Prop. 139 L

(2018–2019)
Proposisjon til Stortinget (forslag til lovvedtak)

Lov om behandling av opplysninger i kredittopplysningsvirksomhet (kredittopplysningsloven)

Tilråding fra Kommunal- og moderniseringsdepartementet 13. september 2019, godkjent i statsråd samme dag. (Regjeringen Solberg)

Dokumentet på regjeringen.no

1 Proposisjonens hovedinnhold

Kommunal- og moderniseringsdepartementet foreslår i denne proposisjonen en ny lov om behandling av opplysninger i kredittopplysningsvirksomhet. Bestemmelsene vil gjelde som supplement til den generelle personopplysningsloven for så vidt gjelder behandling av personopplysninger, og vil inneholde sektortilpasset regulering innenfor det generelle personvernregelverkets rammer. Hensikten er å ivareta personvernet samtidig som det legges til rette for et velfungerende kredittopplysningsmarked. Loven skal også sette rammer for behandling av opplysninger om juridiske personer i kredittopplysningsvirksomhet.

Departementets forslag til bestemmelser skal erstatte bestemmelsene om behandling av både person- og næringsopplysninger i kredittopplysningsvirksomhet slik de fremkommer i forskrift om behandling av personopplysninger 15. desember 2000 nr. 1265 kapittel 4 og konsesjoner gitt i medhold av forskriften § 4-5. Disse reglene gjelder, jf. overgangsregler om behandling av personopplysninger fastsatt ved kgl.res. 15. juni 2018, inntil videre.

Proposisjonen er delt i 20 kapitler. Kapittel 2 gir en kort omtale av bakgrunnen for lovforslaget. I kapittel 3 drøftes behovet for å fastsette nasjonale særregler om behandling av opplysninger i kredittopplysningsvirksomhet, og hvilket handlingsrom personvernforordningen gir for særregulering av disse behandlingene. I denne sammenheng gis også en kort oversikt over rettstilstanden i noen av våre naboland. Kapittel 4 omhandler lovens saklige og geografiske virkeområde. I dette kapittelet finnes blant annet en vurdering av om, og i hvilket omfang, regelverket bør omfatte behandling av kredittopplysninger om juridiske personer. I kapittel 4 drøftes også grensen mellom fysisk og juridisk person med vekt på hvordan behandling av kredittopplysninger om enkeltpersonforetak skal reguleres.

Kapittel 5 omhandler formålet med regelverket. Hvilke opplysningstyper som kan behandles i kredittopplysningsvirksomhet og hvilke kilder disse kan hentes fra, omtales i kapittel 6 og 7. I det vesentlige videreføres gjeldende rett på dette området. Det foreslås en overordnet angivelse av opplysningstyper i lovutkastet, med mulighet for spesifisering i forskrift. Oversikten over lovlige kilder opplysninger kan hentes fra, er noe mer detaljert angitt i lovutkastet. Samlet gir dette både forutsigbarhet og fleksibilitet. Kapitlene understreker den behandlingsansvarliges ansvar for at de opplysningene som behandles i kredittopplysningsvirksomheten er korrekte. Kapittel 8 og 9 omhandler utlevering av kredittopplysninger, herunder til hvem og hvordan opplysninger kan utleveres. I kapittel 8 finnes blant annet en drøfting av det sentrale begrepet «saklig behov» som ligger til grunn for all utlevering av kredittopplysninger, samt en drøfting av pressens tilgang til kredittopplysninger.

I kapittel 10 drøftes spørsmål knyttet til registrering av frivillig sperre mot utlevering av kredittopplysninger, og det anbefales å videreføre gjeldende adgang til å registrere frivillig kredittsperre både for fysiske og juridiske personer. Her omtales også behovet for et sentralt register for registrering av kredittsperre. Kapittel 11 redegjør for viktige rettigheter som retten til innsyn og informasjon, samt hvordan informasjonen skal gis til de registrerte. Forslaget bygger på reglene om innsyn og informasjon i personvernforordningen, og viderefører i det vesentlige gjeldende regler om innsyn og informasjon i kredittopplysningsvirksomhet. I kapittel 12 omtales lagringstid og sletting av opplysninger. Også på dette området går departementet inn for, i det vesentlige, å videreføre gjeldende rett.

Kapitlene 13 til 16 omhandler temaer som informasjonssikkerhet, den behandlingsansvarliges ansvar, Datatilsynets kompetanse, reaksjoner ved overtredelse av bestemmelsene og klageadgang. I kapittel 17 redegjøres det for gyldigheten av konsesjoner gitt i medhold av personopplysningsloven 2000, mens kapittel 18 inneholder vurdering av økonomiske, administrative og personvernmessige konsekvenser ved lovforslaget. I kapittel 19 omtales behov for enkelte endringer i annen lovgivning som følge av lovforslaget. Kapittel 20 inneholder særmerknader til de enkelte bestemmelsene.

2 Bakgrunn for lovforslaget

2.1 Kort om kredittopplysningsvirksomhet

Kredittopplysninger er opplysninger som gir grunnlag for å trekke slutninger om kredittverdighet eller kredittevne. Kredittopplysningsvirksomhet går ut på å samle inn, strukturere, til en viss grad bearbeide, og utlevere opplysninger om de registrertes økonomiske forhold. Alle personer over 18 år som har hatt skattbar inntekt er registrert hos kredittopplysningsforetakene. Kredittopplysningsforetakene behandler også økonomiske opplysninger om juridiske personer. I tillegg til at kredittopplysningene som sådan kan utleveres til kredittopplysningsforetakets kunder, kan opplysningene danne grunnlag for beregning av såkalt kredittscore eller rating. Dette er en statistisk beregning av den registrertes evne og vilje til å betjene gjeld. Kredittscore og rating beregnes automatisk av algoritmer der ulike informasjonselementer vektes i forhold til hverandre.

Kredittopplysninger benyttes i utstrakt grad ved salg på kreditt. Opplysningene utgjør et viktig element i selgers beslutningsgrunnlag. Det er vanlig at kredittvurderinger skjer helautomatisk. Ved kjøp av varer på nett er gjerne kredittvurderingen en integrert del av betalingsprosessen. Den registrerte (kredittkunden) merker ikke at kredittvurderingen gjennomføres, men får informasjon i etterkant ved mottak av kopi (gjenpart) av den utleverte kredittopplysningen. Innhenting av kredittopplysninger er i dag integrert i svært mange e-handelsløsninger og andre nettbaserte søknadsprosesser.

Kredittopplysninger er opplysninger om økonomiske forhold både av relativt nøytral karakter (lønn, utlignet skatt, eierskap i fast eiendom) og opplysninger av negativ karakter (f.eks. misligholdte fordringer). Denne type opplysninger var ikke definert som sensitive i personopplysningsloven 2000 § 2 nr. 8, og er heller ikke omfattet av begrepet «særlige kategorier av personopplysninger» slik dette er beskrevet i personvernforordningen artikkel 9 nr. 1. Uansett hvilken kategori opplysninger det dreier seg om, oppleves økonomiske opplysninger som beskyttelsesverdige av svært mange. Formålet med kredittopplysningsvirksomheten er å samle inn, sammenstille, analysere og utlevere kredittopplysninger. Virksomheten innebærer således en betydelig spredning av opplysninger som den registrerte kan ha interesse i å beskytte.

I Norge er det gitt konsesjon til å behandle opplysninger i kredittopplysningsvirksomhet til 14 kredittopplysningsforetak. Fire av disse kredittvurderer både fysiske og juridiske personer, mens de ti øvrige selskapene kun kredittvurderer juridiske personer.

2.1.1 Bakgrunn for forslaget

Etter gjeldende rett er kredittopplysningsvirksomhet regulert i forskrift og konsesjoner gitt av Datatilsynet. Bestemmelsene regulerer behandling av kredittopplysninger om både næringsdrivende (juridiske personer) og enkeltpersoner (fysiske personer). 25. mai 2018 trådte EUs forordning om behandling av personopplysninger, forordning EU 2016/679, heretter omtalt som forordningen eller personvernforordningen, i kraft. Forordningen erstatter og opphever EUs direktiv 95/46, i det følgende omtalt som personverndirektivet. Dette direktivet er innlemmet i EØS-avtalen og gjennomført i norsk rett i personopplysningsloven 2000. Personvernforordningen er EØS-relevant. Justis- og beredskapsdepartementet la 23. mars 2018 frem Prop. 56 LS (2017–2018) med forslag til gjennomføring av forordningen i norsk rett. Ny lov om behandling av personopplysninger (lov 15. juni 2018 nr. 38) trådte i kraft 20. juli 2018.

2.1.2 Hva som foreslås og hvorfor

Personopplysningsloven 2018 gjennomfører personvernforordningen i norsk rett, og opphever personopplysningsloven 2000 og forskrifter fastsatt i medhold av denne. I forskrift om overgangsregler om behandling av personopplysninger fastsatt ved kgl.res. 15. juni 2018 § 4 er det imidlertid besluttet at de kredittopplysningsspesifikke reglene i den ellers opphevede forskriften fra 2000 videreføres. De nevnte reglene gjelder inntil nye regler er vedtatt og satt i kraft.

Denne proposisjonen inneholder Kommunal- og moderniseringsdepartementets vurdering av om og hvordan behandling av opplysninger om fysiske og juridiske personer i kredittopplysningsvirksomhet bør reguleres med hjemmel i personvernforordningen og personopplysningsloven.

Kredittopplysningsvirksomhet innebærer behandling av store mengder opplysninger. De negative konsekvensene ved uriktig behandling kan bli betydelige for den enkelte og for næringslivet. Departementet mener derfor det er gode grunner som taler for fortsatt å regulere blant annet hvilke opplysninger som kan behandles i kredittopplysningsvirksomhet, hvor lenge opplysninger kan behandles, vilkår for utlevering, og når og hvordan de registrerte skal motta informasjon om behandling av opplysninger. Dette synet har fått bred tilslutning i høringsrunden, både fra myndighets- og næringsaktører. Det er ingen av høringsinstansene som har uttalt seg negativt til en fortsatt regulering av dette området.

Departementet anbefaler i proposisjonen å videreføre store deler av det materielle innholdet i den gjeldende reguleringen av kredittopplysningsvirksomhet. Bestemmelsene vil supplere de generelle reglene i personvernforordningen og personopplysningsloven for så vidt gjelder behandling av personopplysninger. Dette betyr at de særskilte reglene som følger av lovforslaget i denne proposisjonen vil gjelde i tillegg til reglene i personopplysningsloven om blant annet behandlingsgrunnlag, sikring av personopplysninger og administrative sanksjoner forutsatt at man er innenfor det saklige virkeområdet til personopplysningsloven.

Også juridiske personer kan rammes hardt av uriktig behandling av kredittopplysninger om dem. Det foreslås derfor at reglene om behandling av opplysninger i kredittopplysningsvirksomhet skal gjelde behandling av kredittopplysninger både om fysiske og juridiske personer. Departementets lovforslag går derfor ut på at enkelte av bestemmelsene i personopplysningsloven også skal gis tilsvarende anvendelse for behandling av opplysninger om juridiske personer.

2.1.3 Begrepsbruk i proposisjonen

I denne proposisjonen vises det både til den opphevede personopplysningsloven 14. april 2000 nr. 31 og til den nye personopplysningsloven 15. juni 2018 nr. 38. For å unngå sammenblanding og forveksling, henvises det til henholdsvis «personopplysningsloven 2000» når det er tale om den opphevede loven, og til «personopplysningsloven» når det er tale om den gjeldende loven. Der det henvises til personopplysningsforskriften, er dette forskriften fastsatt i medhold av personopplysningsloven 2000.

2.2 Høringen

Kommunal- og moderniseringsdepartementet sendte 19. desember 2017 på høring et forslag om ny lov om behandling av opplysninger i kredittopplysningsvirksomhet. Høringen ble sendt til følgende mottakere:

Departementene

Arbeidstilsynet

Barneombudet

Brønnøysundregistrene

Datatilsynet

Departementenes sikkerhets- og serviceorganisasjon (DSS)

Direktoratet for arbeidstilsynet

Direktoratet for forvaltning og IKT (DIFI)

Direktoratet for samfunnssikkerhet og beredskap

Domstoladministrasjonen

Finanstilsynet

Forbrukerombudet

Forbrukerrådet

Fylkesmennene

Konkurransetilsynet

Medietilsynet

Nasjonal kommunikasjonsmyndighet (Nkom)

Nasjonal sikkerhetsmyndighet (NSM)

Nasjonalbiblioteket

Norges Bank

Politidirektoratet

Politiets sikkerhetstjeneste (PST)

Regelrådet

Regjeringsadvokatembetet

Riksadvokatembetet

Riksarkivet

Skattedirektoratet

Statens arbeidsmiljøinstitutt STAMI

Statens Innkrevingssentral

Statens lånekasse for utdanning

Statens sivilrettsforvaltning

Statistisk sentralbyrå

Stortingets ombudsmann for forvaltningen (Sivilombudsmannen)

Sysselmannen på Svalbard

Teknologirådet

Toll- og avgiftsdirektoratet

Utdanningsdirektoratet

Utlendingsdirektoratet (UDI)

Økokrim

Senter for rettsinformatikk (SERI)

Universitetene

Advokatforeningen

Atradius

Assessment Global – Norsk verdivurdering AS

Bedriftsforbundet

Bilimportørenes Landsforening

Bisnode Norge AS

Civita

Creditsafe Norge AS

Den norske Dataforening

Den norske Dommerforening

EVRY Norge AS

Experian

Finans Norge

Forskningsstiftelsen FAFO

Frivillighet Norge

Hovedorganisasjonen Virke

Human Rights Alert Norway

ICJ Norge

IKT-Norge

Institutt for samfunnsforskning

Juridisk rådgivning for kvinner (JURK)

Juss-Buss

Jussformidlingen i Bergen

Jusshjelpa i Midt-Norge

Jusshjelpa i Nord-Norge

KO International AS

Kommunesektorens organisasjon (KS) (Kommunenes Sentralforbund)

Kredinor AS

Kredittfakta AS

Kredittopplysningen AS

Landkreditt Bank

Landsorganisasjonen i Norge (LO)

Landsrådet for Norges barne- og ungdomsorganisasjoner

Lederne

Lindorff AS

NORDMA

Norges forskningsråd

Norges Ingeniør- og Teknologiorganisasjon

Norges Juristforbund

Norges Rederiforbund

Norges miljø- og biovitenskapelige universitet

Norges Taxiforbund

Norsk Journalistlag

Norsk Presseforbund

Norsk Redaktørforening

Norsk samfunnsvitenskapelig datatjeneste

Norsk senter for informasjonssikring (NorSIS)

Norsk senter for menneskerettigheter

Næringslivets Hovedorganisasjon

Næringslivets Sikkerhetsorganisasjon

Næringslivets Sikkerhetsråd

Proff AS

Regnskapstall 1881 AS

SAMFO – Arbeidsgiverforening for samvirkeforetak

Sekretariatet for konfliktrådene

Sergel Norge AS

Sparebankforeningen i Norge

Telenor ASA

Telia Norge AS

Transportøkonomisk Institutt

UNIO Universitets og høyskoleutdannedes forbund

Yrkesorganisasjonenes Sentralforbund (YS)

Høringsfrist var 19. mars 2018. Ved høringsfristens utløp hadde departementet mottatt høringssvar med realitetsmerknader fra:

Finansdepartementet

Justis- og beredskapsdepartementet

Datatilsynet

Forbrukerrådet

Forbrukertilsynet

Fylkesmannen i Oslo og Akershus

Norges Bank

Regelrådet

Skatteetaten

Statistisk Sentralbyrå

Finans Norge

Finansieringsselskapenes forening

Norges Juristforbund

Norsk Journalistlag, Norsk Presseforbund og Norsk Redaktørforening (samlet, omtales i proposisjonen som presseorganisasjonene)

Norske kredittopplysningsbyråers forening

Thomas Henden

Virke Inkasso

3 Bør det fastsettes nasjonale regler om behandling av personopplysninger i kredittopplysningsvirksomhet?

3.1 Gjeldende regulering av kredittopplysningsvirksomhet

Kredittopplysningsvirksomhet er, etter personopplysningsforskriften § 4-2 første ledd, virksomhet som består i å belyse enkeltpersoners og virksomheters betalingsevne og -vilje. Tidligere fantes det rettslige grunnlaget for å fastsette nærmere bestemmelser om behandling av personopplysninger i kredittopplysningsvirksomhet i personopplysningsloven 2000 § 3 fjerde ledd andre punktum. I medhold av denne bestemmelsen har kredittopplysningsvirksomhet vært regulert i personopplysningsforskriften kapittel 4 og konsesjoner fra Datatilsynet med hjemmel i personopplysningsloven 2000 §§ 34 og 35, jf. personopplysningsforskriften § 4-5.

De generelle reglene i personopplysningsloven 2000 gjaldt for behandling av opplysninger i kredittopplysningsvirksomhet med mindre noe annet var bestemt i personopplysningsforskriften. I samsvar med personopplysningsforskriften § 4-1 andre ledd gjelder reglene om kredittopplysningsvirksomhet også for behandling av kredittopplysninger om andre enn enkeltpersoner, det vil si om juridiske personer. All behandling av personopplysninger måtte ha et rettslig grunnlag i personopplysningsloven 2000 § 8, og eventuelt § 9 dersom det ble behandlet sensitive personopplysninger. Departementet legger til grunn at behandling av kredittopplysninger har skjedd med grunnlag i personopplysningsloven 2000 § 8 første ledd bokstav d, det vil si utførelse av en oppgave av allmenn interesse.

Det er etter gjeldende rett ikke adgang til å behandle verken person- eller næringsopplysninger i kredittopplysningsvirksomhet uten tillatelse fra Datatilsynet. Tillatelse til behandling av opplysninger i kredittopplysningsvirksomhet er gitt som standardkonsesjoner, slik at alle virksomheter som har konsesjon til å behandle opplysninger i kredittopplysningsvirksomhet, har likelydende konsesjoner. Konsesjonene regulerer hvilke opplysninger som kan behandles, hvilke kilder de kan innhentes fra, hvordan og til hvem de kan utleveres, slettefrister, og når og på hvilken måte informasjon skal gis til de registrerte. Standardkonsesjonen er inntatt som vedlegg til denne proposisjonen.

Det er departementets erfaring at dagens regelverk har fungert tilfredsstillende. I det følgende vil det likevel bli vurdert om det er ønskelig å gjøre endringer i de eksisterende reglene, og om det er behov for å supplere de gjeldende reglene med nye bestemmelser. Samtidig vil departementet vurdere om videreføring av eksisterende bestemmelser er i samsvar med krav i personvernforordningen og personopplysningsloven.

3.2 Regulering av kredittopplysningsvirksomhet i enkelte andre land

Flere andre europeiske land har frem til nå hatt særregler om kredittopplysningsvirksomhet. Sverige har hatt en egen lov om kredittopplysningsvirksomhet, kreditupplysningslagen 1973:1173. Det samme har Finland, se kreditupplysningslagen 11.05.2007/527. Den danske persondataloven 31.05.2000 nr. 429 hadde regler om kredittopplysningsvirksomhet i kapittel 5 og 6. Disse regelsettene omfattet også langt på vei behandling av kredittopplysninger om juridiske personer. Også i Storbritannia har personvernregelverket, nærmere bestemt Data Protection Act fra 1998, inneholdt regler om kredittopplysningsvirksomhet.

3.2.1 Sverige

Det svenske Justitiedepartementet la 6. mars 2018 frem proposisjon 2017/18:120 Kreditupplysningslagen och dataskyddsförordningen, om hvordan kredittopplysningsreglene kan tilpasses personvernforordningen. Det ble anbefalt å videreføre den svenske kredittopplysningsloven fra 1973 med de tilpasninger som er nødvendige for å imøtekomme forordningens krav. Blant annet ble det foreslått å videreføre regler om gjenpartsplikt, begrensninger i adgangen til å behandle sensitive opplysninger, og krav om at mottaker av opplysningene skal ha saklig behov for dem. Det ble også anbefalt å videreføre ordningen der kredittopplysningsreglene også regulerer behandling av opplysninger om juridiske personer. Dessuten ble det foreslått enkelte henvisninger til bestemmelsene i personvernforordningen for å understreke at disse gjelder i tillegg til særreguleringen. Dette gjelder blant annet forordningens bestemmelser om innsynsrett for de registrerte og om tilsyn. Lovforslaget ble behandlet og vedtatt i Riksdagen 25. april 2018, og regelendringene trådte i kraft samtidig som personvernforordningen, den 25. mai 2018.

3.2.2 Danmark

Det danske Justitsministeriet la frem sitt forslag til ny databeskyttelseslov 7. juli 2017. Der ble det foreslått å videreføre de gjeldende reglene om kredittopplysningsvirksomhet med de tilpasningene som personvernforordningen nødvendiggjør. I kapittel 5 (§§ 19-21) gis det bestemmelser om hvilke opplysninger som kan behandles i kredittopplysningsvirksomhet samt hvordan og til hvem disse opplysningene kan utleveres. Ordningen med at det må innhentes tillatelse fra det danske Datatilsynet før behandling av personopplysninger i kredittopplysningsvirksomhet, ble foreslått videreført. Videre ble det foreslått at forordningen artikkel 12 til 19 (rettigheter for de registrerte) skulle gjelde når kredittopplysningsforetakene behandler opplysninger om juridiske personer. I tillegg inneholdt kapittel 4 i lovforslaget enkelte bestemmelser om kredittopplysningsforetakenes tilgang til opplysninger om gjeld til det offentlige. Lovforslaget ble behandlet og vedtatt i Folketinget 17. mai 2018, og trådte i kraft 25. mai samme år.

3.3 Personvernforordningen og nasjonalt handlingsrom for regulering av kredittopplysningsvirksomhet

3.3.1 Åpner personvernforordningen for regulering av kredittopplysningsvirksomhet i norsk rett?

Personvernforordningen inneholder ingen særskilte bestemmelser om kredittopplysningsvirksomhet. Behandling av personopplysninger som ledd i kredittopplysningsvirksomhet vil i utgangspunktet derfor være underlagt forordningens alminnelige regler. Forordningens alminnelige regler om behandling av personopplysninger er grundig omtalt i Prop. 56 LS om gjennomføring av personvernforordningen i norsk rett, og det vises til denne for en nærmere redegjørelse for reglene.

Forordningen inneholder heller ikke noen konkret hjemmel for fastsettelse av nasjonale regler om kredittopplysningsvirksomhet. Forordningen artikkel 6 nr. 2 bestemmer imidlertid at medlemsstatene kan «opprettholde eller innføre mer spesifikke bestemmelser for å tilpasse anvendelsen av forordningens regler med henblikk på å sikre samsvar med artikkel 6 nr. 1 bokstav c og e, ved nærmere å fastsette særlige krav til behandlingen samt andre tiltak som har som mål å sikre en lovlig og rettferdig behandling». Etter ordlyden i artikkel 6 nr. 2 er adgangen til å gi nasjonale særregler avgrenset til tilfeller hvor den aktuelle behandlingen av personopplysninger enten er nødvendig for å oppfylle en rettslig forpliktelse som påhviler den behandlingsansvarlige (bokstav c), eller der behandlingen er nødvendig for å utføre en oppgave i allmenhetens interesse eller utøve offentlig myndighet (bokstav e). Når det gjelder kredittopplysningsvirksomhet, legger departementet til grunn at det relevante grunnlaget for nasjonal lovgivning vil være at behandlingen er nødvendig for å utføre en oppgave i allmenhetens interesse (bokstav e). For å fastslå om forordningen åpner for nasjonale regler om kredittopplysningsvirksomhet må det derfor vurderes om kredittopplysningsvirksomhet, etter forordningen, kan sies å være «en oppgave i allmennhetens interesse».

Forordningen selv gir ingen veiledning om hva som er en oppgave av allmenn interesse. Både i den svenske utredningen om kreditupplysningslagen og i det danske forslaget til ny databeskyttelseslov legges det til grunn at kredittopplysningsvirksomhet må anses som «en oppgave i allmennhetens interesse». Det vises til at det er av vesentlig betydning for så vel fysiske som juridiske personer at behandling av opplysninger i kredittopplysningsvirksomhet skjer på en saklig og lovlig måte, og at ulovlige behandlinger på dette området kan få alvorlige skadevirkninger for de involverte partene. Samfunnet som sådan har behov for kredittopplysningsvirksomhet, og har en sterk interesse i at denne virksomheten på en effektiv måte fyller sin kredittbeskyttende funksjon.

Departementet slutter seg til denne argumentasjonen. Dette synet innebærer også en videreføring av gjeldende rett, der personopplysningsloven 2000 § 8 bokstav d har vært ansett som det rettslige grunnlaget for behandling av opplysninger i kredittopplysningsvirksomhet. Kredittopplysningsvirksomhet er en tjeneste som er viktig for en velfungerende økonomi. Virksomheten er viktig både for kreditors evne til å beskytte seg mot tap, og for låntakers mulighet til å få kreditt. Også fra et samfunnsøkonomisk perspektiv er det viktig at kredittgivning fungerer så smidig som mulig. Høy gjeldsbyrde og mange dårlige betalere kan føre til betydelige samfunnsproblemer. Dette er en av årsakene til at regjeringen la frem Prop. 87 L (2016–2017) Lov om gjeldsinformasjon ved kredittvurdering av privatpersoner (gjeldsinformasjonsloven), og at Stortinget 16. juni 2017 vedtok lov om gjeldsinformasjon ved kredittvurdering av privatpersoner.

Finansregelverket forutsetter at finansinstitusjoner foretar risikovurderinger på godt opplyst grunnlag før det ytes kreditt. Også i forbindelse med netthandel, som ofte skjer på kreditt, og annen handelsaktivitet er det av stor betydning for selger å ha mulighet til å kredittvurdere kjøper. Tilgang til opplysninger fra kredittopplysningstjenester har stor verdi i denne sammenhengen. Det er departementets vurdering at tilgang til kredittopplysninger er av stor samfunnsmessig betydning og at kredittopplysningsvirksomhet derfor kan sies å være «en oppgave i allmennhetens interesse» i samsvar med personvernforordningen.

Det å gi nasjonale regler om kredittopplysningsvirksomhet vil ha betydning for det rettslige grunnlaget for behandling av kredittopplysninger. Dersom det gis nasjonale regler, vil kredittopplysninger kunne behandles etter artikkel 6 nr. 1 bokstav e. Dersom det ikke gis nasjonale regler, vil slike opplysninger måtte behandles på grunnlag av et annet av de behandlingsgrunnlagene personvernforordningen angir. Det mest praktiske vil trolig være artikkel 6 nr. 1 bokstav f. Etter departementets vurdering er artikkel 6 nr. 1 bokstav f imidlertid en svak hjemmel for behandling av en type opplysninger som mange opplever som svært beskyttelsesverdige. Behandlingsgrunnlag i artikkel 6 nr. 1 bokstav f gir heller ingen mulighet til å fastsette nærmere detaljregler i nasjonal rett for å ivareta hensynene til de registrerte. Dette i seg selv kan være en indikasjon på at dette behandlingsgrunnlaget kun bør anvendes for lite inngripende behandlinger. Departementets vurdering er derfor at forordningen artikkel 6 nr. 1 bokstav e fremstår som det mest hensiktsmessige behandlingsgrunnlaget for behandling av personopplysninger i kredittopplysningsvirksomhet.

3.3.2 Hva kan det fastsettes nasjonale regler om?

Det følger av forordningen artikkel 6 nr. 2 at medlemsstatene kan opprettholde eller innføre «mer spesifikke bestemmelser» for å tilpasse anvendelsen av forordningens regler med henblikk på å sikre samsvar med artikkel 6 nr. 1 bokstav e, og at dette kan gjøres ved å «fastsette særlige krav til behandling samt andre tiltak som har som mål å sikre en lovlig og rettferdig behandling». Det følger også av artikkel 6 nr. 2 at de nasjonale reglene skal «sikre en lovlig og rettferdig behandling» av opplysningene. Videre følger det av artikkel 6 nr. 3 at de nasjonale reglene blant annet kan inneholde «de generelle vilkårene som skal gjelde for lovligheten av den behandlingsansvarliges behandling, hvilken type opplysninger som skal behandles, berørte registrerte, enhetene som personopplysningene kan utleveres til, og formålene med dette, formålsbegrensning, lagringsperioder samt behandlingsaktiviteter og framgangsmåter for behandling, herunder tiltak for å sikre lovlig og rettferdig behandling, slik som dem fastsatt med henblikk på andre særlige behandlingssituasjoner som nevnt i forordningen kapittel IX». Siden forordningen eksplisitt angir at landene «blant annet» kan fastsette bestemmelser om opplistede forhold, legger departementet til grunn at listen ikke er uttømmende. Departementet forstår forordningen slik at det er anledning til å spesifisere forordningens regler i nasjonal rett for å tilpasse de generelle reglene til behandling av kredittopplysninger. Det vises for øvrig til den nærmere redegjørelsen for innholdet i artikkel 6 i kapittel 7 i Prop. 56 LS (2017–2018) om gjennomføring av personvernforordningen.

Departementet påpeker også at personvernforordningens fortalepunkt 8 åpner for at det i tilknytning til nasjonale bestemmelser som presiserer eller begrenser forordningens regler, kan innarbeides «elementer fra» forordningen når det er nødvendig for sammenhengen eller av pedagogiske grunner. Etter departementets syn gir dette rom for å innta bestemmelser eller deler av bestemmelser fra forordningen i et eventuelt nasjonalt regelverk om behandling av kredittopplysningsopplysninger dersom dette gir en bedre sammenheng i regelverket.

3.3.3 Departementets vurdering

Kredittopplysningsvirksomhet omfatter både opplysninger om juridiske personer, og opplysninger om hoveddelen av den norske, voksne befolkningen, det vil si fysiske personer. Som ledd i denne virksomheten behandles opplysninger som svært mange opplever som beskyttelsesverdige. Dette er både nøytrale opplysninger om for eksempel inntekt, formue og skatt, og det er negative opplysninger som betalingsanmerkninger. Formålet med innsamling og behandling av opplysningene er at de skal utleveres og brukes av kredittytere i deres risikovurderinger. Etter departementets vurdering er det viktig med gode regler for behandling av så store mengder personopplysninger som tilfellet er i kredittopplysningsvirksomhet. Det er blant annet ønskelig å ha regler om hvilke opplysninger som kan brukes i virksomheten, hvilke kilder opplysninger kan innhentes fra, vilkår for utlevering og regler om informasjon til de registrerte.

Kredittopplysningsvirksomhet er i dag regulert av et sett detaljregler i personopplysningsforskriften 2000 kapittel 4 og i Datatilsynets standardkonsesjon som er særskilt tilpasset denne type virksomhet. Tilsvarende regler gjenfinnes ikke i forordningens generelle regler. Dette gjelder for eksempel reglene om gjenpartsplikt ved utlevering av personopplysninger, det gjelder regler om hvilke kilder opplysninger kan hentes fra og hvilke opplysninger det er adgang til å bruke i kredittopplysningsvirksomhet, og det gjelder konkrete regler om lagringstid og slettefrister. Slik departementet ser det, balanserer reglene på en god måte de registrertes interesse i beskyttelse av person- og næringsopplysninger med næringslivets behov for kredittopplysninger til bruk i risikovurderinger. Dagens regler er utarbeidet over tid i god dialog med bransjen og er godt innarbeidet i virksomhetene. Etter det departementet kjenner til, er det generell aksept og forståelse for de gjeldende reglene.

Konsekvensene ved urettmessig spredning og bruk av opplysninger om privatøkonomi, næringsøkonomi og kredittverdighet kan være svært negative for de registrerte. Fordi kredittopplysningsvirksomheten går ut på å samle inn opplysninger de fleste ikke ønsker å eksponere, er det gode grunner til å supplere forordningens generelle regler med detaljerte regler om hvilke opplysninger som kan brukes i virksomheten og hvordan de skal behandles. Særregler vil også bidra til å legitimere kredittopplysningsvirksomhet som sådan.

Departementet vurderer at særregulering av behandling av personopplysninger i kredittopplysningsvirksomhet bør videreføres for å sikre at de registrertes personvern ivaretas på en god måte. Forordningens generelle regler gir etter departementets syn verken de registrerte eller de behandlingsansvarlige tilstrekkelig veiledning for ivaretakelse av de særlige hensyn som gjør seg gjeldende ved behandling av personopplysninger i kredittopplysningsvirksomhet. Et annet moment som taler for en særregulering er ønsket om å videreføre reguleringen av behandling av kredittopplysninger om juridiske personer (se mer om dette i kapittel 4.2). Etter departementets vurdering vil det være hensiktsmessig å videreføre en samlet regulering av behandling av kredittopplysninger om både fysiske og juridiske personer i ett regelverk, slik det er gjort i både Danmark og Sverige.

3.3.3.1 Lovens funksjon som supplerende rettsgrunnlag

Ved å fastsette nasjonale særregler om behandling av kredittopplysninger etableres et sikkert nasjonalt rettsgrunnlag for slike behandlinger. Det følger av personvernforordningen artikkel 6 nr. 3 at for slike supplerende rettsgrunnlag skal, for så vidt gjelder behandlinger omfattet av artikkel 6 nr. 1 bokstav e, formålet med behandlingen være fastsatt i rettsgrunnlaget. Departementet vurderer at det er viktig å uforme bestemmelser som på en god måte setter klare rammer for behandling av opplysningene. Artikkel 6 nr. 3 gir også nasjonalt handlingsrom til å fastsette «særlig bestemmelser for å tilpasse anvendelsen» av forordningen på det konkrete området. På denne måten åpner forordningen for at det fastsettes bestemmelser som ivaretar personvernet i møte med de utfordringene kredittopplysningsvirksomheten representerer.

Et særlig spørsmål er om kredittopplysningsforetakene har anledning til å velge å basere sin behandling av personopplysninger på et annet grunnlag enn det departementet har valgt som grunnlag for nasjonal særregulering. Som det fremgår i punkt 3.3.1 kan personvernforordningen artikkel 6 nr. 1 bokstav f muligens være et alternativt behandlingsgrunnlag. Departementet mener likevel at det må kunne legges til grunn at når behandling for et gitt formål er vurdert å falle inn i en kategori som forutsetter nasjonal lovgivning, må behandlinger for dette formålet alltid skje i samsvar med de nasjonale særreglene. I disse tilfellene er behandlingen vurdert som lovlig etter forordningen artikkel 6 nr. 1 bokstav a til e, og skal følge de særreglene som eventuelt er fastsatt i medhold av forordningens bestemmelser. Det er først dersom behandlingen ikke kan henføres under ett av de nevnte behandlingsgrunnlagene, at det er relevant å vurdere om behandlingen kan skje med grunnlag i artikkel 6 nr. 1 bokstav f om berettiget interesse. Departementet vurderer etter dette at all behandling av opplysninger som ledd i kredittopplysningsvirksomhet skal skje i samsvar med bestemmelsene i lovforslaget, supplert av bestemmelsene i personvernforordningen og de norske tilpasningsreglene i personopplysningsloven.

3.3.3.2 Valg av reguleringsform

Det er departementets inntrykk at gjeldende regulering i forskrift og standardkonsesjon fungerer tilfredsstillende. Et spørsmål er likevel i hvilken form nye regler bør fastsettes. Da Stortinget vedtok personopplysningsloven, ble personopplysningsloven 2000 opphevet. Dermed ble også den generelle konsesjonsordningen som fulgte av personopplysningsloven 2000 avviklet fordi en slik ordning ikke anses å være i samsvar med forordningen. Personvernforordningen artikkel 36 nr. 5 åpner imidlertid for at medlemsstatene kan fastsette nasjonale regler som pålegger forhåndsdrøftinger med, og forhåndsgodkjenning (konsesjon) fra, tilsynsmyndighetene når behandlingen foretas som ledd i utførelsen av en oppgave i allmennhetens interesse. Slike regler ble ikke fastsatt da personopplysningsloven ble vedtatt. Begrunnelsen var at forordningens alternative virkemidler anses å gi et vel så godt personvern som en ordning med omfattende forhåndsgodkjenning. Samtidig kan det være kostnadsbesparende for både Datatilsynet og de behandlingsansvarlige å avvikle konsesjonsinstituttet. På bakgrunn av dette vurderer departementet at dagens ordning med noen overordnede bestemmelser om kredittopplysningsvirksomhet i forskrift, samt detaljregulering i standardkonsesjon, ikke er en tilfredsstillende løsning som kan eller bør videreføres. Departementet mener derfor det mest hensiktsmessige vil være å lovregulere behandling av opplysninger i kredittopplysningsvirksomhet.

En alternativ reguleringsmåte, som personvernforordningen artikkel 40 åpner for, er bruk av atferdsnormer (codes of conduct). Atferdsnormene utvikles av bransjene selv i dialog med tilsynsmyndigheten. Normene skal godkjennes av tilsynsmyndigheten eller andre som er gitt godkjenningsmyndighet, og etterlevelse kan håndheves enten av tilsynsmyndigheten eller et annet godkjent organ. En fordel med en slik løsning er dels at det kan søkes å oppnå europeisk rettsenhet på området, dels at det kan gi større fleksibilitet til å endre reglene ved behov. Samtidig vil vi kunne oppleve at vi får et lavere beskyttelsesnivå ved behandling av kredittopplysninger enn vi har hatt i Norge, fordi andre europeiske land aksepterer et lavere beskyttelsesnivå for kredittopplysninger. En annen ulempe ved bruk av atferdsnormer er svekket offentlig kontroll med, og håndhevelse av, vilkårene for virksomheten. Dessuten er det viktig å være oppmerksom på at det er frivillig å slutte seg til en atferdsnorm. Selv om det kan foreligge et viss press i bransjen for å slutte seg til en norm, vil også store virksomheter kunne se seg tjent med den friheten det innebærer å stå utenfor.

Lovregulering, på sin side, gir forutberegnelighet både for de registrerte og de behandlingsansvarlige. En lovregulering er også et uttrykk for at myndighetene mener kredittopplysningsvirksomhet er en viktig virksomhet, samtidig som det er nødvendig å regulere behandlingen av opplysninger slik at de registrertes personvern ikke krenkes.

En ren detaljregulering i atferdsnormer vil videre innebære at personvernforordningen artikkel 6 nr. 1 bokstav e ikke kan anvendes som behandlingsgrunnlag, da det ikke vil foreligge et slikt nasjonalt rettsgrunnlag som kreves etter forordningen artikkel 6 nr. 3. Det er imidlertid mulig å fastsette et grunnlag for behandlingen i nasjonal rett med hjemmel i personvernforordningen artikkel 6 nr. 3, men overlate den videre reguleringen av de nærmere vilkårene for behandling til atferdsnormer. Man kunne også tenke seg ulike mellomløsninger, der noen bestemmelser tas inn i lov (eller forskrift), mens andre reguleres i atferdsnormer.

Et annet spørsmål departementet har vurdert er om en lovregulering av kredittopplysningsvirksomhet bør skje i personopplysningsloven eller i en særlig lov om behandling av opplysninger i kredittopplysningsvirksomhet. Etter departementets vurdering vil det mest hensiktsmessige være å fastsette en egen lov om behandling av opplysninger i kredittopplysningsvirksomhet, med adgang for Kongen til å fastsette nærmere bestemmelser i forskrift. Begrunnelsen for dette er at personopplysningsloven også i fremtiden kun bør angi de generelle og sektorovergripende reglene for behandling av personopplysninger, mens særregler for ulike sektorer fortsatt bør plasseres i egne regelverk. Samtidig vil det være unaturlig å regulere behandling av kredittopplysninger om juridiske personer i personvernregelverket.

De høringsinstansene som har uttalt seg om reguleringsformen, støtter i det alt vesentlige departementets forslag om lovregulering. Blant annet Skatteetaten, Datatilsynet, Forbrukerrådet og Juristforbudet mener dette vil gi de beste juridiske rammene for virksomheten. Ingen av høringsinstansene har uttalt seg negativt til lovregulering. Ingen av høringsinstansene har gitt innspill til spørsmål om det bør vedtas en særlov om behandling av kredittopplysninger, eller om reguleringen bør inntas i personopplysningsloven.

Med grunnlag i høringsinnspillene og den ovenstående argumentasjonen, foreslår departementet i proposisjonen her å fastsette de mest sentrale og grunnleggende bestemmelsene om behandling av opplysninger i kredittopplysningsvirksomhet i særlov. Samtidig åpnes det for en viss fleksibilitet gjennom adgang til å fastsette detaljer i forskrift. Lovforslaget viderefører i all hovedsak gjeldende rett for behandling av kredittopplysninger. Det er likevel foreslått noen tilpasninger for å bringe reglene i samsvar med personvernforordningen, slik den er gjennomført i norsk rett.

Av hensyn til regelverkets omfang har departementet vurdert at det ikke er hensiktsmessig å gjenta de av bestemmelsene i personopplysningsloven og personvernforordningen som også vil gjelde for kredittopplysningsvirksomhet. De mest sentrale definisjonene er likevel av pedagogiske hensyn inntatt i lovforslaget, se § 3. For øvrig vises det til den generelle personopplysningslovens og personvernforordningens regler om blant annet den behandlingsansvarliges plikter og ansvar, sikring av opplysningene, Datatilsynets myndighet og administrative sanksjoner.

4 Reglenes saklige og geografiske virkeområde

4.1 Reglenes geografiske virkeområde

Bestemmelsene om kredittopplysningsvirksomhet som departementet anbefaler i denne proposisjonen, er basert på at personvernforordningen gir rettslig grunnlag for reguleringen. Departementet ser det derfor som ønskelig at nytt kredittopplysningsregelverk, så langt det er mulig, gis samme geografiske anvendelse som det generelle personopplysningsregelverket.

Det er lagt til grunn at loven skal gjelde for behandling av kredittopplysninger i virksomheten til en behandlingsansvarlig i Norge. Dette gjelder uavhengig av om selve behandlingen skjer i eller utenfor Norge. Virksomhetsbegrepet skal forstås på samme måte som i personopplysningsloven og personvernforordningen, se særlig fortalepunkt 22. Departementet viser til Prop. 56 LS (2017–2018) kapittel 5 og forarbeidene og merknadene til personopplysningsloven § 4 første ledd for så vidt gjelder reglenes anvendelse for behandling som skjer som ledd i virksomheten til en behandlingsansvarlig i Norge. Det som der er sagt gjelder tilsvarende for kredittopplysningsreglenes anvendelse for virksomhet i Norge.

Personvernforordningen gjelder all behandling av personopplysninger i hele EU-/EØS-området. Kredittopplysningsvirksomhet etablert utenfor Norge vil dermed være dekket av forordningens generelle regler, men ikke av de nasjonale kredittopplysningsreglene. Departementet er likevel ikke bekymret for at dette kan innebære at kredittopplysningsvirksomhet etableres utenfor Norge i den hensikt å omgå de særnorske reglene om behandling av kredittopplysninger. I kredittopplysningsvirksomhet behandles mange typer opplysninger som er taushetsbelagte hos primærkilden, og som kun utleveres etter særskilt hjemmel. Dette gjelder for eksempel opplysninger om inkassosaker, opplysninger om skattefastsetting og gjeldsinformasjon. Behandlingsansvarlig for primærkildene kan etter gjeldende rett utlevere opplysninger til kredittopplysningsvirksomhet som drives i samsvar med reglene om slik virksomhet i eller i medhold av personopplysningsloven 2000. De ulike lov- og forskriftsbestemmelsene er i lovforslaget foreslått oppdatert slik at de vil vise til kredittopplysningsloven. Dette medfører at opplysningstyper underlagt taushetsplikt bare kan utleveres til bruk i kredittopplysningsvirksomhet som skjer i samsvar med forslaget til kredittopplysningslov. Etter departementets vurdering vil dette forhindre at kredittopplysningsvirksomhet med relevans for norske brukere flyttes ut av Norge i den hensikt å omgå de nasjonale særreglene.

Det følger av personopplysningsloven § 4 fjerde ledd at Kongen kan bestemme at personopplysningsloven og personvernforordningen skal gjelde på Svalbard og Jan Mayen. Det er departementets vurdering at det også bør være adgang til å gi kredittopplysningsregelverket anvendelse på Svalbard og Jan Mayen. Det legges opp til at regelverkets anvendelse på Svalbard og Jan Mayen kan fastsettes i forskrift.

4.2 Reglenes saklige virkeområde: Bør reglene om kredittopplysningsvirksomhet omfatte andre enn fysiske personer?

4.2.1 Gjeldende rett

De gjeldende reglene om behandling av personopplysninger i kredittopplysningsvirksomhet gjelder også for behandling av opplysninger om næringsdrivende. Som næringsdrivende regnes etter de gjeldende kredittopplysningskonsesjonene «foretak som er registrert i Foretaksregisteret eller i Merverdiavgiftsregisteret samt foretak som er registrert i arbeidsgiverdelen i Arbeidsgiver- og arbeidstakerregisteret, dersom de etter en konkret vurdering kan sies å utøve næringsvirksomhet». Hensynet bak regelen er at uriktige kredittopplysninger om virksomheten, eller uriktig bruk av slike opplysninger, kan være vel så skadelig for en juridisk person som uriktig bruk av personopplysninger kan være for en fysisk person. Alle reglene om behandling av opplysninger i kredittopplysningsvirksomhet gjelder likevel ikke for behandling av opplysninger om juridiske personer. Det er blant annet gjort unntak fra gjenpartsplikten, som kun gjelder ved utlevering av opplysninger om fysiske personer. Også de øvrige informasjonsreglene gjelder ulikt for fysiske og juridiske personer. Tilsvarende gjelder ulike regler for hvilke opplysninger det er anledning til å bruke i kredittopplysningsvirksomhet om henholdsvis fysiske og juridiske personer.

4.2.2 Forordningen

Bestemmelsene om personvernforordningens saklige virkeområde har ingen betydning for spørsmålet om kredittopplysningsreglene skal omfatte behandling av opplysninger om andre enn fysiske personer. Norge står derfor fritt til å fastsette regler også for behandling av kredittopplysninger om juridiske personer.

4.2.3 Forslaget i høringsnotatet

I høringsnotatet la departementet til grunn at det er gode grunner som taler for å videreføre regulering av behandling av kredittopplysninger også om næringsdrivende. Samtidig pekte departementet på at næringsdrivende ikke er en ensartet gruppe, og at det kan være gode grunner til å fastsette noe ulike regler for ulike kategorier næringsdrivende. Det ble vist til at i mange tilfeller vil det kunne være vanskelig å skille foretakets økonomi fra eiers private økonomi. Enkeltpersonforetak kan derfor i mange sammenhenger best behandles som fysiske personer i kredittopplysningssammenheng, og dermed få tilsvarende rettigheter som fysiske personer. Et slikt skille er trukket i gjeldende rett, der det skilles mellom enkeltpersonforetak som er registrert i Foretaksregisteret og de som ikke er det, slik at de enkeltpersonforetakene som ikke er registrert blir behandlet som fysiske personer. Dette følger blant annet av kredittopplysningskonsesjonens regler om forhåndsvarsel, og det følger av konsesjonens merknader som sier at opplysninger om betalte fakturaer ikke kan registreres for enkeltpersonforetak som ikke er registrert i foretaksregisteret. Departementet anbefalte i høringsnotatet at dette skillet ble videreført, slik at når høringsforslaget henviste til næringsdrivende, var det tale om foretak som er registrert i Foretaksregisteret, Merverdiavgiftsregisteret, eller i arbeidsgiverdelen av Arbeidsgiver-og arbeidstakerregisteret.

For så vidt gjelder registrering i Arbeidsgiver- og arbeidstakerregisteret anbefalte departementet ikke å videreføre gjeldende regel om at det skal foretas en konkret vurdering av om det utøves næringsvirksomhet for å avgjøre om foretaket skal regnes som næringsdrivende. Departementet pekte på at en slik regel forutsetter individuell vurdering av hvert foretak, og kan gi seg utslag i ulikt resultat hos de ulike kredittopplysningsforetakene. For å skape mest mulig klarhet og forutsigbarhet, gikk departementet derfor inn for at alle foretak som er registrert i Arbeidsgiver- og arbeidstakerregisteret skal regnes som næringsdrivende.

Videre foreslo departementet at reglene i personvernforordningen og personopplysningsloven bare skal gjelde for behandling av kredittopplysninger om næringsdrivende der dette eksplisitt fremgår av kredittopplysningsloven.

4.2.4 Høringsinstansenes syn

Relativt få av høringsinstansene har gitt merknader til spørsmålet om hvorvidt kredittopplysningsreglene bør gjelde for behandling av kredittopplysninger om næringsdrivende. Flere høringsinstanser tar ikke stilling til hvorvidt regelverket bør omfatte behandling av kredittopplysninger om næringsdrivende. Samtidig gir de uttrykk for at hvis næringsdrivende skal omfattes, må det finnes en fornuftig balanse i reguleringen, og personopplysningsloven må ikke gis tilsvarende rekkevidde som for fysiske personer.

Blant de høringsinstansene som har gitt merknader til spørsmålet om hvorvidt kredittopplysningsreglene bør regulere behandling av kredittopplysninger om næringsdrivende, er synet delt. Skatteetaten støtter departementets forslag, og begrunner dette med at «bruk av kredittopplysninger kan være vel så skadelig for en næringsdrivende som for en privatperson». Datatilsynet og Juristforbundet deler dette synet.

Presseorganisasjonene ogFinansieringsselskapenes Forening er derimot negative til å la reglene omfatte næringsdrivende. Presseorganisasjonene mener det vil ha en nedkjølende effekt på samfunnets informasjonstilgang om personvernforordningens regler gis anvendelse for behandling av kredittopplysninger om næringsdrivende.

4.2.5 Departementets vurderinger

4.2.5.1 Begrepsbruk

Departementet knytter innledningsvis noen kommentarer til begrepsbruk for å skille ulike kategorier registrerte fra hverandre. I høringsutkastet ble begrepene næringsdrivende og enkeltpersoner benyttet. Dette innebar en videreføring av gjeldende rett. Enkeltpersonforetak ble omtalt som en særlig kategori, og behandling av opplysninger om disse ble i høringsutkastet foreslått å følge reglene om behandling av opplysninger om enkeltpersoner. Særlig begrepet næringsdrivende, og kategorisering av enkeltpersonforetak som en gruppe som tidvis behandles som næringsdrivende og tidvis som fysiske personer i kredittopplysningssammenheng, har historisk sett gitt opphav til uklarheter. Etter en nærmere vurdering er departementet kommet til at en mer hensiktsmessig begrepsbruk vil være å omtale enkeltpersoner som fysiske personer, og benytte juridisk person som betegnelse for det som i høringsutkastet ble omtalt som næringsdrivende. Dette skillet fremgår av lovforslaget § 3 bokstav b.

Bruk av begrepet fysisk person innebærer at begrepsbruken i lovforslaget samsvarer med begrepsbruken i personopplysningsloven og personvernforordningen. Etter personvernforordningen artikkel 4 nr. 1 er «enhver opplysning om en identifisert eller identifiserbar fysisk person» en personopplysning. Opplysninger om et enkeltpersonforetak vil derfor være opplysninger om en fysisk person. Etter personvernforordningen er det ikke anledning til å gi fysiske personer dårligere personvern enn det som følger av forordningen. Fordi opplysninger om enkeltpersonforetak er å anse som opplysninger om eier, må opplysningene om enkeltpersonforetaket derfor, så langt forordningen rekker, behandles etter reglene i personvernforordningen. Enkeltpersonforetak er dessuten i norsk rett ikke ansett å være en juridisk person. Det gir derfor god sammenheng i regelverket å behandle opplysninger om enkeltpersonforetak som opplysninger om en fysisk person.

Etter gjeldende konsesjoner er det trukket et skille mellom enkeltpersonforetak registrert i Foretaksregisteret og enkeltpersonforetak som ikke er registrert. Dette skillet danner grunnlag for skille mellom enkeltpersonforetak som etter gjeldende rett skal behandles som næringsdrivende og enkeltpersonforetak som skal behandles som fysiske personer i kredittopplysningssammenheng. Departementet kan i utgangspunktet ikke se at det, fra et personvernståsted, er gode grunner for å skille mellom enkeltpersonforetak på denne måten. Opplysninger om foretaket kan knyttes direkte til innehaver uavhengig av registrering. Departementet er dessuten i tvil om personvernforordningen gir adgang til å trekke dette skillet. Alle opplysninger som kan knyttes til en identifiserbar fysisk person skal behandles etter reglene i forordningen. Så lenge det er identifikasjon mellom økonomien i enkeltpersonforetaket og økonomien til den fysiske personen som eier foretaket, vil opplysningene om foretakets økonomi være personopplysninger i personvernforordningens forstand. Departementet mener det vil skape uklare regler og vanskeliggjøre regeletterlevelsen dersom enkeltpersonforetak, som i dag, skal behandles som juridiske personer i noen sammenhenger og som fysiske personer i andre. Tilsvarende skaper det uklarhet at noen enkeltpersonforetak konsekvent skal regnes som juridiske personer, mens andre konsekvent skal regnes som fysiske personer. Dette gjelder ikke minst når enkeltpersonforetak ellers i norsk rett ikke er å anse som juridiske personer. Departementet mener etter dette at det vil skape klarhet å behandle opplysninger om alle enkeltpersonforetak som opplysninger om fysiske personer i kredittopplysningsvirksomhet.

Begrepet juridisk person vil dekke næringsvirksomhet organisert i alle andre selskapsformer enn som enkeltpersonforetak. Det vil også dekke foreninger og andre sammenslutninger som ikke driver næringsvirksomhet, men som er registrert i Enhetsregisteret og tildelt organisasjonsnummer.

I lovforslaget, og i departementets vurderinger i proposisjonen før øvrig, benyttes derfor begrepet fysisk person der høringsforslaget benyttet enkeltperson. Tilsvarende benyttes begrepet juridisk person der høringsutkastet benyttet begrepet næringsdrivende. Enkeltpersonforetak faller uten unntak i kategorien fysisk person. I enkelte sammenhenger der det har særskilt betydning, benyttes høringsutkastets begreper.

4.2.5.2 Vurderinger

Også juridiske personer kan rammes hardt dersom uriktige økonomiske opplysninger om dem spres. Dette gjelder særlig små virksomheter. Men også større virksomheter og organisasjoner kan lide under spredning av uriktige opplysninger om dem, og det kan være ressurskrevende å få ryddet opp i feil. Slik departementet ser det, er det derfor gode grunner som taler for å videreføre regulering av behandling av kredittopplysninger også om juridiske personer. Dette er gjenspeilet i lovforslaget § 1 sammenholdt med § 3 bokstav b.

Det er viktig at regelverket skaper klarhet og forutsigbarhet både for de som driver kredittopplysningsvirksomhet, deres kunder og ikke minst for de registrerte. Ved å gå bort fra å bruke begrepet næringsdrivende, vil man unngå å videreføre dagens uklarhet knyttet til behandling av kredittopplysninger om enkeltpersonforetak. Enkeltpersonforetak eies av en fysisk person, og drives for vedkommendes regning og risiko. Innehaver har ubegrenset personlig ansvar, og enkeltpersonforetaket er ikke å regne som en juridisk person. I stedet vil enkeltpersonforetak være omfattet av reglene om behandling av opplysninger om fysiske personer. Sammenliknet med gjeldende rett, fører dette til at lovforslaget setter noe strammere rammer for behandling av kredittopplysninger om enkeltpersonforetak. Departementet mener det fremdeles vil være god tilgang til informasjon om enkeltpersonforetakene, og kan ikke se at endringen vil få negative konsekvenser av betydning for kredittmarkedet.

I høringsutkastet foreslo departementet å ikke videreføre gjeldende regel om at det skal foretas en konkret vurdering av om det utøves næringsvirksomhet i en virksomhet registrert i Arbeidsgiver- og arbeidstakerregisteret for å avgjøre om foretaket skal regnes som næringsdrivende. Det er ingen høringsinstanser som har kommentert temaet. Problemstillingen er kun relevant dersom registreringen har betydning for vurderingen av enkeltpersonforetak. Fordi departementet har konkludert med at alle enkeltpersonforetak i kredittopplysningssammenheng skal behandles som fysiske personer, er det ikke nødvendig å foreta en nærmere vurdering av spørsmålet om registrering i Arbeidsgiver- og arbeidstakerregisteret.

Departementet mener, i likhet med flere av høringsinstansene, at det er riktig å legge vekt på at det er svært ulike hensyn som gjør seg gjeldende ved regulering av behandling av kredittopplysninger om henholdsvis fysiske og juridiske personer. Det er ikke gitt at alle bestemmelsene i personvernforordningen og personopplysningsloven bør gjelde for behandling av kredittopplysninger om juridiske personer. Det bør derfor foretas en konkret vurdering av hvilke regler som skal kunne påberopes av juridiske personer. Departementet foreslår at reglene i personvernforordningen og personopplysningsloven bare skal gjelde for behandling av kredittopplysninger om juridiske personer der dette eksplisitt fremgår av kredittopplysningsloven. Hvilke av reglene som skal gis anvendelse vurderes konkret i forbindelse med behandling av de ulike rettslige problemstillingene i denne proposisjonen.

5 Lovens formål

5.1 Gjeldende rett

Verken personopplysningsforskriften kapittel 4 eller de gjeldende kredittopplysningskonsesjonene har klare formålsbestemmelser. Definisjonen av hva som er kredittopplysningsvirksomhet i personopplysningsforskriften § 4-2, særlig bestemmelsens første punktum, er likevel ansett for å angi hva kredittopplysninger kan benyttes til, og således angi formålet med behandling av opplysninger i kredittopplysningsvirksomhet. Det følger av bestemmelsen at kredittopplysningsvirksomhet er virksomhet som består i å gi meddelelser som belyser kredittverdighet eller økonomisk vederheftighet.

5.2 Forordningen

Personvernforordningen inneholder ingen bestemmelser om formålet med behandling av personopplysninger generelt, ut over det som følger av de generelle prinsippene i artikkel 5. Av artikkel 5 nr. 1 bokstav b følger at personopplysninger skal samles inn for spesifikk, uttrykkelig angitte og berettigede formål, og at de ikke kan viderebehandles på en måte som er uforenlig med innsamlingsformålet. Forordningen artikkel 6. nr. 3 jf. nr. 1 bokstav e åpner likevel for å fastsette nasjonale særregler som blant annet regulerer formålet med en behandling av personopplysninger.

5.3 Forslaget i høringsnotatet

I høringsnotatet foreslo departementet å klargjøre formålet med loven og også formålet med kredittopplysningsvirksomhet. Formålet med lovforslaget var å legge til rette for god behandling av opplysninger om økonomiske forhold i kredittopplysningsvirksomhet. Formålet med kredittopplysningsvirksomheten var å legge til rette for gode kredittvurderinger i et velfungerende kredittmarked, herunder motvirke uforsvarlig gjeldsbyrde. Ved å angi lovens formål på denne måten ønsket departementet å redusere uklarheter og tolkningsrommet for så vidt gjelder adgangen til å utlevere kredittopplysninger.

5.4 Høringsinstansenes syn

Det er få høringsinstanser som direkte har kommentert høringsnotatets forslag til formålsbestemmelse. Flere har imidlertid indirekte kommentert formålsbestemmelsen gjennom å kommentere adgangen til å utlevere kredittopplysninger.

Presseorganisasjonene er opptatt av at medienes rett til å innhente kredittopplysninger må lovfestes. Finans Norge viser til at formålsbestemmelsen sammen med forslaget til utleveringsbestemmelse medfører en uheldig begrensning i blant annet bankers mulighet til å innhente kredittopplysninger i andre situasjoner enn når det foreligger en kredittsøknad. Norske kredittopplysningsbyråers forening peker på at formålsangivelsen må være klar og tydelig, og gjenspeile den endringen som har vært i samfunnet og måten kreditt ytes på i dag. Høringsinstansen fremhever at forslagets bruk av begrepet «et velfungerende kredittmarked» gir regelverket en ønsket fleksibilitet. Virke inkasso peker på sin side på at formålsangivelse sammen med utleveringsbestemmelsen ikke åpner for bruk av kredittopplysninger i innfordringsprosesser, og finner dette uheldig.

