PSR, datadelning och compliance – fraud i fokus

Klara: Välkommen till Nordisk bedrägerikoll med Klara och Viktor, två syntetiska röster. I dag gör vi ett regulatoriskt specialavsnitt: PSR, datadelning och compliance, med bedrägeribekämpning i centrum. Lägesbilden är daterad den sjunde november tvåtusentjugosex.

Viktor: Vi utgår från EU:s betalningspaket, PSR och PSD3. Frågan är konkret: hur kan banker och betaltjänstföretag dela användbar information och stoppa bedrägerier, samtidigt som de följer reglerna? Vi tar också upp kopplingen till penningtvätt och annan finansiell brottslighet.

Klara: Först status. Europaparlamentets ärendesida anger att PSR väntar på parlamentets andra behandling. Rådet har antagit sin ståndpunkt. Den fjortonde december anges som preliminärt datum för parlamentets behandling. Paketet ska därför ännu inte beskrivas som ett regelverk som redan börjat tillämpas.

Viktor: PSD3 handlar bland annat om tillstånd och tillsyn. PSR samlar regler för själva betaltjänsterna. Rådets PSR-text anger huvudsaklig tillämpning tjugoen månader efter ikraftträdandet, med undantag. Ett planerat antagande är alltså inte samma sak som startdatumet för varje skyldighet.

Klara: Bedrägeridelen gäller mer än teknisk inloggningssäkerhet. Rådets beskrivning lyfter bedragare som utger sig för att vara betaltjänstleverantören, delning av bedrägeriinformation och kontroll av mottagarens namn mot kontot. Förebyggande skyldigheter kopplas också till ansvar när leverantören brister i vissa skyddsåtgärder.

Viktor: Ta ett fiktivt exempel. En kund blir uppringd av en falsk bankanställd och godkänner en överföring till ett mottagarkonto hos en annan bank. Den sändande banken ser kundens beteende. Mottagarbanken ser hur pengar kommer in och flyttas vidare. Vårt exempel visar varför en enda banks bild kan vara otillräcklig.

Klara: Men en teknisk möjlighet att dela uppgifter besvarar inte den juridiska frågan. Vilka uppgifter, mellan vilka aktörer, för vilket ändamål och med vilket stöd? Det behöver vara bestämt innan en lösning tas i drift.

Viktor: I artikel åttioåtta i rådets PSR-text ska leverantörer delta i arrangemang för informationsdelning. Delningen knyts till objektivt motiverad misstanke och begränsade datakategorier. Texten kräver en gemensam konsekvensbedömning för dataskydd före arrangemanget och anger skydd för säkerhet och konfidentialitet.

Klara: Delade uppgifter ska enligt samma text sparas bara så länge det behövs, högst fem år efter den misstänkta transaktionen. Information från en annan leverantör måste bedömas innan den ensam får ligga till grund för beslut som påverkar kundrelationen. En extern flagga är inte en färdig dom över kunden.

Viktor: Det här ger en tydlig arbetsuppgift för compliance redan under förberedelserna: dokumentera vad en flagga betyder. Är det en kunduppgift, en indikation från en viss transaktion eller en bekräftad incident? Ange källa, tidpunkt, osäkerhet och hur en felaktig uppgift ska rättas. Det är vår rekommendation för en användbar kontroll.

Klara: GDPR behöver samtidigt hanteras här och nu. Rättslig grund, ändamålsbegränsning, uppgiftsminimering och korrekthet är centrala krav. Om behandlingen sannolikt medför hög risk krävs en konsekvensbedömning. Uppgifter om brott och lagöverträdelser omfattas dessutom av artikel tio, utöver kravet på rättslig grund.

Viktor: Den svenska dimensionen är viktig. I sin sandlåderapport från maj tvåtusentjugofem granskade Integritetsskyddsmyndigheten ett upplägg för gemensamma kundflaggor mellan banker. Myndigheten bedömde att flaggorna kunde vara uppgifter om lagöverträdelser och att den tänkta delningen saknade stöd i den rätt som analyserades.

Klara: Rapporten pekade också på banksekretess och andra sekretessregler. Den slutsatsen gäller det undersökta upplägget och är ingen generell beskrivning av varje möjlig delning. Men den visar varför en intresseavvägning enligt GDPR inte ensam besvarar alla frågor om bankernas informationsutbyte.

