Kredittopplysningsbyrå AS Deres referanse Vår referanse (bes oppgitt ved svar) Dato 11/00252-8/MHN 30. november 2011 Oversendelsesbrev ny kredittopplysningskonsesjon Det vises til kredittopplysningskonsesjonen datert 1. mars 2006 samt oversendelsesbrev om endringer i kredittopplysningskonsesjonen av 2. mars 2009, som ble gitt oppsettende virkning. 1. Bakgrunn Datatilsynet sendte ut oversendelsesbrev med endringer i kredittopplysningskonsesjonen samt ny konsesjon til samtlige kredittopplysningsbyråer 2. mars 2009. Det var da blitt foretatt flere endringer i konsesjonen av 2006. Bakgrunnen for endringene var flere konkrete saker som hadde vært til behandling i Datatilsynet og Personvernnemnda. Konsesjonen ble påklaget av selskapene som var medlem i Norske kredittopplysningsbyråers forening (NKF). Klagen ble gitt oppsettende virkning. Datatilsynet har siden 2009 vært i dialog med Norske kredittopplysningsbyråers forening for å få på plass ny konsesjon for kredittopplysningsbyråenes behandling av personopplysninger. NKF leverte skriftlige innspill med konkrete endringsforslag til utkastet til konsesjon som forelå, jf. brev av 3. mars 2011. Dette brevet samt søknad om utvidelse av konsesjonen av 11. februar 2009 ble diskutert i møte av 7. juni 2011. Revidert utkast til ny konsesjon ble sendt til NKF 24. september 2011. NKF sendte ytterligere kommentarer i brev av 18. oktober 2011. NKF har gjennom skriftlige innspill samt konkrete søknader kommet med flere endringsforslag til konsesjonen, hvorpå en del av forslagene innebærer en betydelig utvidelse av dagens konsesjon. Datatilsynet har funnet å kunne imøtekomme en rekke av NKFs innspill, men på enkelte punkter har tilsynet kommet til at det ikke kan gis en utvidelse i tråd med det omsøkte. Postadresse: Kontoradresse: Telefon: Telefaks: Org.nr: Hjemmeside: Postboks 8177 Dep Tollbugt 3 22 39 69 00 22 42 23 50 974 761 467 www.datatilsynet.no 0034 OSLO
2. Inntatte endringer Datatilsynet har som nevnt etterkommet en rekke av innspillene fra NKF, primært fremsatt i brev av 3. mars 2011. Disse vil gjennomgås summarisk i det følgende. I. Utvidelse av punkt 1.1.1 Konsesjon av 2. mars 2009 inneholdt i underpunkt 2 kategorien kontaktopplysninger. I ny konsesjon er dette punktet endret. Det kreves samtykke fra den registrerte for å registrere øvrige kontaktopplysninger, eksempelvis e-postadresse, fra den registrerte når denne er en enkeltperson. Tilsvarende krav gjelder ikke for næringsdrivende. Det poengteres imidlertid at utsendelse av gjenpartsbrev per e-post eller annen elektronisk forsendelse krever forhåndssamtykke fra både enkeltpersoner og næringsdrivende, jf. punkt 2.3 med merknader. Utvidelse av punkt 1.1.1 nr. 8, jf. merknad fra NKF i brev av 3. mars 2011. Ny ordlyd: Offentlig tilgjengelige grunndata om enheten, jf. enhetsregisterloven 5 og 6, innhentet fra Brønnøysundregistrene, annet offentlig register eller fra den registrerte selv Endring og utvidelse av tidligere punkt 1.1.1 nr. 8 som anga foretakets status (aktivt/slettet) som kilde. Endret til: 10. status om foretaket som kunngjøres av Brønnøysundregistrene 11. status om enkeltpersoner angitt i Folkeregisteret Enkelte endringer av merknadene. II. Flytting av punkt - kredittvurderingen Flytting av kredittvurderingen fra 1.1.2 til punkt 1.1.3.2 da punktet passer bedre under overskriften Kredittopplysninger som er innsamlet fra kilder som ikke er offentlig tilgjengelige. III. Omformulering av punkt 1.1.3.1 Ordlyden frivillig registrering av kredittvarsel er endret til frivillig registrering av sperre mot kredittvurdering. IV. Omformulering og utvidelse av punkt 1.2 Statens Kartverk er lagt inn på listen over kilder sammen med Norsk Eiendomsinformasjon, jf. punkt 1.2 nr. 2. 2
