sou · GNB382 · 2000-01-01 00:00:00 — För bankaktiebolag gäller därutöver enligt 9 kap. 14 § 1 st BRL att upplysningar får lämnas endast om det kan göras utan nämnvärd olägenhet för enskild. För styrelsen i en sparbank eller medlemsbank gäller samma begränsning av uppgiftsskyldigheten som för bankaktiebolag (4 kap. 12 § SBL, 7 kap. 11 § MBL). Enligt 10 kap. 41 § och 11 kap. 18 och 21 §§ ABL gäller att revisor, lekmannarevisor och särskild granskare är skyldig att till bolags- stämman lämna alla upplysningar som stämman begär i den mån det inte skulle vara till väsentlig skada för bolaget. I 9 kap. 16 § BRL sägs att därutöver gäller att upplysningar får lämnas endast om det kan göras utan nämnvärd olägenhet för enskild. För sparbanker och medlemsbanker gäller enligt 3 kap. 14 § tredje st 1 BRL att revisorerna är skyldiga att till stämman lämna alla upp- lysningar som stämman begär, om det inte skulle vara till väsentlig nackdel för banken eller till nämnvärd olägenhet för enskild. Som framgår finns en skillnad i upplysningsskyldigheten om man jämför ett vanligt aktiebolag med t.ex. ett bankaktiebolag. Bakgrunden till denna skillnad är i korthet att ett röjande av upplysningar om kunder i banken som svar på en begäran från bolagsstämman inte har ansetts obehörigt och att en spärr därför behövdes så att kundens intresse beaktades även i detta sammanhang. Lagrådet ansåg bl.a. För att upplysning skall vägras torde ej böra krävas att den skulle lända enskild till förfång. Å andra sidan bör det ej utgöra tillräcklig grund för vägran att enskild skulle tillskyndas olägenhet, om än aldrig så obetydlig. Till utmärkande härav kunde som förutsättning för upplysningars meddelande stadgas, att det kan ske utan nämnvärd olägenhet för enskild. Vid bedömandet huruvida olägenhet som skulle uppkomma är att anse som nämnvärd bör kunna i viss mån beaktas vikten av de intresse som upplysningarna skulle tillgodose.54 Kommittén anser att den nuvarande regleringen innebär en till- fredsställande avvägning mellan på den ena sidan aktieägares m.fl. rätt till upplysningar på stämman och på den andra bankkundernas intresse av skydd för att banksekretessen urholkas. Det saknas därför enligt kommitténs bedömning anledning att ändra de befintliga reglerna. 1955:3 s. 315. 120 Sekretess för banker och kreditmarknadsföretag Enligt gällande rätt är överträdelse av brott mot regeln om bank- sekretess uttryckligen undantagen från ansvar för brott mot tystnads- plikt enligt 20 kap. 3 § brottsbalken.55 Skadestånd är i stället den sanktion som kan drabba en bank som inte respekterar bank-sekretessen. skall ingripa med sanktioner enligt 7 kap. BRL mot den bank som åsidosatt banksekretessregeln. Eftersom tonvikten i inspektionens tillsynsarbete, enligt vad kommittén har anfört, bör ligga vid soliditetsparagrafen och kraven på god riskhantering och genomlysbarhet56 finns det dock anledning att räkna med att sekretessfrågorna inte får någon framskjuten plats i tillsyns-arbetet. När det gäller grunden för skadeståndsskyldigheten och vem som drabbas av denna sanktion framgår av vad anför bl.a. följande.57 Det får anses klart att banken själv är bunden av bankrörelselagens regel om banksekretess på det sättet att banken blir ekonomiskt ansvarig för brott mot sekretessplikten begånget av ledamöter av bankens ledningsorgan, dvs. styrelseledamöter och verkställande direktör, eller andra personer för vilkas handlingar banken på grund av avtalsförhållandet till kunderna ansvarar enligt allmänna avtalsregler, dvs. de som är anställda i banken och i sitt arbete får kännedom om kunders förhållanden. Banken blir i regel ansvarig för uppgifter om kunder som en styrelseledamot, verkställande direktör eller anställd fått kännedom om i banken även om denne röjer uppgifterna först efter det att han lämnat banken. Banken får nämligen anses stå närmare än kunden att bära denna risk. Banken ansvarar dock inte för enskilda aktieägare eller revisorer som röjer uppgifter om en bank-kunds