1 SWEDSECS DISCIPLINNÄMND BESLUT 2017-07-17 2017:20 SwedSec Licensiering AB Licenshavaren BESLUT Disciplinnämnden meddelar licenshavaren en varning. SKÄL Bakgrund Licenshavaren var, vid tiden för de aktuella händelserna, anställd som privatrådgivare på ett kontor i Mellansverige hos ett anslutet företag och innehavare av aktiv licens hos SwedSec Licensiering AB (SwedSec). Hans licens är numera vilande. Företaget har anmält att arbetet innebar att bl.a. tillhandahålla investeringsrådgivning avseende finansiella instrument och rådgivning samt handläggning av bolån samt att licenshavaren i samband med att han sade upp sin anställning för att gå till en befattning som Private Banker i ett konkurrerande företag kopierade en stor mängd konfidentiell och sekretessbelagd information från företagets kundsystem. Företaget har vidare i huvudsak anfört följande: Under hösten 2016 sade licenshavaren upp sin anställning och meddelade att han fått en ny anställning som Private Banker på ett annat företag på samma ort där han arbetade. Eftersom licenshavaren i sin nya befattning skulle arbeta i en konkurrerande verksamhet mot segmentet förmögna privatkunder och inom samma lokala marknad beslutades att licenshavaren under sin uppsägningstid inte fick ha kundkontakter. Arbetsuppgifterna skulle vara mer av administrativ karaktär. När licenshavaren dagen efter uppsägningen ombads att lämna tillbaka sin tjänstemobil försökte han radera en stor mängd av de fotografier han tagit på företagets kundsystem. Raderingsförsöket i sig visar att licenshavaren var medveten om att hans agerande bröt mot företagets regelverk. Han erkände överträdelsen till företaget några dagar senare. Vid den
2 tidpunkten uppgav han att han under ca två veckor innan han sade upp sin anställning utfört sökningar i företagets system och kopierat informationen. I telefonen påträffades en mapp med 56 fotografier tagna på företagets kundsystem, s.k. skärmkopior. Den information som fotograferats innehöll personuppgifter såsom namn, adress, personnummer samt all information om kundernas affärsvolymer i företaget, dvs. kontotillgodohavanden, sparande, placeringar, krediter och kundlönsamhet. Totalt har information om ca 1 500 av kontorets privatkunder fotograferats. De fotograferade kundlistorna var sorterade efter kundlönsamhet, vilket innebar att de 1 500 kunderna var kontorets mest lönsamma kunder. Licenshavaren hade också fotograferat en lista med information som innehåller namn på chefer och befattningshavare på den aktuella orten med omnejd, en s.k. prospectlista som är av strategisk betydelse för företaget i dess marknadsbearbetning och inget som licenshavaren hade behörighet att fotografera oavsett om den innehåller gamla uppgifter eller inte. Licenshavaren har bekräftat att han dokumenterat ca 400 av kontorets privatkunder med sin tjänstetelefon. Att syftet med detta skulle vara att ha ett privat kontaktnät förefaller inte sannolikt. Omfattningen av de otillåtna sökningarna och dokumentationen av kunduppgifterna tyder på att avsikten har varit att dra nytta av informationen i hans nya tjänst som rådgivare på ett konkurrerande företag på samma ort. Om informationen hade utnyttjats av licenshavaren i den kommande anställningen hade det inneburit en risk för ekonomisk skada för företaget. Licenshavaren var vid tiden för när den fotograferade informationen uppdagades anställd som privatrådgivare och inte som placeringsspecialist. De uppgifter och behörigheter som han hade som placeringsspecialist upphörde när han lämnade den befattningen under våren 2016 och det fanns inte längre något godtagbart behov för honom att i tjänsten hantera den aktuella kundinformationen. Han har således saknat behörighet att i sin befattning söka fram, ta del av eller fotografera information om företagets kunder. Han har därmed brutit mot banksekretessen. Hans tidigare roll som placeringsspecialist och hans tidigare arbetsrelaterade informationsbehov saknar betydelse i det aktuella ärendet. Utöver sekretessreglerna i företagets etiska riktlinjer, reglerna om tystnadsplikt