§ 16-2. Finansforetaks taushetsplikt, behandling av opplysninger mv

(1) Et finansforetak plikter å hindre at uvedkommende får adgang eller kjennskap til opplysninger om kunders og andres forretningsmessige eller personlige forhold som foretaket mottar under utøvelsen av virksomheten, med mindre foretaket etter lov eller forskrifter gitt med hjemmel i lov har plikt til å gi opplysninger eller er gitt adgang til å gi ellers taushetspliktbelagte opplysninger. Når særlige hensyn tilsier det, kan Finanstilsynet helt eller delvis oppheve taushetsplikten. (2) Taushetsplikten etter første ledd er ikke til hinder for at en person som har taushetsplikt etter § 9-6, gis de opplysninger om kunders og andres forhold som den ansatte eller tillitsvalgte har behov for ved utøvelsen av sine arbeidsoppgaver for finansforetaket. Taushetsplikten er heller ikke til hinder for at opplysninger utleveres etter skriftlig samtykke fra den som har krav på taushet. (3) Taushetsplikten etter første ledd er ikke til hinder for at et finansforetak i særlige tilfeller gir et annet finansforetak opplysninger som foretaket har mottatt under utøvelsen av virksomheten, dersom a) formålet er å gjennomføre kundeoppdrag og oppgjør av krav fra eller mot kunder, eller annen berettiget ivaretakelse av finansforetakets eller dets kunders interesser, eller b) det er nødvendig å meddele opplysninger om kunders helseforhold og andre personopplysninger til annet finansforetak, unntatt når annet følger av bestemmelser i personopplysningsloven. Utlevering av opplysninger etter første punktum kan bare skje i henhold til styrevedtak. (4) Taushetsplikten etter første ledd er ikke til hinder for at finansforetak utleverer opplysninger til andre finansforetak, tilbydere av elektroniske identiteter og tillitstjenester eller til politiet når dette er nødvendig for å forebygge eller avdekke bedragerier eller misbruk av elektroniske identiteter og elektroniske tillitstjenester. Mottaker av opplysningene må ha taushetsplikt om opplysningene, som skal være minst like streng som den som følger av første ledd. Før utlevering skal finansforetaket forsikre seg om at mottaker er underlagt slik taushetsplikt eller aksepterer å bli underlagt slik taushetsplikt. Opplysninger som mottas etter denne bestemmelsen, kan ikke benyttes til andre formål enn det de er utlevert for. Mottatte opplysninger skal slettes så snart opplysningene ikke lenger er nødvendige for formålet, og uansett etter 5 år. (5) Taushetsplikten etter første ledd er ikke til hinder for at finansforetak i særlige tilfeller utleverer opplysninger som foretaket har mottatt under utøvelsen av virksomheten, til andre finansforetak eller til politiet, dersom formålet er å avdekke eller motvirke økonomisk kriminalitet eller annen alvorlig kriminalitet. (6) Taushetsplikten etter første ledd er ikke til hinder for utlevering av gjeldsopplysninger i henhold til gjeldsinformasjonsloven. (7) Taushetsplikten etter første ledd er ikke til hinder for utlevering av opplysninger i forbindelse med gjennomføring av betalingstransaksjoner eller ved tilbud av en tjeneste betalingstjenestebrukeren har anmodet om. (8) Et finansforetak skal ha kontrollordninger for å sikre at opplysninger undergitt taushetsplikt blir behandlet på en betryggende måte, og at uvedkommende ikke får tilgang eller kjennskap til opplysningene. Finansforetak kan behandle personopplysninger, også opplysninger omfattet av personvernforordningen artikkel 9 og 10, når formålet er å forebygge eller avdekke økonomisk kriminalitet og annen alvorlig kriminalitet. Behandling av opplysninger omfattet av personvernforordningen artikkel 9 og 10 forutsetter at det er nødvendig, og at finansforetakene etablerer særskilte rutiner for behandling av opplysningene og innfører tiltak på et høyt sikkerhetsnivå, jf. personvernforordningen artikkel 32, særlig for å sikre opplysningenes konfidensialitet. (9) Et finansforetak kan begjære utlevert fra Folkeregisteret opplysning om ektefelle, barn, foreldre, foreldreansvar, opplysninger om vergemål, herunder innholdet av vergemålet og vergens oppdrag, og stadfestet fremtidsfullmakt. Folkeregistermyndigheten kan, uten hinder av taushetsplikt, utlevere opplysningen når det er nødvendig for utførelsen av finansforetakets plikter eller oppgaver hjemlet i denne lov. (10) Når Finanstilsynet finner det rimelig, og det ikke medfører uforholdsmessig ulempe for andre interesser, kan Finanstilsynet bestemme at et finansforetak kan utlevere opplysninger til bruk for forskning. Finanstilsynet kan fastsette vilkår for adgangen til å utlevere opplysninger for dette formålet. Enhver som utfører tjeneste eller arbeid i forbindelse med et forskningsprosjekt som får utlevert opplysninger etter første punktum, plikter å hindre at andre får adgang eller kjennskap til opplysningene, og opplysningene skal bare brukes til det som er nødvendig for forskningsarbeidet og i samsvar med vilkår fastsatt av Finanstilsynet. Brudd på taushetsplikten etter tredje punktum straffes etter straffeloven § 209. Ved utlevering av opplysninger etter første punktum skal det opplyses om at brudd på taushetsplikten er straffesanksjonert. (11) Departementet kan i forskrift gi regler om behandling og utlevering av opplysninger, også opplysninger omfattet av personvernforordningen artikkel 9 og 10, herunder om utlevering av opplysninger etter fjerde og femte ledd til andre offentlige og private aktører for å forebygge eller avdekke økonomisk kriminalitet eller annen alvorlig kriminalitet, samarbeidsordninger for informasjonsdeling og utlevering av opplysninger til bruk for forskning.