förhållanden. ställer frågan om bankens skadeståndsansvar för brott mot banksekretessen förutsätter att vållande, dvs. uppsåt eller oaktsamhet, kan läggas någon av de personer för vilka banken ansvarar till last. Enligt kan i brist på rättspraxis inte med någon säkerhet anges om och i vad mån gällande rätt bygger på vållandeprincipen. En lämplig och kanske sannolik lösning synes dock enligt honom vara att vållandeprincipen gäller på det sättet att det åligger banken, om kundinformation har röjts, att visa att tystnadsplikten inte har brutits av uppsåt eller oaktsamhet. Banken skulle undgå skadeståndsskyldighet om den kunde visa att den efter skälig prövning ursäktligt antagit att det som yppats inte hade karaktär av sekretessbelagt förhållande, att det redan 55Se 1 kap. 10 § tredje st första meningen BRL. 56SOU 1998:160 s. 483 ff. 57Nial, a.a. s. 19 ff. Sekretess för banker och kreditmarknadsföretag 121 var mer eller mindre allmänt känt eller att banken hade skyldighet eller åtminstone rätt att lämna ut uppgifterna. I skälig prövning ligger att prövningen skall ha gjorts på bankens vägnar av någon som har tillfredsställande kompetens. diskuterar därefter styrelseledamöters och andra bank- funktionärers ansvar. Han konstaterar att om tystnadsplikten ute- slutande hade kontraktuell grund skulle det i princip endast vara banken som gentemot kunden ansvarade för överträdelse av tystnadsplikten eftersom det är banken och inte dess ledningsorgan eller personal som är kundens medkontrahent. Dessa personer skulle i sin tur endast vara ansvariga gentemot banken för brott mot tystnadsplikten på grund av sin allmänna skyldighet att iaktta bankens intressen och rätta sig efter de regler som gäller för bankens verksamhet. Emellertid föreligger ett direkt ansvar gentemot bankkunderna även för vissa personer som inte är parter i avtalsförhållandet mellan banken och kunden. För allmänna aktiebolag gäller enligt 15 kap. 1 § andra meningen ABL att stiftare, styrelseledamot eller verkställande direktör som när han fullgör sitt uppdrag uppsåtligen eller av oaktsamhet skadar en aktieägare eller någon annan genom överträdelse av aktiebolagslagen, tillämplig lag om årsredovisning eller bolagsordningen skall ersätta skadan. Regleringen i 1 kap. 1 § tredje st tredje meningen BRL innebär att när det i aktiebolagslagen hänvisas till bestämmelser i den lagen skall hänvisningarna i fråga om bankaktiebolag läsas som att de även avser bestämmelser i bankrörelselagen (se dock kommitténs förslag i avsnitt 1.4.4.2). Överträdelse av bankrörelselagen kan alltså grunda skadeståndsskyldighet för bl.a. styrelseledamot eller verkställande direktör i bankaktiebolag. Enligt 5 kap. 1 § andra meningen BRL blir en stiftare, huvudman, styrelseledamot eller delegat skadeståndsskyldig om han uppsåtligen eller av oaktsamhet vållar en medlem eller någon annan skada genom överträdelse av bankrörelselagen, årsredovisnings-lagen, sparbankslagen, lagen om medlemsbanken eller bankens stadgar. Gentemot allmänna aktiebolag föreligger alltså den skillnaden att för bankaktiebolag, liksom för banker i någon av de andra associations- formerna, medför även överträdelser av bankrörelselagen och andra lagar som särskilt gäller för banker skadeståndsskyldighet. För revisor, lekmannarevisor och särskild granskare i bank- aktiebolag respektive revisor i sparbank och medlemsbank gäller ersättningsskyldighet på samma grunder som för styrelseledamot m.fl., se 15 kap. 2 § första st ABL samt 5 kap. 2 § första st BRL. Även aktieägare kan bli skadeståndsskyldig. Ansvaret är dock mindre för aktieägare än för styrelseledamöter m.fl. För bankaktiebolag gäller enligt 15 kap. 3 § ABL att en aktieägare skall ersätta skada som han uppsåtligen eller av grov oaktsamhet tillfogar bolaget, en aktie-ägare 122 Sekretess för banker och kreditmarknadsföretag eller någon annan genom att medverka till överträdelse av aktiebolagslagen, tillämplig lag om årsredovisning eller bolagsord- ningen. Beträffande