Datatilsynet viser i sitt høringssvar til at en videreføring av dagens rettstilstand innebærer videreføring av en uavklart rettstilstand. Det er uklart hva som i dag ligger i begrepet «saklig behov» for kredittopplysninger. Videre mener Datatilsynet at departementet ikke har lagt tilstrekkelig vekt på personvernforordningens krav om formålsbestemthet når det i høringsutkastet åpnes for bruk til annet enn kredittvurdering i rene kredittsituasjoner. Både Datatilsynet og Forbrukertilsynet peker i sine høringsuttalelser på at det ikke nødvendigvis er tilstrekkelig for utlevering av kredittopplysninger at det foreligger en kredittsituasjon. Datatilsynet peker på at det kan foreligge situasjoner der risikoen er så beskjeden at det er tvilsomt om det er behov for kredittvurdering. Forbrukertilsynet skriver at de

«mener det er uheldig dersom det ikke er adgang til å vektlegge hensynet til forbrukeres behov for nødvendighetsgoder ved vurdering av om det foreligger saklig behov for å kredittvurdere.»

5.5 Departementets vurderinger

Departementet mener det er et behov for å klargjøre formålet med behandling av kredittopplysninger. Det bør fremkomme tydelig av loven hva den tar sikte på å regulere, og således hva opplysningene kan benyttes, herunder utleveres, til. Departementet er imidlertid, etter en vurdering, kommet til at det ikke er nødvendig at loven inneholder en særskilt formålsbestemmelse. Formålet med behandling av opplysninger vil i stedet fremgå ved å sammenholde lovforslagets bestemmelse om saklig virkeområde i § 1, bestemmelsen som definerer henholdsvis kredittopplysning i § 3 bokstav b og kredittopplysningsvirksomhet i § 3 bokstav d, og kravet om saklig behov i lovforslagets utleveringsbestemmelse i § 14 første ledd.

Formålet med loven er å regulere behandling av opplysninger i kredittopplysningsvirksomhet. Slik virksomhet går i henhold til definisjonsbestemmelsen ut på «ervervsmessig eller stadig utlevering av kredittopplysninger i den hensikt å belyse kredittevne». Det sentrale for om behandlingen faller inn under lovens virkeområde og formålet med lovutkastet, vil derfor være om opplysningene skal behandles i den hensikt å belyse noens kredittevne. Dette betyr samtidig at behandling av de samme opplysningene for andre formål, for eksempel Arbeids- og velferdsetatens behandling for tildeling av ulike typer stønader, ikke vil være omfattet av lovforslaget.

Etter en nærmere vurdering, mener departementet det er hensiktsmessig å gi regelverket noe mer fleksibilitet enn det høringsutkastet la opp til. Lovforslaget viderefører derfor ikke høringsforslagets henvisning til at loven skal legge til rette for et velfungerende kredittmarked. I stedet foreslås det at loven skal regulere behandling og utlevering av opplysninger i den hensikt å belyse kredittevne. Hva som utgjør «saklig behov» for kredittopplysninger må vurderes i lys av hvilke opplysninger det kan være behov for når man skal vurdere kredittevne, og i hvilke situasjoner det er behov for å vurdere kredittevne. Kredittevne skal omfatte både betalingsevne og -vilje.

Departementet legger til grunn at vurdering av kredittevne også kan innebære en vurdering av det som i personopplysningsforskriften 2000 § 4-2 første ledd ble omtalt som «økonomisk vederheftighet». Vurdering av «økonomisk vederheftighet» kan være aktuelt i situasjoner der det ikke skal ytes kreditt, og kan omfatte for eksempel ansettelsessituasjoner, ytelse av offentlige tilskudd og andre situasjoner der det er av stor betydning å vurdere noens generelle økonomiske situasjon og pålitelighet. Departementet mener at slik bruk av kredittopplysninger er innenfor det de registrerte med rimelighet må kunne forvente, og at loven ikke bør være til hinder for slik bruk. Departementet mener en tolkning av begrepet kredittevne til å omfatte både betalingsvilje og -evne i tillegg til økonomisk pålitelighet, vil innebære en videreføring av gjeldende rett og praksis. Departementet viser for øvrige til at et begrep tilsvarende «økonomisk vederheftighet» benyttes i den svenske kredittopplysningsreguleringen. Departementet finner imidlertid at begrepet er noe foreldet i norsk språklig sammenheng, og foreslår derfor ikke å videreføre begrepet fra gjeldende rett, men i stedet erstatte det med det mer tidsriktige begrepet kredittevne.

Videre anbefaler departementet å ikke videreføre forslaget i høringsnotatet om at formålet med kredittopplysningsvirksomhet er å motvirke uforsvarlig gjeldsbyrde for den enkelte. Det er gode kreditt- og risikovurderinger i kredittinstitusjonene som skal bidra til å motvirke uforsvarlig gjeldsbyrde. Kredittopplysningsvirksomheten skal legge til rette for at disse kredittvurderingene kan foretas på et så godt og fullstendig grunnlag som mulig. Departementet mener det gir regelverket økt og ønskelig fleksibilitet når lovutkastet er mindre knyttet til virkninger i kredittmarkedet. Dette kan åpne for utlevering av kredittopplysninger også i andre situasjoner enn rene kredittsituasjoner, forutsatt at mottakers behov fremstår som saklig fundert. Departementet mener det er ønskelig å klargjøre grensene for det saklige behovet for vurdering av kredittevne noe sammenliknet med gjeldende rett. Hva som oppfattes som saklig behov kan samtidig endre seg over tid, og fremstår dermed som en rettslig standard. Ved å anvende en rettslig standard i loven kan man gi regelverket ønsket og nødvendig fleksibilitet. Departementet mener det er utleveringsbestemmelsen som bør inneholde denne rettslige standarden. Krav til saklig behov omtales nærmere i kapittel 8.5.1. Pressens tilgang til kredittopplysninger reiser særlige spørsmål. Disse drøftes i kapittel 8.5.4 om kredittopplysningsforetakenes adgang til å utlevere opplysninger til bruk i journalistiske formål.

6 Opplysningstyper

6.1 Hvilke opplysninger kan behandles i kredittopplysningsvirksomhet

6.1.1 Gjeldende rett

Hvilke opplysninger som kan behandles i kredittopplysningsvirksomhet og hvilke kilder disse kan innhentes fra, fremgår av bestemmelser i Datatilsynets standardkonsesjon. Opplysningene deles i kategoriene grunndata (identifikasjons- og kontaktopplysninger), kredittopplysninger fra offentlig tilgjengelige kilder og kredittopplysninger fra kilder som ikke er offentlig tilgjengelige. I kategorien grunndata inngår blant annet navn, adresse, kontaktinformasjon fra offentlig tilgjengelig opplysningstjeneste, fødselsnummer og organisasjonsnummer. Kredittopplysninger om fysiske personer kan blant annet omfatte opplysninger som eierskap i motorvogn, tvangsforretninger i fast eiendom og løsøre, frivillige heftelser i fast eiendom og løsøre, skattefastsetting, utleggstrekk, åpning av gjeldsforhandlinger, konkurskarantene og betalingsanmerkninger. For juridiske personer kan det registreres opplysninger om blant annet tvangsforretninger i fast eiendom og løsøre, frivillige heftelser i fast eiendom og løsøre, rettskraftige dommer, konkurs- og akkordopplysninger, konkurskarantene, årsoppgjør, nøkkeltall fra regnskap, betalingsanmerkninger, rating og informasjon om betalte fakturaer. Det vises til de gjeldende standardkonsesjonene pkt. 1.1 for en fullstendig oversikt over hvilke opplysninger som kan registreres og behandles i kredittopplysningsvirksomhet.

6.1.2 Forordningen

Forordningen inneholder ingen bestemmelser om hvilke opplysninger som kan brukes i kredittopplysningsvirksomhet, ut over det som følger av de generelle prinsippene i artikkel 5. Av denne bestemmelsen følger at opplysningene som behandles må være adekvate, relevante og begrenset til det som er nødvendig for formålet, at de skal være korrekte og oppdaterte, og at opplysningene ikke kan lagres i identifiserbar form lenger enn det som er nødvendig for formålet. Forordningen artikkel 6. nr. 3 jf. nr. 1 bokstav e åpner likevel for å fastsette nasjonale særregler blant annet om hvilke opplysningstyper det skal være adgang til å behandle, forutsatt at slike regler er nødvendige.

6.1.3 Forslaget i høringsnotatet

Departementet la i høringsnotatet til grunn at kredittopplysninger er en type opplysninger de fleste ønsker å beskytte, og at det derfor er nødvendig å fastsette regler om hvilke opplysninger som kan behandles i virksomheten. Departementet foreslo i høringsnotatet å videreføre gjeldende rett for så vidt gjelder hvilke opplysningstyper som kan behandles i kredittopplysningsvirksomhet, men med de tilpasninger som er nødvendige for å imøtekomme personvernforordningens krav. Departementet ga samtidig uttrykk for at det neppe er hensiktsmessig at lovteksten inneholder en fullstendig liste over hvilke opplysninger som kan behandles i kredittopplysningsvirksomhet, da dette vil gi et lite fleksibelt regelverk. Høringsforslaget gikk derfor ut på å innta i loven de hovedkategoriene opplysninger som kan behandles i kredittopplysningsvirksomhet om henholdsvis fysiske og juridiske personer. Det ble foreslått å åpne for en nærmere regulering i forskrift. Departementet foreslo i tillegg at det ikke skal være anledning til å behandle opplysningstyper som omtalt i personvernforordningen artikkel 9 nr. 1 og artikkel 10 (særlige kategorier personopplysninger, og opplysninger om straffedommer og lovovertredelser) i kredittopplysningsvirksomhet.

6.1.4 Høringsinstansenes syn

Flere høringsinstanser har uttalt seg om behovet for å regulere hvilke opplysninger som kan registreres og behandles i kredittopplysningsvirksomhet.

Forbrukertilsynet og Datatilsynet mener dataminimeringskravet i personvernforordningen artikkel 5 nr. 1 bokstav c bør tolkes strengt, slik at det kun er økonomiske opplysninger som kan benyttes i kredittopplysningsvirksomhet. Begge høringsinstansene støtter departementets forslag om at det ikke skal være adgang til å behandle opplysninger som nevnt i personvernforordningen artikkel 9 nr. 1 og artikkel 10. Datatilsynet peker i sin høringsuttalelse dessuten på at opplistingen av opplysningstyper i loven bør være mer detaljert enn departementet la opp til i høringsutkastet, og at oversikten også bør suppleres av forskrifter for å gi fleksibilitet.

Forbrukerrådet støttet både departementets forslag om at ikke alle opplysningstyper i detalj kan listes opp i loven, samt forslaget om at forbudet mot behandling av opplysninger som omtalt i personvernforordningen artikkel 9 nr. 1 og artikkel 10 bør fremgå eksplisitt av kredittopplysningsloven. Videre ga høringsinstansen uttrykk for at scoremodeller for privatpersoner ikke bør kunne bygge på opplysninger om kjønn og bosted.

Skattedirektoratet anbefalte å endre begrepsbruk vedrørende likningsopplysninger slik at dagens begrep «utlagt likning» erstattes med det mer tidsriktige begrepet «skattefastsetting». Direktoratet påpeker også at de opplysningene som kredittopplysningsforetakene, med hjemmel i skatteforvaltningsloven § 3-4, kan hente fra skatteetaten, er mer omfattende enn det som fremgår av utlagt og offentlig tilgjengelig likning.

6.1.5 Departementets vurderinger

6.1.5.1 Opplysningstyper

Departementet finner, basert på høringsinnspillene, ikke grunn til å la lovforslaget videreføre dagens detaljerte regulering av hvilke opplysningstyper som kan benyttes i kredittopplysningsvirksomhet. Detaljert lovregulering vil etter departementets vurdering gi et lite fleksibelt regelverk, og dermed hyppige behov for lovendringer. Dette vurderes å være lite ønskelig både for næringslivet og lovgiver. Samtidig bør loven sette klare rammer for innholdet i en eventuell forskriftsregulering, slik at det er lovgiver som tar stilling til hvilke hovedkategorier av opplysninger det skal være anledning til å benytte i virksomheten. Departementet foreslår derfor, i tråd med høringsforslaget, at det i loven angis hvilke hovedkategorier av opplysninger som kan behandles i kredittopplysningsvirksomhet om henholdsvis fysiske og juridiske personer, og at opplysningskategoriene kan detaljeres i forskrift. Et forslag til lovbestemmelse er inntatt i lovutkastet § 6. Bestemmelsen om lovlige opplysningstyper må leses i sammenheng med bestemmelsen om hvilke kilder opplysninger kan hentes fra, se kapittel 7.5. Disse bestemmelsene vil sammen danne en god ramme for hvilke opplysninger som er relevante å behandle i kredittopplysningsvirksomhet.

Departementet mener for det første at det bør kunne registreres grunndata om den enkelte. Dette er informasjon som er nødvendig for å identifisere den enkelte, så som navn, fødselsnummer, organiasjonsnummer og adresse, kontaktinformasjon (inkludert ev. elektronisk kontaktinformasjon som e-postadresse) og enkelte grunndata om juridiske personer. I tillegg kan det behandles kredittopplysninger fra både offentlig tilgjengelige kilder, som Brønnøysundregistrene, og ikke offentlig tilgjengelige kilder, som inkassoforetak og gjeldsinformasjonsforetak. Fra Skattedirektoratet kan det både hentes opplysninger som er offentlig tilgjengelige og opplysninger som i utgangspunktet er taushetsbelagte, men som kan utleveres til kredittopplysningsforetakene med hjemmel i skatteforvaltningsloven § 3-4. Opplysninger som kan registreres og behandles i kredittopplysningsvirksomheten vil blant annet være opplysninger om skattefastsetting, opplysninger om tvangsforretninger i fast eiendom og løsøre, inkassosaker/betalingsanmerkninger, rettskraftige dommer (ikke straffedommer), informasjon om åpnet gjeldsforhandling og gjeldsopplysninger. For juridiske personer kan det i tillegg behandles en del opplysninger om virksomhetens økonomi, blant annet regnskapsinformasjon.

Departementet har merket seg Datatilsynets høringsinnspill der tilsynet gir uttrykk for at loven bør inneholde en tydeligere angivelse av hvilke opplysningstyper som tillates brukt i kredittopplysningsvirksomhet, blant annet for å hindre sosial profilering basert på for eksempel flyttehyppighet. Etter departementets vurdering er det ikke hensiktsmessig å innta en fullstendig liste over hvilke opplysninger som kan behandles i kredittopplysningsvirksomhet direkte i lovteksten. Departementet legger til grunn at det over tid vil kunne oppstå endringer i hvilke opplysninger som det er hensiktsmessig og naturlig å bruke i slik virksomhet. Følgelig vil det også oppstå behov for regelendringer, og opplysningene kan derfor med fordel fremgå av forskrift for å gi rom for fleksibilitet. Adgangen til å angi i forskrift hvilke opplysninger som kan behandles, er derfor presisert i lovforslaget. Det må likevel være et klart utgangspunkt at de opplysningene som skal brukes i virksomheten må ha nær sammenheng med og være klart egnet til å si noe om den registrertes kredittevne. Dette følger av dataminimeringsprinsippet i personvernforordningen artikkel 5 nr. 1 bokstav c. Bestemmelsen i lovforslaget, sammen med personvernforordningen artikkel 5 nr. 1 bokstav c, angir således rammen for forskriftsregulering av hvilke opplysninger som kan brukes i kredittopplysningsvirksomhet.

Samtidig er det departementets vurdering at hovedkategoriene av opplysningstyper, sammenholdt med angivelse av de kildene opplysninger kan hentes fra, vil gi en god ramme for hvilke opplysninger som kan benyttes i kredittopplysningsvirksomheten. Departementet vurderer derfor at det verken er nødvendig eller ønskelig med en detaljert angivelse av lovlige opplysningstyper i selve lovteksten, men forutsetter at detaljregulering inntas i forskrift.

6.1.5.2 Kredittscore

Departementet viser til Datatilsynets merknad om behovet for regulering av hvilke variabler som kan inngå i en scoremodell, slik at man unngår sosial profilering. Departementet er enig med Datatilsynet i at det er uheldig om klart ikke-økonomisk informasjon tillegges betydelig vekt i en kredittvurdering. Departementet er imidlertid usikker på om det er hensiktsmessig å sette begrensninger i lov for hvordan lovlige opplysningstyper kan vektlegges i kredittopplysningsforetakenes scoremodeller. Synet på hva som bør eller ikke bør inngå i en scoremodell, og hvordan disse skal bygges opp, vil etter departementets syn kunne endre seg i et slikt tempo at det eventuelt egner seg best for regulering i forskrift. Samtidig er departementet i tvil om det er kredittopplysningsregelverket som bør regulere oppbygging av modeller for risikovurdering. Ulike brukere av kredittopplysninger vil kunne legge vekt på ulike opplysningselementer. Det må likevel være en forutsetning at de opplysningstypene som legges inn i scoremodeller er opplysninger som tilfredsstiller kravet til dataminimalitet i personvernforordningen artikkel 5 nr. 1 bokstav c. Departementet er på denne bakgrunn kommet til at også eventuell regulering av variablene i scoremodeller best kan gjøres i forskrift.

6.2 Opplysninger som ikke kan brukes i kredittopplysningsvirksomhet

6.2.1 Gjeldende rett

I gjeldende konsesjoner er det eksplisitt fastsatt at det ikke er adgang til å behandle sensitive personopplysninger i kredittopplysningsvirksomhet. Etter personopplysningsloven 2000 ble blant annet opplysninger om helseforhold, straffbare forhold, etnisk bakgrunn og religiøs oppfatning regnet som sensitive opplysninger. Konsesjonen inneholder også bestemmelser som setter visse begrensninger på registrering og behandling av inkassoopplysninger og opplysninger om gjeldsordning. Ut over dette er det den positive oppregningen av hvilke opplysninger som kan registreres som setter rammen for hvilke opplysninger det er adgang til å behandle.

6.2.2 Forordningen

Personvernforordningen inneholder ingen bestemmelser om hvilke opplysninger som kan, eller ikke kan, behandles i kredittopplysningsvirksomhet, ut over det som følger av de generelle prinsippene i forordningen artikkel 5. Det ligger imidlertid begrensninger i forordningens bestemmelser om at opplysningene må være adekvate, relevante og begrenset til det som er nødvendig for formålet, at de må være korrekte og oppdaterte, og at de ikke lagres i identifiserbar form lenger enn det som er nødvendig for formålet. Forordningen artikkel 9 nr. 1 og artikkel 10 oppstiller dessuten et generelt forbud mot og begrensninger i adgangen til å behandle særlige kategorier personopplysninger og opplysninger om straffbare forhold. Dette omfatter de opplysningskategoriene som tradisjonelt er omtalt som «sensitive personopplysninger» i norsk rett. Personvernforordningen artikkel 9 nr. 2 tillater behandling av særlige kategorier av personopplysninger i nærmere angitte tilfeller. Forordningen artikkel 6. nr. 3 jf. nr. 1 bokstav e åpner for å fastsette nasjonale særregler blant annet om hvilke opplysningstyper det skal være adgang til å behandle, forutsatt at slike regler er nødvendige.

6.2.3 Forslaget i høringsnotatet

Departementet foreslo i høringsnotatet å lovfeste at det, som etter gjeldende rett, ikke skal være anledning til å behandle særlige kategorier av personopplysninger som nevnt i personvernforordningen artikkel 9 nr. 1 i kredittopplysningsvirksomhet. Dette omfatter blant annet opplysninger om helse, etnisk bakgrunn og politisk tilhørighet. Departementet begrunnet forslaget med at denne type opplysninger ikke har en så nær og direkte sammenheng med den enkeltes økonomi at de er nødvendige for formålet. Departementet ga uttrykk for at det er de økonomiske opplysningene om den registrerte, f.eks. inntekt og betalingsanmerkninger, som bør være relevante for kredittvurderingen, og ikke det faktum at personen for eksempel er syk.

Departementet foreslo dessuten i høringsutkastet å innta en særregel om at unntakene i personvernforordningen artikkel 9 nr. 2, som tillater behandling av særlig kategorier av personopplysninger i gitte tilfeller, ikke skal gjelde for kredittopplysningsforetakenes behandling av personopplysninger.

I høringsutkastet foreslo departementet at det heller ikke skulle være adgang til å behandle opplysninger nevnt i personvernforordningen artikkel 10, det vil si opplysninger om at noen er siktet, tiltalt eller dømt for et straffbart forhold, i kredittopplysningsvirksomhet. Slike opplysninger anses heller ikke nødvendige for å kunne foreta fullgode kredittvurderinger. Departementet pekte i høringen på at det likevel var grunn til å gjøre unntak for så vidt gjaldt unnlatelse av å utarbeide og innlevere regnskap i samsvar med reglene i regnskapsloven kapittel 3 og 8. Unnlatelse av å levere regnskap er straffbart jf. regnskapsloven § 8-5 jf. straffeloven §§ 392-394, men departementet foreslo at opplysninger om manglende regnskap for juridiske personer likevel må kunne registreres i kredittopplysningsvirksomhet fordi opplysningene kan ha relevans for kredittvurdering.

Høringsnotatet listet i tillegg opp en rekke andre opplysninger som departementet mente det ikke burde være adgang til å bruke i kredittopplysningsvirksomhet, eller som bør underlegges særskilte begrensninger. Det ble foreslått at det ikke skal være adgang til å benytte opplysninger om omtvistede fordringer og opplysninger om tidligere forespørsler om kredittopplysninger. Videre foreslo departementet at rating av juridiske personer utelukkende kan baseres på opplysninger knyttet til foretaket/virksomheten. Opplysninger om nøkkelpersoner i virksomheten kan bare brukes ved utarbeidelse av rating frem til den juridiske personens første regnskap er tilgjengelig. Forslaget på dette punktet var en videreføring av gjeldende rett. Høringsnotatet foreslo også en «sperrefrist» for registrering og bruk av inkassoopplysninger, slik at denne type opplysninger om fysiske personer først kan benyttes i kredittopplysningsvirksomhet en måned etter at inkassator har sendt stevning eller begjæring om rettslige skritt i saken. For opplysninger om juridiske personer ble fristen foreslått satt til en måned etter at inkassator har sendt krav om inndrivelse av gjelden. For behandling av opplysninger om registrert gjeldsordning jf. gjeldsordningsloven § 7-1 ble det foreslått at disse opplysningene kunne brukes i kredittopplysningsvirksomhet så lenge ordningen varer. For så vidt gjelder disse begrensningene, innebar høringsnotatet en videreføring av gjeldende rett.

6.2.4 Høringsinstansenes syn

6.2.4.1 Særlige kategorier av personopplysninger

Få høringsinstanser har kommentert spørsmålet om behandling av særlige kategorier av personopplysninger i kredittopplysningsvirksomhet. Både Datatilsynet, Finans Norge og Forbrukerrådet har imidlertid gitt sin støtte til departementets forslag i høringsnotatet om at det ikke skal være adgang til å benytte opplysninger som nevnt i personvernforordningen artikkel 9 nr. 1 eller artikkel 10 i kredittopplysningsvirksomhet. Både Forbrukerrådet og Finans Norge påpeker at det bør fremgå klart av kredittopplysningsloven hvilke opplysninger dette dreier seg om. Forbrukerrådet skriver i sin høringsuttalelse:

«Av hensyn til lovens lesbarhet og tilgjengelighet er det ikke tilstrekkelig kun å henvise til aktuelle artikler i personvernforordningen. Som et minimum bør det også henvises til bestemmelsene om sensitive personopplysninger i personopplysningsloven.»

6.2.4.2 Inkassoopplysninger

Enkelte høringsinstanser har gitt innspill til forslaget om «sperrefrist» for bruk av inkassoopplysninger. Norske kredittopplysningsbyråers forening har anført at reglene for bruk av inkassoopplysninger bør være de samme uavhengig av om opplysningene gjelder en fysisk eller en juridisk person. Inkassoopplysninger bør etter deres syn kunne brukes i kredittopplysningsvirksomhet en måned etter at inkassator har sendt krav om inndrivelse av gjelden. Foreningen anfører at fysiske personers rettigheter vil bli ivaretatt gjennom forhåndsvarsling. Også Virke Inkasso mener sperrefristen for bruk av inkassoopplysninger om fysiske personer i dag er for lang. Høringsinstansen skriver følgende i sitt høringssvar:

«Virke Inkasso mener at en slik videreføring ikke er tilstrekkelig til å oppnå lovforslagets uttalte formål; å legge til rette for gode kredittvurderinger i et velfungerende kredittmarked, herunder motvirke uforsvarlig gjeldsbyrde for den enkelte. […] Etter vår oppfatning vil vårt forslag gi en raskere mulighet til å benytte inkassoopplysninger i kredittopplysningsvirksomhet, bidra til at beslutningstakere gis enda bedre informasjon som grunnlag for å avslå søknader om kreditt fra personer med latente økonomiske utfordringer, herunder medvirke til å motvirke uforsvarlig gjeldsbyrde hos den enkelte utover hva som følger av nåværende forslag til paragraf 10.»

Virke Inkasso mener en mer hensiktsmessig ordning vil være at inkassoopplysninger om fysiske personer kan benyttes i kredittopplysningsvirksomhet 60 dager etter at inkassator har sendt krav om inndrivelse av gjelden.

Datatilsynet har påpekt at høringsnotatet er uklart for så vidt gjelder behandling av inkassoopplysninger om enkeltpersonforetak. I høringsforslaget benyttet departementet formuleringen «inkassoopplysninger om næringsdrivende, herunder om enkeltpersonforetak». Datatilsynet påpeker i sin høringsuttalelse at dette kan gi inntrykk av at alle enkeltpersonforetak vil falle inn under begrepet næringsdrivende. Datatilsynet ber departementet klargjøre dette.

6.2.4.3 Omtvistet fordring

Bare et fåtall av høringsinstansene har kommentert forslaget i høringsnotatet om bruk av opplysninger om omtvistede fordringer. Forbrukerrådet støtter departementets forslag. Datatilsynet har kommentert begrepsbruk i høringsforslaget. I de gjeldende konsesjonene fremgår det at en fordring ikke regnes som omtvistet når det foreligger et rettskraftig tvangsgrunnlag jf. tvangsfullbyrdelsesloven § 7-2. I høringsforslaget valgte departementet å erstatte rettskraftig tvangsgrunnlag jf. tvangsfullbyrdelsesloven § 7-2 med begrepet «rettskraftig avgjørelse». Datatilsynet har stilt spørsmål ved om ordlyden i lovforslaget, som avviker noe fra ordlyden i de gjeldende konsesjonene, innebærer en realitetsendring.

Norske kredittopplysningsbyråers forening mener skyldner må pålegges å dokumentere skriftlig at fordringen er omtvistet, og at dette må fremkomme av lovteksten. Foreningen skriver følgende i sin høringsuttalelse:

«Denne bestemmelsen oppfatter vi som en ren videreføring av dagens rett, som fungerer og er vel etablert praksis. Det følger imidlertid av praksis fra Datatilsynet at skyldner må skriftlig dokumentere at fordringen er omtvistet. Det er helt vesentlig for at kredittopplysningsselskapet skal kunne sperre opplysningene og for å kunne sikre fullstendige og korrekte opplysninger i denne type saker.»

6.2.4.4 Gjeldsordning

De fleste høringsinstansene synes å støtte departementets forslag om å videreføre dagens regler om tidsramme for bruk av opplysning om gjeldsordning i kredittopplysningsvirksomhet. Finans Norge har imidlertid kommentert bestemmelsens plassering, og mener den innholdsmessig hører sammen med bestemmelsen i høringsforslaget § 24 om sletting av opplysning om åpning av gjeldsforhandling. Fylkesmannen i Oslo og Akershus på sin side har kommentert at de mener den lange brukstiden kan få uheldige konsekvenser for de registrerte. Høringsinstansen begrunner dette slik:

«Normalt varer en gjeldsordning i fem år, dvs. lenger enn opplysninger som nevnt over som bare kan brukes i fire år. Da fremstår dette som en merkelig forskjellsbehandling. En person som får en gjeldsordning etter gjeldsordningsloven har fått en ordning av sin økonomi og pengeforpliktelser, og skal kunne begynne livet sitt på nytt. Forskningen viser likevel at personer som har gjeldsordning i større grad enn andre personer har problemer med å opprette vanlige kundeforhold til eks. telefonabonnement, strøm osv. Fylkesmannen ser at det kan være en negativ sammenheng mellom at opplysninger om registrert gjeldsordning kan brukes i kredittopplysningsvirksomhet og dermed påvirke negativt personer som har gjeldsordnings mulighet til å leve vanlige liv. Vi ber departementet om å vurdere om dette er hensiktsmessig sett i forhold til hensikten med gjeldsordningsloven.»

6.2.4.5 Rating av juridiske personer

Høringsforslagets bestemmelse om utarbeidelse av rating av foretak innebar en videreføring av gjeldende rett. Det er kommet få merknader til forslaget. Datatilsynet påpeker at begrepet «foretak» bør erstattes med «næringsdrivende» for å få konsistent begrepsbruk i hele lovteksten, men har ellers ikke merknader til bestemmelsens innhold. Finans Norge har i sin høringsuttalelse tatt til orde for at det bør åpnes for at kredittvurdering av nøkkelpersoner kan inngå i rating av foretak også etter at virksomhetens første regnskap er levert. Finans Norge begrunner sitt syn slik:

«Det er ofte en direkte sammenheng mellom uorden i privatøkonomi hos aksjonær, styreleder og daglig leder og uorden i foretakets økonomi. Vi mener derfor en kredittvurdering av nøkkelpersoner for enkelte typer engasjementer er en nødvendighet for å kunne gjøre en forsvarlig vurdering av risikoen ved å yte kreditt til foretaket. […] Det bør altså åpnes for slik kredittvurdering dersom behovet er konkret vurdert for det spesifikke engasjementet.»

Subsidiært foreslår Finans Norge at det skal være adgang til å foreta kredittvurdering av nøkkelpersoner basert på samtykke fra den opplysningene gjelder.

Også Forbrukerrådet mener det i enkelte tilfeller bør være adgang til å legge vekt på opplysninger om nøkkelpersoner også etter at virksomheten har levert regnskap. Forutsetningen for dette er at det dreier seg om nøkkelpersoner i useriøse foretak og at de samme personene gjentatte ganger har stått bak foretak som har hatt som forretningsmodell å svindle enten forbrukere eller andre foretak. Forbrukerrådet påpeker dessuten at endringer i rating av foretak i størst mulig grad bør baseres på faktiske endringer i virksomhetens økonomiske utsikter eller stilling.

6.2.4.6 Tidligere forespørsler

I høringsnotatet foreslo departementet å videreføre forbudet mot å bruke opplysninger om tidligere forespørsler om kredittvurdering i kredittopplysningsvirksomheten. Det er kun Finans Norge som har kommentert spørsmålet i sitt høringssvar. Finans Norge mener det bør åpnes for bruk av opplysninger om tidligere forespørsler i kredittopplysningsvirksomhet. Begrunnelsen er at disse opplysningene er en viktig indikator på om personen eller foretaket har gjeldsutfordringer.

6.2.5 Departementets vurderinger

Departementet mener personvernforordningen artikkel 6 nr. 3 kan tolkes slik at den ikke bare åpner for å fastsette regler om hvilke personopplysninger som kan behandles, men at den også åpner for å avgrense mot behandling av bestemte opplysninger. I den svenske utredningen om særregulering av behandling av opplysninger i kredittopplysningsvirksomhet, Ds 2017:26, har det svenske Justitiedepartementet i kapittel 5.5 vurdert at personvernforordningen artikkel 6 nr. 2 og 3 gir nasjonalt handlingsrom til å fastsette bestemmelser som forbyr behandling av særlig kategorier av personopplysninger i kredittopplysningsvirksomhet. Basert på dette foreslår departementet at det avgrenses mot bruk av bestemte opplysningstyper i kredittopplysningsvirksomhet, og at det for andre opplysningstyper settes begrensninger for bruken.

6.2.5.1 Særlige kategorier av personopplysninger

Basert på innspillene fra høringsinstansene, mener departementet at forbudet mot å benytte særlige kategorier av personopplysninger i kredittopplysningsvirksomhet bør videreføres, se lovforslaget § 7. De opplysningene det dreier seg om, er blant annet opplysninger om helse, etnisk bakgrunn og politisk tilhørighet. Departementet kan i utgangspunktet vanskelig se at noen av unntakssituasjonene i personvernforordningen artikkel 9 nr. 2 i praksis vil kunne gjøre seg gjeldende i kredittopplysningsvirksomhet, og derigjennom gi grunnlag for behandling av særlige kategorier av personopplysninger. Videre vurderer departementet at denne type opplysninger heller ikke har en så nær og direkte sammenheng med den enkeltes økonomi at de er nødvendige for formålet. Riktignok kan for eksempel langvarig sykdom få konsekvenser for en persons økonomi. Departementet mener likevel at det er de økonomiske opplysningene om vedkommende, f.eks. inntekt og betalingsanmerkninger, som bør være relevante for kredittvurderingen, og ikke det faktum at vedkommende er syk. Det vil dessuten i mange sammenhenger være vanskelig å kvalitetssikre kildene slike opplysninger eventuelt blir innhentet fra, og derigjennom sikre tilfredsstillende opplysningskvalitet.

Departementet mener derfor det er riktig å lovfeste forbudet mot behandling av særlige kategorier av personopplysninger i kredittopplysningsvirksomhet, slik at forbudet fremkommer tydelig av lovteksten. To av tre høringsinstanser som har kommentert spørsmålet om behandling av særlige kategorier av personopplysninger i kredittopplysningsvirksomhet, har tatt til orde for å innta listen over opplysningstyper jf. personvernforordningen artikkel 9 nr. 1 direkte i loven. Departementet har merket seg innspillene i høringsrunden, og er enig i at det kan være hensiktsmessig å innta en liste over de opplysningstypene som det ikke er tillatt å behandle direkte i kredittopplysningsloven. Dette vil gjøre informasjonen lettere tilgjengelig, og bidra til å hindre misforståelser rundt dette viktige spørsmålet. Samtidig mener departementet at det er hensiktsmessig å beholde henvisningen til tilsvarende bestemmelse i forordningen, slik at det fremgår klart at de to bestemmelsene dekker samme opplysningskategorier.

6.2.5.2 Opplysninger om straffedommer og lovovertredelser

Departementet vurderer at det heller ikke bør være adgang til å behandle opplysninger som nevnt i personvernforordningen artikkel 10, det vil si opplysninger om straffedommer og lovovertredelser, i kredittopplysningsvirksomheten. Dette er gjenspeilet i lovutkastet § 8 første ledd. Selv om slike opplysninger ikke er å anse som en særlig kategori av personopplysninger etter forordningen artikkel 9 nr. 1, er det opplysninger som de fleste opplever som meget sensitive og beskyttelsesverdige. Det er ikke adgang til å benytte slike opplysninger i kredittopplysningsvirksomhet i dag, og heller ingen høringsinstanser har tatt til orde for at det bør åpnes for det. Departementet kan ikke se at det er nødvendig å behandle slike opplysninger for å kunne foreta fullgode kredittvurderinger.

Det er likevel grunn til å gjøre ett unntak fra forbudet mot å behandle opplysninger om straffedommer og lovovertredelser i kredittopplysningsvirksomhet. Unnlatelse av å utarbeide og innlevere regnskap i samsvar med reglene i regnskapsloven kapittel 3 og 8 er straffbart i henhold til regnskapsloven § 8-5 jf. straffeloven (2005) §§ 392–394. Opplysninger om dette vil derfor være å anse som en opplysning om et straffbart forhold eller en lovovertredelse. Departementet mener at opplysninger om manglende utarbeidelse og/eller innlevering av regnskap for juridiske personer likevel må kunne behandles i kredittopplysningsvirksomhet, se lovforslaget § 8 andre ledd. Fordi det dreier seg om opplysninger om juridiske personer, vurderer departementet inngrepet som begrenset samtidig som informasjonen vurderes som klart relevant i kredittvurderingssammenheng. Informasjonen om manglende utarbeidelse og innlevering av regnskap vil dessuten fremgå av Regnskapsregisteret i Brønnøysundregistrene. Sånn sett er dette en offentlig tilgjengelig opplysning fra myndighetens side som den behandlingsansvarlige kan innhente med grunnlag i lovforslagets bestemmelse om lovlige kilder § 9.

Som for de særlige kategoriene av personopplysninger, mener departementet det er hensiktsmessig å erstatte høringsforslagets henvisning til personvernforordningen artikkel 10 med en oversikt direkte i lovteksten over de aktuelle opplysningstypene forbudet omfatter. Dette gir mindre grunnlag for tvil om hvilke opplysningstyper som er omfattet. Av særmerknad til lovforslaget § 8 første ledd fremgår det klart at formuleringen i de to bestemmelsene har samme nedslagsfelt.

6.2.5.3 Inkassoopplysninger

Inkassoopplysninger ligger i kjernen av den type opplysninger som er relevante i vurdering av kredittevne. Lovforslaget går ut på at det skal være adgang til å behandle opplysninger om inkasso for både fysiske og juridiske personer, jf. lovforslaget § 10. Departementet har merket seg innspillene fra Norske kredittopplysningsbyråers forening og Virke Inkasso om at sperrefristen for bruk av inkassoopplysninger om fysiske personer er for lang, og fører til at potensielle kredittgivere ikke har et tilfredsstillende og oppdatert beslutningsgrunnlag. Departementet bemerker at den fristen som gjelder for bruk av inkassoopplysninger i kredittopplysningsvirksomhet har stått uendret i mange år. Ordningen har fungert tilsynelatende godt. Samtidig ser departementet at tempoet i kredittmarkedet over tid har endret seg. I dag skjer kredittvurderinger raskt, og det er mulig å pådra seg betydelig gjeld i løpet av relativt kort tid. Jo lettere det er å oppta ny kreditt, desto viktigere er det at kredittgivers beslutningsgrunnlag er godt. Departementet ser at oppdaterte opplysninger om inkassosaker er verdifull informasjon i kredittvurderingssammenheng. Å vente i tre til fire måneder før en inkassosak kan benyttes i kredittvurdering kan hindre et godt beslutningsgrunnlag.

Samtidig viser departementet til at Stortinget i juni 2017 behandlet Prop. 87 L (2016–2017) om gjeldsinformasjonsloven. Loven trådte i kraft i november 2017, og gjeldsinformasjon er tilgjengelig fra sommeren 2019. Departementet legger til grunn at tilgangen til gjeldsopplysninger vil supplere tilgangen til betalingsanmerkninger, og ha vesentlig innvirkning på beslutningsgrunnlaget ved kredittvurderinger. Adgangen til å legge vekt på gjeldsinformasjon i kredittvurderingssammenheng er relativt ny. Det er departementets vurdering at man bør skaffe seg erfaring med effekten av gjeldsinformasjonsloven før det vurderes å åpne for utvidet bruk av opplysninger om inkassosaker. Etter en samlet vurdering finner departementet derfor at den beste løsningen for både kredittgiverne og de registrerte er å videreføre ordningen der inkassoopplysninger som gjelder fysiske personer ikke kan benyttes i kredittopplysningsvirksomhet før en måned etter at inkassator har sendt stevning eller begjæring om rettslige skritt i saken.

Departementet la i høringsnotatet opp til en ordning der alle foretak som er registrert i Foretaksregisteret, Merverdiavgiftsregisteret eller arbeidsgiverdelen av Arbeidsgiver- og arbeidstakerregisteret er å anse som næringsdrivende. Høringsforslaget gikk samtidig ut på at inkassosaker om næringsdrivende, herunder enkeltpersonforetak, skulle kunne benyttes i kredittopplysningsvirksomhet en måned etter at inkassator har sendt krav om inndrivelse av gjelden. Datatilsynet har kommentert misforholdet mellom de to formuleringene i sitt høringssvar. Departementet legger til grunn at det er en uheldig formulering i høringsnotatets lovutkast på dette punktet som ligger til grunn for Datatilsynets merknad. Departementet mener misforståelser på dette området unngås ved å benytte begrepet juridiske personer i stedet for næringsdrivende. Skillet mellom de ulike kategoriene blir klarere ved at enkeltpersonforetak ikke er en juridisk person.

6.2.5.4 Omtvistet fordring

Departementet foreslår i lovforslaget å videreføre forbudet mot bruk av omtvistede fordringer i kredittopplysningsvirksomhet. Det kan få uheldige negative konsekvenser for den registrerte dersom opplysninger om omtvistede saker benyttes i kredittopplysningsvirksomhet. Det er legitimt for skyldner å diskutere gyldigheten av et krav med kreditor. Samtidig må det være rimelig hold i skyldners påstander om at kravet er uriktig dersom påstanden skal legges til grunn av kredittopplysningsforetaket.

Departementet er ikke enig med Norske kredittopplysningsbyråers forening i at det skal kunne kreves at skyldner dokumenterer at fordringen er omtvistet. En slik plikt vil kunne gjøre det urimelig byrdefullt for den registrerte å ivareta egne interesser. Departementet mener dessuten at det kan stilles spørsmål ved om det er hensiktsmessig å pålegge de registrerte denne type plikter i et regelverk som ellers retter seg mot aktører som skal drive kredittopplysningsvirksomhet. Samtidig vil det i mange sammenhenger være en fordel om skyldner kan dokumentere en påstand om at en fordring er omtvistet. Dette kan for eksempel gjøres ved å fremlegge kopi av korrespondanse med kreditor. Kredittopplysningsforetaket kan således oppfordre til, men ikke kreve slik dokumentasjon fra den registrerte. Det er kredittopplysningsforetaket som er ansvarlig for og skal kunne påvise at de registrerte opplysningene er riktige.

Det er skyldners subjektive forståelse av situasjonen som skal legges til grunn når det vurderes om et krav er omtvistet. Med mindre skyldners innsigelser fremstår som åpenbart grunnløse, skal kredittopplysningsforetaket derfor legge avgjørende vekt på skyldners syn i saken. Dette er gjenspeilet i lovutkastet § 11. Et element i vurderingen av om innsigelsene er grunnløse vil kunne være at de står i motstrid til skriftlig dokumentasjon i saken.

Av gjeldende konsesjoner for kredittopplysningsvirksomhet fremgår at en fordring ikke lenger er å anse som omtvistet når det foreligger rettskraftig tvangsgrunnlag etter tvangsfullbyrdelsesloven § 7-2. Departementet mener konsesjonenes henvisningen til tvangsfullbyrdelsesloven § 7-2 ikke er helt treffende. I høringsnotatet foreslo departementet å benytte begrepet «rettskraftig avgjørelse». Det er viktig at det ikke skapes tvil om hvilke typer avgjørelser som skal legges til grunn ved vurdering av om en fordring fremdeles er omtvistet. Departementet har derfor kommet til at det i lovteksten bør inntas en henvisning til tvangsfullbyrdelsesloven § 4-1, se lovforslaget § 11 andre ledd. Denne bestemmelsen dekker både alminnelige og særlige tvangsgrunnlag, og departementet mener den gir et dekkende bilde av hvilke typer avgjørelser som vil kunne avslutte en diskusjon om hvorvidt en fordring er omtvistet eller ikke.

6.2.5.5 Gjeldsordning

Departementet har merket seg innspillet fra Fylkesmannen i Oslo og Akershus om at det kan få negative konsekvenser for de registrerte at opplysninger om registrert gjeldsordning i enkelte tilfeller kan behandles lenger enn den generelle fireårsfristen for bruk av kredittopplysninger. Det er ingen andre høringsinstanser som har kommentert bestemmelsen. Departementet påpeker at bestemmelsen er en konsekvens av gjeldsordningens varighet. I den perioden gjeldsordningen varer, har skyldner en forpliktelse overfor de kreditorene som er del av ordningen, og er underlagt begrensninger med hensyn til å inngå nye forpliktelser. Etter gjeldsordningsloven § 3-5 første ledd bokstav d kan skyldner heller ikke stifte ny gjeld uten namsmannens samtykke. Det fremstår etter departementets vurdering som rimelig at eventuelle nye kreditorer kan få informasjon om gjeldsordningen i hele den perioden gjeldsordningen varer. Departementet mener derfor det er riktig å videreføre den gjeldende regelen som går ut på at registrert gjeldsordning kan brukes i kredittopplysningsvirksomhet i hele gjeldsordningsperioden. Et forslag til bestemmelse som viderefører gjeldende rett finnes i lovforslaget § 23.

6.2.5.6 Kredittrating av juridiske personer

Ved utarbeidelse av kredittrating for juridiske personer er det som hovedregel bare adgang til å legge vekt på opplysninger om den juridiske personen. Frem til første regnskap er tilgjengelig, er det imidlertid også adgang til å legge vekt på kredittopplysninger om personer i ledende stillinger hos den juridiske personen. Både Forbrukerrådet og Finans Norge har i sine høringsinnspill tatt til orde for at det bør tillates bruk av opplysninger om personer i ledende stillinger hos juridiske personer ved utarbeidelse av kredittrating også etter at den juridiske personens regnskap er gjort tilgjengelig. Finans Norge mener dette bør gjelde generelt, fordi det ofte er en direkte sammenheng mellom uorden i privatøkonomi hos aksjonærer, styreleder og daglig leder og uorden i økonomien i den juridiske personen. Forbrukerrådet mener dette bør gjelde personer som gjentatte ganger har drevet næringsvirksomhet som har hatt som forretningsmodell å svindle enten forbrukere eller andre foretak.

Det er departementets vurdering at det er foretakets økonomi som bør være avgjørende for kredittvurderingen. Departementet mener derfor det er rimelig at det utelukkende legges vekt på opplysninger om den juridiske personen så snart slike opplysninger foreligger og er tilgjengelige, se lovforslaget § 12. Dersom det i lang tid skal legges vekt på eiers eller daglig leders private økonomi ved utarbeidelse av kredittrating eller kredittscore, kan dette få som uheldig konsekvens at vedkommende vil ha vanskelig for å drive virksomhet og skaffe seg inntekt. Forbrukerrådets forslag vil etter departementets vurdering fungere som en sanksjon mot nyetablerte juridiske personer der involverte nøkkelpersoner tidligere har opptrådt uredelig i næringssammenheng. Departementet mener fysiske personers uredelige opptreden i næringslivet, og eventuelle straffbare handlinger i næringsvirksomhet, bør sanksjoneres på andre måter enn ved å la disse opplysningene få negative konsekvenser for kredittratingen av en juridisk person i lang tid etter oppstart.

Kredittating av juridiske personer gir et overordnet bilde av kredittverdighet, og er en skjematisk angivelse av kredittevnen uttrykt i en tall- eller bokstavkode. Departementet mener kredittrating bør baseres på opplysninger om den juridiske personens økonomiske situasjon forutsatt at slike opplysninger er tilgjengelige. Dette betyr at så snart regnskap er levert, og dette er tilgjengelig i Brønnøysundregistrene, bør denne informasjonen, sammen med eventuelle betalingsanmerkninger og andre opplysninger knyttet til selve den juridiske personen, danne grunnlag for beregning av rating. Frem til slik informasjon er tilgjengelig, det vil si frem til den juridiske personen har levert sitt første årsregnskap, mener imidlertid departementet at det er gode grunner som taler for at det bør være adgang til å beregne rating på bakgrunn av opplysninger knyttet til personer i ledende stillinger i virksomheten.

Departementet bemerker samtidig at dersom det foreligger saklig behov for kredittvurdering, vil det være adgang til å innhente en fullstendig kredittopplysning, og at en slik opplysning vil kunne inneholde opplysninger om personer med ledende stillinger hos den juridiske personen, blant annet opplysninger fra konkursregisteret. Dersom personer med ledende stillinger i en virksomhet er registrert i konkursregisteret vil disse opplysningene kunne fremkomme av den fullstendige kredittopplysningen om den juridiske personen. Konkurskarantene er for øvrige ikke ansett som straff, jf. flere kjennelser i Høyesterett der retten legger til grunn at ilagt konkurskarantene ikke stenger for senere strafforfølgning for samme forhold, blant annet Rt. 2003 s. 1221 og Rt. 2003 s. 1243. Denne type opplysninger kan derfor behandles i kredittopplysningsvirksomhet uten hinder av lovforslaget § 8.

Departementet har for øvrig endret begrepsbruken i lovforslaget i tråd med innspill fra Datatilsynet.

6.2.5.7 Tidligere forespørsler

Departementet er kjent med at spørsmålet om bruk av opplysninger om tidligere forespørsler om kredittopplysninger som grunnlag for kredittvurdering jevnlig har vært til vurdering, men uten at det hittil er funnet grunnlag for å tillate dette. Samtidig registrerer departementet at det kun er én høringsinstans som har tatt til orde for at det nå bør åpnes for bruk av opplysninger om tidligere forespørsler i kredittopplysningsvirksomhet.

Departementet er ikke avvisende til at informasjon om hvor aktiv en person er i kredittmarkedet kan si noe om vedkommendes kredittevne. Samtidig vil departementet peke på at det nylig er åpnet for registrering av fysiske personers gjeld nettopp for bruk i kredittvurderingssammenheng. Denne informasjonen om reell kreditt vil på en langt bedre og mer treffsikker måte være egnet til å si noe om en persons kredittevne enn informasjon om hvor ofte vedkommende har søkt kreditt vil kunne gjøre. Endringer i kredittopplysningsforetakenes tilgang til faktiske opplysninger om usikret gjeld, reduserer etter departementets vurdering behovet for å benytte mindre treffsikker informasjon. Basert på den gjeldsinformasjonen som nå vil være tilgjengelig, finner departementet det hensiktsmessig å videreføre forbudet mot bruk av opplysninger om tidligere forespørsler i kredittopplysningsvirksomhet, se lovforslaget § 13.

7 Hvilke kilder kan opplysningene hentes fra

7.1 Gjeldende rett

Personopplysningsforskriften kapittel 4 inneholder i dag ikke angivelse av hvilke kilder eller kategorier av kilder kredittopplysningsforetakene har anledning til å hente opplysninger fra. Gjeldende konsesjoner inneholder imidlertid en opplisting over hvilke kilder kredittopplysningsforetakene kan innhente opplysninger fra. Kildene inkluderer blant annet inkassoforetak og andre som driver virksomhet i henhold til inkassoloven, Ambita AS og Statens Kartverk, Brønnøysundregistrene, Norsk lysingsblad, Statistisk sentralbyrå, Det sentrale folkeregisteret, Skattedirektoratet, domstolene, andre kredittopplysningsforetak, media, den registrerte selv, teleselskaper og offentlige tilbydere av kontaktinformasjon.

7.2 Forordningen

Personvernforordningen inneholder ingen bestemmelser om hvilke kilder personopplysninger kan hentes fra. De generelle prinsippene i forordningen artikkel 5 setter likevel noen rammer, blant annet ved at det slås fast at opplysningene må være korrekte og oppdaterte. Personvernforordningen artikkel 6 nr. 3 inneholder en ikke uttømmende liste over forhold det kan fastsettes nasjonale særregler om. Det er ikke eksplisitt nevnt i opplistingen at man kan regulere hvilke kilder opplysninger kan innhentes fra. Det fremgår likevel klart at listen ikke er uttømmende, jf. formuleringen «Nevnte rettslige grunnlag kan inneholde[…], blant annet [vår kursivering] de generelle vilkår som skal gjelde for lovligheten[…]».

7.3 Forslaget i høringsnotatet

Departementet la i høringsnotatet til grunn at forordningen artikkel 6 nr. 3 gir hjemmel til å fastsette nasjonale regler om hvilke kilder opplysningene kan hentes fra. Slik regulering må anses som en spesifisering av forordningens regler som et ledd i sikring av datakvaliteten og den enkeltes personvern.

Departementet foreslo i høringsnotatet å detaljregulere hvilke kilder kredittopplysningsforetakene kan innhente opplysninger fra i sin virksomhet. Høringsutkastet videreførte alle de kildene det i dag er anledning til å benytte i kredittopplysningsvirksomhet. For å sikre datakvaliteten, foreslo departementet å videreføre vilkåret om at opplysninger om konkurs, akkord og gjeldsforhandlinger bare kan hentes fra Brønnøysundregistrene og Norsk Lysingsblad. I tillegg til de eksisterende kildene, ble det i høringsforslaget foreslått å åpne for innhenting av opplysninger fra gjeldsregistre opprettet i medhold av gjeldsinformasjonsloven.

Etter gjeldende rett er det anledning til å hente opplysninger om næringsdrivende fra media. Med utbredelsen av blant annet sosiale medier, omfatter mediebegrepet i dag noe helt annet enn det gjorde for få år siden. Høringsnotatet la til grunn at mediebegrepet i dag er så omfattende at det kan erstattes med «offentlig tilgjengelige kilder» for så vidt gjelder innhenting av opplysninger om næringsdrivende. Høringsforslaget åpnet derfor for at opplysninger om næringsdrivende, i tillegg til de spesifikt opplistede kildene, skulle kunne hentes fra «offentlig tilgjengelige kilder».

Høringsinstansene ble bedt om å vurdere hensiktsmessigheten av å samle kildene i grupper, og eventuelt gi innspill til egnede overordnede grupperinger av de opplistede kildene.

For å ta høyde for at det over tid vil kunne skje en utvikling i hvilke kilder det vil være naturlig å bruke i kredittopplysningsvirksomhet, foreslo departementet i høringen at det skulle åpnes for nærmere spesifisering av kilder i forskrift.

7.4 Høringsinstansenes syn

Statistisk sentralbyrå (SSB) har i sin høringsuttalelse vist til at Statistikklovutvalget har foreslått at SSB ikke lenger skal utlevere grunndata om næringslivet. Høringsinstansen anbefalte på denne bakgrunn at SSB ikke lenger skal kunne benyttes som kilde i kredittopplysningsvirksomhet. I stedet bør grunndata om næringsdrivende, etter de to høringsinstansenes syn, hentes fra Brønnøysundregistrene.

Enkelte høringsinstanser har kommentert begrepsbruken i høringsforslaget. Skatteetaten ber om at «Det sentrale folkeregisteret» endres til «Folkeregisteret», mens Finans Norge peker på at kildeangivelsen «gjeldsregister» bør erstattes med «gjeldsinformasjonsforetak» for å samsvare med begrepsbruken i gjeldsinformasjonsloven.

Datatilsynet mener kildeangivelsen i loven bør være så uttømmende som mulig, men med mulighet for å tilføye nye kilder i forskrift, og begrunner dette slik:

«Vi frykter en aggregering av kildene vil gi dårligere vern for den registrerte. Det kan tenkes situasjoner der kilder man ikke har tenkt på, tas i bruk med uheldige konsekvenser for de registrerte. Vi frykter også at en aggregering kan føre til ulik praktisering av reglene og mindre forutberegnelighet for både bransjen og den registrerte.»

Norske kredittopplysningsbyråers forening, derimot, ønsker en mer overordnet kildeangivelse. Høringsinstansen peker på at både svensk og dansk rett har en kildeangivelse som går ut på at opplysninger kan «hentes fra kilder eller data som har betydning for kredittvurdering». Det anføres at

«Konkret hvilke kilder som kan benyttes vil videre bli definert ut fra hvilke kilder og opplysninger som vil være å anse som «saklig begrunnet» å benytte i kredittopplysning.»

Samtidig peker Norske kredittopplysningsbyråersforening på at kilder som ikke er offentlig tilgjengelige, for eksempel gjeldsinformasjonsforetak eller inkassoforetak, må angis positivt.

Både Juristforbundet og Skatteetaten mener «media» bør beholdes som kilde fremfor «offentlig tilgjengelige kilder». Begge høringsinstansene begrunner dette med at informasjonskvaliteten i redaktørstyrte medier er høyere enn informasjonskvaliteten i sosiale medier.

7.5 Departementets vurderinger

Departementet vurderer at personvernforordningen ikke er til hinder for at det i nasjonal rett reguleres hvilke kilder det lovlig kan innhentes opplysninger fra i kredittopplysningsvirksomhet. I høringsnotatet la departementet seg på en linje der angivelse av hvilke opplysninger som kan benyttes i kredittopplysningsvirksomhet, både om fysiske og juridiske personer, var angitt på et meget overordnet nivå. Samtidig var den detaljerte kildeangivelsen fra gjeldende konsesjoner foreslått videreført. Departementet la i høringen til grunn at de to elementene sammen ville sette en god ramme for hvilke opplysninger som kan benyttes i kredittopplysningsvirksomheten.

Departementet mener det ikke vil være heldig å angi både opplysningstyper og kilder på et helt overordnet nivå. Dette vil gi de registrerte dårlig forutberegnelighet, og kunne føre til svært ulik praksis mellom de ulike tilbyderne av kredittopplysninger.

Angivelse av de opplysningstyper som lovlig skal kunne brukes, og hvilke kilder opplysningene skal kunne hentes fra, henger tett sammen. Dersom den ene oversikten detaljeres, kan den andre være mindre detaljert. En detaljert liste over opplysninger vil legge premisser for hvilke kilder som kan benyttes. På den annen side vil en detaljert kildeangivelse sette rammer for hvilke opplysninger som kan innhentes. Et av målene med regulering av kredittopplysningsvirksomhet er å sette gode rammer for behandling av opplysninger og sikre forutberegnelighet for de registrerte. Departementet har kommet til at den mest hensiktsmessige reguleringen er en overordnet angivelse av opplysningskategorier i loven, kombinert med en relativt detaljert kildeangivelse. En lovbestemmelse som angir lovlige kilder for informasjonsinnhenting i kredittopplysningsvirksomhet fremgår i lovforslaget § 9.

Departementet legger til grunn at de kildene som ikke er eksplisitt videreført fra gjeldende konsesjonsregulering, faller inn under hovedkategorien «offentlig tilgjengelige kilder». Dette gjelder for eksempel Norsk lysingsblad, Brønnøysundregistrene og «selskaper som rangeres blant de 50 største kredittgiverne i norsk næringsliv» for så vidt gjelder opplysninger om betalte fakturaer for juridiske personer. Samtidig har departementet merket seg høringsinnspillene fra Statistisk sentralbyrå (SSB) og som peker på at Statistikklovutvalget har foreslått at SSB ikke lenger skal utlevere identifiserbare opplysninger. På denne bakgrunn vurderer departementet at SSB ikke lenger bør benyttes som kilde i kredittopplysningsvirksomhet. I stedet bør grunndata om juridiske personer, som hittil er hentet fra registre hos SSB, hentes fra Brønnøysundregistrene. Departementet kan ikke se at dette innebærer noen ulempe for kredittopplysningsforetakene. Endringene i kildeangivelse er gjenspeilet i lovforslaget, der følgende kilder nå fremgår:

offentlig tilgjengelige kilder

inkassoforetak

Statens kartverk og virksomheter som videreformidler eiendomsopplysninger fra Statens kartverk i henhold til forskrift om utlevering, viderebruk og annen behandling av opplysninger fra grunnboken og matrikkelen

Folkeregisteret

Skattedirektoratet

gjeldsinformasjonsforetak

den registrerte selv

register over kredittsperrer

Samtidig vurderer departementet at angivelsen av hvilke opplysningstyper det skal være adgang til å benytte, til en viss grad må detaljeres. Det mest hensiktsmessige vil være detaljering i forskrift innenfor lovens rammer, da dette gir et mest mulig fleksibelt regelverk. Det vises til drøftelsen av regulering av lovlige opplysningstyper i kapittel 6.1.5.

Departementet har merket seg at både Juristforbundet og Skatteetaten har tatt til orde for at «media» bør beholdes som kilde fremfor «offentlig tilgjengelige kilder», fordi dette sikrer opplysningskvaliteten. Det er krevende å gå inn i en diskusjon om hvilke medier det skal være adgang til å hente næringsinformasjon fra, og hvilke som ikke skal være tillatte kilder i kredittopplysningsvirksomhet. Å skille mellom redaktørstyrte, tradisjonelle medier på den ene siden, og sosiale medier på den andre, kan gi opphav til krevende grensedragninger. Begrepet «offentlig tilgjengelige kilder» vil omfatte alle typer medier, og departementet mener det bør være adgang til å hente opplysninger både fra redaktørstyrte medier og medier uten redaktør. Det skal likevel bemerkes at kredittopplysningsforetakene er ansvarlige for å påse at den informasjonen de benytter i sin virksomhet er korrekt, og holder nødvendig kvalitet i forhold til formålet. Bruk av uriktige opplysninger kan føre til at kredittopplysningsforetaket pådrar seg erstatningsansvar for eventuelle feil. Det vil være kredittopplysningsforetakets ansvar å forsikre seg om at den informasjonen som innhentes og benyttes i virksomheten er korrekt, uavhengig om den hentes fra redaktørstyrte medier eller andre typer medier.