Omformulering av punkt 1.2 nr. 13, fra teleselskaper og offentlige tilbydere av kontaktinformasjon til teleselskaper og offentlig tilgjengelige adressedistributører, jf. merknad fra NKF i brev av 3. mars 2011. Lagt til sperreregister som kilde, jf. punkt 1.2 nr. 14. V. Tillegg i punkt 1.3 inkassoopplysninger Ny overskrift og punktmarkering i 1.3.1. Det vises i sin helhet til oversendelsesbrev av 2. mars 2009 punkt 5. NKF har ikke kommet med merknader til dette punktet. VI. Endring i punkt 1.5 Angivelsen av (daglig leder/styreleder) er fjernet fra punkt 1.5, men lagt til i merknadene til punkt 1.5 hvor det fremgår at: Nøkkelpersoner vil som hovedregel avgrenses til daglig leder, styreleder eller hovedaksjonær VII. Endring av punkt 2 foretakets utsendelser til den registrerte Nytt punkt 2.2 og 2.3 som omhandler plikten til å sende gjenpartsbrev samt krav til forsendelsesmåte. Det åpnes for at e-post eller annen elektronisk forsendelse kan benyttes etter et samtykke fra den registrerte. En slik løsning forutsetter imidlertid at kravene til informasjonssikkerhet er ivaretatt. NKF har ikke kommet med merknader til dette punktet. VIII. Omstrukturering og endring av punkt 3 I forbindelse med ny forskrift om utvidet registrering av utleggsforretninger i Løsøreregisteret, utleggsregistreringsforskriften, av 19. februar 2008 nr. 158 ble det i oversendelsesbrevet av 2. mars 2009 punkt 3 gjort unntak fra forhåndsvarsling ved utvidet registrering av utleggsforretninger. NKF har kommet med innspill til endringer og det er nå tatt inn et nytt punkt som har fått følgende ordlyd: Plikten til forhåndsvarsling gjelder heller ikke i forbindelse med innhenting av opplysninger om utlegg og innhenting av opplysninger om utleggsforretning og andre tvangsforretninger når varsel om slik innhenting er gitt i forbindelse med utsendelse av namsboken. NKF har videre spilt inn til punkt 3.1 første avsnitt at Forhåndsvarsel til enkeltpersonsforetak bør avgrenses til enkeltpersonforetak som ikke er registrert i Foretaksregisteret. Bakgrunnen for endringen fra 2006 til 2009 er omtalt i oversendelsesbrev av 2. mars 2009 punkt 5, hvorpå endringen ble inntatt for at konsesjonen skulle samsvare med praksis, jf. NKFs redegjørelse 3
for praktiseringen av vilkåret av 11. juli 2008. NKF har senere redegjort for dagens praksis, som Datatilsynet finner tilfredsstillende. Av denne grunn anmodningen om endring etterkommes. Ny ordlyd blir da: Forhåndsvarsel skal sendes til alle enkeltpersoner og enkeltpersonsforetak som ikke er registrert i Foretaksregisteret. Nytt krav til at dato skal fremkomme, jf. nr. 3. Dette er ikke kommentert av NKF. Unntak fra gjenpartsplikt når kredittopplysninger utleveres til banker og finansieringsinstitusjoner for bruk i forbindelse med bankenes risiko- og soliditetsvurderinger, jf. brev fra NKF av 3. mars 2011. NKF har bedt om tilsvarende unntak med hensyn til forespørsler fra inkassobyråene i forbindelse med porteføljevask og ved vurdering og inndriving av krav. Etter Datatilsynets oppfatning er imidlertid dette dekket av dagens punkt 3.2 hvor det fremgår at: Plikten til å sende gjenpart ved utlevering av kredittopplysninger til et inkassobyrå gjelder kun første gang debitor kredittvurderes, og senere dersom det påføres nye kredittopplysninger i en konkret sak. Unntak fra plikten til å sende gjenpart gjelder ved utlevering av kontaktopplysninger som har til hensikt å sikre god datakvalitet. Videre vises det til merknader til punkt 1.1.3.1.3. Se for øvrig Datatilsynets oversendelsesbrev av 2. mars 2009 punkt 1. 