medlemsbanker gäller enligt 5 kap. 3 § BRL att en medlem eller en röstberättigad som inte är medlem är skyldig att ersätta den skada som han genom att medverka till överträdelse av bank- rörelselagen, årsredovisningslagen, lagen om medlemsbanker eller stadgarna uppsåtligen eller av grov oaktsamhet tillfogar banken, en medlem eller någon annan. anför att en aktieägare i princip har tystnadsplikt beträffande upplysningar om kunder som han fått genom att styrelsen har lämnat dem till aktieägarna på bolagsstämman. Om upplysningarna lämnas på stämman går dock sekretessen i allmänhet förlorad. I sådant fall kan inte den aktieägare som sprider informationen bli skadeståndsskyldig men väl styrelseledamöterna. När det gäller en enskild banktjänstemans ansvar för att han yppat något kundförhållande som bort förbli hemligt säger att andra i bankens tjänst arbetande personer ... blir i regel inte genom att röja en bankkunds förhållande till banken ansvariga mot bankkunden. De står inte i avtalsförhållande till kunden. Gentemot banken blir dock såväl de som ... har eget skadeståndsansvar som andra till bankens personal hörande personer regressvis ersättningsskyldiga, om banken på grund av deras vållande måste ersätta bankkund liden skada. Detta följer av deras avtalsförhållande till banken och torde gälla även för den som efter att ha lämnat banken röjer sådant sekretessbelagt förhållande som han fått kännedom om när han var kvar i banken.58 Dock gäller enligt att även annan än den som har ett eget skadeståndsansvar i särskilda fall kan bli direkt ansvarig gentemot kunden för brott mot tystnadsplikten. ger det exemplet att en person i anslutning till sin anställning i banken av en kund fått ett uppdrag som enligt kundens uttryckliga eller underförstådda vilja med bankens medgivande skall utföras av just den personen. konstaterar att det personliga ansvaret närmast är grundat i uppdrags-avtalet men har praktiskt taget samma innebörd som ansvaret enligt regeln om banksekretess. Eftersom den aktuella personen fått uppdraget i egenskap av anställd i banken blir även banken ansvarig om den anställde bryter mot tystnadsplikten. I sammanhanget kan påminnas om att enligt allmänna skadestånds- rättsliga regler är arbetsgivare ansvarig för arbetstagares vållande, s.k. principalansvar, vilket framgår av 3 kap. 1 § skadeståndslagen som emellertid kompletteras av en särskild regel om arbetstagares skadeståndsansvar i 4 kap. 1 § skadeståndslagen. 58 s. 23. Sekretess för banker och kreditmarknadsföretag 123 lydelse: För skada, som arbetstagare vållar genom fel eller för- summelse i tjänsten, är han ansvarig endast i den mån synnerliga skäl föreligger med hänsyn till handlingens beskaffenhet, arbetstagarens ställning, den skadelidandes intresse och övriga omständigheter. Regeln kan bli tillämplig i flera olika situationer59, t.ex. om den skade-lidande i stället för att vända sig mot arbetsgivaren väljer att vända sig direkt mot den skadevållande arbetstagaren eller om arbetsgivaren har ett regressanspråk mot arbetstagaren. Enligt gällande rätt anses enbart i ekonomiska termer uppskattbara skador ersättningsgilla i förevarande sammanhang. Enligt kommitténs uppfattning är det i och för sig av stor betydelse att sekretessreglerna tillvaratar kundernas integritetsintresse. Att föreslå att skadestånd skulle utgå även för den kränkning som ett brott mot banksekretessen mycket väl kan innebära skulle emellertid innebära ett betydande avsteg från vad som har gällt på detta område. Kommittén anser inte att det finns skäl att föreslå någon ändring när det gäller vilka skador som skall anses ersättningsgilla. Det skulle kunna sättas ifråga om inte ansvaret borde vara strikt. Det skulle innebära att varje åsidosättande av banksekretessen som innebär en ekonomiskt uppskattbar skada för en bankkund skulle bli ersättningsgill oberoende av om något vållande kunde läggas banken eller t.ex. en styrelseledamot till last. De av kommittén i avsnitt 2.6.3 föreslagna ändringarna innebär emellertid att bevisbördan till förmån för den skadelidande otvetydigt läggs på banken. Styrelseledamöter m.fl. personer som har ett självständigt ansvar gentemot kunden har däremot ett vanligt vållandeansvar (dock mindre för aktieägare vars ansvar förutsätter grov vårdslöshet). Enligt kommitténs bedömning utgör detta en balanserad avvägning mellan bankens ansvar och dess enskilda befattningshavares och aktieägares ansvar. Därtill kommer den självreglering som ligger i att den bank som missköter banksekretessen riskerar att tappa sina kunder. 