PERSONVERN I FINANSSEKTOREN

CHRISTINE ASK OTTESEN KATRINE BERG BLIXRUD PERSONVERN I FINANSSEKTOREN å GYLDENDAL AKADEMISK

Innhold Introduksjon 19 Innledning 21 DEL I EN GENERELL INNFØRING I PERSONOPPLYSNINGSLOVEN 23 KAPITTEL 1 Rettskildebildet 24 1.1 Personverndirektivet 24 1.2 Personopplysningsloven 25 1.3 Personopplysningsforskriften 25 1.4 Andre relevante rettskilder 25 KAPITTEL 2 Sentrale personvemorganer og personvemombud 27 2.1 Datatilsynet 27 2.2 Personvernnemnda 30 2.3 Personvernkommisjonen 30 2.4 Artikkel 29-gruppen 31 2.5 Personvemombud 31 KAPITTEL 3 Sentrale begreper 34 3.1 Personopplysning 34 3.1.1 Direkte og indirekte identifiserbare personopplysninger 35 3.1.2 Avidentifiserte personopplysninger 38 3.1.3 Pseudonyme personopplysninger 39 3.1.4 Opplysninger som faller utenfor personopplysningsbegrepet 40 3.2 Sensitiv personopplysning 44 3.2.1 Rasemessig eller etnisk bakgrunn. Politisk, filosofisk eller religiøs oppfatning 44 3.2.2 Straffbare handlinger 45 3.2.3 Helseforhold 46 3.2.4 Seksuelle forhold 46 3.2.5 Medlemskap i fagforeninger 47 3.3 Begrepet personopplysning i personverndirektivet 48

1O INNHOLD 3.4 Behandlingsansvarlig 55 3.5 Databehandler 56 3.6 Behandling av personopplysninger 58 3.7 Den registrerte 59 KAPITTEL 4 Personopplysningslovens virkeområde 60 4.1 Saklig virkeområde 60 4.2 Unntak fra det saklige virkeområdet 62 4.2.1 Personlige eller private formål 62 4.2.2 Hensynet til ytringsfriheten 64 4.2.3 Øvrige unntak 68 4.3 Geografisk virkeområde 69 KAPITTEL 5 Behandlingsgrunnlag - tillatt å behandle personopplysninger? 71 5.1 Samtykke 72 5.1.1 Kravtil et gyldig samtykke 72 5.1.2 Formkrav 75 5.1.3 Samtykkekompetanse 76 5.2 Lovhjemmel 77 5.3 Nødvendighetskriteriene 78 5.3.1 Avtale 79 5.3.2 Rettslig forpliktelse 80 5.3.3 Vitale interesser 80 5.3.4 Allmenn interesse 81 5.3.5 Utøvelse av offentlig myndighet 81 5.3.6 Berettiget interesse 81 5.4 Er samtykke hovedregelen? 84 5.5 Tilleggsvilkår for behandling av sensitive personopplysninger 87 KAPITTEL 6 Grunnkrav til behandling av personopplysninger 89 6.1 Behandlingsgrunnlag 89 6.2 Uttrykkelig formålsangivelse som er saklig begrunnet 90 6.3 Bruk til andre formål 92 6.4 Tilstrekkelige og relevante personopplysninger 95 6.5 Korrekte og oppdaterte personopplysninger 97 KAPITTEL 7 Innsynsrett og informasjonsplikt 98 7.1 Retten til innsyn 98 7.1.1 Allmennhetens innsynsrett 99 7.1.2 Den enkeltes innsynsrett 101 7.2 Plikten til å gi informasjon 105 7.2.1 Når inntrer informasjonsplikten - innsamling av opplysninger fra den enkelte 105 7.2.2 Når inntrer informasjonsplikten - innsamling av opplysninger fra andre kilder 107

