sou · GNB382 · 2000-01-01 00:00:00 — Därmed avses att uppgifter endast kan lämnas till sådana koncernföretag där medarbetarna är vana vid att hantera kundinformation och är omfattade av en lagreglerad tystnadsplikt.28 Är det fråga om att lämna ut kundupplysningar till ett utländskt koncernföretag krävs att detta företags medarbetare omfattas av en lagreglerad tystnadsplikt som är lika sträng som den danska.29 Omfattas medarbetarna i koncernföretaget däremot inte av någon lagfäst 25 Bank og Sparekasseloven med kommentar, m.fl., s. 386 ff. 100 Sekretess för banker och kreditmarknadsföretag tystnadsplikt får någon kundinformation inte lämnas ut till dem även om de lämnar en skriftlig sekretessförbindelse. Sedvanlige oplysninger innebär ungefär allmänna basuppgifter och allmänna upplysningar som rör bankens och kundens ekonomiska mellanhavanden. Det danska Finanstilsynet har i en skrivelse gjort en lista över sedvanliga kundupplysningar, nämligen bl.a. följande: personnummer eller registreringsnummer, namn och adress, telefon- och telefaxnummer, branschkod, landskod, associationsform, vem inom banken som beviljat lån o.d., konto-nummer och deklarationskod. Listan anses inte uttömmande.30 Som icke sedvanliga kundupplysningar anses bl.a. uppgifter om syftet med en kredit, borgensmän, inkomstförhållanden och makes inkomst. Sådana upplysningar och andra upplysningar om rent privata förhållanden, t.ex. om ras, religion och hudfärg, får dock enligt fjärde meningen i paragrafens andra stycke lämnas ut med kundens samtycke. I sådant fall är de som är anställda i koncernföretaget och som tar emot uppgifter om en kunds privata förhållanden alltid underkastade tystnadsplikt enligt huvudregeln i styckets första mening. Rätten att lämna ut kunduppgifter inom en koncern förutsätter vidare att uppgiftslämnandet är erhvervsmaessigt begrundet. Däri ligger inte någon annan begränsning än att ett utlämnande av kundinformation måste vara motiverat av annat än ren nyfikenhet.31 Även i finsk rätt behandlas frågan om hur kundinformation skall hanteras i koncernförhållanden. Reglerna om tystnadsplikt för bl.a. banker finns i kreditinstitutslagen 30.12.1993/1607. Enligt lagens 2 § avses med kreditinstitut depositionsbanker och andra aktiebolag, andelslag och hypoteksföreningar som tar emot återbetalningspliktiga medel och med dessa erbjuder krediter eller annan jämförbar finansiering. Depositionsbanker är affärsbankerna, sparbanksaktie- bolagen, andelsbankerna, de kooperativa bankerna i aktiebolagsform och Postbanken . Bestämmelserna om tystnadsplikt finns i 94 § kreditinstitutslagen. De innebär sammanfattningsvis att alla personer med anknytning till ett kreditinstitut, till ett annat företag som hör till samma konsoliderings- grupp32 som institutet eller till en sammanslutning av kreditinstitut har 32Till konsolideringsgrupp räknas enligt 5 § andra st kreditinstitutslagen kreditinstitut, dess holdingsammanslutningar samt kreditinstitut, finansiella Sekretess för banker och kreditmarknadsföretag 101 tystnadsplikt beträffande uppgifter om den ekonomiska situationen, personliga förhållanden eller affärs- eller yrkeshemlighet hos den som är kund hos kreditinstitutet eller hos ett finansiellt institut33 som hör till samma konsolideringsgrupp som kreditinstituet eller hos någon annan person med anknytning till kreditinstitutets verksamhet. Uppgifterna får inte heller lämnas till bl.a bolagsstämma eller aktieägare som deltar i stämman. Uttryckligt undantag görs emellertid för det fall att den till vars skydd tystnadsplikten gäller har lämnat sitt samtycke till att uppgifterna röjs samt för fall av lagreglerad uppgiftsskyldighet. Inom koncernen eller konsolideringsgruppen får uppgifterna spridas under förutsättning att tystnadsplikten enligt 94 § eller någon annan motsvarande tystnadsplikt gäller för medlemmarna i det mottagande företagets förvaltningsorgan eller dess anställda. I förarbetena anfördes att det var nödvändigt att paragrafen till alla delar