59 Det kan nämnas att 6 § lagen (1990:409) om skydd för företagshemligheter innehåller regler om skadeståndsansvar för en arbetstagare som i sin anställning har fått del av en företagshemlighet och som obehörigen utnyttjar eller röjer hemligheten. Dessa regler utgör specialbestämmelser som inom lagens tillämpningsområde skall tillämpas i stället för bestämmelserna i skade-ståndslagen (se prop. 1987/88:155 s. 43). Lagen om skydd för företags- hemligheter innehåller även regler om skadeståndsskyldighet vid missbruk av företagshemlighet hos en näringsidkare i samband med en affärsförbindelse med denne, t.ex. om ett företag anlitat ett annat företag som konsult och därvid anförtrott detta vissa hemliga uppgifter, se lagens 5 § och a. prop. s. 22 och 42 f. 124 Sekretess för banker och kreditmarknadsföretag Kommitténs förslag: Uppgift om ett kreditmarknadsföretags kunder får inte röjas, såvida det inte är behörigt. Den nuvarande regleringen av tystnadsplikt för kreditmarknadsföretag är uppbyggd på samma sätt som regleringen av tystnadsplikt för banker (se avsnitt 2.4). De överväganden som kommittén gjort och de skäl som kommittén anfört för att ändra bestämmelserna om banksekretess på det sätt som föreslagits äger giltighet även i detta sammanhang (se avsnitten 2.6.2 och 2.6.3). Även fortsättningsvis skall sekretessen kunna genombrytas om kunden lämnat sitt samtycke därtill eller om det följer av en lagreglerad uppgiftsskyldighet o.d. Samma intresseavvägning måste göras på detta område som när det gäller tillämpningen av regeln om banksekretess. Även här kommer självfallet kundens integritetsintresse i förgrunden. Vid en avvägning av kundens intresse gentemot systemskydds- intresset är det på samma sätt som när det gäller banker lämpligt att söka stöd i de grundläggande rörelseregler som kommittén i huvud- betänkandet föreslagit skall gälla för kreditmarknadsföretag, nämligen kraven på soliditet, riskhantering och genomlysbarhet i 3 kap. 1–3 §§ lagen om finansieringsrörelse. Det skall noteras att soliditetsregeln för kreditmarknadsföretag inte är lika långtgående som solditetsregeln för banker. Det innebär att det beträffande kreditmarknadsföretag bör blir färre fall där det kan bli aktuellt att släppa på sekretessen med hänvisning till den nämnda regeln. När det gäller kreditmarknadsföretagets affärsmässiga intresse av att använda uppgifter om sina kunder väger detta lättast. I den mån företagets och kundens intressen går isär bör sekretessregeln tillämpas restriktivt till förmån för kunden. Det får dock anses behörigt av företaget att använda uppgifter om en kund mot dennes intresse om detta krävs för att företaget skall kunna bevaka sin rätt gentemot kunden, t.ex. i samband med en process. Sekretess för banker och kreditmarknadsföretag 125 Bankers utlåning till kreditmarknadsföretag I bilaga 4 berörs sekretessproblem som rör bankers utlåning till kredit- marknadsföretag med panträtt i hela eller delar av företagets låne- stock.60 Utlämnande av avidentifierad kundinformation kan inte anses strida mot behörighetsregeln. Blir det aktuellt att lämna ut individualiserade upplysningar om kunder går detta alltid att göra om kunden lämnar sitt samtycke. Kommittén har i bl.a. avsnittet om värdepapperisering anfört att kravet på samtycke inte får begränsa möjligheterna att genomföra förfoganden som eljest inte är underkastade något sådant krav. En gäldenär får t.ex. alltid