Lov om finansiel virksomhed § 117 - videregivelse af fortrolige kundeoplysninger

(om videregivelse af fortrolige kundeoplysninger i forbindelse med ekstern bistand til it-drift.)
Finanstilsynets afgørelse af 26. juli 2005
 

Sagsfremstilling

En række mindre pengeinstitutter havde indgået en aftale om, at et andet pengeinstitut skulle yde rådgivning og bistand i forbindelse med de mindre pengeinstitutters it-drift på Bankernes Edb Central (BEC). Aftalen indebar, at it-chefen fra et større pengeinstitut skulle varetage den daglige administration af de mindre pengeinstitutters forpligtelser som medlem af BEC, dvs. udføre de opgaver som naturligt hører hjemme under en administrations- og hotlinefunktion for en medlemsbank i BEC.
 
It-chefen ville i forbindelse med varetagelsen af disse opgaver få adgang til de mindre institutters kundeoplysninger.
 
Den indgåede aftale var begrundet i økonomiske overvejelser, idet det ville være for dyrt for de mindre pengeinstitutter at være direkte medlem af BEC.
 

Afgørelse

Det følger af § 117, stk. 1, i lov om finansiel virksomhed, at en finansiel virksomhed ikke uberettiget må videregive eller udnytte fortrolige oplysninger om virksomhedens kunder.
 
Videregivelse af fortrolige kundeoplysninger i forbindelse med outsourcing af it-funktioner anses ifølge praksis for berettiget, hvis outsourcingen sker til en autoriseret edb-virksomhed, som har et acceptabelt sikkerhedsniveau. Det betyder f.eks., at pengeinstitutter kan outsource deres it-drift til BEC, og at BEC i den forbindelse kan få adgang til fortrolige oplysninger.
 
Finanstilsynet vurderede, at det er berettiget efter § 117, stk. 1, i lov om finansiel virksomhed, at it-chefen fra et andet pengeinstitut fik adgang til de mindre pengeinstitutters kundeoplysninger i forbindelse med varetagelse af it-funktioner på disses vegne. Finanstilsynet forudsatte, at der var et tilfredsstillende sikkerhedsniveau hos det større pengeinstitut, og at kun personer med et arbejdsmæssigt behov havde adgang til kundeoplysningerne.
 
Finanstilsynet lagde vægt på, at det pengeinstitut, som skulle varetage it-funktioner på de mindre pengeinstitutters vegne, ikke var en autoriseret edb-virksomhed, men derimod et yderligere "mellemled", som indskydes mellem sparekasserne og BEC. Finanstilsynet vurderede, at de mindre pengeinstitutter blandt andet på grund af deres størrelse havde et velbegrundet behov for at kunne anvende ekstern bistand til løsning af it-opgaver.
 
Finanstilsynet vurderede derfor, at kundernes krav på hemmeligholdelse af fortrolige kundeoplysninger måtte vige for hensynet til de mindre pengeinstitutters behov for at kunne anvende ekstern bistand til varetagelse af it-funktioner i forbindelse med tilslutning til BEC.