kunde tillämpas på samtliga företag som hör till en konsolideringsgrupp eftersom t.ex. ett kreditavtal med en kund oberoende av koncernstrukturen kan ingås lika väl av kreditinstitutet självt som av ett finansiellt institut som är dess dotterföretag. Härvid behöver informationen inte heller särskilt begränsas inom konsolideringsgruppen utan t.ex. de till finansieringsverksamheten anslutna kundregistren kan administreras centralt, på koncernnivån.34 Bestämmelserna om tystnadsplikt är straffsanktionerade. institut och tjänsteföretag som är dotterföretag till kreditinstitutet eller dess holdingsammanslutning. Till konsolideringsgruppen räknas dessutom kredit- institut, finansiella institut och tjänsteföretag som har gemensam förvaltning med kreditinstitutet eller dess holdingsammanslutning eller dotterföretag till dem eller gemensam ledning med kreditinstitutet, holdingsammanslutningen eller deras dotterföretag. - Enligt 3 § kreditinstitutslagen avses med finansiellt institut sammanslutningar, med undantag för kreditinstitut, vilka som sin huvudsakliga verksamhet tillhandahåller tjänster som räknas upp på annat ställe i lagen, bl.a. kreditgivning och handel med värdepapper, eller förvärvar ägarandelar. - Enligt 3 a § kreditinstitutslagen avses med tjänsteföretag ett företag som huvudsakligen producerar tjänster för ett eller flera kreditinstitut genom att äga, besitta eller förvalta fastigheter, eller som producerar databehandlingstjänster eller andra motsvarande tjänster som ansluter sig till kreditinstitutets huvudsakliga verksamhet. - Enligt 4 § samma lag avses med holdingsammanslutning ett finansiellt institut vars dotterföretag huvudsakligen är kreditinstitut eller finansiella institut och av vars dotterföretag åtminstone ett är kreditinstitut. 33Angående definitionen se vid not 35. 34RP 208/1997 rd s. 50. 102 Sekretess för banker och kreditmarknadsföretag De norska reglerna om banksekretess återfinns i § 18 Forretnings- bankloven 24.6.1961 nr 2 respektive § 21 Sparebankloven 24.5.1961 nr 1. De innebär att anställda och revisorer i banken har tystnadsplikt om uppgifter som de i kraft av sin ställning får vetskap om. Tystnads-plikten gäller till förmån för banken själv, andra banker och kunder i den egna banken eller annan bank. Undantag görs för författnings-reglerad uppgiftsskyldighet samt för meddelanden på bankens vägnar från styrelsen eller någon som har fullmakt från styrelsen till en annan bank. Bestämmelserna om tystnadsplikt är straffsanktionerade. De engelska reglerna om banksekretess (the bankers duty of confidentiality) har lagts fast i en dom från Court of Appeal, nämligen Tournier v. National Provincial and . Av domen framgår att tystnadsplikten har kontraktsrättslig grund. Tystnadsplikten är inte absolut. Undantag kan göras om 1) det finns en lagstadgad skyldighet att lämna upplysningar, 2) det finns ett samhälls- intresse som kräver det, 3) banken måste utnyttja upplysningar om kunder för att bevaka sin rätt eller 4) det finns ett uttryckligt eller underförstått samtycke från kunden. När det gäller vidarebefordrande av upplysningar om kundför- hållanden inom en koncern gäller enligt de rekommendationer som bankerna själva antagit (Code of Practice) att spridande av uppgifter för marknadsföringsändamål till tredje man, vilket inbegriper företag inom samma koncern som banken, inte är tillåtet. Undantag får dock göras om kunden gett ett särskilt samtycke därtill eller begärt att få del av marknadsföringsåtgärderna. Code of Practice ger emellertid inte någon vägledning om möjligheterna att sprida uppgifter om kunder för att skydda andra koncernföretag. Det har emellertid diskuterats om inte detta borde vara tillåtet i den mån det behövs för att banken skall kunna bevaka sin rätt, dvs. med stöd av det tredje undantagsfallet i det berörda rättsfallet. Detta anses dock förutsätta att de företag som ingår i koncernen har ett med banken gemensamt affärsmässigt intresse av att få uppgifter om försumliga kunder. Brott mot tystnadsplikten kan utlösa skadeståndsskyldighet för banken. 