finna sig i att borgenären pantsätter sin fordringsrätt. Om ett kreditmarknadsföretag pantsätter fordringar till säkerhet för lån från en bank får företagets gäldenärer acceptera att företaget lämnar ut sådana uppgifter om dem till banken att banken kan bedöma värdet av säkerheten och har möjlighet att göra fordrings- rätterna gällande. Utlämnande av individualiserade kunduppgifter för sådant ändamål kan därför anses behörigt. När det i övrigt gäller utlämnande av individualiserad kundinformation krävs kundens sam- tycke, t.ex. om det är fråga om en in blancokredit från banken till kreditmarknadsföretaget, i den mån det inte är fråga om ett förfogande där de civilrättsliga reglerna inte innehåller något sådant krav. I 2 kap. 7 § 1 st lagen om finansieringsverksamhet sägs att för kreditmarknadsföretag gäller vad som är föreskrivet om aktiebolag och ekonomiska föreningar i allmänhet. Det innebär att reglerna om skadeståndsansvar för bl.a. styrelseledamot, verkställande direktör, revisor, aktieägare eller föreningsmedlem gentemot tredje man i 15 kap. ABL respektive 13 kap. lagen (1987:667) om ekonomiska föreningar blir tillämpliga. Den skadeståndsgrundande handlingen utgörs av att aktiebolagslagen respektive lagen om ekonomiska föreningar, tillämplig lag om årsredovisning, bolagsordningen eller stadgarna överträds. Någon lagfäst regel som innebär att överträdelse av lagen om finansieringsverksamhet sanktioneras med skadestånd finns däremot inte. Brott mot sekretessregeln kan därför till skillnad från vad som gäller för banker endast leda till skadeståndsskyldighet för själva kreditmarknadsföretaget och då på kontraktuell grund. 4, s. 170 ff. 126 Sekretess för banker och kreditmarknadsföretag Sekretessreglerna är inte tvingande. Detta betyder emellertid inte att sekretessen i alla lägen kan avtalas bort. I stället bör enligt kommitténs mening, med en något respektlös terminologi, anses gälla att bestämmelserna om sekretess har en semidispositiv karaktär. Det innebär, som redan framgått, att det står banken eller kreditmarknads- företaget fritt att i det enskilda fallet träffa en särskild överens-kommelse med en kund om att sekretessen beträffande uppgifter om den kunden skall ha en annan omfattning – större eller mindre – än vad som gäller enligt regleringen i bankrörelselagen eller lagen om finansieringsrörelse. Det får emellertid anses olämpligt att banken genom sina allmänna villkor generellt förelägger kunderna att på förhand avtala bort sekretessen eller i övrigt till nackdel för kunden ändra vad som skall gälla i sekretesshänseende. Kunder i allmänhet torde i regel inta en underlägsen ställning i förhållande till banken eller kreditmarknads- företaget som avtalspart. Som yttersta gräns för avtalsfriheten bör gälla att banken inte får träffa sådana överenskommelser om sekretess som gör att banken inte kan uppfylla sina skyldigheter enligt 2 kap. 1–3 §§ BRL eller 3 kap. 1–3 §§ lagen om finansieringsrörelse (se avsnitt 2.6.3.1 om chinese walls). Det kan noteras att på detta område gäller, i likhet med vad som är fallet i andra avtalsrättsliga sammanhang, att ett avtalsvillkor som domstolen finner oskäligt kan jämkas eller helt lämnas utan avseende med stöd av regleringen i 36 § avtalslagen. 3.1Förslaget till lag om ändring i bankrörelselagen (1987:617) Uppgift om banks kunder får inte röjas, såvida det inte är behörigt. I det allmännas verksamhet tillämpas i stället bestämmelserna i sekretesslagen (1980:100). Ansvar enligt 20 kap. 3 § skall inte följa för den som bryter mot förbudet i första stycket. Detsamma gäller en revisor som bryter mot förbudet i 3 kap. 14 § första stycket att lämna upplysningar om en banks angelägenheter. I 5 a § kreditupplysningslagen (1973:1173) finns bestämmelser som innebär att vad som gäller om tystnadsplikt enligt första stycket inte hindrar att uppgifter i vissa fall utväxlas för kreditupplysningsändamål. Enligt kommitténs uppfattning bör tillämpningen av regeln om bank- sekretess huvudsakligen