Norske Kredittopplysningsbyråers Forening

Transkript

1 Norske Kredittopplysningsbyråers Forening Kommunal- og moderniseringsdepartementet Postboks 8112 Dep 0032 Oslo Levert digitalt via departementets hjemmeside Deres ref: 17/ mars 2018 Høring utkast til ny lov om behandling av personopplysninger i kredittopplysningsvirksomhet På vegne av Norske Kredittopplysningsbyråers Forening (heretter NKF) ønsker vi å levere våre merknader og innspill til Kommunal- og moderniseringsdepartementets høringsbrev av 19. desember NKFs medlemmer består i dag av Experian, EVRY, CreditSafe og Bisnode Norge. Foreningen representerer de selskapene som for tiden er aktive kredittopplysningsvirksomheter i Norge. Kredittopplysningsbransjen deler regjeringens forståelse av betydningen av et velfungerende kredittmarked. Tilgangen på kreditt er en av de viktigste forutsetningene for et fortsatt høyt velferds- og velstandsnivå i Norge. Det er derfor avgjørende at man fra myndighetenes side legger aktivt til rette for at markedet for kredittgivning kan fungere på en god måte. Dette innebærer blant annet å sørge for at de regulatoriske rammene som regulerer informasjonsutveksling i anledning kredittgivning er godt tilpasset de behov som gjør seg gjeldende blant aktørene som er involvert i denne typen transaksjoner. Informasjonen som tillates innsamlet og delt må være av en slik karakter at den er troverdig, relevant og tilstrekkelig til at aktørene som tilbyr kreditt kan trekke fullverdige konklusjoner med hensyn til den enkeltes kredittverdighet. Likeledes må lovgiver legge til rette for at informasjonen kan brukes av alle relevante aktører som bidrar til å sikre et velfungerende kredittmarked. 1. Definisjonen av Kredittopplysningsvirksomhet Kredittopplysningsvirksomhet har tradisjonelt blitt definert som virksomhet som bistår med å belyse enkeltpersoner og foretaks betalingsevne og -vilje. Kredittopplysningsvirksomhet sikrer næringslivet tilgang til riktig og relevant informasjon som igjen bidrar til å fatte velfunderte og pålitelige kreditt- og finansieringsbeslutninger for næringslivet. Tilgang til gode og relevante kredittopplysninger er helt vesentlig for et pålitelig og godt fungerende finansmarked. Gjennom de senere års utvikling i hvordan privatpersoner handler og gjennom det opptakelse av kreditt, ser bransjen at bruken av våre tjenester har økt betraktelig. c/o Bisnode Norge AS v/tore Lia Postboks 1419 Vika 0115 Oslo tore.lia@bisnode.com Telefon:

2 2 Det er viktig at nytt lovutkast gjenspeiler og legger til rette for den endring som har vært i tjenestene og brukerne av kredittopplysningstjenester. I forskrift til personopplysningsloven 4-2 defineres kredittopplysning som «virksomhet som består i å gi meddelelser som belyser kredittverdighet og økonomisk vederheftighet». I utkastet til ny lov er definisjonen på kredittopplysningsvirksomhet følgende: «virksomhet som består i å gi ut kredittopplysninger», lovforslaget 2 litra d). Av samme bestemmelse litra b) er en kredittopplysning definert som «opplysninger som belyser noens kredittverdighet eller økonomisk vederheftighet». Dette er således i all hovedsak en videreføring av dagens definisjon i gjeldende personopplysningslov. Ses imidlertid definisjonene sammen med lovens formålsbestemmelse, 1, annet ledd, kan det se ut som at formålet er noe mer utvidet «Kredittopplysningsvirksomhet skal legge til rette for gode kredittvurderinger i et velfungerende kredittmarked, herunder motvirke uforsvarlig gjeldsbyrde for enkelte». Spørsmålet er om dette totalt sett gjenspeiler den endringen som har vært i samfunnet og hvordan kreditt i dag gis? Bransjen anser det som viktig at ny definisjon gjenspeiler den utvikling som har vært siden personopplysningsloven ble vedtatt i Dette er helt vesentlig også med tanke på at definisjonen av kredittopplysningsvirksomhet vil være med å definere hvilke opplysninger som kan brukes i kredittopplysningsvirksomhet, jf lovutkastet 7 samt hvem opplysninger kan leveres ut til jf 15, altså hvem som kan anses å ha «saklig behov» for tilgang til opplysningene. Vi ser det som positivt at det i formålsbestemmelsen vises til «et velfungerende kredittmarked». Vi mener at dette gjør bruk av kredittopplysningstjenestene fleksibel i den grad at utvikling innenfor finans- og kredittmarkedet kan følges uten at det vil være behov for endringer. 