I tillegg til kildeangivelsen i loven, mener departementet det er hensiktsmessig å åpne for nærmere regulering i forskrift. En forskriftshjemmel vil for eksempel gjøre det mulig å fastsette mer detaljerte regler om hva som anses som «offentlig tilgjengelige kilder» dersom erfaring skulle tilsi at det er behov for dette. Samtidig vil en slik forskriftshjemmel åpne for at det kan fastsettes nærmere regulering av hvilke opplysningstyper som kan innhentes fra hvilke kilder, på linje med det som allerede i lovforslaget § 9 er foreslått for så vidt gjelder innhenting av opplysninger om konkurs, akkord og gjeldsforhandlinger.

Når det gjelder de øvrige merknadene om begrepsbruk, har departementet tatt disse tilfølge i lovutkastet.

8 Hvem kan opplysninger utleveres til

Utlevering av kredittopplysninger reiser spørsmål både om hvem opplysninger kan utleveres til, og hvordan opplysningene kan utleveres. Spørsmålet om hvem opplysninger kan utleveres til behandles i dette kapittelet, mens spørsmålet om hvordan opplysninger kan utleveres behandles i proposisjonen kapittel 9.

8.1 Gjeldende rett

Det fremgår av personopplysningsforskriften § 4-3 første ledd at kredittopplysninger bare kan gis mottakere med «saklig behov» for opplysningene i sin virksomhet. Det er ikke sagt noe nærmere om hva som anses som saklig behov. Praksis tilsier likevel at opplysningene normalt skal benyttes til å foreta en vurdering av om den registrerte har nødvendig betalingsevne og -vilje i forbindelse med kredittgivning. Personvernnemnda har akseptert boligutleie, som kan innebære en økonomisk risiko, som et eksempel på saklig behov for kredittopplysninger, se sak PVN-2017-12. I saken viser nemnda til tilblivelsen av bestemmelsen i personopplysningsforskriften § 4-3 om saklig behov for kredittopplysninger. Nemnda viser til at Justiskomiteen i Innst. O. nr. 51 (1999–2000) uttalte at den så det som ønskelig med en ny lovregulering av kredittopplysningsvirksomhet. I påvente av ny lovregulering valgte man å videreføre personregisterlovens (1978) og personregisterforskriftens regler om kredittopplysningsvirksomhet. Personvernnemnda peker i vedtaket på at den ikke kan se at det fremgår verken av ordlyden eller forarbeidene at det skjedde en innstramming da personopplysningsloven 2000 ble vedtatt. I kgl. res. om fastsettelse av personopplysningsforskriften 15.12.2000 fremgår det av merknadene til forskriften § 4-3 at «Bestemmelsen viderefører i sin helhet personregisterloven § 17 og 18».

Den opphevede personregisterloven (1978) § 17 lød:

«Kredittopplysning må ikke gis når det etter det som foreligger, går fram at bestilleren ikke har saklig behov for den».

Nemnda skriver følgende i vedtak PVN-2017-12:

«Ordlyden i bestemmelsen ble, slik det fremgår, omformulert fra en negativ til en positiv angivelse, men den materielle regelen ble, etter det nemnda legger til grunn, videreført i personopplysningsforskriften § 4-3.»

Personvernnemnda viser i vedtaket også til forarbeidene til personregisterloven (1978), NOU 1974: 22 side 51, der følgende uttales:

«Bestemmelsen gir kreditt- og personopplysningsforetak rett og plikt til å nekte å gi opplysninger i tilfelle hvor det må anses på det rene at bestilleren ikke har saklig behov for dem, men bare er ledet av nysgjerrighet og kikkermentalitet. Utvalget vil likevel peke på at det neppe bør stilles for snevre skranker for adgangen til å få opplysninger; kriteriet «saklig grunn» bør derfor her tolkes romslig.»

Nemnda viser til at Justis- og politidepartementet gjengir og støtter uttalelsen i Ot.prp. nr. 2 (1977–78), side 89. Etter nemndas vurdering har disse uttalelsene i forarbeidene relevans og skal tillegges vekt ved tolkning av personopplysningsforskriften § 4-3. Basert på dette har Personvernnemnda lagt til grunn at kravet om saklig behov for kredittopplysninger ikke skal tolkes så strengt at det kun omfatter kredittsituasjoner.

Det saklige behovet for opplysninger må vurderes både generelt for de virksomhetene som gis elektronisk tilgang til å søke i kredittopplysningsforetakenes registre, og konkret for hver enkelt forespørsel om opplysninger. Det er klarlagt gjennom Datatilsynets og Personvernnemndas praksis at selv om en virksomhet som sådan kan ha saklig behov for kredittopplysninger på generelt grunnlag, vil det kunne oppstå konkrete situasjoner der uthenting av opplysninger ikke var saklig. I sak PVN-2017-02 kom Personvernnemnda til at en verkstedeier hadde benyttet sin generelle tilgang til kredittopplysninger til å innhente informasjon om en slektning uten at det forelå en reell kredittvurderingssituasjon eller andre forhold som begrunnet behov for kredittopplysninger. Dette ble ansett å være en overtredelse av personopplysningsforskriftens krav om saklig behov.

8.2 Forordningen

I samsvar med personvernforordningen artikkel 6 nr. 3 jf. nr. 1 bokstav e kan det fastsettes nasjonale bestemmelser blant annet om hvem personopplysninger kan utleveres til. Det følger videre av forordningen artikkel 5 nr. 1 bokstav b at personopplysninger skal behandles til uttrykkelig angitte og berettigede formål. Opplysningene kan ikke viderebehandles på en måte som er i strid med innsamlingsformålet. Etter artikkel 5 nr. 2 er det den behandlingsansvarlige, altså kredittopplysningsforetaket, som er ansvarlig for at prinsippene om lovlig behandling i artikkel 5 nr. 1 overholdes.

8.3 Forslaget i høringsnotatet

Departementet foreslo i høringsnotatet å lovfeste at kredittopplysninger bare kan utleveres til to grupper mottakere, henholdsvis mottakere som har klart saklig behov i kredittvurderingssammenheng jf. høringsutkastets formålsbestemmelse, og mottakere med særskilt innhentingshjemmel i lov.

For det første foreslo departementet at kredittopplysninger kunne utleveres til mottakere som har saklig behov for opplysningene i samsvar med høringsutkastets formålsbestemmelser, det vil si til kredittvurdering i den hensikt å legge til rette for et velfungerende kredittmarked. Forslaget innebar at kredittopplysningsforetaket må foreta en viss undersøkelse av mottakers virksomhet ved inngåelse av avtale om kjøp av opplysninger. Disse undersøkelsene skal gi grunnlag for å kunne vurdere om det er sannsynlig at opplysningene vil bli brukt som grunnlag for kredittvurdering, og at kredittvurderingen er nødvendig i mottakers virksomhet. Skal det gis tilgang til direkte søk i kredittopplysningsregisteret, gjøres denne undersøkelsen ved inngåelse av avtalen om slik tilgang. Det fulgte av forslaget at tilgang til opplysninger bør nektes dersom forespørselen ikke synes å være basert på behov for kredittvurdering, eller annet behov for økonomisk vurdering.

For det andre foreslo departementet at det skulle være adgang til å utlevere kredittopplysninger til mottakere som har hjemmel i lov til å innhente kredittopplysninger. Dette kan for eksempel være relevant for offentlig myndigheter som yter tilskudd til private organisasjoner eller andre mottakere. Det vil da være relevant å kunne foreta en viss kontroll av mottakers økonomi før tilskudd utbetales, for på denne måten å sørge for at offentlige midler forvaltes på en god måte. Slike vurderinger er relevante vurderinger av økonomiske forhold, men uten at det foreligger noe klart kredittelement. Departementet ga i høringsnotatet uttrykk for at denne bruken av opplysningene likevel ikke anses uforenlig med innsamlingsformålet, og således ligger innenfor den gjenbruken av personopplysninger som forordningen åpner for.

Departementet foreslo videre å lovfeste at gjeldsopplysninger jf. gjeldsinformasjonsloven § 2 bokstav d bare kan utleveres til finansforetak, Husbanken og Statens pensjonskasse i samsvar med gjeldsinformasjonsloven § 12 første ledd bokstav a, til kommuner i forbindelse med behandling av saker om startlån jf. gjeldinformasjonsloven § 12 første ledd bokstav b, eller brukes som grunnlag for beregning av kredittscore jf. gjeldsinformasjonsloven § 13 annet ledd. Gjeldsopplysninger er opplysninger som er taushetsbelagte hos finansforetakene, og gjeldsinformasjonsloven har ikke ment å åpne for omfattende utlevering av opplysningene.

8.4 Høringsinstansenes syn

En rekke høringsinstanser har uttalt seg om vilkår for utlevering av kredittopplysninger. Høringsinnspillene deler seg i to kategorier, der forbruker- og personverninteressene tar til orde for en streng tolkning av kravet om saklig behov, mens næringsinteressene på den andre siden går inn for en mer romslig tolkning av begrepet.

Forbrukertilsynet tar i sin høringsuttalelse til orde for at kravet om saklig behov ikke må tolkes for vidt. De peker på at det ikke bør være saklig for profesjonelle som tilbyr nødvendighetsgoder å benytte kredittopplysninger for å ekskludere forbrukere med dårlig kredittverdighet. Forbrukertilsynet viser til den tidligere nevnte avgjørelsen fra Personvernnemnda i PVN-2017-12 som gjelder innhenting av kredittopplysninger ved boligutleie, og mener denne gir uttrykk for en uheldig utvikling. Videre påpeker Forbrukertilsynet at tidspunkt for utlevering av opplysninger må knyttes til at det foreligger en faktisk bestilling av vare/tjeneste. Om dette skriver høringsinstansen:

«Vi er kjent med at bl.a. en del teleoperatører foretar kredittvurdering av potensielle nye kunder på et meget tidlig stadium i bestillingsprosessen, og uten at det eksplisitt informeres om at kredittvurderingen vil bli foretatt. Kredittvurderingen skjer dermed før forbrukeren har gjennomført bestillingen, og uten at vedkommende er informert.»

Datatilsynet påpeker at hvorvidt det foreligger saklig behov for kredittopplysninger ikke bare kan vurderes ut fra om det foreligger et kredittelement, men at vurderingen også bør suppleres med en vurdering av «grad av forretningsrisiko». Tilsynet påpeker at departementets særmerknader til bestemmelsen om utlevering bør vise til at det går en grense for hvor lave beløp som kan berettige kredittvurdering selv om det foreligger et kredittelement. I likhet med Forbrukertilsynet, mener også Datatilsynet at det bør vurderes å begrense adgangen til å kredittvurdere ved tilbud om nødvendighetsgoder som bolig eller strøm. Datatilsynet peker videre i sin høringsuttalelse på at utlevering av kredittopplysninger til mottakere med hjemmel i lov, jf. departementets høringsutkast, må relateres til formålsbegrensningsprinsippet i personvernforordningen artikkel 5 nr. 1 bokstav b. Tilsynet skriver følgende:

«Kredittopplysninger kan utleveres hvis formålet med behandlingen som lovbestemmelsen hjemler, er forenlig med kredittopplysningsforetakenes formål. Dette må avgjøres etter en konkret vurdering.»

I forlengelse av dette ber Datatilsynet også om at departementet konkretiserer hva som er ment med formulering «annet behov for økonomisk vurdering», og stiller samtidig spørsmål om videreføring av adgangen til å utlevere kredittopplysninger ved ansettelse i stillinger med et særlig økonomisk ansvar. Datatilsynet har dessuten stilt spørsmål ved adgangen til å utlevere kredittopplysninger til mottakere i tredjestater, og anbefalt at det i lovforslaget tas inn en henvisning til personvernforordningens og personopplysningslovens regler om overføring av personopplysninger til tredjestater.

Finansdepartementet og Norges Bank tar begge til orde for at Norges Bank bør ha tilgang til kredittopplysninger for å gjøre analyser. Det vises i denne sammenheng til gjeldsinformasjonsloven § 12 fjerde ledd som åpner for utlevering av opplysninger fra gjeldsinformasjonsforetak til både Finanstilsynet, Norges Bank og Statistisk sentralbyrå for analyse-, overvåknings- og statistikkformål.

Virke Inkasso påpeker i sin høringsuttalelse at det må komme tydelig frem at inkassoforetakene skal ha tilgang til kredittopplysninger til bruk i innfordringsprosesser i samsvar med inkassolovens regler. Formålsbestemmelsen, slik den ble foreslått i høringsutkastet, med sitt særlige fokus på kredittmarkedet, kan virke begrensende på inkassoforetakenes tilgang til kredittopplysninger. Norske kredittopplysningsbyråers forening har tilsvarende i sin høringsuttalelse stilt spørsmål om utleveringsbestemmelsen sammen med formålsbestemmelsen vil innskrenke bruken av kredittopplysninger. Det stilles særlig spørsmål ved om formålsbestemmelsens bruk av begrepet «kredittmarked» medfører at inkassoforetakenes tilgang til kredittopplysninger begrenses, med de uheldige konsekvenser det kan få for innfordringsprosessen. Høringsinstansen peker på at utfordringen enkelt kan løses ved at man i lovbestemmelsen «gjør en tilføyelse ved at det også vises til innfordring eventuelt andre forhold for å sikre inndrivelse og derfor har behov for vurdering av betalingsevne og -vilje».

Finans Norge mener det er viktig at regelverket legger til rette for at kredittopplysninger fremdeles skal kunne benyttes i innfordringsprosessen. Høringsinstansen foreslår i tråd med dette at loven tydelig åpner for «utlevering av kredittopplysninger kan skje til inkassoforetak i forbindelse med foretakenes innfordring av forfalte pengekrav etter inkassolovens bestemmelser.»

Presseorganisasjonene har i sin høringsuttalelse tatt til orde for å lovfeste pressens tilgang til kredittopplysninger i journalistisk virksomhet. Organisasjonene peker på at uttalelser fra Lovavdelingen i Justis- og beredskapsdepartementet knyttet til personregisterloven (1978), avgjørelser fra Personvernnemnda etter personopplysningsloven 2000, samt Datatilsynets vedtak, alle gir uttrykk for at kredittopplysninger kan utleveres til pressen for bruk i deres journalistiske virksomhet.

8.5 Departementets vurderinger

Det er departementets vurdering at det med grunnlag i personvernforordningen artikkel 6 nr. 3 jf. nr. 1 bokstav e og artikkel 5 er adgang til å fastsette nærmere regler i nasjonal rett om utlevering av kredittopplysninger. Slike regler anses nødvendige for å tilpasse anvendelsen av forordningen på dette konkrete området, og ivareta de registrertes behov for konfidensialitet.

Merknadene i høringsrunden tyder på at den foreslåtte utleveringsbestemmelsen, sammenholdt med den foreslåtte formålsbestemmelsen, vil kunne ha en utilsiktet negativ effekt på adgangen til å utlevere og bruke kredittopplysninger. Departementet vurderer at hovedutfordringen ligger i den relativt stramme formålsangivelsen som ble foreslått i høringsnotatets lovutkast.

8.5.1 Saklig behov

Som omtalt i kapittel 8.1 har det vært en utvikling i praksis over tid med hensyn til hva som anses som saklig behov for kredittopplysninger. Uttalelser i Personvernnemndas vedtak kan tyde på at Datatilsynet har lagt til grunn en strengere tolkning av begrepet de senere årene enn det som var tenkt da begrepet første gang ble introdusert i personregisterloven (1978). Samtidig har tilgangen til, og ønske om tilgang til, personopplysninger økt enormt de senere årene. Grunnlaget for å ta beslutninger i dag, er i de fleste sammenhenger et helt annet og bedre enn i 1978. Dette kan på den ene siden tale for at man er varsom med å tolke begrepet saklig behov alt for vidt fordi det vil åpne for en betydelig utvidelse av bruken av kredittopplysninger. Samtidig vil en tolkning som er noe videre enn det høringsutkastet innebar, kunne bidra til bedre vurderinger og beslutninger i en rekke ulike situasjoner der økonomi har betydning, og ikke bare i rene kredittsituasjoner. Departementet viser for øvrig til drøftelsen av formålet med denne loven i kapittel 5.

Departementet finner i denne sammenheng også grunn til å vise til utleveringsbestemmelsen i den svenske kreditupplysningslagen (1973:1173) § 9, slik den lyder etter endringer i 2018 som følge av ikrafttredelse av personvernforordningen. Bestemmelsens første ledd, og særlig bruk av formuleringen «nokon liknande anledning» må forstås slik at det ikke bare er rene kredittsituasjoner som gir grunnlag for utlevering av kredittopplysninger. Bestemmelsen lyder:

9 § Kreditupplysningar om fysiska personer som inte är näringsidkare får inte lämnas ut, om det finns anledning att anta att upplysningen kommer att användas av någon annan än den som på grund av ett ingånget eller ifrågasatt kreditavtal eller av någon liknande anledning har behov av upplysningen.

Första stycket gäller inte offentliggörande av en kreditupplysning på ett sådant sätt som avses i tryckfrihetsförordningen eller yttrandefrihetsgrundlagen, utom när upplysningen tillhandahålls ur en databas enligt 1 kap. 4 § yttrandefrihetsgrundlagen på sätt som avses i den paragrafens första stycke 1 och 2.

Krav om saklig behov er godt innarbeidet i kredittopplysningssammenheng. Departementet finner ikke at det isolert sett er grunn til å gå bort fra dette begrepet. Forutsatt at begrepet anvendes i sammenheng med og i lys av lovens definisjon av kredittopplysningsvirksomhet, mener departementet det bør videreføres. Lovens hovedregel vil derfor fremdeles være at kredittopplysninger bare kan utleveres til mottakere som har saklig behov, se lovforslaget § 14 første ledd.

Gode kredittvurderinger kan ha stor betydning både for kreditor og skyldner. For kreditor er det av stor viktighet at skyldner kan betjene de økonomiske forpliktelsene vedkommende påtar seg, slik at kreditor unngår tap. For skyldner kan det også ha betydning at kreditor foretar en god kredittvurdering, og eventuelt fraråder eller nekter skyldner en kreditt vedkommende trolig ikke vil kunne betjene. Når betalingsproblemer er oppstått, er det viktig for inkassoforetakene å ha tilgang til oppdatert informasjon om skyldners økonomiske situasjon for å kunne drive effektiv håndtering av krav. Et godt kredittopplysningsregelverk skal legge til rette for at disse hensynene kan ivaretas.

Lovforslagets bestemmelse om saklig virkeområde sammenholdt med definisjonen av «kredittopplysningsvirksomhet» i lovforslaget § 3 første ledd bokstav d legger til grunn at kredittopplysningsvirksomhet har som formål å belyse de registrertes kredittevne. Begrepet kredittevne skal, jf. det som er sagt i kapittel 5.5, forstås slik at det omfatter både det som etter gjeldende rett omtales som betalingsevne og -vilje, og innholdet i begrepet økonomisk vederheftighet. I lys av dette, legger departementet til grunn at saklig behov for kredittopplysninger også kan foreligge i situasjoner ut over rene kredittsituasjoner. I lys av formuleringer i forarbeidene til personregisterloven 1978, mener departementet det bør være adgang til å utlevere kredittopplysninger til mottakere som skal benytte opplysningene i en vurdering av den registrertes økonomiske situasjon, og denne vurderingen har nær og naturlig sammenheng med en aktivitet mottaker driver. Dette kan, som tidligere omtalt, være i forbindelse med ansettelse i stillinger der økonomisk orden er av stor betydning. Det kan også være aktuelt ved utleie av fast eiendom der den økonomiske risikoen for utleier kan være betydelig. Samtidig er det ikke departementets hensikt å åpne for utlevering av kredittopplysninger i situasjoner der mottaker av opplysningene ikke har saklig grunn til å foreta en økonomisk vurdering av den registrerte. På denne bakgrunn kan det generelt legges til grunn at det verken er tilstrekkelig eller nødvendig at det foreligger en kredittsituasjon. Både kredittens størrelse og eventuelt andre forhold som gir behov for vurdering av kredittevne må tas i betraktning. Hvorvidt det foreligger saklig behov for kredittopplysninger vil derfor bero på en konkrete vurdering i den enkelte situasjonen.

8.5.2 Nødvendighetsgoder

Departementet har vurdert merknadene fra Forbrukertilsynet og Datatilsynet om at det bør innføres en slags nedre terskel for hvor små beløp som skal kunne gi grunnlag for innhenting av kredittopplysninger, og at det ikke bør være adgang til å benytte kredittopplysninger for å nekte nødvendighetsgoder som leie av bolig, kjøp av strøm- eller telefonabonnement. Departementet har forståelse for at det kan sette forbrukere i en krevende situasjon dersom de ikke får leie bolig eller ikke kan tegne abonnement på nødvendighetsgoder som strøm og telefoni/internett fordi de har anstrengt økonomi. Departementet stiller seg imidlertid tvilende til om kredittopplysningsregelverket er det riktige regelverket å benytte dersom man ønsker å regulere vanskeligstiltes tilgang til nødvendighetsgoder, eller pålegge tjenestetilbydere å kontrahere med alle potensielle kunder.

Departementet mener at hindringer for eller nektelse av å foreta gode kredittvurderinger basert på kredittopplysninger ikke er et egnet tiltak for å hjelpe vanskeligstilte. Samfunnet har andre ordninger for å hjelpe denne gruppen. Det synes ikke rimelig at private boligutleiere eller tilbydere av nødvendighetsgoder skal bære ansvaret for kundenes dårlige økonomi fordi de er forhindret fra å foreta gode kredittvurderinger. Departementet antar at dersom denne type tilbydere nektes tilgang til kredittopplysninger, vil det kunne få som effekt at krav til depositum eller annen type sikkerhet øker. Dette er neppe til gunst for personer med anstrengt økonomi, og vil etter departementets vurdering ikke gjøre det lettere for denne gruppen å få tilgang til nødvendighetsgoder. Dessuten er det grunn til å anta at redusert tilgang til kredittopplysninger vil kunne føre til dyrere tjenester generelt, også for personer uten betalingsproblemer. Dette er neppe en heldig utvikling.

Departementet er på bakgrunn av dette kommet til at det ikke er ønskelig å hindre tilbydere av nødvendighetsgoder tilgang til kredittopplysninger. Tilsvarende er det ikke ønskelig å sette noen nedre grense for hvor små kredittbeløp som kan gi grunnlag for innhenting av kredittopplysninger. Det må være opp til den enkelte tilbyder å vurdere hvilken risiko de kan akseptere i sin virksomhet.

Kredittopplysningsforetaket er ansvarlig for at de innsamlede opplysningene behandles i samsvar med personvernforordningen og særlovgivningens regler. Dette følger av ansvarsprinsippet i forordningen artikkel 5 nr. 2. Kredittopplysningsforetaket er blant annet ansvarlig for at personopplysninger behandles i samsvar med de generelle kravene i forordningen artikkel 5 nr. 1, herunder kravet om at opplysninger ikke viderebehandles på en måte som er uforenlig med innsamlingsformålet. Kredittopplysningsforetaket må derfor selv vurdere hvor omfattende undersøkelser som må gjøres før det inngås avtale om utlevering av kredittopplysninger. I praksis vil det trolig, som følge av ansvarsprinsippet i forordningen artikkel 5 nr. 2 og lovforslaget § 5 jf. forordningen artikkel 24 nr. 1, kunne falle et større ansvar på kredittopplysningsforetaket til å foreta undersøkelser enn det som har vært praksis etter personopplysningsloven 2000.

Basert på endringen i lovens formålsangivelse, mener departementet at innspillene fra Norske kredittopplysningsbyråers forening, Virke Inkasso og Finans Norge er ivaretatt. Blant annet vil det med grunnlag i den foreslåtte bestemmelsen klart være adgang for inkassoforetakene til å innhente kredittopplysninger til bruk i innfordringsprosesser.

8.5.3 Utlevering med hjemmel i lov

Datatilsynet har kommentert at hensynet til formålsavgrensing innebærer at det ikke kan åpnes for utlevering av opplysninger til mottakere som har hjemmel i lov med mindre mottakers behandlingsformål faller innenfor formålet med behandling av kredittopplysninger. Departementet er ikke uenig i dette synspunktet. All behandling av kredittopplysninger, herunder utlevering av opplysningene, må skje som ledd i vurdering av kredittevne. For så vidt gjelder opplysninger om fysiske personer, følger dette av personvernforordningens formålsbegrensningsprinsipp. Samtidig følger det av personvernforordningen artikkel 6 nr. 4 at personopplysninger kan benyttes til andre formål enn innsamlingsformålet forutsatt at det nye formålet ikke er uforenlig med innsamlingsformålet. I vurderingen av om det nye formålet er forenlig med innsamlingsformålet, skal det blant annet legges vekt på forholdet mellom innsamlingsformålet og viderebruksformålet.

Departementet mener at ved å tolke kravet om saklig behov for kredittopplysninger slik at det omfatter mer enn rene kredittsituasjoner, vil man få det nødvendige handlingsrommet til å benytte kredittopplysningene blant annet ved administrasjon av offentlige tilskuddsordninger, som nettopp var ett av de bruksområdene høringsnotatet la til grunn at det kunne være hensiktsmessig å lovhjemle. Departementet vurderer etter dette at det ikke er behov for en egen lovbestemmelse som åpner for utlevering av kredittopplysninger med hjemmel i lov, slik det var foreslått i høringsutkastet. Vurderingskriteriet vil i alle sammenhenger være om mottaker har saklig behov for opplysninger for å vurdere den registrertes kredittevne.

8.5.4 Journalistiske formål

Departementet har merket seg presseorganisasjonenes innspill om at pressen ikke må hindres tilgang til kredittopplysninger for bruk i journalistisk virksomhet. Pressens tilgang til informasjon er grunnleggende i et demokratisk samfunn. Også tilgang til kredittopplysninger kan være relevant i journalistisk virksomhet. Likevel mener departementet at det er tvilsomt om pressen kan sies å ha saklig behov for kredittopplysninger når dette skal knyttes opp mot kredittopplysningsvirksomhetens formål, som er å legge til rette for vurdering av kredittevne. Departementet vurderer det derfor som hensiktsmessig å presisere direkte i kredittopplysningsloven at det alminnelige kravet om saklig behov for kredittopplysninger i lys av lovens saklige virkeområde ikke gjelder for utlevering av opplysninger som etterspørres i journalistisk virksomhet. Begrepet journalistisk virksomhet i lovforslaget skal forstås på samme måte i som begrepet journalistiske formål i personopplysningsloven § 3.

Samtidig vurderer departementet at det ikke er et formål med kredittopplysningsvirksomheten å legge til rette for at pressen skal gis tilgang til taushetsbelagte personopplysninger pressen ikke har tilgang til fra andre kilder. Dette gjelder særlig opplysninger om misligholdte krav/inkassosaker og gjeldsinformasjon. Det er heller ikke slik at Norges forpliktelse til å verne om ytringsfriheten innebærer en plikt til å tilrettelegge for at pressen har enkel tilgang til taushetsbelagte personopplysninger. Departementet vurderer derfor at det, av personvernhensyn, er nødvendig å begrense kredittopplysningsforetakenes adgang til å utlevere personopplysninger som pressen ikke også kunne innhentet fra offentlig tilgjengelige kilder. Det vises til utkast til lovbestemmelse i lovforslaget § 14 sjette ledd bokstav a. På denne måten legges det til rette for at pressen enkelt kan innhente sammenstilte og strukturerte kredittopplysninger om fysiske personer, forutsatt at de samme opplysningene er tilgjengelige fra offentlig tilgjengelige kilder. For så vidt gjelder pressens tilgang til kredittopplysninger om juridiske personer, gjelder ingen tilsvarende begrensninger. Slike opplysninger kan derfor utleveres til pressen på begjæring.

8.5.5 Gjeldsinformasjon

Det har ikke kommet merknader til forslaget i høringsnotatet om at gjeldsinformasjon bare skal kunne utleveres i samsvar med bestemmelsene i gjeldsinformasjonsloven §§ 12 og 13. Handlingsrommet på dette området er uansett lite, fordi rammene for behandling av gjeldsinformasjon følger av gjeldsinformasjonsloven og dens formåls- og utleveringsbestemmelser. Departementet anbefaler derfor at forslaget i høringsnotatet videreføres. Lovforslaget § 15 inneholder av pedagogiske hensyn en bestemmelse som speiler bestemmelsen i gjeldsinformasjonsloven § 13.

8.5.6 Analyse og statistikk

Finansdepartementet og Norges Bank har begge tatt til orde for at Norges Bank bør gis adgang til å kreve utlevert kredittopplysninger for analyse og statistikkformål. Departementet ser at dette kan være nyttig bruk av opplysningene, og at analyser og overvåking av gjeldsbyrden både blant fysiske personer og i næringslivet er viktig av samfunnshensyn. Det kan være hensiktsmessig at opplysningene kan utleveres i identifiserbar form fordi det gir mulighet til å koble opplysningene med annen informasjon som etatene behandler for analyse- og statistikkformål. Det vil uansett være en forutsetning at identifiserbare opplysninger ikke utleveres eller på annen måte gjøres tilgjengelig for andre enn de som har tjenstlig behov, og kun benyttes internt hos mottakerne. Departementet har vurdert at ikke bare Norges Bank, men også Finanstilsynet og Statistisk sentralbyrå vil kunne ha behov for kredittopplysninger i sitt analysearbeid. Statistisk sentralbyrå vil ha hjemmel i statistikkloven til å kreve opplysninger utlevert fra kredittopplysningsforetakene.

Det bør ikke være noen tvil om kredittopplysningsforetakenes adgang til å utlevere opplysninger til de tre nevnte institusjonene. Departementet foreslår derfor at det i lovforslaget § 14 sjette ledd bokstav b inntas en bestemmelse som klargjør at både Statistisk sentralbyrå, Norges Bank og Finanstilsynet kan kreve kredittopplysninger utlevert for bruk til analyse, overvåking og utarbeidelse av statistikk. Bestemmelsen er utformet slik at den er ment å samsvare med tilsvarende bestemmelse i gjeldsinformasjonsloven § 12 fjerde ledd. De identifiserbare opplysningene kan benyttes til interne analyse-, overvåkings- og statistikkformål, og kan ikke utleveres til tredjeparter. Dette er ikke til hinder for at anonymiserte og aggregerte data gjøres tilgjengelig for andre gjennom analyser og rapporter.

Utlevering av opplysninger til Statistisk sentralbyrå, Norges Bank og Finanstilsynet skal skje vederlagsfritt for mottakerne. Dette er tilsvarende som ved utlevering av gjeldsinformasjon til de samme mottakerne jf. gjeldsinformasjonsloven § 14 første ledd andre punktum.

8.5.7 Utlevering til tredjestater

Et særspørsmål om utlevering av kredittopplysninger gjelder utlevering av opplysninger til tredjestater eller internasjonale organisasjoner. I personopplysningsforskriften 2000 § 4-3 første ledd fremgår det at kredittopplysninger «skal gis på ikke-diskriminerende vilkår til kredittgivere fra EØS-stater». I sitt høringsinnspill har Datatilsynet anført at dette innebærer at «kredittopplysninger kun kan utleveres til kredittgivere fra EØS-stater». Tilsynet viser samtidig til reglene i personvernforordningen kapittel 5 om overføring av personopplysninger til tredjeland.

Departementet mener at bestemmelsen i personopplysningsforskriften 2000 § 4-3 første ledd må forstås som en bestemmelse om ikke-diskriminering mer enn en bestemmelse som forbyr utlevering av kredittopplysninger til mottakere i tredjestater. Bestemmelsen kan ikke leses slik at den er til hinder for overføring av kredittopplysninger til land utenfor EØS-området. Samtidig må den leses slik at utlevering til mottakere innenfor EØS-området må skje på samme vilkår som utlevering til nasjonale mottakere. Departementet mener derfor det ikke er holdepunkter for å tolke bestemmelsen i personopplysningsforskriften 2000 så strengt som Datatilsynet kan synes å gjøre. Det må legges til grunn at kredittopplysninger, etter gjeldende rett, kan utleveres til tredjestater på samme vilkår som personopplysninger for øvrig kan utleveres til tredjestater.

Når det er sagt, er departementet enig med Datatilsynet i at overføring av kredittopplysninger til tredjestater eller internasjonale organisasjoner i fremtiden bør følge de samme reglene som overføring av alle andre typer personopplysninger. Personvernforordningen kapittel 5 gir regler om adgangen til å overføre personopplysninger til land utenfor EU-/EØS-området, omtalt som tredjestater. Disse reglene kan landene ikke fravike i nasjonal rett. Norge kan derfor ikke gjøre unntak fra disse reglene på kredittopplysningsområdet, og de vil sette klare begrensninger for adgangen til å utlevere kredittopplysninger til tredjestater.

Personvernforordningens generelle regler gjelder for behandling av kredittopplysninger om fysiske personer med mindre det i særlovgivningen er bestemt noe annet. Departementet mener det derfor verken er nødvendig eller hensiktsmessig med en egen bestemmelse i loven som eksplisitt viser til personvernforordningens regler om overføring av personopplysninger til tredjestater. En slik særbestemmelse om utlevering av opplysninger til tredjestater vil dessuten kunne skape uklarheter om gyldigheten av de øvrige generelle reglene i personvernforordningen og personopplysningsloven som kredittopplysningsloven ikke henviser til.

Et annet spørsmål er om det bør fastsettes grenser for adgangen til å utlevere kredittopplysninger om juridiske personer til mottakere i tredjestater. Uten særskilt regulering vil utlevering av opplysninger om juridiske personer ikke begrenses av reglene i personvernforordningen kapittel 5. Departementet kan i utgangspunktet ikke se at det foreligger behov for slik begrensning. Det er ingen andre høringsinstanser enn Datatilsynet som har tatt til orde for reglene om overføring av kredittopplysninger til tredjestater bør være like for opplysninger om fysiske og juridiske personer. Mange juridiske personer vil kunne ha betydelig forretningssamarbeid med aktører utenfor EØS-området. I denne sammenheng kan det ha stor betydning for dem at deres samarbeidspartnere utenfor EØS-området har enkel tilgang til kredittopplysninger om dem. Departementet har forståelse for at like regler vil skape et enkelt regelverk som er lett for alle å forholde seg til. Når det likevel på flere områder gjelder ulike regler for behandling av kredittopplysninger om henholdsvis fysiske og juridiske personer, kan departementet ikke se at det er særlige forhold som tilsier at reglene bør være like på dette området. Det er imidlertid, som alltid ved utlevering av kredittopplysninger om juridiske personer, en klar forutsetning for utlevering til mottakere i tredjeland at det kan godtgjøres at mottaker har et saklig behov for opplysningene i sin virksomhet.

Basert på det ovenstående, har departementet vurdert at det ikke er behov for særskilte regler om utlevering av kredittopplysninger til mottakere i land utenfor EU-/EØS-området.

9 Hvordan kan opplysninger utleveres

9.1 Gjeldende rett

Hovedregelen i personopplysningsforskriften § 4-3 annet ledd er at kredittopplysninger skal gis skriftlig, enten elektronisk eller papirbasert. Etter gjeldende praksis gis privatpersoner ikke tilgang til direkte søk/elektronisk oppslag i kredittopplysningsregistre. Dersom privatpersoner skal gis tilgang til kredittopplysninger, skal behovet for opplysningene godtgjøres skriftlig overfor kredittopplysningsforetaket, og opplysningene skal deretter utleveres skriftlig.

Opplysninger som ikke inneholder noe som kan bli anført mot den registrerte kan utleveres muntlig. I så fall skal opplysningene samt mottakers navn og adresse oppbevares i minst seks måneder. Også i hastesituasjoner kan opplysninger utleveres muntlig. Dersom de utleverte opplysningene inneholder noe som kan anføres mot den registrerte, skal de i etterkant bekreftes skriftlig. Ved hasteutleveringer skal også de utleverte opplysningene og mottakers navn og adresse oppbevares i minst seks måneder.

Etter merknadene til gjeldende konsesjoner skal kredittopplysninger gis på grunnlag av søkekriterier som gir unike treff.

Videre følger det av personopplysningsforskriften § 4-3 fjerde ledd at avtaler som går ut på at bestilleren skal få vite det kredittopplysningsforetaket blir kjent med i fremtiden, bare kan omfatte opplysninger om næringsdrivende.

9.2 Forordningen

Forordningen inneholder ikke særskilte bestemmelser om hvordan personopplysninger kan utleveres. I samsvar med forordningen artikkel 6 nr. 3 kan landene fastsette nærmere regler om hvem opplysninger kan utleveres til, formålet med utleveringen og andre tiltak som er nødvendige for å sikre lovlig og rettferdig behandling.

9.3 Forslaget i høringsnotatet

I høringsnotatet ga departementet uttrykk for at det er nødvendig å gi nærmere regler om hvordan kredittopplysninger kan utleveres for å ivareta de registrertes personvern på en god måte. Departementet la til grunn at personvernforordningen artikkel 6 nr. 3 åpner for å fastsette slike regler om utlevering. Lovforslaget inneholdt av pedagogiske grunner visse elementer fra forordningen, noe som anses å være i samsvar med forordningens fortalepunkt 8.

Etter gjeldende praksis må direkte søk/elektronisk oppslag i kredittopplysningsregistre, av hensyn til farene for sammenblanding av de registrerte, skje ved hjelp av fullt fødselsnummer (elleve siffer) eller organisasjonsnummer, såfremt spørrer lovlig kan registrere og behandle dette. Dersom spørrer ikke har anledning til å gjøre direkte søk på fysiske personer ved hjelp av fødselsnummer, har kredittopplysningsforetaket ikke anledning til å oppgi en liste over personer dersom det er flere som tilfredsstiller søkekriteriene som er brukt. Søket må i disse tilfellene spesifiseres slik at det bare gir ett enkelt treff i kredittopplysningsregisteret. Dette kan gjøres ved kombinasjon av ulike søkekriterier, for eksempel navn, fødselsår og adresse forutsatt at kombinasjonen gir et unikt treff. Som et ledd i å sikre en lovlig og rettferdig behandling, vurderte departementet at det kunne være behov for en bestemmelse om at søk i kredittopplysningsregistre skal foregå på en måte som gir et unikt treff. Dette vil i så fall gjelde uavhengig av om det gjøres direkte søk/elektronisk oppslag i registeret, eller om man henvender seg til kredittopplysningsforetaket på annen måte. Departementet ba om høringsinstansenes syn på dette spørsmålet.

Departementet foreslo å videreføre gjeldende rett om at utlevering fra kredittopplysningsregistre skal skje skriftlig. Både elektronisk og papirbasert utlevering tilfredsstiller skriftlighetskravet. Etter gjeldende praksis kan opplysninger i visse tilfeller gis muntlig, for eksempel dersom det er nødvendig av tidshensyn. Dersom opplysningen inneholder negativ informasjon, skal den så raskt som mulig bekreftes skriftlig. For opplysninger som er utlevert muntlig, skal kredittopplysningsforetaket oppbevare logg i minst seks måneder slik at de kan besvare eventuelle innsynshenvendelser fra den registrerte. Departementet ga i høringsutkastet uttrykk for ikke å kjenne til i hvilket omfang kredittopplysninger utleveres muntlig, og ba derfor om høringsinstansenes innspill på om det er behov for å videreføre adgangen til å, i visse tilfeller, utlevere kredittopplysninger muntlig.

Videre foreslo departementet at det skulle inntas en egen bestemmelse i den nye loven om at det kun er næringsdrivende som kan gis tilgang til direkte søk/elektronisk oppslag i kredittopplysninger. Forslaget innebærer en videreføring av regelen som i dag fremgår av merknader til gjeldende kredittopplysningskonsesjoner. Dersom privatpersoner skal gis tilgang til kredittopplysninger, skal behovet for opplysningene godtgjøres skriftlig overfor kredittopplysningsforetaket, og opplysningene skal deretter utleveres skriftlig. Departementet vurderte i høringsnotatet at denne løsningen er et godt tiltak for å redusere snoking i kredittopplysninger.

I høringsutkastet foreslo departementet å lovfeste at kredittopplysninger kan utleveres i form av kredittrating eller kredittscore, det vil si en poengberegning eller kode som gir uttrykk for en statistisk beregnet kredittevne. Også dette innebar en videreføring av gjeldende rett.

Det ble dessuten foreslått å videreføre bestemmelsen i personopplysningsforskriften § 4-3 fjerde ledd om at avtaler som går ut på at bestilleren skal få vite det kredittopplysningsforetaket blir kjent med i fremtiden, bare kan omfatte opplysninger om næringsdrivende. Dette betyr at det ikke er adgang til å abonnere på lister med oppdaterte kredittopplysninger om privatpersoner. Departementet ga i høringsnotatet uttrykk for at det syntes hensiktsmessig å videreføre denne bestemmelsen, blant annet for å forhindre at fysiske personer utsettes for detaljert økonomisk overvåkning.

9.4 Høringsinstansenes syn

Justis- og beredskapsdepartementet har påpekt at offentlige virksomheter, i likhet med næringsdrivende, bør kunne gis tilgang til direkte søk/elektronisk oppslag i kredittopplysningsregistre. Høringsinstansen har også påpekt at det bør vurderes å stille vilkår for at en virksomhet skal gis tilgang til direkte søk, men uten at det er angitt noe nærmere om hva slike vilkår kan eller bør gå ut på.

Norske kredittopplysningsbyråers forening mener det bør vurderes om også privatpersoner kan gis tilgang til direkte søk ved bruk av sikker identifisering, for eksempel bankID, forutsatt at vedkommende har saklig behov for kredittopplysninger. Høringsinstansen påpeker videre at det må fremgå av regelverket at også opplysninger om næringsdrivende kan utleveres i form av kredittscore. Dessuten ber foreningen om at det vurderes å åpne for at bank- og finanssektoren kan benytte kredittopplysningsforetakenes registre som grunnlag for kredittovervåking av privatpersoner.

Norges Juristforbund har i sin høringsuttalelse tatt til orde for at utlevering av kredittopplysninger på grunnlag av elektroniske søk bare kan skje der søket har gitt et unikt treff. Muntlig utlevering må, som i dag, bekreftes skriftlig, og loggføres.

Datatilsynet på sin side mener det kun bør tillates skriftlig utlevering av kredittopplysninger, og viser til at de ikke kjenner til at adgangen til muntlig utlevering benyttes i dag. Tilsynet påpeker videre at algoritmer for kredittscore må tilfredsstille personvernforordningens krav til gjennomsiktighet og rettferdighet.

9.5 Departementets vurderinger

9.5.1 Unike treff

Det er ingen høringsinstanser som har tatt til orde for at opplysninger om fysiske personer skal kunne utleveres i form av lister. Departementet finner derfor ingen grunn til å endre regelen om at opplysninger om fysiske personer bare kan utleveres på grunnlag av søk som gir unike treff, se lovforslaget § 14 andre ledd. Som hovedregel skal søk på fysiske personer skje ved hjelp av fullt fødselsnummer. Har spørrer ikke lovlig tilgang til fødselsnummer, skal søk skje på bakgrunn av et sett andre opplysninger som gir et unikt treff i kredittopplysningsregisteret. Dersom det ikke er mulig å foreta unik identifikasjon av den omspurte, kan kredittopplysninger ikke utleveres. Lovforslaget innebærer på dette punktet en videreføring av gjeldende rett.

9.5.2 Direkte søk

Departementet har merket seg innspillet fra Justis- og beredskapsdepartementet om at ikke bare næringsdrivende, men også offentlige virksomheter bør kunne gis tilgang til direkte søk i kredittopplysningsregistre. Departementet er enig i at det kan være hensiktsmessig for offentlige virksomheter som benytter kredittopplysninger i stort omfang å ha tilgang til direkte oppslag. Hovedregelen etter lovforslaget er derfor at alle som jevnlig har et saklig behov for kredittopplysninger kan gis tilgang til direkte søk dersom de ønsker dette.

Norske kredittopplysningsbyråers forening har tatt til orde for at også privatpersoner bør kunne gis tilgang til direkte søk i kredittopplysningsregistre. Departementet ser at slik tilgang kan være hensiktsmessig for eksempel i situasjoner der privatpersoner skal inngå større avtaler med næringsdrivende, for eksempel om leie av fast eiendom eller håndverkeroppdrag, og ønsker å forsikre seg om deres evne til å levere i henhold til avtale. I slike situasjoner vil privatpersonen ha saklig behov for kredittopplysninger om den næringsdrivende. Tilgang til kredittopplysninger forutsetter at det er foretatt en viss forhåndskontroll av at spørrer har saklig behov for opplysningene. De fleste privatpersoner vil ha behov for kredittopplysninger så sjelden at det neppe kan etableres en generell sannsynlighet for at de vil ha saklig behov for opplysningene de etterspør. Snarere vil de fleste privatpersoner, slik departementet ser det, bare unntaksvis ha saklig behov for kredittopplysninger. Det vil være svært krevende å vurdere om det foreligger saklig behov for opplysningene ved det enkelte oppslag. Departementet har merket seg at Norske kredittopplysningsbyråers forening peker på at privatpersoner kan identifisere seg ved bruk av elektronisk id for å få elektronisk tilgang til kredittopplysninger. Etter departementets vurdering er det ikke kontroll av spørrers identitet som skaper de største utfordringene ved en eventuell elektronisk tilgang for privatpersoner. Derimot vil kontroll av om det foreligger saklig behov for kredittopplysninger representere en utfordring. Som Norske kredittopplysningsbyråers forening skriver i sin høringsuttalelse, forutsetter elektronisk tilgang at spørrer har saklig behov. Det er vanskelig å se hvordan kontroll av dette vilkåret skal gjennomføres for privatpersoner som etterspør kredittopplysninger en sjelden gang. Departementet har derfor kommet til at det ikke er hensiktsmessig at privatpersoner gis tilgang til å foreta direkte søk/elektronisk oppslag i kredittopplysningsregistre. Dette er gjenspeilet i lovutkastet § 14 tredje ledd.

Etter en vurdering er departementet kommet til at det er mer hensiktsmessig å foreta en avgrensning som innebærer at privatpersoner ikke kan gis tilgang til direkte søk i kredittopplysningsregistre, enn å foreta en positiv opplisting av de som kan gis tilgang, se lovforslaget. På denne måten legges det til rette for at alle som driver virksomhet, herunder offentlige virksomheter, vil kunne få elektronisk tilgang til å foreta direkte søk i kredittopplysningsregistre. Departementet vurderer at også enkeltpersonforetak kan ha behov for direkte søk i kredittopplysningsregistre. Dette innebærer at også disse bør kunne gis elektronisk tilgang til å søke i kredittopplysningsregistre. Departementet har derfor bevisst valgt å benytte et annet begrep enn «fysisk person», som etter lovforslaget også omfatter enkeltpersonforetak, ved utforming av avgrensningsbestemmelsen. Slik departementet ser det, vil bruk av begrepet «privatperson» i utleveringsbestemmelsen ikke skape rettslige utfordringer, da det her dreier seg om personen som bestiller av kredittopplysninger, og ikke om personen som registrert.

Justis- og beredskapsdepartementet har videre stilt spørsmål ved om det er «behov for eller ønskelig at alle næringsdrivende eller alle offentlige virksomheter skal kunne få elektronisk tilgang til direkte søk». I forlengelse av dette skriver Justis- og beredskapsdepartementet at det «trolig bør fastsettes vilkår for at en næringsdrivende eller en offentlig virksomhet skal kunne få slik tilgang». Høringsinstansen har ikke begrunnet forslaget nærmere. Det er et grunnvilkår for all tilgang til kredittopplysninger at spørrer har saklig behov for opplysningene i virksomheten sin. Dersom det er fastslått et saklig behov, kan departementet ikke se at det er grunn til å lovregulere særskilte vilkår for at en virksomhet, offentlig eller privat, skal kunne foreta direkte søk i kredittopplysningsregistre. Det er den behandlingsansvarlige som er ansvarlig for at opplysninger behandles i samsvar med de generelle reglene i personopplysningsloven og personvernforordningen, og de særlige reglene om kredittopplysningsvirksomhet. Etter departementets oppfatning er det derfor de behandlingsansvarlige som må vurdere hvilke tiltak de vil iverksette for å forsikre seg om at opplysninger ikke utleveres eller gjøres tilgjengelig for noen som ikke tilfredsstiller lovens vilkår. Departementet foreslår etter dette ikke å lovfeste særskilte vilkår for at offentlig og privat virksomhet skal gis tilgang til direkte søk i kredittopplysningsregistre.

9.5.3 Skriftlig utlevering

I høringsnotatet ba departementet om høringsinstansenes syn på om det fortsatt bør være adgang til å utlevere kredittopplysninger muntlig. Med unntak av Datatilsynet, som mener det ikke lenger bør være adgang til å utlevere kredittopplysninger muntlig, er det ingen høringsinstanser som har uttalt seg om dette spørsmålet.

Det er departementets erfaring at muntlig utlevering av kredittopplysninger ikke praktiseres i dag. Etter departementets vurdering kan muntlig utlevering blant annet skape utfordringer knyttet til informasjon til de registrerte, praktisering av innsynsrett og etterfølgende kontroll med opplysningenes riktighet. I og med at det er lite som tyder på at noen av kredittopplysningsforetakene i dag utleverer kredittopplysninger muntlig, har departementet kommet til at det ikke er hensiktsmessig å videreføre denne adgangen.

Departementet legger til grunn at skriftlig utlevering, enten på papir eller elektronisk, skaper trygghet både for den som bestiller opplysninger og for den registrerte. Lovforslaget legger derfor til grunn at kredittopplysninger skal utleveres skriftlig, se lovutkastet § 14 tredje ledd. Skriftlig utlevering kan skje enten på papir eller elektronisk.

9.5.4 Kredittscore

Kredittscore er en modell for statistisk beregning av den registrertes kredittevne. Modellen kan benyttes både for fysiske og juridiske personer. Departementet er derfor enig med Norske kredittopplysningsbyråers forening i at kredittscore må kunne utleveres om både fysiske og juridiske personer. Det synes ikke å være gode grunner til å skille mellom de to kategoriene registrerte på dette punktet.

I sin høringsuttalelse har Datatilsynet pekt på at kredittscore er en form for profilering, jf. personvernforordningen artikkel 4 nr. 4. Utvikling av scoremodeller må derfor oppfylle personvernforordningens krav til åpenhet og rettferdighet. Departementet har ikke funnet grunn til å innta en særskilt bestemmelse om dette i lovforslaget. Det følger av lovforslaget at de generelle bestemmelsene i personopplysningsloven gjelder for behandling av kredittopplysninger dersom ikke annet er sagt. Departementet legger derfor til grunn at personvernforordningens krav til åpenhet og rettferdighet gjelder for all behandling av personopplysninger som skjer i regi av et kredittopplysningsforetak, også for utvikling av scoremodeller. Departementet finner på denne bakgrunn ikke grunn til å innta en særskilt bestemmelse i lovforslaget om åpenhet og rettferdighet for scoremodeller. Det er redegjort nærmere for retten til innsyn i logikken bak kredittscore/kredittrating i proposisjonen punkt 11.4.5.4.

9.5.5 Kredittovervåking av privatpersoner

Norske kredittopplysningsbyråers forening har tatt til orde for at det bør åpnes for kredittovervåking av fysiske personer, i alle fall for bank- og finanssektoren. Imidlertid har ingen av høringsinstansene som representerer finansnæringen tatt til orde for at det bør åpnes for løpende kredittovervåking av privatpersoner. Så lenge finansnæringen selv ikke har trukket frem et behov for løpende overvåking av privatkundeporteføljen ved bruk av kredittopplysningsregistre, ser departementet ikke at det er godtgjort et behov for den utvidelsen Norske kredittopplysningsbyråers forening tar til orde for. Dette innspillet er derfor ikke fulgt opp i lovforslaget. Lovforslaget § 14 femte ledd viderefører forbudet mot kredittovervåking av fysiske personer.

10 Frivillig sperre mot utlevering av kredittopplysninger

10.1 Gjeldende rett

Det følger av gjeldende kredittopplysningskonsesjon at de registrerte skal ha mulighet til å sperre seg mot kredittvurdering. I praksis betyr dette at kredittopplysninger er registrert, men ikke kan utleveres. Dersom det etterspørres opplysninger om en registrert som har sperret seg mot kredittvurdering, er det bare informasjon om kredittsperren som kan utleveres.

10.2 Forordningen

Forordningen artikkel 21 nr. 1 åpner for at de registrerte kan motsette seg visse behandlinger av personopplysninger, blant annet slike behandlinger som har grunnlag i artikkel 6 nr. 1 bokstav e. Det er nettopp denne bestemmelsen som vil være det rettslige grunnlaget for regulering av behandling av opplysninger i kredittopplysningsvirksomhet. Etter forordningen artikkel 6 nr. 3 jf. nr. 1 bokstav e kan det i nasjonal rett fastsettes særskilte bestemmelser for å sikre lovlig og rettferdig behandling.

10.3 Forslaget i høringsnotatet

Departementet gikk i høringsnotatet inn for å lovfeste dagens praksis med at fysiske personer kan motsette seg at opplysninger om dem utleveres i kredittopplysningsvirksomhet, gjerne omtalt som en frivillig sperre mot kredittvurdering. Forslaget gikk ut på at dersom en person sperrer sin identitet mot kredittvurdering, vil det kun være opplysninger om kredittsperren som kan utleveres ved forespørsel om kredittopplysning. Det vil ikke kunne utleveres kredittvurderinger eller kredittopplysninger om vedkommende, og opplysningene vil ikke kunne brukes som grunnlag for å vurdere om det skal ytes kreditt. Det ble i høringsnotatet lagt til grunn at konsekvensen av en kredittsperre ville være at den registrerte ikke blir ytt kreditt. Forslaget var likevel ikke til hinder for at det registreres opplysninger om vedkommende i kredittopplysningsregisteret.

Departementet foreslo i høringsnotatet at adgangen til å registrere kredittsperre bare skulle gjelde for registrerte fysiske personer. Men også juridiske personer kan ha interesse av å registrere kredittsperre. Departementet ba derfor om høringsinstansenes syn på hvorvidt også juridiske personer bør ha adgang til å registrere frivillig kredittsperre.

10.4 Høringsinstansenes syn

Både Forbrukertilsynet og Datatilsynet er positive til lovfesting av adgangen til å sperre seg mot kredittvurdering. Begge høringsinstansene tar til orde for en enklere sperreløsning enn dagens ordning, ved at det etableres ett felles kontaktpunkt eller et sentralt sperreregister. Finansdepartementet tar til orde for et offentlig sperreregister, og mener dette bør være tilknyttet Brønnøysundregistrene. Norske kredittopplysningsbyråers forening er også positiv til en frivillig sperre mot kredittvurdering, og mener ordningen også kan omfatte juridiske personer. Foreningen mener en ordning med frivillig kredittsperre i liten grad vil hindre effektiv kredittgivning. Høringsinstansen opplyser i sitt høringssvar dessuten at bransjen selv arbeider for å etablere et sentralt sperreregister, slik enkelte høringsinstanser har etterlyst. Norske kredittopplysningsbyråers forening påpeker samtidig at det er behov for et unntak fra kredittsperren for at inkassoselskaper og andre som driver porteføljevurdering skal kunne få tilgang til kredittopplysninger for dette formålet. De viser til at et slikt unntak følger av dagens konsesjoner.

Forbrukerrådet mener også det ville være hensiktsmessig med en felles ordning for kredittsperre, og at denne kan omfatte næringsdrivende. Høringsinstansen stiller dessuten spørsmål om de krav som stilles til legitimering av den registrerte ved registrering og oppheving av frivillig kredittsperre. Det har, etter det departementet har forstått, vært praksis blant flere av kredittopplysningsforetakene å kreve legitimering ved bruk av BankID for registrering av kredittsperre, mens sperren kan oppheves per telefon. Høringsinstansen stiller spørsmål ved om dette er en hensiktsmessig ordning, eller om også andre legitimasjonsordninger kan tenkes brukt. Også privatpersonen Thomas Henden har påpekt at dagens ordninger for registrering av frivillig kredittsperre, der enkelte selskaper benytter en løsning basert på innsending av en e-post med kopi av legitimasjon, er usikre. Han støtter dessuten at det bør etableres et sentralt sperreregister som alle kredittopplysningsforetakene må benytte.

Virke Inkasso mener derimot at det ikke bør lovfestes en rett til å sperre seg mot utlevering av kredittopplysninger fordi ordningen hindrer gode kredittvurderinger. Skatteetaten mener det ikke bør åpnes for kredittsperre for juridiske personer fordi ordningen kan misbrukes til å hindre kreditor innsyn i skyldners økonomi. Høringsinstansen uttaler seg ikke negativt om en sperreordning for fysiske personer.

10.5 Departementets vurderinger

Departementet vil innledningsvis knytte noen kommentarer til begrepsbruk. I gjeldende konsesjoner for behandling av opplysninger i kredittopplysningsvirksomhet benyttes begrepet «sperre mot kredittvurdering». Departementet mener imidlertid en mer treffende begrepsbruk vil være å omtale sperren som en «sperre mot utlevering av kredittopplysninger», da det i realiteten er selve utleveringen av opplysninger den registrerte kan motsette seg. I det følgende vil derfor formuleringene «motsette seg utlevering av kredittopplysninger» eller «sperre mot utlevering av kredittopplysninger» bli benyttet. Også begrepet «kredittsperre» benyttes. Dette er også inntatt i lovforslaget § 16.

10.5.1 Fysiske personer

En vanlig årsak til å ønske å registrere en frivillig sperre mot utlevering av kredittopplysninger er at man søker å motvirke negative konsekvenser av identitetstyveri. Det kan også være aktuelt å motsette seg utlevering av kredittopplysninger om seg selv dersom man ønsker å forhindre at andre skal få innsyn i kredittopplysninger om en selv, eller dersom man har stor gjeld eller av andre årsaker er bekymret for egen pengebruk.

I dag følger en slik rett til frivillig sperre mot utlevering av kredittopplysninger ikke av lov- eller forskriftsbestemmelser, men av kredittopplysningskonsesjonen pkt. 4.2. Alle de fire norske kredittopplysningsforetakene som behandler kredittopplysninger om fysiske personer tilbyr de registrerte en rett til å motsette seg at opplysninger om ham eller henne utleveres i kredittopplysningsvirksomhet (kredittsperre). Det kan likevel registreres opplysninger om vedkommende i kredittopplysningsregisteret.

Departementet vurderer at det ligger innenfor handlingsrommet i personvernforordningen artikkel 6 nr. 3 å åpne for at den registrerte kan begrense kredittopplysningsforetakenes behandling på en slik måte som kredittsperre innebærer. En bestemmelse om retten til kredittsperre kan også sies å ha nærhet til innsigelsesretten i forordningen artikkel 21. Departementet foreslår derfor å lovfeste gjeldende rett for så vidt gjelder fysiske personers adgang til å sperre seg mot utlevering av kredittopplysninger, se lovforslaget § 16 første ledd. Departementet legger til grunn at konsekvensen av en kredittsperre vil være at den registrerte ikke blir ytt kreditt. Så lenge vedkommende er klar over dette, bør det, i tråd med retten til å råde over egne personopplysninger, være opp til den enkelte om han eller hun ønsker å motsette seg at personopplysningene brukes til kredittvurdering.

Samtidig kan lovfesting av retten til kredittsperre ha uheldige virkninger for samfunnet ved at det påvirker effektiviteten i kredittgivning. Før eller siden vil de aller fleste ha et reelt behov for å bli kredittvurdert. Dette kan for eksempel være i forbindelse med søknad om boliglån. I slike tilfeller vil det være mulig å oppheve kredittsperren for deretter å sette en ny sperre når søknadsprosessen er ferdig. Dette kan medføre noe arbeid for den registrerte. Samtidig er departementet kjent med at flere kredittopplysningsforetak tilbyr elektroniske løsninger for å sette og heve kredittsperre, slik at dette både kan gå raskt og innebære lite arbeid.

10.5.2 Juridiske personer

Det er få høringsinstanser som har uttalt seg om spørsmålet om hvorvidt adgangen til å registrere frivillig kredittsperre også bør omfatte juridiske personer. De få som har uttalt seg går i ulike retninger, og gir ingen klar indikasjon på at man bør falle ned på den ene eller andre løsningen. Norske kredittopplysningsbyråenes forening ga i sin høringsuttalelse uttrykk for at de gjennom årene har mottatt noen få henvendelser fra juridiske personer som ønsker å registrere kredittsperre. Deres begrunnelse for å ønske slik sperre er gjerne at de vil beskytte seg mot svindel. Departementet ser at dette er en legitim begrunnelse for at det bør legges til rette for at også juridiske personer kan registrere frivillig kredittsperre.

