokrims håndtering av opplysninger

Opplysninger som Økokrim mottar etter § 18 skal slettes senest fem år etter at opplysningene ble registrert, med mindre det i dette tidsrommet er registrert nye opplysninger eller det er foretatt etterforsknings- eller rettergangsskritt mot den registrerte.

Dersom Økokrims undersøkelser viser at det ikke foreligger en straffbar handling, skal opplysningene slettes snarest mulig.

Departementet kan i forskrift fastsette nærmere regler om Økokrims og politiets saksbehandling i tilknytning til mottatte rapporter, herunder sletting av opplysninger.

§ 30 Utveksling av opplysninger for bekjempelse av terrorhandlinger mv.

Økokrim kan gi opplysninger som Økokrim mottar etter § 18 til andre offentlige myndigheter enn politiet som har oppgaver knyttet til forebygging av forhold som rammes av straffeloven §§ 147 a, 147 b eller 147 c.

§ 31 Kontrollutvalget for tiltak mot hvitvasking

Kontrollutvalget for tiltak mot hvitvasking (Kontrollutvalget) skal føre kontroll med:

• 1. Økokrims behandling av opplysninger mottatt etter § 18,

• 2. Økokrims pålegg og godkjenninger etter § 19 første ledd, og

• 3. Økokrims håndtering av opplysninger etter § 29.

Kontrollutvalget skal bestå av minst tre medlemmer som oppnevnes av Kongen. Dessuten oppnevnes ett eller flere varamedlemmer. Lederen for utvalget skal oppfylle de krav som stilles til høyesterettsdommere. Kontrollutvalgets medlemmer har taushetsplikt om det de får vite i utøvelsen av sitt verv.

Økokrim skal gi Kontrollutvalget de opplysninger, dokumenter mv. som Kontrollutvalget finner nødvendig for sin kontroll. Når Kontrollutvalget krever det, har Økokrims tjenestemenn plikt til å forklare seg overfor Kontrollutvalget uten hensyn til taushetsplikt.

Departementet kan i forskrift fastsette nærmere regler om oppgavene og saksbehandlingen til Kontrollutvalget.

§ 32 Opplysninger som skal følge en transaksjon i betalingskjeden mv.

Departementet kan i forskrift fastsette regler om hvilke opplysninger om avsender som skal følge en transaksjon i betalingskjeden, samt regler om betalingsformidleres opplysnings- og kontrollplikter i forbindelse med slike transaksjoner.

§ 33 Personer eller foretak med tilknytning til land eller områder som ikke har gjennomført tilfredsstillende tiltak

Departementet kan i forskrift fastsette

• 1. særskilte regler om rapportering av transaksjoner med eller for personer eller foretak som har tilknytning til land eller områder som ikke har gjennomført tilfredsstillende tiltak mot handlinger som beskrevet i straffeloven §§ 317 og 147 b, og

• 2. forbud mot eller restriksjoner i rapporteringspliktiges adgang til å etablere kundeforhold med eller foreta transaksjoner med eller for personer eller foretak som har tilknytning til land eller områder som ikke har gjennomført tilfredsstillende tiltak mot handlinger som beskrevet i straffeloven §§ 317 og 147 b.

Kapittel 7. Ikrafttredelse og endringer i andre lover

§ 34 Ikrafttredelse

Loven trer i kraft fra den tid Kongen bestemmer.

Plikt til avvikling av kundeforhold etter § 10 første ledd gjelder kun for kundeforhold som er etablert etter lovens ikrafttredelse.

§ 35 Endringer i andre lover

Fra den tid loven trer i kraft, gjøres følgende endringer i andre lover: