Rapporteringen om verkliga huvudmän är till för att göra det tydligt vilka som har ett bestämmande inflytande över ett bolag. Bakgrunden är det EU-regelverk som brukar kallas femte penningtvättsdirektivet. Uppgifter om vem som äger aktier i ett privat aktiebolag finns annars inte i några register.
Man kan visserligen fundera på om rapporteringen av verkliga huvudmän är effektiv i alla lägen - den som vill tvätta kriminella pengar kan ju använda sig av målvakter både på styrelseposter och som aktieägare.
Uppgifterna om vem som styr ett bolag är hur som helst användbara för näringslivet generellt. Det är bra att veta vem man gör affärer med, det bygger förtroende och främjar affärer.
Nu är det alltså två centrala EU-lagstiftningar som krockar med varandra. En illustration av att politik inte alltid är lätt, men också en påminnelse om att nästan all lagstiftning bygger på en intresseavvägning. När man vill reglera något får det negativa konsekvenser i en annan ände. Man måste finna en balans. Det gäller miljöregler, rättighetslagar, ekonomisk politik – och också integritetsskyddet.
Det finns fler potentiella lagstiftningskrockar med EU:s dataskyddslag GDPR.
DAC6-direktivet, som tvingar exempelvis skatterådgivare att rapportera gränsöverskridande ekonomiska upplägg, är en sådan. Eller DAC7, som träder i kraft nästa år och som tvingar plattformsföretag som Uber och Airbnb att redovisa kunduppgifter. Under många år har EU-politiker agerat för att bolag ska rapportera offentligt om sina affärer i varje enskilt land. En svensk utredning överväger nu hur ett EU-direktiv om detta ska genomföras.
GDPR-reglerna borde visa tydligt för beslutsfattarna att det finns ett integritetsintresse, att det faktiskt inte är självklart att affärsuppgifter ska rapporteras kors och tvärs. Lagkrockarna behöver inte vara av ondo.
EU-rätten får sin form genom domstolsbeslut, det kan hända att fler lagstiftningskrockar kommer att inträffa.
GDPR är en omfattande lagstiftning. Den har tvingat företagen att skärskåda sin personuppgiftshantering och slentrianmässig informationsinsamling har tagits bort. Den nya möjligheten att kunna få sina personuppgifter raderade är viktig. Men GDPR rör så stora delar av företagens verksamhet att den tenderar att bli ”lagen om allt”, enligt en färsk rapport från Svenskt Näringsliv.
GDPR kan hämma innovationer inom artificiell intelligens, som ju handlar om att analysera stora datamängder. Lagen föder också en vidsträckt byråkrati långt utöver vad som är motiverat utifrån integritetsskyddet. I en del fall förhindrar GDPR internationella dataflöden, eftersom information inte får lagras i molntjänster utanför Europa. Exempelvis får svenska patienter med diabetes typ 1 inte tillgång till den senaste tekniken med uppkopplade insulinpumpar, eftersom informationen finns på servrar i USA.
För företagen är GDPR svårförutsägbar, eftersom rättsutvecklingen sker successivt. Det är också svårt för företagen att veta vilken sorts personuppgiftshantering som kräver att företagen gör konsekvensbedömningar, och vilken som inte gör det.
Svenskt Näringsliv har i sin rapport listat ett antal förbättringsförslag till Integritetsskyddsmyndigheten, som ansvarar för GDPR i Sverige. Den svenska regeringen kan också trycka på för att förbättra själva grundlagstiftningen. 2024 ska hela GDPR utvärderas av EU-kommissionen. Då måste strävan vara att minska den administrativa bördan för företagen, öppna för lagring utanför Europa och inte fortsätta på den destruktiva vägen att vilja spärra ut amerikanska it-lösningar.
GDPR har blivit ett monster som dyker upp överallt i det företagen gör, den tvingar fram konsultinköp långt utanför företagens kärnverksamhet, den riskerar leda till att målet blir bokstavsefterlevnad av lagen snarare än ökad integritet i realiteten. Den kan försämra företagens innovationsförmåga och den europeiska konkurrenskraften.
Lyssna på det senaste avsnittet av Di:s ledarpodd som handlar om det amerikanska infrastrukturpaketet IRA, dess konsekvenser för Europas näringsliv och hur europeiska politiker ska svara.
