Datatilsynet setter fokus på bankansattes tilgang på kundeopplysninger i høstens tilsyn rettet mot finanskonsern, etter at vårens tilsyn avdekket uklar tilgangsstyring.

Datatilsynet gjennomførte 10 tilsyn i finanssektoren våren 2006, der et av hovedmålene var å kartlegge hvordan personopplysninger flyter mellom virksomheter i konsernet. Tilsynene viste at finanskonsernene i hovedsak følger Personopplysningsloven på dette punktet, og Datatilsynet er tilfreds med praksisen.

Derimot var Datatilsynet mindre fornøyd med at tilgangen til kundesystemene i bankene er svært vide. Kundebehandlere har ofte tilgang på alle opplysningene som er registrert på bankens kunder og opplysningene kan gi til dels følsom informasjon om den enkelte.

Datatilsynet avdekket også at de fleste bankene hadde for dårlige rutiner for sletting av gamle kundeopplysninger, og mange banker var ikke kjent med konsesjonens regler for sletting.

Tilsynene rettet mot finanskonsern viste at bankkonsesjonen kan være noe uklar og lite praktisk når det gjelder vilkårene for sletting og tilgangstyring. Datatilsynet vurderer å endre konsesjonsvilkårene, og vil følge opp vårens tilsynsprosjekt med fem nye tilsyn der spørsmål vedrørende tilgangsstyring skal vurderes.

Les hele tilsynsrapporten fra prosjektet ”Behandling av personopplysninger i finanskonsern”.