12 Hvor lenge kan opplysninger benyttes i kredittopplysningsvirksomheten
12.1 Gjeldende rett
Personopplysningsloven 2000 § 8 første ledd bokstav d og e la til grunn at registrerte personopplysninger skal være relevante for formålet, og at de skal være korrekte og oppdaterte, og ikke lagres lenger enn det som er nødvendig for formålet. Med grunnlag i lovens bestemmelser, presiserer gjeldende standardkonsesjoner for behandling av opplysninger i kredittopplysningsvirksomhet punkt 6.1 at opplysninger som hovedregel ikke kan behandles i kredittopplysningsvirksomhet lenger enn fire år fra opplysningen første gang lovlig kunne registreres. Opplysninger om tvangsforretning i fast eiendom og løsøre kan benyttes så lenge de er registrerte hos den offentlige kilden opplysningene er hentet fra, mens opplysninger om forhold som er gjort opp, og om åpning av gjeldsforhandlinger, har kortere slettefrist enn hovedregelen på fire års brukstid.
Gjeldende konsesjoner fastslår at kredittopplysninger kan overføres til historiske databaser/kopidatabaser når opplysningene ikke lenger kan behandles i kredittopplysningsvirksomheten. Der kan opplysningene lagres i inntil ti år etter at de ble registrert i kredittopplysningsvirksomheten.
12.2 Forordningen
Personvernforordningen har ingen konkrete bestemmelser om hvor lenge registrerte opplysninger kan behandles. Det følger imidlertid av prinsippet om dataminimering i artikkel 5 nr. 1 bokstav c at det bare kan behandles opplysninger som er adekvate, relevante, og som er nødvendige for formålet. Etter artikkel 5 nr. 1 bokstav d skal opplysningene være korrekte og oppdaterte. Det følger av artikkel 6 nr. 3 at det, om nødvendig, er adgang til å fastsette nasjonale regler om lagringsperioder for å sikre en lovlig og rettferdig behandling av personopplysninger.
12.3 Forslaget i høringsnotatet
Departementet la i høringsutkastet til grunn at bestemmelser om slettefrister og bruksbegrensninger vil være en presisering av reglene om datakvalitet i personvernforordningen artikkel 5, og at fastsettelse av slike bestemmelser også er i samsvar med de kravene som stilles til nasjonale regler i forordningen artikkel 6 nr. 3 jf. begrepet «lagringsperioder». Departementet foreslo på denne bakgrunn å lovfeste bestemmelsen i Datatilsynets standardkonsesjon om at opplysninger som hovedregel ikke kan brukes i kredittopplysningsvirksomhet lenger enn fire år fra opplysningen første gang lovlig kunne registreres. Det ble også foreslått at registreringer som på et tidligere tidspunkt blir slettet hos kilden for opplysningene, f.eks. fordi de er uriktige, samtidig skal slettes i kredittopplysningsregisteret.
I samsvar med gjeldende rett, foreslo departementet videre at opplysninger om tvangsforretninger i fast eiendom og løsøre kan brukes i kredittopplysningsvirksomheten så lenge de er registrert og er offentlig tilgjengelige i de aktuelle offentlige registrene. Høringsutkastet la også opp til å videreføre konsesjonsbestemmelsen om at opplysninger om fordringer som er oppgjort, straks skal slettes.
Departementet ba særlig om høringsinstansenes syn på forslaget om å videreføre reglene om konkrete lagringsperioder/slettefrister, samt om det er behov for ytterligere regler om andre slettefrister.
Departementet foreslo til slutt å lovfeste at opplysninger som ikke lenger lovlig kan benyttes i kredittopplysningsvirksomhet, skal slettes eller overføres til historisk arkiv. I samsvar med prinsippet om dataminimalitet, la høringsutkastet opp til at opplysningene i det historiske arkivet skal slettes eller anonymiseres når formålet ikke lenger tilsier at opplysningene skal oppbevares i identifiserbar form, likevel senest ti år etter at opplysningene ikke lenger lovlig kan benyttes i kredittopplysningsvirksomheten. Forslaget innebar en videreføring av gjeldende rett.
12.4 Høringsinstansenes syn
Finansdepartementet pekte i sin høringsuttalelse på at det gjelder særskilte sletteregler for gjeldsinformasjon fra gjeldsinformasjonsforetak, jf. gjeldsinformasjonsforskriften § 10 jf. § 5, og at disse må gjenspeiles i kredittopplysningsloven. Datatilsynet ga uttrykk for generelt å støtte en videreføring av de gjeldende slettereglene. Også Forbrukerrådet og Fylkesmannen i Oslo og Akershus ga uttrykk for å støtte departementets forslag. Juristforbundet på sin side påpekte at dersom opplysninger skal tillates innhentet fra sosiale medier, bør brukstiden for disse opplysningene, av hensyn til datakvaliteten, være kortere enn fire år.
