§ 16-2. Finansforetaks taushetsplikt, behandling av opplysninger mv
(1) Et finansforetak plikter å hindre at uvedkommende får adgang eller kjennskap til opplysninger om kunders og andres forretningsmessige eller personlige forhold som foretaket mottar under utøvelsen av virksomheten, med mindre foretaket etter lov eller forskrifter gitt med hjemmel i lov har plikt til å gi opplysninger eller er gitt adgang til å gi ellers taushetspliktbelagte opplysninger. Når særlige hensyn tilsier det, kan Finanstilsynet helt eller delvis oppheve taushetsplikten.
(2) Taushetsplikten etter første ledd er ikke til hinder for at en person som har taushetsplikt etter
§ 9-6, gis de opplysninger om kunders og andres forhold som den ansatte eller tillitsvalgte har behov for ved utøvelsen av sine arbeidsoppgaver for finansforetaket. Taushetsplikten er heller ikke til hinder for at opplysninger utleveres etter skriftlig samtykke fra den som har krav på taushet.
(3) Taushetsplikten etter første ledd er ikke til hinder for at et finansforetak i særlige tilfeller gir et annet finansforetak opplysninger som foretaket har mottatt under utøvelsen av virksomheten, dersom
formålet er å gjennomføre kundeoppdrag og oppgjør av krav fra eller mot kunder, eller annen berettiget ivaretakelse av finansforetakets eller dets kunders interesser, eller
det er nødvendig å meddele opplysninger om kunders helseforhold og andre personopplysninger til annet finansforetak, unntatt når annet følger av bestemmelser i
personopplysningsloven.
Utlevering av opplysninger etter første punktum kan bare skje i henhold til styrevedtak.
(4) Taushetsplikten etter første ledd er ikke til hinder for at finansforetak utleverer opplysninger til andre finansforetak, tilbydere av elektroniske identiteter og tillitstjenester eller til politiet når dette er nødvendig for å forebygge eller avdekke bedragerier eller misbruk av elektroniske identiteter og elektroniske tillitstjenester. Mottaker av opplysningene må ha taushetsplikt om opplysningene, som skal være minst like streng som den som følger av første ledd. Før utlevering skal finansforetaket forsikre seg om at mottaker er underlagt slik taushetsplikt eller aksepterer å bli underlagt slik taushetsplikt. Opplysninger som mottas etter denne bestemmelsen, kan ikke benyttes til andre formål enn det de er utlevert for. Mottatte opplysninger skal slettes så snart opplysningene ikke lenger er nødvendige for formålet, og uansett etter 5 år.
(5) Taushetsplikten etter første ledd er ikke til hinder for at finansforetak i særlige tilfeller utleverer opplysninger som foretaket har mottatt under utøvelsen av virksomheten, til andre finansforetak eller til politiet, dersom formålet er å avdekke eller motvirke økonomisk kriminalitet eller annen alvorlig kriminalitet.
(6) Taushetsplikten etter første ledd er ikke til hinder for utlevering av gjeldsopplysninger i henhold til
gjeldsinformasjonsloven.
(7) Taushetsplikten etter første ledd er ikke til hinder for utlevering av opplysninger i forbindelse med gjennomføring av betalingstransaksjoner eller ved tilbud av en tjeneste betalingstjenestebrukeren har anmodet om.
(8) Et finansforetak skal ha kontrollordninger for å sikre at opplysninger undergitt taushetsplikt blir behandlet på en betryggende måte, og at uvedkommende ikke får tilgang eller kjennskap til opplysningene. Finansforetak kan behandle personopplysninger, også opplysninger omfattet av
personvernforordningen artikkel 9 og
10, når formålet er å forebygge eller avdekke økonomisk kriminalitet og annen alvorlig kriminalitet. Behandling av opplysninger omfattet av
personvernforordningen artikkel 9 og
10 forutsetter at det er nødvendig, og at finansforetakene etablerer særskilte rutiner for behandling av opplysningene og innfører tiltak på et høyt sikkerhetsnivå, jf.
personvernforordningen artikkel 32, særlig for å sikre opplysningenes konfidensialitet.
(9) Et finansforetak kan begjære utlevert fra Folkeregisteret opplysning om ektefelle, barn, foreldre, foreldreansvar, opplysninger om vergemål, herunder innholdet av vergemålet og vergens oppdrag, og stadfestet fremtidsfullmakt. Folkeregistermyndigheten kan, uten hinder av taushetsplikt, utlevere opplysningen når det er nødvendig for utførelsen av finansforetakets plikter eller oppgaver hjemlet i denne lov.