Viktor: Europeiska dataskyddsstyrelsen har också betonat att bedrägeriprevention kan vara ett berättigat intresse, samtidigt som delning av personuppgifter om bedrägerier behöver vara strikt begränsad och ha ett tydligt rättsligt ramverk. Vår rekommendation är därför en separat bedömning för varje ändamål, mottagarkrets och datamängd.

Klara: I vårt fiktiva bankfall kan ett första arbetssteg vara att beskriva den minsta information som behövs för att mottagarbanken ska förstå larmet. Börja med problemet och den åtgärd ni vill möjliggöra. Pröva sedan varje datafält. Att skicka hela kundakten för säkerhets skull riskerar att göra kontrollen både svårare och mer ingripande.

Viktor: Ett aktuellt branschspår är FRIDA, European Payments Councils arrangemang för delning av bedrägeriinformation. Ett utkast till regelbok är ute på konsultation till den tionde december tvåtusentjugosex. Det handlar om standardiserat informationsutbyte mellan betaltjänstleverantörer, bland annat hantering av bedrägerilarm.

Klara: FRIDA kan vara relevant för planering och kravställning, men en branschregelbok är inte lagstiftning. Vår bedömning är att en teknisk anslutning behöver följas av prövning av den egna behandlingen, ansvarsfördelningen och hur larmen faktiskt används. En leverantörslösning tar inte bort bankens eget ansvar.

Viktor: Sedan kopplingen till fincrime. När de lurade pengarna förs vidare kan samma händelse aktualisera penningtvätt. Då möts bedrägeriskydd och AML. Teamen kan behöva samarbeta, men ett gemensamt ärende gör inte automatiskt alla uppgifter tillgängliga för alla roller.

Klara: Enligt den svenska penningtvättsregleringen ska berörda verksamheter granska misstänkta aktiviteter och rapportera till Finanspolisen när misstanken kvarstår efter närmare analys. Meddelandeförbud och dess undantag behöver hanteras. Ett vanligt larm till en annan banks bedrägeriteam är därför inte samma sak som en penningtvättsrapport till Finanspolisen.

Viktor: EU:s nya penningtvättsförordning, AMLR, är redan antagen och ska som huvudregel börja tillämpas den tionde juli tvåtusentjugosju. Artikel sjuttiofem reglerar särskilda informationsdelningspartnerskap, med villkor, dataskydd och förhandskontroll från tillsynen. Det är ett annat regelspår än PSR:s delning av bedrägeriinformation.

Klara: Vårt praktiska förslag är att kartlägga vägen från bedrägeriupptäckt till eventuell penningtvättsmisstanke. Bestäm vem som utreder, vem som fattar beslut och vilken information varje roll behöver. Behåll tydliga ändamål även om systemen samverkar. Detsamma gäller sanktionskontroller: en bedrägeriflagga ger ingen automatisk slutsats om sanktioner.

Viktor: Och Norden har flera genomförandespår. Sverige, Danmark och Finland är EU-medlemmar. För Norge och Island behöver man också följa införlivandet i EES-avtalet och nationellt genomförande. Finanstilsynet beskriver uttryckligen den processen. Ett gemensamt nordiskt projekt bör alltså ha en separat regelverks- och tidsplan per land.

Klara: Vad skulle vi prioritera i ett sådant projekt? Först en karta över dagens rättsliga stöd och kommande krav. Sedan tydliga regler för vilka larm som får delas och hur de omprövas. Till sist en testkedja som visar vad som händer från första misstanke till kundbeslut, rättelse och avslut.

Viktor: Mät gärna hur snabbt ett användbart larm når rätt team, hur ofta mottagaren kan agera och hur många felaktiga flaggor som rättas. Följ både förhindrade förluster och påverkan på legitima kunder. Det är våra föreslagna mått, inte en påstådd lagstadgad lista.

Klara: Bedrägeribekämpningen är kärnan. Datadelning blir värdefull när signalen går att förstå, använda och ifrågasätta. Compliance behöver därför vara med när arbetssättet utformas, och kopplingen till AML måste ha tydliga ansvar och rättsliga gränser.

Viktor: Källor, regelstatus och manus finns vid avsnittet. Vi skiljer där mellan gällande regler, rådets PSR-text, branschutkast och våra egna rekommendationer. Det här var Nordisk bedrägerikoll.