1 IX. Nytt punkt 4 informasjon til kunden Nytt punkt 4 om informasjon til kunden som omhandler krav til saklig behov og informasjon om sperre mot kredittvurdering. Dette er ikke kommentert av NKF. X. Flytting av punkt om sperre mot kredittvurdering Flyttet fra tidligere punkt 3.3. XI. Flytting av punkt Salg av bransjeanalyser Punktet Salg av bransjeanalyser er flyttet fra punkt 3.3 til punkt 5. Det vises i sin helhet til oversendelsesbrevet av 3. mars 2009 punkt 4. NKF har ikke kommet med merknader til dette punktet. XII. Presisering av merknader om Utlevering Presisering om at begrensninger med hensyn til bruk av flervalgslister kun gjør seg gjeldende ved søk på enkeltpersoner, jf. merknad fra NKF i brev av 3. mars 2011. 1 Jf. DT 05/01582 4
3. Søknader om endringer og utvidelser av konsesjonen Datatilsynets kommentarer NKF har gjennom skriftlige innspill samt konkrete søknader kommet med flere endringsforslag til konsesjonen. Datatilsynet har etterkommet en rekke av NKFs innspill, som er gjennomgått over. Etter gjennomgangen gjenstår fire punkter som Datatilsynet ikke har funnet grunnlag for å imøtekomme. Samtlige punkter vil innebære en utvidelse av dagens konsesjon. Tilsynet vil i det følgende komme med en begrunnelse for avslag på omsøkte utvidelser. I. Utvidet lagring av betalte fakturaer punkt 1.1.3.2 nr. 9 Kredittopplysningsbyråene kan i henhold til konsesjonen registrere informasjon om betalte fakturaer. Rammene for dette er nærmere beskrevet i merknadene til punkt 1.1.3.2, hvor det står at: Den enkelte faktura skal ikke presenteres. Opplysninger om betalte fakturaer skal presenteres som statistikk, og kan gi informasjon om punktlig betaling, og informasjon om betaling hvor betalingsfristen er oversittet. Betaling før forfall kan ikke registreres. For at slike opplysninger skal kunne bearbeides og fremlegges som kredittopplysninger, må minst to kreditorer ha meldt inn slike opplysninger om den registrerte, og det må til sammen være rapportert inn opplysninger om minst ti betalte fakturaer i løpet av de siste tolv månedene. Informasjon om fakturaer kan ikke omfatte fakturaer som ikke er betalt i rett tid, dersom dette skyldes motregning, omtvistede poster, krediterte eller på annen måte annullerte poster, tapsførte poster eller annet som gjør at fakturaen ikke er godtatt. Slike opplysninger kan ikke registreres om enkeltpersonsforetak, som ikke er registrert i foretaksregisteret. Det fremgår blant annet at det ikke kan registreres opplysninger om betaling før forfall. NKF har fremmet forslag til endring av disse rammene. NKF anfører at det i alle fall bør være anledning til å registrere fakturaer betalt per forfallsdato. Denne type opplysninger kan ikke ha annet enn positiv betydning for den registrerte, og bidrar til å vise forholdet mellom rettidig betalte og for sent betalte fakturaer, hvilket gir et mer balansert bilde enn bare opplysninger om for sent betalte fakturaer uten opplysninger om helhetsbildet. Videre ville det, etter de samme retningslinjer som er angitt for fakturahistorikk ellers, være relevant å kunne registrere opplysninger om fakturaer som er forfalt, men ikke betalt, for senere å oppdatere med dato for faktisk betaling (som man har anledning til å registrere etter denne bestemmelsen i dag). Etter Datatilsynets vurdering skal det være snevre rammer for å registrere denne type opplysninger. Det er strenge regler for på hvilke vilkår og på hvilket tidspunkt 5