och sekretessförbindelsen har licenshavaren brutit mot företagets instruktioner om informationshantering. Oavsett hur och när underlagen togs fram har licenshavaren gjort specifika sökningar eller otillåtna slagningar i företagets system för att kunna ta fram information för de över 50 enskilda skärmkopiorna som han har tagit. Företaget vill understryka att licenshavaren oavsett befattning inte har haft rätt att fotografera informationen. En anställd ska ha tillgång till all den information denne behöver för att kunna fullgöra sina aktuella och konkreta arbetsuppgifter. Licenshavaren har skaffat sig information av rent
3 privata intressen. Att fotografera kunduppgifter eller annat material som tillhör företaget med mobiltelefonen kan inte rimligen ses som ett naturligt arbetsmoment eller arbetsrelaterat, oavsett arbetsroll. Licenshavaren har anfört följande: Han medger att han tagit fotografier med sin tjänstetelefon på en kundlista innehållande omkring 400 av kontorets privatkunder. Kundlistan har han själv tagit fram i slutet av 2015 som ett naturligt arbetsmoment och arbetsrelaterad i hans dåvarande roll som placeringsspecialist. Han tog regelbundet fram dessa uppgifter inför varje kontorsbesök. Listan var helt nödvändig för att fullgöra hans dåvarande arbetsuppgifter. Listan innehöll kunder med placeringar eller placeringsbart kapital uppgående till mer än 500 000 kr. Listan innehöll ingen information om kundlönsamhet eller krediter som företaget hävdat. Som placeringsspecialist ingick bl.a. att följa upp i vilken utsträckning som kontoren utförde dokumentation och upprättade investeringsprofiler i samband med placeringsrådgivning. Underlag för uppföljningarna utgjordes av en särskild fil. Dessa körningar gjordes centralt av IT-avdelningen. Filerna lades upp på en särskild sida där de sedan kunde hämtas av placeringsspecialisterna. För tillgång till dessa listor krävdes särskild tilldelad behörighet och bl.a. placeringsspecialisterna hade behörighet till sidan. Filerna var otympliga att arbeta med så dessa redigerades och anpassades efter aktuell, relevant och efterfrågad information. De justerade listorna sparade han på sin privata disk alternativt direkt på datorns skrivbord. Det är inte så som företaget gör gällande att han gjort några specifika sökningar eller otillåtna slagningar i företagets system för att på så sätt ta fram listan i anslutning till sin uppsägning. Han har också tagit fotografier med sin tjänstetelefon på en lista som innehöll chefer och befattningshavare på företag i den aktuella orten med omnejd. Listan togs fram 2006/2007 för att kunna skicka ut allmänt skrivna e-postmeddelanden om företaget. De personer som är upptagna på listan är inte kunder i företaget. E-postmeddelanden skickades både till företagets kunder och övriga personer i näringslivet. Listan är ca 10 år gammal och det är uppenbart att merparten av listan är inaktuell avseende såväl personer som e-postadresser. Det är däremot inte korrekt att han tagit fotografier av en lista med kontorets företagskunder eller att det totala antalet skulle uppgå till 1 500 stycken. Det bestrids att han inte har haft behörighet till de fotograferade listorna. Han har inte heller brutit mot reglerna om banksekretess i lagen om bank- och finansieringsrörelse. Han har tagit fotografier av material som han själv upprättat och/eller haft tillgång till men inte röjt dessa uppgifter. Fotografierna är som företaget förklarat raderade och fotografierna eller telefonen finns inte längre i hans besittning. Han har inte heller några kopior av materialet. Han har inte ägnat sig åt några otillåtna slagningar i företagets system. Han har inte heller berett sig tillgång till något material som han inte varit berättigad att ta del av. Han bestrider att det skulle finnas ett syfte att dra nytta av informationen i den nya anställningen som han avsåg att tillträda. Syftet var att ha ett kontaktnät mer från ett privat perspektiv. Att ta fotografier på det sättet som skett har uppenbarligen lett till missförstånd. Det som inträffat är en fråga av rent arbetsrättslig karaktär. Det är därmed inte en fråga för SwedSec, då några