Finans Norge og Skatteetaten, derimot, mener behovet for kredittsperre er betydelig mindre for juridiske personer enn for fysiske personer. Høringsinstansene påpeker også at skyldner kan hindre kreditor tilgang til viktig informasjon om utviklingen i skyldners økonomi dersom det åpnes for at juridiske personer kan motsette seg utlevering av kredittopplysninger, og at dette kan ha negativ virkning i kredittmarkedet.

Departementet mener det ikke må etableres ordninger og legges til rette muligheter for at skyldner kan unndra viktig informasjon om sin økonomiske utvikling fra kreditors innsyn. Erfaringene fra kredittopplysningsbransjen tyder på at behovet for frivillig kredittsperre for juridiske personer er beskjedent, og at det er få juridiske personer som benytter tilbudet. Samtidig kan behovet være reelt nok for de få juridiske personene som hittil har benyttet anledningen til å motsette seg utlevering av kredittopplysninger.

For juridiske personer vil kredittsperre kunne skape enkelte utfordringer i samhandlingen med andre juridiske personer, blant annet ved å påvirke muligheten til å få leverandørkreditt. Dette er imidlertid en risiko den registrerte selv må vurdere. Departementet mener derfor ikke at det er grunn til å nekte juridiske personer å registrere kredittsperre, og legger til grunn at regelverket kan praktiseres likt uavhengig av hvem den registrerte er. Lovforslaget § 16 første ledd er basert på denne vurderingen.

10.5.3 Kredittsperrens rekkevidde

Frivillig kredittsperre skal tjene flere hensyn ved at den kan bidra både til å redusere de negative konsekvensene ved identitetstyveri og til å forhindre uønsket gjeldsopptak. Samtidig er det viktig at løsningen ikke hindrer finansforetak i å gjennomføre lovpålagte risikovurderinger. Også inkassoforetak må ha tilgang til kredittopplysninger for løpende å kunne vurdere porteføljen sin og mulighetene for inndrivelse av krav. Denne muligheten til porteføljekontroll er viktig for effektiv drift og gode risikovurderinger. Etter gjeldende rett er det lagt til grunn at kredittsperren kun gjelder for enkeltoppslag i kredittopplysningsregisteret. Registrert kredittsperre gjelder, jf. merknader til Datatilsynets konsesjon for behandling av opplysninger i kredittopplysningsvirksomhet, punkt 1.1.3.1 nr. 3, således ikke for

«…utlevering av kredittopplysninger til banker og finansieringsinstitusjoner når disse skal brukes i forbindelse med bankenes pålagte risiko- og soliditetsvurderinger. Sperren gjelder heller ikke ved forespørsler fra inkassobyråene i forbindelse med porteføljevask og vurdering og inndriving av et krav».

Dette betyr at kredittsperre skal bidra til å forhindre uønskede hendelser og aktiviteter som det er rimelig at den registrerte selv har herredømme over. Derimot vil kredittsperren ikke kunne brukes som et middel for å forhindre porteføljekontroll og effektiv inndriving av utestående krav. Departementet mener derfor det er hensiktsmessig å videreføre gjeldende praksis, slik at en registrert kredittsperre ikke får negative konsekvenser for kredittmarkedet. For at det ikke skal være noen tvil om rekkevidden av en registrert kredittsperre, anser departementet det som hensiktsmessig at begrensningen inntas direkte i lovforslaget § 16 andre ledd.

10.5.4 Legitimasjonskrav ved registrering og oppheving av kredittsperre

Enkelte høringsinstanser har påpekt at de ulike kredittopplysningsforetakene i dag har ulike krav til legitimasjon ved registrering av kredittsperre. Noen benytter enkle e-postløsninger der den registrerte sender inn kopi av et legitimasjonsdokument for å få registrert en kredittsperre. Andre har innloggingsløsninger som krever bruk av BankID.

Departementet mener det kan få uheldige følger for den registrerte dersom noen urettmessig registrerer eller opphever en kredittsperre på hans eller hennes navn. Det bør derfor stilles tydelige og strenge krav til legitimasjon ved registrering av kredittsperre. De samme kravene bør gjelde ved oppheving av sperren for å sikre at det er rette vedkommende som opphever sperren. Departementet mener at løsninger basert på bruk av e-post og kopi av legitimasjonsdokumenter, uten noen mulighet for kredittopplysningsforetaket til å verifisere dokumentenes ekthet, ikke gir et tilfredsstillende sikkerhetsnivå.

Av hensyn til opplysningskvaliteten i kredittopplysningsregistrene, og tryggheten for de registrerte, må det benyttes sikre registreringsløsninger. Departementet mener opplysningskvaliteten og hensynet til de registrertes trygghet best kan ivaretas ved bruk av innloggingsløsninger der den registrerte legitimerer seg ved bruk av elektronisk ID. Dette kan være den offentlige løsningen MinID, eller løsninger tilbudt fra private aktører som BankID, Buypass eller COMMFIDES. Disse løsningene tilbyr noe ulike sikkerhetsnivåer.

Forbrukerrådet har i sin høringsuttalelse pekt på at krav om legitimasjon i form av BankID er svært strengt, og at det ikke er alle norske borgere som har BankID. For disse vil det ikke være mulig å registrere kredittsperre dersom det kreves legitimasjon ved bruk av BankID. Departementet ser det ikke som hensiktsmessig å pålegge bransjen å benytte en eller flere bestemte legitimasjonsløsninger. Etter departementets syn bør det være opp til kredittopplysningsforetaket, eller virksomhetene i bransjen i samarbeid, å vurdere hvilket sikkerhetsnivå de vil kreve ved registrering og oppheving av kredittsperre, og hvilke løsninger de ønsker å implementere for å ivareta et tilfredsstillende sikkerhetsnivå. Departementet går likevel inn for at det lovfestes en plikt til å sørge for sikker legitimasjon og sikre innloggingsløsninger uavhengig av hvilken løsning som velges, se lovforslaget § 16 tredje ledd.

10.5.5 Sentralt register over kredittsperrer

Enkelte høringsinstanser har etterlyst et sentralt register over kredittsperrer. Tall fra aktører i bransjen tyder på at antallet registrerte kredittsperrer ikke er veldig høyt sammenliknet med antallet registrerte. Det samlede antall registrerte kredittsperrer ligger på ca. 20 000 per år. Antall personer med kredittsperre er imidlertid noe lavere, ca. 15 000. Dette innebærer at det er flere som registrerer og opphever sin sperre flere ganger i løpet av et år. Dette kan blant annet skyldes at de er aktive i kredittmarkedet i perioder, men ønsker kredittsperre i de periodene de ikke aktivt søker kreditt, for eksempel for å motvirke identitetstyveri. De store kredittopplysningsforetakene oppfordrer aktivt de registrerte til å registrere sin kredittsperre også hos andre som driver kredittopplysningsvirksomhet. Det kan derfor legges til grunn at de fleste som registrerer kredittsperre gjør dette hos alle de store kredittopplysningsforetakene.

Hensikten med et sentralt register for registrering av kredittsperre vil være å lette registrering av sperre for den enkelte. I dag må fysiske personer registrere ønsket kredittsperre i alle kredittopplysningsregistrene (i praksis fire), og parallelt oppheve sperren direkte i hvert enkelt kredittopplysningsregister når vedkommende ikke lenger ønsker å være sperret mot kredittvurdering. Dette kan fremstå som tungvint og upraktisk, og dermed fungere som et hinder for kredittsperre for de som ønsker dette. Samtidig bemerker departementet at dagens system synes å fungere relativt godt.

Kredittsperre kan benyttes av personer som av økonomiske årsaker ikke ønsker å ha mulighet til å oppta ny kreditt. På denne måten kan sperren fungere som et privatøkonomisk beskyttelsestiltak for personer med økonomiske problemer. Det er imidlertid slik at de registrerte selv registrerer og opphever sin kredittsperre. Fordi sperren enkelt kan oppheves, er det grunn til å stille spørsmål ved om den i nevneverdig grad vil påvirke den muligheten personer med betalingsproblemer har til å oppta ny gjeld. Enklere mulighet for etablering av kredittsperre vil derfor trolig ha liten effekt i arbeidet for å redusere gjeldsproblemer. Samtidig kan sperre mot kredittvurdering være aktuelt for personer som opplever identitetstyveri, der «tyven» ikke sjelden benytter den stjålne identiteten til å oppta kreditt. Ved å registrere kredittsperre kan offeret for identitetstyveriet motvirke at gjerningspersonen kan ta opp ny kreditt i offerets navn. Dette kan være et nyttig tiltak for å begrense de negative virkningene av identitetstyveri. Det er departementets erfaring at hensikten for den enkelte ved registrering av kredittsperre stadig oftere er å motvirke identitetstyveri, det vil si et formål som har mindre sammenheng med kredittopplysningsvirksomhet. Norske kredittopplysningsbyråers forening skriver i sin høringsuttalelse at bransjen selv arbeider for å etablere et felles sperreregister. Det synes i utgangspunktet hensiktsmessig at et eventuelt sentralt sperreregister etableres og driftes av bransjen selv i tilknytning til de løsningene bransjen allerede har etablert. Etter det departementet kjenner til, er bransjens arbeid med et felles sperreregister imidlertid stilt i bero etter høringsfristens utløp. Bransjen har, etter det departementet kjenner til, på det nåværende tidspunkt ikke konkrete planer om et felles sperreregister.

Departementet er i tvil om det offentlige bør være behandlingsansvarlig for et eventuelt sperreregister. Etablering av en offentlig registerløsning uavhengig av kredittopplysningsforetakenes registre, vil kunne bli relativt ressurskrevende sett i forhold til den samfunnsmessige effekten av et slikt sperreregister. Det er kredittinstitusjonene som er ansvarlige for å sikre at det ikke ytes kreditt til personer på grunnlag av uriktige opplysninger. Det bør derfor også være i bransjens interesse å bidra til at det finnes effektive løsninger for kredittsperre og identitetskontroll. Departementet er samtidig i tvil om lov om behandling av opplysninger i kredittopplysningsvirksomhet er det riktige stedet å innta en regulering av et offentlig driftet sentralt sperreregister. Departementet viser videre til at opprettelse av et offentlig driftet sentralt sperreregister går ut over de spørsmålene som har vært hørt som ledd i arbeidet med lovregulering av behandling av kredittopplysninger. Opprettelse av et offentlig sperreregister må utredes grundig før det kan legges frem forslag om et eventuelt slikt register. Departementet foreslår derfor ikke i proposisjonen å etablere et offentlig driftet sentralt register for registrering av frivillig kredittsperre.

11 Innsyn og informasjon til de registrerte

11.1 Gjeldende rett – overblikk

Etter gjeldende rett er det særlig tre rettigheter og plikter som skal sikre at de registrerte får informasjon og kunnskap om den aktuelle behandlingen av deres kredittopplysninger. Dette er retten til innsyn, gjenpartsplikten og retten til forhåndsvarsel ved registrering av opplysninger i et kredittopplysningsregister. Rettighetene følger dels av personopplysningsforskriften 2000 § 4-4 og dels av Datatilsynets konsesjoner for behandling av kredittopplysninger, punkt 3.1 og 3.2. Reglene er noe mer detaljerte enn de alminnelige reglene om innsyn og informasjon som fulgte av personopplysningsloven 2000 §§ 18 til 20. De registrertes rett til innsyn og informasjon er ansett å være viktig for at de skal kunne ivareta sine øvrige rettigheter i personvernsammenheng.

11.2 Forordningen

I personvernforordningen er de registrertes rett til innsyn og informasjon regulert i artikkel 13 til 15. I tillegg gir artikkel 12 visse generelle regler om gjennomføringen av den registrertes rettigheter. I kredittopplysningssammenheng er det særlig artikkel 14, som regulerer informasjonsplikten når opplysninger samles inn fra andre enn den registrerte, og artikkel 15 om innsynsrett, som er relevante. Reglene innebærer i det vesentlige en videreføring av rettstilstanden etter personopplysningsloven 2000, men med noe mer utfyllende krav til informasjon. Artikkel 13 til 15 åpner ikke for å fastsette nasjonale supplerende bestemmelser, men artikkel 23 åpner for at medlemsstatene på nærmere vilkår kan begrense de registrertes rettigheter. Det vises til den nærmere redegjørelsen for artiklene i Prop. 56 LS om lov om behandling av personopplysninger kapittel 10, og om unntakene fra innsyns- og informasjonsrettighetene i personopplysningsloven §§ 16 og 17. Samtidig åpner personvernforordningen artikkel 6 nr. 2 og 3 jf. nr. 1 bokstav e for at det i nasjonal rett kan fastsettes særlige regler for å sikre lovlig og rettferdig behandling av opplysningene.

11.3 Forslaget i høringsnotatet

Departementet ga i høringsnotatet uttrykk for at det fortsatt bør fremgå eksplisitt av kredittopplysningsregelverket at de registrerte har rett til innsyn, gjenpart og forhåndsvarsling. Det ble samtidig anført at det vil være å gå for langt å gjenta personvernforordningens bestemmelser i den nye kredittopplysningsloven, jf. forordningens fortalepunkt 8. Det ble i stedet lagt opp til henvisninger til de relevante artiklene i forordningen der det ble ansett nødvendig.

Departementet foreslo, av pedagogiske årsaker, at loven presiserer at de alminnelige reglene om fysiske personers rett til innsyn og informasjon i personopplysningsloven jf. personvernforordningen artikkel 12 til 15 gjelder i kredittopplysningsvirksomhet. Høringsnotatet la samtidig opp til at det for næringsdrivende kun er bestemmelsene i artikkel 15 som skal gjelde. Dette innebar at juridiske personer etter høringsforslaget ikke ville ha krav på informasjon etter artikkel 13 og 14, men selv aktivt måtte be om innsyn hos kredittopplysningsforetakene. Departementet foreslo at bestemmelsen i personvernforordningen artikkel 12 nr. 5 om at innsyn skal være gratis for de registrerte, også skulle gis anvendelse overfor juridiske personer. Høringsforslaget la til grunn at det i samsvar med forordningen artikkel 12 nr. 5 likevel kunne tas et rimelig gebyr for å gi innsyn dersom innsynshenvendelsene er åpenbart grunnløse eller gjentakende. Gebyret må da stå i forhold til kostnadene forbundet med å gi innsyn.

I kapittel 11.4 til 11.6 redegjøres det for særskilte tilpasninger av innsyns- og informasjonsreglene.

11.4 Særregler om innsyn

11.4.1 Gjeldende rett

Etter gjeldende rett har de registrerte innsynsrett i samsvar med personopplysningsloven 2000 § 18 med de begrensninger som følger av samme lov § 23 om unntak fra innsynsrett. Innsynsretten gjelder tilsvarende ved behandling av kredittopplysninger om andre enn fysiske personer. Dette betyr at både fysiske og juridiske personer i dag har samme rett til innsyn i kredittopplysninger om seg selv.

I tillegg til de ordinære reglene om innsyn i egne personopplysninger, inneholder personopplysningsforskriften 2000 § 4-4 siste ledd en bestemmelse om at de registrerte kan kreve å få opplyst hvilke kredittopplysninger om dem som er utlevert de siste seks månedene og hvem opplysningene er utlevert til. Bestemmelsen gjelder i tillegg til innsynsrett og gjenpartsplikt, og er trolig mest relevant for juridiske personer som ikke mottar ordinær gjenpart ved utlevering av opplysninger.

11.4.2 Forordningen

Personvernforordningen har bestemmelser om innsynsrett i artikkel 15. I kredittopplysningssammenheng gjelder bestemmelsen kun for de registrerte som regnes som fysiske personer. Innsynsbestemmelsen i forordningen artikkel 15 nr. 1 gir de registrerte rett til å kreve innsyn i konkrete registrerte opplysninger. Forordningen artikkel 15 nr. 1 bokstav a til h angir nærmere hvilken informasjon de registrerte har innsynsrett i. Etter forordningen omfatter innsynsretten blant annet informasjon om formålet med behandlingen, berørte kategorier av opplysninger, mottakere eller kategorier av mottakere som opplysningene vil bli utlevert til, lagringstid, retten til å be om retting, sletting eller begrensning i behandlingen, retten til å klage til en tilsynsmyndighet, informasjon om hvor opplysningene er hentet fra, samt om opplysningene benyttes til profilering eller automatiserte avgjørelser. Hvis opplysningene benyttes til profilering eller automatiserte avgjørelser, har den registrerte også rett til å få informasjon om den bakenforliggende logikken og forventede konsekvenser av behandlingen for den registrerte.

Ved begjæring om innsyn skal den registrerte motta en kopi av de registrerte opplysningene. I tillegg til forordningens bestemmelser om innsyn, åpner artikkel 6 nr. 3 for å fastsette nasjonale særbestemmelser når dette er nødvendig for å sikre en lovlig og rettferdig behandling av opplysningene.

11.4.3 Forslaget i høringsnotatet

I høringsutkastet viste departementet til at registrerte fysiske personer, med grunnlag i personvernforordningen artikkel 15, vil ha rett til innsyn i hvem opplysninger om dem er utlevert til de siste seks månedene, og for så vidt også lenger bakover i tid siden artikkel 15 nr. 1 bokstav c ikke setter noen tidsbegrensning for innsynsretten. Departementet la videre til grunn at det likevel er usikkert om bestemmelsen gir rett til å be om innsyn i hvilke konkrete opplysninger som er utlevert til hvilken mottaker. Fordi innsynsretten etter forordningen artikkel 15 er mer omfattende enn de generelle innsynsbestemmelsene i personopplysningsloven 2000 la departementet likevel til grunn at det ikke forelå noe stort behov for å videreføre dagens særbestemmelse om at den enkelte kan be kredittopplysningsforetaket om innsyn i det som er utlevert om ham eller henne de siste seks månedene. Departementet la til grunn at de alminnelige reglene i personvernforordningen og personopplysningsloven om innsyn og informasjon, sammen med en særlig bestemmelse om gjenpartsplikt, ville dekke registrerte fysiske personers behov for informasjon om behandling av kredittopplysninger. For fysiske personer ble det derfor foreslått å vise til de generelle reglene om innsyn og informasjon i personvernforordningen artikkel 12 til 15.

I høringsutkastet ble det videre lagt til grunn at juridiske personer ikke har krav på gjenpartsbrev, og at de derfor vil kunne ha interesse av å be om innsyn i hvilke kredittopplysninger som er utlevert om dem de siste seks månedene, og til hvem opplysningene er utlevert. Fordi det er usikkerhet med hensyn til i hvilken grad juridiske personer benytter denne retten, ga departementet uttrykk for tvil om det for juridiske personers vedkommende er behov for å videreføre bestemmelsen i personopplysningsforskriften 2000 § 4-4 siste ledd. Det ble bedt om høringsinstansenes syn på spørsmålet. Det ble samtidig foreslått en bestemmelse om at juridiske personer skal ha innsynsrett i kredittopplysninger i samsvar med personvernforordningen artikkel 15.

Det ble videre foreslått at innsyn for den registrerte skal være gratis med de begrensning som følger av personvernforordningen artikkel 12 nr. 5.

11.4.4 Høringsinstansenes syn

Det er ingen høringsinstanser som er negative til innsynsrett for registrerte fysiske personer. Datatilsynet har bemerket at det bør presiseres at innsynsretten også gjelder for enkeltpersonforetak. Finans Norge anbefaler at personvernforordningens regler om innsyn og informasjon gjentas i kredittopplysningsloven for å lette tilgjengeligheten.

Flere høringsinstanser, deriblant Datatilsynet, Juristforbundet og Norske kredittopplysningsbyråers forening, har bemerket at retten til å be om innsyn i hvilke opplysninger som er utlevert de siste seks måneder benyttes i liten grad. De påpeker likevel at det kan være grunn til å beholde retten, ikke minst av hensyn til juridiske personer som ikke får gjenpart.

Skatteetaten har bemerket at det i lovforslaget ikke er foreslått noen hjemmel for betaling for innsyn, til tross for at merknadene viser at det skal være en slik adgang. Høringsinstansen har videre påpekt at kredittytere, i tillegg til de registrerte, bør gis innsyn i logikken bak scoremodeller som kredittopplysningsforetakene benytter. Datatilsynet, på sin side, har stilt spørsmål ved om det er kredittopplysningsforetaket eller mottaker av kredittopplysningen som skal gi innsyn i logikken bak kredittscore. Dette er et spørsmål om hvor den automatiserte beslutningen fattes, hos kredittopplysningsforetaket eller hos mottaker av kredittopplysningen.

11.4.5 Departementets vurderinger

Etter departementets vurdering ligger det innenfor handlingsrommet i personvernforordningen artikkel 6 nr. 3 å fastsette særbestemmelser om innsyn i gitte opplysninger eller for et gitt tidsrom, forutsatt at slike regler er nødvendige for å ivareta den enkeltes personvern. Når det gjelder juridiske personers rett til innsyn og informasjon, vil personvernforordningen ikke sette rammer for denne reguleringen.

Departementet vil i det følgende gjøre rede for vurderinger knyttet til innsynsrett for både fysiske og juridiske personer, samt enkelte generelle spørsmål knyttet til innsynsrett.

11.4.5.1 Innsynsrett for fysiske personer

Departementet legger til grunn at de alminnelige reglene om innsyn og informasjon i personvernforordningen og personopplysningsloven vil gjelde også for fysiske personers innsyn i kredittopplysninger om dem. Dette følger av lovforslaget § 4. Fordi enkeltpersonforetak etter lovforslaget skal behandles som fysiske personer, vil bestemmelsene om innsyn og informasjon i personvernforordningen og personopplysningsloven gjelde tilsvarende for enkeltpersonforetak. Departementet mener videre at de generelle reglene dekker den innsynsretten de registrerte i dag har etter personopplysningsforskriften 2000 § 4-4 og gjeldende kredittopplysningskonsesjoner.

Departementet finner det ikke nødvendig, i tillegg til den generelle bestemmelsen om forholdet til personopplysningsloven og personvernforordningen i lovforslaget § 4, å innta en bestemmelse om at personopplysningslovens og personvernforordningens regler om den registrertes rett til innsyn og informasjon også gjelder i kredittopplysningsvirksomhet. For ordens skyld blir likevel forholdet til reglene om innsyn og informasjon i det generelle personvernregelverket omtalt i særmerknaden til lovforslaget § 17.

Når det gjelder den særskilte bestemmelsen om registrerte fysiske personers rett til å be om innsyn i hvilke opplysninger som er utlevert de siste seks måneder, har sentrale høringsinstanser pekt på et behov for videreføre denne. Departementet er av den oppfatning at tilsvarende innsynsrett trolig følger av en fortolkning av personvernforordningen artikkel 15 nr. 1 bokstav c. Etter en vurdering fremstår det likevel hensiktsmessig å videreføre gjeldende rett klart og tydelig for å unngå fremtidige diskusjoner om innsynsrettens rekkevidde. I lovforslaget § 17 tredje ledd er det derfor inntatt en bestemmelse tilsvarende bestemmelsen i personopplysningsforskriften 2000 § 4-4 siste ledd.

11.4.5.2 Innsynsrett for juridiske personer

Departementet har foretatt en nærmere vurdering av om juridiske personer bør ha rett til innsyn og informasjon etter reglene i personvernforordningen artikkel 15, slik det ble foreslått i høringsutkastet. Etter departementets vurdering er det helt andre hensyn som gjør seg gjeldende for eventuell innsynsrett for fysiske personer enn for juridiske personer. Departementet viser i denne sammenheng også til vurderingen av hvem som skal regnes som fysiske personer etter kredittopplysningsregelverket, se kapittel 4.2.5. Næringsvirksomhet etablert som enkeltpersonforetak, der det er identifikasjon mellom foretakets og eiers økonomi, skal etter personvernforordningens regler og departementets lovforslag behandles som fysiske personer i kredittopplysningssammenheng. Dette betyr at disse vil ha rett til innsyn og informasjon i samsvar med personvernforordningens regler.

Det følger av personopplysningsforskriften 2000 § 4-4 andre ledd at næringsdrivende har innsynsrett etter personopplysningsloven 2000 § 18. Personvernforordningen artikkel 15 tilsvarer langt på vei bestemmelsen som fantes i personopplysningsloven 2000 § 18, men gir innsyn i noe mer omfattende informasjon. Det er ingen høringsinstanser som har uttalt seg om forslaget om å videreføre generell innsynsrett for juridiske personer. I og med at ingen har vært negative til å videreføre gjeldende rett på dette området, ser departementet ingen grunn til å foreta endringer. Det foreslås derfor i lovforslaget § 17 andre ledd å lovfeste at juridiske personer har rett til innsyn tilsvarende retten etter personvernforordningen artikkel 15. Dette vil innebære en noe mer omfattende innsynsrett enn etter gjeldende rett, uten at departementet kan se at dette er negativt eller innebærer vesentlige ulemper for noen av de berørte.

Når det gjelder den særskilte bestemmelsen om retten til å be om innsyn i hvilke opplysninger som er utlevert de siste seks måneder, har sentrale høringsinstanser pekt på et behov for videreføre denne for juridiske personer som ikke har rett til gjenpart. Departementet er enig i at denne retten til informasjon kan være nyttig for juridiske personer, til tross for at det fremgår av høringsinnspillene at retten i liten grad benyttes. Det fremstår på denne bakgrunn som lite byrdefullt for kredittopplysningsforetakene om retten videreføres. Norske kredittopplysningsbyråers forening har dessuten tatt til orde for at retten bør videreføres. Bestemmelsen i lovforslaget § 17 tredje ledd er derfor gitt en formulering som innholdsmessig svarer til bestemmelsen i personopplysningsforskriften 2000 § 4-4 siste ledd slik at bestemmelsen også gjelder for juridiske personer.

11.4.5.3 Betaling for innsyn

Hovedregelen etter gjeldende kredittopplysningsregler, og etter personvernforordningen, er at det skal være gratis for den registrerte å benytte sin rett til innsyn og informasjon. Dette følger av personvernforordningen artikkel 12 nr. 5. Bestemmelsen åpner samtidig for at den behandlingsansvarlige, i noen særskilte situasjoner, kan ta betalt for å få dekket sine administrative kostnader ved å gi innsyn, se artikkel 12 nr. 5 bokstav a. Adgangen til å kreve et rimelig gebyr gjelder dersom anmodningene om informasjon eller innsyn er «åpenbart grunnløse eller overdrevne, særlig dersom de gjentas,[…]». Dette betyr for eksempel at dersom samme person gjentatte ganger på kort tid ber om innsyn i de samme opplysningene, kan dette gi kredittopplysningsforetaket hjemmel til å kreve et rimelig gebyr for å etterkomme den registrertes anmodninger.

For fysiske personers innsynsbegjæringer vil retten til å kreve et rimelig gebyr følge direkte av personvernforordningen. Departementet mener tilsvarende bør gjelde for juridiske personer. For å unngå tvil om adgangen til å kreve dekket kostnader forbundet med å gi innsyn, er det presisert i lovforslaget § 17 fjerde ledd at innsyn skal være gratis, men at unntakene i personvernforordningen artikkel 12 nr. 5 gjelder tilsvarende. Kredittopplysningsforetaket har dermed adgang til å kreve et rimelig gebyr uansett hvem den registrerte er, gitt at vilkårene i personvernforordningen artikkel 12 nr. 5 bokstav a er oppfylt. Det samme gjelder for så vidt adgangen til å nekte å etterkomme anmodningen, jf. artikkel 12 nr. 5 bokstav b.

11.4.5.4 Informasjon om logikken bak kredittscore

En kredittscore er en statistisk beregning av kredittrisiko. Kredittscore er en metode/modell som benyttes av mange kredittgivere som et raskere grunnlag for kredittvurdering og beslutning om innvilgelse av kreditt. Modellen sier i utgangspunktet ikke noe om den registrerte, men sammenlikner vedkommende med personer med samme kjennetegn, for eksempel alder, kjønn, inntekt og betalingshistorikk. Kredittscore gir på denne måten en indikasjon på betalingsvilje og -evne til sammenliknbare personer.

En kredittscore kan sammenliknes med profilering. Profilering er definert i personvernforordningen artikkel 4 nr. 4 som

«enhver form for automatisert behandling av personopplysninger som innebærer å bruke personopplysninger for å vurdere visse personlige aspekter knyttet til en fysisk person, særlig for å analysere eller forutsi aspekter som gjelder nevnte fysiske persons arbeidsprestasjoner, økonomiske situasjon, helse, personlige preferanser, interesser, pålitelighet, atferd, plassering eller bevegelser,»

Vurdering av økonomisk situasjon er særskilt nevnt som en type profilering i personvernforordningens fortalepunkt 71. Etter departementets vurdering vil derfor utarbeidelse av en kredittscore være å anse som profilering. De registrerte har, etter personvernforordningen artikkel 22,

«rett til ikke å være gjenstand for en avgjørelse som utelukkende er basert på automatisert behandling, herunder profilering, som har rettsvirkning for eller på tilsvarende måte i betydelig grad påvirker vedkommende.»

Det er imidlertid ikke kredittopplysningsforetaket, men foretakets kunde, som fatter (automatiserte) beslutninger på grunnlag av kredittscoren/profilen utarbeidet av kredittopplysningsforetaket. Dette betyr at de registrerte, med grunnlag i personvernforordningen artikkel 22 nr. 1, ikke vil kunne motsette seg utarbeidelse av selve kredittscoren hos kredittopplysningsforetaket. Det vil imidlertid være kredittopplysningsforetaket som er behandlingsansvarlig for selve utarbeidelsen av kredittscoren, og departementet mener derfor det er kredittopplysningsforetaket som skal gi den registrerte innsyn i «relevant informasjon om den underliggende logikken» jf. personvernforordningen artikkel 15 nr. 1 bokstav h.

Departementet mener samtidig det kan stilles spørsmål ved om personvernforordningens bestemmelse gir de registrerte rett til logikkinnsyn hos kredittopplysningsforetaket. For å sikre de registrerte rett til informasjon om hvilke opplysninger som inngår i kredittscoren, foreslår departementet en bestemmelse om registrerte fysiske personers rett til informasjon om logikken bak kredittscore. Departementet foreslår at informasjonen skal inngå som en del av gjenparten når kredittscore utleveres, jf. lovforslaget § 18 andre ledd nr. 6. I tillegg bør den registrerte, på eget initiativ, kunne kreve innsyn i logikken og egne personopplysninger som inngår i scoren jf. lovforslaget § 17 første ledd.

Det må imidlertid vurderes hvor mye informasjon de registrerte har rett til å få om logikken bak scoremodellen. I gjeldende konsesjoner punkt 3.2 fremgår det at de registrerte, i gjenpartsbrev, skal ha rett til å få tilgang til utlevert kredittscore med tilhørende forklaring. Det synes ikke rimelig at kredittopplysningsforetakene skal utlevere selve scoremodellen, med angivelse av hvordan den er bygget opp og hvordan ulike opplysningstyper er vektet. Denne informasjonen kan anses som forretningshemmeligheter som foretakene har et berettiget ønske om å bevare taushet om. Departementet antar likevel at det er rimelig at de registrerte kan be om innsyn i egen kredittscore, samt hvilke opplysningstyper som inngår i modellen, og konkret hvilke opplysninger om vedkommende som er benyttet i beregning av vedkommendes kredittscore. Det må også gis en forklaring på kredittscoren som tilfredsstiller kravene i personvernforordningen artikkel 15 nr. 1 bokstav h. Hvor detaljert forklaringen vil måtte være, avhenger av en tolkning av personvernforordningen, og både nasjonal og europeiske praksis knyttet til denne bestemmelsen vil være relevant. Det følger også av forordningens fortalepunkt 72 at Det europeiske personvernrådet kan gi veiledning om forordningens anvendelse på profilering. Slik veiledning vil i så fall også være relevant på kredittopplysningsområdet.

Departementet er kjent med at flere av kredittopplysningsforetakene i dag tar betalt for å gi innsyn i kredittscore. Det er uklart om dette er i tråd med reglene i personopplysningsloven 2000 § 17, der det fremgår at det skal være gratis for de registrerte å benytte sine rettigheter til blant annet innsyn og informasjon. Det følger nå klart av personvernforordningen artikkel 12 nr. 5 at all informasjon som gis til de registrerte i medhold av artikkel 13 til 22 som hovedregel skal være gratis. Det vises for øvrig til det som er sagt om betaling for innsyn i kapittel 11.4.5.3.

Departementet kan ikke se at det er grunn til å behandle innsyn i kredittscore, herunder i logikken bak kredittscoren, annerledes enn innsyn i andre personopplysninger for så vidt gjelder spørsmålet om betaling. Innsyn i og informasjon om kredittscore skal derfor behandles som all annen informasjon som gis til den registrerte, og gis på samme vilkår. Når informasjon om kredittscore inngår i gjenpartsbrev, vil bestemmelsen i personvernforordningen artikkel 12 nr. 5 om betaling for grunnløse eller overdrevne innsynsforespørsler, ikke være relevant. Dersom det bes om ordinært innsyn i kredittscore, vil imidlertid artikkel 12 nr. 5 kunne komme til anvendelse og gi grunnlag for å kreve et rimelig gebyr.

Skattedirektoratet har tatt til orde for at ikke bare den registrerte, men også kredittgiver, bør ha rett til informasjon om logikken bak en kredittscore. Hensikten med lovforslaget er å legge til rette for god behandling av opplysninger om fysiske og juridiske personer i kredittopplysningsvirksomhet, og sikre de registrertes rettigheter. Departementet mener kredittopplysningsregelverket ikke er egnet til å regulere tilgang til underliggende informasjon om behandlingsprosesser og kredittopplysningsprodukter mellom kredittopplysningsforetaket og foretakets kunder. Dersom kredittopplysningsforetakets kunder ønsker tilgang til informasjon om tilblivelse av kredittopplysningsforetakets produkter, mener departementet dette bør avtales i kontrakt mellom kredittopplysningsforetaket og kunden. For så vidt gjelder rett til innsyn og informasjon, regulerer lovforslaget derfor utelukkende de registrertes rettigheter.

11.5 Gjenpart til fysiske personer

11.5.1 Gjeldende rett

Etter personopplysningsforskriften § 4-4 første ledd skal en registrert fysisk person motta gjenpart, kopi eller annen melding når kredittopplysninger om ham eller henne utleveres eller bekreftes skriftlig. Slik melding skal kredittopplysningsforetaket sende vederlagsfritt. I konsesjoner for virksomheten er bestemmelsen gitt tilsvarende anvendelse ved utlevering av opplysninger om enkeltpersonforetak. Det gjelder en begrensning i gjenpartsplikten når opplysninger utleveres til inkassoforetak, eller til banker og finansieringsforetak som ledd i arbeidet med risikovurderinger.

I Datatilsynets konsesjoner for kredittopplysningsvirksomhet, er det dessuten gitt en del utfyllende/presiserende bestemmelser om hvilken informasjon gjenpartsbrevet skal inneholde. Blant annet fremgår det at når bestilleren utelukkende får utlevert en kredittscore, skal gjenpartsbrevet inneholde informasjon om kredittscoren med en forklaring, samt informasjon om de personopplysningene som er lagt til grunn for beregning av kredittscoren.

11.5.2 Forordningen

Forordningen har ingen konkrete regler om gjenpartsplikt ved utlevering av personopplysninger. Etter forordningen artikkel 13 nr. 1 bokstav e og artikkel 14 nr. 1 bokstav e har den registrerte, i forbindelse med innsamling av personopplysninger, imidlertid rett til å få informasjon om «mottakere eller kategorier av mottakere» som personopplysninger vil bli utlevert til. Denne retten har en viss likhet med gjenpartsplikten. Retten til å motta informasjon gjelder både når opplysninger samles inn fra den registrerte selv, og når de samles inn fra andre. Dessuten åpner artikkel 6 nr. 3 for at det kan fastsettes nasjonale særbestemmelser for å sikre en lovlig og rettferdig behandling av opplysningene.

11.5.3 Forslaget i høringsnotatet

Departementet foreslo i høringsnotatet å videreføre plikten til å sende gjenpart både til fysiske personer og til enkeltpersonforetak, og presiserte også hvilken informasjon gjenparten skal inneholde.

11.5.4 Høringsinstansenes syn

Det er ingen høringsinstanser som har uttalt seg negativt om gjenpartsplikt generelt. Forbrukertilsynet og Datatilsynet uttaler seg positivt om videreføring av gjenpartsplikten. Også Norske kredittopplysningsbyråers forening er positiv til gjenpartsplikten, men mener den, for så vidt gjelder enkeltpersonforetak, bare skal gjelde for de enkeltpersonforetakene som ikke er registrert i Foretaksregisteret.

11.5.5 Departementets vurderinger

At de registrerte får informasjon om hvilke opplysninger som registreres og utleveres om dem, og til hvem, er verdifullt av flere grunner. Det skaper god gjennomsiktighet og bidrar til at de registrerte bedre kan holde oversikt over hvem som til enhver tid besitter opplysninger om dem. Det muliggjør også at de registrerte kan reagere dersom de mener at noen urettmessig har fått tilgang til opplysninger om dem, for eksempel ved snoking i registre. I tillegg gir det den enkelte en mulighet til å kontrollere at opplysningene som registreres og utleveres er korrekte, adekvate og relevante. De registrertes interesser sammenfaller her med kredittopplysningsforetakets og kredittgivernes interesser. For samtlige parter er det vesentlig at informasjonen som behandles er pålitelig og korrekt, og at opplysningene er relevante for kredittvurderingen.

Gjenparten gir blant annet den registrerte mulighet til å bidra til at uriktige opplysninger rettes, og til å reagere dersom de mener opplysninger utleveres uten at det skjer som ledd i kredittvurdering. Departementet vurderer på denne bakgrunn at det ligger innenfor handlingsrommet i personvernforordningen å videreføre bestemmelsen om gjenpartsplikt, jf. ordlyden «framgangsmåter for behandling, herunder tiltak for å sikre lovlig og rettferdig behandling» i forordningen artikkel 6 nr. 3. En bestemmelse om gjenpartsplikt er inntatt i lovforslaget § 18.

Kredittopplysninger er opplysninger de fleste ikke ønsker å eksponere, og det er derfor gode grunner for å fastsette særregler om informasjon som bidrar til at de registrerte i størst mulig grad kan ivareta sine egne rettigheter. Etter personvernforordningen artikkel 13 til 15 har den registrerte rett til å få informasjon ved innsamling av opplysninger, og deretter på særskilt begjæring (innsyn). Gjenpartsplikten supplerer denne innsyns- og informasjonsretten. Gjenpartsbrevet gir den registrerte konkret informasjon om hvilke opplysninger som er videreformidlet når og til hvem uten at den registrerte aktivt må foreta seg noe for å få informasjonen. Gjenpartsplikten bidrar på denne måten til bedre gjennomsiktighet og til at de registrerte bedre kan holde oversikt over hvem som til enhver tid besitter kredittopplysninger om dem. I tillegg gir gjenpartsplikten en mulighet til å reagere dersom den registrerte mener at noen urettmessig har fått tilgang til opplysninger om dem, og til å kontrollere at opplysningene som registreres og utleveres er korrekte, adekvate og relevante. Ved at den registrerte automatisk får et varsel om at kredittopplysninger er utlevert, virker gjenpartsplikten også begrensende på snoking i kredittopplysninger.

Departementet foreslår på denne bakgrunn å lovfeste bestemmelsen i personopplysningsforskriften § 4-4 første ledd om at kredittopplysningsforetaket skal sende gjenpart, kopi eller annen melding om innholdet i kredittopplysningen til den registrerte når det utleveres kredittopplysninger om fysiske personer. En bestemmelse om dette er inntatt i lovforslaget § 18 første ledd. Fordi alle enkeltpersonforetak etter personvernforordningen vil regnes som fysiske personer, gjelder gjenpartsplikten også når kredittopplysningsforetaket utleverer opplysninger om enkeltpersonforetak. Dette innebærer en liten utvidelse av gjenpartsplikten sammenliknet med gjeldende rett.

Fra denne hovedregelen har departementet vurdert at det er hensiktsmessig å videreføre de unntakene som gjelder i dag. Dette betyr for det første at gjenpartsplikt ved utlevering til inkassoforetak kun gjelder ved første gangs utlevering av opplysninger om en registrert skyldner, og deretter kun når det påføres nye kredittopplysninger i en konkret sak. Dette følger av lovforslaget § 18 tredje ledd, som har fått en litt annen ordlyd enn tilsvarende bestemmelse i gjeldende rett. Endringen av ordlyd er ikke ment å innebære noen realitetsendring. Inkassoforetak foretar jevnlige undersøkelser av skyldner i løpende inkassosaker. Det vil kunne virke forvirrende og til dels irriterende for skyldner å motta gjenpart eller varsel hver gang det foretas en rutinemessig kredittvurdering. I slike tilfeller anses det tilstrekkelig at skyldner mottar gjenpart eller liknende første gang inkassoforetaket innhenter kredittopplysninger, og deretter bare når det påføres nye kredittopplysninger.

Det gjelder heller ikke gjenpartsplikt når kredittopplysninger utleveres til banker, kreditt- og finansieringsforetak for bruk i lovpålagte risiko- og soliditetsvurderinger, jf. lovforslaget § 18 fjerde ledd. I disse tilfellene er kredittvurderingen ikke initiert av en endring i forholdet mellom kreditor og skyldner. Opplysningene skal heller ikke brukes på en måte som kan få direkte betydning for den registrerte. Departementet vurderer derfor at behovet for gjenpart ikke er til stede på samme måte som i en ordinær kredittvurderingssituasjon.

Departementet foreslår at gjenparten, som i dag, skal inneholde de samme opplysningene som er utlevert som ledd i kredittopplysningsvirksomheten. Det innebærer blant annet at den registrerte skal få tilgang til en eventuell kredittscore med tilhørende forklaringer. Dersom kunden bare får tilgang til en kredittscore, skal den registrerte, i tillegg til selve kredittscoren, også få tilgang til personopplysningene som ligger til grunn for kredittscoren. Gjenpartsbrevet skal i tillegg inneholde informasjon om kildene som de utleverte opplysningene er hentet fra, hvem som har etterspurt kredittvurderingen, og dato for når kredittvurderingen er foretatt. Informasjon om hvem som har etterspurt kredittvurderingen må være så detaljert at det er mulig for den registrerte å kontrollere om mottaker hadde et saklig behov for opplysningene. Dette innebærer at det for store selskaper kan være nødvendig å oppgi hvilken avdeling eller filial som har fremsatt forespørselen. I tillegg skal gjenparten inneholde den kontaktinformasjonen som er angitt i forordningen artikkel 13 nr. 1 bokstav a og b slik at den registrerte enkelt kan komme i kontakt med den behandlingsansvarlige eller vedkommendes personvernombud. Spesifikasjon av gjenpartens innhold er inntatt i lovforslaget § 18 andre ledd.

11.6 Forhåndsvarsel

11.6.1 Gjeldende rett

Det følger av Datatilsynets standardkonsesjon for behandling av opplysninger i kredittopplysningsvirksomhet pkt. 3.1 at registrerte fysiske personer skal motta forhåndsvarsel ved registrering av opplysninger. Forhåndsvarselet skal inneholde en kopi av de registrerte opplysningene. Unntak gjelder ved registrering av opplysninger om skattefastsetting, næringsinteresser fra Brønnøysundregistrene eller ved oppdatering av grunndata. Plikten til å sende forhåndsvarsel gjelder heller ikke ved innhenting av opplysninger om utlegg og innhenting av opplysninger om utleggsforretning og andre tvangsforretninger når varsel om slik innhenting er gitt i forbindelse med utsendelse av namsboken.

11.6.2 Forordningen

Etter personvernforordningen artikkel 14 skal den registrerte motta informasjon om innsamling og behandling av personopplysninger når opplysninger innsamles fra andre enn den registrerte selv. Det skal gis informasjon om formålet med behandlingen, berørte kategorier av personopplysninger, mottakere eller kategorier av mottakere av opplysninger, lagringstid, retten til å be om retting, sletting eller begrensning i behandlingen, retten til å klage til en tilsynsmyndighet, informasjon om hvor opplysningene er hentet fra, samt om opplysningene benyttes til profilering eller automatiserte avgjørelser. Det er verdt å merke seg at det etter personvernforordningen ikke er noe krav om at informasjonen til den registrerte inneholder kopi av de registrerte opplysningene. Artikkel 14 nr. 5 og artikkel 23 åpner for å gjøre unntak fra retten til informasjon i visse nærmere definerte tilfeller. I tillegg til forordningens bestemmelser om informasjon ved registrering, åpner artikkel 6. nr. 3 for å fastsette nasjonale særbestemmelser når dette er nødvendig for å sikre en lovlig og rettferdig behandling av opplysningene.

11.6.3 Forslaget i høringsnotatet

Departementet foreslo i høringsutkastet å videreføre bestemmelsen i Datatilsynets standardkonsesjon om at fysiske personer og enkeltpersonforetak skal motta forhåndsvarsel når det registreres nye kredittopplysninger om dem. Innholdet i forhåndsvarselet ble foreslått å være de informasjonselementene som fremgår av personvernforordningen artikkel 14. Forhåndsvarselet skulle dessuten inneholde de konkrete opplysningene som er registrert i kredittopplysningsregisteret.

Departementet la videre til grunn at de gjeldende unntakene fra plikten til forhåndsvarsling er i samsvar med personvernforordningen artikkel 14 nr. 5 bokstav a, og kravene som stilles i forordningen artikkel 23 nr. 1 bokstav i. Det ble derfor foreslått å videreføre disse unntakene. Forslaget innebar at plikten til forhåndsvarsling ikke ville gjelde ved registrering av opplysninger om skattefastsetting fra Skattedirektoratet, ved registrering av næringsinteresser eller ved oppdatering av grunndata. Departementet la i høringsnotatet til grunn at dette er opplysninger som er offentlig tilgjengelige, og som normalt vil være kvalitetssikret på annen måte enn gjennom forhåndsvarsel fra kredittopplysningsforetaket. Plikten til forhåndsvarsling skulle heller ikke gjelde ved innhenting av opplysninger om utlegg, eller innhenting av opplysninger om utleggsforretning og andre tvangsforretninger når varsel om slik innhenting er gitt i forbindelse med utsendelse av namsboken.

Høringsforslaget gikk dessuten ut på å videreføre gjeldende rett om at den registrerte, i forhåndsvarselet, skal oppfordres til å rette eventuelle feil overfor kredittopplysningsforetaket i løpet av 14 dager.

11.6.4 Høringsinstansenes syn

Kun noen få høringsinstanser har kommentert forslaget om å videreføre gjeldende regler om forhåndsvarsling. Datatilsynet har i sin høringsuttalelse påpekt at alle enkeltpersonforetak må ha samme rett til forhåndsvarsel som fysiske personer. Tilsynet viser til at dette er en konsekvens av at opplysninger om enkeltpersonforetak er personopplysninger etter personvernforordningen artikkel 4 nr. 1. Høringsinstansen har også påpekt at forhåndsvarselet må sendes uten kostnad for den registrerte.

Norske kredittopplysningsbyråers forening har gitt innspill om at det må lovfestes at skyldner må dokumentere eventuelle påstander om at en sak som fremkommer av forhåndsvarselet er oppgjort. Slik dokumentasjon vil sikre forsvarlig saksbehandling og forhindre feil hos kredittopplysningsforetaket. Finans Norge har kommentert at personvernforordningens regler om forhåndsvarsling bør inntas i kredittopplysningsloven for å sikre at reglene er lett tilgjengelige.

11.6.5 Departementets vurderinger

Forhåndsvarsel er viktig for å sikre god opplysningskvalitet i kredittopplysningsforetakenes registre. Den behandlingsansvarlige er ansvarlig for at opplysningene som skal brukes i kredittopplysningsvirksomheten er korrekte. Både forhåndsvarsling og gjenpartsplikt vil derfor være et ledd i oppfyllelsen av den behandlingsansvarliges selvstendige plikt til å ha tilfredsstillende datakvalitet, fordi de registrerte oppfordres til å korrigere eventuelle feil eller mangler ved opplysningene. Departementet vurderer at personvernforordningen artikkel 6 nr. 3, særlig formuleringene om at det kan fastsettes nærmere nasjonale regler om «hvilke typer opplysninger som kan behandles» og «fremgangsmåter for behandling, herunder tiltak for å sikre lovlig og rettferdig behandling» gir tilfredsstillende rettsgrunnlag for å fastsette nasjonale regler om forhåndsvarsling.

Personvernforordningen artikkel 14 nr. 1 fastslår at når personopplysninger ikke samles inn fra den registrerte selv, skal den behandlingsansvarlige gi den registrerte nærmere angitt informasjon om behandlingen. Slik departementet ser det, vil informasjonen som inngår i dagens forhåndsvarsel, med unntak av de konkrete registrerte opplysningene, være ivaretatt av informasjonsplikten i forordningen artikkel 14 nr. 1, og dels nr. 2. Av forordningen artikkel 14 nr. 3 bokstav c følger imidlertid at dersom opplysningene skal utleveres til en annen mottaker, er det tilstrekkelig at den behandlingsansvarlige gir informasjon til den registrerte første gang opplysningene utleveres. Denne regelen medfører at informasjon om registrering av nye kredittopplysninger jf. forordningens bestemmelser, ikke nødvendigvis tilflyter den registrerte før opplysningene utleveres i kredittopplysningsvirksomheten. En slik praksis vil ikke gjøre det mulig for den registrerte å reagere på eventuelle feil eller mangler i de registrerte opplysningene før de allerede er utlevert. Dette kan igjen gå ut over opplysningskvaliteten, og innebære et tilbakeskritt som vil gi dårligere personvern enn gjeldende rett.

Departementet vurderer på denne bakgrunn at personvernforordningen artikkel 14 ikke i seg selv vil bidra til tilstrekkelig informasjon om registrering, og opplysningskvalitet i kredittopplysningsforetakenes registre. For å sikre at de registrerte gjøres kjent med registrering av kredittopplysninger, og gis mulighet til å rette eventuelle feil, mener departementet det er nødvendig å videreføre gjeldende regler om forhåndsvarsling til fysiske personer. Plikten til forhåndsvarsling vil også omfatte alle enkeltpersonforetak. Utkast til lovbestemmelse er inntatt i lovforslaget § 19.

I gjeldende rett finnes flere unntak fra hovedregelen om forhåndsvarsling. Disse bidrar til at det ikke sendes forhåndsvarsel om opplysninger den registrerte allerede er kjent med, for eksempel gjennom varsling fra den opprinnelige kilden. Dette gjelder særlig informasjon fra offentlige registre som Brønnøysundregistrene og informasjon om skattefastsetting fra Skattedirektoratet. Disse opplysningene vil den registrerte ha hatt flere oppfordringer om og anledninger til å rette hos kilden, og det må kunne legges til grunn at de er riktige når de benyttes i kredittopplysningsvirksomhet. Det samme gjelder opplysninger om utleggsforretninger og andre tvangsforretninger. Det anses derfor som tilstrekkelig at de registrerte mottar varsel om disse opplysningene gjennom utsendelse av gjenpart. Departementet legger på dette grunnlaget opp til å videreføre de gjeldende unntakene fra plikten til å sende forhåndsvarsel, se lovforslaget § 19 andre og tredje ledd.

Datatilsynet har i sin høringsuttalelse kommentert at forhåndsvarsel må sendes kostnadsfritt til de registrerte. Dersom forhåndsvarselet hadde vært en direkte konsekvens av personvernforordningen artikkel 14, ville plikten til å sende gratis forhåndsvarsel fulgt av forordningen artikkel 12 nr. 5. Plikten til å sende forhåndsvarsel går imidlertid noe lenger enn plikten til å gi informasjon etter personvernforordningen artikkel 14, i og med at kredittopplysningsforetakene plikter å varsle straks nye opplysninger med betydning for kredittvurderingen er registrert. Denne varslingen er et ledd i å sikre kredittopplysningsforetakets opplysningskvalitet. Samtidig er den viktig for at de registrerte skal være godt orientert om behandling av opplysninger som kan få inngripende konsekvenser for dem. Fordi kredittopplysningsforetaket vil tjene penger på å utlevere de aktuelle personopplysningene, mener departementet også det er rimelig at de bærer kostnadene ved å informere de registrerte om behandlingen. Det er derfor kredittopplysningsforetaket som skal dekke kostnaden ved utsendelse av det lovpålagte varselet. Etter departementets vurdering er det naturlig at den som en lovpålagt plikt retter seg mot også skal dekke kostnadene ved å oppfylle plikten. Dette er derfor ikke eksplisitt inntatt i lovforslaget, men fremgår av særmerknadene til lovforslaget § 19.

Departementet viser samtidig til at plikten til å sende forhåndsvarsel bare gjelder ved registrering av enkelte kategorier negative kredittopplysninger. Dette innebærer at plikten til forhåndsvarsling på langt nær omfatter alle registreringer hos kredittopplysningsforetakene. Kredittopplysningsforetakene har etablerte systemer og innarbeidede rutiner for utsendelse av forhåndsvarsel. Stadig flere gjenparter og forhåndsvarsler sendes elektronisk. Kostnaden ved slik elektronisk utsendelse er lav, og utsendelse er lite ressurskrevende for kredittopplysningsforetaket. Departementet vurderer derfor at kostnaden for foretakene er vesentlig mindre enn fordelen for de registrerte.

I forhåndsvarselet skal den registrerte oppfordres til å gi tilbakemelding til kredittopplysningsforetaket innen en fastsatt frist dersom opplysningene ikke er korrekte. Dersom det er uenighet mellom den registrerte og kredittopplysningsforetaket om de aktuelle opplysningene, må uoverensstemmelsen avklares før opplysningene kan brukes i kredittopplysningsvirksomheten. Det er den behandlingsansvarlige, det vil si kredittopplysningsforetaket, som er ansvarlig for at de opplysningene som benyttes i virksomheten holder en tilfredsstillende opplysningskvalitet, herunder er korrekte og relevante for formålet jf. personvernforordningen artikkel 5 nr. 1. Det er derfor foretaket som vil ha ansvaret for at opplysningene som benyttes er korrekte, og som skal kunne påvise dette.

Hvis et forhold ordnes innen den fristen som er satt for tilbakemelding, vil det ikke lenger foreligge noe mislighold. Opplysningen skal da ikke brukes i kredittopplysningsvirksomheten. I situasjoner der den registrerte anfører at en opplysning skal slettes fordi forholdet er gjort opp eller ordnet, kan det etter departementets vurdering være hensiktsmessig å oppfordre vedkommende om å underbygge påstanden med dokumentasjon. Dette vil i de fleste tilfeller ikke være urimelig krevende, da det vil foreligge dokumentasjon på oppgjøret/betalingen, for eksempel i form av utskrift fra nettbanken. Slik dokumentasjon fra den registrerte vil skape ryddighet i saksbehandlingen hos kredittopplysningsforetaket, slik Norske kredittopplysningsbyråers forening har påpekt i sitt høringssvar. Departementet mener samtidig at det ikke kan kreves fremlagt dokumentasjon for påstand om at en opplysning er uriktig. Det er den behandlingsansvarlige som er ansvarlig for og skal kunne påvise at registrerte opplysninger er korrekte. Det vises for øvrig til drøftelsen om omtvistede fordringer i kapittel 6.2.5.4.

Departementet understreker at en oversittelse av den fastsatte fristen for å melde fra om feil ikke vil innebære at den registrerte mister noen av rettighetene sine etter personvernforordningen, herunder retten til korrigering eller sletting i artikkel 16 og 17. Oppfordringen til å rette eventuelle feil innen en fastsatt frist er kun ment å bidra til at opplysninger som brukes i kredittopplysningsvirksomhet er korrekte, oppdaterte og relevante. Dette er både i den registrertes, kredittopplysningsvirksomhetens og kundenes interesse. Departementet anbefaler på denne bakgrunn å videreføre bestemmelsene om forhåndsvarsling av enkeltperson i gjeldende rett, se lovforslaget §§ 19 og 20. Reglenes saklige virkeområde utvides samtidig noe som følge av at opplysninger om enkeltpersonforetak skal behandles som opplysninger om fysiske personer. Dette betyr at noen flere vil få forhåndsvarsel etter lovforslaget enn etter gjeldende rett.

12 Hvor lenge kan opplysninger benyttes i kredittopplysningsvirksomheten

12.1 Gjeldende rett

Personopplysningsloven 2000 § 8 første ledd bokstav d og e la til grunn at registrerte personopplysninger skal være relevante for formålet, og at de skal være korrekte og oppdaterte, og ikke lagres lenger enn det som er nødvendig for formålet. Med grunnlag i lovens bestemmelser, presiserer gjeldende standardkonsesjoner for behandling av opplysninger i kredittopplysningsvirksomhet punkt 6.1 at opplysninger som hovedregel ikke kan behandles i kredittopplysningsvirksomhet lenger enn fire år fra opplysningen første gang lovlig kunne registreres. Opplysninger om tvangsforretning i fast eiendom og løsøre kan benyttes så lenge de er registrerte hos den offentlige kilden opplysningene er hentet fra, mens opplysninger om forhold som er gjort opp, og om åpning av gjeldsforhandlinger, har kortere slettefrist enn hovedregelen på fire års brukstid.

Gjeldende konsesjoner fastslår at kredittopplysninger kan overføres til historiske databaser/kopidatabaser når opplysningene ikke lenger kan behandles i kredittopplysningsvirksomheten. Der kan opplysningene lagres i inntil ti år etter at de ble registrert i kredittopplysningsvirksomheten.

12.2 Forordningen

Personvernforordningen har ingen konkrete bestemmelser om hvor lenge registrerte opplysninger kan behandles. Det følger imidlertid av prinsippet om dataminimering i artikkel 5 nr. 1 bokstav c at det bare kan behandles opplysninger som er adekvate, relevante, og som er nødvendige for formålet. Etter artikkel 5 nr. 1 bokstav d skal opplysningene være korrekte og oppdaterte. Det følger av artikkel 6 nr. 3 at det, om nødvendig, er adgang til å fastsette nasjonale regler om lagringsperioder for å sikre en lovlig og rettferdig behandling av personopplysninger.

12.3 Forslaget i høringsnotatet

Departementet la i høringsutkastet til grunn at bestemmelser om slettefrister og bruksbegrensninger vil være en presisering av reglene om datakvalitet i personvernforordningen artikkel 5, og at fastsettelse av slike bestemmelser også er i samsvar med de kravene som stilles til nasjonale regler i forordningen artikkel 6 nr. 3 jf. begrepet «lagringsperioder». Departementet foreslo på denne bakgrunn å lovfeste bestemmelsen i Datatilsynets standardkonsesjon om at opplysninger som hovedregel ikke kan brukes i kredittopplysningsvirksomhet lenger enn fire år fra opplysningen første gang lovlig kunne registreres. Det ble også foreslått at registreringer som på et tidligere tidspunkt blir slettet hos kilden for opplysningene, f.eks. fordi de er uriktige, samtidig skal slettes i kredittopplysningsregisteret.

I samsvar med gjeldende rett, foreslo departementet videre at opplysninger om tvangsforretninger i fast eiendom og løsøre kan brukes i kredittopplysningsvirksomheten så lenge de er registrert og er offentlig tilgjengelige i de aktuelle offentlige registrene. Høringsutkastet la også opp til å videreføre konsesjonsbestemmelsen om at opplysninger om fordringer som er oppgjort, straks skal slettes.

Departementet ba særlig om høringsinstansenes syn på forslaget om å videreføre reglene om konkrete lagringsperioder/slettefrister, samt om det er behov for ytterligere regler om andre slettefrister.

Departementet foreslo til slutt å lovfeste at opplysninger som ikke lenger lovlig kan benyttes i kredittopplysningsvirksomhet, skal slettes eller overføres til historisk arkiv. I samsvar med prinsippet om dataminimalitet, la høringsutkastet opp til at opplysningene i det historiske arkivet skal slettes eller anonymiseres når formålet ikke lenger tilsier at opplysningene skal oppbevares i identifiserbar form, likevel senest ti år etter at opplysningene ikke lenger lovlig kan benyttes i kredittopplysningsvirksomheten. Forslaget innebar en videreføring av gjeldende rett.