Norske kredittopplysningsbyråers forening ga uttrykk for at de gjeldende reglene om hvor lenge opplysninger kan benyttes i kredittopplysningsvirksomhet i hovedsak fungerer godt. Høringsinstansen ga samtidig uttrykk for et ønske om å kunne bruke det de omtaler som positive opplysninger lenger enn fire år. Slike opplysninger kan for eksempel være eierskap i bil eller eiendom. Høringsinstansen mener denne type opplysninger har relevans og «holdbarhet» langt utover fire år. Videre påpekte høringsinstansen at dagens bestemmelse om at opplysninger skal slettes eller anonymiseres senest ti år etter at opplysningen første gang ble registrert kan være uheldig og unødig tungvint å praktisere. Foreningen ga uttrykk for at en mer hensiktsmessig regel vil være at opplysninger skal slettes eller anonymiseres senest ti år etter at opplysningene ikke lenger kan benyttes i kredittopplysningsvirksomheten. Høringsinstansen begrunner behovet for lenger lagringstid blant annet i finansieringsforetakenes krav til gjennomføring av risikovurderinger, og kredittopplysningsforetakenes håndtering av eventuelle erstatningskrav og dokumentasjon på hvilke kredittopplysninger som har vært gitt ut.
Finans Norge støtter videreføring av gjeldende rett, men pekte samtidig på at kortere brukstid blant annet vil vanskeliggjøre utarbeidelse av regnskap etter IFRS-reglene.
12.5 Departementets vurderinger
12.5.1 Bruk av opplysninger i kredittopplysningsvirksomhet
For å forhindre at negative kredittopplysninger benyttes urimelig lenge i kredittopplysningsvirksomhet, og på den måten forhindrer effektiv handel og kredittgivning, vurderer departementet at det er nødvendig å fastsette konkrete regler om hvor lenge opplysninger kan lagres og benyttes i kredittopplysningsvirksomhet. Bestemmelser om slettefrister er en presisering av reglene om datakvalitet i personvernforordningen artikkel 5, og departementet vurderer at slike bestemmelser også er i samsvar med de krav som stilles til nasjonale regler i forordningen artikkel 6 nr. 3 jf. ordlyden «lagringsperioder». Når det i lovforslaget og omtalen i merknadene her legges til grunn at opplysninger skal slettes fra kredittopplysningsregisteret, kan opplysningene likevel overføres til historisk database forutsatt at de er korrekte.
Basert på høringsinstansenes innspill legger departementet til grunn at de gjeldende reglene om brukstid og slettefrister for ulike opplysningstyper er godt innarbeidet og velfungerende. Departementet anbefaler derfor at gjeldende rett videreføres og lovfestes. I hovedtrekk innebærer dette at registrerte kredittopplysninger ikke kan benyttes i kredittopplysningsvirksomheten i mer enn fire år, se lovforslaget § 21. Tidsperioden regnes fra den dato opplysningen første gang ble lovlig registrert. Fra denne hovedregelen mener departementet det bør gjøres enkelte unntak.
For det første bør opplysninger om heftelser i fast eiendom og løsøre kunne benyttes i kredittopplysningsvirksomheten så lenge de er registrert og tilgjengelige i det relevante offentlige registeret. Departementet finner det ikke tvilsomt at disse opplysningene vil kunne ha betydning for kredittvurdering i hele den perioden de er registrert i det offentlige registeret. En fordring som ikke kan tvangsinndrives, kan benyttes i en ny fireårsperiode dersom det tas nye rettslige skritt i saken. En bestemmelse om dette fremgår av lovforslaget § 22.
Videre mener departementet at opplysninger om forhold som gjøres opp ikke lenger skal kunne benyttes i kredittopplysningsvirksomheten. Opplysninger om oppgjorte forhold skal slettes fra kredittopplysningsregisteret omgående, og eventuelt overføres til foretakets historiske database. Dette fremgår av lovforslaget § 24. Slik sletting/overføring til historisk database vil kunne virke som et incitament for de med enkeltstående inkassosaker/betalingsanmerkninger til å gjøre opp utestående fordringer. Personer med gjentakende betalingsvansker vil trolig ha betalingsanmerkninger registrert på seg til enhver tid, slik at disse vil finnes i kredittopplysningsregistrene selv om de gjør opp en enkelt sak.