35 [1924] 1 KB 461. SOU 1999:82 Sekretess för banker och kreditmarknadsföretag 103 I vilar banksekretessen på kontraktuell grund. Tillämpliga standardvillkor innebär i huvuddrag att banken har tystnadsplikt när det gäller uppgifter om kunder med undantag för situationer när 1) banken har en lagreglerad skyldighet att lämna ut sådana uppgifter, 2) kunden har lämnat sitt samtycke eller 3) banken lämnar uppgifter av allmän natur, t.ex. om en kunds ekonomiska förhållanden eller kreditvärdighet, till ett kreditinstitut. I den tredje undantagssituationen får banken endast lämna ut uppgifterna om det inte står i strid med kundens legitima intressen. Reglerna i det tredje undantagsfallet kan ses som ett mot- stycke till svenska bankers möjlighet att lämna ut kundinformation till ett kreditupplysningsföretag utan att det anses som ett brott mot bank- sekretessen. Brott mot tystnadsplikten kan utlösa skadeståndsskyldighet för banken. 2.6Kommitténs överväganden och förslag Det kan antas att bankkunder i regel har ett intresse av att deras personliga integritet och ekonomiska intressen (integritetsintresse) respekteras genom att den information som en bank har om deras privata och ekonomiska angelägenheter inte sprids. Syftet med en regel om banksekretess är att tillgodose kundernas integritetsintresse. Det ligger visserligen i bankernas intresse att respektera kundernas integritet för att inte riskera att tappa deras förtroende. Kommitténs bedömning är dock att det är mest ändamålsenligt att tillgodose integritetsintresset genom en lagfäst regel om banksekretess. Därtill kommer att om en sådan regel finns ökar sannolikheten för att kunderna skall ge banken en korrekt bild av sin situation i samband med t.ex. en ansökan om lån. Detta skapar möjligheter för en god riskhantering i banken. Finns däremot inte någon lagreglering av bank- sekretessen riskerar man att kunderna blir mer återhållsamma när de lämnar uppgifter om sig själva vilket försämrar bankens förutsättningar att korrekt uppskatta och prissätta riskerna. 104 Sekretess för banker och kreditmarknadsföretag Som tidigare berörts noteras i direktiven att reglerna om sekretess gett upphov till svårigheter bl.a. vid förvärv av banker och vid kreditgivning till kreditmarknadsföretag Till detta kan läggas att de senaste årens utveckling på de finansiella marknaderna har inneburit att nya typer av finansiella tjänster har skapats som skillnaderna mellan olika typer av finansiella företag har minskat. och finansiella koncerner eller andra finansiella företagsgrupper har fått möjlighet att erbjuda ett större antal finansiella tjänster . Internationaliseringen har ökat och konkurrensen mellan de finansiella företagen har skärpts. Det affärs- mässiga intresset hos dessa företag eller företagsgrupper av att få tillgång till kundregister och annan kundinformation från andra delar av företaget eller gruppen har ökat. Informationsteknologins utveckling har gjort det lättare att komma åt information om kunder och ökat möjligheterna att samköra register. Dessa två utvecklingslinjer har påverkat banksekretessen. I takt med att de finansiella marknaderna har blivit mer komplicerade och antalet finansiella instrument och tjänster har ökat har även bankens intresse växt av att kunna sprida kundinformation i den utsträckning som banken finner affärsmässigt motiverat. Tillämpningen av sekretess-regeln har alltför mycket förskjutits från att tillgodose den enskilde kundens intresse av att uppgifter om honom hålls hemliga till bankens intresse av att kunna sprida den information som banken anser erforderlig för sin verksamhet. Frågor har uppstått om i vilken omfattning banksekretessen tillåter att information om kunder sprids mellan olika avdelningar inom en bank och inom koncerner och i koncernliknande förhållanden. Till bilden hör att kommittén har föreslagit att en bank skall få möjlighet att dels i begränsad omfattning