12.4 Høringsinstansenes syn

Finansdepartementet pekte i sin høringsuttalelse på at det gjelder særskilte sletteregler for gjeldsinformasjon fra gjeldsinformasjonsforetak, jf. gjeldsinformasjonsforskriften § 10 jf. § 5, og at disse må gjenspeiles i kredittopplysningsloven. Datatilsynet ga uttrykk for generelt å støtte en videreføring av de gjeldende slettereglene. Også Forbrukerrådet og Fylkesmannen i Oslo og Akershus ga uttrykk for å støtte departementets forslag. Juristforbundet på sin side påpekte at dersom opplysninger skal tillates innhentet fra sosiale medier, bør brukstiden for disse opplysningene, av hensyn til datakvaliteten, være kortere enn fire år.

Norske kredittopplysningsbyråers forening ga uttrykk for at de gjeldende reglene om hvor lenge opplysninger kan benyttes i kredittopplysningsvirksomhet i hovedsak fungerer godt. Høringsinstansen ga samtidig uttrykk for et ønske om å kunne bruke det de omtaler som positive opplysninger lenger enn fire år. Slike opplysninger kan for eksempel være eierskap i bil eller eiendom. Høringsinstansen mener denne type opplysninger har relevans og «holdbarhet» langt utover fire år. Videre påpekte høringsinstansen at dagens bestemmelse om at opplysninger skal slettes eller anonymiseres senest ti år etter at opplysningen første gang ble registrert kan være uheldig og unødig tungvint å praktisere. Foreningen ga uttrykk for at en mer hensiktsmessig regel vil være at opplysninger skal slettes eller anonymiseres senest ti år etter at opplysningene ikke lenger kan benyttes i kredittopplysningsvirksomheten. Høringsinstansen begrunner behovet for lenger lagringstid blant annet i finansieringsforetakenes krav til gjennomføring av risikovurderinger, og kredittopplysningsforetakenes håndtering av eventuelle erstatningskrav og dokumentasjon på hvilke kredittopplysninger som har vært gitt ut.

Finans Norge støtter videreføring av gjeldende rett, men pekte samtidig på at kortere brukstid blant annet vil vanskeliggjøre utarbeidelse av regnskap etter IFRS-reglene.

12.5 Departementets vurderinger

12.5.1 Bruk av opplysninger i kredittopplysningsvirksomhet

For å forhindre at negative kredittopplysninger benyttes urimelig lenge i kredittopplysningsvirksomhet, og på den måten forhindrer effektiv handel og kredittgivning, vurderer departementet at det er nødvendig å fastsette konkrete regler om hvor lenge opplysninger kan lagres og benyttes i kredittopplysningsvirksomhet. Bestemmelser om slettefrister er en presisering av reglene om datakvalitet i personvernforordningen artikkel 5, og departementet vurderer at slike bestemmelser også er i samsvar med de krav som stilles til nasjonale regler i forordningen artikkel 6 nr. 3 jf. ordlyden «lagringsperioder». Når det i lovforslaget og omtalen i merknadene her legges til grunn at opplysninger skal slettes fra kredittopplysningsregisteret, kan opplysningene likevel overføres til historisk database forutsatt at de er korrekte.

Basert på høringsinstansenes innspill legger departementet til grunn at de gjeldende reglene om brukstid og slettefrister for ulike opplysningstyper er godt innarbeidet og velfungerende. Departementet anbefaler derfor at gjeldende rett videreføres og lovfestes. I hovedtrekk innebærer dette at registrerte kredittopplysninger ikke kan benyttes i kredittopplysningsvirksomheten i mer enn fire år, se lovforslaget § 21. Tidsperioden regnes fra den dato opplysningen første gang ble lovlig registrert. Fra denne hovedregelen mener departementet det bør gjøres enkelte unntak.

For det første bør opplysninger om heftelser i fast eiendom og løsøre kunne benyttes i kredittopplysningsvirksomheten så lenge de er registrert og tilgjengelige i det relevante offentlige registeret. Departementet finner det ikke tvilsomt at disse opplysningene vil kunne ha betydning for kredittvurdering i hele den perioden de er registrert i det offentlige registeret. En fordring som ikke kan tvangsinndrives, kan benyttes i en ny fireårsperiode dersom det tas nye rettslige skritt i saken. En bestemmelse om dette fremgår av lovforslaget § 22.

Videre mener departementet at opplysninger om forhold som gjøres opp ikke lenger skal kunne benyttes i kredittopplysningsvirksomheten. Opplysninger om oppgjorte forhold skal slettes fra kredittopplysningsregisteret omgående, og eventuelt overføres til foretakets historiske database. Dette fremgår av lovforslaget § 24. Slik sletting/overføring til historisk database vil kunne virke som et incitament for de med enkeltstående inkassosaker/betalingsanmerkninger til å gjøre opp utestående fordringer. Personer med gjentakende betalingsvansker vil trolig ha betalingsanmerkninger registrert på seg til enhver tid, slik at disse vil finnes i kredittopplysningsregistrene selv om de gjør opp en enkelt sak.

Departementet foreslår også at registreringer som på et tidligere tidspunkt blir rettet eller slettet hos kilden for opplysningene, f.eks. fordi de er uriktige, skal rettes eller slettes i kredittopplysningsregisteret så snart den behandlingsansvarlige blir kjent med endringen hos kilden. Slik plikt til retting og sletting vil blant annet være i samsvar med reglene om datakvalitet i personvernforordningen artikkel 5, og være en naturlig konsekvens av reglene i personvernforordningen artikkel 19 om at kilden skal orientere mottakere (dvs. kredittopplysningsforetaket) om sletting av opplysninger. Bestemmelsen i lovforslaget § 21 andre ledd vil bidra til å holde god datakvalitet i kredittopplysningsforetakenes registre.

Opplysninger om åpning av gjeldsforhandlinger eller fastsatt gjeldsordning vil være viktig informasjon i kredittvurderingssammenheng. Dette gjelder ikke minst fordi skyldner vil ha begrensninger i adgangen til å påta seg nye økonomiske forpliktelser i gjeldsforhandlingsperioden, jf. gjeldsordningsloven § 3-5. Det har ikke kommet merknader i høringsrunden knyttet til de gjeldende fristene for bruk av opplysninger om fastsatt gjeldsordning eller åpnet gjeldsforhandling. Departementet anbefaler derfor å videreføre gjeldende rett for så vidt gjelder adgangen til å bruke informasjon om åpnet gjeldsforhandling i kredittopplysningsvirksomhet, se lovforslaget § 23. Opplysninger om åpnet gjeldsforhandling kan maksimalt benyttes i kredittopplysningsvirksomheten i ett år.

Opplysningen om åpnet gjeldsforhandling skal likevel slettes tidligere dersom visse forhold inntreffer. Presiseringene fremgår i lovforslaget § 23 første ledd bokstav a til c. For det første skal opplysningene slettes dersom gjeldsforhandlingene heves i samsvar med reglene i gjeldsordningsloven § 3-7. I disse tilfellene foreligger det omstendigheter som er til hinder for at det etableres en gjeldsordning, og det vil være åpenbart at forhandlingene ikke vil føre frem. Dernest skal opplysning om åpnet gjeldsforhandling slettes når en gjeldsordning er fastsatt. Da er det informasjon om gjeldsordningen som skal benyttes i kredittopplysningsvirksomheten, og ikke opplysning om åpning av gjeldsforhandlinger. Til slutt skal opplysning om åpning av gjeldsforhandling slettes dersom gjeldsforhandlingsperioden avsluttes uten at det er mottatt melding fra Løsøreregisteret om at en gjeldsordning er fastsatt. Dette gjelder både der gjeldsforhandlingene avsluttes etter normal gjeldsforhandlingsperiode, og der perioden forlenges. Gjeldsforhandlingsperioden kan under ingen omstendighet vare i mer enn ett år, jf. gjeldsordningsloven § 5-1 femte ledd. Dette betyr at også i situasjoner der gjeldsforhandlingsperioden forlenges, vil slettetidspunktet inntre senest ett år etter at gjeldsforhandlingene ble åpnet.

For registrerte gjeldsordninger foreslår departementet at opplysninger om disse kan benyttes i kredittopplysningsvirksomheten så lenge ordningen varer. Det kan være ulike årsaker til at en gjeldsordning oppheves jf. gjeldsordningsloven § 6-2. Blant annet kan skyldners økonomiske situasjon ha bedret seg. Under enhver omstendighet vil han eller hun ikke lenger være underlagt begrensningene i gjeldsordningsloven når gjeldsordningen oppheves. Dersom en fastsatt gjeldsordning oppheves, skal derfor opplysning om gjeldsordningen slettes fra kredittopplysningsregisteret, og ikke lenger brukes i kredittopplysningsvirksomheten.

Gjeldsopplysninger skal slettes fra kredittopplysningsregisteret i samsvar med reglene i gjeldsinformasjonsforskriften § 10 jf. § 5. Dette innebærer at gjeldsopplysninger som kredittopplysningsforetaket har mottatt i medhold av gjeldsinformasjonsforskriften § 5, skal slettes så snart kredittscoremodellen er ferdigstilt eller oppdatert og nødvendig validering er gjennomført. Gjeldsopplysningene kan uansett ikke benyttes i kredittopplysningsvirksomheten lenger enn tre måneder fra de ble mottatt. Når sletteplikten inntrer, kan opplysningene overføres til historisk database og brukes blant annet til analyseformål.

Norske kredittopplysningsbyråers forening har, som eneste høringsinstans, bemerket at det de omtaler som positive opplysninger bør kunne brukes lenger enn fire år. Ingen andre høringsinstanser har kommentert bruken av denne type opplysninger i kredittopplysningsvirksomhet. På denne bakgrunn har departementet ikke funnet grunn til å endre gjeldende rett, men viderefører den generelle fireårsfristen også for denne type opplysninger.

12.5.2 Historisk arkiv

Departementet mener det er hensiktsmessig å videreføre adgangen til å overføre opplysninger som ikke lenger kan benyttes i kredittopplysningsvirksomheten (historisk informasjon) til et historisk arkiv, se lovforslaget § 25. Som flere høringsinstanser har pekt på, benyttes opplysningene fra historisk arkiv blant annet i utarbeidelse av modeller for beregning av kredittscore, som grunnlag for finansieringsinstitusjonenes risikovurderinger, og som grunnlag for arbeidet med IFRS. Opplysningene i det historiske arkivet kan dessuten være nødvendige ved et eventuelt søksmål eller erstatningskrav mot kredittopplysningsvirksomheten for uriktig behandling av kredittopplysninger.

Etter gjeldende rett skal kredittopplysninger slettes i det historiske arkivet senest ti år etter at opplysningen første gang lovlig kunne registreres i kredittopplysningsvirksomhet. Departementet har merket seg at Norske kredittopplysningsbyråers forening mener det er ønskelig med en noe lenger lagring i historisk arkiv enn etter gjeldende rett. Høringsinstansen har foreslått å knytte lagringstiden i historisk arkiv til den datoen opplysningene ble overført til basen, fremfor å knytte den til tidspunktet for første gangs registrering i kredittopplysningsregisteret. Dersom man legger hovedregelen om fire års brukstid for en kredittopplysning til grunn, vil samlet lagring i kredittopplysningsregisteret og historisk arkiv kunne bli opptil 14 år.

Hovedregelen etter lov om foreldelse av fordringer § 9 er at et erstatningskrav foreldres tre år fra den dagen den skadelidte fikk eller burde skaffet seg nødvendig kunnskap om skaden og den ansvarlige. Eventuell skade som følge av uriktig behandling av kredittopplysninger vil normalt oppstå og oppdages relativt kort tid etter at behandlingen har funnet sted. Det er dermed god grunn til å anta at eventuelle krav om erstatning på grunn av feil hos kredittopplysningsforetaket vil bli fremsatt i god tid før det er gått tre år fra opplysningene ble overført fra kredittopplysningsregisteret til den historiske databasen. En lagring i tre år i historisk arkiv vil dermed i de fleste tilfeller være tilstrekkelig til å kunne fremskaffe nødvendig dokumentasjon i erstatningssaker. Departementet kan derfor ikke se at hensynet til dokumentasjon i erstatningssaker tilsier at opplysninger bør lagres i inntil 14 år. Etter departementets vurdering er det heller ikke fremført andre tungtveiende argumenter for en såpass omfattende utvidelse av lagringstiden. Heller ikke høringsinstanser i finansnæringen har tatt til orde for en slik utvidelse, men har sagt seg tilfreds med dagens lagringsregler. I de gjeldende konsesjonene for behandling av opplysninger i kredittopplysningsvirksomhet vises det dessuten til at slettefristene i kredittopplysningsforetakenes registre samsvarer med de slettefristene som gjelder for banker og finansinstitusjoners behandling av personopplysninger. Dette tilsier, slik departementet ser det, at heller ikke de dokumentasjonskravene som gjelder for finansieringsinstitusjonene kan begrunne utvidet lagringstid i samsvar med forslaget fra Norske kredittopplysningsbyråers forening.

Departementet anbefaler på denne bakgrunn å lovfeste den gjeldende regelen om at opplysninger i kredittopplysningsforetakenes historiske arkiv skal slettes eller anonymiseres senest ti år etter at opplysningene første gang lovlig ble registrert i kredittopplysningsvirksomheten.

Avvikling av virksomhet vil normalt bety at rettsgrunnlaget for behanding av kredittopplysninger bortfaller. Ved opphør av kredittopplysningsvirksomhet vil det derfor være nødvendig å påse at registrerte kredittopplysninger ivaretas på en tilfredsstillende måte. Departementet foreslår i lovforslaget § 26 å lovfeste en plikt til å slette alle opplysninger som behandles hos kredittopplysningsforetaket når virksomheten opphører. Det foreslås videre at Datatilsynet gis myndighet til å fatte vedtak med pålegg om sletting dersom foretaket ikke på eget initiativ sletter opplysninger ved opphør av virksomhet. Denne kompetansen følger av Datatilsynets allminnelige kompetanse etter lovforslaget § 28.

13 Informasjonssikkerhet og den behandlingsansvarliges ansvar

13.1 Gjeldende rett

Gjeldende konsesjoner for kredittopplysningsvirksomhet inneholder ikke særskilte bestemmelser om informasjonssikkerhet og internkontroll. Imidlertid har kredittopplysningsforetakene vært underlagt de alminnelige reglene i personopplysningsloven 2000 §§ 13 til 15 med forskrifter. Dette betyr at kredittopplysningsforetakene har plikt til å iverksette de informasjonssikkerhetstiltakene som vurderes nødvendige ut fra hensynet til opplysningenes konfidensialitet, integritet og tilgjengelighet. Informasjonssikkerhetstiltakene skal dokumenteres. Etter personopplysningsloven 2000 § 14 gjaldt også plikt til å etablere internkontroll for å sikre etterlevelse av personvernregelverkets krav.

13.2 Forordningen

Personvernforordningen kapittel IV inneholder bestemmelser om plikter for den behandlingsansvarlige og dennes databehandler(e). Etter personvernforordningen artikkel 24 skal den behandlingsansvarlige gjennomføre «egnede tekniske og organisatoriske tiltak for å sikre og påvise at behandlingen utføres i samsvar med […] forordning». Artikkel 25 etablerer plikt til å benytte innebygd personvern og personvern som standardinnstilling, mens artikkel 32 til 34 oppstiller regler om informasjonssikkerhet og varsling ved brudd på personopplysningssikkerheten.

Videre oppstiller personvernforordningen artikkel 35 plikt til å foreta utredning av personvernkonsekvenser ved behandling av personopplysninger dersom det er trolig at behandlingen kan medføre en høy risiko for de registrertes rettigheter og friheter. I enkelte særlige tilfeller kan det også være nødvendig for den behandlingsansvarlige å gjennomføre forhåndsdrøftinger med tilsynsmyndigheten i samsvar med personvernforordningen artikkel 36. Sist, men ikke minst, oppstiller forordningen artikkel 37 nr. 1 bokstav b plikt til å utpeke personvernombud dersom den behandlingsansvarliges

«hovedvirksomhet består av behandlingsaktiviteter som på grunn av sin art, sitt omfang og/eller formål krever regelmessig og systematisk monitorering i stor skala av registrerte».

Forordningen kapittel IV del 5 omhandler sertifisering og atferdsnormer.

13.3 Forslaget i høringsnotatet

Departementet la i høringsnotatet til grunn at kredittopplysningsforetakenes behandling av personopplysninger vil være dekket av de generelle reglene i personvernforordningen kapittel IV om behandlingsansvarlig og databehandler, som vil supplere de nasjonale kredittopplysningsreglene. Etter forordningens regler vil det måtte gjennomføres en risikovurdering som grunnlag for gjennomføring av de konkrete informasjonssikkerhetstiltakene som iverksettes. Tiltakene må dokumenteres.

Departementet la videre til grunn at bestemmelsene i personvernforordningen kapittel IV også bør gis anvendelse for behandling av kredittopplysninger om juridiske personer så langt de passer. Departementet vurderte at ansvar for behandlingen og kontroll med informasjonssikkerheten er vel så relevant ved behandling av virksomhetsrelaterte opplysninger som ved behandling av personopplysninger. Dersom man først mener det er grunn til å regulere behandling av kredittopplysninger om juridiske personer, er det også grunn til å sørge for gode rammer for etterlevelse og oppfølging av sikkerheten rundt behandlingen. Departementet foreslo på denne bakgrunn å gi bestemmelsene om ansvar for etterlevelse av regelverket (artikkel 24), om felles behandlingsansvar, bruk av databehandler og databehandlerens ansvar (artikkel 26 til 29), om ansvaret for å føre protokoll over egne behandlinger (artikkel 30), om samarbeid med tilsynsmyndigheten (artikkel 31) og om informasjonssikkerhet (artikkel 32 til 34) generell anvendelse. Samtidig vurderte departementet at det ikke er nødvendig å gi bestemmelsene om vurdering av personvernkonsekvenser (artikkel 35), forhåndsrøfting med Datatilsynet (artikkel 36) og bestemmelsene om personvernombud (artikkel 37 til 39) anvendelse for behandling av opplysninger om juridiske personer.

Når det gjelder personvernforordningens regler om sertifisering og atferdsnormer i artikkel 40 til 43, ga departementet i høringsnotatet uttrykk for at det kan være hensiktsmessig å la disse reglene gjelde også for behandling av opplysninger om juridiske personer. Departementet gikk også inn for at eventuelle atferdsnormer som skal regulere behandling av kredittopplysninger om juridiske personer skal godkjennes av tilsynsmyndigheten.

13.4 Høringsinstansenes syn

Datatilsynet har gitt uttrykk for at verken personvernforordningens regler om atferdsnormer (artikkel 40 og 41) eller om sertifisering (artikkel 42 og 43) bør gjelde for behandling av kredittopplysninger om juridiske personer. Tilsynet viser blant annet til at det vil pålegge dem betydelig ekstra oppgaver dersom ordningene omhandlet i de nevnte bestemmelsene skal gjelde for juridiske personer. De viser også til at både ordningen med atferdsnormer og sertifiseringsordningen har en side mot europeisk personvernsamarbeid som ikke vil kunne fungere for de ordningene som iverksettes for juridiske personer. Høringsinstansen har samtidig gitt uttrykk for at personvernforordningen artikkel 25 om innebygd personvern og personvern som standardinnstilling bør gis anvendelse for behandling av opplysninger både om fysiske personer og enkeltpersonforetak. Datatilsynet mener ellers at bestemmelsene i personvernforordningen kapittel IV avsnitt 1 om behandlingsansvarliges og databehandlers generelle forpliktelser og avsnitt 2 om personopplysningssikkerhet bør gjelde for behandling av opplysninger om juridiske personer.

Juristforbundet på sin side støtter forslaget om å la alle de i høringsforslaget angitte bestemmelsene om den behandlingsansvarliges plikter gjelde også ved behandling av kredittopplysninger om juridiske personer. Høringsinstansen begrunner dette slik:

«All den tid konsekvensene også for næringsdrivende må sies å kunne være betydelige ved en uriktig behandling av opplysninger, kan ikke Juristforbundet se at det er mindre grunn til å oppstille rammer for etterlevelse og kontroll på dette området. Til dette kommer at kredittopplysningsvirksomhet rettet mot næringsdrivende i stor grad er pålagt å følge tilsvarende bestemmelser per i dag, slik at det ikke kan anses særlig byrdefullt at tilsvarende regulering videreføres.»

13.5 Departementets vurderinger

Departementet mener det er viktig at behandlingsansvarlige som behandler kredittopplysninger sørger for god informasjonssikkerhet slik at opplysningenes integritet, tilgjengelighet og konfidensialitet sikres. Dette gjelder uansett om det behandles opplysninger om fysiske eller juridiske personer. Det må etableres rutiner for gjennomføring av risikovurderinger, tiltak for ivaretakelse av informasjonssikkerheten og opprettelse av personvernombud der dette vurderes som nødvendig.

For så vidt gjelder behandling av opplysninger om fysiske personer i kredittopplysningsvirksomhet vil dette være dekket av de generelle reglene i personvernforordningen kapittel IV om behandlingsansvarlig og databehandler, som vil gjelde i tillegg til de nasjonale kredittopplysningsreglene. Etter forordningens regler vil det måtte gjennomføres en risikovurdering som grunnlag for iverksetting av informasjonssikkerhetstiltak. Tiltakene må dokumenteres. Det finnes regler om den behandlingsansvarliges ansvar i personvernforordningen artikkel 24, om bruk av databehandler i artikkel 28 og om informasjonssikkerhet i artiklene 32 til 34. Der virksomheten tilfredsstiller kriteriene i artikkel 37, må det etableres personvernombud. Kredittopplysningsforetakene har også anledning til å la seg sertifisere eller slutte seg til en atferdsnorm dersom dette blir utarbeidet.

Det er kun to høringsinstanser som har kommentert forslaget i høringsnotatet om å la utvalgte av bestemmelsene om behandlingsansvarliges og databehandlers ansvar gjelde ved behandling av kredittopplysninger om juridiske personer. Begge disse støtter at personvernforordningens bestemmelser i artikkel 24 og 26 til 34 gis generell anvendelse for all behandling av kredittopplysninger. Dette er bestemmelser om ansvar for etterlevelse av regelverket (artikkel 24), om felles behandlingsansvar, bruk av databehandler og databehandlerens ansvar (artikkel 26, 28 og 29), om ansvaret for å føre protokoll over egne behandlinger (artikkel 30), om samarbeid med tilsynsmyndigheten (artikkel 31) og om informasjonssikkerhet (artikkel 32 til 34). Ansvar for behandlingen og kontroll med informasjonssikkerheten vurderes å være vel så relevant ved behandling av virksomhetsrelaterte opplysninger som ved behandling av personopplysninger. Departementet vurderer at når det foreslås å regulere behandling av kredittopplysninger om juridiske personer, er det samtidig riktig og naturlig å sørge for gode rammer og ansvar for etterlevelse og oppfølging av sikkerheten rundt behandlingen. Det foreslås derfor i lovforslaget § 5 at personvernforordningens bestemmelser om den behandlingsansvarliges ansvar, felles behandlingsansvar, bruk av databehandler, protokoller over behandlingsaktiviteter og samarbeid med tilsynsmyndigheten gjelder for all behandling av opplysninger i kredittopplysningsvirksomhet. Også forordningens bestemmelser i artikkel 32 til 34 om personopplysningssikkerhet er foreslått å gjelde fullt ut for behandling av opplysninger i kredittopplysningsvirksomhet.

Samtidig vurderer departementet, i tråd med forslaget i høringsnotatet, at det ikke er nødvendig å gi bestemmelsene i artikkel 35 til 39 anvendelse for behandling av opplysninger om juridiske personer. Dette er bestemmelser om vurdering av personvernkonsekvenser, om forhåndsdrøfting med Datatilsynet og om personvernombud. Disse bestemmelsene er svært personvernspesifikke, og det synes derfor mindre naturlig å gi dem anvendelse på behandling av opplysninger om juridiske personer. Dette innebærer at kredittopplysningsvirksomhet som kun omfatter behandling av opplysninger om juridiske personer kan se bort fra disse bestemmelsene. For de virksomhetene som behandler opplysninger om både fysiske og juridiske personer, er det heller ikke nødvendig å la vurderinger av personvernkonsekvenser eller eventuelle forhåndsdrøftinger med Datatilsynet omfatte de delene av behandlingen som kun gjelder opplysninger om juridiske personer.

Datatilsynet har påpekt at artikkel 25 om innebygd personvern og personvern som standardinnstilling må gis anvendelse på behandling av opplysninger om enkeltpersonforetak. I og med at departementet har konkludert med at enkeltpersonforetak i alle henseender skal behandles som fysiske personer, vil bestemmelsen om innebygd personvern og personvern som standardinnstilling også gjelde ved behandling av kredittopplysninger om enkeltpersonforetakene. Departementet vurderer derfor at det ikke er behov for særregulering for å ivareta innspillet fra Datatilsynet.

Når det gjelder forordningens regler om sertifisering og atferdsnormer i artikkel 40 til 43, ser departementet at det kan være praktiske utfordringer knyttet til å la disse reglene gjelde også for behandling av kredittopplysninger om juridiske personer. Bestemmelsene åpner for frivillige godkjenningsordninger, men forutsetter samtidig at både sertifiseringskriterier og bransjenormer godkjennes av et sertifiseringsorgan og/eller tilsynsmyndigheten. Departementet ser at det vil kunne føre til merarbeid for Datatilsynet dersom de skal godkjenne ordninger som kun gjelder for behandling av opplysninger om juridiske personer. En slik rolle ville gå ut over tilsynsmyndighetens oppgaver etter personvernforordningen artikkel 57. Dessuten vil, som Datatilsynet selv har påpekt i sin høringsuttalelse, verken atferdsnormer eller sertifisering som gjelder behandling av opplysninger om juridiske personer, kunne godkjennes av Det europeiske personvernrådet slik forordningen forutsetter. Vi ville dermed få en nasjonal løsning på siden av den løsningen personvernforordningen angir. Samtidig er departementet i tvil om den reelle verdien av å la bestemmelsene om atferdsnormer og sertifisering omfatte behandling av opplysninger om juridiske personer. Dette er frivillige ordninger som skal gjelde i tillegg til de grunnleggende reglene som følger av personvernforordningen og eventuelt supplerende nasjonal rett. I lys av dette er departementet kommet til at det ikke synes hensiktsmessig å gi bestemmelsene i personvernforordningen artikkel 40 til 43 anvendelse ved behandling av opplysninger om juridiske personer.

14 Ansvar og sanksjoner

14.1 Gjeldende rett

Etter gjeldende rett kan overtredelser av kredittopplysningsreglene sanksjoneres likt uavhengig av om krenkelsen gjelder en registrert fysisk eller juridisk person. Reglene i personopplysningsloven 2000 § 46 om overtredelsesgebyr, § 47 om tvangsmulkt og § 48 om straff gjelder tilsvarende.

Det fulgte av personopplysningsloven 2000 § 49 andre ledd at kredittopplysningsforetaket har et objektivt ansvar for å erstatte tap som følge av utlevering av uriktige eller åpenbart misvisende kredittopplysninger.

14.2 Forordningen

Etter personvernforordningen artikkel 82 har den som lider skade som følge av overtredelser av forordningens bestemmelser krav på erstatning fra den behandlingsansvarlige eller databehandleren. Erstatningsplikten gjelder, jf. artikkel 82 nr. 3, ikke dersom den behandlingsansvarlige kan godtgjøre at han på ingen måte er ansvarlig for hendelsen som førte til skaden. Videre følger det av artikkel 83 at det kan ilegges overtredelsesgebyr for en rekke overtredelser av regelverket, herunder for overtredelser av de grunnleggende prinsippene for behandling av opplysninger fastsatt i artikkel 5, 6, 7 og 9. Bestemmelsene i forordningen overlater ikke handlingsrom til medlemsstatene.

14.3 Forslaget i høringsnotatet

Etter personvernforordningen artikkel 83 nr. 5 bokstav a kan det ilegges sanksjoner for overtredelser av forordningens grunnleggende prinsipper slik disse følger av artikkel 5, 6, 7 og 9. Høringsnotatets utkast til regler om behandling av personopplysninger i kredittopplysningsvirksomhet hadde grunnlag i forordningen artikkel 6 nr. 3 jf. nr. 1 bokstav e. Flere av bestemmelsene i høringsforslaget ivaretok dessuten prinsipper nedfelt i forordningen artikkel 5. Departementet la derfor i høringsnotatet til grunn at forordningens sanksjonsregler ville komme til anvendelse ved overtredelse av kredittopplysningslovens bestemmelser.

Departementet anbefalte i høringsnotatet at skader som følge av uriktig behandling av kredittopplysninger underlegges de samme erstatningsreglene som andre feil som følge av behandling av personopplysninger. Reglene skulle gjelde likt uavhengig av om den skadelidte var en fysisk eller juridisk person.

Av hensyn til regelverkets omfang, fant departementet det ikke hensiktsmessig å gjenta i lovutkastet de av bestemmelsene i personvernforordningen som også vil gjelde for kredittopplysningsvirksomhet. Personvernforordningen gjelder imidlertid bare behandling av personopplysninger i kredittopplysningsvirksomhet. For at forordningens og personopplysningslovens bestemmelser om sanksjoner, tvangsmulkt og erstatning skal komme til anvendelse ved uriktig behandling av kredittopplysninger om juridiske personer, foreslo departementet å gi bestemmelsene tilsvarende anvendelse i kredittopplysningsloven.

14.4 Høringsinstansenes syn

Det er relativt få høringsinstanser som har kommentert bestemmelsene om sanksjoner, tvangsmulkt og erstatning. Datatilsynet gir i sin høringsuttalelse uttrykk for usikkerhet med hensyn til om personvernforordningens og personopplysningslovens generelle regler om sanksjoner og erstatning vil gjelde for brudd på kredittopplysningsregelverket. Datatilsynet påpeker også i sin høringsuttalelse at enkelte av bestemmelsene i departementets høringsutkast er strengere og går lenger enn det som følger av personvernforordningen. Dette betyr at det er uklart om sanksjons- og erstatningsbestemmelsene i forordningen uten videre vil dekke brudd på disse strengere reglene. Høringsinstansen anbefaler derfor at bestemmelsen i kredittopplysningsloven utformes slik at det ikke er noen tvil om at reglene skal gjelde. Datatilsynet mener også det er hensiktsmessig at reglene om sanksjoner og erstatning gjelder ved brudd på reglene om behandling av kredittopplysninger om juridiske personer.

Juristforbundet på sin side mener det er for strengt å la disse bestemmelsene gjelde overtredelse av reglene om behandling av opplysninger om juridiske personer. Høringsinstansen peker på at juridiske personer ikke har samme behov for vern ved behandling av opplysninger som fysiske personer, og at de dessuten vil kunne ha rett til erstatning etter de alminnelige erstatningsreglene. Videre peker Juristforbundet på at sanksjoner etter personvernforordningen og personopplysningsloven nå er langt strengere enn alminnelige norske erstatningsregler, og mener reglene ikke bør gis anvendelse overfor juridiske personer uten at konsekvensene er bedre utredet.

Finans Norge mener personvernforordningens bestemmelser om sanksjoner og erstatning bør gjentas direkte i kredittopplysningsloven slik at de blir mer tilgjengelige, og det ikke er noen tvil om hvilke regler som gjelder på området.

14.5 Departementets vurderinger

Dersom det ikke fastsettes særregulering om sanksjoner og erstatning på kredittopplysningsområdet, vil personvernforordningens og personopplysningslovens alminnelig regler komme til anvendelse for så vidt regelbruddet gjelder behandling av kredittopplysninger om fysiske personer, og det dreier seg om brudd på regler som følger av forordningen. Departementet er enig med Datatilsynet i at det er grunn til å stille spørsmål ved om forordningens sanksjonsbestemmelser vil kunne anvendes ved brudd på særregler i kredittopplysningsloven uten at dette fremgår klart av loven. Det følger av lovutkastet at forordningens bestemmelser bare gjelder for behandling av opplysninger om juridiske personer dersom det fremgår eksplisitt av kredittopplysningsloven. Brudd på reglene om behandling av opplysninger om juridiske personer vil derfor ikke under noen omstendighet være underlagt særskilte sanksjonsregler uten særregulering.

Departementet mener overtredelser av særreglene om behandling av kredittopplysninger om fysiske personer bør kunne sanksjoneres og være grunnlag for erstatning. Når området er vurdert som så viktig at det fastsettes særregulering, mener departementet dette tilsier at sanksjonsreglene ikke bør være mindre strenge etter særreguleringen enn etter den generelle personvernreguleringen. På bakgrunn av høringsinnspillene, vurderer departementet at brudd på kredittopplysningslovens bestemmelser om behandling av personopplysninger bør kunne sanksjoneres og være grunnlag for erstatning på lik linje med brudd på de generelle reglene i personvernforordningen og personopplysningsloven. For at det ikke skal oppstå noen tvil om at forordningens og personopplysningslovens bestemmelser om overtredelsesgebyr, tvangsmulkt og erstatning kommer til anvendelse, har departementet valgt å formulere lovforslaget § 27 slik at det omfatter alle brudd på kredittopplysningslovens regler om behandling av personopplysninger.

Bestemmelsene i personvernforordningen og personopplysningsloven om erstatning og sanksjoner gjelder, i samsvar med personopplysningslovens saklige virkeområde, kun ved overtredelser av reglene om behandling av opplysninger om fysiske personer. Dersom man mener det er ønskelig at også brudd på reglene om behandling av kredittopplysninger om juridiske personer skal kunne sanksjoneres, må dette fastsettes særskilt.

Departementet har merket seg at Finans Norge ikke stiller spørsmål ved hensiktsmessigheten av å la sanksjonsbestemmelsene gjelde ved brudd på reglene om behandling av opplysninger om juridiske personer, men kun peker på at reglene bør fremgå eksplisitt av kredittopplysningsloven i stedet for bare ved en henvisning. Juristforbundet er derimot kritiske til å la de strenge sanksjonsbestemmelsene gjelde ved brudd på reglene om behandling av kredittopplysninger om juridiske personer, og mener konsekvensene av en slik bestemmelse ikke er godt nok utredet.

Departementet er enig i innspillet fra Juristforbundet om at det neppe er riktig å sanksjonere overtredelser av kredittopplysningsreglene som rammer juridiske personer like strengt som overtredelser som rammer fysiske personer. Juridiske personer har i mange sammenhenger ikke det samme behovet for vern som fysiske personer, og konsekvensene av regelbrudd kan være mindre alvorlige enn de vil oppleves for fysiske personer. Juridiske personer vil også lettere enn fysiske personer kunne håndtere utfordringer forbundet med uriktig behandling av kredittopplysninger. Departementet mener samtidig at Datatilsynet, Personvernnemnda og domstolene, ved å utnytte det handlings- og skjønnsrommet som ligger i personvernforordningens og personopplysningslovens bestemmelser om sanksjoner og erstatning, kan tilpasse reaksjonene etter hvem som er skadelidt i saken. Som Datatilsynet har kommentert i sitt høringsinnspill, er det allerede i dag praksis for å reagere mildere ved overtredelser som gjelder behandling av kredittopplysninger om juridiske personer enn overtredelser som gjelder opplysninger om fysiske personer. Det følger også av personvernforordningen artikkel 83 nr. 2 bokstav a at overtredelsens alvorlighetsgrad skal tillegges vekt når overtredelsesgebyr ilegges. Departementet legger til grunn at mange av de øvrige momentene som etter forordningen artikkel 83 skal tillegges vekt ved vurdering av om, og i hvilken størrelsesorden, administrative sanksjoner skal ilegges, vil kunne innebære mildere sanksjoner når den registrerte/skadelidte er en juridiske personer. Departementet legger samtidig til grunn at brudd på reglene om behandling av opplysninger om juridiske personer generelt vil oppfattes som mindre alvorlig enn brudd på personopplysningsreglene, og at Datatilsynet, i samsvar med sin høringsuttalelse, vil ta hensyn til dette når reglene anvendes.

Departementet påpeker for øvrig at Datatilsynet ikke har noen plikt til å ilegge sanksjoner eller benytte tvangsmulkt overfor kredittopplysningsforetakene ved brudd på reglene som gjelder behandling av kredittopplysninger. Eventuelle sanksjoner for overtredelser av bestemmelsene i personvernforordningen skal følge forordningens regler.

Departementet mener på denne bakgrunn at det er hensiktsmessig å bygge videre på gjeldende rett, og la erstatnings- og sanksjonsbestemmelsene i personvernforordningen og personopplysningsloven gjelde tilsvarende for overtredelser av bestemmelsene om behandling av kredittopplysninger om juridiske personer. Bestemmelsen i lovforslaget § 27 er utformet slik at den dekker overtredelser av alle bestemmelsene i lovforslaget, uavhengig av om den registrerte er en juridisk eller fysisk person.

Når det gjelder videreføring av bestemmelsen i personopplysningsloven 2000 § 48 om at regelbrudd kan sanksjoneres med fengsel eller bøter, foreslås denne ikke videreført. Overtredelser av det generelle personvernregelverket kan ikke lenger sanksjoneres med bøter eller fengsel. Departementet har vurdert at det er gode grunner for å harmonisere reaksjonene på kredittopplysningsområdet med reaksjonene etter de generelle personvernreglene. Med de relativt strenge reaksjonene som kan ilegges etter personvernforordningen og personopplysningsloven, og tatt i betraktning at bestemmelsen i personopplysningsloven 2000 om bøter og fengsel i svært liten grad er blitt benyttet, finner departementet det ikke hensiktsmessig å videreføre disse reaksjonsformene.

15 Datatilsynets kompetanse

15.1 Gjeldende rett

Etter gjeldende rett fører Datatilsynet tilsyn med etterlevelse av kredittopplysningsreglene ved behandling av opplysninger om både fysiske og juridiske personer. Dette følger av personopplysningsloven 2000 § 42 tredje ledd nr. 3 jf. § 3 siste ledd.

I personopplysningsforskriften § 4-7 finnes en bestemmelse om at Datatilsynet, når særlige grunner taler for det, kan frita den behandlingsansvarlige fra plikter fastsatt i loven. Bestemmelsen er ment som en sikkerhetsventil for tilfeller der den virksomheten som drives skiller seg vesentlig fra alminnelig kredittopplysningsvirksomhet, og derfor bør reguleres annerledes.

15.2 Forordningen

Etter personvernforordningen artikkel 51 skal landene utpeke minst ett organ som skal føre tilsyn med etterlevelse av forordningens regler om behandling av personopplysninger. Tilsynsmyndighetens oppgaver og kompetanse er regulert i forordningen artikkel 52 til 58. Det følger av bestemmelsene at det eller de utpekte nasjonale tilsynsorganene har omfattende myndighet til å føre kontroll med etterlevelse av personvernreglene.

15.3 Forslaget i høringsnotatet

Høringsnotatet viste til at det følger av personvernforordningen at Datatilsynet skal føre tilsyn med kredittopplysningsforetakenes etterlevelse av forordningens regler ved behandling av kredittopplysninger om fysiske personer, siden dette er behandling av personopplysninger som faller inn under forordningens saklige virkeområde. Departementet anså det som hensiktsmessig at ett og samme organ fører tilsyn med etterlevelse av reglene om behandling av opplysninger i kredittopplysningsvirksomhet uansett hvem den registrerte er. I høringsnotatet anbefalte departementet derfor at Datatilsynet fører tilsyn med etterlevelse av kredittopplysningsloven i samsvar med reglene i den nye personopplysningsloven og personvernforordningen artikkel 55 til 58. Datatilsynet vil da ha samme kompetanse og myndighet på kredittopplysningsområdet som ved all annen behandling av personopplysninger etter forordningen. I tillegg vil dette innebære at Datatilsynet fører tilsyn med etterlevelse av reglene om behandling av kredittopplysninger om juridiske personer.

Departementet foreslo i høringen ikke å videreføre bestemmelsen i personopplysningsforskriften § 4-7 om adgang til, i særlige situasjoner, å frita den behandlingsansvarlige fra plikter fastsatt i loven.

15.4 Høringsinstansenes syn

Det er kun Datatilsynet selv som har uttalt seg om tilsynsmyndighetens kompetanse. Tilsynsmyndigheten viser til at det i det daværende forslaget til ny personopplysningslov, jf. Prop. 56 LS, § 20 var inntatt en tilpasningsbestemmelse om den norske tilsynsmyndighetens tilsynskompetanse, og at denne måtte hensyntas i kredittopplysningsloven. Høringsinstansen påpekte også at gjennomføring av tilsyn vanskeliggjøres når konsesjonsplikt for kredittopplysningsvirksomhet bortfaller, da det blir vanskeligere for tilsynsmyndigheten å ha oversikt over markedet.

15.5 Departementets vurderinger

Ingen av høringsinstansene har uttrykt seg kritisk til at Datatilsynet er foreslått som tilsynsmyndighet for etterlevelse av kredittopplysningsloven. Departementet viser dessuten til det som er sagt i Prop. 56 LS kapittel 25.5 om viktigheten av å ha en uavhengig tilsynsmyndighet som fører tilsyn med behandling av personopplysninger. Basert på dette, legger departementet til grunn at det er viktig for etterlevelse av kredittopplysningsreglene at det etableres en velfungerende tilsynsordning. Tilsynskompetansen bør, etter departementets oppfatning, omfatte behandling av opplysninger om juridiske personer så vel som fysiske personer.

Departementet mener Datatilsynet er godt rustet til å ivareta tilsynsfunksjonen. Datatilsynet vil føre tilsyn på dette området på samme måte som de fører tilsyn med etterlevelse av andre særregler om behandling av personopplysninger hvoretter de er tillagt tilsynskompetanse. Slik tilsynskompetanse har Datatilsynet blant annet etter regler om behandling av personopplysninger etter helselovgivningen, etter politiregisterloven og etter arbeidsmiljøloven. Datatilsynet har videre lang erfaring med å føre tilsyn med kredittopplysningsforetakenes behandling av opplysninger, og vil kunne dra nytte av denne erfaringen i sitt fremtidige tilsynsarbeid.

Departementet går derfor inn for at Datatilsynet er tilsynsmyndighet etter lov om behandling av opplysninger i kredittopplysningsvirksomhet, og at denne kompetansen utøves i samsvar med reglene i personopplysningsloven og personvernforordningen, se lovforslaget § 28. Departementet har merket seg Datatilsynets merknad om at tilsynsmyndighetens kompetanse etter kredittopplysningsloven må tilpasses tilsvarende kompetanse etter personopplysningsloven. Dette er det tatt høyde for i lovforslaget, ved at det er inntatt en henvisning til personopplysningsloven § 20.

Personopplysningsloven § 20 siste ledd inneholder en bestemmelse om at Kongen kan gi forskrift om dekning av Datatilsynets kostnader ved kontroll. Det følger av lovforslaget at personopplysningslovens regler gjelder tilsvarende for behandling av opplysninger om juridiske personer bare der det følger uttrykkelig av lovforslaget. Tilsyn med behandling av opplysninger om juridiske personer faller, slik departementet ser det, på utsiden av Datatilsynets oppgaver etter personopplysningsloven og personvernforordningen. Det er dermed ikke gitt at personvernforordningens regler om dekning av kostnader ved kontroll vil gjelde tilsvarende når kontrollen omfatter behandling av kredittopplysninger om juridiske personer. Samtidig anser departementet at nettopp fordi tilsyn med behandling av virksomhetsrelaterte opplysninger faller utenfor de oppgavene Datatilsynet er tillagt i personvernforordningen og personopplysningsloven, vil det kunne være naturlig å vurdere om kredittopplysningsforetakene bør bidra økonomisk til gjennomføring av tilsyn. Departementet finner det derfor hensiktsmessig å åpne eksplisitt for at det kan gis forskrift om dekning av kostnader til kontroll med behandling av kredittopplysninger også om juridiske personer. En bestemmelse tilsvarende personopplysningsloven § 20 siste ledd er derfor inntatt i lovforslagets bestemmelse om forskrifter, se lovforslaget § 29 andre ledd.

Departementet har merket seg Datatilsynets innspill om at gjennomføring av tilsyn vanskeliggjøres når konsesjonsplikten for kredittopplysningsvirksomhet bortfaller, og det blir vanskeligere for tilsynsmyndigheten å ha oversikt over markedet. Departementet er enig i denne vurderingen, men påpeker at dette vil gjøre seg gjeldende på alle samfunnsområder. Systemet etter personvernforordningen er at det i de fleste tilfeller ikke kreves forhåndskontroll og godkjenning for å kunne behandle personopplysninger. Det synes ikke å være særegne forhold ved kredittopplysningsforetakenes behandling av personopplysninger som tilsier at den bør underlegges andre mekanismer for forhåndsgodkjenning enn andre behandlinger. Departementet kan derfor ikke se at det er grunn til å fravike personvernforordningens hovedregel, og pålegge forhåndskontroll på kredittopplysningsområdet. Samtidig må kredittopplysningsforetakene selv vurdere om deres behandling av personopplysninger er så inngripende at de faller inn under bestemmelsene om forhåndsdrøfting i personvernforordningen artikkel 36.

Departementet har videre vurdert at både Datatilsynet og Personvernnemnda må kunne skaffe seg tilgang til nødvendig informasjon for gjennomføring av sine plikter etter kredittopplysningsloven. Slik tilgang til informasjon kan være avgjørende for at de skal kunne foreta nødvendige undersøkelser og fatte vedtak på godt opplyst grunnlag. Departementet vurderer det derfor som hensiktsmessig at personopplysningsloven § 23 om tilgang til informasjon som ledd i utøvelse av oppgaver etter personopplysningsloven og personvernforordningen gis tilsvarende anvendelse når Datatilsynet og Personvernnemnda utfører sine oppgaver etter kredittopplysningsloven. Bestemmelsen i lovforslaget § 28 ivaretar dette.

16 Klage

16.1 Gjeldende rett

I samsvar med reglene i personopplysningsloven 2000 § 42 kan vedtak fattet av Datatilsynet overfor kredittopplysningsforetakene påklages til Personvernnemnda.

16.2 Forordningen

Personvernforordningen artikkel 78 gir enhver fysiske eller juridisk person rett til et effektivt rettsmiddel overfor en rettslig bindende avgjørelse som gjelder dem, og som er truffet av en tilsynsmyndighet med grunnlag i personvernforordningens regler.

16.3 Forslaget i høringsnotatet

Departementet foreslo i høringsnotatet ingen særskilte regler om klage. Departementet la underforstått til grunn at personvernforordningens og personopplysningslovens regler ville komme til anvendelse for så vidt gjelder klage over Datatilsynets vedtak som gjelder behandling av personopplysninger. Departementet la til grunn at dette er en konsekvens av at forordningens regler gjelder generelt for behandling av personopplysninger der annet ikke er bestemt i eller i medhold av særlov.

16.4 Høringsinstansenes syn

Det er ingen høringsinstanser som har uttalt seg om adgangen til å påklage Datatilsynets vedtak om behandling av opplysninger i kredittopplysningsvirksomhet.

16.5 Departementets vurderinger

I samsvar med alminnelig forvaltningsrett kan forvaltningens vedtak påklages til nærmeste overordnede forvaltningsorgan. Dette følger av forvaltningsloven § 28. Datatilsynet er et særlig uavhengig forvaltningsorgan. I samsvar med personopplysningsloven § 20 første ledd siste punktum kan Datatilsynets vedtak ikke overprøves av Kongen eller departementet. Klage over vedtak fattet av Datatilsynet behandles i stedet av Personvernnemnda jf. personopplysningsloven § 22 andre ledd.

Klager over de vedtak Datatilsynet fatter om behandling av kredittopplysninger om fysiske personer vil måtte behandles av Personvernnemnda i samsvar med reglene i det generelle personvernregelverket. Uten særskilte regler om klage over vedtak som gjelder behandling av opplysninger om juridiske personer, ville det følge av forvaltningslovens klageregler at slike klager behandles av departementet.

Departementet finner det lite hensiktsmessig å etablere to ulike klageordninger avhengig av om Datatilsynets vedtak gjelder behandling av opplysninger om fysiske eller juridiske personer i kredittopplysningsvirksomhet. I mange tilfeller antas det dessuten at vedtakene vil kunne omhandle begge deler. I slike tilfeller ville trolig den praktiske løsningen måtte bli at hele saken skulle behandles etter reglene i personopplysningsloven for å sikre korrekt behandling av klage som gjelder behandling av personopplysninger. Departementet har derfor kommet til at den mest hensiktsmessige løsning er å videreføre gjeldende rett, slik at alle klager over Datatilsynets vedtak om behandling av opplysninger i kredittopplysningsvirksomhet skal behandles av Personvernnemnda, se lovforslaget § 28. Det antas ikke at dette vil medføre vesentlig merarbeid verken for Datatilsynet eller Personvernnemnda, da løsningen innebærer en videreføring av gjeldende rett. Det er dessuten et mindre antall saker som utelukkende gjelder behandling av kredittopplysninger om juridiske personer, slik at behandling av klagesaker på dette området ikke antas å bli ressurskrevende.

Departementet har videre vurdert at det ikke kan utelukkes at det tas ut søksmål mot Datatilsynets vedtak fattet som ledd i tilsyn med kredittopplysningsforetakene, eller at det tas ut søksmål om gyldigheten av Personvernnemndas vedtak om behandling av opplysninger i kredittopplysningsvirksomhet. Datatilsynets og Personvernnemndas partsstilling i slike saker bør etter departementets syn være den samme som i saker etter det generelle personvernregelverket. Partsstillingen bør dessuten være den samme uavhengig av om søksmålet gjelder behandling av kredittopplysninger om fysiske eller juridiske personer.

Departementet foreslår at Datatilsynet og Personvernnemnda gis samme partsstilling ved søksmål knyttet til tilsyn med eller vedtak om behandling av kredittopplysninger som de er gitt ved behandling av personopplysninger etter personopplysningsloven. Dette følger av henvisningen til personopplysningsloven § 25 i lovforslaget § 28. Det vises ellers til det som er sagt om organenes partsstilling i Prop. 56 LS (2017–2018).

17 Gyldighet av konsesjoner gitt i medhold av personopplysningsloven

Da personopplysningsloven trådte i kraft 20. juli 2018, ble personopplysningsloven 2000 samtidig opphevet. Som en følge av opphevelsen falt også forskrifter og konsesjoner gitt i medhold av loven bort. På enkelte områder ble det likevel besluttet å videreføre de konsesjonene som gjaldt da ny personopplysningslov trådte i kraft, i påvente av nærmere regulering. Konsesjoner gitt for kredittopplysningsvirksomhet ble besluttet videreført i forskrift om overgangsregler om behandling av personopplysninger 15. juni 2018 nr. 877 § 4. Hensikten var at de gjeldende reglene skulle videreføres inntil nytt regelverk var vedtatt og trådt i kraft.

Departementet vil, samtidig med at ny lov om behandling av kredittopplysninger trer i kraft, oppheve forskrift om overgangsregler om behandling av personopplysninger 15. juni 2018 nr. 877 § 4.

18 Konsekvenser av forslaget

18.1 Økonomiske og administrative konsekvenser

Lovforslaget innebærer ikke vesentlige endringer i de materielle reglene om kredittopplysningsvirksomhet. Departementet legger til grunn at forslaget derfor ikke innebærer vesentlige økonomiske eller administrative konsekvenser verken for de som benytter kredittopplysninger i sine beslutningsgrunnlag eller for kredittopplysningsforetakene.

18.1.1 Bortfall av konsesjonsplikt

Lovforslaget innebærer at konsesjonsplikten for å behandle opplysninger i kredittopplysningsvirksomhet bortfaller. Dette vil medføre at kredittopplysningsforetakene spares for prosesskostnadene knyttet til søknad om konsesjon. De slipper også å avvente behandling av kredittopplysninger til forhåndsgodkjenning fra Datatilsynet foreligger. Det må legges til grunn at dette vil ha gunstige økonomiske og administrative konsekvenser for kredittopplysningsforetakene.

Bortfall av konsesjonsplikt vil medføre mindre arbeid i Datatilsynet med denne type saker. Dette omtales nærmere i kapittel 18.1.6.

18.1.2 Enkeltpersonforetak skal behandles som fysiske personer

Det følger av personvernforordningen artikkel 4 nr. 1 at alle opplysninger som kan knyttes til en identifisert eller identifiserbare fysisk person er personopplysninger. Denne type opplysninger skal behandles i samsvar med personvernforordningens regler. Dette innebærer at opplysninger om enkeltpersonforetak også vil være å anse som personopplysninger. I kredittopplysningssammenheng må derfor opplysninger om enkeltpersonforetak behandles etter de samme reglene som gjelder for behandling av opplysninger om fysiske personer. Dette kan medføre behov for noe omlegging i kredittopplysningsforetakenes systemer og registre, men kostnadene knyttet til dette antas å være relativt beskjedne, og samtidig være engangskostnader.

Økte kostnader knyttet til overholdelse av utvidet informasjonsplikt omtales nærmere i kapittel 18.1.3.

18.1.3 Informasjonsplikt

Lovforslaget legger opp til at personvernforordningens regler om informasjon til de registrerte skal gjelde også i kredittopplysningsvirksomhet. I og med at enkeltpersonforetak etter loven skal behandles som fysiske personer, vil kretsen av de som skal motta informasjon i samsvar med forordningen utvides noe sammenliknet med gjeldende rett. Dette innebærer at kredittopplysningsforetakene i fremtiden vil måtte utlevere informasjon til flere registrerte, noe som antas å medføre noe økte kostnader for virksomhetene.

Selv om kostnadene ved å oppfylle informasjonspliktene vil øke noe, antas de i det vesentlige å knytte seg til tilrettelegging av systemer for å gi innsyn eller sende ut informasjon om behandling av kredittopplysninger. Departementet antar videre at en betydelig del av informasjonsplikten kan oppfylles ved elektroniske løsninger som den registrerte selv kan benytte. Slike løsninger benyttes allerede av flere kredittopplysningsforetak. Departementet legger derfor til grunn at en vesentlig del av kostnadene vil være engangskostnader knyttet til etablering av løsninger, i den grad slike ikke allerede eksisterer. Fordi kredittopplysningsforetakene allerede i dag er underlagt relativt omfattende informasjonskrav, legger departementet til grunn at de løpende kostnadene til å gi informasjon neppe vil øke vesentlig.

Departementet understreker samtidig at denne utvidede plikten til å gi informasjon og innsyn ikke vil følge av lovforslaget alene, men er en konsekvens av definisjonen av begrepet «personopplysninger» i personvernforordningen artikkel 4 nr. 1. Når denne definisjonen også omfatter opplysninger om enkeltpersonforetak, utvides kretsen av de som har krav på informasjon. Kostnadene knyttet til informasjonsplikten er, med unntak av den relativt begrensede opplysningsplikten overfor registrerte juridiske personer, kostnader som følger av at personvernforordningen er gjennomført i norsk rett. Disse kostnadene ville derfor påløpt uavhengig av forslaget til lov om behandling av opplysninger i kredittopplysningsvirksomhet.

18.1.4 Personvernombud

Etter personvernforordningen artikkel 37 nr. 1 bokstav b skal behandlingsansvarlige og databehandlere, hvis kjernevirksomhet består i «behandlingsaktiviteter som på grunn av sin art, sitt omfang og/eller formål krever regelmessig og systematisk monitorering i stor skala av registrerte», utpeke personvernombud. I samsvar med lovforslaget gjelder bestemmelsen for behandling av personopplysninger i kredittopplysningsvirksomhet.

Det er ikke usannsynlig at behandling av personopplysninger i kredittopplysningsvirksomhet vil være slike behandlinger som innebærer at den behandlingsansvarlige er underlagt personvernforordningens plikt til å etablere personvernombud. Hver enkelt behandlingsansvarlig må imidlertid selv vurdere om de faller inn under denne plikten. Å etablere en personvernombudsfunksjon vil ha en kostnad for den behandlingsansvarlige. Hvor stor kostnaden er, avhenger særlig av virksomhetens omfang, og derigjennom arbeidsoppgaver for ombudet, og om den behandlingsansvarlige fra før har etablert frivillig personvernombud. Ordningen med personvernombud etter forordningen er uansett langt mer omfattende enn den frivillige ordningen med personvernombud som gjaldt etter personopplysningsloven 2000.

Departementet legger til grunn at etablering av personvernombud i kredittopplysningsforetakene vil innebære en kostnad for de behandlingsansvarlige. Kostnaden er imidlertid knyttet til etterlevelse av personvernforordningen, og er ikke direkte relatert til forslaget til lov om behandling av opplysninger i kredittopplysningsvirksomhet.

18.1.5 Forhåndsdrøfting

Dersom et kredittopplysningsforetak, etter å ha gjennomført en vurdering av personvernkonsekvenser i samsvar med bestemmelsene i personvernforordningen artikkel 35, mener at en behandling av personopplysninger vil medføre høy risiko, skal det gjennomføres forhåndsdrøftinger med Datatilsynet før behandlingen igangsettes. Dette følger av forordningen artikkel 36. Gjennomføring av slike forhåndsdrøftinger kan medføre økt arbeidsbyrde og innebære en kostnad både for Datatilsynet og for kredittopplysningsforetaket. Departementet anser imidlertid at kostnaden er knyttet til etterlevelse av personvernforordningen, og ikke er direkte relatert til forslaget til lov om behandling av opplysninger i kredittopplysningsvirksomhet.

18.1.6 Konsekvenser for Datatilsynet

For Datatilsynet vil bortfall av konsesjonsplikt ikke medføre noen nevneverdig ressursbesparelse. De gjeldende kredittopplysningskonsesjonene er standardkonsesjoner. Når konsesjonen har blitt endret, er den endret likt for alle konsesjonsinnehaverne (som er et relativt lite antall virksomheter). Dette gjøres relativt sjelden, og bortfall av konsesjonsplikten vil derfor ikke redusere Datatilsynets arbeidsbyrde i vesentlig grad.

Når konsesjonsplikten faller bort, vil kredittopplysningsforetakene ikke lenger være registrert hos Datatilsynet som innehavere av konsesjon for behandlinger av personopplysninger. Det kan derfor bli noe mer krevende for Datatilsynet å skaffe oversikt over mulige tilsynsobjekter. Departementet legger likevel til grunn at bransjen er liten og relativt oversiktlig, og at konsekvensene for tilsynsmyndighetens virksomhet således er relativt små. Bortfall av konsesjonsplikt etter personopplysningsregelverket gjelder dessuten generelt, og skaper neppe særegne konsekvenser og utfordringer på kredittopplysningsområdet.

18.1.7 Tilsyn

Tilsyn med kredittopplysningsforetakenes behandling av kredittopplysninger vil, i samsvar med lovforslaget, fremdeles høre til Datatilsynets arbeidsoppgaver. Som følge av at de materielle reglene om behandling av opplysninger i kredittopplysningsvirksomhet i det vesentlige videreføres, vil tilsynsoppgaven neppe endres i særlig grad.

18.2 Personvernkonsekvenser

Departementets forslag innebærer ikke vesentlige endringer i de materielle reglene om kredittopplysningsvirksomhet. Fordi hovedelementene i etablert rettstilstand videreføres, legger departementet til grunn at forslaget ikke vil ha negative konsekvenser for personvernet. Tvert om, vurderer departementet det slik at en særregulering av behandling av personopplysninger i kredittopplysningsvirksomhet bidrar til å sikre at de registrertes personvern, herunder de særlige hensyn som gjør seg gjeldende i kredittopplysningsvirksomhet, fortsatt ivaretas på en god måte. For innehavere av enkeltpersonforetak vil lovforslaget innebære noe styrking av personvernet, ved at opplysninger om dem skal behandles som personopplysninger uavhengig av om de er registrert i Foretaksregisteret og/eller Arbeidsgiver- og arbeidstakerregisteret, eller ikke.

Departementet mener at regulering i lov og forskrift, slik lovforslaget legger opp til, på en god måte vil sikre ivaretakelse av de registrertes rettigheter og gjøre regelverket tilgjengelig og kjent. Departementet har vurdert om deler av kredittopplysningsreguleringen burde inntas i atferdsnormer fremfor i lov og forskrift, men har konkludert med at dette kunne medført negative konsekvenser for personvernet. Atferdsnormene utvikles av bransjen selv i dialog med tilsynsmyndigheten. Man vil i en slik situasjon kunne få mindre klare regler, større rom for ulik praktisering hos ulike aktører, og dermed et svakere personvern enn lovforslaget legger opp til. Dette ville etter departementets vurdering ikke være i samsvar med hensynet bak revisjonen av den generelle personvernreguleringen. Samtidig kan brudd på bransjenormer ikke følges opp og sanksjoneres av tilsynsmyndigheten på samme måte som brudd på lov og forskrift kan, noe som ville kunne få en negativ effekt på regeletterlevelsen.

