Privata bolag måste söka tillstånd från IMY för att få behandla personuppgifter om lagöverträdelser om det inte finns ett rättsligt stöd för behandlingen, till exempel i lag eller förordning. Danske Bank har vänt sig till IMY med en sådan ansökan.

Det framgår av ett pressmeddelande från myndigheten.

Banken vill hantera uppgifter som rör lagöverträdelser om personer som tidigare varit kunder hos banken men som banken på grund av krav enligt penningtvättslagen har anmält till Polismyndigheten och avslutat kundrelationen med.

Inom koncernen vill banken ha ett informationsutbyte för att säkerställa att information om bland annat misstänkt penningtvätt eller finansiering av terrorism sprids till delar av koncernen. Banken uppger att kontrollen är nödvändig för att förhindra att en kund vars kundrelation avslutats i en filial inte ska kunna vända sig till en annan filial inom koncernen och bli kund där utan att de misstankar som uppstått hos den första filialen beaktas.

För att banken ska få hantera uppgifter om lagöverträdelser behöver banken enligt dataskyddsförordningen bland annat ha ett särskilt, uttryckligt angivet och berättigat ändamål. IMY konstaterar i sitt tillstånd att kravet på banken att leva upp till reglerna i penningtvättslagen är ett sådan ändamål.

– Behovet av att kunna utföra kontroller mot en koncernintern lista om lagöverträdelser som innefattar brott måste vägas mot den risk för intrång i de registrerades personliga integritet som sådana kontroller kan innebära. Banken har dock i sin ansökan visat att det berättigade intresset i detta fall väger tyngre än de registrerades integritetsintresse, säger Hans Kärnlöf, jurist på IMY, i pressmeddelandet.

IMY beviljar bankens ansökan men noterar i sitt beslut att tillståndet kan komma att återkallas om det visar sig att banken behandlar eller kan komma att behandla personuppgifter på ett sätt som strider mot dataskyddsförordningen.