Departementet foreslår også at registreringer som på et tidligere tidspunkt blir rettet eller slettet hos kilden for opplysningene, f.eks. fordi de er uriktige, skal rettes eller slettes i kredittopplysningsregisteret så snart den behandlingsansvarlige blir kjent med endringen hos kilden. Slik plikt til retting og sletting vil blant annet være i samsvar med reglene om datakvalitet i personvernforordningen artikkel 5, og være en naturlig konsekvens av reglene i personvernforordningen artikkel 19 om at kilden skal orientere mottakere (dvs. kredittopplysningsforetaket) om sletting av opplysninger. Bestemmelsen i lovforslaget § 21 andre ledd vil bidra til å holde god datakvalitet i kredittopplysningsforetakenes registre.
Opplysninger om åpning av gjeldsforhandlinger eller fastsatt gjeldsordning vil være viktig informasjon i kredittvurderingssammenheng. Dette gjelder ikke minst fordi skyldner vil ha begrensninger i adgangen til å påta seg nye økonomiske forpliktelser i gjeldsforhandlingsperioden, jf. gjeldsordningsloven § 3-5. Det har ikke kommet merknader i høringsrunden knyttet til de gjeldende fristene for bruk av opplysninger om fastsatt gjeldsordning eller åpnet gjeldsforhandling. Departementet anbefaler derfor å videreføre gjeldende rett for så vidt gjelder adgangen til å bruke informasjon om åpnet gjeldsforhandling i kredittopplysningsvirksomhet, se lovforslaget § 23. Opplysninger om åpnet gjeldsforhandling kan maksimalt benyttes i kredittopplysningsvirksomheten i ett år.
Opplysningen om åpnet gjeldsforhandling skal likevel slettes tidligere dersom visse forhold inntreffer. Presiseringene fremgår i lovforslaget § 23 første ledd bokstav a til c. For det første skal opplysningene slettes dersom gjeldsforhandlingene heves i samsvar med reglene i gjeldsordningsloven § 3-7. I disse tilfellene foreligger det omstendigheter som er til hinder for at det etableres en gjeldsordning, og det vil være åpenbart at forhandlingene ikke vil føre frem. Dernest skal opplysning om åpnet gjeldsforhandling slettes når en gjeldsordning er fastsatt. Da er det informasjon om gjeldsordningen som skal benyttes i kredittopplysningsvirksomheten, og ikke opplysning om åpning av gjeldsforhandlinger. Til slutt skal opplysning om åpning av gjeldsforhandling slettes dersom gjeldsforhandlingsperioden avsluttes uten at det er mottatt melding fra Løsøreregisteret om at en gjeldsordning er fastsatt. Dette gjelder både der gjeldsforhandlingene avsluttes etter normal gjeldsforhandlingsperiode, og der perioden forlenges. Gjeldsforhandlingsperioden kan under ingen omstendighet vare i mer enn ett år, jf. gjeldsordningsloven § 5-1 femte ledd. Dette betyr at også i situasjoner der gjeldsforhandlingsperioden forlenges, vil slettetidspunktet inntre senest ett år etter at gjeldsforhandlingene ble åpnet.
For registrerte gjeldsordninger foreslår departementet at opplysninger om disse kan benyttes i kredittopplysningsvirksomheten så lenge ordningen varer. Det kan være ulike årsaker til at en gjeldsordning oppheves jf. gjeldsordningsloven § 6-2. Blant annet kan skyldners økonomiske situasjon ha bedret seg. Under enhver omstendighet vil han eller hun ikke lenger være underlagt begrensningene i gjeldsordningsloven når gjeldsordningen oppheves. Dersom en fastsatt gjeldsordning oppheves, skal derfor opplysning om gjeldsordningen slettes fra kredittopplysningsregisteret, og ikke lenger brukes i kredittopplysningsvirksomheten.
Gjeldsopplysninger skal slettes fra kredittopplysningsregisteret i samsvar med reglene i gjeldsinformasjonsforskriften § 10 jf. § 5. Dette innebærer at gjeldsopplysninger som kredittopplysningsforetaket har mottatt i medhold av gjeldsinformasjonsforskriften § 5, skal slettes så snart kredittscoremodellen er ferdigstilt eller oppdatert og nødvendig validering er gjennomført. Gjeldsopplysningene kan uansett ikke benyttes i kredittopplysningsvirksomheten lenger enn tre måneder fra de ble mottatt. Når sletteplikten inntrer, kan opplysningene overføres til historisk database og brukes blant annet til analyseformål.