19 Endringer i annen lovgivning

I kredittopplysningsvirksomhet innhentes og behandles opplysninger fra ulike kilder. Flere av disse kildene behandler opplysninger med grunnlag i lov. Disse lovene regulerer tilgjengeliggjøring av opplysninger for bruk i kredittopplysningsvirksomhet. Lovene benytter i denne forbindelse ulik ordlyd og ulike henvisninger til gjeldende rett. Etter departementets vurdering er det hensiktsmessig, med grunnlag i forslaget til ny kredittopplysningslov, å foreslå noen mindre tekniske endringer i andre lover. Endringene fremgår av lovforslaget § 31.

19.1 Tinglysingsloven § 34 a tredje ledd

Tinglysingsloven § 34 a tredje ledd benytter begrepet «kredittopplysningsbyrå». Dette videreføres ikke i forslaget til kredittopplysningslov. I stedet brukes begrepene «behandlingsansvarlig» og «kredittopplysningsvirksomhet». For å unngå tvil om henvisningen i tinglysingsloven, foreslås det at ordlyden justeres i samsvar med begrepsbruken i forslaget til kredittopplysningslov. Endringen i ordlyd skal ikke medføre endringer i praksis. Det foreslår at tinglysingsloven § 34 a tredje ledd gis følgende ordlyd (endring i kursiv):

Opplysninger om utleggstrekk og beslutninger om intet til utlegg kan bare gis til advokater, finansinstitusjoner, inkassobyråer, foretak som driverkredittopplysningsvirksomhet etter kredittopplysningsloven, samt offentlige myndigheter med taushetsplikt etter forvaltningsloven eller annen lov. Opplysningene kan bare gis ut skriftlig.

19.2 Inkassoloven § 28 andre ledd

Det følger av inkassoloven § 28 andre ledd at opplysninger kan utleveres til «kredittopplysningsvirksomhet som drives i samsvar med personopplysningsloven». Etter gjeldende rett reguleres kredittopplysningsvirksomhet i forskrifter og konsesjoner i medhold av personopplysningsloven 2000. Dette er bakgrunnen for at inkassoloven viser til personopplysningsloven. Når forslaget til kredittopplysningslov er vedtatt og loven trer i kraft skal kredittopplysningsvirksomhet drives i samsvar med kredittopplysningsloven, ikke personopplysningsloven. Det foreslås derfor at henvisning til personopplysningsloven erstattes av en henvisning til kredittopplysningsloven. Endringen medfører ingen endring i praksis. Det foreslås at bestemmelsen gis følgende ordlyd (endring i kursiv):

Første ledd hindrer ikke at opplysninger overlates til eller lovlig brukes i foretak som driver kredittopplysningsvirksomhet i samsvar med kredittopplysningsloven.

19.3 Enhetsregisterloven § 22 andre ledd tredje punktum

Enhetsregisterloven § 22 andre ledd tredje punktum viser til at «kredittopplysningsforetak kan likevel etter avtale godkjent av Datatilsynet få tilgang til slike numre [fødselsnummer og D-nummer] til intern bruk». Utkastet til kredittopplysningslov viderefører ikke den gjeldende konsesjonsplikten for behandling av opplysninger i kredittopplysningsvirksomhet, og Datatilsynet vil ikke lenger ha kompetanse til å godkjenne avtaler om tilgang til data. Oppheving av konsesjonsplikten er i samsvar med de generelle personvernreglene. Henvisningen i enhetsregisterloven vil derfor ikke gi uttrykk for de faktiske forhold når de gjeldende kredittopplysningsreglene oppheves. Departementet foreslår at enhetsregisterloven § 22 andre ledd endres for å bringe bestemmelsen i samsvar med forslaget til kredittopplysningslov. Endringen medfører ingen endring i praksis. Det foreslås at bestemmelsen gis følgende ordlyd (endringer i kursiv):

Enhver har rett til å få tilgang til og utskrift av opplysninger registrert i Enhetsregisteret, og elektronisk kopi av dokumenter registrert i registeret. Dette gjelder likevel ikke fødselsnummer og D-nummer. Slike opplysninger kan likevel utleveres til intern bruk i kredittopplysningsvirksomhet, jf. kredittopplysningsloven.

19.4 Gjeldsinformasjonsloven

Gjeldsinformasjonsloven § 2 bokstav c definerer kredittopplysningsforetak, og angir at dette er foretak som driver kredittopplysningsvirksomhet i samsvar med personopplysningsloven. Etter gjeldende rett reguleres kredittopplysningsvirksomhet i forskrifter og konsesjoner i medhold av personopplysningsloven 2000. Dette er bakgrunnen for at inkassoloven viser til personopplysningsloven. Når forslaget til kredittopplysningslov er vedtatt og loven trer i kraft skal kredittopplysningsvirksomhet drives i samsvar med kredittopplysningsloven, ikke personopplysningsloven. Det foreslås derfor at henvisning til personopplysningsloven erstattes av en henvisning til kredittopplysningsloven. Endringen medfører ingen endring i praksis.

Begrepet «kredittopplysningsforetak» benyttes ikke i forslaget til kredittopplysningslov. I stedet benyttes begrepene «kredittopplysningsvirksomhet» og «behandling» av kredittopplysninger. I utgangspunktet ville det gitt best sammenheng i regelverket dersom heller ikke gjeldsinformasjonsregelverket benyttet begrepet «kredittopplysningsforetak». Departementet finner imidlertid at måten begrepet er brukt på i gjeldsinformasjonsloven gjør det krevende å finne gode erstatninger uten betydelige omskrivinger som vil gjøre regelverket tyngre rent språklig. Departementet har derfor falt ned på at det vil gi den beste løsningen å videreføre bruken av begrepet «kredittopplysningsforetak» i gjeldsinformasjonsregelverket, men sørge for at begrepet gis et innhold som korresponderer med terminologien i kredittopplysningsloven. Det foreslås at gjeldsinformasjonsloven § 2 bokstav c gis følgende ordlyd (endringer i kursiv):

c) kredittopplysningsforetak: foretak som driver kredittopplysningsvirksomhet i samsvar med kredittopplysningsloven

Med den foreslåtte endringen i definisjonsbestemmelsen i gjeldsinformasjonsloven, kan begrepet kredittopplysningsforetak fortsatt benyttes i gjeldsinformasjonsregelverket.

I gjeldsinformasjonsloven § 19 omtales «forholdet til regelverk om personopplysninger». Formuleringen skyldes at loven ble vedtatt på et tidspunkt da personopplysningsregelverket var i endring, og det var uklart hva som ville bli tittelen på den loven som skulle gjennomføre personvernforordningen i norsk rett. I juli 2018 trådte ny personopplysningslov som gjennomfører personvernforordningen i kraft. Det foreslås derfor at henvisningen i gjeldsinformasjonsloven § 19 endres slik at loven viser til personopplysningsloven. I tillegg bør den også vise til kredittopplysningsloven. Det foreslås følgende ordlyd (endring i kursiv):

§ 19. Forholdet til personopplysningsloven og kredittopplysningsloven

Personopplysningsloven gjelder så langt ikke annet følger av denne loven.

Departementet kan i forskrift gi nærmere regler om forholdet til personopplysningsloven og kredittopplysningsloven.

20 Merknader til de enkelte bestemmelsene

20.1 Ny kredittopplysningslov

Til § 1 Saklig virkeområde

Første ledd slår fast at loven gjelder for utlevering og annen behandling av opplysninger om fysiske og juridiske personer som skjer som ledd i kredittopplysningsvirksomhet. Dette betyr samtidig at behandling av de samme opplysningene for andre formål ikke reguleres av denne loven, men skal følge de generelle reglene i personopplysningsloven og personvernforordningen, eller eventuell annen særregulering. Det fremgår også av bestemmelsen at loven bare gjelder så langt annet ikke er fastsatt i eller i medhold av lov. Med lov menes både lov om behandling av kredittopplysninger og annen lovgivning.

Det følger av bestemmelsen at loven gjelder behandling av opplysninger. Av definisjonen i § 3 bokstav f følger at behandling omfatter enhver operasjon som gjøres med opplysninger. Dette inkluderer utlevering av opplysninger. Det er likevel presisert at loven gjelder for utlevering av opplysninger, siden utlevering er hovedformålet med behandling av opplysninger i kredittopplysningsvirksomhet.

Lovforslaget gjelder kun behandling av opplysninger som ledd i kredittopplysningsvirksomhet, og gjelder således ikke deling av opplysninger internt i et foretak eller konsern dersom dette skjer utenfor rammene av kredittopplysningsvirksomhet. Tilsvarende bestemmelse i personopplysningsforskriften 2000 § 4-2 fremgår imidlertid ikke eksplisitt av lovforslaget. Heller ikke personopplysningsforskriften 2000 § 4-2 første ledd tredje punktum om at loven ikke gjelder utlevering av opplysninger til andre som driver kredittopplysningsvirksomhet foreslås inntatt i lovforslaget. Utveksling av opplysninger mellom to behandlingsansvarlige som skal benytte opplysningene i sin kredittopplysningsvirksomhet skjer ikke i den hensikt å belyse kredittevne. Slik utlevering faller derfor utenfor det saklige virkeområdet for lovforslaget. Det er den behandlingsansvarlige som utleverer kredittopplysningene til en mottaker med saklig behov jf. lovforslaget § 14 som faktisk benytter opplysningene i sin kredittopplysningsvirksomhet, og som skal overholde alle pliktene i lovforslaget. Lovforslaget viderefører gjeldende rett selv om de nevnte unntakene ikke fremgår uttrykkelig av lovforslaget.

Andre ledd inneholder en oversikt over visse typer utleveringer av opplysninger om økonomiske forhold som klart kan bidra til å belyse kredittevne, men der utgivelse likevel ikke skal regnes som kredittopplysningsvirksomhet. Dette er, i samsvar med bokstav a, for det første opplysninger om rettigheter i fast eiendom og løsøre når meldingen gis fra et offentlig register. Slike meddelelser og utleveringer er regulert av særlov, for eksempel lov om eigedomsregistrering (matrikkellova, 17. juni 2005 nr. 101) eller lov om tinglysing (tinglysingsloven, 7. juni 1935 nr. 2) med forskrifter. I disse tilfellene er det særreguleringen for det offentlige registeret som regulerer utlevering av opplysninger fra registeret. Kredittopplysningsforetakenes utlevering av tilsvarende opplysninger følger imidlertid reglene i kredittopplysningsloven.

I bokstav b fremgår det at avgivelse av meldinger til den registrerte ikke regnes som kredittopplysningsvirksomhet. Dette betyr for eksempel at det ikke gjelder gjenpartsplikt dersom det utleveres opplysninger til den registrerte selv på bakgrunn av en innsynsforespørsel. Av bokstav c og d fremgår at heller ikke Brønnøysundregistrenes behandling av lovpålagte registre, eller meldinger fra Løsøreregisteret om registrerte utleggstrekk eller «intet til utlegg» skal regnes som kredittopplysningsvirksomhet. Det betyr at heller ikke slike behandlinger skal tilpasses de særlige reglene i kredittopplysningsloven, men kan følge enten annen særregulering eller de generelle reglene i personopplysningsloven og personvernforordningen.

Til § 2 Geografisk virkeområde

Det følger av første ledd at loven omfatter behandling av opplysninger som skjer som ledd i aktivitetene ved virksomheten til en behandlingsansvarlig i Norge, uavhengig av om behandlingen finner sted i Norge eller ikke. Bestemmelsen er utformet etter samme prinsipp som tilsvarende bestemmelse i personopplysningsloven § 4 første ledd. «Virksomheten» skal forstås på samme måte som tilsvarende begrep i personopplysningsloven § 4, som igjen må forstås som en «establishment», jf. personvernforordningens fortalepunkt 22. Dette betyr blant annet at loven legger til grunn etableringslandsprinsippet, slik at den vil omfatte behandling av kredittopplysninger som skjer i som ledd i kredittopplysningsvirksomheten til en behandlingsansvarlig etablert i Norge.

Det er ikke avgjørende om opplysningene behandles i Norge eller et annet land. Også kredittopplysningsforetak som velger å foreta hele eller deler av behandlingen i et annet land, eller benytte en databehandler etablert i et annet land, skal følge reglene i loven.

Det følger av andre ledd at Kongen kan bestemme at loven helt eller delvis skal gjelde på Svalbard og Jan Mayen. Det vil være naturlig å se hen til den generelle personopplysningslovens virkeområde når kredittopplysningslovens anvendelse på Svalbard og Jan Mayen vurderes.

Det vises ellers til merknadene til personopplysningsloven § 4 første og fjerde ledd i Prop. 56 LS (2017–2018)

Til § 3 Definisjoner

Bestemmelsen definerer sentrale begreper som benyttes i loven.

I bokstav a defineres «personopplysning». Personopplysninger er opplysninger som kan knyttes til en fysisk person. Definisjonen er en speiling av tilsvarende definisjon i personvernforordningen artikkel 4 nr. 1, og skal forstås på samme måte som denne. Eventuelle nasjonale og europeiske tolkningsuttalelser om forståelsen av begrepet må legges til grunn også ved anvendelse av definisjonen i denne loven.

I bokstav b gis en kort definisjon av begrepet «kredittopplysning». En kredittopplysning er en opplysning som belyser den registrertes kredittevne. Bestemmelsen angir at behandling av opplysninger i kredittopplysningsvirksomhet skal legge grunnlag for vurdering av de registrertes evne til å håndtere (ytterligere) kreditt. Dette betyr for det første at kredittevne vil dekke begrepet «kredittverdighet» slik dette ble brukt i personopplysningsforskriften 2000 § 4-2.

Begrepet kredittevne skal også dekke innholdet i begrepet «økonomisk vederheftighet» som ble benyttet i personopplysningsforskriften 2000 § 4-2. En vurdering av noens økonomiske vederheftighet kan være aktuelt også i situasjoner der det ikke skal ytes kreditt. Dette kan for eksempel være i forbindelse med ansettelse i en stilling med betydelig økonomisk ansvar, ved vurdering av tildeling av offentlige tilskudd som forutsetter bruk av midler i samsvar med gitte retningslinjer, eller andre situasjoner der det kan være av stor betydning å vurdere noens generelle økonomiske situasjon eller pålitelighet. Kredittevne er således ment å omfatte både den registrertes betalingsevne og -vilje, og vedkommendes generelle økonomiske pålitelighet.

Definisjonen vil omfatte enhver opplysning som er egnet til å belyse kredittevne, uavhengig av om opplysningene direkte gjelder økonomiske forhold eller på annen måte direkte eller indirekte er egnet til å si noe om den registrertes evne til å håndtere kreditt.

Definisjonen omfatter opplysninger om både fysiske og juridiske personer. Begrepet «fysisk person» skal forstås på samme måte som i personopplysningsloven og personvernforordningen. Det er samtidig grunn til å presisere at enkeltpersonforetak i norsk rett ikke er å anse som juridiske personer. Spesielt for enkeltpersonforetak er at det drives for eiers regning og risiko, og at vedkommende har et ubegrenset personlig ansvar. Opplysninger om enkeltpersonforetak vil, på denne bakgrunn, være å anse som opplysninger om den fysiske personen som eier enkeltpersonforetaket. Alle andre typer sammenslutninger eller organisasjoner, enten de er offentlige eller private, vil være å anse som juridiske personer i kredittopplysningssammenheng.

En gjeldsopplysning er en særskilt type kredittopplysning. I henhold til bokstav c skal gjeldsopplysning i kredittopplysningsloven forstås på samme måte som i gjeldsinformasjonsloven, og definisjonen av begrepet viser til denne lovens definisjonsbestemmelse. Dette innebærer at forståelsen av begrepet «gjeldsopplysning» vil være avhengig av tolkning og anvendelse av tilsvarende begrep i gjeldsinformasjonsloven.

I bokstav d defineres begrepet kredittopplysningsvirksomhet. Kredittopplysningsvirksomhet er virksomhet som består i å utlevere kredittopplysninger i den hensikt å belyse noens kredittevne. Dette innebærer at innsamling og behandling av opplysninger som belyser kredittevne utelukkende for intern bruk hos den behandlingsansvarlige, ikke er å anse som kredittopplysningsvirksomhet. Det er en forutsetning at opplysningene skal utleveres for at behandlingen skal være omfattet av virksomhetsbegrepet i loven.

For at utleveringen skal anses som virksomhet må den dessuten ha et visst omfang. Bestemmelsen benytter samme formulering som inkassoloven § 2 første ledd, ved at utleveringen må skje ervervsmessig eller stadig. Bruk av begrepet «stadig» innebærer at utlevering må foregå med en viss regelmessighet. Kun leilighetsvis utlevering av opplysninger vil ikke være å anse som kredittopplysningsvirksomhet. Videre vil utleveringen anses for å har skjedd som ledd i kredittopplysningsvirksomhet dersom den skjer ervervsmessig, dvs. at den behandlingsansvarlige mottar en form for gjenytelse ved utlevering. Dersom dette er tilfellet, stilles det ikke krav om utleveringen skal skje «stadig».

Det vises for øvrig til merknaden i Ot.prp. nr. 2 (1987–88) til inkassoloven, der Finansdepartementet slutter seg til følgende uttalelse om begrepene fra Inkassolovutvalget i NOU 1983: 8 s. 93 uttaler:

«Med ervervsmessig menes bl. a. at virksomheten må ha et økonomisk siktemål og et preg av å være forretningsmessig organisert. Det er ikke nødvendig at inkassator mottar penger for sine tjenester, selv om dette vil være det vanlige. Også godtgjørelse i andre former omfattes. Det må kreves at virksomheten har et visst omfang. Dette følger både av virksomhetsbegrepet selv og av kravet om at virksomheten skal skje ervervsmessig. Her tenkes både på omsetningens størrelse, antall oppdrag og til en viss grad også på om virksomheten har kontinuerlig preg.

Det andre alternativet i annet ledd er inkassovirksomhet som drives til stadighet. Slik virksomhet vil altså være bevillingspliktig selv om den ikke er ervervsmessig. Utvalget har ikke ment at det skal stilles for strenge krav for at dette alternativet er oppfylt. På denne måten kan eventuelle forsøk på å omgå ervervsmessighetsvilkåret unngås.»

Bokstav e inneholder en definisjon av «kredittopplysningsregister». Definisjonen bygger på definisjonen av register i personvernforordningen artikkel 4 nr. 6. Et kredittopplysningsregister er et slikt register som definert i forordningen, og som benyttes i kredittopplysningsvirksomhet, jf. bokstav d. Både nasjonale og EU-rettslige fortolkninger av registerbegrepet vil være relevante for forståelsen av «kredittopplysningsregister».

I bokstav f defineres begrepet «behandling». Definisjonen er en gjengivelse av definisjonen av tilsvarende begrep i personvernforordningen artikkel 4 nr. 2, og skal forstås på samme måte som dette begrepet. Som for begrepet «personopplysning» vil både nasjonale og EU-rettslige fortolkninger måtte legges til grunn for forståelsen av begrepet.

I bokstav g er det inntatt en definisjon av begrepene kredittrating og kredittscore. Disse begrepene henspeiler på en matematisk beregnet poengsum eller en kode som angir den registrertes risikoprofil. Poengsummen eller koden predikerer den registrertes kredittevne basert på sammenlikning med andre registrerte med tilsvarende kjennetegn. Kredittrating eller kredittscore gir altså ikke et nøyaktig bilde av den registrerte basert på opplysninger om vedkommende. Derimot gir den en vurdering av vedkommendes sannsynlige kredittevne basert på erfaringer med andre registrerte med tilsvarende kredittprofil. I lovforslaget brukes både begrepene kredittrating og kredittscore om opplysninger om juridiske personer, mens kun kredittscore brukes i relasjon til fysiske personer. Begrepsbruken speiler begrepsbruken i bransjen.

Bokstav h gir en definisjon av begrepet inkassoforetak. Begrepet skal i bestemmelsen omfatte alle som kan drive inkassovirksomhet etter inkassoloven. Begrepet benyttes i lovforslaget der gjeldende rett benytter både begrepene «inkassoforetak» og «inkassator». Det ligger ingen realitetsendring i valg av ett begrep til erstatning for de to begrepene som benyttes i gjeldende rett.

Til § 4 Forholdet til personopplysningsloven og personvernforordningen

Bestemmelsen regulerer forholdet til personopplysningsloven og personvernforordningen for så vidt gjelder behandling av personopplysninger. Det følger av bestemmelsen at reglene i personopplysningsloven og personvernforordningen gjelder for all behandling av personopplysninger i kredittopplysningsvirksomhet med mindre noe annet er eksplisitt bestemt i kredittopplysningsloven. Dette betyr at de spesielle reglene i kredittopplysningsloven gjelder som supplement til de generelle bestemmelsene i personopplysningsloven og personvernforordningen. Det vil derfor være nødvendig for de behandlingsansvarlige å sette seg inn i og etterleve krav og plikter i begge regelsettene.

For behandling av kredittopplysninger om juridiske personer er utgangspunktet det motsatte. Verken personopplysningsloven og personvernforordningen gjelder for behandling av kredittopplysninger om juridiske personer med mindre det fremgår eksplisitt av kredittopplysningsloven. Utgangspunktet er således at det kun er bestemmelsene i kredittopplysningsloven som gjelder for behandling av kredittopplysninger om juridiske personer. Det fremgår likevel av enkelte av bestemmelsene i kredittopplysningsloven at utvalgte bestemmelser i personopplysningsloven og personvernforordningen får tilsvarende anvendelse ved behandling av opplysninger om juridiske personer. Dette gjelder blant annet enkelte av personvernregelverkets bestemmelser om rett til innsyn og informasjon.

Til § 5 Behandlingsansvarliges og databehandlers ansvar

Bestemmelsen angir at enkelte av personvernforordningens regler om den behandlingsansvarliges ansvar gjelder tilsvarende for kredittopplysningsforetakets behandling av opplysninger om juridiske personer. Bestemmelsene det vises til må leses og forstås i samsvar med uttalelser og praksis knyttet til personvernforordningen også når de gis anvendelse på behandling av opplysninger om juridiske personer.

For det første fremgår det at forordningen artikkel 24 om plikt til å iverksette tiltak for å ivareta informasjonssikkerhet og internkontroll skal gjelde. De krav forordningen setter til ivaretakelse av informasjonssikkerhet og internkontroll ved behandling av personopplysninger skal således gis tilsvarende anvendelse for kredittopplysningsforetakenes behandling av opplysninger om juridiske personer. Det følger av dette at de samme krav til informasjonssikkerhet og internkontroll gjelder for all behandling av opplysninger i kredittopplysningsvirksomhet.

Videre følger det at forordningens bestemmelser om felles behandlingsansvar i personvernforordningen artikkel 26 skal gis tilsvarende anvendelse ved behandling av kredittopplysninger om juridiske personer. Bestemmelsen pålegger de behandlingsansvarlige å ha klar fordeling av ansvar for oppfyllelse av lovens krav seg imellom. Dette kravet er like relevante ved behandling av opplysninger om juridiske personer som ved behandling av personopplysninger, og skal tolkes og anvendes på samme måte uavhengig av hvilken type opplysninger som behandles.

Personvernforordningen artikkel 28 om bruk av databehandler og databehandlerens rettigheter og plikter skal også gis anvendelse ved behandling av opplysninger om juridiske personer. Dette innebærer at databehandlere skal ivareta samme sikkerhet og samme konfidensialitet uavhengig av om det behandles opplysninger om fysiske eller juridiske personer. Også bestemmelsen i forordningen artikkel 29 om handlingsrommet til de ansatte hos den behandlingsansvarlige og databehandleren som kommer i befatning med kredittopplysninger skal gjelde ved behandling av opplysninger om juridiske personer.

Personvernforordningen artikkel 30 regulerer den behandlingsansvarliges og databehandlerens plikt til å føre protokoll over behandlingsaktivitetene. Slik protokoll vil kunne inngå som en naturlig del av virksomhetens internkontrollsystem, og være like nødvendig ved behandling av opplysninger om juridiske personer som ved behandling av opplysninger om fysiske personer.

Det bestemmes i kredittopplysningsloven § 28 at Datatilsynet skal føre tilsyn med all behandling av kredittopplysninger. For å lette dette arbeidet, er personvernforordningen artikkel 31 om samarbeid med tilsynsmyndigheten gitt tilsvarende anvendelse for behandling av opplysninger om juridiske personer.

Sist, men ikke minst, er bestemmelsene om ivaretakelse av informasjonssikkerhet i personvernforordningen artikkel 32, og om melding til både tilsynsmyndigheten og de registrerte ved eventuelle brudd på personopplysningssikkerheten i artikkel 33 og 34 gitt tilsvarende anvendelse ved behandling av opplysninger om juridiske personer som ved behandling av personopplysninger. Dette medfører at informasjonssikkerheten skal være den samme for all behandling av opplysninger i kredittopplysningsvirksomheten, og at meldeplikten ved eventuelle avvik også er uavhengig av om avviket gjelder opplysninger om fysiske eller juridiske personer.

Ved å gi de nevnte bestemmelsene i personvernforordningen lik anvendelse for all behandling av kredittopplysninger unngår man at kredittopplysningsforetakene innretter seg med ulike systemer og rutiner, og har ulikt ansvar, avhengig av hvilke opplysninger som behandles. Alle bestemmelsene skal anvendes på samme måte ved behandling av opplysninger om juridiske personer som de skal ved behandling av personopplysninger jf. personvernforordningen.

Til § 6 Opplysninger som kan behandles i kredittopplysningsvirksomhet

Bestemmelsen angir hvilke opplysningskategorier som kan behandles i kredittopplysningsvirksomhet. Bestemmelsen er ment å være en videreføring av rettstilstanden slik den lød etter personopplysningsforskriften 2000 kapittel 4 og konsesjoner meddelt av Datatilsynet i medhold av dette regelverket.

Det er rimelig å anta at det over tid vil kunne skje en endring i hvilke opplysninger som vurderes som relevante i kredittopplysningsvirksomheten. For å gi et mest mulig fleksibelt regelverk vil detaljert angivelse av opplysningstyper egne seg best for nærmere regulering i forskrift. Det vil derfor være hensiktsmessig å spesifisere de konkrete opplysningstypene nærmere i forskrift. I dette arbeidet vil det være naturlig å se hen til spesifiseringen av opplysningstyper i de tidligere konsesjonene samtidig som det også sees hen til hvilke kilder som tillates brukt i virksomheten.

Det følger av bestemmelsen at det skal være adgang til å behandle grunndata om både fysiske og juridiske personer. Som grunndata regnes opplysninger som kan identifisere den registrerte, herunder navn, fødselsnummer, organisasjonsnummer og bransjekoder. Også kontaktopplysninger og grunnleggende informasjon om juridiske personer fra offentlige registre vil være å regne som grunndata som kan brukes i kredittopplysningsvirksomheten. Slike opplysninger må, som all annen informasjon, hentes fra kilder med god datakvalitet for å sikre opplysningskvaliteten hos kredittopplysningsforetaket.

Videre angir bestemmelsen at det kan behandles kredittopplysninger om både fysiske og juridiske personer. Kredittopplysninger vil være opplysninger som sier noe om den registrertes kredittevne. Både gjeldende konsesjoner og lovens angivelse av hvilke kilder kredittopplysninger kan hentes fra, vil gi nyttig veiledning når det i forskrift skal spesifiseres hvilke opplysninger som er kredittopplysninger det er adgang til å behandle.

For fysiske personer vil opplysninger om skattefastsetting være en kredittopplysning som finnes for alle med skattbar inntekt, og denne opplysningen vil være grunnleggende i kredittopplysningssammenheng. Videre synes det klart at både frivillige heftelser og tvangsforretninger i fast eiendom og løsøre vil være relevante. Også opplysninger om inkassosaker/betalingsanmerkninger, og eventuelle rettskraftige dommer kan ha relevans i kredittopplysningsvirksomheten.

For fysiske personer kan det videre være relevant å registrere opplysninger om næringsinteresser og eventuell ilagt konkurskarantene, om utleggstrekk eller «intet til utlegg» etter tvangsfullbyrdelsesloven, og om åpning av gjeldsforhandlinger. Også opplysninger om hvorvidt en person er umyndiggjort kan være relevante opplysninger i kredittopplysningssammenheng, siden dette kan si noe om vedkommendes økonomiske handleevne.

Som kredittopplysninger om juridiske personer kan det være relevant å registrere flere av de samme opplysningskategoriene som for fysiske personer. I tillegg vil det kunne være relevant å behandle opplysninger om konkurs og akkord, om årsoppgjør og andre økonomiske forhold i selskapet som er tilgjengelig fra offentlig tilgjengelige kilder. Det kan dessuten være aktuelt å registrere og behandle opplysninger om aktuelle faktiske og økonomiske hendelser av betydning for kredittvurderingen. Dette er en opplysningstype som for eksempel kan hentes fra pressen. Dette vil imidlertid stille særlige krav til kontroll av kvaliteten på de innhentede opplysningene. Det følger dessuten av gjeldende konsesjoner for behandling av opplysninger i kredittopplysningsvirksomhet at opplysninger om nøkkeltall fra innleverte regnskap, kredittgrense, informasjon om bank- og forsikringsforbindelse og informasjon om betalte fakturaer kan benyttes i kredittopplysningsvirksomheten. Disse opplysningstypene vil det kunne være naturlig å vurdere å videreføre i forskrift.

Videre følger det av bestemmelsen at det også er adgang til å behandle gjeldsinformasjon fra gjeldsinformasjonsforetak. Denne opplysningskategorien er kun aktuell for fysiske personer som følge av at gjeldsinformasjonsloven kun omfatter registrering av opplysninger om «enkeltpersoner». Gjeldsopplysninger er opplysninger om en enkeltpersons gjeld eller ubenyttet kredittramme, som ikke er sikret ved registrert panterett i formuesgode som tilhører vedkommende, jf. lovforslaget § 3 bokstav c og gjeldsinformasjonsloven § 2 bokstav d. Opplysningene kan bare benyttes i samsvar med reglene i gjeldsinformasjonsloven.

Også det som i kredittopplysningsbransjen omtales som positive kredittopplysninger kan behandles i virksomheten. Dette kan for eksempel være eierskap i motorvogn.

Kredittopplysningsforetakene kan, som det fremgår, behandle opplysninger som innhentes utenfra. Samtidig kan foretaket generere opplysninger selv. Dette kan være rating, risikoprofil, kredittscore og eventuelle kredittvurderinger i prosatekst. Også slike opplysninger kan behandles i kredittopplysningsvirksomheten. For juridiske personer kan det, etter gjeldende rett, dessuten behandles opplysninger om historisk rating. Dette er opplysninger som kan si noe om utvikling av kredittevnen over tid, og det er naturlig at også denne opplysningstypen videreføres.

Angivelsen av opplysningskategorier er ikke å anse som uttømmende. Opplysningskategoriene i lovforslaget kan derfor suppleres eller på annen måte tilpasses i forskrift jf. lovforslaget § 29. Opplysningskategoriene kan blant annet spesifiseres for å klargjøre hvilke opplysningstyper som anses å falle i de ulike kategoriene.

Til § 7 Særlige kategorier av personopplysninger

Det følger av bestemmelsen at ingen av de opplysningstypene som er omfattet av behandlingsforbudet i personvernforordningen artikkel 9 nr. 1 kan benyttes i kredittopplysningsvirksomhet. Opplysningstypene samsvarer langt på vei med den type opplysninger som var klassifisert som sensitive personopplysninger etter personopplysningsloven 2000 § 2 nr. 8 bokstav a, c, d og e. Av pedagogiske hensyn er listen over opplysningstyper som nevnt i personvernforordningen artikkel 9 nr. 1 inntatt direkte i lovbestemmelsen. Henvisningen til den aktuelle bestemmelsen i personvernforordningen angir at begrepene i loven skal forstås på samme måte som de tilsvarende begrepene i forordningen. For så vidt gjelder begrepet rasemessig opprinnelse vises det til personvernforordningen fortalepunkt 51 som understreker at bruken av begrepet «ikke innebærer at Unionen godtar teorier som søker å fastslå at det finnes forskjellige menneskeraser». Begrepet er likevel inntatt i lovutkastet for å gi godt samsvar med personvernforordningens regler.

Opplysninger om seksuell orientering, rasemessige forhold, religiøs eller politisk oppfatning er åpenbart uten betydning for noens kredittevne. Med grunnlag i personvernforordningens generelle bestemmelse om at all behandling av personopplysninger skal være relevant og saklig begrunnet i virksomheten (personvernforordningen artikkel 5 nr. 1 bokstav c), vil de nevnte opplysningstypene ikke kunne behandles i kredittopplysningsvirksomhet. Det samme gjelder behandling av biometriske eller genetiske opplysninger for identifikasjonsformål. Når det gjelder helseopplysninger, vil det imidlertid kunne hevdes at dette er en opplysningstype som kan påvirke den registrertes kredittevne. Langvarig sykdom vil for eksempel kunne føre til nedsatt inntekt. Det vil imidlertid være opplysninger om selve inntekten, og eventuelle betalingsanmerkninger som følge av sviktende inntekt, som skal benyttes som grunnlag for vurdering av kredittevne. Helseopplysningene i seg selv skal ikke benyttes i kredittopplysningsvirksomhet.

Det oppstilles ikke unntak fra behandlingsforbudet i § 7 tilsvarende unntakene i personvernforordningen artikkel 9 nr. 2. Dette betyr at forbudet mot behandling av særlige kategorier av personopplysninger i kredittopplysningsvirksomhet er absolutt. Bestemmelsen innebærer en videreføring av gjeldende rett.

Til § 8 Opplysninger om straffedommer og lovovertredelser

Det følger av første ledd at det ikke er adgang til å behandle opplysninger om verken fysiske eller juridiske personers straffedommer og lovovertredelser eller tilknyttede sikkerhetstiltak i kredittopplysningsvirksomhet. Etter personopplysningsloven 2000 § 2 nr. 8 var opplysninger om hvorvidt noen har vært mistenkt, siktet, tiltalt eller dømt for en straffbar handling en sensitiv personopplysning som ikke kunne benyttes i kredittopplysningsvirksomhet. Denne opplysningstypen inngår ikke i oppregningen i personvernforordningen artikkel 9 nr. 1 over særlige kategorier av personopplysninger. Behandlingsforbudet i kredittopplysningsloven § 7 vil derfor ikke omfatte opplysninger om straffedommer og lovovertredelser. Samtidig inneholder personvernforordningen artikkel 10 en bestemmelse som setter klare begrensinger i adgangen til å behandle slike opplysninger.

Etter lovforslaget gjelder fremdeles et generelt forbud mot behandling av opplysninger om straffedommer og lovovertredelser i kredittopplysningsvirksomhet. Forbudet gjelder opplysninger om både fysiske og juridiske personer. Med grunnlag i personvernforordningen artikkel 10 vil behandling av opplysninger om straffedommer og lovovertredelser, eller tilknyttede sikkerhetstiltak, om fysiske personer trolig ikke kunne skje som ledd i kredittopplysningsvirksomhet. For å unngå tvil, og også for at behandlingsforbudet skal omfatte slike opplysninger om juridiske personer, er det inntatt en bestemmelse i første ledd som klargjør at det ikke er anledning til å behandle opplysninger om straffedommer og lovovertredelser eller tilknyttede sikkerhetstiltak i kredittopplysningsvirksomhet. Begrepene «straffedommer», «lovovertredelser» og «tilknyttede sikkerhetstiltak» skal forstås på samme måte som de tilsvarende begrepene i personvernforordningen artikkel 10.

Enkelte typer lovovertredelser kan imidlertid ha særlig relevans i kredittvurderingssammenheng. I andre ledd er det derfor gjort et unntak fra hovedregelen i første ledd. Unntaket gjelder opplysninger om overtredelser av bestemmelser om bokføring og dokumentasjon av regnskapsopplysninger, årsregnskap, årsberetning eller regnskapsoppbevaring som er fastsatt i lov eller forskrift i medhold av lov inntatt i straffeloven (2005) §§ 392 til 394. Denne type overtredelser kan ha klar sammenheng med økonomisk uorden, og vil dermed kunne si noe om virksomhetens kredittevne. Fordi det dreier seg om næringsopplysninger, vurderer departementet personverntrusselen som begrenset samtidig som informasjonen vurderes som klart relevant i kredittvurderingssammenheng. Informasjonen om manglende utarbeidelse og innlevering av regnskap og årsberetning vil dessuten fremgå av Regnskapsregisteret i Brønnøysundregistrene, og er dermed en offentlig tilgjengelig opplysning fra myndighetenes side som kredittopplysningsforetakene kan innhente med grunnlag i lovforslagets bestemmelser om lovlige kilder og opplysningstyper.

Til § 9 Kilder

I første ledd er det inntatt en liste over kilder som kredittopplysningsforetakene kan hente opplysninger fra. Dette er både kilder som er åpne og inneholder offentlig tilgjengelig informasjon, og det er kilder som ikke er allment tilgjengelige. I det vesentlige viderefører bestemmelsen kildeangivelsen som finnes i de gjeldende konsesjonene for behandling av opplysninger i kredittopplysningsvirksomhet. Listen inntatt i lovforslaget er likevel noe mindre detaljert. Departementet legger til grunn at detaljering best vil kunne gjøres i forskrift, da dette gir noe større fleksibilitet enn lovregulering.

Bestemmelsen tar sikte på å videreføre de kildene som Datatilsynets konsesjoner har åpnet for å benytte i kredittopplysningsvirksomhet. Departementet legger til grunn at de kildene som ikke er eksplisitt videreført fra gjeldende konsesjonsregulering, faller inn under hovedkategorien «offentlig tilgjengelige kilder». Dette gjelder for eksempel Norsk lysingsblad og Brønnøysundregistrene. Når det gjelder grunndata om juridiske personer, som hittil er hentet fra registre hos SSB, bør disse i fremtiden hentes fra Brønnøysundregistrene. Registrene i Brønnøysund er offentlige registre med god kvalitet, og det er naturlig at all tilgengelig og relevant informasjon om juridiske personer hentes fra disse registrene.

Begrepet «offentlig tilgjengelige kilder» i første ledd nr. 1 er vidt, og kan omfatte flere ulike typer kilder. Det vil blant annet omfatte alle typer medier, og departementet mener det bør være adgang til å hente opplysninger både fra redaktørstyrte medier og medier uten redaktør. Det skal likevel bemerkes at kredittopplysningsforetakene er ansvarlige for å påse at den informasjonen de benytter i sin virksomhet er korrekt, og holder nødvendig kvalitet i forhold til formålet. Bruk av uriktige opplysninger kan føre til at kredittopplysningsforetaket pådrar seg erstatningsansvar for eventuelle feil. Det vil derfor være kredittopplysningsforetakets ansvar å forsikre seg om at den informasjonen som innhentes er korrekt, uavhengig om den hentes fra redaktørstyrte medier eller andre typer medier.

I første ledd nr. 2 videreføres adgangen til å hente opplysninger fra inkassoforetak. Jf. definisjonen av inkassoforetak i lovforslaget § 3 bokstav h omfatter begrepet inkassoforetak også andre som driver inkassovirksomhet i henhold til inkassoloven. Når det vurderes om en kilde lovlig kan benyttes i henhold til lovforslaget § 9 første ledd nr. 2 må det derfor legges avgjørende vekt på om virksomheten drives i henhold til inkassoloven.

Kilder for innhenting av eiendomsinformasjon er regulert i første ledd nr. 3. Opplysninger fra grunnboken har kredittopplysningsforetakene tidligere kunnet hente fra Statens kartverk eller Ambita AS. Nå er det åpnet for at flere kan inngå avtale med Statens kartverk om distribusjon av eiendomsinformasjon. Lovforslaget åpner derfor også for at kredittopplysningsforetakene kan velge å kjøpe eiendomsinformasjon fra en hvilken som helst distributør av eiendomsinformasjon jf. forskrift 18. desember 2013 nr. 1599 om utlevering, viderebruk og annen behandling av opplysninger fra grunnboken og matrikkelen.

Det følger av første ledd nr. 4 og 5 at kredittopplysningsforetakene kan inngå avtaler med Folkeregisteret om kjøp av grunndata og med Skattedirektoratet for kjøp av opplysninger om skattefastsetting.

I nr. 6 er det åpnet for innhenting av gjeldsopplysninger for fysiske personer fra gjeldsinformasjonsforetak. Hvilke opplysninger dette er, fremgår av lov om gjeldsinformasjon ved kredittvurdering av privatpersoner (gjeldsinformasjonsloven, lov 16. juni 2017 nr. 47).

Av nr. 7 fremgår det at det er adgang til å hente opplysninger fra den registrerte selv. Dette kan for eksempel være relevant der den registrerte bidrar med oppdaterte eller korrigerte versjoner av opplysninger, eller ber om å få registrert særskilte opplysninger om seg selv. Registrering og bruk av slike opplysninger forutsetter at opplysningene kan kvalitetssikres på samme måte som all annen informasjon som behandles i virksomheten.

I nr. 8 åpnes det for innhenting av opplysninger fra register over kredittsperrer. Det finnes ikke noe sentralt eller felles sperreregister. Bestemmelsen innebærer derfor at kredittopplysningsforetakene kan hente opplysninger fra sine interne registre over personer som har motsatt seg at kredittopplysninger om dem utleveres. Dersom ett eller flere kredittopplysningsforetak, eller eksterne tilbydere, beslutter å opprette registre over kredittsperrer og tilby tilgang til disse, vil kredittopplysningsforetakene kunne innhente opplysninger om kredittsperre fra slike registre.

I tillegg til kildeangivelsen i lovforslaget, kan det fastsettes nærmere regulering av lovlige kilder i forskrift, jf. § 29. I forskrift vil det for eksempel kunne fastsettes mer detaljerte regler om hva som anses som «offentlig tilgjengelige kilder» dersom erfaring skulle tilsi at det er behov for dette. Samtidig vil regulering i forskrift åpne for å fastsette nærmere regulering av hvilke opplysningstyper som kan innhentes fra hvilke kilder. Dessuten kan det i forskrift fastsettes at også andre kilder enn de som fremgår av lovforslaget kan benyttes i kredittopplysningsvirksomhet. Dette kan være særlig aktuelt dersom det besluttes å åpne for behandling av opplysningstyper som ikke er tilgjengelige fra de kildene som er angitt i lovforslaget.

I andre ledd er det inntatt en spesialbestemmelse som regulerer innhenting av opplysninger om konkurs, akkord og gjeldsforhandlinger. Denne type opplysninger kan få store konsekvenser for den registrerte enten den registrerte er en fysisk eller juridisk person. Det er derfor spesielt viktig for den registrerte at opplysningene er korrekte og oppdaterte. For å sikre at opplysningene er oppdaterte og holder tilfredsstillende kvalitet, følger det av bestemmelsen at slike opplysninger bare kan hentes fra Brønnøysundregistrene og Norsk lysingsblad. Disse kildene vil alltid være oppdaterte.

Til § 10 Inkassoopplysninger

Bestemmelsen om registrering og bruk av inkassoopplysninger om fysiske personer i første ledd innebærer en videreføring av gjeldende rett. Som inkassoopplysning regnes opplysninger fra et inkassoforetak om krav som drives inn i henhold til inkassoloven, og som inkassoforetaket har adgang til å utlevere til bruk i kredittopplysningsvirksomhet jf. inkassoloven § 28 andre ledd. Det følger av bestemmelsen at opplysninger om inkassokrav mot fysiske personer ikke kan brukes i kredittopplysningsvirksomhet før en måned etter at inkassoforetaket har sendt stevning eller begjæring om rettslige skritt i saken. Den registrerte vil ha fått flere purringer og anledninger til å gjøre opp kravet før det tas rettslige skritt for å drive inn gjelden. Når saken er kommet så langt at det tas rettslige skritt, og det så går en måned uten at skyldner gjør opp, fremstår det som rimelig at opplysningen kan legges til grunn ved vurdering av skyldners kredittevne.

Det fremgår videre av første ledd, andre punktum at dersom skyldner har inngått nedbetalingsavtale med inkassoforetaket, og bryter denne avtalen, gjelder ikke bruksbegrensningen i første punktum. Dette betyr at ved brudd på nedbetalingsavtale kan informasjon om inkassosaken brukes i kredittopplysningsvirksomheten så snart bruddet er et faktum. Videre følger det av tredje punktum at dersom betalingsavtalen gjenopptas, kan bruddet ikke registreres og benyttes som en særskilt betalingsanmerkning. Da anses det igjen å foreligge en betalingsavtale som er til hinder for at opplysningen om det midlertidige betalingsmisligholdet benyttes i kredittopplysningsvirksomhet. For å unngå at det oppstår vanskelige dokumentasjons- og bevissituasjoner, presiseres at bestemmelsen kun omfatter nedbetalingsavtaler gjort med inkassoforetaket.

Andre ledd presiserer tidspunktet for når opplysninger om inkassokrav mot juridiske personer kan benyttes i kredittopplysningsvirksomhet. For disse opplysningene gjelder at de ikke kan benyttes i kredittopplysningsvirksomheten før det er gått en måned fra inkassoforetaket sendte krav om inndrivelse av gjelden. Dette betyr at opplysninger om inkassosaken kan benyttes i kredittopplysningsvirksomheten en måned etter at inkassoforetaket har sendt betalingsoppfordring til skyldner. Inkassoopplysninger om juridiske personer kan således benyttes i kredittopplysningsvirksomhet på et tidligere tidspunkt enn tilsvarende opplysninger om fysiske personer.

I tredje ledd fremgår den praktisk viktige bestemmelsen om at flere inkassoopplysninger som knytter seg til samme krav, bare kan registreres som én sak, eller én betalingsanmerkning. Det er viktig både for fysiske og juridiske personer at de ikke stilles i et dårligere lys enn det som er reelt. Dette betyr at dersom det først er registrert en inkassosak, og det så faller rettskraftig dom i sak om det samme kravet, skal dommen registreres som en opplysning om samme krav som det underliggende inkassokravet. Ett krav skal således bare fremkomme som én betalingsanmerkning i kredittopplysningsregisteret.

Til § 11 Omtvistet fordring

Det følger av første ledd at inkassoopplysninger knyttet til fordringer som skyldner bestrider, ikke kan brukes i kredittopplysningsvirksomhet. Disse fordringene omtales som «omtvistede fordringer» i lovforslaget. Skyldner kan bestride fordringen frem til rettskraftig dom i saken foreligger. Det er i utgangspunktet skyldners subjektive forståelse av situasjonen som skal legges til grunn ved vurdering av om fordringen er å anse som omtvistet. Dette innebærer en videreføring av gjeldende rett.

Bestemmelsen stiller ingen formkrav til skyldners påstand om at en fordring er omtvistet. Det kan være praktisk at det fremlegges skriftlig dokumentasjon dersom dette finnes. Imidlertid må også en muntlig innsigelse anses tilfredsstillende.

I samsvar med ansvaret for opplysningskvalitet i lovforslaget § 20 andre ledd, er det den behandlingsansvarlige som er ansvarlig for og må påvise at en fordring ikke er omtvistet dersom den skal brukes i kredittopplysningsvirksomhet. Fordringen skal likevel ikke anses som omtvistet dersom skyldners innsigelser er åpenbart grunnløse. I vurderingen av om en innsigelse er åpenbart grunnløs kan det blant annet legges vekt på om påstanden fra den registrerte er i strid med skriftlig dokumentasjon.

Av bestemmelsens andre ledd fremgår det at en fordring ikke lenger er å anse som omtvistet når det foreligger tvangsgrunnlag etter tvangsfullbyrdelsesloven § 4-1. Tvangsfullbyrdelsesloven § 4-1 dekker både alminnelige og særlige tvangsgrunnlag, og er etter departementets vurdering dekkende for den type avgjørelser som vil kunne avslutte en prosess om hvorvidt en fordring er omtvistet eller ikke.

Det fremgår videre av andre ledd, andre punktum at en rettskraftig avgjørelse som fastslår et omtvistet krav, ikke kan brukes i kredittopplysningsvirksomheten dersom skyldner gjør opp kravet innen den betalingsfrist domstolen har fastsatt. Det skal være anledning til å bestride et krav, uten at dette skal få negative konsekvenser for vurderingen av den registrertes kredittevne. Forutsatt at kravet gjøres opp i henhold til den rettskraftige avgjørelsen, skal saken derfor ikke registreres og brukes i kredittvurderingen.

Til § 12 Kredittrating eller kredittscore av juridiske personer

Første ledd inneholder bestemmelsens hovedregel om at kredittrating eller kredittscore av juridiske personer bare kan bygge på opplysninger som gjelder den juridiske personen. Både kredittrating og kredittscore av juridiske personer gir et overordnet bilde av kredittverdighet, og er en skjematisk angivelse av kredittevnen uttrykt i en tall- eller bokstavkode. Departementet mener kredittrating og kredittscore av juridiske personer bør baseres på opplysninger om den juridiske personens økonomiske situasjon forutsatt at slike opplysninger er tilgjengelige.

For nystartede foretak vil det ta noe tid før det foreligger offentlig tilgjengelige regnskapstall som kan inngå som grunnlag ved beregning av kredittrating eller kredittscore. Manglende tilgang til opplysninger kan føre til at det ikke gis kreditt. For å unngå at nyetablerte foretak kommer i en vanskelig økonomisk situasjon frem til regnskapstall er tilgjengelige, åpner andre ledd for at kredittrating og kredittscore av juridiske personer i en perioden kan bygge på opplysninger om personer i ledende stillinger hos den juridiske personer. Dette betyr at for eksempel opplysninger om daglig leder, økonomiansvarlig eller styreleder kan legges til grunn ved beregning av kredittrating eller kredittscore for nyetablerte virksomheter. Dette betyr samtidig at så snart virksomheten har levert regnskap, og dette er tilgjengelig i Brønnøysundregistrene, er det denne informasjonen, sammen med eventuelle betalingsanmerkninger og andre opplysninger knyttet til selve næringsvirksomheten, som skal danne grunnlag for beregning av rating. Fra det tidspunktet regnskapstall er tilgjengelig, skal opplysninger om personer i ledende stillinger ikke lenger benyttes som grunnlag for kredittvurdering av den juridiske personen. Det er den behandlingsansvarlige for kredittopplysningsvirksomheten som må kunne påvise at opplysninger om personer i utvalgte ledende stillinger er relevante for kredittvurderingen.

Til § 13 Opplysninger om tidligere forespørsler

Bestemmelsen i § 13 er videreføring av gjeldende rett, og fastslår at opplysninger om tidligere forespørsler etter kredittopplysninger ikke kan brukes som grunnlag for kredittvurdering. Slik informasjon gir ingen sikre opplysninger om den registrertes kredittevne, men er bare en opplysning om at den registrerte har blitt kredittvurdert. Informasjon om at det har vært foretatt en forespørsel etter kredittopplysninger sier ikke noe om hvorvidt den registrerte har fått, og eventuelt akseptert, et kredittilbud. Informasjonen sier heller ikke noe om den eventuelle kredittens størrelse. Slik informasjon om hvor aktiv en registrert er i kredittmarkedet, bør ikke få konsekvenser for vurdering av vedkommendes kredittevne. Kredittvurderingen bør legge vekt på faktisk innvilget kreditt fremfor forespørsler om kredittopplysninger om vedkommende.

Til § 14 Utlevering av kredittopplysninger

Det følger av første ledd at kredittopplysninger bare kan utleveres til mottakere som har saklig behov for opplysningen. Bestemmelsen er en videreføring av gjeldende rett, og gjelder både ved utlevering av opplysninger om fysiske og juridiske personer. Vurdering av om det foreligger saklig behov skal knyttes til lovens saklige virkeområde i § 1 jf. § 3 bokstav d, det vil si vurdering av den registrertes kredittevne.

Saklig behov for kredittopplysninger vil for det første foreligge i situasjoner der det skal ytes kreditt, eller der mottaker av opplysningene på annen måte vurderer å påta seg en økonomisk risiko ved å inngå avtale med den registrerte. Departementet viser her til Personvernnemndas uttalelse i PVN-2006-03 der nemnda uttalte at det «ikke alltid [vil] være tilstrekkelig at det foreligger et kredittelement dersom den forretningsmessige risiko er lav og motsatt vil det ikke alltid være nødvendig med et kredittelement dersom den forretningsmessige risiko er høy». Denne uttalelsen legger på en god måte til rette for konkrete vurderinger av det saklige behovet for kredittopplysninger i den enkelte situasjon. Det er i regelverket ikke satt noen nedre beløpsgrense for når det kan foreligge saklig behov, og heller ikke satt noen begrensninger i type tjenester kreditten kan knyttes til. Det vil derfor være opp til kreditor og kredittopplysningsforetaket å vurdere om den risikoen kreditor påtar seg er av en slik art at den tilsier behov for kredittvurdering.

Gode kredittvurderinger kan ha stor betydning både for kreditor og skyldner. For kreditor er det av stor viktighet at skyldner kan betjene de økonomiske forpliktelsene vedkommende påtar seg, slik at kreditor unngår tap. For skyldner kan det også ha betydning at kreditor foretar en god kredittvurdering, og eventuelt fraråder eller nekter skyldner en kreditt vedkommende trolig ikke vil kunne betjene. Bestemmelsen skal legge til rette for at potensielle kreditorer har tilgang til nødvendig og riktig informasjon som grunnlag for sine kredittvurderinger.

Samtidig skal bestemmelsen bidra til å forhindre unødig spredning av opplysninger de fleste registrerte opplever som beskyttelsesverdige. Krav om saklig behov vil derfor bidra til å hindre snoking i økonomiske opplysninger.

Lovforslagets bestemmelse om saklig virkeområde sammenholdt med definisjonen av kredittopplysningsvirksomhet i lovforslaget § 3 bokstav d legger til grunn at kredittopplysningsvirksomhet har som formål å belyse de registrertes kredittevne. Begrepet kredittevne skal forstås slik at det omfatter både det som etter gjeldende rett omtales som betalingsevne og -vilje, og innholdet i begrepet økonomisk vederheftighet. I lys av dette, vil derfor saklig behov for kredittopplysninger også kunne foreligge i situasjoner ut over rene kredittsituasjoner. Bestemmelsens ordlyd åpner således for at det er adgang til å utlevere kredittopplysninger til mottakere som skal benytte opplysningene i en vurdering av den registrertes økonomiske situasjon, og denne vurderingen har nær og naturlig sammenheng med en aktivitet mottaker driver. Dette kan for eksempel være i forbindelse med ansettelse i stillinger der økonomisk orden er av stor betydning, herunder i stillinger der den registrerte vil få et betydelig økonomisk ansvar. Om ansvaret er så omfattende at det er saklig behov for å foreta kredittvurdering, må også her vurderes konkret. I en slik vurdering kan det blant annet legges vekt på stillingens art, hvor betydelig den økonomiske risikoen er og konsekvenser av ev. misligheter eller tap. Utlevering av kredittopplysninger kan også være aktuelt ved utleie av fast eiendom fordi den økonomiske risikoen for utleier kan være betydelig, jf. praksis fra Personvernnemnda (blant annet PVN-2017-12).

Også offentlige organer som tildeler tilskudd, eller i andre sammenhenger har behov for å forsikre seg om at en registrert har ordnet økonomi, vil kunne ha saklig behov for å vurdere kredittevne. For eksempel kan det være relevant å vurdere økonomien i en organisasjon, eller til sentrale personer i en organisasjon eller virksomhet, før det utbetales offentlige tilskudd. Tildeling av slike midler innebærer bruk av fellesskapets ressurser, og det er rimelig at det offentlige, så godt det lar seg gjøre, kan forsikre seg om at de som tildeles midler forvalter dem på en god måte. Bruk av kredittopplysninger i slike sammenhenger tilfredsstiller derfor kravet om at mottaker skal ha saklig behov for kredittopplysningene.

Samtidig åpner bestemmelsen ikke for utlevering av kredittopplysninger i situasjoner der mottaker av opplysningene ikke har saklig grunn til å foreta en økonomisk vurdering av den registrerte. Selv om en spørrer generelt kan ha saklig behov for kredittopplysninger, kan det likevel oppstå situasjoner der det ikke foreligger saklig behov. En slik situasjon er omtalt i Personvernnemndas vedtak PVN-2017-02, der en verkstedeier ikke ble ansett for å ha saklig behov for kredittopplysninger om en slektning når det verken forelå en reell kredittvurderingssituasjon eller andre forhold som innebar behov for kredittopplysninger. Hvorvidt det foreligger saklig behov for kredittopplysninger vil derfor måtte bero på en konkrete vurdering i den enkelte situasjonen. Det er kredittopplysningsforetaket som er ansvarlig for at det ikke utleveres kredittopplysninger i strid med kravet om saklig behov. Foretaket må derfor iverksette slike tiltak det mener er nødvendig for å kunne ivareta dette ansvaret. Blant annet vil det kunne være aktuelt å begrense adgangen til å foreta direkte oppslag i kredittopplysningsregisteret for spørrere som misbruker slik tilgang.

I andre ledd slås det fast at kredittopplysninger bare kan utleveres på grunnlag av søkekriterier som gir unike treff. Dette skal forhindre sammenblanding av registrerte, og utlevering av opplysninger om feil registrert. Unike treff kan best oppnås ved bruk av fullt fødselsnummer for fysiske personer eller organisasjonsnummer for juridiske personer. Slike unike identifikasjonsnumre skal derfor fortrinnsvis benyttes ved søk i kredittopplysningsregistre. Men også kombinasjon av andre søkekriterier, for eksempel navn og adresse, kan gis unike treff. Der kombinasjon av flere søkekriterier gir unike treff, kan slike benyttes. Dette betyr samtidig at det ikke er anledning til å utlevere lister med kredittopplysninger for eksempel på bakgrunn av rene navnesøk. Bestemmelsen innebærer en videreføring av gjeldende rett.

Det følger videre av tredje ledd at kredittopplysninger skal utleveres skriftlig. Det har tidligere også vært anledning til å utlevere kredittopplysninger muntlig. Av hensyn til opplysningskvalitet og etterprøvbarhet er muntlig utlevering av kredittopplysninger ikke en god løsning. Bestemmelsen slår derfor fast at all utlevering av kredittopplysninger skal foregå skriftlig. All elektronisk utlevering vil tilfredsstille skriftlighetskravet. Det samme vil en papirutskrift av de etterspurte opplysningene.

I tredje ledd, andre punktum slås det fast at privatpersoner ikke skal gis tilgang til direkte søk i kredittopplysningsregistre. Privatpersoner skal her ikke forstås på samme måte som regelverkets begrep «fysisk person». Begrepet fysisk person vil også omfatte enkeltpersonforetak i kredittopplysningssammenheng. Enkeltpersonforetak kan likevel ha behov for elektronisk tilgang til direkte søk i kredittopplysninger. Bestemmelsen er imidlertid bare ment å innskrenke privatpersoners adgang til å foreta direkte søk i kredittopplysningsforetakenes registre. Begrensningen er satt som følge av at fysiske personer i egenskap av å opptre som privatpersoner bare helt unntaksvis vil ha saklig behov for kredittopplysninger, for eksempel i forbindelse med utleie av bolig. Det er viktig å legge til rette for god kontroll med spørrers saklige behov for opplysninger, og å forhindre misbruk av kredittopplysninger. Departementet mener derfor at privatpersoner i situasjoner der de har saklig behov for kredittopplysninger, kan henvende seg til kredittopplysningsforetaket på annen måte enn ved direkte søk i kredittopplysningsregisteret.

Avgrensningen innebærer samtidig at alle andre enn fysiske personer i egenskap av å være privatperson, kan gis adgang til å etablere elektronisk tilgang til å foreta direkte søk i kredittopplysninger. Forutsetningen er at de kan påvise et saklig behov for kredittopplysninger. Adgangen til å foreta direkte søk i kredittopplysninger vil således være åpen for alle typer foretak og organisasjoner, både de som er juridiske personer og de som ikke er det, og for offentlige organer med saklig behov.