ägna sig åt icke-finansiell verksamhet direkt inom banken36, dels ägna sig åt icke-finansiell verksamhet genom dotterbolag37. Även dessa förslag väcker frågor om i vilken grad uppgifter om kunder kan utväxlas mellan olika avdelningar inom banken och mellan banken och dess dotterföretag. De nu berörda omständigheterna, dvs. utvecklingen på de finansiella marknaderna, informationsteknologins utveckling och de ändrade villkoren för bankrörelse som kommitténs förslag innebär samt de problem som berörs i direktiven gör att kommittén bedömer det erforderligt med ytterligare preciseringar av innebörden av regeln om banksekretess. Kommittén vill här understryka att vad kommittén i det följande anför endast är avsett som en vägledning vid bedömningen av de 36SOU 1998:160 s. 385 och 415 ff. s. 387 och 419 ff. Sekretess för banker och kreditmarknadsföretag 105 sekretessfrågor som kan uppstå. I det enskilda fallet kan sådana frågor givetvis bli mycket svårbedömda. Bankernas eget intresse av en till- fredsställande sekretess bör dock vägas in i sammanhanget.När kommittén i det följande berör hur de föreslagna sekretessreglerna kan tänkas fungera i samband med bl.a. förvärv av en bank och vid värde- papperisering är detta fråga om transaktioner som i regel inte ligger inom ramen för en banks vanliga drift. anför i dessa hänseenden kan därför inte automatiskt tillämpas på de sekretessfrågor som kan uppstå vid varje större eller mindre innovation på den finansiella marknaden. Varje ny företeelse får bedömas för sig. Frågor som inte berörs nedan får överlämnas till rättstillämpningen att lösa varvid de av kommittén föreslagna bedömningsgrunderna dock kan tjäna som vägledning. Kommitténs förslag: Uppgift om banks kunder får inte röjas, såvida det inte är behörigt. Enligt kommitténs mening finns det ett behov av att utveckla och förtydliga de principer som tillämpningen av bestämmelsen om bank- sekretess bygger på. På grund av den mängd situationer som bestämmelsen är avsedd att täcka och på grund av områdets komplexitet är det dock lämpligt att i huvudsak bygga vidare på den litteratur och de fasta sedvänjor som utvecklats kring den nuvarande bestämmelsen. De preciseringar av innebörden av regeln om banksekretess som enligt kommitténs bedömning kan göras bör ske med utgångspunkt i en avvägning mellan följande intressen. Kundens intresse av att uppgifter om honom skall hållas hemliga till skydd för hans personliga integritet och ekonomiska intressen. Det samhällsekonomiska intresset av att bankens rörelse bedrivs i enlighet med rörelsereglerna och samhällets intresse av att kunna kontrollera detta. Bankens affärsmässiga intresse av att använda uppgifter om sina kunder. Som framgår nedan finns även ett samhälleligt intresse av att sekretessen genombryts i vissa andra situationer, främst gäller detta när det finns en lagreglerad skyldighet för en bank att lämna uppgifter. Dessa situationer behandlas nedan. Kundens intresse av sekretess kommer självfallet i förgrunden. Sekretessregeln motiveras ju främst av kundens intresse av att hans personliga integritet och ekonomiska förhållanden skyddas. En oinskränkt sekretess till skydd för kunden är emellertid inte tänkbar. Förutom att sekretessen måste kunna brytas om det krävs för att full- 106 Sekretess för banker och kreditmarknadsföretag 1999:82 göra kundens uppdrag till banken och även om det eljest är i kundens intresse, måste andra undantag kunna göras. Intresset av att skydda det finansiella systemets funktion är ett intresse av sådan dignitet att det innebär att kundens intresse av sekretess i bland måste vika. Kommitténs förslag i huvudbetänkandet går ut på att solida banker utgör det bästa skyddet för det finansiella systemet. I detta syfte har föreslagits att bankerna åläggs att följa vissa rörelseregler. Sekretessreglerna får inte hindra att bankerna följer dessa rörelseregler. Detta innebär t.ex. att sekretess inte får tillåtas att förhindra en fungerande riskkontroll. Uppgifter som