2. Tilgang til kredittopplysninger NKF ser at i ordlyden til den nye loven 15 oppstilles det et krav om at kredittopplysninger bare kan utleveres til den som har saklig behov for opplysningene i samsvar med formålet i lovens paragraf 1, eller til mottakere som har hjemmel i lov til å innhente kredittopplysninger. Dette synes i utgangspunktet til å være helt i overenstemmelse med gjeldende rett og slik vi tror at bestemmelsen er å forstå. Men dersom man ser dette sammen med lovforslagets 1 kan det stilles spørsmål ved om dette innskrenker dagens praksis. Det fremgår av lovutkastets 1 at formålet med loven er å legge til rette for god behandling av opplysninger om enkeltpersoners og næringsdrivendes økonomiske forhold i kredittopplysningsvirksomhet. Av høringsnotatet fremgår det videre at «kredittopplysningsvirksomhet skal legge til rette for gode kredittvurderinger i et velfungerende kredittmarked, herunder å motivere uforsvarlig gjeldsbyrde for den enkelte». Spørsmålet blir spesielt om henvisningen til «kredittmarkedet» innebærer en innsnevring av slik opplysninger i dag brukes. Dette er spesielt blitt påpekt av inkassobransjen og deres bruk av opplysninger i innfordringsprosessen. Vi ber derfor departementet vurdere om dette bør tydeliggjøres i den endelige lovteksten. Det kan legges til rette for dette ved at man gjennom paragraf 15 gjør en tilføyelse ved at det også

3 3 vises til innfordring eventuelt andre forhold for å sikre inndrivelse og derfor har behov for vurdering av betalingsevne og -vilje. 3. Tilbakemelding på de spørsmål som reises i høringsnotatet Departementet reiser i sitt høringsnotat en rekke spørsmål det ønsker høringsinstansenes tilbakemelding på. Vi vil nedenfor gi aktørene sine tilbakemeldinger på de spørsmålene som reises her. Nærmere om hvordan kredittopplysning bør reguleres Departementet har gjennom høringsnotatet foreslått at kredittopplysning reguleres gjennom lov/forskrift, jf det lovutkastet som nå foreligger. Bransjen mener det er en riktig måte å regulere kredittopplysning for fremtiden. Selve grunnlaget for kredittopplysningsvirksomhet bør lovreguleres, men mer konkrete forhold kan nærmere fastsettes i forskrift eller bransjenorm. Dette vil sikre trygghet og fleksibilitet for kredittopplysningsvirksomheten. I tillegg til lov/forskrift tror bransjen at det vil være hensiktsmessig å nærmere regulere visse forhold i en bransjenorm. Det vil i en bransjenorm være mer relevant å utdype tolkninger av loven og sikre felles forståelse av de reglene som gjelder. Det kan gjennom en bransjenorm sikre videreføring og videreutvikling av det som har vært gjeldende rett og utviklet av bransjen og Datatilsynet gjennom en årrekke i konsesjoner og enkeltvedtak. Bransjen tror at dette vil være med på å kunne trygge bransjen og bransjens bruk og tilgang på informasjon samtidig som det vil sikre de registrertes personvern på en tilfredsstillende måte. Bør nytt regelverk også omhandle opplysninger om næringsdrivende? Det foreslåtte regelverket viderefører dagens regulering av bruk av foretaksopplysninger i kredittopplysningsvirksomhet. Dersom bruk av denne type opplysninger skal reguleres i det hele tatt ser bransjen det som hensiktsmessig at dette reguleres i samme lov, selv om denne type opplysninger ikke er regulert i GDPR. Det som imidlertid er en utfordring er at beskyttelse av opplysninger om næringsdrivende har et annet formål enn personvern. Det gjør det utfordrende å finne et rett nivå for beskyttelse og regulering. Vi mener likevel at det nivået det er lagt i lovutkastet ser ut til å finne en balanse, dersom regler om bruk og ikke-bruk av næringsopplysninger kan videreutvikles i bransjenormer. Hvilke kilder kredittopplysninger kan hentes fra I gjeldende regelverk er det i konsesjonen positivt ramset opp hvilke kilder som kan benyttes i kredittopplysningsvirksomhet. Bransjen ser det som positivt at departementet foreslår at hvilke kilder som kan benyttes grupperes på et mer aggregert nivå. Dette er viktig for å sikre fleksibilitet, og hindre unødvendig byråkrati ved en naturlig ny kilde. I dansk og svensk lovgiving er dette regulert ved at «kilder eller data som kan ha betydning for kredittvurdering» kan benyttes i kredittopplysning. Konkret hvilke kilder som kan benyttes vil