Fjerde ledd åpner for utlevering av kredittopplysninger i form av kredittrating eller kredittscore, og innebærer en videreføring av gjeldende rett. Både kredittrating og kredittscore bygger på en statistisk modell der informasjon om den registrerte sammenliknes med opplysninger om andre med tilsvarende kjennetegn. Slike modeller kan benyttes både for fysiske og juridiske personer. Bestemmelsen tillater slik statistisk beregning av kredittevne og utlevering av opplysningen som er resultatet av beregningen. Beregning av kredittrating eller kredittscore er en form for profilering av den registrerte. Slik profilering er definert i personvernforordningen artikkel 4 nr. 4. For så vidt gjelder modeller for beregning av kredittscore for fysiske personer, må disse, på samme måte som all behandling av personopplysninger, tilfredsstille de alminnelige kravene i personvernforordningen. Dette gjelder blant annet kravene til åpenhet og rettferdighet, noe som omtales nærmere i merknadene til § 18 om gjenpartsplikt.

Femte ledd åpner for kredittovervåking av juridiske personer. I henhold til denne bestemmelsen er det mulig å inngå avtaler om at mottaker skal få tilgang til opplysninger kredittopplysningsforetaket fremover blir kjent med. På denne måten åpnes det for løpende overvåking av kredittkunder som er juridiske personer. Bestemmelsen innebærer en videreføring av gjeldende rett. Tilsvarende kredittovervåking av fysiske personer er ikke tillatt.

Sjette ledd inneholder to unntak fra hovedregelen om at kredittopplysninger bare kan utleveres til mottakere som har saklig behov for opplysningene i samsvar med bestemmelsens første ledd. I sjette ledd bokstav a er det presisert at kravet om saklig behov for kredittopplysninger, ikke er til hinder for at opplysninger utleveres for bruk til journalistiske formål. Begrepet «journalistiske formål» skal forstås på samme måte som tilsvarende begrep i personopplysningsloven § 3 for så vidt gjelder utlevering av opplysninger om både juridiske og fysiske personer. Det vises til merknadene til personopplysningsloven § 3 i Prop. 56 LS (2017–2018). Det er viktig at pressen har tilgang til informasjon i sitt arbeid, og dette gjelder også kredittopplysninger. Det er ikke ønskelig å hindre pressens tilgang til kredittopplysninger for bruk til journalistiske formål. Samtidig påpeker departementet at kredittopplysningsforetakenes virksomhet ikke er ment å åpne tilgang for pressen til taushetsbelagte personopplysninger. Heller ikke etter gjeldende rett har pressen fri tilgang til taushetsbelagte personopplysninger fra kredittopplysningsforetakene for bruk i journalistisk virksomhet. For så vidt gjelder kredittopplysninger om fysiske personer, er det presisert at unntaket fra kravet om «saklig behov» derfor bare gjelder for utlevering av personopplysninger som pressen også kunne hentet fra en kilde som er offentlig tilgjengelig, men som pressen av praktiske årsaker ønsker å hente fra et kredittopplysningsforetak. Dette kan for eksempel være opplysninger om heftelser i fast eiendom og løsøre som er tilgjengelig fra Brønnøysundregistrene. Opplysninger om fysiske personers betalingsanmerkninger kan, med grunnlag i bestemmelsen, ikke utleveres til bruk i journalistisk virksomhet. Tilsvarende begrensning gjelder ikke for pressens tilgang til opplysninger om juridiske personer.

I sjette ledd bokstav b åpnes det for at kredittopplysninger, på begjæring, kan utleveres til Statistisk sentralbyrå, Norges Bank og Finanstilsynet for analyse-, overvåkings- og statistikkformål. Mottakerne kan bruke opplysningene utelukkende til de nevnte formålene. Dette innebærer at opplysningene i identifiserbar form kun er ment for intern bruk. Statistisk sentralbyrå, Norges Bank og Finanstilsynet har følgelig ikke anledning til å videreformidle kredittopplysningene i identifiserbar form til tredjeparter. Dette er likevel ikke til hinder for at kredittopplysninger som Norges Bank eller Finanstilsynet har innhentet, kan utveksles mellom Norges Bank og Finanstilsynet.

At kredittopplysningene er ment for intern bruk, er ikke til hinder for at det utarbeides og utleveres statistikk eller opplysninger som på annen måte er sammenstilt og aggregert slik at verken fysiske eller juridiske personer kan identifiseres. Statistisk sentralbyrå, Norges Bank og Finanstilsynet må behandle opplysningene i samsvar med kravene i personopplysningsloven, særlig § 8 og personvernforordningen, særlig artikkel 89. Blant annet skal opplysningene være omfattet av nødvendige garantier i samsvar med forordningen for å ivareta den registrertes rettigheter og friheter. For ordens skyld understrekes at begrensningen i adgang til å utlevere identifiserbare opplysninger til utenforstående ikke er til hinder for at Statistisk sentralbyrå, Norges Bank eller Finanstilsynet benytter ekstern databehandler som ledd i behandling av opplysningene. Utlevering av opplysninger til Statistisk sentralbyrå, Norges Bank og Finanstilsynet skal skje vederlagsfritt for mottakerne. Bestemmelsen i bokstav b er ny, og er ment å legge til rette for god informasjonstilgang i myndighetens arbeid med analyser og overvåking av utviklingen i kredittmarkedet.

Til § 15 Utlevering av gjeldsopplysninger

Bestemmelsen viser til gjeldsinformasjonsloven § 13, og angir at gjeldsopplysninger bare kan utleveres i samsvar med denne bestemmelsen. Med grunnlag i gjeldsinformasjonsloven § 13 gjelder det begrensinger både med hensyn til hvem gjeldsopplysninger kan utleveres til og i hvilken form de kan utleveres fra kredittopplysningsforetaket. Det vises ellers til merknadene til gjeldsinformasjonsloven § 13 i Prop. 87 L (2016–2017).

Bestemmelsen har utelukkende pedagogisk verdi.

Til § 16 Adgang til å motsette seg utlevering av kredittopplysninger (kredittsperre)

Etter første ledd skal den registrerte ha adgang til å motsette seg at opplysninger om vedkommende utleveres i kredittopplysningsvirksomhet (kredittsperre). Bestemmelsen tilsvarer det som i gjeldende rett er omtalt som «sperre mot kredittvurdering», og innebærer en videreføring av gjeldende rett. Retten til å registrere kredittsperre gjelder for både fysiske og juridiske personer, selv om retten trolig vil være mest praktisk for fysiske personer. For juridiske personer vil kredittsperre kunne skape enkelte utfordringer i samhandlingen med andre juridiske personer. Dette er imidlertid en risiko den registrerte selv må vurdere. Regelverket kan derfor praktiseres likt uavhengig av hvem den registrerte er.

Det følger av andre punktum at konsekvensen av å registrere en kredittsperre, er at det ikke vil bli utlevert opplysninger om vedkommende i kredittopplysningsvirksomheten. Ved forespørsel om kredittopplysninger om den registrerte, har kredittopplysningsforetaket kun adgang til å bekrefte at det er registrert en kredittsperre. De underliggende opplysningene vil være registrert, men kan ikke utleveres. Det kan heller ikke utarbeides og utleveres kredittrating eller kredittscore om registrerte som har registrert kredittsperre.

Av andre ledd fremgår det at registrert kredittsperre ikke er til hinder for at kredittopplysninger utleveres til banker, kreditt- eller finansieringsforetak for bruk i deres lovpålagte risikovurderinger, og til inkassoforetak. Banker, kreditt- og finansieringsforetak skal forstås på samme måte som i finansforetaksloven § 1-3 (1) bokstav a til c. Bestemmelsen innebærer for det første at de registrerte ikke kan hindre lovbestemt risikovurdering ved å registrere en frivillig kredittsperre. En slik ordning ville undergrave de lovpålagte pliktene til å foreta gode risikovurderinger, og vil kunne skape utfordringer i kredittmarkedet. For det andre kan en ordning med frivillig sperre ikke benyttes for å hindre inkassoforetak i å få tilgang til informasjon som er nødvendig i deres arbeid med inndriving av forfalt gjeld. Disse to gruppene mottakere har således et behov for kredittopplysninger som skiller seg fra alminnelige kredittytere, og det er etter departementets vurdering ikke naturlig at den registrerte selv skal kunne forhindre at de får tilgang til kredittopplysninger. Utlevering etter denne bestemmelsen kan bare skje for bruk til de formålene bestemmelsen omfatter, nemlig lovpålagt risikovurdering og inkassovirksomhet.

Tredje ledd pålegger den som ønsker å registrere eller oppheve en kredittsperre å legitimere seg med elektronisk ID. I dag har de aller fleste personer over 18 år en eller annen form for elektronisk ID. Kravet om autentisering ved bruk av elektronisk ID antas dermed ikke å utgjøre noe praktisk hinder for registrering av kredittsperre. Praksis er allerede i dag at de fleste kredittopplysningsforetakene benytter løsninger som krever innlogging med BankID for registrering av kredittsperre. Departementet tar ikke stilling til hvilken type elektronisk ID som skal benyttes ved registrering og oppheving av kredittsperre. Ulike typer elektronisk ID kan gi ulik grad av sikkerhet i løsningen. Det må være opp til kredittopplysningsforetakene selv å vurdere hvilken sikkerhet som er nødvendig, og dermed hvilken ID-løsning de vil benytte. For å ivareta nødvendig opplysningskvalitet, legger bestemmelsen opp til at det skal benyttes samme innloggingsløsning både for registrering og oppheving av kredittsperren.

Til § 17 Innsynsrett og informasjon til den registrerte

Bestemmelsen regulerer registrerte fysiske personers rett til informasjon og innsyn i enkelte særlige situasjoner, og registrerte juridiske personers rett til innsyn og informasjon generelt. Det følger av lovforslaget § 4 at personvernregelverkets alminnelige regler om innsyn og informasjon gjelder for registrerte fysiske personer. For en nærmere redegjørelse for disse bestemmelsene vises det til personvernforordningen, personopplysningsloven og Prop. 56 LS (2017–2018). Fordi personvernforordningens bestemmelser om behandling av opplysninger også omfatter alle registrerte enkeltpersonforetak, vil innsynsrett i samsvar med bestemmelsene i forordningen artikkel 12 til 15 også gjelde alle enkeltpersonforetak.

I § 17 første ledd presiseres det særskilt at registrerte fysiske personer har rett til å få informasjon om logikken bak en kredittscore og hvilken betydning kredittscoren kan ha for vurdering av vedkommendes kredittevne. Bestemmelsen i § 17 første ledd går noe lenger enn plikten til å gi informasjon etter forordningen artikkel 15 nr. 1 bokstav h, ved at plikten i § 17 første ledd gjelder for den behandlingsansvarlige for kredittopplysningsvirksomheten. Dette er ofte ikke den samme som den som fatter den automatiserte avgjørelsen om å innvilge eller avslå kreditt, og som har informasjonsplikt etter bestemmelsen i personvernforordningen. For å unngå tvil om kredittopplysningsvirksomhetens plikt til å gi innsyn i samsvar med personvernforordningen art. 15 nr. 1 bokstav h, er plikten presisert i § 17 første ledd i lovforslaget. Informasjonen som gis skal tilfredsstille kravene i personvernforordningen artikkel 15 nr. 1 bokstav h. Forståelsen av personvernforordningen artikkel 15 nr. 1 bokstav h, herunder om detaljeringsnivå på den informasjonen som skal gis, skal legges til grunn for utarbeidelse av informasjon om beregning av kredittscore. Informasjon om scoremodellen sammen med informasjon om hvilke opplysninger om den registrerte som er lagt inn i modellen, skal sette den registrerte i stand til å forstå grunnlaget for beregning av kredittscoren. Retten til informasjon om scoremodellen etter § 17 første ledd favner noe videre enn den plikten kredittopplysningsforetaket har til å gi informasjon om logikken bak kredittscoren i gjenpartsbrevet etter § 18 andre ledd nr. 6.

Reglene i personvernforordningen om innsyn og informasjon gjelder ikke for juridiske personer med mindre dette er eksplisitt fastsatt. Juridiske personer har ikke det samme behovet for innsyn og informasjon som fysiske personer. Samtidig kan det være av interesse også for juridiske personer å kunne skaffe seg informasjon om hvilke kredittopplysninger som utleveres om dem og som gir grunnlag for forretningsvilkårene de blir tilbudt. For at også juridiske personer skal kunne skaffe seg informasjonen om behandling av kredittopplysninger om dem, legger andre ledd opp til at de, på begjæring, skal ha rett til å få utlevert den informasjonen som fremgår av bestemmelsen om innsynsrett i personvernforordningen artikkel 15.

I tredje ledd fremgår en særbestemmelse om innsynsrett for både fysiske og juridiske personer. Bestemmelsen er en videreføring av gjeldende rett, og innebærer at de registrerte kan kreve å få vite hvilke opplysninger om dem som er utlevert de siste seks månedene, hvem opplysningene er utlevert til, og hvilke kilder opplysningene er hentet fra. Fysiske personer har rett til å motta gjenpart når det utleveres kredittopplysninger om dem. På denne måten får de god informasjon om utlevering av kredittopplysninger. Bestemmelsen i § 17tredje ledd vil derfor ha størst betydning for juridiske personer som ikke mottar gjenpart.

Bestemmelsen i tredje ledd åpner for at alle registrerte skal kunne henvende seg til kredittopplysningsvirksomheten og be om kopi av de opplysningene som er utlevert om dem de siste seks månedene, og hvilke kilder opplysningene er hentet fra. I tillegg skal det gis informasjon om hvem opplysningene er utlevert til. Denne informasjonen skal være så detaljert at den registrerte har mulighet til å vurdere om mottaker av opplysningene hadde saklig behov for dem. Dette betyr at i store konsern vil det ikke være tilfredsstillende å oppgi konsernets hovedkontor. Den enheten som har innhentet kredittopplysninger må spesifiseres, for eksempel ned til filial eller avdeling dersom dette er nødvendig og relevant.

Innsynsretten etter tredje ledd skiller seg fra den generelle innsynsretten etter personvernforordningen artikkel 15, ved at den gir rett til informasjon om hvilke opplysninger som er utlevert i en gitt periode bakover i tid (seks måneder). Dette kan være viktig informasjon for både fysiske og juridiske personer, og denne retten er derfor eksplisitt fastsatt i lovforslaget § 17 tredje ledd, som et supplement til den generelle innsynsretten i personvernforordningen artikkel 15 og lovforslaget § 17 andre ledd.

Det følger av bestemmelsens fjerde ledd at informasjon og innsyn skal gis uten kostnad for den registrerte. Dette er, for registrerte fysiske personer, i samsvar med reglene i personvernforordningen. For juridiske personer innebærer fjerde ledd en lovfesting av denne retten. Kredittopplysningsforetakene har som forretningsidé å tjene penger på salg av opplysninger. Informasjonssymmetri tilsier at de som berøres av denne virksomheten kostnadsfritt skal kunne få informasjon om hvilke opplysninger kredittopplysningsforetaket behandler om dem for formålet. Også juridiske personer skal derfor kunne benytte innsynsretten kostnadsfritt. Samtidig følger det av andre punktum at unntaket i personvernforordningen artikkel 12 nr. 5 skal gjelde. Dette unntaket innebærer at kredittopplysningsforetaket likevel kan ta et rimelig gebyr for å dekke administrative kostnader, eller nekte å etterkomme anmodningen, dersom begjæringer om innsyn og informasjon er åpenbart grunnløse eller overdrevne. Dette vil blant annet være tilfellet dersom de gjentas ofte. Bestemmelsen viser til personvernforordningen artikkel 12 nr. 5. Tolkningsuttalelser og praksis knyttet til denne bestemmelsen vil derfor måtte legges til grunn når kredittopplysningsforetakene anvender dette unntaket. Samtidig vil grensen for hva som er åpenbart grunnløse innsynsanmodninger kunne være ulik for fysiske og juridiske personer. Derfor vil blant annet den registrertes behov for informasjon måtte vurderes konkret dersom det oppstår spørsmål om innsynsanmodninger faller inn under unntaket i personvernforordningen artikkel 12 nr. 5.

Til § 18 Gjenpartsplikt

Det følger av første ledd at når kredittopplysningsforetaket utleverer en kredittopplysning skal det samtidig sende kopi, gjenpart eller annen type melding om innholdet til den registrerte. Dette omtales som gjenpartsplikt. Gjenpartsplikten gjelder kun ved utlevering av kredittopplysninger om fysiske personer. Plikten til å sende gjenpart innebærer at den registrerte skal motta samme informasjon som er utlevert til den som har bestilt kredittopplysninger. Dette er sentralt for at den registrerte skal vite hvilken informasjon som distribueres om vedkommende. Samtidig gir det et incitament til å kontakte kredittopplysningsforetaket om eventuelle feil eller mangler i de registrerte opplysningene. Gjenpartsbrevets øvrige innhold er presisert i andre ledd.

Gjenpartsplikten kan oppfylles både ved utsendelse av papirbrev i alminnelig post, eller ved utsendelse av elektronisk varsel. Ved bruk av elektroniske løsninger må kredittopplysningsforetaket påse at informasjonen sendes til rette vedkommende, og at gjenparten faktisk mottas av den registrerte.

Det følger videre av første ledd at gjenpart skal sendes vederlagsfritt til den registrerte. Dette betyr at det ikke kan være forbundet med noen form for kostnader for den registrerte å motta gjenpart. Bestemmelsen er en videreføring av gjeldende rett, men omfatter nå noen flere registrerte som følge av at alle enkeltpersonforetak er å anse som fysiske personer i kredittopplysningssammenheng.

Av andre ledd fremgår hvilken informasjon som skal finnes i gjenpartsbrevet i tillegg til kopi av de utleverte opplysningene. Det følger av andre ledd nr. 1 at identiteten og kontaktinformasjon til den behandlingsansvarlige og eventuelle representanter vedkommende benytter skal fremgå. Det vil være kredittopplysningsforetaket som er den behandlingsansvarlige. En representant kan for eksempel være en som har avtale med kredittopplysningsvirksomheten om å distribuere opplysninger på vegne av den behandlingsansvarlige, en slags forhandler. Navn og kontaktinformasjon både for den behandlingsansvarlig og eventuelle representanter skal fremgå tydelig av gjenpartsbrevet.

I samsvar med nr. 2 skal navn og kontaktinformasjon til kredittopplysningsforetakets personvernombud fremgå av gjenpartsbrevet. Dette gjelder kun i de tilfeller det er oppnevnt personvernombud. Hvorvidt det skal oppnevnes ombud må vurderes ut fra bestemmelsene i personvernforordningen artikkel 37. Kontaktinformasjon til personvernombudet er praktisk informasjon for den registrerte, fordi det gjerne vil være personvernombudet vedkommende henvender seg til om eventuelle feil, mangler eller spørsmål.

Gjenpartsbrevet skal, i henhold til nr. 3, også inneholde kildene opplysningene er hentet fra. Kildeangivelsen skal være så presis at den er mulig for den registrerte å etterprøve.

I nr. 4 fremgår det at gjenparten skal inneholde informasjon om hvem som har bestilt kredittopplysningen, det vil si hvem den er utlevert til. Dette er viktig informasjon for at den registrerte skal ha kontroll med flyt av opplysninger om seg selv. Samtidig er det grunnleggende informasjon for kontroll av om bestilleren har saklig behov for opplysningen. Bestillers identitet skal derfor angis så presis at det er mulig for den registrerte å kontrollere om bestilleren har saklig behov for opplysningene. Dersom bestilleren er et stort konsern, vil det være relevant å oppgi avdeling eller filial i gjenpartsbrevet. Kredittopplysningsforetaket må uansett lagre opplysninger om konkret hvilken bruker/terminal forespørselen er kommet fra, slik at dette kan kontrolleres på eventuell begjæring fra den registrerte.

Etter nr. 5 har den registrerte rett til å få kopi av de opplysningene som ligger til grunn for beregning av kredittscore, dersom slik kredittscore er utlevert.

Etter nr. 6 skal den registrerte dessuten få en forklaring på den underliggende logikken i beregningen av kredittscore/scoremodellen. Denne forklaringen skal være på et overordnet nivå, og sette den registrerte i stand til å forstå hovedprinsippene i scoreberegningen.

Sist, men ikke minst, skal gjenparten angi dato for når kredittvurderingen ble foretatt. Dette vil i de fleste tilfeller være samme tidspunkt som opplysningen ble utlevert. Plikten til å angi dato for kredittvurderingen fremgår av andre ledd nr. 7.

Det følger av tredje ledd at gjenpartsplikten er noe begrenset ved utlevering av kredittopplysninger til inkassoforetak. Inkassoforetak etterspør jevnlig opplysninger til bruk i vurdering av løpende inkassosaker. Det vil ikke være relevant for den registrerte å motta gjenpart hver gang inkassoforetaket kvalitetssikrer sine opplysninger. Det følger derfor av bestemmelsen at gjenpartsplikt ikke gjelder når kredittopplysninger utleveres til et inkassoforetak som tidligere har fått utlevert de samme opplysningene. Gjenpartsplikt ved utlevering av kredittopplysninger til inkassoforetak gjelder derfor bare første gang kredittopplysninger knyttet til inndrivelsen av en fordring utleveres. Deretter skal det sendes gjenpart bare når det utleveres nye eller endrede opplysninger om den registrerte for bruk i inkassoforetakets inndrivingsprosess. Nye eller endrede opplysninger kan for eksempel være opplysninger om at det har vært utvikling i en sak, og at skyldig beløp er endret. Det kan også være opplysninger om endret status i sak om åpning av gjeldsforhandlinger. Når slike endringer utleveres til inkassoforetak, skal det sendes gjenpart til den registrerte. Dersom inkassoforetak kun får bekreftet allerede innhentede kredittopplysninger til bruk i den samme inndrivelsesprosessen, er det derimot ikke nødvendig å sende gjenpart til den registrerte.

Til slutt følger det av fjerde ledd at det ikke gjelder gjenpartsplikt når kredittopplysninger utleveres til banker, kreditt- og finansieringsforetak til bruk i deres risiko- og soliditetsvurderinger. Banker, kreditt- og finansieringsforetak skal forstås på samme måte som i finansforetaksloven § 1-3 (1) bokstav a til c. Risiko- og soliditetsvurderinger er vurderinger der den enkelte registrerte ikke nødvendigvis er gjenstand for oppmerksomhet, men der opplysninger om den enkelte inngår i en større sammenheng og vurdering av institusjonens portefølje eller deler av den. I disse situasjonene vil opplysningene ikke bli brukt direkte overfor den enkelte registrerte, og gjenpartsbrev vil kunne virke mer forvirrende enn oppklarende. Unntak fra gjenpartsplikt for banker, kreditt- og finansieringsforetak gjelder utelukkende når opplysningene skal benyttes i arbeidet med risiko- og soliditetsvurderinger etter gjeldende regelverk. Når de samme institusjonene innhenter kredittopplysninger til andre formål, gjelder gjenpartsplikt jf. første og andre ledd.

De registrertes rett til innsyn og informasjon jf. § 17 gjelder ubegrenset også ved utlevering av opplysninger til bruk i risiko- og soliditetsvurderinger. De registrerte vil med grunnlag i § 17 tredje ledd kunne be om å få opplyst hvilke opplysninger som er utlevert om dem til banker og finansinstitusjoner de siste seks måneder, og på den måten skaffe seg tilgang til informasjon som ikke er omfattet av gjenpartsplikten.

Til § 19 Forhåndsvarsel til fysiske personer

Bestemmelsen om kredittopplysningsforetakets plikt til å sende forhåndsvarsel til en registrert fysisk person er en videreføring av gjeldende rett. Bestemmelsen får imidlertid et noe større nedslagsfelt ved at alle enkeltpersonforetak vil være å anse som fysiske personer etter regelverket.

Når den behandlingsansvarlige registrer nye kredittopplysninger om en fysisk person følger det av første ledd at det samtidig skal sendes kopi av opplysningene til den registrerte. Forutsetningen er at de nye opplysningene har betydning for vurdering av kredittevnen jf. lovforslaget § 3 første ledd bokstav b. Det er imidlertid vanskelig å tenke seg at det i kredittopplysningsvirksomhet vil bli registrert opplysninger som ikke har betydning for vurdering av kredittevnen. Dette kan eventuelt være navneendringer. Ut over dette må det antas at de opplysningene som registreres i kredittopplysningsregistre vil ha relevans for vurdering av den registrertes kredittevne.

I første ledd andre punktum fremgår hvilken informasjon forhåndsvarselet skal inneholde. For det første skal varselet inneholde de registrerte opplysningene. Dernest skal forhåndsvarselet inneholde den informasjonen som fremgår at personvernforordningen artikkel 14 om informasjon som skal gis til den registrerte når opplysninger ikke innhentes fra ham eller henne. Dette vil sikre den registrerte god informasjon om behandling av opplysninger om vedkommende i kredittopplysningsvirksomhet. Rekkevidden av bestemmelsen vil være den samme som for personvernforordningen artikkel 14, og det vises til praksis og tolkningsuttalelser knyttet til denne bestemmelsen.

Forhåndsvarsel skal sendes kostnadsfritt til den registrerte. Dette fremgår ikke eksplisitt av bestemmelsen. Dette må likevel legges til grunn, da plikten til å sende forhåndsvarsel er en lovpålagt plikt, og således ikke er noe den behandlingsansvarlige kan kreve at den registrerte dekker. Plikten til å sende forhåndsvarsel kostnadsfritt for den registrerte er en videreføring av gjeldende rett. Dersom det er praktisk mulig å gjennomføre, og kredittopplysningsforetaket kan forsikre seg om at varselet kommer frem til rette vedkommende, kan forhåndsvarsel sendes elektronisk.

Etter andre ledd gjelder plikten til forhåndsvarsling ikke ved registrering av opplysninger om skattefastsetting fra Skattedirektoratet, ved registrering av næringsinteresser hentet fra Brønnøysundregistrene, eller ved oppdatering av grunndata. Både opplysninger fra Skattedirektoratet og Brønnøysundregistrene forutsettes å være grundig kvalitetskontrollert hos kilden. Sannsynligheten for feil ved registrering hos kredittopplysningsforetaket synes derfor liten. Dette er dessuten opplysninger som vil være kjent for den registrerte etter dialog med den opprinnelige behandlingsansvarlige, og behovet for forhåndsvarsel fra kredittopplysningsforetaket synes mindre. Når det gjelder oppdatering av grunndata vil dette normalt skje fra Folkeregisteret. Kvaliteten i dette registeret forutsettes å være god. Kredittopplysningsforetakene skal legge folkeregistrert navn og adresse til grunn i sin virksomhet. Det vil således normalt ikke være behov for å rette grunndata hos kredittopplysningsforetaket. Samlet tilsier dette at det er unødvendig å sende forhåndsvarsel ved oppdatering av grunndata.

Videre følger det av tredje ledd at forhåndsvarsel heller ikke skal sendes når det registreres opplysninger om utlegg, utleggsforretninger eller tvangsforretninger. Forutsetningen er at den registrerte er varslet om at opplysningene vil bli benyttet i kredittopplysningsvirksomhet i forbindelse med utsendelse av namsboken. I slike tilfeller antas den registrerte å være tilfredsstillende varslet. Eventuelle feil i namsboken bør dessuten kommuniseres til namsmannen, og ikke til kredittopplysningsforetaket. Nytt forhåndsvarsel fra kredittopplysningsforetaket synes derfor unødvendig.

Til § 20 Retting av uriktige opplysninger

Av første leddførste punktum fremgår det at registrerte fysiske personer skal oppfordres til å be om retting av uriktige opplysninger som fremgår av forhåndsvarsel de har mottatt jf. § 19. Oppfordringen om å be om retting skal fremgå av forhåndsvarselet. Den registrerte skal oppfordres til å fremsette anmodning om eventuell retting innen 14 dager fra forhåndsvarsel er mottatt. Mange, men ikke alle forhåndsvarsler sendes elektronisk til den registrerte. Elektroniske varsler vil anses mottatt når de er tilgjengelige i den registrertes elektroniske postkasse. For de forhåndsvarslene som sendes i ordinær post, må alminnelig leveringstid ved normal postgang legges til grunn ved vurdering av når forhåndsvarselet skal anses mottatt. Det følger av andre punktum at i denne 14-dagersperioden kan de nyregistrerte kredittopplysningene ikke brukes i kredittopplysningsvirksomheten. 14-dagersfristen fungerer i så måte som en sperrefrist for bruk av opplysningene i virksomheten. Samtidig betyr ikke dette at de registrerte mister sin rett til å kreve rettet feil eller mangler etter 14-dagersperioden. Slike rettekrav kan den registrerte fremsette når som helst.

Videre følger det av første ledd tredje punktum at sperrefristen i andre punktum ikke gjelder for bruk av opplysninger om åpning av gjeldsforhandlinger eller konkurs. Disse opplysningene antas å ha god kvalitet idet de kommer fra et offentlig register. Dessuten har de grunnleggende betydning for vurdering av de registrertes rett til å påta seg nye betalingsforpliktelser. Det er derfor forutsatt at de kan brukes i kredittopplysningsvirksomheten så snart de er registrert og forhåndsvarsel er sendt.

Den behandlingsansvarlige skal alltid påse at de opplysningene som behandles er korrekte, og har et ansvar for å rette eventuelle feil og mangler. Kredittopplysningsforetakets ansvar følger av andre ledd. Av denne bestemmelsen fremgår det at den behandlingsansvarlige skal sørge for, og kunne påvise, at opplysningene som benyttes er korrekte. Følgelig må de til enhver tid ta hensyn til innvendinger eller anmodninger om retting som mottas fra den registrerte, og foreta en grundig vurdering av om eventuelle innsigelser skal hensyntas. Dersom den behandlingsansvarlige velger å benytte opplysninger i kredittopplysningsvirksomheten på tross av innsigelser fra den registrerte, må den behandlingsansvarlige kunne påvise at opplysningene er korrekte. Plikten til å sørge for, og kunne påvise, at opplysningene er korrekte, er den samme som plikten som følger av personvernforordningen artikkel 5 nr. 1 bokstav d jf. nr. 2, og gjelder også for behandling av opplysninger om juridiske personer.

Det vil ofte være i den registrertes interesse å dokumentere en påstand om at en opplysning ikke er korrekt. Dersom den registrerte ikke fremlegger dokumentasjon, vil det likevel være den behandlingsansvarlige som er ansvarlig for, og som skal kunne påvise, at de registrerte opplysningene er korrekte. Dokumentasjon fra den registrerte vil således bidra til å lette arbeidet for den behandlingsansvarlige. Mangel på dokumentasjon fra den registrerte kan imidlertid ikke tolkes slik at det fritar den behandlingsansvarlige fra ansvar. Det vises for øvrig til merknaden til lovforslaget § 11 første ledd.

Bestemmelsen i § 20 fastsetter ikke hvordan den registrerte skal fremsette krav om retting eller påstand om feil. Bestemmelsen har imidlertid en klar likhet med bestemmelsen i personvernforordningen artikkel 16 om retting. For krav om retting gjelder prosedyrereglene i personvernforordningen artikkel 12. For behandling av kredittopplysninger om fysiske personer gjelder personvernforordningen artikkel 16 jf. artikkel 12 i tillegg til bestemmelsene i § 20. Departementet legger derfor til grunn at prosedyrereglene i personvernforordningen artikkel 12 også vil danne grunnlag for hvorledes krav om retting etter § 20 skal fremsettes. Det følger blant annet av artikkel 12 nr. 2 at den behandlingsansvarlige skal legge til rette for at de registrerte skal kunne utøve sine rettigheter etter blant annet artikkel 16.

I mangel av tilrettelagte kanaler for tilbakemelding, må det forutsettes at kredittopplysningsforetaket håndterer tilbakemeldinger og krav om retting i den formen de får dem. Samtidig må de forsikre seg om at tilbakemeldingen kommer fra rette vedkommende, og også at opplysningene er korrekte før de benyttes i kredittopplysningsvirksomheten. På samme måte som når den registrerte påstår at en fordring er omtvistet, jf. § 11, vil det kunne være hensiktsmessig å oppfordre til at krav om retting fremsettes skriftlig for å sikre etterprøvbarhet.

Til § 21 Brukstid

Hovedregelen om brukstid for kredittopplysninger i første ledd er at registrerte kredittopplysninger ikke kan benyttes i kredittopplysningsvirksomheten lenger enn fire år fra opplysningene første gang lovlig ble registrert. Bestemmelsen er en videreføring av gjeldende rett. Det følger av ordlyden at det ikke bare er utlevering, men også all annen behandling av kredittopplysningene som ledd i kredittopplysningsvirksomhet, som er begrenset av fireårsregelen. Også bruk av opplysninger i beregning av kredittrating eller kredittscore skal følge fireårsregelen. Det er dato for første gangs registrering av en sak som skal danne grunnlag for beregning av brukstiden. Dette betyr at dersom en sak endrer karakter, for eksempel fra inkassosak til rettssak, er det tidspunktet da inkassosaken første gang lovlig ble registrert, som danner utgangspunkt for fristberegningen.

I andre ledd finnes en spesialbestemmelse om tidligere sletting eller retting av enkelte opplysninger. Det følger av bestemmelsen at opplysninger som slettes eller rettes hos den opprinnelige kilden for opplysningene før det er gått fire år, også skal slettes eller rettes i kredittopplysningsregisteret. Retting eller sletting kan for eksempel være aktuelt dersom det viser seg at opplysningene har vært registrert på feil person, eller dersom det har vært registrert uriktige beløp. Sletting i denne sammenheng betyr at opplysningene ikke lenger kan behandles, herunder utleveres, i kredittopplysningsvirksomheten. Opplysningene kan imidlertid overføres til historisk arkiv, jf. lovforslaget § 25. Det følger av bestemmelsen i andre ledd at opplysningene skal rettes eller slettes hos kredittopplysningsforetaket så snart den behandlingsansvarlige får kjennskap til at opplysningene er rettet eller slettet hos kilden. Dette innebærer at den behandlingsansvarlige må ha rutiner for å rette eller slette opplysningene så snart kredittopplysningsforetaket blir gjort kjent med endringen, enten direkte fra sin kilde eller på annen måte. Bestemmelsen er en naturlig konsekvens av kravet til opplysningskvalitet.

Til § 22 Fordring med lengre brukstid

Enkelte opplysninger er av natur av en slik art at de har relevans for vurdering av kredittevne ut over den generelle fireårsgrensen. Slike opplysninger bør kunne brukes i kredittopplysningsvirksomhet ut over fireårsperioden. Bestemmelsene i lovforslaget § 22 er en videreføring av gjeldende rett.

I første ledd slås det fast at tvangsforretninger i fast eiendom og løsøre kan brukes i kredittopplysningsvirksomheten så lenge de er registrert i det relevante offentlige registeret. Dette betyr at så lenge opplysningen er registrert i det offentlige registeret, er det ikke nødvendig for kredittopplysningsforetaket å foreta en vurdering av om opplysningen er relevant. Samtidig betyr det at dersom heftelsen bortfaller før det er gått fire år, skal saken anmerkes som oppgjort i kredittopplysningsregisteret.

Av andre ledd følger at opplysninger om fordringer som ikke kan tvangsinndrives, kan benyttes i to fireårsperioder. Det er imidlertid en forutsetning at kreditor tar nye rettslige skritt i saken. Når det tas nye rettslige skritt, innebærer dette at kreditor vil forsøke å inndrive sitt krav, og at det således fremdeles er en forpliktelse som påhviler den registrerte og påvirker vedkommendes kredittevne. Opplysningene vil derfor ha betydning for kredittvurderingen ut over den opprinnelige fireårsperioden.

Til § 23 Gjeldsordning

Opplysninger om åpning av gjeldsforhandlinger eller registrert gjeldsordning vil være viktig informasjon i kredittvurderingssammenheng. Opplysningene om åpning av gjeldsforhandlinger kan ha ulik verdi avhengig av utfallet av forhandlingene. I bestemmelsens første ledd angis ulike slettefrister for opplysninger om åpnet gjeldsforhandling avhengig av resultatet av forhandlingene. Opplysninger om åpnet gjeldsforhandling kan maksimalt benyttes i kredittopplysningsvirksomheten i ett år. Opplysningen skal likevel slettes tidligere dersom visse forhold inntreffer på et tidligere stadium.

For det første følger det av bokstav a at opplysningen skal slettes dersom forhandlingene om gjeldsordning heves i samsvar med reglene i gjeldsordningsloven § 3-7. I disse tilfellene foreligger det omstendigheter som er til hinder for at det etableres en gjeldsordning, og det vil være åpenbart at forhandlingene ikke vil føre frem. I slike tilfeller kan opplysningen om åpnet gjeldsforhandling ikke brukes i kredittopplysningsvirksomheten etter at det er konstatert at det ikke er grunnlag for å komme frem til en ordning, og forhandlingene er hevet.

Etter bokstav b skal opplysning om åpnet gjeldsforhandling slettes når en gjeldsordning er fastsatt. Med «fastsatt» gjeldsordning menes gjeldsordning som enten er vedtatt av kreditorene eller stadfestet av retten. Når gjeldsordning er fastsatt er det informasjon om den etablerte gjeldsordningen som skal benyttes i kredittopplysningsvirksomheten, og ikke opplysning om åpning av gjeldsforhandlinger. For å unngå dobbeltregistrering, med de negative konsekvensene det kan få for den registrerte, skal derfor opplysning om åpnet gjeldsforhandling slettes hos kredittopplysningsforetaket når gjeldsordningen er fastsatt.

Til slutt følger det av bokstav c at opplysning om åpning av gjeldsforhandling skal slettes dersom gjeldsforhandlingsperioden avsluttes uten at det er mottatt melding fra Løsøreregisteret om at en gjeldsordning er fastsatt. Dette gjelder både der gjeldsforhandlingene avsluttes etter normal gjeldsforhandlingsperiode, og der perioden forlenges. Gjeldsforhandlingsperioden kan under ingen omstendighet vare i mer enn ett år, jf. gjeldsordningsloven § 5-1 femte ledd. Dette betyr at også i situasjoner der gjeldsforhandlingsperioden forlenges, vil slettetidspunktet inntre senest ett år etter at gjeldsforhandlingene ble åpnet.

For ordens skyld er den maksimale brukstiden for opplysninger om åpnet gjeldsforhandling presisert i andre ledd. Der fremgår det klart at opplysning om åpnet gjeldsforhandling under ingen omstendighet kan brukes i kredittopplysningsvirksomheten lenger enn ett år fra det tidspunktet gjeldsforhandlinger ble åpnet. Det er altså ikke registreringstidspunktet hos kredittopplysningsforetaket som er avgjørende for brukstiden, men det tidspunktet forhandling ble registrert åpnet. Dersom det skulle skje at opplysning om åpning av gjeldsforhandling ikke er slettet i samsvar med første ledd, vil sletting etter andre ledd således senest inntre når det er gått ett år fra åpningen ble registrert i Løsøreregisteret jf. gjeldsordningsloven § 7-1 første ledd første punktum.

I tredje ledd reguleres brukstid for opplysninger om registrert gjeldsordning. Opplysninger om inngått gjeldsordning i samsvar med gjeldsordningsloven § 7-1 kan være av stor betydning for kredittvurderingen i hele den perioden gjeldsordningen varer. Blant annet er det etter gjeldsordningsloven § 3-5 begrensninger i skyldners adgang til å stifte ny gjeld i gjeldsordningsperioden. Informasjon om gjeldsordningen vil derfor være av avgjørende betydning for den registrertes kredittevne. Det følger av bestemmelsen i tredje ledd at opplysninger om inngått og registrert gjeldsordning kan brukes i kredittopplysningsvirksomheten i hele gjeldsordningsperioden. Dette er et unntak fra hovedregelen i lovforslaget § 21 om at opplysninger bare kan benyttes i kredittopplysningsvirksomhet i inntil fire år fra den dato de første gang ble lovlig registrert.

Til § 24 Fordring som er oppgjort

Det følger av bestemmelsen at når en fordring er oppgjort, skal den omgående slettes fra kredittopplysningsregisteret. At forholdet er oppgjort betyr at skyldner ikke lenger skylder penger i henhold til den underliggende betalingsforpliktelsen. At opplysninger ikke lenger skal brukes i kredittopplysningsvirksomhet når forholdet er oppgjort, vil kunne virke som et incitament for den registrerte til å gjøre opp for seg. Dette gjelder særlig for de med en enkeltstående inkassosak.

Det fremgår av bestemmelsen at når gjelden er nedbetalt/oppgjort, skal opplysninger om saken ikke lenger behandles i kredittopplysningsvirksomhet. Dette betyr at opplysningen ikke lenger kan utleveres som ledd i eller benyttes som beslutningsgrunnlag i kredittopplysningsvirksomheten. Den må da slettes fra kredittopplysningsregisteret som brukes i den løpende kredittopplysningsvirksomheten. Opplysningen kan samtidig overføres til historisk arkiv, se merknader til lovforslaget § 25.

Bestemmelsen åpner ikke for å gjøre unntak fra hovedregelen om brukstid/sletting i lovforslaget § 21. Dette betyr at fordringer knyttet til saker som enda ikke er avsluttet fire år etter at de første gang ble registrert i kredittopplysningsregisteret, likevel må slettes eller overføres til historisk arkiv. Dette innebærer en videreføring av gjeldende rett.

Til § 25 Historisk arkiv

Det følger av første ledd at opplysninger som ikke lenger kan brukes i kredittopplysningsvirksomheten i samsvar med bestemmelsene i lovforslaget §§ 21 til 24 kan overføres til historisk arkiv. Dette arkivet kan ikke benyttes i kredittopplysningsvirksomheten, men kun tjene som dokumentasjon for ev. fremtidige krav om erstatning på grunnlag av feil, eller for intern analyse og tjenesteutvikling. Det historiske arkivet vil være en egen behandling av opplysninger, og all behandling av personopplysninger må derfor følge de alminnelige reglene i personopplysningsloven og personvernforordningen.

I andre ledd er det presisert at opplysningene i det historiske arkivet ikke kan behandles i identifiserbar form lenger enn behandlingsformålet tilsier. Bestemmelsen er, for så vidt gjelder behandling av personopplysninger, en presisering av det som ellers følger av personvernforordningen artikkel 5 nr. 1 bokstav c og e. For så vidt gjelder behandling av opplysninger om juridiske personer i det historiske arkivet, har bestemmelsen i andre ledd selvstendig betydning. Når det ikke lenger er behov for opplysninger i identifiserbar form, skal de enten slettes eller anonymiseres.

Den maksimale lagringstiden på ti år er en videreføring av gjeldende rett. Bestemmelsen om sletting dersom behandlingsformålet ikke tilsier videre lagring på identitet, innebærer en innstramming for så vidt gjelder opplysninger om juridiske personer. Disse opplysningene kunne tidligere, med grunnlag i konsesjon fra Datatilsynet, lagres i inntil ti år uten nærmere vurdering av om dette var i samsvar med behandlingsformålet. Nå må kredittopplysningsforetaket imidlertid foreta vurdering av lagringstiden opp mot behandlingsformålet, og slette eller anonymisere opplysningene når formålet ikke lenger tilsier lagring på identitet. For så vidt gjelder behandling av personopplysninger innebærer bestemmelsen en videreføring av rettstilstanden etter personopplysningsloven 2000 og konsesjoner gitt i medhold av denne.

Sletting eller anonymisering skal uansett skje når det er gått ti år fra opplysningene første gang ble registrert. Slettefristen regnes fra det tidspunktet opplysningen første gang lovlig ble registrert for bruk i kredittopplysningsvirksomheten. Tidspunktet for overføring til den historiske databasen, påvirker således ikke slettefristen.

Til § 26 Opphør av virksomhet

Det følger av bestemmelsen at dersom kredittopplysningsvirksomheten opphører, skal opplysningene slettes. Dersom den behandlingsansvarlige beslutter å legge ned deler av kredittopplysningsvirksomheten, skal de opplysningene som er knyttet til denne delen av virksomheten slettes. Dette kan for eksempel være tilfellet dersom kredittopplysningsforetaket behandler opplysninger om både fysiske og juridiske personer, og beslutter å legge ned den delen av virksomheten som gjelder behandling av personopplysninger. I så fall skal opplysningene om fysiske personer, som ikke lenger vil være nødvendige i virksomheten, slettes.

Med sletting menes at opplysningene skal tilintetgjøres slik at de ikke kan rekonstrueres. Dette skal gjøres på en sikker måte slik at uvedkommende ikke kan skaffe seg tilgang til opplysningene. Det er den behandlingsansvarlige som er ansvarlig for at slettingen gjøres forsvarlig. Dette gjelder også i tilfeller der selve behandlingen skjer hos en databehandler.

Datatilsynet har, etter lovforslaget § 28 jf. personvernforordningen artikkel 58, kompetanse til å fatte pålegg om sletting av opplysninger ved opphør av virksomhet. Dette kan være aktuelt dersom virksomheten legges ned, men uten at den behandlingsansvarlige selv tar initiativ til å slette registrerte kredittopplysninger, herunder historisk arkiv.

Til § 27 Overtredelsesgebyr, tvangsmulkt og erstatning

Det følger av bestemmelsen at overtredelser av alle bestemmelser i kredittopplysningsloven kan sanksjoneres i samsvar med utvalgte bestemmelser i personvernforordningen og personopplysningsloven.

For det første slår bestemmelsen fast at reglene i personvernforordningen artikkel 82 om erstatning skal gjelde tilsvarende. Dette betyr at rett til erstatning som etter personvernforordningen gjelder for registrerte fysiske personer, også gjelder for registrerte juridiske personer. Bestemmelsen inneholder dessuten henvisning til personopplysningsloven § 30 som gir erstatningsreglene i personvernforordningen artikkel 82 tilsvarende anvendelse for skade av ikke-økonomisk art (oppreisningserstatning). Behandling og utlevering av uriktige kredittopplysninger kan få alvorlige konsekvenser for de registrerte, og føre til både økonomisk tap og omdømmetap. Erstatning for så vel økonomisk som ikke-økonomisk tap kan derfor være aktuelt både for registrerte fysiske og juridiske personer. Bestemmelsen om erstatning skal tolkes og forstås på samme måte som bestemmelsen i forordningen for så vidt gjelder behandling av opplysninger om både fysiske og juridiske personer. Tolkning og rettspraksis knyttet til forordningen artikkel 82 vil derfor være relevant ved anvendelse av bestemmelsen også i kredittopplysningssammenheng.

Videre følger det av bestemmelsen at reglene om overtredelsesgebyr i personvernforordningen artikkel 83 nr. 5 skal gjelde tilsvarende for overtredelser av kredittopplysningsloven. Bestemmelsen skal gjelde ved overtredelse av reglene om behandling av opplysninger om både fysiske og juridiske personer. Praksis knyttet til både ileggelse og utmåling av overtredelsesgebyr etter personopplysningsloven i andre sammenhenger vil være relevant også når reglene skal anvendes i kredittopplysningssammenheng.

Samtidig vil det åpenbart være ulike hensyn som gjør seg gjeldende ved overtredelse av reglene om behandling av personopplysninger og ved overtredelse av reglene som gjelder behandling av kredittopplysninger om juridiske personer. Juridiske personer vil i mange sammenhenger ikke ha det samme behovet for vern som fysiske personer, og konsekvensene av regelbrudd kan være mindre alvorlige enn de vil oppleves for fysiske personer. Juridiske personer vil også lettere enn fysiske personer kunne håndtere utfordringer forbundet med uriktig behandling av kredittopplysninger. Dette gir grunnlag for å tilpasse reaksjonene etter hvem som er skadelidt i saken. Allerede etter gjeldende rett er det praksis for å reagere mildere ved overtredelser som gjelder virksomhetsrelaterte opplysninger enn overtredelser som gjelder personopplysninger. Det følger dessuten av personvernforordningen artikkel 83 nr. 2 bokstav a at overtredelsens alvorlighetsgrad skal tillegges vekt når overtredelsesgebyr ilegges. Mange av de øvrige momentene som etter forordningen artikkel 83 skal tillegges vekt ved vurdering av om, og i hvilken størrelsesorden, administrative sanksjoner skal ilegges, vil kunne innebære mildere sanksjoner når den registrerte/skadelidte er en juridisk person. Det vil innenfor rammene av personvernforordningen være opp til Datatilsynet, Personvernnemnda og domstolene å fastsette rimelige reaksjoner som tar hensyn til de ulike vurderingskriteriene i forordningen artikkel 83.

Datatilsynet har etter regelverket ikke noen plikt til å ilegge sanksjoner eller benytte tvangsmulkt ved brudd på reglene om behandling av opplysninger i kredittopplysningsvirksomhet. Det er derfor opp til Datatilsynet å vurdere om og i hvilket omfang overtredelser skal sanksjoneres.

For det tredje viser bestemmelsen til sanksjonsreglene i personopplysningsloven §§ 26 til 30. I samsvar med personopplysningsloven § 26 kan også overtredelse av behandlingsforbudet i personvernforordningen artikkel 10 og overtredelser av bestemmelsen om den behandlingsansvarliges ansvar i artikkel 24 sanksjoneres med overtredelsesgebyr etter personvernforordningen artikkel 83 nr. 4. Sanksjoner etter denne bestemmelsen er noe mildere enn etter artikkel 83 nr. 5. Både overtredelse av forbudet mot å behandle opplysninger om straffedommer og lovovertredelser i forordningen artikkel 10, og unnlatelse av å ivareta ansvaret for informasjonssikkerhet og internkontroll i artikkel 24 er alvorlige overtredelser ved behandling av opplysninger i kredittopplysningsvirksomhet. Både Datatilsynet og domstolene bør derfor ha mulighet til å reagere på slike overtredelser. Samtidig bemerker departementet at for så vidt gjelder forbudet mot å behandle opplysninger om straffedommer og lovovertredelser følger dette også av lovforslaget § 8. Henvisningen i § 28 til personopplysningsloven § 26 får derfor selvstendig betydning bare i relasjon til overtredelse av personvernforordningen § 24.

Personopplysningsloven §§ 26 og 27 er prosessuelle regler om oppfyllelsesfrister og domstolsprøving i saker om overtredelsesgebyr, og om foreldelse av Datatilsynets adgang til å ilegge gebyr. Henvisningen innebærer at de nevnte reglene i personopplysningsloven skal gis tilsvarende anvendelse for overtredelser og overtredelsesgebyr i kredittopplysningsvirksomhet.

Personopplysningsloven § 29 gir Datatilsynet en adgang til å ilegge tvangsmulkt for å fremtvinge etterlevelse av pålegg gitt i medhold av loven. Bestemmelsen er gitt tilsvarende anvendelse for eventuelle vedtak Datatilsynet fatter etter kredittopplysningsloven.

Til § 28 Tilsyn og klage

Bestemmelsen slår fast at personvernforordningen artikkel 55 til 58 og personopplysningsloven §§ 20 til 25 gjelder tilsvarende for tilsyn og klage etter forslaget til kredittopplysningslov. Datatilsynets tilsynskompetanse er den samme som etter personopplysningsloven § 20 og personvernforordningen artikkel 55 til 58. Dette betyr at Datatilsynet skal ha samme kompetanse til å føre tilsyn, etterspørre opplysninger og fatte vedtak om pålegg ved behandling av opplysninger i kredittopplysningsvirksomhet som for annen behandling av personopplysninger som er omfattet av personopplysningsloven og personvernforordningen. Rekkevidden av kompetansen skal være den samme for behandling av opplysninger om juridiske personer som for behandling av personopplysninger.

Datatilsynet skal ha tilgang til opplysninger i sin tilsynsvirksomhet etter kredittopplysningsloven tilsvarende det som følger av personopplysningsloven § 23. Dette innebærer at Datatilsynet skal gis tilgang til all informasjon tilsynet ber om som ledd i tilsynet med etterlevelse av loven. Hensikten med å vise til personopplysningsloven § 23 i tillegg til personvernforordningen artikkel 58, er at den norske loven eksplisitt angir at Datatilsynet skal ha tilgang til taushetsbelagte opplysninger. Dette betyr at kredittopplysningsforetak, eller deres databehandlere, ikke kan unndra seg tilsyn og kontroll under henvisning til at de opplysningene Datatilsynet etterspør er taushetsbelagte. Bestemmelsen skal ellers forstås på samme måte ved tilsyn med behandling av opplysninger i kredittopplysningsvirksomhet som ved behandling av personopplysninger generelt.

Datatilsynets vedtak etter loven kan påklages til og behandles av Personvernnemnda. Personvernnemndas kompetanse er den samme som etter personopplysningsloven § 22. Dette betyr at nemnda kan prøve alle sider av Datatilsynets vedtak etter kredittopplysningsloven.

Personvernnemnda skal ha samme tilgang til opplysninger når nemnda behandler saker etter kredittopplysningsloven som når den behandler saker etter personopplysningsloven. Bestemmelsen henviser til personopplysningsloven § 23 om Personvernnemndas tilgang til opplysninger, og gir denne tilsvarende anvendelse. Nemndas tilgang til opplysninger skal være uhindret av taushetsplikt, på samme måte som for Datatilsynet. Rekkevidden av nemndas tilgang til opplysninger i kredittopplysningssaker må forstås på samme som i saker etter personopplysningsloven.

Dersom det tas ut søksmål knyttet til tilsynsvirksomheten etter kredittopplysningsloven opptrer Datatilsynet som part i saken på samme måte som tilsynet kan opptre som part i saker som gjelder tilsynsvirksomheten etter personopplysningsloven § 25 første ledd. Tilsvarende er det staten ved Personvernnemnda som er rette saksøkte i saker som gjelder gyldigheten av nemndas vedtak. Bestemmelsen skal praktiseres på samme måte og ha samme rekkevidde som den tilsvarende bestemmelsen i personopplysningsloven § 25 andre ledd.

Til § 29 Forskrifter

Flere av bestemmelsene i loven bør suppleres med forskrifter for å gi et fullstendig og fleksibelt regelverk. Dette gjelder blant annet lovens regler om hvilke opplysninger som kan behandles i virksomheten, og hvilke kilder opplysningene kan hentes fra. Første ledd gir Kongen adgang til å gi forskrift om disse og andre forhold i loven som bør spesifiseres i forskrift. Forskriftene kan blant annet både utvide og presisere oversikten over opplysningstyper og kilder opplysningene kan hentes fra.

I medhold av andre ledd kan Kongen fastsette bestemmelser om dekning av kostnader forbundet med tilsyn etter loven. Dette vil særlig være aktuelt for så vidt gjelder tilsyn med kredittopplysningsforetakenes behandling av opplysninger om juridiske personer, som ikke vil være dekket av tilsvarende bestemmelse i personopplysningsloven § 20 fjerde ledd. Det vises for øvrig til merknadene til denne bestemmelsen i Prop. 56 LS (2017–2018).

Til § 30 Ikrafttredelse

Det følger av bestemmelsen at loven trer i kraft fra den tid Kongen bestemmer. Forskrift om overgangsregler om behandling av personopplysninger 15. juni 2018 nr. 877 § 4 viderefører forskriftsbestemmelsene og konsesjonene som gjaldt for behandling av kredittopplysninger etter personopplysningsloven 2000. Overgangsbestemmelsen er ment å ha tidsbegrenset varighet i påvente av ny lov om behandling av opplysninger i kredittopplysningsvirksomhet. Denne bestemmelsen vil derfor bli opphevet samtidig som den nye loven trer i kraft.

20.2 Endringer i annen lovgivning

Til endringen i lov 7. juni 1935 nr. 2 om tinglysing

Tinglysingsloven § 34 a tredje ledd åpner for utlevering av opplysninger om utleggstrekk og intet til utlegg til bruk i kredittopplysningsvirksomhet. Bestemmelsen åpnet tidligere for å utlevere denne type opplysninger til «kredittopplysningsbyrå». Ved ikrafttredelse av ny kredittopplysningslov vil dette begrepet ikke benyttes i reguleringen av kredittopplysningsvirksomhet. I stedet brukes begrepene «behandlingsansvarlig» og «kredittopplysningsvirksomhet». For å unngå tvil om henvisningen i tinglysingsloven, er begrepsbruken i tinglysingsloven endret slik at den samsvarer med begrepsbruken i forslaget til kredittopplysningslov. Bestemmelsen er formulert slik at opplysninger kan utleveres til bruk i virksomhet som drives i samsvar med kredittopplysningsloven. Endringen i ordlyd medfører ikke endringer i praksis.

Til endringen i lov 13. mai 1988 nr. 26 om inkassovirksomhet og annen inndriving av forfalte pengekrav

Inkassoopplysninger er sentrale opplysninger i kredittopplysningsvirksomhet. Inkassoloven § 28 andre ledd legger til rette for at opplysninger kan utleveres til bruk i slik virksomhet. Tidligere viste loven til at opplysninger kunne utleveres til kredittopplysningsvirksomhet som ble drevet i samsvar med personopplysningsloven. Når ny kredittopplysningslov trer i kraft skal kredittopplysningsvirksomhet drives i samsvar med særreguleringen i kredittopplysningsloven. Den endrede ordlyden i inkassoloven innebærer at opplysninger fra inkassovirksomhet kan utleveres til kredittopplysningsvirksomhet som drives i samsvar med kredittopplysningsloven. Endringen viderefører praksis ved at de som ønsker tilgang til inkassoopplysninger for bruk i kredittopplysningsvirksomhet må drive virksomhet i samsvar med gjeldende sektorregelverk.

Til endringen i lov 3. juni 1994 nr. 15 om Enhetsregisteret § 22

Endringen i § 22 andre ledd tredje punktum er gjort for å bringe bestemmelsen i samsvar med kredittopplysningsloven. Endringen medfører ingen endring i praksis, men er en konsekvens av at Datatilsynet, når kredittopplysningsloven trer i kraft, ikke lenger ha vil kompetanse til å godkjenne avtaler om tilgang til data som ledd i utstedelse av konsesjoner for behandling av personopplysninger. Oppheving av konsesjonsplikten er i samsvar med de generelle personvernreglene. Den endrede ordlyden innebærer at fødselsnummer og D-nummer fra Enhetsregisteret fremdeles vil kunne utleveres til intern bruk i kredittopplysningsvirksomhet, selv om mottaker ikke har inngått avtale om informasjonstilgang som er godkjent av Datatilsynet. Forutsetningen er at kredittopplysningsvirksomheten drives i samsvar med kredittopplysningsloven. Endringen i bestemmelsens ordlyd er ikke ment å innebære endringer i praksis.

Til endringene i lov 16. juni 2017 nr. 47 om gjeldsinformasjon ved kredittvurdering av privatpersoner

Til § 2 bokstav c

Gjeldsinformasjonsloven § 2 bokstav c definerer kredittopplysningsforetak. Begrepsbruken i bestemmelsen er endret for å gi samsvar med begrepsbruken i kredittopplysningsloven. Gjeldsinformasjonsloven angir nå at kredittopplysningsforetak er foretak som driver kredittopplysningsvirksomhet i samsvar med kredittopplysingsloven. Dette innebærer at de bestemmelsene i gjeldsinformasjonsregelverket som gir særskilte rettigheter til kredittopplysningsforetak, bare omfatter foretak som etterlever reglene i kredittopplysningsloven. Endringen i bestemmelsens ordlyd er av rent teknisk karakter, og er en konsekvens av at kredittopplysningsreglene fastsatt i medhold av personopplysningsloven 2000 er opphevet, og ikke lenger gir behandlingsgrunnlag i kredittopplysningsvirksomhet. Endringen innebærer ingen endring i praksis.

Til § 19 Forholdet til personopplysningsloven og kredittopplysningsloven

Gjeldsinformasjonsloven § 19 omhandler forholdet til annet regelverk som gjelder behandling av personopplysninger. For klarere å angi hvilket regelverk det siktes til, er bestemmelsens tittel endret slik at den ikke viser generelt til «regelverket om personopplysninger», men i stedet konkret viser til personopplysningsloven. Dette gir et klarere regelverk, og mindre rom for tvil om hvilke regler bestemmelsen sikter til. Endringen i paragraftittelen er dessuten i samsvar med ordlyden i første ledd, som direkte henviser til personopplysningsloven.

Hensikten med registrering av gjeldsinformasjon er å legge til rette for bedre kredittvurderinger av privatpersoner. For å utnytte dette potensialet, kan det være behov for særlige tilpasninger mellom regelverkene i forskrift. § 19 andre ledd viser derfor både til personopplysningsloven og kredittopplysningsloven. Dette gir departementet mulighet til å fastsette nærmere regler i forskrift om forholdet både til personopplysningsloven og kredittopplysningsreglene.