behövs för att identifiera, mäta och kontrollera riskerna i rörelsen får behörigen spridas till personer eller organ som svarar för risk-kontrollen. Vid en avvägning av kundens intresse gentemot systemskydds- intresset är det enligt kommitténs uppfattning lämpligt att söka stöd i de grundläggande rörelsereglerna om soliditet, riskhantering och genom- lysbarhet i 2 kap. 1–3 §§ BRL. Om man använder de grundläggande rörelsereglerna som riktlinjer vid bedömningen av om ett uppgifts- lämnande är behörigt främjas det samhällsekonomiska intresset av solida banker. För att kunna uppfylla lagens krav i de angivna bestämmelserna fordras att viss kundinformation sprids till andra än dem som behöver uppgifterna för att fullgöra bankens uppdrag från kunden. Ett sådant spridande är behörigt under förutsättning att det sker på ett för kunden så lite ingripande sätt som möjligt. Det intresse som väger lättast är bankens affärsmässiga intresse av att använda uppgifter om sina kunder. Utrymmet för en bank att behörigt använda uppgifter om en kund mot dennes intresse är litet. Det är dock möjligt t.ex. i situationer då en bank bevakar sin rätt gentemot en kund i domstol eller på annat sätt. I många fall får det antas att kundens och bankens intressen sammanfaller. Tillämpningen av sekretessbestämmelsen innebär då inga problem. I fall där det framstår som oklart huruvida ett spridande av uppgifter strider mot kundens intresse eller inte får en behörighetsprövning ske i varje enskilt fall. Här måste då hänsyn tas till vilken typ av uppgifter det rör sig om. Om kundens och bankens intressen inte sammanfaller bör enligt kommitténs mening tillämpningen av sekretessregeln vara restriktiv till förmån för kunden. Det skall understrykas att kommitténs överväganden ovan innebär att de begränsningar som finns i tystnadsplikten fortfarande gäller. Även skall banken ha rätt att genombryta sekretessen när det fordras för att banken skall kunna fullgöra kundens uppdrag, när kunden lämnat sitt samtycke därtill38, när banken har en i lag före-skriven 38 , a.a. s. 33 f. Sekretess för banker och kreditmarknadsföretag 107 uppgiftsskyldighet, t.ex. gentemot skattemyndigheten39, och i vissa andra situationer, t.ex. i förhållande till som tillsyns-myndighet över stiftelser40. Utgångspunkten är, i likhet med vad som redan gäller, att uppgifter om kundförhållanden skall omfattas av sekretess såvitt inte ett röjande av sådana uppgifter kan anses behörigt. Anledningen till att kommittén i sitt förslag har formulerat om obehörighetsregeln till en behörighetsregel är att kommittén anser att bevisbördan för att ett uppgiftslämnande är behörigt otvetydigt bör vila på banken. Om en kund, som lidit en ekonomisk skada till följd av att banken lämnat ut uppgifter om honom, för en skadeståndstalan mot banken och visar att banken röjt dessa uppgifter åligger det alltså banken att visa att uppgiftslämnandet var behörigt. Om en bank t.ex. finner det tveksamt om det är behörigt att lämna ut vissa uppgifter i samband med att banken utför ett uppdrag bör den kunna inhämta den berörda kundens samtycke just för det uppdragets fullgörande. I den nu gällande bestämmelsen talas om enskildas förhållanden till bank och inte om uppgift om banks kunder. Eftersom uttrycket enskildas förhållanden till bank i doktrinen tolkats som uppgifter om kunder i banken41 anser kommittén, som inte har för avsikt att föreslå någon ändring härvidlag, att regeln blir tydligare om det senare uttryckssättet används. Språkligt innebär det dessutom en viss modernisering av bestämmelsen. Med kund avses såväl den som vid prövningstillfället är kund i banken som den som har varit det. Även den som håller på att förhandla med banken, eller har förhandlat men där förhandlingarna strandat, om att inleda en kundrelation faller in under begreppet. Det bör observeras att till kund skall även räknas t.ex. en borgensman eller annan som har en sådan relation till banken att uppgifter om honom förekommer där och som har