4 brott mot det regelverk SwedSec utövar tillsyn över inte har begåtts. Ärendet bör därför inte tas upp i SwedSecs disciplinnämnd. Överväganden Ingen av parterna har begärt muntlig förhandling. Disciplinnämnden har tagit del av handlingarna i ärendet. Licenshavaren har genom sitt ombud meddelat disciplinnämnden att han inte har något ytterligare att anföra i ärendet. Företaget har påstått att licenshavaren i företagets kundsystem har sökt, tagit fram och fotograferat uppgifter om 1 500 kunder i företagets system samt en prospectlista av strategisk betydelse för företaget, för att i en kommande anställning utnyttja konfidentiell information om företagets kunder. Licenshavaren har medgett att han tagit fotografier med sin tjänstetelefon på en kundlista som han själv tagit fram innehållande omkring 400 privatkunder. Han har även medgett att han tagit fotografier på prospectlistan. Syftet var att få tillgång till ett kontaktnät för privat bruk. Han har emellertid bestritt att han ägnat sig åt några otillåtna slagningar i företagets system samt berett sig tillgång till något material som han inte var berättigad att ta del av. De av företaget åberopade sekretessreglerna i de etiska riktlinjerna, reglerna om tystnadsplikt och sekretessförbindelsen motsvarar bl.a. bestämmelsen om tystnadsplikt i lagen om bankoch finansieringsrörelse. Av företagets regler om tystnadsplikt framgår att tystnadsplikten även gäller mot andra anställda i företaget som inte behöver kunskaper om enskild kund för att kunna lösa sina arbetsuppgifter. Licenshavaren har i en sekretessförbindelse intygat att han tagit del av bl.a. företagets regler om att anställda inte för annat än utförande av sina arbetsuppgifter får använda uppgifter som den anställde har tillgång till genom företagets datautrustning eller datasystem. Han får därmed anses ha känt till reglernas innebörd och betydelse. De av företaget åberopade reglerna om tystnadsplikt och innehållet i den av licenshavaren undertecknade sekretessförbindelsen har sin grund i bestämmelsen om tystnadsplikt i lagen om bank- och finansieringsrörelse. Det är således inte enbart en arbetsrättslig fråga. Av utredningen framgår att licenshavaren har fotograferat uppgifter om i vart fall 400 kunder m.m. vilket inte i sig kan anses innefatta ett obehörigt röjande eller utnyttjande av konfidentiell information. I utredningen finns inget stöd för att han skulle ha spritt uppgifterna vidare till någon obehörig eller utnyttjat informationen i strid med företagets regler. Det kan således, enligt disciplinnämndens mening, inte anses visat att licenshavaren brutit mot företagets sekretessregler i den delen. Licenshavarens agerande att fotografera uppgifter om kunder och innehållet i prospectlistan står i strid med sekretessförbindelsen och företagets regler om informationssökning, att anställda inte får använda andra uppgifter som den anställde har tillgång till genom företagets datautrustning och datasystem än de uppgifter som denne behöver för sitt arbete.
5 Uppgifterna omfattades av den sekretess som gällde för licenshavaren som privatrådgivare. De skäl som licenshavaren uppgett till varför han skulle vara behörig att fotografera uppgifterna kan således inte anses godtagbara. Handlandet strider även mot företagets etiska riktlinjer om att anställda ska agera med integritet och omdöme som inte kan ifrågasättas. De regelöverträdelser som licenshavaren har gjort sig skyldig till är allvarliga och hans agerande skulle kunna skada företagets anseende. Det har emellertid inte framkommit att företaget eller dess kunder har lidit någon ekonomisk skada på grund av licenshavarens överträdelser. På grund härav anser disciplinnämnden, med viss tvekan, att påföljden kan stanna vid en varning. På disciplinnämndens vägnar Marianne Lundius I nämndens beslut har deltagit f.d. justitieråd Marianne Lundius, justitierådet Ann-Christine Lindeblad, civilekonomen Ragnar Boman, f.d. chefsjuristen Jan Persson och direktören Carl- Johan Högbom.