Tilråding

Kommunal- og moderniseringsdepartementet

tilrår:

At Deres Majestet godkjenner og skriver under et framlagt forslag til proposisjon til Stortinget om lov om behandling av opplysninger i kredittopplysningsvirksomhet (kredittopplysningsloven).

Vi HARALD, Norges Konge,

stadfester:

Stortinget blir bedt om å gjøre vedtak til lov om behandling av opplysninger i kredittopplysningsvirksomhet (kredittopplysningsloven) i samsvar med et vedlagt forslag.

Forslag
til lov om behandling av opplysninger i kredittopplysningsvirksomhet (kredittopplysningsloven)

Kapittel 1. Virkeområde

§ 1 Saklig virkeområde

Loven gjelder for utlevering og annen behandling av opplysninger som ledd i kredittopplysningsvirksomhet dersom annet ikke er bestemt i eller i medhold av lov.

Følgende regnes ikke som kredittopplysningsvirksomhet:

meldinger fra offentlige registre om rettigheter og heftelser i fast eiendom eller løsøre,

meldinger til den opplysningene gjelder,

Brønnøysundregistrenes behandling av lovpålagte registre,

meldinger fra Løsøreregisteret om registrerte utleggstrekk og forretninger om «intet til utlegg».

§ 2 Geografisk virkeområde

Loven gjelder for behandling av kredittopplysninger som utføres i forbindelse med aktivitetene ved virksomheten til en behandlingsansvarlig i Norge, uavhengig av om behandlingen finner sted i Norge eller ikke.

Kongen kan i forskrift bestemme at loven helt eller delvis skal gjelde for Svalbard og Jan Mayen.

§ 3 Definisjoner

I denne loven menes med

personopplysning: enhver opplysning om en identifisert eller identifiserbar fysisk person; en identifiserbar fysisk person er en person som direkte eller indirekte kan identifiseres, særlig ved hjelp av en identifikator, f.eks. et navn, et identifikasjonsnummer, lokaliseringsopplysninger, en nettidentifikator eller ett eller flere elementer som er spesifikke for nevnte fysiske persons fysiske, fysiologiske, genetiske, psykiske, økonomiske, kulturelle eller sosiale identitet,

kredittopplysning: opplysning som belyser kredittevnen til en fysisk eller juridisk person,

gjeldsopplysning: opplysninger som nevnt i gjeldsinformasjonsloven § 2 bokstav d

kredittopplysningsvirksomhet: virksomhet som består i ervervsmessig eller stadig utlevering av kredittopplysninger i den hensikt å belyse kredittevne,

kredittopplysningsregister: enhver strukturert samling av opplysninger som er tilgjengelig etter særlige kriterier, enten samlingen er plassert sentralt, er desentralisert eller spredt på et funksjonelt eller geografisk grunnlag, og som brukes i kredittopplysningsvirksomhet

behandling: enhver operasjon eller rekke av operasjoner som gjøres med opplysninger om fysiske eller juridiske personer, enten automatisert eller ikke, f.eks. innsamling, registrering, organisering, strukturering, lagring, tilpasning eller endring, gjenfinning, konsultering, bruk, utlevering ved overføring, spredning eller alle andre former for tilgjengeliggjøring, sammenstilling eller samkjøring, begrensning, sletting eller tilintetgjøring,

kredittrating og kredittscore: matematisk beregnet poengsum eller kode som beskriver risikoprofil og som brukes til å bedømme kredittevne,

inkassoforetak: foretak som driver inkassovirksomhet i henhold til inkassoloven.

§ 4 Forholdet til personopplysningsloven og personvernforordningen

Personopplysningsloven og personvernforordningen gjelder for behandling av personopplysninger i kredittopplysningsvirksomhet dersom annet ikke følger av denne loven.

Kapittel 2. Behandling av opplysninger i kredittopplysningsvirksomhet

§ 5 Behandlingsansvarliges og databehandlers ansvar

Personvernforordningen artikkel 24, 26 og 28 til 34 om behandlingsansvarliges og databehandleres ansvar gjelder tilsvarende for behandling av opplysninger om juridiske personer i kredittopplysningsvirksomhet.

§ 6 Opplysninger som kan behandles i kredittopplysningsvirksomhet

I kredittopplysningsvirksomhet kan det behandles grunndata, kredittopplysninger og gjeldsopplysninger fra gjeldsinformasjonsforetak.

§ 7 Særlige kategorier av personopplysninger

Personopplysninger om rasemessig eller etnisk opprinnelse, politisk oppfatning, religion, filosofisk overbevisning eller fagforeningsmedlemskap, samt behandling av genetiske opplysninger og biometriske opplysninger med det formål å entydig identifisere en fysisk person, helseopplysninger eller opplysninger om en fysisk persons seksuelle forhold eller seksuelle orientering, jf. personvernforordningen artikkel 9 nr. 1, kan ikke brukes i kredittopplysningsvirksomhet.

§ 8 Opplysninger om straffedommer og lovovertredelser

Opplysninger om fysiske eller juridiske personers straffedommer og lovovertredelser eller tilknyttede sikkerhetstiltak kan ikke brukes i kredittopplysningsvirksomhet.

Første ledd gjelder likevel ikke opplysninger om overtredelser av straffeloven §§ 392 til 394.

§ 9 Kilder

Kredittopplysninger kan innhentes fra følgende kilder:

1. offentlig tilgjengelige kilder

2. inkassoforetak

3. Statens kartverk og virksomheter som videreformidler eiendomsopplysninger fra Statens kartverk i henhold til forskrift om utlevering, viderebruk og annen behandling av opplysninger fra grunnboken og matrikkelen

4. Folkeregisteret

5. Skattedirektoratet

6. gjeldsinformasjonsforetak

7. den registrerte selv

8. register over kredittsperrer, jf. § 16

Opplysninger om konkurs, akkord og gjeldsforhandlinger kan bare hentes fra Brønnøysundregistrene og Norsk lysingsblad.

§ 10 Inkassoopplysninger

Inkassoopplysninger om krav mot fysiske personer kan ikke brukes i kredittopplysningsvirksomhet før en måned etter at inkassoforetaket har sendt stevning eller begjæring om rettslige skritt i saken. Ved eventuelt brudd på en nedbetalingsavtale som er inngått med et inkassoforetak, gjelder ikke denne begrensningen. Dersom betalingsavtalen gjenopptas, skal bruddet ikke registreres som en betalingsanmerkning.

Registrerte inkassoopplysninger om juridiske personer kan ikke brukes i kredittopplysningsvirksomhet før en måned etter at inkassoforetaket har sendt krav om inndrivelse av gjelden.

Dersom flere inkassoopplysninger knytter seg til samme krav, skal opplysningene registreres som én anmerkning.

§ 11 Omtvistet fordring

Inkassoopplysninger som stammer fra en omtvistet fordring, skal ikke brukes i kredittopplysningsvirksomhet. Fordringen skal anses som omtvistet dersom skyldneren har innsigelser mot denne, med mindre innsigelsene er åpenbart grunnløse.

En fordring er ikke lenger å regne som omtvistet når det foreligger tvangsgrunnlag, jf. tvangsfullbyrdelsesloven § 4-1. En rettskraftig avgjørelse som er foranlediget av en omtvistet fordring, skal ikke brukes i kredittopplysningsvirksomhet dersom den registrerte gjør opp for seg innenfor domstolens fastsatte frist.

§ 12 Kredittrating eller kredittscore av juridiske personer

Som grunnlag for kredittrating eller kredittscore av juridiske personer er det bare tillatt å gjøre bruk av opplysninger om den juridiske personen.

Opplysninger om personer i ledende stillinger hos den juridiske personen kan likevel brukes som grunnlag for utarbeidelse av kredittrating eller kredittscore frem til første regnskap er tilgjengelig.

§ 13 Opplysninger om tidligere forespørsler

Opplysninger om tidligere forespørsler om kredittopplysninger kan ikke brukes i kredittopplysningsvirksomhet.

Kapittel 3. Utlevering av kredittopplysninger

§ 14 Utlevering av kredittopplysninger

Kredittopplysninger kan bare utleveres til mottakere som har saklig behov for opplysningene i forbindelse med vurdering av kredittevne.

Kredittopplysninger kan bare utleveres på grunnlag av søkekriterier som gir unike treff i kredittopplysningsregisteret.

Kredittopplysninger skal utleveres skriftlig. Tilgang til direkte søk i kredittopplysninger skal ikke gis til privatpersoner.

Kredittopplysninger kan utleveres i form av kredittrating eller kredittscore for juridiske personer eller kredittscore for fysiske personer.

Avtaler som går ut på at mottakeren skal få utlevert fremtidige kredittopplysninger (kredittovervåking), kan bare omfatte opplysninger om juridiske personer.

Første ledd er ikke til hinder for at kredittopplysninger utleveres

for bruk til journalistiske formål. Kredittopplysninger om fysiske personer kan bare utleveres til journalistiske formål i samsvar med personopplysningsloven § 3 dersom mottaker kunne innhentet de samme opplysningene fra en offentlig tilgjengelig kilde

til Statistisk sentralbyrå, Norges Bank og Finanstilsynet for analyse-, overvåkings- og statistikkformål. Slik utlevering skal skje vederlagsfritt for mottaker.

§ 15 Utlevering av gjeldsopplysninger

Gjeldsopplysninger om fysiske personer kan bare utleveres i samsvar med gjeldsinformasjonsloven § 13.

§ 16 Adgang til å motsette seg utlevering av opplysninger (kredittsperre)

Den registrerte har rett til å motsette seg at opplysninger utleveres i kredittopplysningsvirksomhet (kredittsperre). Dersom den registrerte har registrert kredittsperre, er det kun informasjon om kredittsperren som kan utleveres.

Kredittopplysninger kan likevel utleveres til bank, kreditt- eller finansieringsforetak som ledd i gjennomføring av deres lovpålagte risikovurderinger og til inkassoforetak.

Den som ønsker å registrere eller oppheve en kredittsperre, skal legitimere seg ved bruk av elektronisk ID.

Kapittel 4. Innsyn og informasjon til den registrerte

§ 17 Innsynsrett og informasjon til den registrerte

Fysiske personer har rett til å få en forklaring på eventuell kredittscore. Forklaringen skal tilfredsstille kravene i personvernforordningen artikkel 15 nr. 1 bokstav h.

Juridiske personer har rett til innsyn tilsvarende retten etter personvernforordningen artikkel 15.

Både fysiske og juridiske personer kan kreve å få opplyst hvilke opplysninger som er utlevert om dem de siste seks måneder, hvem opplysningene ble utlevert til, og hvilke kilder opplysningene er hentet fra.

Innsyn skal være gratis for den registrerte. Unntakene i personvernforordningen artikkel 12 nr. 5 gjelder tilsvarende.

§ 18 Gjenpartsplikt

Ved utlevering av kredittopplysninger om fysiske personer skal gjenpart, kopi eller annen melding om innholdet i kredittopplysningene samtidig sendes vederlagsfritt til den registrerte.

Gjenpartsbrevet skal i tillegg inneholde informasjon om:

1. identiteten og kontaktopplysningene til den behandlingsansvarlige for utleveringen og eventuelt den behandlingsansvarliges representant,

2. kontaktopplysninger til personvernombudet, dersom dette er relevant,

3. kilden som de utleverte opplysningene er hentet fra,

4. hvem som har etterspurt kredittopplysninger,

5. personopplysningene som ligger til grunn for en eventuell kredittscore,

6. forklaring på den underliggende logikken i beregningen av en eventuell kredittscore,

7. dato for når kredittvurderingen ble foretatt.

Plikten til å sende gjenpart gjelder ikke når kredittopplysninger utleveres til et inkassoforetak som tidligere har fått utlevert disse opplysningene i forbindelse med inndrivingen av den samme fordringen.

Plikten til å sende gjenpart gjelder ikke når kredittopplysninger utleveres til bank, kreditt- og finansieringsforetak til bruk i risiko- og soliditetsvurderinger.

§ 19 Forhåndsvarsel til fysiske personer

Når kredittopplysninger om en fysisk person registreres i et kredittopplysningsregister, skal den behandlingsansvarlige straks sende kopi av opplysningene til den registrerte. Forhåndsvarselet skal, i tillegg til den registrerte kredittopplysningen, inneholde den informasjonen som fremgår i personvernforordningen artikkel 14.

Plikten til forhåndsvarsling gjelder ikke ved registrering av opplysninger om skattefastsetting fra Skattedirektoratet, ved registrering av næringsinteresser fra Brønnøysundregistrene eller ved oppdatering av grunndata.

Plikten til forhåndsvarsling gjelder heller ikke ved innhenting av opplysninger om utlegg og innhenting av opplysninger om utleggsforretning og andre tvangsforretninger når varsel om slik innhenting er gitt i forbindelse med utsendelse av namsboken.

§ 20 Retting av uriktige opplysninger

Registrerte fysiske personer skal i forhåndsvarselet etter § 19 oppfordres til å be om retting av eventuelle uriktige opplysninger innen 14 dager fra mottak av forhåndsvarselet. De nyregistrerte opplysningene kan ikke brukes i kredittopplysningsvirksomhet før fristen er utløpt. Opplysninger om at gjeldsordning eller konkurs er åpnet, kan likevel brukes samtidig med at varsel sendes.

Den behandlingsansvarlige er ansvarlig for og skal kunne påvise at opplysninger om både fysiske og juridiske personer som behandles som ledd i kredittopplysningsvirksomhet, er korrekte og om nødvendig oppdaterte.

Kapittel 5. Tidsrommet opplysningene kan behandles

§ 21 Brukstid

En opplysning skal ikke behandles i kredittopplysningsvirksomhet lenger enn fire år regnet fra den dato opplysningen første gang ble lovlig registrert med mindre annet følger av dette kapitlet.

Opplysninger som på et tidligere tidspunkt rettes eller slettes hos kilden for opplysningene, skal rettes eller slettes i kredittopplysningsvirksomheten så snart den behandlingsansvarlige får kjennskap til endringen hos kilden.

§ 22 Fordring med lengre brukstid

Opplysninger om tvangsforretning i fast eiendom eller løsøre kan behandles i kredittopplysningsvirksomhet så lenge de er registrert i det relevante offentlige registeret.

En fordring som ikke kan tvangsinndrives, kan behandles i kredittopplysningsvirksomhet i ytterligere fire år, dersom det tas nye rettslige skritt.

§ 23 Gjeldsordning

Opplysning om åpning av gjeldsforhandling etter gjeldsordningsloven kan ikke behandles i kredittopplysningsvirksomhet dersom

saken om gjeldsordning er hevet,

gjeldsordning er fastsatt,

gjeldsforhandlingsperioden er avsluttet uten at det er mottatt melding om at gjeldsordning er fastsatt.

Opplysning om åpning av gjeldsforhandling kan ikke behandles i kredittopplysningsvirksomhet lenger enn ett år fra åpningtidspunktet.

Opplysning om registrert gjeldsordning i henhold til gjeldsordningsloven § 7-1 kan behandles i kredittopplysningsvirksomhet så lenge ordningen varer.

§ 24 Fordring som er oppgjort

Når en fordring er gjort opp, skal registreringen av fordringen ikke lenger brukes i kredittopplysningsvirksomhet.

§ 25 Historisk arkiv

Opplysninger som ikke lenger kan behandles i kredittopplysningsvirksomhet, jf. §§ 21 til 24, skal slettes eller overføres til historisk arkiv.

Opplysningene i historisk arkiv skal slettes eller anonymiseres når det ikke lenger er nødvendig for formålet med behandlingen at opplysningene lagres i identifiserbar form, og senest når det er gått ti år fra det tidspunktet opplysningen første gang ble registrert i kredittopplysningsvirksomheten.

§ 26 Opphør av virksomhet

Dersom virksomheten opphører, skal opplysningene slettes.

Kapittel 6. Avsluttende bestemmelser

§ 27 Overtredelsesgebyr, tvangsmulkt og erstatning

Ved overtredelse av bestemmelsene i denne loven, gjelder personvernforordningen artikkel 82 og 83 nr. 5 og personopplysningsloven §§ 26 til 30 tilsvarende.

§ 28 Tilsyn og klage

Personvernforordningen artikkel 55 til 58 og personopplysningsloven §§ 20 til 25 gjelder tilsvarende for tilsyn og klage etter denne loven.

§ 29 Forskrifter

Kongen kan i forskrift gi nærmere regler om kredittopplysningsvirksomhet og behandling av opplysninger i slik virksomhet, herunder hvilke opplysninger som kan behandles etter § 6, og hvilke kilder opplysningene kan innhentes fra i henhold til § 9.

Kongen kan gi forskrift om dekning av Datatilsynets kostnader ved kontroll med etterlevelse av denne loven.

Kapittel 7. Ikrafttredelse. Endringer i andre lover

§ 30 Ikrafttredelse

Loven trer i kraft fra den tid Kongen bestemmer.

§ 31 Endringer i andre lover

Fra den tiden loven her trer i kraft, gjøres følgende endringer i andre lover:

1. I lov 7. juni 1935 nr. 2 om tinglysing skal § 34 a tredje ledd lyde:

Opplysninger om utleggstrekk og beslutninger om intet til utlegg kan bare gis til advokater, finansinstitusjoner, inkassobyråer, foretak som driverkredittopplysningsvirksomhet etter kredittopplysningsloven, samt offentlige myndigheter med taushetsplikt etter forvaltningsloven eller annen lov. Opplysningene kan bare gis ut skriftlig.

2. I lov 13. mai 1988 nr. 26 om inkassovirksomhet og annen inndriving av forfalte pengekrav skal § 28 andre ledd lyde:

Første ledd hindrer ikke at opplysninger overlates til eller lovlig brukes i foretak som driver kredittopplysningsvirksomhet i samsvar med kredittopplysningsloven.

3. I lov 3. juni 1994 nr. 15 om Enhetsregisteret skal § 22 andre ledd lyde:

Enhver har rett til å få tilgang til og utskrift av opplysninger registrert i Enhetsregisteret, og elektronisk kopi av dokumenter registrert i registeret. Dette gjelder likevel ikke fødselsnummer og D-nummer. Slike opplysninger kan likevel utleveres til intern bruk i kredittopplysningsvirksomhet, jf. kredittopplysningsloven.

4. I lov 16. juni 2017 nr. 47 om gjeldsinformasjon ved kredittvurdering av privatpersoner gjøres følgende endringer:

§ 2 bokstav c skal lyde:

c) kredittopplysningsforetak: foretak som driver kredittopplysningsvirksomhet i samsvar med kredittopplysningsloven,

§ 19 skal lyde:

§ 19 Forholdet til personopplysningsloven og kredittopplysningsloven

Personopplysningsloven gjelder så langt ikke annet følger av denne loven.

Departementet kan i forskrift gi nærmere regler om forholdet til personopplysningsloven og kredittopplysningsloven.

Vedlegg 1
Konsesjon til å behandle personopplysninger – kredittopplysningsvirksomhet

Gitt av Datatilsynet

Gitt konsesjon til å behandle personopplysninger – Kredittopplysningsvirksomhet

I. Endring av konsesjon

Det vises til deres søknad om å behandle personopplysninger i kredittopplysningsvirksomhet.

Datatilsynet fatter med dette følgende vedtak:

1. Datatilsynet gir [virksomhet] ny konsesjon til å behandle personopplysninger, og kredittopplysninger for andre enn enkeltpersoner, til følgende formål: Utøvelse av virksomhet som består i å gi meddelelser som belyser kredittverdigheten eller økonomisk vederheftighet, jf. personopplysningsloven § 4-2.

2. Datatilsynet fastsetter vilkår for konsesjonen. Vilkårene fremgår av punkt III nedenfor.

Datatilsynets hjemmel for å gi konsesjon til kredittopplysningsvirksomhet er personopplysningsforskriften § 4-5, jf. personopplysningsloven § 3 siste ledd og § 34. Vår hjemmel for å fastsette vilkår for konsesjonen er personopplysningsloven § 35, jf. personopplysningsforskriften § 4-5.

Konsesjonen er gitt under forutsetning av at behandlingen foretas slik virksomheten har opplyst til Datatilsynet og i tråd med denne konsesjonens vilkår, vedlagte merknader og personopplysningsloven med forskrift.

Dersom virksomheten endrer hvordan den behandler personopplysninger i kredittopplysningsvirksomhet, må det fremmes ny konsesjonssøknad.

II. Klageadgang, innsyn og offentlighet

Dere kan klage på vedtaket. En eventuell klage må sendes til oss innen tre uker etter at dette brevet er mottatt (jf. forvaltningsloven §§ 28 og 29). Dersom vi opprettholder vårt vedtak vil vi sende saken videre til Personvernnemda for klagebehandling.

Dere har rett til innsyn i sakens dokumenter (jf. forvaltningsloven § 18). Vi vil også informere dere om at alle dokumentene i utgangspunktet er offentlige (jf. offentlighetsloven § 3), men understreker samtidig at sikkerhetsdokumentasjon som hovedregel er unntatt offentlighet (jf. offentlighetsloven § 13, jf. personopplysningsloven § 45).

III. Vilkår for konsesjon

1.1 Registerets innhold

1.1.1 Opplysningstyper

Registeret kan bare inneholde følgende opplysningstyper:

1.1.1.1 Grunndata om næringsdrivende og enkeltpersoner:

1. navn/firmanavn

2. folkeregistrert adresse og eventuell sekundæradresse

3. telefonnummer registrert hos offentlig tilgjengelig opplysningstjeneste

4. øvrige kontaktopplysninger – for enkeltpersoner kreves samtykke fra den registrerte

5. fødselsnummer

6. organisasjonsnummer

7. bransjekode

8. offentlig tilgjengelige grunndata om enheten, jf. enhetsregisterloven §§ 5 og 6, innhentet fra Brønnøysundregistrene, annet offentlig register eller fra den registrerte selv

9. antall ansatte

10. status om foretaket som kunngjøres av Brønnøysundregistrene

11. status om enkeltpersoner angitt Folkeregisteret

1.1.1.2 Kredittopplysninger som er innsamlet fra offentlig tilgjengelige kilder:

1.1.1.2.1 For enkeltpersoner:

1. opplysninger om tvangsforretninger i fast eiendom eller løsøre

2. frivillige heftelser i fast eiendom og løsøre

3. utlagt ligning

4. rettskraftige dommer

5. opplysninger om utleggstrekk, jf. tvangsfullbyrdelsesloven § 7-21, samt opplysninger om «intet til utlegg», jf. tvangsfullbyrdelsesloven §§ 7-25 og 7-29

6. registrert gjeldsordning, jf. gjeldsordningsloven § 7-1

7. konkurs- og akkordopplysninger

8. konkurskarantene

9. næringsinteresser

10. åpning av gjeldsforhandling

11. opplysning om at en person er umyndiggjort, jf. vergemålsloven § 1

12. opplysninger om eierskap av motorvogn

1.1.1.2.2 For næringsdrivende:

1. opplysninger om tvangsforretninger i fast eiendom eller løsøre

2. frivillige heftelser i fast eiendom og løsøre

3. utlagt ligning

4. rettskraftige dommer

5. konkurs- og akkordopplysninger

6. konkurskarantene

7. årsoppgjør

8. selskapskapital og innbetalingsforhold

9. aktuelle hendelser av faktisk og økonomisk karakter som åpenbart er av betydning

10. opplysninger om eierskap av motorvogn

1.1.1.3 Kredittopplysninger som er innsamlet fra kilder som ikke er offentlig tilgjengelige:

1.1.1.3.1 For enkeltpersoner:

1. betalingsanmerkninger

2. risikoprofil

3. frivillig registrering av sperre mot kredittvurdering

1.1.1.3.2 For næringsdrivende:

1. betalingsanmerkninger

2. nøkkeltall fra regnskapene

3. kredittkonklusjon med kredittkommentarer

4. kredittgrense

5. rating

6. historisk rating

7. rating av datterselskap

8. bank- og forsikringsforbindelse

9. informasjon om betalte fakturaer

10. kredittvurderingen

1.1.2 Kilder

Opplysningene i registeret kan innhentes fra:

1. inkassobyråer og andre som driver inkassovirksomhet i henhold til inkassoloven

2. Statens kartverk og Ambita AS

3. Brønnøysundregistrene

4. Norsk lysingsblad

5. Statistisk sentralbyrå

6. Det sentrale folkeregisteret

7. Skattedirektoratet

8. domstolene

9. andre kredittopplysningsbyråer

10. media

11. den registrerte selv

12. opplysninger om betalte fakturaer for næringsdrivende, kan hentes fra selskaper som rangeres blant de 50 største kredittgiverne i norsk næringsliv

13. teleselskaper og offentlig tilgjengelige adressedistributører

14. sperreregister

15. Det sentrale motorvognregisteret

Opplysninger om konkurs, akkord og gjeldsforhandlinger kan kun hentes fra Brønnøysundregistrene og Norsk lysingsblad.

1.1.3 Inkassoopplysninger

1.1.3.1 Tidspunkt for registrering

Inkassoopplysninger som knytter seg til krav mot enkeltpersoner, kan ikke brukes i kredittopplysningsvirksomhet før en måned etter at inkassator har sendt stevning eller begjæring om rettslige skritt i saken. Ved eventuelt brudd på en nedbetalingsavtale som er inngått med et inkassobyrå, gjelder ikke denne begrensningen.

Registrerte inkassoopplysninger om næringsdrivende, herunder alle enkeltpersonforetak, kan ikke brukes i kredittopplysningsvirksomhet før en måned etter at inkassator har sendt krav om inndrivelse av gjelden.

Inkassoopplysninger knyttet til ett krav kan kun registreres som én anmerkning.

1.1.3.2 Omtvistet fordring

Inkassoopplysninger som stammer fra en omtvistet fordring, skal ikke benyttes i kredittopplysningsvirksomhet. Debitors subjektive forståelse av situasjonen skal legges til grunn ved vurdering av om en fordring er å regne som omtvistet.

En fordring er ikke lenger å regne som omtvistet når det foreligger en rettskraftig avgjørelse i saken. En rettskraftig avgjørelse som er foranlediget av et omtvistet forhold, skal ikke benyttes i kredittopplysningsvirksomhet dersom den registrerte gjør opp for seg innenfor domstolens fastsatte frist.

Fordringen er ikke å regne som omtvistet når det foreligger rettskraftig tvangsgrunnlag som beskrevet i tvangsfullbyrdelsesloven § 7-2. Dersom det er tatt rettslige skritt for å bestride tvangsgrunnlaget, kan fordringen ikke brukes i kredittopplysningsvirksomhet.

1.1.4 Gjeldsordning

Opplysning om registrert gjeldsordning i henhold til Lov om gjeldsordning av 17. juli 1992 nr. 99 § 7-1, tillates registrert og benyttet i kredittopplysningsvirksomhet, så lenge ordningen varer.

1.1.5 Rating av foretak

Som grunnlag for rating av foretak er det bare tillatt å gjøre bruk av opplysninger som er tilknyttet foretaket. Med rating menes en summarisk beregnet poengsum eller kode som beskriver kredittverdighet.

Opplysninger om nøkkelpersoner i foretaket kan benyttes til rangering av foretakets kredittverdighet frem til første regnskap er tilgjengelig. Etter dette tidspunktet er det ikke tillatt å benytte opplysninger om nøkkelpersoner involvert i foretaket ved beregning av foretakets rating.

1.1.6 Opplysninger om tidligere forespørsler

Tidligere forespørsler om kredittopplysninger kan ikke benyttes i kredittopplysningsvirksomhet.

1.1.7 Sensitive opplysninger

Opplysninger som nevnt i personopplysningsloven § 2 nr. 8, kan ikke benyttes i kredittopplysningsvirksomhet.

1.2 Foretakets utsendelser til den registrerte

1.2.1 Merking av forsendelsen

Kredittopplysningsbyråets navn eller logo skal ikke fremkomme utenpå sendinger til den registrerte.

1.2.2 Utsendelse av gjenpartsbrev

Plikten til å sende ut gjenpartsbrev tilligger kredittopplysningsbyrået.

1.2.3 Forsendelsesmåte

Kredittopplysningsbyrået plikter å benyttes raskeste brevforsendelse ved utsendelse av gjenpartsbrev til omspurt.

E-post eller annen elektronisk postforsendelse kan benyttes ved forhåndsvarsling eller utsendelse av gjenpart dersom kredittopplysningsbyrået har innhentet eksplisitt samtykke fra den registrerte.

1.3 Informasjon til den registrerte

1.3.1 Forhåndsvarsel

Når opplysninger som har betydning for kredittvurdering registreres i et kredittopplysningsregister, skal det sendes kopi av disse til den registrerte. Forhåndsvarsel skal sendes til alle enkeltpersoner og enkeltpersonforetak som ikke er registrert i Foretaksregisteret. Personopplysningsloven §§ 19 og 20 får ikke anvendelse for næringsdrivende som er registrert i foretaksregisteret.

Plikten til forhåndsvarsling gjelder ikke ved registrering av ligningsopplysninger fra Skattedirektoratet, ved registrering av næringsinteresser eller ved oppdatering av grunndata, jf. punkt 1.1.1.

Plikten til forhåndsvarsling gjelder heller ikke i forbindelse med innhenting av opplysninger om utlegg og innhenting av opplysninger om utleggsforretning og andre tvangsforretninger når varsel om slik innhenting er gitt i forbindelse med utsendelse av namsboken.

Informasjonsplikten trer i kraft så snart opplysningene er innhentet. Varselet skal forklare hvordan opplysningene vil bli brukt og opplyse om kilden til opplysningene.

Den registrerte skal oppfordres til å rette eventuelle uriktige opplysninger overfor kredittopplysningsbyrået, innen en frist på 14 dager fra varselet har kommet til den registrertes kunnskap. De nyregistrerte opplysningene kan ikke benyttes i kredittopplysningsvirksomhet, før den ovennevnte fristen er utløpt. Opplysninger om at gjeldsordning/konkurs er åpnet kan likevel benyttes samtidig med at varsel sendes.

Dersom den registrerte har innsigelser mot registrering av de aktuelle opplysningene, skal uoverensstemmelsen avklares før opplysningene benyttes i kredittopplysningsvirksomhet.

Bevisbyrden for at opplysningene som skal benyttes er korrekte, påhviler kredittopplysningsbyrået. Dersom det ikke oppnås enighet om registrering av opplysningen, skal den slettes fra kredittopplysningsbyråets register.

1.3.2 Gjenpart

Når kredittopplysninger om enkeltpersoner og enkeltpersonforetak som ikke er registrert i foretaksregisteret utleveres, skal det alltid sendes gjenpart til den omspurte vederlagsfritt, i henhold til personopplysningsforskriften § 4-4.

Det er den faktiske etterspørrer av kredittopplysninger som skal fremgå av gjenpartsbrevet.

Gjenpartsbrevet skal gi omspurt samme informasjon som kunden får. Dette innebærer blant annet at omspurt skal få tilgang til en eventuell score med tilhørende forklaringer. Dersom kunden kun får tilgang til en score, skal omspurte også få tilgang til personopplysningene som ligger til grunn for scoren.

Gjenpart skal i tillegg inneholde informasjon om:

1. kilden til den utleverte opplysning

2. hvem som har initiert kredittvurdering, herunder vedkommendes adresse og telefonnummer. Avdeling og filial skal oppgis dersom dette er aktuelt. Dette gjelder også ved videreformidling.

3. dato for når kredittvurderingen ble foretatt

Plikten til å sende gjenpart ved utlevering av kredittopplysninger til et inkassobyrå gjelder kun første gang debitor kredittvurderes, og senere dersom det påføres nye kredittopplysninger i en konkret sak. Unntak fra plikten til å sende gjenpart gjelder ved utlevering av kontaktopplysninger som har til hensikt å sikre god datakvalitet.

Det gjøres videre unntak fra gjenpartsplikten når kredittopplysninger utleveres til banker og finansieringsinstitusjoner for bruk i forbindelse med bankenes risiko- og soliditetsvurderinger, jf. personopplysningsforskriften § 4-7. Den alminnelige informasjonsplikten etter personopplysningsloven §§ 19 og 20 vil imidlertid gjøre seg gjeldende.

1.4 Informasjon til kunden

1.4.1 Krav til saklig behov

Kunden skal på en forståelig måte informeres om at det kun kan innhentes kredittvurderinger der kunden har saklig behov. Kunden skal videre informeres om plikten til å utforme interne retningslinjer for bruk av databasen.

1.4.2 Sperre mot kredittvurderinger

Der omspurt har sperret seg mot kredittvurderinger er det kun denne informasjonen kunden skal ha tilgang til.

1.5 Salg av bransjeanalyser

Salg av verdiøkende produkter er bare tillatt overfor juridiske personer. Før avtale inngås skal den juridiske personen få informasjon om muligheten for vederlagsfritt krav om innsyn, og hva innsynsretten omfatter. Informasjonen må gis på en slik måte at den juridiske personen evner å forstå forskjellen på innsynsretten og betalingsproduktet verdiøkende produkter.

1.6 Sletting

1.6.1 Slettefrist

En opplysning skal ikke brukes i kredittopplysningsvirksomhet lenger enn fire år.

Slettefristen regnes fra den dato opplysningen første gang ble lovlig registrert.

1.6.2 Fordringer med lengre slettefrister

Opplysninger om tvangsforretning i fast eiendom eller løsøre, kan benyttes i kredittopplysningsvirksomhet så lenge de er registrert i det gjeldende offentlige register.

En fordring som ikke kan resultere i slik tvangsforretning, kan benyttes i kredittopplysningsvirksomhet i ytterligere fire år, dersom det tas nye rettslige skritt.

1.6.3 Fordring som er oppgjort

Når et forhold er ordnet eller gjort opp, skal registreringen av forholdet slettes omgående.

1.6.4 Opplysninger om åpning av gjeldsforhandling

Opplysning om at gjeldsforhandling er åpnet, skal slettes når ordningen stadfestes.

Dersom kredittopplysningsbyrået innen seks måneder etter at åpning ble registrert, ikke har mottatt melding om at tidsrommet for åpningen utvides, skal opplysningen merkes slettet eller oppgjort. Det samme gjelder ved manglende melding om stadfesting og heving av forhandlingene. Opplysningen skal slettes etter ett år.

Gjeldsforhandlinger som verken fører frem til frivillig eller tvungen gjeldsordning, men avsluttes uten resultat, skal merkes slettet eller oppgjort. Opplysningen skal slettes etter ett år.

1.6.5 Kopidatabaser og historiske arkiv

Kredittopplysninger som er registrert i kopidatabaser eller historiske arkiv, skal overføres til eget arkiv som ikke kan benyttes i kredittopplysningsvirksomhet.

Opplysningene skal slettes eller anonymiseres når det er gått ti år fra registreringstidspunktet.

1.6.6 Opphør av virksomhet

Dersom virksomheten eller føringen av registeret opphører, kan Datatilsynet kreve at opplysningene slettes eller makuleres.

1.7 Forbehold om endringer

Datatilsynet tar forbehold om å trekke konsesjonen tilbake, eller gi nye og endrede vilkår, når dette er nødvendig ut fra personvernhensyn.

1.8 Bekreftelse

Den behandlingsansvarlige skal hvert tredje år sende Datatilsynet bekreftelse på at behandlingen skjer i overensstemmelse med søknaden og personopplysningsloven regler.

Undervedlegg a

Merknader til konsesjon for behandling av personopplysninger i kredittopplysningsvirksomhet

I. Konsesjonens virkeområde

I samsvar med personopplysningsforskriften § 4-1, jf. personopplysningsloven § 3, gjelder konsesjonen for behandling av opplysninger også om andre enn enkeltpersoner. Konsesjonen skiller i enkelte tilfeller mellom enkeltpersoner og næringsdrivende. Som næringsdrivende regnes de foretak som er registrert i Foretaksregisteret eller i Merverdiavgiftsregisteret samt de foretak som er registrert i arbeidsgiverdelen i Arbeidsgiver- og arbeidstakerregisteret, dersom det etter en konkret vurdering kan sies å utøves næringsvirksomhet. Det er en forutsetning at registrene er gjort offentlig tilgjengelige ved å være tilknyttet Enhetsregisteret.

I vurderingen av begrepet næringsdrivende, skal det legges til grunn en tolkning som vil være i overensstemmelse med den alminnelige forståelsen av begrepet. Dersom det ikke klart fremgår av kilden, skal det foretas en individuell vurdering.

Enkeltpersonforetak vil i mange henseender naturlig behandles som enkeltpersoner og vil da gis tilsvarende rettigheter som enkeltpersoner. Dette fordi det i mange tilfeller vil være vanskelig å skille foretakets økonomi fra eiers private økonomi. Hvorvidt enkeltpersonforetaket skal behandles som en privatperson, må avgjøres etter en konkret vurdering. I tvilstilfeller kan det søkes bistand fra Datatilsynet. Når det gjelder registrering av opplysninger knyttet til selskapet, følges retningslinjer for næringsdrivende.

II. Formål

Datatilsynet gjør oppmerksom på at endringene av den gamle konsesjonsteksten ikke innebærer en utvidelse av formålet med registeret. Følgende presiseringer anses likevel nødvendig:

Personopplysninger som utelukkende er innsamlet for å oppfylle formålet med denne konsesjonen, kan ikke brukes til andre formål. Opplysninger kan følgelig ikke benyttes i forbindelse med adresserings- og distribusjonsvirksomhet, når de utelukkende er samlet inn til kredittopplysningsformål. Datatilsynet anser dette som en bruk som er uforenlig med det opprinnelige formålet – kredittopplysningsvirksomhet, jf. personopplysningsloven § 11 bokstav c. Det samme gjelder annen bruk av databasen, herunder bruk av databasen som et rent oppslagsverk, uten at dette kan begrunnes i et saklig behov jf. personopplysningsforskriften § 4-3.

Dersom byråene ønsker å drive ren formidling av opplysninger fra offentlige registre som folkeregisteret eller Brønnøysundregistrene, må dette skje som ledd i en annen type virksomhet. Slike opplysninger kan derfor ikke hentes fra kredittopplysningsdatabasen.

III. Utlevering

Utlevering fra registeret kan skje ved bruk av brev, kataloger og elektronisk overføring over tele- eller datanettverk, med de begrensninger som følger av personopplysningsforskriften § 4-3, 3. ledd. Med summariske opplysninger forstås etter denne bestemmelsen opplysninger som er korte og overfladiske, og bare angir hovedlinjer i vurderingen av foretakene, herunder ratingpoeng, trendfaktor, vekstfaktor og konkurrentfaktor.

Når det gis summariske vurderinger av en næringsdrivende, skal det overfor brukeren samtidig opplyses hvordan kredittopplysningsbyrået er kommet frem til den summariske opplysningen. Beskrivelsen skal være av en slik kvalitet at de setter brukeren i stand til å vurdere om beregningen er korrekt.

Privatpersoner kan ikke gis online tilgang. Dersom privatpersoner har et saklig behov for tilgang til kredittopplysninger, skal dette godtgjøres skriftlig overfor kredittopplysningsbyrået før utlevering.

Online-søk i kredittopplysningsdatabasen må av hensyn til farene for sammenblanding av de registrerte, skje ved hjelp av fødselsnummer eller organisasjonsnummer, så fremt virksomheten lovlig kan registrere dette. Bruk av fødselsnummer reguleres av personopplysningsloven § 12. Ved online-søk på enkeltpersoner er det ikke anledning til å oppgi en liste over personer som tilfredsstiller de samme kriterier. Søket må da spesifiseres.

1.9 Registerets innhold

1.9.1 Opplysningstyper:

Oppregningen under dette punktet er å regne som uttømmende. Det kan følgelig ikke foretas koblinger med andre registre.

1.9.1.1 Grunndata om næringsdrivende og enkeltpersoner:

Med grunndata menes de opplysninger som kredittopplysningsbyråene har tilgang til i henhold til enhetsregisterloven § 22 annet ledd. Dette vil i hovedsak innebære opplysninger som nevnt i enhetsregisterloven §§ 5 og 6 annet ledd. Opplysninger som nevnt i enhetsregisterloven § 6 første ledd kan registreres dersom dette er å regne som offentlig tilgjengelig informasjon.

Tidligere og nåværende adresser kan ikke benyttes som ledd i kredittvurderingen, herunder i risikoklassifiseringen. Dette gjelder også antall ganger en person eller næringsdrivende har flyttet. Den samme begrensningen gjelder for navn. Det vises til PVN 2008-04 hvor Personvernnemnda uttaler at:

«… når adresse er klassifisert under «kontaktopplysninger», så må dette bety at det bare er nåværende adresse som er en korrekt og relevant opplysning. Etter nemndas syn er det en rimelig tolkning av konsesjonen at adresse bare skal brukes til kontakt, ikke som variabel i kredittvurdering. Konsekvensen av dette er at adresseopplysninger skal oppdateres med en gang de endres, jf personopplysningsloven §§ 11bokstav e og 28. Som kilde kan kredittopplysningsforetaket bruke Folkeregisteret, jf konsesjonens pkt 1.2 nr. 6. Personopplysninger skal være korrekte og oppdaterte, og når formålet for lagring av adresse er «kontakt», finnes det etter nemndas syn ingen hjemmel, verken i nåværende konsesjon eller loven, for å lagre gamle adresser. »

Tidligere adresser og navn kan imidlertid lagres i fire år i henhold til slettefristen i konsesjonens punkt 6.1 og benyttes for å etablere unike treff ved enkeltoppslag i kredittopplysningsdatabasen. Det samme gjelder i forbindelse med ajourføring av inkassobyråenes porteføljer. Slik bruk av historiske adresser er bare aktuelt der den som foretar en kredittvurdering ikke har adgang til å benytte fødselsnummer ved søk i kredittopplysningsdatabasen, jf. personopplysningsloven § 12.

Med øvrige kontaktopplysninger menes primært elektroniske adresser. For enkeltpersoner kreves et samtykke fra den registrerte for å registrere slike opplysninger.

1.9.1.2 Kredittopplysninger som er samlet inn fra offentlig tilgjengelige kilder:

De opplysninger som kan registreres om næringsdrivende, vil også kunne registreres om alle enkeltpersonforetak, forutsatt at opplysningene er tilgjengelige hos kilder nevnt i punkt 1.2. Aktuelle hendelser kan registreres i henhold til Justisdepartementets vedtak av 3. oktober 1997. Datatilsynet har funnet det naturlig å videreføre denne praksisen. Da det gjelder opplysninger knyttet til andre enn enkeltpersoner, kommer lovens formålsbestemmelse ikke på spissen.

Det er adgang til å innhente opplysninger om at en person eller virksomhet eier motorvogn samt hvilken modell det eventuelt er snakk om, fra Det sentrale motorvognregisteret. Adgangen til å innhente slik informasjon gjelder uavhengig av om informasjonen innhentes med hjemmel i offentleglova eller gjennom tilgang til Statens vegvesens online-tjeneste for oppslag som virksomheter kan søke om å få tilgang til.

1.9.1.3 Kredittopplysninger som er innsamlet fra kilder som ikke er offentlig tilgjengelige:

1.9.1.3.1 For enkeltpersoner:

1. Betalingsanmerkninger

Betalingsanmerkninger er knyttet til opplysninger fra inkassoforhold for både næringsdrivende og enkeltpersoner, se punkt 1.3.

2. Risikoprofil

Risikoprofil betegnes også ofte som en credit scoring.

3. Frivillig registrering av sperre mot kredittvurdering

Ved en merknad i databasen, kan det registreres opplysninger om at en enkeltperson ikke ønsker at kreditt skal gis. Sperren gjelder for enkeltforespørsler, men ikke ved utlevering av kredittopplysninger til banker og finansieringsinstitusjoner når disse skal brukes i forbindelse med bankenes pålagte risiko- og soliditetsvurderinger. Sperren gjelder heller ikke ved forespørsler fra inkassobyråene i forbindelse med porteføljevask og ved vurdering og inndriving av et krav.

Registrering kan skje når vedkommende selv eller vedkommendes verge ber om det. Begjæring om slik registrering skal være skriftlig og kredittopplysningsbyrået skal utarbeide rutiner som sikrer kontroll med at begjæringen kommer fra riktig person.

1.9.1.3.2 For næringsdrivende:

1. Betalingsanmerkninger

Betalingsanmerkninger er knyttet til opplysninger fra inkassoforhold for både næringsdrivende og enkeltpersoner, se punkt 1.3.

De opplysninger som kan registreres om næringsdrivende, vil også kunne registreres om alle enkeltpersonforetak, forutsatt at opplysningene er tilgjengelige hos kilder nevnt i punkt 1.2.

9. Informasjon om betalte fakturaer

Den enkelte faktura skal ikke presenteres. Opplysninger om betalte fakturaer skal presenteres som statistikk, og kan gi informasjon om punktlig betaling, og informasjon om betaling hvor betalingsfristen er oversittet. Betaling før forfall kan ikke registreres.

For at slike opplysninger skal kunne bearbeides og fremlegges som kredittopplysninger, må minst to kreditorer ha meldt inn slike opplysninger om den registrerte, og det må til sammen være rapportert inn opplysninger om minst ti betalte fakturaer i løpet av de siste tolv månedene.

Informasjon om fakturaer kan ikke omfatte fakturaer som ikke er betalt i rett tid, dersom dette skyldes motregning, omtvistede poster, krediterte eller på annen måte annullerte poster, tapsførte poster eller annet som gjør at fakturaen ikke er godtatt.

Slike opplysninger kan ikke registreres om enkeltpersonforetak, som ikke er registrert i foretaksregisteret.

1.9.2 Kilder

Opplysningene i registeret kan innhentes som enkeltopplysning og masseopplysning, gjennom bruk av elektronisk lagringsmedium (tape, diskett, cd-rom eller lignende), elektronisk overføring over tele- eller datanettverk eller skriftlig.

På bakgrunn av opplysningenes kvalitet og hensynet til enkeltindividets personvern, aksepteres ikke media som opplysningskilde for enkeltpersoner.

Som et ledd i sikring av datakvaliteten, kan opplysninger om konkurs, akkord og gjeldsforhandlinger kun hentes fra Brønnøysundregistrene og Norsk Lysingsblad.

1.9.3 Inkassoopplysninger

1.9.3.1 Tidspunkt for registrering

Det følger av reglene om god inkassoskikk i inkassoloven § 8 at inkassator har en plikt til å foreta en vurdering av om gjelden i det enkelte tilfellet skriver seg fra private forhold eller næringsvirksomhet. Dette skal vurderes før en inkassoopplysning utleveres til et kredittopplysningsbyrå, og vil danne utgangspunktet for når et kredittopplysningsbyrå kan registrere en inkassoopplysning.

Kredittopplysningsbyrået kan forvente at inkassoselskapet opptrer i tråd med inkassoloven § 8.

Når det gjelder brudd på en nedbetalingsavtale gjort med et inkassobyrå, gjelder ikke registreringsbegrensingene. Det understrekes at notoritetshensyn tilsier at avtalen skal være gjort med inkassobyrået og ikke med kreditor. Det kan oppstå svært vanskelige bevissituasjoner dersom avtalen er inngått mellom to mindre profesjonelle parter, herunder problemer med dokumentasjon av avtalebrudd.

Det er tillatt å registrere rettskraftige avgjørelser i kredittopplysningsdatabasen. Dersom forholdet allerede er registrert, må disse registreres som et tillegg til den eksisterende registreringen, slik at ett krav kun resulterer i én anmerkning. Forbudet mot å registrere rullerende inkasso får således liten selvstendig betydning, da et krav likevel bare kan resultere i en hovedregistrering.

1.9.3.2 Omtvistet fordring

En avgjørelse fra domstolene er ikke rettskraftig dersom den er påanket. Ansvaret for at fordringen ikke er omtvistet ligger hos kredittopplysningsbyrået. Dette innebærer en videreføring av praksis og kan i tillegg begrunnes med det selvstendige ansvaret den behandlingsansvarlige har for at opplysningene har tilfredsstillende datakvalitet, jf. personopplysningsloven § 11 bokstav e.

Dersom debitors subjektive forståelse bygger på en åpenbart grunnløs innsigelse, kan denne ikke legges til grunn.

Hvorvidt fordringen skal anses for å være reell, beror på en vurdering av ansvarsforholdet mellom kreditor og debitor som fordringen baseres på. Dersom byrået etter dokumentasjon fra kreditor anser fordringen for å være reell, kan opplysningen registreres. Hvis fordringens eksistens fortsatt bestrides, må debitor sannsynliggjøre dette overfor byrået. Byrået er i disse tilfeller forpliktet til å foreta en vurdering av de momenter som fremsettes. Dersom det etter en forsvarlig vurdering foreligger tvil med hensyn til fordringens eksistens, skal den registrertes syn veie tyngst.

1.9.4 Gjeldsordning

1.9.5 Rating av foretak

Med rating menes en beregnet poengsum eller kode som beskriver foretakets kredittverdighet. Som hovedregel kan kun opplysninger om foretaket selv benyttes som grunnlag for ratingen. Det anses kun relevant å benytte opplysninger knyttet til personer som hefter for foretaket. Andre personer utover dette anses å ha en for fjern tilknytning til foretaket til at deres opplysninger kan benyttes på bekostning av enkeltpersonens personvern uten vedkommendes samtykke. Frem til første regnskap er gjort offentlig tilgjengelig er det imidlertid tillatt å benytte opplysninger om nøkkelpersoner i foretaket til rangering av foretakets kredittverdighet. Nøkkelpersoner vil som hovedregel avgrenses til daglig leder, styreleder eller hovedaksjonær. Opplysningene skal kun benyttes i ratingen og kan ikke utleveres til etterspørrer.

Foretak og personer skal vurderes hver for seg av kredittopplysningsbyråene. Ønsker man opplysninger om nøkkelpersoner i selskapet, må det søkes direkte på disse. Det forutsettes at kravet til saklig behov, jf personopplysningsforskriften § 4-3 er oppfylt, herunder at den aktuelle personen hefter for foretaket.

1.9.6 Opplysninger om tidligere forespørsler

Datatilsynet erkjenner at en slik opplysning vil kunne være egnet til å belyse kredittverdighet, men er av den oppfatning at opplysningen ikke bør være tilgjengelig for dem som benytter kredittopplysningsdatabasen. Det vises for øvrig til brev fra Justisdepartementet av 28. august 1991, hvor det er lagt til grunn at det ikke er anledning til å utgi opplysninger om antall forespørsler i kredittopplysningsvirksomhet. Datatilsynet tolker dette vedtaket dit hen at denne type opplysninger heller ikke kan benyttes som underlagsopplysning ved beregning av scoring eller risikoprofiler.

1.9.7 Sensitive personopplysninger

Datatilsynet har her foretatt en utvidelse av punkt 1.2.10 i konsesjon gitt etter personregisterloven. Bruk av sensitive personopplysninger skal i all hovedsak bygge på samtykke fra den registrerte. Opplysningene kan videre ikke anses relevante i kredittopplysningsvirksomhet. I den grad de i enkelte tilfeller anses relevante, vil hensynet til den enkeltes personvern veie tyngre.

Opplysninger om manglende innlevert regnskap må likevel kunne registreres, selv om det ligger nært opp til hva som anses som et straffbart forhold. Da det dreier seg om foretak, er personverntrusselen liten i denne sammenheng.

1.10 Foretakets utsendelser til den registrerte

1.10.1 Merking av forsendelsen

Alle sendinger fra kredittopplysningsbyrået til den registrerte skal av diskresjonshensyn sendes i nøytral konvolutt. Dette innebærer at byråets navn eller logo ikke skal fremkomme utenpå sendingene.

1.10.2 Utsendelse av gjenpartsbrev

Plikten til å sende ut gjenpartsbrev er tillagt kredittopplysningsbyrået. Dersom utsendelsen settes bort til en etterspørrer som skal fungere som en databehandler, jf. personopplysningsloven § 2 nr. 5, må det sikres at opplysninger gitt til etterspørrer ikke sammenstilles med opplysninger som gis til etterspørrer i kraft av å være en databehandler.

1.10.3 Forsendelsesmåte

I henhold til personopplysningsforskriften § 4-4 skal kredittopplysningsbyrået sende gjenpart til omspurt samtidig med at kunden får opplysningene. Med dagens online-løsning vil kunden få opplysninger før omspurt. For å begrense tidsgapet mellom når kunde og omspurt blir informert, skal kredittopplysningsbyrået benytte raskeste brevforsendelse til omspurt. Dette innebærer at brev skal sendes per A-post.

E-post eller annen elektronisk postforsendelse kan imidlertid benyttes ved forhåndsvarsling eller utsendelse av gjenpart dersom kredittopplysningsbyrået har innhentet eksplisitt samtykke fra den registrerte. Dette gjelder både for enkeltpersoner og for næringsdrivende. Årsaken er at datakvaliteten på slike opplysninger ikke anses å være tilfredsstillende.

1.11 Informasjon til den registrerte

1.11.1 Forhåndsvarsel

Dersom forholdet er ordnet opp i løpet av 14-dagersfristen, kan registreringen ikke benyttes i kredittopplysningsvirksomhet. Dette er i samsvar med konsesjonens punkt 6.3. Fristen løper fra varselet er kommet til den registrertes kunnskap. Datatilsynet antar, etter det opplyste fra bransjen, at varselet er kommet til den registrertes kunnskap ti dager etter at varselet ble sendt. Dersom den registrerte likevel kan godtgjøre at vedkommende på den tiden ikke kjente til varselet, skal dette legges til grunn.

Forhåndsvarsling vil være i samsvar med de krav som stilles i personopplysningsloven § 20, samtidig som det er et ledd i oppfyllelsen av den behandlingsansvarliges selvstendige plikt til å ha tilfredsstillende datakvalitet etter personopplysningsloven § 11 bokstav e. Den behandlingsansvarlige har bevisbyrden for at opplysninger som skal benyttes i kredittopplysningsvirksomhet er korrekte. Dersom kredittopplysningsbyrået utsetter varsling til gjenpartsbrev sendes ut, vil de negative konsekvensene kunne bli betydelige når det senere viser seg at opplysningene var uriktige. Videre er utsendelsen en etablert praksis og det kan således ikke anses å være særdeles byrdefullt at denne opprettholdes. Datatilsynet mener at hensynet til den registrerte må veie tyngre i denne situasjonen.

Plikten til forhåndsvarsling gjelder ikke ved registrering av ligningsopplysninger fra Skattedirektoratet ved oppdatering av grunndata, jf. konsesjonens punkt 1.1.1 eller ved registrering av næringsinteresser.

Plikten til forhåndsvarsling gjelder heller ikke i forbindelse med innhenting av opplysninger om utlegg og innhenting av opplysninger om utleggsforretning og andre tvangsforretninger når varsel om slik innhenting er gitt i forbindelse med utsendelse av namsboken.

1.11.2 Gjenpart

Gjenpartsplikten gjelder uansett avgivelsesmåte og uavhengig av hvilken type opplysninger som gis ut. Det betyr at ved videreformidling, må den faktiske etterspørrer oppgis på gjenparten. Kredittopplysningsbyråene må gjennom abonnementsavtalen med hovedbrukeren sørge for at dette skjer, herunder at krav om saklig behov etterleves.

Angivelse av hvilken avdeling eller filial som har etterspurt opplysningene vil hovedsakelig være aktuelt i store selskaper og konserner.

Opplysninger om hvilken terminal eller ident henvendelsen er kommet fra, må oppbevares hos byrået.

Unntak fra gjenpartsplikten ved utlevering av kredittopplysninger til banker og finansieringsinstitusjoner gjelder kun når disse skal brukes i forbindelse med bankenes pålagte risiko- og soliditetsvurderinger. Opplysningene skal kun benyttes til risikoklassifisering etter kapitaldekningsreglene, og verken direkte eller indirekte i forholdet mellom den enkelte kunde og banken. Plikten til å informere kundene om behandlingen i medhold av personopplysningsloven §§ 19 og 20 påligger bankene og finansieringsinstitusjonene.

1.12 Informasjon til kunden

1.13 Salg av bransjeanalyser

En bransjeanalyse eller salg av et såkalt verdiøkende produkt, er en analyse som sier noe om soliditeten og kredittverdigheten til et foretak sammenlignet med andre virksomheter i samme bransje lokalt og nasjonalt.

Det følger av personopplysningsforskriften § 4-4, 2. ledd, at juridiske personer har krav på innsyn i medhold av personopplysningsloven § 18. Innsyn skal gis vederlagsfritt i henhold til personopplysningsloven § 17.

1.14 Sletting

1.14.1 Slettefrist

I de tilfeller et forhold endrer karakter, for eksempel fra inkassosak til rettssak, skal dato for første gangs registrering danne utgangspunkt for beregning av slettefrist.

Registreringer som er slettet hos kilden for opplysningene, fordi den er uriktig, skal alltid slettes i kredittopplysningsregisteret, jf. kravet til tilfredsstillende datakvalitet i personopplysningsloven § 11 bokstav e.

1.14.2 Fordringer med lengre slettefrist

Ved utlevering av slike opplysninger skal det alltid gjøres uttrykkelig oppmerksom på at beløpets størrelse ikke nødvendigvis gir uttrykk for det faktiske forhold. I det opplysningene kan brukes så lenge de står registrert i et offentlig register, unngår man det usikre vurderingstemaet knyttet til når en eventuell forlengelse av slettefristen kan skje.

1.14.3 Fordringer som er oppgjort

Hensynet til den enkeltes personvern taler for at slike registreringer slettes straks. Dette vil videre kunne virke som et incitament til å gjøre opp for seg. Notorisk dårlig betalere vil man likevel kunne skille ut, da de trolig har anmerkninger registrert på seg til enhver tid. Dette vilkåret beskytter således de som har en enkeltstående inkassosak registrert på seg, og gir disse en mer effektiv mulighet til å delta i handelsaktiviteter.

1.14.4 Opplysninger om åpning av gjeldsforhandling

1.14.5 Kopidatabaser og historiske arkiv

Kredittopplysningsforetakets historiske database og arkiv representerer en egen behandling som må følge personopplysningslovens bestemmelser. Det er likevel naturlig å regulere sletting av opplysningene i denne konsesjonen, da utgangspunktet for en slik behandling er opplysninger hentet fra en kredittopplysningsdatabase. Slettefristen er satt i samsvar med tilsvarende bruk av personopplysninger, regulert i konsesjon for banker og finansinstitusjoners behandling av personopplysninger. Denne konsesjonens punkt 7 fastsetter at opplysninger om vesentlig mislighold av kontraktsforpliktelser skal slettes senest innen ti år etter registreringen. Bakgrunnen for den lange slettefristen er behovet for å følge den enkelte for utarbeidelse av statistikk og analyser.

1.14.6 Opphør av virksomhet

Dersom foretakets virksomhet skal opphøre, må det meldes til Datatilsynet. Det må også gis melding om adresseendringer.

1.15 Forbehold om endringer

Datatilsynet gjør uttrykkelig oppmerksom på at gjentatte brudd på kravet i personopplysningsforskriften § 4-3 om at kredittopplysninger kun skal gis til den som har et saklig behov, kan føre til endringer i konsesjonen. I særlige tilfeller kan konsesjonen trekkes tilbake.

Etter en streng tolkning av § 4-3 skulle kredittopplysningsbyråene kontrollert at hvert enkelt søk i deres database er basert på et saklig behov. Gjennom dagens praksis med online-tilgang, fremstår dette som særdeles vanskelig og lite praktisk gjennomførbart. Datatilsynet har derfor lempet på tolkningen; Kredittopplysningsbyrået oppfyller sin kontroll av kravet til saklig behov ved å vurdere sine kunder ved inngåelse av avtale om online-tilgang til kredittopplysningsdatabasen. Dersom kunden i sin daglige virksomhet har et saklig behov for tilgang til kredittopplysninger, kan slik abonnementsavtale inngås. Det må derfor fremgå av abonnementsavtalen at kunden selv har et ansvar for at kravet til saklig behov er oppfylt ved hvert søk. Kunden må utforme interne retningslinjer for bruk av databasen.

Dersom Datatilsynet likevel mottar flere klager, eventuelt en alvorlig klage, på en bestemt kunde, vil dette tas opp med kredittopplysningsbyrået direkte. Brudd på personopplysningsforskriften § 4-3 bør i enkelte tilfeller regnes som brudd på abonnementsavtalen. Kredittopplysningsbyrået har en selvstendig plikt til å ta dette opp med den enkelte kunde. Det kan være aktuelt å stenge kundens tilgang, periodevis eller permanent.

Dersom et kredittopplysningsbyrå har mange slike tilfeller, vil Datatilsynet vurdere om konsesjonen må trekkes tilbake.