betalingsmislighold kan registreres, og en utvidelse på dette punktet kan medføre en uthuling av dette vernet. Tilsynet har videre vanskeligheter med å se at registrering av fakturaer betalt per forfallsdato utelukkende vil medføre positive konsekvenser for den registrerte, da mangelfull betaling per forfallsdato etter alt å dømme vil slå negativt ut for den enkelte. II. Registrering av hjemmelshaver til fast eiendom punkt 1.2 nr. 2 NKF har søkt om anledning til å registrere opplysning om at en person er registrert som hjemmelshaver til fast eiendom. Det vises til at det er ønskelig å registrere at den registrerte er eier av fast eiendom. Det er ikke påkrevet med informasjon om eiendommen, formuesverdi eller lignende, men selve opplysningen om at man faktisk er registrert som hjemmelshaver til fast eiendom (som en ja/nei opplysning) vil i seg selv ha positiv betydning for den registrerte. Datatilsynet legger til grunn at en eventuell registrering av hvem som er hjemmelshaver for fast eiendom vil medføre positive konsekvenser for disse personene, og nødvendigvis en tilsvarende negativ konsekvens for øvrige. Tilsynet kan ikke se behovet for å registrere denne opplysningstypen og vil ikke endre konsesjonen på dette punkt. III. Registrering av opplysninger om tidligere forespørsler punkt 1.6 NKF har søkt om å utvide konsesjonen med adgang til å benytte opplysninger om tidligere forespørsler. Det vises til at kredittopplysningsbyråene mener at tidligere forespørsler om kredittopplysninger vil bidra til ytterligere å styrke treffsikkerheten i kredittvurderingene. Videre argumenteres det med at erfaringer fra andre land, herunder Storbritannia og Sverige, viser at dette er en av de sterkeste variablene, noe som underbygges med tall og praksis fra de respektive land i brev av 3. mars 2011. Datatilsynet erkjenner at en slik opplysning vil kunne være egnet til å belyse kredittverdighet, og at opplysningen av denne grunn kan klassifiseres som en relevant opplysning, jf. personopplysningsloven 11 bokstav d. Formålet med å foreta en kredittvurdering er å gi et øyeblikksbilde av kredittverdigheten til en person, som kun kan foretas når det foreligger saklig behov typisk ved avtaleinngåelse. Når formålet er oppfylt skal opplysningene slettes, jf. personopplysningsloven 28. Det følger av personopplysningsforskriften 4-4 at i tillegg til gjenpartsplikten kan den registrerte også kreve å få opplyst hvilke kredittopplysninger som er gitt om vedkommende de siste seks måneder, hvem disse er gitt til og hvor de er innhentet fra. En eventuell lagring av opplysningen til et nytt formål som anses uforenlig med det opprinnelige formålet krever et samtykke fra den registrerte, jf. personopplysningsloven 11c. Datatilsynet er av den oppfatning at en eventuell bruk av kredittvurderingen som en parameter i kredittvurderingen vil være et nytt formål som krever behandlingsgrunnlag i personopplysningsloven 8 jf. 11. 6
Det vises for øvrig til brev fra Justisdepartementet av 28. august 1991 2, hvor det er lagt til grunn at det ikke er anledning til å utgi opplysninger om antall forespørsler i kredittopplysningsvirksomhet. Det legges til grunn at: Selv om den anførte statistiske undersøkelse viser at hyppige søknader om lån eller kreditt kan være et tegn på svak betalingsevne, finner departementet det lite betryggende å benytte en slik statistisk tendens som kriterium i en konkret vurdering av enkelttilfeller. Datatilsynet tolker dette vedtaket dit hen at denne type opplysninger heller ikke kan benyttes som underlagsopplysning ved beregning av scoring eller risikoprofiler. IV. Bruk av opplysninger om tidligere adresser i kredittvurderingen NKF har søkt om adgang til å benytte opplysninger om tidligere adresser i kredittvurderingen. Etter tidligere konsesjon har det vært adgang til å registrere opplysninger om navn/firmanavn og kontaktopplysninger, jf. punkt 1.1.1 nr. 1 og 2. Datatilsynet mottok en klage på at et kredittopplysningsforetak benyttet historiske adresser som variabel i kredittvurderingen, jf. DT 06/01787. Tilsynet konkluderte