4 4 videre bli definert ut fra hvilke kilder og opplysninger som vil være å anse som «saklig begrunnet» å benytte i kredittopplysning. Dette vil gi likhet over landegrensene samt også ivareta ulike forskjeller i landenes kultur for tilgang på relevant informasjon. Vi ser imidlertid at visse kilder, som ikke er offentlig tilgjengelig, må reguleres særskilt. Dette vil i dag innebære at opplysninger fra inkassobyråer og Skattedirektoratet, samt Gjeldregistret i alle fall må nevnes særskilt. Bransjen anbefaler derfor at reguleringen av hvilke kilder som kan benyttes gis et mer aggregert nivå med unntak fra de kilder som er gitt med hjemmel i annen særlov. Kredittsperre for næringsdrivende? Det er i dag en vel etablert praksis med at enkeltpersoner kan be om kredittsperre. Vi ser at kredittsperre benyttes dels for å beskytte etter et eventuelt identitetstyveri og dels for å hindre unødvendig opptaking av gjeld. Vår erfaring er at dette fungerer i dag bra for privatpersoner. Vi har gjennom årene i noen få tilfeller fått henvendelser fra næringsdrivende som ønsker å etablere kredittsperre for et selskap. Dette godtas i dag, da vi ikke ser noen særskilt grunn til å nekte dette. I de tilfellene vi har fått slike henvendelser har det vært for å forebygge svindel og fraud. Bransjen mener derfor at det bør åpnes også lovmessig for å kunne gi næringsdrivende kredittsperre. Bransjens erfaring er at kredittsperre i liten grad hindrer effektiviteten av kredittgivning, da dette ikke vil bli benyttet dersom det ikke er nødvendig. Vi har i liten grad sett «misbruk» av slike sperrer. I denne forbindelse kan det også nevnes at det er dialog mellom selskapene i bransjen for å etablere et felles register for kredittsperre. Det er ønske om å tilby at enkeltpersoner kan henvende seg et sted for å etablere kredittsperre hos samtlige aktører. Dette vil bransjen arbeide videre med. Vi ser imidlertid at det er behov for et generelt unntak fra kredittsperre for inkassoselskap og andre porteføljevurderinger, slik dette i dag er regulert i gjeldende konsesjon, se kommentarer til konsesjonens punkt nr 3; «Sperren gjelder for enkeltforespørsler, men ikke ved utlevering av kredittopplysninger til banker og finansinstitusjoner når disse skal brukes i forbindelse med bankenes lovpålagte risiko- og soliditetsvurderinger. Det følger av samme at sperren heller ikke gjelder ved forespørsel fra inkassobyråene i forbindelse med porteføljevask og ved vurdering og inndriving av et krav.» Vi ber om at departementet viderefører dette unntaket i lov eller forskrift. Innsynsrett i logger vedrørende hvem kredittopplysning er utlevert til I dagens forskrift 4-4 kan den registrerte henvende seg til kredittopplysningselskapet og be om å få opplyst hvilke opplysninger som er gitt ut om vedkommende de siste 6 månedene og til hvem disse er gitt til. Vår erfaring er at denne rettigheten ikke benyttes. Privatpersoner får gjenpartsbrev hver gang det gis ut opplysninger, og vi kan derfor ikke se at dette er en rettighet som er nødvendig å

5 5 videreføre for privatpersoner i tillegg til den generelle innsynsretten og retten til å motta gjenpart ved utgivelse av opplysninger. Det kan eventuelt være relevant å videreføre denne særskilte innsynsretten for næringsdrivende. Kredittopplysningsselskapet vil uansett ha loggene slik at dette ikke vil være spesielt tyngende for selskapet å kunne gi tilgang til. Vår erfaring er imidlertid at denne retten heller ikke benyttes av næringsdrivende. Så spørsmålet er vel derfor om det i det hele tatt er behov for en slik særskilt innsynsrett i loggene. Sletting av opplysninger I lovutkastet kap V er det foreslått ulike regler vedrørende det tidsrommet opplysninger kan benyttes. Dette er i all hovedsak en videreføring av de krav som i dag fremkommer av konsesjonen fra Datatilsynet. Det er bransjens generelle syn at disse reglene i dag er godt