ske med utgångspunkt i en avvägning mellan kundens integritetsintresse, det samhällsekonomiska systemskydds- intresset och bankens affärsmässiga intresse av att använda kund- information. Kundens integritetsintresse kommer självfallet i för-grunden och syftet med regeln om banksekretess är att tillvarata detta intresse vare sig det är fråga om att lämna ut kunduppgifter inom banken eller inom en koncern eller ett koncern-liknande förhållande där banken ingår. Paragrafen är oförändrad utom första stycket som fått en ny utformning. Den tidigare obehörighetsregeln har ändrats till en behörighetsregel. Därigenom markeras att det är banken som har bevis- bördan för att det är behörigt att lämna ut uppgift om en kund. Om kunden kan visa att en uppgift har röjts och att han lidit ekonomisk skada därav måste banken alltså kunna visa att uppgiftslämnandet var behörigt för att undgå skadeståndsskyldighet. Detta överensstämmer i stort sett med vad som enligt doktrinen anses gälla (se avsnitt 2.6.4). Formuleringen enskildas förhållanden till bank i den nu gällande bestämmelsen har ersatts med uppgift om banks kunder i överens- stämmelse med den tolkning som gjorts i doktrinen (se avsnitt 2.6.3). Med kund avses såväl den som vid prövningstillfället är kund i banken som den som har varit det. Den som har förhandlat med banken om att inleda en kundrelation utan att det lett till något resultat och den som ligger i förhandlingar med banken räknas till kund. Begreppet kund omfattar även den som t.ex. är borgensman eller av någon annan liknande anledning har en sådan relation till banken att uppgifter om honom av ekonomisk eller personlig karaktär förekommer där. Kommittén har valt att tala om uppgift i singularis för att göra tydligt att varje uppgift måste prövas för sig vid en behörighets- bedömning. Den omständigheten att det anses behörigt av banken att lämna ut vissa uppgifter om en kund medför inte att det är behörigt att lämna ut all information om kunden som finns i banken. Enligt gällande ordning anses en bank ha rätt att genombryta bank- sekretessen när det krävs för att banken skall kunna fullgöra kundens uppdrag, när kunden lämnat sitt samtycke därtill, när banken har en författningsreglerad uppgiftsskyldighet gentemot t.ex. Finans- inspektionen eller skattemyndigheten samt i vissa andra situationer (se s. 57). Kommitténs förslag innebär inte någon ändring härav vare sig det är fråga om att lämna ut uppgifter om en kund inom banken eller inom en koncern eller ett koncernliknande förhållande där banken ingår. Angående vad som avses med koncern och koncernlikande förhållande hänvisas till avsnitt 2.6.3. I anslutning till dessa ändringsförslag har kommittén föreslagit vissa riktlinjer för bedömningen av om ett uppgiftslämnande är behörigt. Vid en avvägning av kundens integritetsintresse gentemot systemskydds- intresset är det enligt kommitténs bedömning lämpligt att söka stöd i de grundläggande rörelsereglerna om soliditet, riskhantering och genom- lysbarhet i 2 kap. 1–3 §§ BRL. För att banken i dessa hänseenden skall kunna uppfylla lagens krav måste integritetsintresset vika och kund- information få spridas även utom ramen för vad som fordras för att banken skall kunna utföra kundens uppdrag. Ett sådant spridande är behörigt under förutsättning att det sker på ett så lite ingripande sätt som möjligt för kunden. Som ytterligare förutsättning för att uppgiftslämnandet skall anses behörigt gäller att informationen endast lämnas till den enhet eller den befattningshavare som behöver informationen för att banken skall kunna leva upp till lagens krav. För exempel på hur riktlinjerna kan fungera när det gäller uppgifts- lämnande inom banken se avsnitt 2.6.3.1. Även i koncern- och koncernliknande sammanhang måste uppgifts- lämnande kunna ske med hänsyn till kraven på soliditet, riskhantering och genomlysbarhet. Om banken t.ex. har information om en kund som står i begrepp att ingå ett avtal med ett dotterföretag till banken får