med at kredittopplysningskonsesjonen ikke tillater registrering av tidligere adresser eller navn. NKF opplyste at tidligere adresser benyttes til tre formål: 1. For å etablere unike treff ved enkeltoppslag i kredittopplysningsdatabasen 2. Ved ajourføring av inkassobyråenes porteføljer 3. Som en eller flere variabler i forbindelse med en kredittvurdering Datatilsynet aksepterte formål nummer 1 og 2, men ikke formål nummer 3, og saken ble påklaget til Personvernnemnda. Merknadene til kredittopplysningskonsesjonen punkt 1.1.1 nr. 1 og 2 er endret i tråd med Personvernnemndas avgjørelse, jf. PVN 2008-4, og tilsynets saksbehandling i sak DT 06/01787: Tidligere og nåværende adresser kan ikke benyttes som ledd i kredittvurderingen, herunder i risikoklassifiseringen. Dette gjelder også antall ganger en person eller næringsdrivende har flyttet. Den samme begrensningen gjelder for navn. Det vises til PVN 2008-04 hvor Personvernnemnda uttaler at: når adresse er klassifisert under kontaktopplysninger, så må dette bety at det bare er nåværende adresse som er en korrekt og relevant opplysning. Etter nemndas syn er det en rimelig tolkning av konsesjonen at adresse bare skal brukes til kontakt, ikke som variabel i kredittvurdering. Konsekvensen av dette er at adresseopplysninger skal oppdateres med en gang de endres, jf personopplysningsloven 11bokstav e og 28. Som kilde kan kredittopplysningsforetaket bruke Folkeregisteret, jf konsesjonens pkt 1.2 nr. 6. Personopplysninger skal være korrekte og oppdaterte, og når formålet for 2 Sak Jnr. 3202/91 A-J1 EFA/ske. 7
lagring av adresse er kontakt, finnes det etter nemndas syn ingen hjemmel, verken i nåværende konsesjon eller loven, for å lagre gamle adresser. Tidligere adresser og navn kan imidlertid lagres i fire år i henhold til slettefristen i konsesjonens punkt 6.1 og benyttes for å etablere unike treff ved enkeltoppslag i kredittopplysningsdatabasen. Det samme gjelder i forbindelse med ajourføring av inkassobyråenes porteføljer. Slik bruk av historiske adresser er bare aktuelt der den som foretar en kredittvurdering ikke har adgang til å benytte fødselsnummer ved søk i kredittopplysningsdatabasen, jf. personopplysningsloven 12. Det er gjort enkelte endringer knyttet til dette punktet i ny konsesjon, jf. over, uten at disse er ment å medføre realitetsendringer. Se for øvrig Datatilsynets oversendelsesbrev av 2. mars 2009 punkt 2. 4. Avsluttende merknader Det følger av konsesjonens punkt 7 at Datatilsynet kan gi nye og endrede vilkår når det er nødvendig ut fra personvernhensyn. En omgjøring av konsesjonen må følge forvaltningslovens regler. Datatilsynet er av den oppfatning at de omtalte endringene kan gjøres i medhold av forvaltningslovens samt personopplysningslovens regler. Ny konsesjon med merknader er vedlagt dette brevet. Tilsynet antar at kredittopplysningsforetakene har behov for å kunne tilpasse seg endringene, og gir derfor den nye konsesjonen virkning fra 1. april 2012. Omgjøringsvedtaket anses tilfredsstillende varslet, jf. forvaltningsloven 16, ettersom det enkelte kredittopplysningsforetak gis tid til å innrette seg etter vedtaket, i tillegg til at sakene allerede er kjent for foretakene gjennom tilsynets saksbehandling. En eventuell klage på avslag på omsøkte utvidelser kan i tråd med forvaltningsloven kapittel VI rettes til Datatilsynet. Klagen vil da oversendes Personvernnemnda for behandling. Klagen må fremsettes innen tre uker fra mottak av dette brev. Med hilsen Kim Ellertsen avdelingsdirektør Mari Hersoug Nedberg seniorrådgiver Vedlegg: Ny kredittopplysningskonsesjon med tilhørende merknader Oversendelsesbrev endringer i kredittopplysningskonsesjonen av 2. mars 2009, jf. DT 05/00694-1 8