innarbeidet og i hovedsak fungerer godt. Vi tillater oss imidlertid likevel å påpeke visse utfordringer. Det fremgår av 21 at brukstid for opplysninger er 4 år, dog med noen presiseringer i Selve hovedregelen om brukstid på 4 år er i praksis en regel rundt «negative» opplysninger, som for eksempel betalingsanmerkninger. Når det gjelder informasjon som man kan si er «positive» opplysninger, som for eksempel eierskap i bil og eiendom, vil en slik brukstid på 4 år være feil. Dette er opplysninger som vil gi bedre rating og har en «holdbarhet» på langt utover 4 år. Vi ber derfor om at 21 presiseres, slik at den ikke omfatter denne type opplysninger. Vi ønsker imidlertid å be om at departementet vurderer å endre slettefristen som fremgår av lovforslagets 25, annet ledd. Av denne bestemmelsen fremgår det at opplysninger skal slettes eller anonymiseres senest når det er gått 10 år fra det tidspunktet hvor opplysningene første gang ble registrert i kredittopplysningsvirksomheten. Vi ser at dette i mange tilfeller kan bli uheldig og unødvendig tungvint. Vi ber derfor om at denne bestemmelsen endres til at opplysningene skal slettes eller anonymiseres senest «10 år etter at opplysningene ikke lenger kan benyttes i kredittopplysningsvirksomheten». Ønske om denne endringen er begrunnet ut fra at det historiske arkivet benyttes som dokumentasjon ved eventuell erstatning for feilaktige opplysninger samt for å kunne dokumentere hva som har vært gitt ut og gjennom det dannet grunnlaget for en beslutning tilbake i tid. Vi har erfaring med at omspurte har etterspurt dette etter at opplysninger har vært slettet. Videre er det helt vesentlig å kunne bruke opplysningene for å utvikle gode og relevante scoremodeller og statistikker som tilfredsstiller kravene i for eksempel Basel-direktivene. Tilgang til historiske opplysninger er av den grunn helt essensielt og begrunner en lenger slettefrist enn det som i dag følger av konsesjonen. 4. Kommentarer til de enkelte bestemmelsene I tillegg til de forhold som departementet har bedt om særskilt tilbakemelding på ønsker NKF å knytte ytterligere noen kommentarer til enkelte av de foreslåtte lovbestemmelsene i forslaget. 10 inkassoopplysninger Den foreslåtte 10 er i all hovedsak en videreføring av dagens regel i konsesjonen gitt av Datatilsynet. Med dagens kredittmarked ser vi imidlertid at denne er noe foreldet da tempoet og

6 6 omfanget av kredittilgang er vesentlig raskere enn da reglene i sin tid ble laget. Det er derfor i dag behov for å kunne registrere opplysningene på et tidligere tidspunkt enn det som har vært praksis gjennom en årrekke. Bransjen mener at dagens regler med forhåndsvarsel vil ivareta og sikre opplysningenes riktighet og at opplysninger om eventuelt oppgjør likevel vil bli fanget opp. Krav mot enkeltpersoner kan i dag ikke brukes i kredittopplysningsvirksomhet før en måned etter at inkassator har sendt stevning eller begjæring om rettslige skritt i saken. I praksis innebærer dette at opplysninger ofte ikke kan benyttes før det har gått 3-4 måneder etter forfall av en fordring. Vi mener derfor at det som over er redegjort for bør begrunne at den foreslåtte begrensningen på en måned erstattes med en kortere tidsperiode. Vi anbefaler at det som gjelder for opplysninger om næringsdrivende også blir hovedregelen for privatpersoner; dvs at også inkassoopplysninger om enkeltpersoner kan benyttes i kredittopplysning en måned etter at inkassator har sendt krav om inndrivelse av gjelden. Vi mener at dette harmonerer både med lovens intensjon og også det som er bakgrunn og begrunnelse for gjeldsopplysningsloven. Det er helt vesentlig at nødvendig informasjon fremkommer så raskt som mulig for å sikre både kredittyter og kredittsøker. Rask mulighet til å benytte inkassoopplysninger i kredittopplysningsvirksomhet vil bidra til at beslutningstaker gis enda bedre informasjon som grunnlag for å vurdere søknader om kreditt fra personer med latente økonomiske utfordringer og dermed vil vårt forslag medvirke til å motvirke uforsvarlig gjeldsbyrde hos den enkelte utover hva som følger av nåværende forslag til paragraf 10. Vi mener videre at kravene om forhåndsvarsel før opplysningene