INNHOLD 11 7.2.3 Sammenslåing av informasjonspliktene i 19 og 20 108 7.2.4 Hva skal det informeres om 108 7.2.5 Hvordan skal informasjonsplikten ivaretas 109 7.2.6 Unntak fra informasjonspliktene 110 7.3 Bruk av personprofiler - utvidet informasjonsplikt 112 7.3.1 Hva er en personprofil 113 7.3.2 Når inntrer informasjonsplikten 113 7.3.3 Hvaskal det informeres om 113 7.4 Unntak fra innsynsretten og informasjonsplikten 114 KAPITTEL 8 Retting og sletting av personopplysninger 116 8.1 Retting 116 8.1.1 Når skal opplysningene rettes 116 8.1.2 Hvordan skal retting skje 118 8.2 Sletting 119 8.2.1 Når skal personopplysninger slettes 119 8.2.2 Unntak fra slettereglene 120 8.2.3 Hvordan slette i praksis 121 KAPITTEL 9 Fødselsnummer og biometri 123 9.1 Fødselsnummer 123 9.1.1 Når kan fødselsnummer behandles 124 9.2 Biometri 127 9.2.1 Når kan biometri behandles 128 KAPITTEL 1O Konsesjons- og meldeplikt 131 10.1 Konsesjonsplikt 131 10.1.1 Unntak fra konsesjonsplikten 133 10.2 Meldeplikt 134 10.2.1 Hvordan det skal meldes 135 10.2.2 Når det skal meldes 135 10.2.3 Begrunnelse for meldeplikten 136 KAPITTEL 11 Sanksjoner 137 11.1 Overtredelsesgebyr 138 11.2 Tvangsmulkt 140 11.3 Straff 141 11.4 Erstatning 143 KAPITTEL 12 Kameraovervåking og lydopptak 146 12.1 Kameraovervåking 147 12.1.1 Når er det lov å kameraovervåke 148 12.1.2 Plikter ved kameraovervåking 150 12.1.3 Overvåking av ansatte 155 12.2 Lydopptak 156

12 INNHOLD 12.2.1 Regler for bruk av lydopptak 157 12.2.2 Typetilfeller av lydopptak 158 12.3 Innsyn i e-post mv 161 12.3.1 Arbeidsgivers rettigheter 163 12.3.2 Prosedyrer ved innsyn 165 12.3.3 Sletting av personopplysninger ved opphør av arbeidsforholdet 167 12.3.4 Adgang til å fravike bestemmelsene 169 KAPITTEL 13 Direkte markedsføring 170 13.1 Ny markedsføringslov - konsekvenser 171 13.2 Supplerende regler i personopplysningsloven 175 KAPITTEL 14 Overføring av personopplysninger til utlandet 179 14.1 Innledning 179 14.2 Overføringsbegrepet 180 14.3 Hovedregelen 185 14.3.1 Overføring i EU/EØS 185 14.3.2 Stater godkjent av EU-kommisjonen 186 14.3.3 Forsvarlig behandling 187 14.4 Unntaksbestemmelsene 188 14.4.1 Samtykke til overføringen 189 14.4.2 Nødvendigfor oppfyllelse av en avtale 191 14.4.3 Avtale med tredjeperson 192 14.4.4 Fastsette, gjøre gjeldende eller forsvare et rettskrav 193 14.4.5 Oppsummering av unntakene i 30 første ledd 195 14.5 Garantier fra den behandlingsansvarlige 195 14.5.1 EU-kommisjonens standardavtaler 196 14.5.2 Binding corporate rules 198 14.6 Safe Harbor 201 14.7 Særskilt om melde- og konsesjonsplikt 202 KAPITTEL 15 Internkontroll og informasjonssikkerhet 204 15.1 Innledning 204 15.2 Internkontroll 205 15.2.1 Hva er internkontroll? 205 15.2.2 Styrende del 206 15.2.3 Gjennomførende del 207 15.2.4 Kontrollerende del 208 15.2.5 Revisjon av internkontrollen 210 15.2.6 Et eksempel - den allmenne innsynsretten 210 15.2.7 En tilgjengelig internkontroll 211 15.2.8 Internkontroll hos databehandleren 212 15.3 Informasjonssikkerhet 213 15.3.1 Hva er informasjonssikkerhet? 213 15.3.2 Om konfidensialitet, integritet og tilgjengelighet 214