ett befogat intresse av att dessa uppgifter kan hållas hemliga. Begreppet kund har alltså i sekretessammanhang en mer vidsträckt innebörd än vad man måhända i dagligt tal ger detta begrepp. Kommittén har vidare valt att tala om uppgift i singularis och inte om uppgifter som i den nuvarande lagtexten för att därigenom markera att varje uppgift som en bank kan ha om en kund i sekretess-hänseende får prövas för sig. Den omständigheten att det anses behörigt att lämna ut vissa uppgifter om en kund betyder alltså inte att det därmed är fritt fram att röja samtliga uppgifter om kunden som finns hos banken. 41Nial s. 26 och 28. 108 Sekretess för banker och kreditmarknadsföretag Enligt kan som obehörigt röjande inte betecknas sådan intern information inom banken som påkallas av bankens lojala intressen42. Detta bör även fortsättningsvis gälla, dvs. utlämnande av kund- information inom banken skall anses behörigt om det påkallas av bankens lojala intressen. Detta innebär enligt kommitténs mening följande. Till att börja med måste uppgifter om en kund få spridas inom banken i den utsträckning som fordras för att banken skall kunna utföra det uppdrag som den fått från kunden. När det i övrigt gäller i vilken utsträckning information om kunder får spridas inom banken är det, som skisserats ovan, lämpligt att söka stöd i de grundläggande rörelsereglerna i 2 kap. 1–3 §§ BRL som riktlinjer för att avgöra om det är behörigt att sprida en upplysning eller inte. Det betyder att ett uppgiftslämnande inom banken skall anses behörigt i den mån det krävs med hänsyn till kraven på soliditet, riskhantering eller genomlysbarhet under förutsättning att det sker på ett för kunden så lite ingripande sätt som möjligt. Endast de uppgifter som banken behöver ha tillgång till för att uppfylla de nämnda kraven får lämnas ut. I likhet med vad som anses gälla får informationen endast spridas till dem inom banken som behöver informationen för att banken skall kunna iaktta de nämnda kraven. Banken kan ha skapat ett eget sekretesskydd genom s.k. chinese walls (vattentäta skott) mellan olika finansiella verksamheter inom banken. Det brukar innebära att banken försäkrar kunden att information om denne inte kommer att utväxlas mellan på ena sidan enheten för corporate finance och på den andra enheten för kapitalförvaltning eller aktiehandel (trading). Om t.ex. enheten för corporate finance i samband med garanterandet av en emission får tillgång till alarmerande uppgifter om ett företag gentemot vilket banken har avsevärda exponeringar kan emellertid systemskyddsintresset väga tyngst och denna enhet anses behörig att genombryta banksekretessen och lämna ut kundinformation till bankens riskkontrollfunktion i den mån detta behövs för att banken skall kunna iaktta kraven i 2 kap. 1–3 §§ BRL. Banken kan alltså komma att hamna i en konflikt mellan vad den avtalat med sina kunder i fråga om chinese walls och sina skyldigheter enligt 2 kap. 1–3 §§ BRL. Till detta kan sägas att en bank aldrig kan ursäkta bristfällig rapportering inom banken med att den avtalsvägen 42 A.a. s. 34. Sekretess för banker och kreditmarknadsföretag 109 åtagit sig en tystnadsplikt som går längre än vad som följer av de lagfästa reglerna om banksekretess. När banken utformar avtals- sekretess måste den därför beakta att den inte därigenom frånhänder sig möjligheterna att uppfylla de krav som de grundläggande rörelse- reglerna ställer. I annat fall blir banken tvungen att bryta mot överens- kommelsen om sekretess i den mån detta krävs för att banken skall kunna iaktta kraven på soliditet, riskhantering och genomlysbarhet. Banken måste dock alltid se till att uppgiftsspridandet är så lite ingripande som möjligt för kunden. I avsnitt 2.6.2 har berörts att kommittén har föreslagit att en banks rörelse i begränsad omfattning skall få innefatta icke-finansiell verksamhet. Det innebär att det t.ex. blir tillåtet att ha en enhet inom banken som ägnar sig åt utveckling och försäljning av dataprogram.