kan benyttes sikrer at det ikke registreres feilaktige opplysninger om fordringer som er gjort opp. Bransjens erfaring er at forhåndsvarselet i realiteten også fungerer som et ekstra purrebrev, og får enkeltpersoner til å gjøre opp for seg. Dette vil også være med å sikre informasjon om de som reelt ikke kan gjøre opp for seg blir forhindret til å ta opp ytterligere lån og forverre sin egen situasjon og slik sett «beskyttes mot seg selv». Utvikling i teknisk mulighet for raskere og enklere utveksle informasjon mellom inkassoselskap og kredittopplysningsselskapet vil i seg selv også begrunne å endre fristen, da opprettelse av informasjon gjøres enklere og raskere og forhindrer unødvendige feilregistreringer. På denne bakgrunn ber vi derfor at om departementet endrer tidspunktet for når inkassoopplysninger om enkeltpersoner kan rapporteres og harmonisere dette med rapportering om næringsdrivende. 11 Omtvistet fordring Denne bestemmelsen oppfatter vi som en ren videreføring av dagens rett, som fungerer og er vel etablert praksis. Det følger imidlertid av praksis fra Datatilsynet at debitor må skriftlig dokumentere at fordringen er omtvistet. Det er helt vesentlig for at kredittopplysningsselskapet skal kunne sperre opplysningene og for å kunne sikre fullstendige og korrekte opplysninger i denne type saker. Vi ber derfor om at dette også fremkommer av bestemmelsen at debitor skriftlig må kunne dokumentere at fordringen er omtvistet.

7 7 15, 3 og 4 ledd Utlevering av opplysninger Det fremkommer av bestemmelsens tredje ledd at det kun er næringsdrivende som kan gis tilgang til direkte søk i en kredittopplysningsbase. Vi ser at med dagens muligheter for sikker identifisering også av privatpersoner, eks BankID, bør også privatpersoner kunne gis tilgang til direkte søk. Dette forutsetter følgelig at vedkommende har «saklig behov» Vi ber derfor departementet om å vurdere om denne begrensningen bør fjernes sett i lys av nye teknologiske identifiseringsmuligheter. Vi ser for øvrig at i bestemmelsens 4. ledd er det falt ut at opplysninger om næringsdrivende også bør kunne utleveres i form av score. Vi ber derfor om at det for næringsdrivende fremkommer at opplysninger både kan utleveres i form av score og rating. 15, 5 ledd - Kredittovervåkning av enkeltpersoner Dagens regel om at kredittovervåkning kun kan omfatte næringsdrivende videreføres også i forslaget til nytt lovverk. Det innebærer at avtaler som går ut på at bestilleren skal få vite det kredittopplysningsforetaket blir kjent med i fremtiden, kun kan gis om næringsdrivende. Dette er i utgangspunktet greit og i tråd med kravet til at det skal foreligge «saklig behov» for å få tilgang til kredittopplysninger. Bransjen ser imidlertid at det innenfor bank- og finanssektoren er et økt press på mer oppfølging av kundeporteføljene til denne sektoren. Kredittopplysningsselskapene mottar derfor stadig henvendelser fra våre kunder innenfor denne sektoren om mulighet for å kunne legge inn overvåkning av også deres privatkunder. Dette for å kunne bidra til at bank- og finansselskaper skal kunne oppfylle lovpålagte plikter om å risikovurderinger av gjeldende kundeporteføljer. På denne bakgrunnen ber derfor bransjen om at departementet nærmere vurdere og gir unntak fra forbudet om kredittovervåkning av enkeltpersoner i alle fall for den delen som gjelder bank- og finanssektorens løpende kundeforhold. 19 Gjenpartsplikt Gjenpartsplikten gjelder når en kredittopplysning blir gitt ut om enkeltpersoner eller enkeltpersonforetak, og er en videreføring av gjeldende rett og vel etablert. Når det gjelder hva som menes med et enkeltmannsforetak bør det imidlertid også her vises til at dette er enkeltmannsforetak som ikke er registrert i Foretaksregisteret, jf slik det er regulert for forhåndsvarsel i 20, 1 ledd. I dagens konsesjoner er det videre unntak fra plikten til å sende gjenpart dersom kredittopplysninger utleveres til banker og finansinstitusjoner for bruk i forbindelse med bankenes risiko- og soliditetsvurderinger. Dette unntaket bør også videreføres i nytt lovverk, da dette er vel etablert praksis og vesentlig informasjon som benyttes i bankenes risikovurderinger.

