Videregivelse af fortrolige oplysninger er uberettiget
1. Afgørelse
Finanstilsynet har efter forelæggelse for Det Finansielle Virksomhedsråd truffet følgende afgørelse:
Der er tale om en uberettiget videregivelse efter § 117, stk. 1 i lov om finansiel virksomhed, hvis Nordjyske Bank får adgang til arkivdata i den tidligere Løkken Sparekasse, da det ikke vil være muligt at udskille data vedrørende de kunder, som ikke er omfattet af aftalen mellem Nordjyske Bank og Løkken Sparebank.
2. Sagsfremstilling
Finanstilsynet har modtaget en anmodning fra Nordjyske Bank A/S vedrørende adgang til arkivdata i den tidligere Løkken Sparekasse.
Nordjyske Bank anmoder om Finanstilsynets tilladelse til, at Skandinavisk Data Center (SDC) etablerer adgang for Nordjyske Bank til arkivdata i den tidligere Løkken Sparekasse via SDC’s Online Uddata.
I forbindelse med den edb-mæssige konvertering og deling af kundemassen, blev alle aktuelle data flyttet. Derimod er historiske data, som tidligere er blevet udskrevet på lister ikke blevet konverteret. Nordjyske Bank har oplyst, at det blev aftalt med SDC, at man i en periode på op til 5 år efter konverteringen skulle have adgang til SDC’s Online Uddata.
Online Uddata er et elektronisk arkiv over tidligere produceret lister til intern brug, udskrifter og afregninger til kunder. Et arkiv som erstatter det tidligere fysiske arkiv over udskrevne edb-journaler.
SDC har oplyst, at det ikke er muligt at udskille oplysningerne afhængig af, hvilket institut, de pågældende kunder nu tilhører. Dette bevirker, at der er en teknisk mulighed for at se i de historiske oplysninger hos kunder, der ikke er i Nordjyske Bank, hvis banken får adgang til oplysningerne. På den baggrund har SDC nægtet adgang til arkivet for Nordjyske Bank.
Nordjyske Bank har overfor Finanstilsynet oplyst, at de ikke har mulighed for at give deres kunder en tilfredsstillende service, idet banken ikke har mulighed for at servicere kunder med hensyn til historiske kontotransaktioner, herunder modposteringsoplysninger, arkivnøgler og fondshandler. Endvidere har Nordjyske Bank ikke adgang til bankens kopier af tidligere udsendte kontoudtog.
Nordjyske Bank oplyser, at banken heller ikke har adgang til bankens egne arkivdata for perioden fra overtagelsen af kerneaktiviteterne i den tidligere Løkken Sparekasse, den 1. april 2009 til konverteringen til Bankdata den 21. november 2009. Dernæst oplyser banken, at af den samlende kundebestand på cirka 16.000 kunder i Løkken Sparekasse, var det mindre end 200 kunder, der ikke var omfattet af overdragelsen til Nordjyske Bank.
SDC har i forbindelse med konverteringen tilbudt Nordjyske Bank, at de kan rekvirere de ønskede oplysninger om kunder i banken hos SDC, mod betaling af en timebaseret sats.
Nordjyske Bank oplyser, at adgang til at foretage søgninger i SDC’s Online Uddata vil blive tildelt en håndfuld medarbejdere i bankens økonomi- og edb-afdeling og vil være omfattet af en instruks om, at der ikke må foretages søgning på personer og virksomheder, der ikke er omfattet af overdragelsesaftalen.
Nordjyske Bank har den 16. april 2010 telefonisk over for Finanstilsynet oplyst, at banken har et par forespørgsler om ugen, men at banken har afvist disse forespørgsler og i stedet hjulpet kunderne så godt som muligt, uden adgang til arkivdata. Samtidig har Nordjyske Bank oplyst, at banken tidligere har haft flere forespørgsler, men at antallet mindskes, som tiden går. Nordjyske Bank har på nuværende tidspunkt ingen forespørgsler.
3. Retlig baggrund
I medfør af § 117, stk. 1, i lov om finansiel virksomhed, må en finansiel virksomhed ikke uberettiget udnytte eller videregive fortrolige kundeoplysninger.
Ifølge bemærkningerne til § 117, stk. 1, kan udnyttelse eller videregivelse kun ske, hvis dette anses for berettiget. Som typetilfælde, hvor videregivelse efter praksis anses for berettiget, nævnes videregivelse af oplysninger med kundens samtykke.