INNHOLD 13 15.3.3 Forholdsmessighet og krav fra Datatilsynet 215 15.3.4 Sikkerhetsmål og - strategi, ledelsens gjennomgang 216 15.3.5 Risikovurdering 216 15.3.6 Avvikshåndtering og sikkerhetsrevisjon 219 15.3.7 Organisering, personell og taushetsplikt 220 15.3.8 Fysisk sikring 220 15.3.9 Sikkerhetstiltak 220 15.3.10 Dokumentasjon 221 15.3.11 Andre virksomheter 222 15.3.12 Svakheter i finanssektoren 222 DEL II KREDITTOPPLYSNING 225 KAPITTEL 1 Kredittopplysningsvirksomhet 226 1.1 Rettskildebildet 227 1.2 Begrepet kredittopplysning 230 1.3 Skillet mellom næringsdrivende og enkeltperson 231 KAPITTEL 2 Kredittopplysningsforetaket - leverandøren av opplysninger 235 2.1 Kredittopplysningsvirksomhet 236 2.2 Unntak fra reglene om kredittopplysningsvirksomhet 237 2.3 Konsesjonsplikt 241 2.4 Standardkonsesjon til å drive kredittopplysningsvirksomhet 245 2.5 Hvilke kilder kan det innhentes opplysninger fra 246 2.5.1 Hvordan kan opplysningene hentes fra kildene? 249 2.6 Opplysninger det er adgang til å registrere 249 2.6.1 Grunndata 249 2.6.2 Opplysninger om enkeltpersoner 251 2.6.3 Opplysninger om næringsdrivende 255 2.6.4 Særlig om betalingsanmerkninger 257 2.6.5 Særlig om bruk av rating og risikoprofiler 265 2.7 Opplysninger det eksplisitt ikke er adgang til å registrere 268 2.7.1 Opplysninger om tidligere forespørsler 269 2.7.2 Sensitive opplysninger 269 2.8 Korrekte og oppdaterte opplysninger 270 2.9 Retting av opplysninger 272 2.10 Sletting av opplysninger 273 2.10.1 Slettefrist for oppgjorte fordringer 273 2.10.2 Slettefrist for opplysninger som ikke er oppgjorte 275 2.10.3 Særlige slettefrister 277 2.11 Forhåndsvarsel 279 2.11.1 Hvem forhåndsvarsel skal sendes til og hva det skal inneholde 282 2.11.2 Når skal forhåndsvarsel sendes og når er det mottatt 283 2.11.3 Unntak fra plikten til å sende forhåndsvarsel 284

14 INNHOLD 2.12 Utlevering av kredittopplysninger 285 2.12.1 Hvem kan det utleveres kredittopplysninger til - kravet til saklig behov 285 2.12.2 Hvordan utleveringen kan skje 288 2.12.3 Loggføringsplikt for utleveringen 292 2.13 Plikten til å sende gjenpartsbrev 292 2.13.1 Hvem skal gjenpartsbrevet sendes til 293 2.13.2 Når skal gjenpartsbrevet sendes 294 2.13.3 Krav til gjenpartsbrevets innhold 295 2.13.4 Hvordan skal gjenpartsbrevet sendes 297 2.13.5 Unntak fra plikten til å sende gjenpartsbrev 297 KAPITTEL 3 Etterspørrer - den som innhenter kredittopplysninger 300 3.1 Hvem kan innhente kredittopplysninger - kravet til saklig behov 300 3.1.1 Fra romslig til streng tolkning av kravet til saklig behov? 302 3.1.2 Hva innebærer kravet til saklig behov 304 3.1.3 Kan et samtykke avhjelpe manglende grunnlag for kredittvurdering?.. 307 3.1.4 Eksisterer det en beløpsgrense for innhenting av kredittopplysninger?. 307 3.1.5 Tidspunkt for innhenting av kredittopplysning 308 3.1.6 Hvem kan kredittvurderes 309 3.2 Praksis 312 3.2.1 Rettslige skritt 312 3.2.2 Ansettelse 313 3.2.3 Teleselskaper 314 3.2.4 Leietakere og andelshavere 316 3.2.5 Oppdatering og innhenting av informasjon 318 3.2.6 Journalistisk virksomhet 320 3.2.7 Konkurrenter 321 3.2.8 Som kilde for inntektsopplysninger 322 3.2.9 Kredittvurdering ved åpning av brukskonto 323 3.2.10 Produktet overvåking 324 3.3 Behandlingsgrunnlag for bruk av kreditopplysninger 325 3.4 Informasjonsplikt 327 3.5 Plikt til å gi innsyn, samt redegjøre for det saklige behovet 328 3.5.1 Advokater som kredittvurderer på vegne av etterspørrer 329 3.6 Innhenting av kredittopplysninger over internert 330 3.7 Utlevering av kredittopplysninger over disk 331 3.8 Utlevering av kredittopplysninger til andre 331 3.9 Sletting av kredittvurderinger 332 3.10 Relevante kredittopplysninger 334 KAPITTEL 4 Omspurte - den som blir kredittvurdert 335 4.1 Retttil innsyn 335 4.1.1 Innsyn i hvem det er utlevert kredittopplysninger til 336 4.2 Kredittvurdering av seg selv 337 4.3 Retten til å sperre seg selv mot kreditt 340