Norske kredittopplysningsbyråers forening har, som eneste høringsinstans, bemerket at det de omtaler som positive opplysninger bør kunne brukes lenger enn fire år. Ingen andre høringsinstanser har kommentert bruken av denne type opplysninger i kredittopplysningsvirksomhet. På denne bakgrunn har departementet ikke funnet grunn til å endre gjeldende rett, men viderefører den generelle fireårsfristen også for denne type opplysninger.
12.5.2 Historisk arkiv
Departementet mener det er hensiktsmessig å videreføre adgangen til å overføre opplysninger som ikke lenger kan benyttes i kredittopplysningsvirksomheten (historisk informasjon) til et historisk arkiv, se lovforslaget § 25. Som flere høringsinstanser har pekt på, benyttes opplysningene fra historisk arkiv blant annet i utarbeidelse av modeller for beregning av kredittscore, som grunnlag for finansieringsinstitusjonenes risikovurderinger, og som grunnlag for arbeidet med IFRS. Opplysningene i det historiske arkivet kan dessuten være nødvendige ved et eventuelt søksmål eller erstatningskrav mot kredittopplysningsvirksomheten for uriktig behandling av kredittopplysninger.
Etter gjeldende rett skal kredittopplysninger slettes i det historiske arkivet senest ti år etter at opplysningen første gang lovlig kunne registreres i kredittopplysningsvirksomhet. Departementet har merket seg at Norske kredittopplysningsbyråers forening mener det er ønskelig med en noe lenger lagring i historisk arkiv enn etter gjeldende rett. Høringsinstansen har foreslått å knytte lagringstiden i historisk arkiv til den datoen opplysningene ble overført til basen, fremfor å knytte den til tidspunktet for første gangs registrering i kredittopplysningsregisteret. Dersom man legger hovedregelen om fire års brukstid for en kredittopplysning til grunn, vil samlet lagring i kredittopplysningsregisteret og historisk arkiv kunne bli opptil 14 år.
Hovedregelen etter lov om foreldelse av fordringer § 9 er at et erstatningskrav foreldres tre år fra den dagen den skadelidte fikk eller burde skaffet seg nødvendig kunnskap om skaden og den ansvarlige. Eventuell skade som følge av uriktig behandling av kredittopplysninger vil normalt oppstå og oppdages relativt kort tid etter at behandlingen har funnet sted. Det er dermed god grunn til å anta at eventuelle krav om erstatning på grunn av feil hos kredittopplysningsforetaket vil bli fremsatt i god tid før det er gått tre år fra opplysningene ble overført fra kredittopplysningsregisteret til den historiske databasen. En lagring i tre år i historisk arkiv vil dermed i de fleste tilfeller være tilstrekkelig til å kunne fremskaffe nødvendig dokumentasjon i erstatningssaker. Departementet kan derfor ikke se at hensynet til dokumentasjon i erstatningssaker tilsier at opplysninger bør lagres i inntil 14 år. Etter departementets vurdering er det heller ikke fremført andre tungtveiende argumenter for en såpass omfattende utvidelse av lagringstiden. Heller ikke høringsinstanser i finansnæringen har tatt til orde for en slik utvidelse, men har sagt seg tilfreds med dagens lagringsregler. I de gjeldende konsesjonene for behandling av opplysninger i kredittopplysningsvirksomhet vises det dessuten til at slettefristene i kredittopplysningsforetakenes registre samsvarer med de slettefristene som gjelder for banker og finansinstitusjoners behandling av personopplysninger. Dette tilsier, slik departementet ser det, at heller ikke de dokumentasjonskravene som gjelder for finansieringsinstitusjonene kan begrunne utvidet lagringstid i samsvar med forslaget fra Norske kredittopplysningsbyråers forening.
Departementet anbefaler på denne bakgrunn å lovfeste den gjeldende regelen om at opplysninger i kredittopplysningsforetakenes historiske arkiv skal slettes eller anonymiseres senest ti år etter at opplysningene første gang lovlig ble registrert i kredittopplysningsvirksomheten.
Avvikling av virksomhet vil normalt bety at rettsgrunnlaget for behanding av kredittopplysninger bortfaller. Ved opphør av kredittopplysningsvirksomhet vil det derfor være nødvendig å påse at registrerte kredittopplysninger ivaretas på en tilfredsstillende måte. Departementet foreslår i lovforslaget § 26 å lovfeste en plikt til å slette alle opplysninger som behandles hos kredittopplysningsforetaket når virksomheten opphører. Det foreslås videre at Datatilsynet gis myndighet til å fatte vedtak med pålegg om sletting dersom foretaket ikke på eget initiativ sletter opplysninger ved opphør av virksomhet. Denne kompetansen følger av Datatilsynets allminnelige kompetanse etter lovforslaget § 28.