(10) Når Finanstilsynet finner det rimelig, og det ikke medfører uforholdsmessig ulempe for andre interesser, kan Finanstilsynet bestemme at et finansforetak kan utlevere opplysninger til bruk for forskning. Finanstilsynet kan fastsette vilkår for adgangen til å utlevere opplysninger for dette formålet. Enhver som utfører tjeneste eller arbeid i forbindelse med et forskningsprosjekt som får utlevert opplysninger etter første punktum, plikter å hindre at andre får adgang eller kjennskap til opplysningene, og opplysningene skal bare brukes til det som er nødvendig for forskningsarbeidet og i samsvar med vilkår fastsatt av Finanstilsynet. Brudd på taushetsplikten etter tredje punktum straffes etter
straffeloven § 209. Ved utlevering av opplysninger etter første punktum skal det opplyses om at brudd på taushetsplikten er straffesanksjonert.
(11) Departementet kan i forskrift gi regler om behandling og utlevering av opplysninger, også opplysninger omfattet av
personvernforordningen artikkel 9 og
10, herunder om utlevering av opplysninger etter fjerde og femte ledd til andre offentlige og private aktører for å forebygge eller avdekke økonomisk kriminalitet eller annen alvorlig kriminalitet, samarbeidsordninger for informasjonsdeling og utlevering av opplysninger til bruk for forskning.
Paragrafen setter foretaket som sådan under en plikt til å beskytte det det får vite om kunder og andre. Uvedkommende skal ikke få tilgang eller kjennskap til opplysninger om forretningsmessige eller personlige forhold. Plikten viker der lov eller forskrift krever eller tillater at opplysninger gis. Finanstilsynet kan helt eller delvis oppheve taushetsplikten når særlige hensyn tilsier det. § 9-6 gir tilsvarende plikt for ansatte, tillitsvalgte og andre som utfører oppdrag for foretaket.
Resten av paragrafen er i hovedsak en liste over unntak. Ansatte og tillitsvalgte kan få de opplysningene de trenger i jobben, og opplysninger kan gis etter skriftlig samtykke. Et annet finansforetak kan i særlige tilfeller få opplysninger for å gjennomføre kundeoppdrag, gjøre opp krav eller ivareta berettigede interesser. Helse- og andre personopplysninger kan deles når det er nødvendig, men personopplysningsloven kan gå foran, og utlevering krever styrevedtak.
Foretak kan dele opplysninger med andre finansforetak, tilbydere av elektroniske identiteter og tillitstjenester eller politiet for å forebygge eller avdekke bedrageri og misbruk av elektroniske identiteter. Mottakeren må ha minst like streng taushetsplikt, må bruke opplysningene bare til det formålet de ble gitt for, og skal slette dem når de ikke lenger trengs, senest etter fem år. I særlige tilfeller kan det også deles med andre finansforetak eller politiet for å motvirke økonomisk eller annen alvorlig kriminalitet. Gjeldsopplysninger kan utleveres etter gjeldsinformasjonsloven, og opplysninger kan gis når det trengs for å gjennomføre en betalingstransaksjon eller en tjeneste brukeren har bedt om.
Foretaket må ha kontrollordninger som sikrer at taushetsbelagte opplysninger behandles betryggende. Det kan behandle personopplysninger også av følsom art, blant annet om straffedommer, for å forebygge eller avdekke økonomisk og annen alvorlig kriminalitet, men bare når det er nødvendig, med særskilte rutiner og høy sikkerhet. Foretaket kan be Folkeregisteret om opplysninger om ektefelle, barn, foreldre, vergemål og fremtidsfullmakt. Finanstilsynet kan tillate utlevering til forskning på vilkår. Brudd på taushetsplikten under forskningsprosjekter kan straffes etter straffeloven § 209, som gir bot eller fengsel inntil ett år.
Eksempel: Et finansforetak oppdager tegn på at kunder utsettes for bedrageri. Foretaket kan i særlige tilfeller varsle politiet eller et annet finansforetak, selv om opplysningene ellers er taushetsbelagt. Mottakeren må da holde opplysningene like fortrolige.
Paragrafen er en del av kapitlet om forholdet til kundene. § 16-1 gjelder kundebehandling og rutiner, og § 16-3 og § 16-4 gjelder klageorgan og kontanter. Departementet kan gi forskrift om behandling og utlevering av opplysninger. Paragrafen vises også til fra § 18-5 om utveksling av kundeinformasjon mellom foretak i samme konsern.