INNHOLD 15 4.4 Korrigering og sletting av kredittopplysninger 340 4.5 Erstatning 341 KAPITTEL 5 Sentralt gjeldsregister 343 DEL III BANK 347 KAPITTEL 1 Innledning 348 1.1 Rettskildebildet 348 1.2 Konsesjonsregulering 350 1.3 Tilsynsprosjekter 352 KAPITTEL 2 Generelle regler for bank 354 2.1 Krav til behandlingsgrunnlag 354 2.1.1 Lovhjemlet behandling av kundeopplysninger 355 2.1.2 Samtykkebasert behandling av kundeopplysninger 355 2.1.3 Behandling av kundeopplysninger basert på avtale 356 2.1.4 Behandling av kundeopplysninger for å forsvare et rettskrav 357 2.1.5 Behandling av kundeopplysninger etter en interesseaweining 357 2.2 Kunders retttil innsyn 357 2.2.1 Innsyn i elektroniske oppslag 358 2.2.2 Krav til innsynsbegjæringen og gjennomføring av innsynet 360 2.2.3 Unntak fra plikten til å gi innsyn i oppslag 361 2.3 Bankens informasjonsplikt 362 2.3.1 Swiftsaken 364 2.4 Sletting av opplysninger 365 2.4.1 Sletteregler 365 2.4.2 Sletting og bruk av kundeopplysninger til andre formål 369 2.4.3 Praksis 369 2.5 Tilgangsbegrensninger 372 2.5.1 Tilsynsprosjektene 2006 372 2.5.2 Regulering i nåværende og ny bankkonsesjonen 373 2.6 Utlevering av personopplysninger 376 2.6.1 Generelt om utlevering 376 2.6.2 Utlevering til et konsernkunderegister 378 2.7 Opplysningskvalitet 384 2.7.1 Personregisterforskriften 2-4 385 2.7.2 Praksis 388 KAPITTEL 3 Særlige forhold for bank 390 3.1 Markedsføring 390 3.1.1 Regulering i konsesjon 391 3.1.2 Definisjon av markedsføring og kundepleie 392 3.1.3 Markedsføring rettet mot egne kunder 393

16 INNHOLD 3.1.4 Markedsføring rettet mot konsernkunder 396 3.1.5 Bruk av personprofiler 397 3.2 Fjernsynsovervåking 398 3.3 Risikoklassifisering 401 3.3.1 Forholdet til personopplysningsloven 403 3.3.2 Regulering i konsesjon 405 3.3.3 Utlevering fra kredittopplysningsforetakene 407 3.3.4 Sletting 407 3.3.5 Tilgangsbegrensning 409 3.3.6 Informasjonsplikt 410 3.4 Kunders mislighold 410 3.5 Behandling av opplysninger om misbruk 411 3.6 Bruk av fødselsnummer og biometri 413 DEL IV INKASSO 415 KAPITTEL 1 Innledning 416 1.1 Tilsynsprosjektet mot inkassobransjen 417 1.2 Bransjenormen 419 KAPITTEL 2 Konsesjons- eller meldeplikt 421 KAPITTEL 3 Behandlingsansvar 423 KAPITTEL 4 Grunnkrav og behandlingsgrunnlag 426 4.1 Innsamling av personopplysninger om skyldneren 426 4.1.1 Innsamling av opplysninger fra fordringshaver 427 4.1.2 Innsamling av opplysninger fra skyldneren 427 4.1.3 Innsamling av opplysninger fra leverandører 429 4.2 Utlevering av personopplysninger om skyldneren 429 4.2.1 Utlevering av opplysninger til fordringshaveren 430 4.2.2 Utlevering av opplysninger til kredittopplysningsforetak 432 4.2.3 Utlevering av opplysninger til et annet inkassoselskap 436 4.2.4 Utlevering av opplysninger til øvrige 437 4.3 Oppdaterte og korrekte opplysninger 438 KAPITTEL 5 Innsyn 440 5.1 Den enkeltes innsynsrett 440 5.2 Ektefellers og samboeres innsynsrett 442 5.3 Fordringshaveres krav på innsyn 442 5.4 Publikums generelle innsynsrett 442

INNHOLD 17 KAPITTEL 6 Informasjonsplikt 444 6.1 Når personopplysninger samles inn fra skyldneren 444 6.2 Når personopplysninger samles inn fra andre enn skyldneren 445 KAPITTEL 7 Sletting 447 7.1 Sletteregler i bransjenormen 448 7.1.1 Regnskapsmateriale 449 7.1.2 Ordinære inkassokrav 449 7.1.3 Offentlige krav 450 7.1.4 Krav fra bank- finansvirksomhet 450 7.1.5 IFRS 451 7.1.6 Rutiner for sletting 452 KAPITTEL 8 Bruk av kredittvurderinger 453 8.1 Kredittvurdering av skyldneren 454 8.1.1 Registrering av nytt inkassokrav 454 8.1.2 For å vurdere om rettslig skritt skal igangsettes 455 8.1.3 Oppdatering av kontaktopplysninger 456 8.2 Utsendelse av gjenpartsbrev 457 8.3 Videreformidling av kredittopplysninger 459 Vedlegg: Hvordan forberede seg til tilsyn? 461 Litteratur 463 Forarbeider 464 Saksregister Stikkord 471