Videregivelse kan også være berettiget i en række andre tilfælde, hvor der ikke er givet samtykke fra kunden. Dels hvor der foreligger lovhjemmel, ex. skattekontrolloven, dels ved sædvane eller efter en konkret vurdering.
Ved den konkrete vurdering foretages en afvejning af, på den ene side om videregivelse er nødvendig for at den finansielle virksomhed kan forfølge en berettiget interesse, og på den anden side, at hensynet til kunden ikke overstiger denne interesse.
4. Vurdering
Udgangspunktet for anvendelsen og fortolkningen af reglerne om udnyttelse/videregivelse af fortrolige oplysninger i lov om finansiel virksomhed kapitel 9, er, at en udnyttelse/videregivelse kræver kundens samtykke. De kunder, der afgiver fortrolige oplysninger til de finansielle virksomheder, bør kunne stole på, at deres oplysninger ikke flyder frit, og at der eksisterer fortrolighed.
Finanstilsynet og Det Finansielle Virksomhedsråd har anlagt en meget restriktiv fortolkning af begrebet "berettiget" og udgangspunktet er, at en videregivelse kræver et samtykke.
Imidlertid kan en konkret vurdering føre til, at der er tale om en berettiget videregivelse. Ved en konkret vurdering foretages en afvejning af den pågældende persons interesse i at oplysningerne hemmeligholdes overfor den finansielle virksomheds interesse i at udnytte/videregive oplysningerne.
Nordjyske Bank overtog den 1. april 2009 kerneaktiviteterne fra Løkken Sparebank og de resterende aktiviteter blev i Løkken Sparebank, hvilket skete som led i en særlig overdragelse, som fandt sted fordi Løkken Sparekasse kollapsede.
Det blev oprindeligt aftalt mellem Nordjyske Bank og Løkken Sparebank, at der skulle etableres adgang til arkivdata i den tidligere Løkken Sparekasse i en periode på optil 5 år. Såfremt en sådan adgang etableres, må det derfor lægges til grund, at adgangen til arkivdata vil blive udfaset efter en 5 års periode. Der vil således være tale om en tidsbegrænset periode.
Nordjyske Bank har en interesse i at få adgang til arkivdata i den tidligere Løkken Sparekasse, idet banken hurtigt og uden større omkostninger vil få mulighed for at servicere bankens kunder i Løkken med hensyn til historiske kontotransaktioner, herunder modposteringsoplysninger og arkivnøgler samt fondshandler og kopier af tidligere udsendte kontoudtog.
Som kunde i et pengeinstitut har man imidlertid en klar forventning om, at fortrolige kundeoplysninger ikke videregives til andre pengeinstitutter og at det alene er kundens nuværende pengeinstitut, som har adgang til fortrolige oplysninger om kunden. Baggrunden for den strenge hemmeligholdelses pligt er, at kunder i pengeinstitutter ofte betror virksomheden adskillige oplysninger af privat og fortrolig karakter, som ofte ikke udleveres til andre.
Etableringen af en adgang til arkivdata i den tidligere Løkken Sparekasse, vil medføre at Nordjyske Bank teknisk får mulighed for adgang til historiske oplysninger om tidligere kunder i Løkken Sparekasse. En adgang til arkivdata vil derfor medføre, at Nordjyske Bank får adgang til oplysninger om tidligere kunder, som i dag er kunder i andre pengeinstitutter - og disse kunder har en klar forventning om, at det alene er deres nuværende bankforbindelse, som har adgang til fortrolige oplysninger om dem.
Nordjyske Bank har over for Finanstilsynet telefonisk oplyst, at banken har et begrænset antal forespørgsler og at antallet af forespørgsler mindskes, som tiden går.
Nordjyske Bank en fortsættende bank og derfor må det forventes, at banken optager nye kunder og dermed vil der være en risiko for, at Nordjyske Bank kan få adgang til oplysninger om potentielle kunder, idet banken vil få adgang til eventuelle oprindelige oplysninger om personer, som ikke længere er kunder i Nordjyske Bank.
Der skal foretages en konkret vurdering, og i denne sag må hensynet til at kundernes fortrolige oplysninger hemmeligholdes veje tungere, end hensynet til at banken kan udnytte/videregive oplysningerne.
På baggrund af ovenstående er det Finanstilsynets vurdering, at der i den konkrete situation, er tale om en uberettiget videregivelse efter § 117, stk. 1 i lov om finansiel virksomhed, såfremt Nordjyske Bank får adgang til arkivdata i den tidligere Løkken Sparekasse.