8 8 20, siste ledd Forhåndsvarsel Dersom det er innsigelser mot registrering av de aktuelle opplysningene skal uoverensstemmelsene avklares før det kan brukes i kredittopplysningsvirksomhet. Det er kredittopplysningsbyrået som har bevisbyrden for at oppliningene som skal brukes er korrekte. For å sikre forsvarlig saksbehandling ber vi også her om at det kreves at den registrerte må bekrefte skriftlig at saken er gjort opp. Dette sikrer mer effektiv saksbehandling og mindre utsettelser for venting på dokumentasjon fra inkassoselskapet. Særskilt innsyn ved utlevering av kredittscore I høringsnotatet side 25 diskuteres og begrunnes hva som skal fremkomme av en gjenpart. Dette er videreføring av dagens konsesjon og vel etablert praksis. Det som fremkommer i forslagets 19 er også helt i tråd med dagens praksis. Bransjen noterer seg ellers at departementet i notatets side 25 viser til at en omspurt også kan henvende seg til kredittopplysningsbyrået og be om innsyn i logikken som ligger til grunn for beregningen av kredittscoren. Her vil det være en grense for hvor langt innsyn kan gis uten at det vil røpe forretningsmessige forhold som ikke kan utleveres. Det som kan gis innsyn i er hvilke opplysninger som ligger til grunn og generelt hvordan dette brukes. Helt konkret om vekting og hva som veier tyngst vil imidlertid være av forretningskritisk og konkurransemessig sensitivt og kan ikke utleveres til enhver. Bransjen ber derfor om at det generelt vises til dette. Vi vil i denne sammenheng også kommentere at forordningens artikkel 15, nr 1 litra.h), som gir den registrerte rett til informasjon om logikken bak en automatisert beslutning, ikke vil omfatter de scoremodeller som utarbeides av kredittopplysningsforetaket. Kredittopplysningsforetaket legger til rette for en automatisert avgjørelse, men den endelige beslutningen gjøres av kundene til kredittopplysningsselskapet. Dette innebærer da videre at det er kredittopplysningsforetakets kunder som er pliktsubjektet etter forordningens art 15 nr 1 litra h, og ikke kredittopplysningsforetaket. Dette er således bakgrunnen for at det i den svenske lovgivningen er regulert at kredittopplysningsforetaket ikke er pliktig til å levere ut informasjonen som ligger bak logikken for scoren. Vi ber om at tilsvarende presisering også tas inn i norsk lovgivning. Avslutning og oppsummering NKF ser frem til videre fremdrift vedrørende regulering av kredittopplysningsvirksomhet, og understreker viktigheten av å få på plass rammene av reguleringen så fort som mulig.

9 9 Dersom det er spørsmål til noe av det som er skrevet over bistår vi gjerne for ytterligere utdyping av våre innspill. For nærmere diskusjoner eller spørsmål kan Therese Fevang Bisnode Norge, telefon eller NKF ved Tore Lia, Bisnode Norge, telefon , kontaktes. Med vennlig hilsen På vegne av NKF Bisnode Norge Experian Credit Safe EVRY