31 Vurdering av personvernkonsekvenser

Personopplysninger skal behandles i samsvar med personopplysningsloven, som gjennomfører forordning (EU) 2016/679 (personvernforordningen/GDPR), se lovens § 1. Ansatte i inkassoforetakene og Finansklagenemnda har taushetsplikt etter inkassoloven § 28, mens ansatte i Finanstilsynet har taushetsplikt etter forvaltningsloven og finanstilsynsloven § 2-7.

Departementet foreslår i lovforslaget § 37 og § 39 femte ledd å videreføre inkassolovens regler om taushetsplikt (med noe endrede formuleringer). Samtidig foreslås det for inkassoforetakenes ansatte unntakshjemler for å dele opplysninger med andre så langt det er nødvendig for å unngå fare for liv eller helse, og for å gi opplysninger til barnevernet om forhold som gir grunn til å tro at et barn blir eller vil bli mishandlet, utsatt for alvorlige mangler ved den daglige omsorgen eller utsatt for annen alvorlig omsorgssvikt. Dette vil ofte være opplysninger som skyldneren ikke ønsker delt, i hvert fall der og da, selv om flere på sikt trolig vil være takknemlige hvis de får hjelp. Opplysningene kan for eksempel gjelde trusler eller andre uakseptable uttalelser, eller at skyldneren ikke klarer å ivareta de mest grunnleggende behovene for seg eller barna. Etter forslaget er det høye terskler for å dele opplysninger, og det er begrenset hvilke opplysninger som kan gis, og hvem opplysningene kan deles med. (Ved fare for liv eller helse er ikke det angitt i lovbestemmelsen hvem opplysningene kan deles med, men det følger av «så langt det er nødvendig» at man bare kan melde fra til en relevant person eller instans, se merknaden til paragrafen for nærmere beskrivelse.) Etter departementets vurdering er det i lys av alvoret i situasjonene og begrensningene i de foreslåtte unntakene forholdsmessig å gjøre unntak fra taushetsplikten.

I lovforslaget § 37 foreslås det også presisert at taushetsplikten ikke er til hinder for å orientere fordringshaveren om inkassosaken. Dette følger i dag av inkassators opplysningsplikt etter inkassoloven § 15 første punktum. Om deling av opplysninger med fordringshaveren uttaler arbeidsgruppen i rapportens punkt 11.3 at fordringshaveren vil anses å være uvedkommende når det gjelder en stor del personlige forhold. Videre skriver arbeidsgruppen:

«En del personopplysninger kan deles med fordringshaveren uavhengig av taushetspliktbestemmelsen, men også personopplysningsloven og personvernforordningen kan hindre deling av personopplysninger, eller gi prinsipper for hvordan personopplysningene skal deles. Arbeidsgruppen kan ikke se at forslagene medfører noen endring i hvilke opplysninger som kan deles med fordringshavere. En annen sak er at visse opplysninger som kan deles med fordringshavere, oftere vil kunne bli delt, fordi opplysningene vil bli brukt i et større antall saker.»

Arbeidsgruppen redegjør i rapportens punkt 11.2 generelt for behandling av personopplysninger om skyldnerne i inkassoforetak:

«Inkassoforetak behandler svært mye personopplysninger av ulik karakter. Inkassoforetakene behandler personopplysninger særlig for tre formål 1) kontakte skyldneren 2) tilpasse inndrivingen slik at den blir mest mulig effektiv 3) tilpasse inndrivingen av hensyn til skyldneren. Inkassoforetaket trenger derfor kontaktopplysninger til skyldneren, opplysninger om skyldnerens økonomi og eventuelle opplysninger om forhold som gir grunn til tilpasninger av hensyn til skyldneren. Inkassoforetakene får personopplysninger både fra fordringshaveren, ulike registre og skyldneren selv.

Fra fordringshaveren vil inkassoforetaket gjerne motta svært enkel informasjon om skyldneren. Normalt er opplysningene begrenset til navn og adresse, men enkelte fordringshavere oppgir også telefonnummer og e-postadresse. Banker sender som regel også fødsels- og personnummer over. Siden det etter gjeldende rett ikke er anledning til å kreve kostnadsdekning fra mindreårige skyldnere […] må inkassoforetaket også motta informasjon om skyldnernes fødselsdato der fordringshaveren har en portefølje med høy risiko for mindreårige skyldnere (legekrav, kjøreskolekrav, bibliotekskrav mv.). Fordringshaveren vil også gi helt enkel informasjon om kravet, og kravet i seg selv kan etter omstendighetene være sensitivt, f.eks. fordi det viser at skyldneren har mottatt medisinsk eller psykologisk behandling.

Inkassoforetakene innhenter også opplysninger fra tilgjengelige offentlige registre og sin egen database, både for å identifisere skyldneren og sikre at kontaktinformasjonen er riktig, og for å få opplysninger om skyldnerens økonomi (inntekt, formue, utlegg, heftelser og kredittopplysninger). I hovedsak hentes det opplysninger fra Folkeregisteret, Posten, kredittopplysningsforetak, teleoperatører, Skattedirektoratet, løsøreregisteret, Statens kartverk og Brønnøysundregistrene. Foretakene undersøker også dødsdato for å vite om skyldneren har gått bort, og eventuelt kunne rette krav mot dødsboet. Opplysningene fra registrene sikrer også at inkassoforetakenes personopplysninger er oppdaterte og korrekte.

Inkassoforetakene får også personopplysninger fra skyldneren selv eller andre som tar kontakt på vegne av skyldneren. Dette kan være informasjon om skyldnerens livssituasjon, yrkesstatus, sivilstatus, helseopplysninger, soning av straff, mv.»

Etter lovforslaget her vil inkassoforetakene i stor grad bruke de samme personopplysningene om skyldnerne som nå. Flere av forslagene vil likevel kunne innebære økt bruk av personopplysninger. Disse forslagene følger for en stor del opp forslag fra arbeidsgruppen, og departementet gjengir derfor her arbeidsgruppens vurdering av personvernkonsekvensene.

Arbeidsgruppen vurderer i sin generelle redegjørelse for personvernkonsekvensene i rapportens punkt 11.3 at personvernkonsekvensene ikke er vesentlige, og arbeidsgruppen mener at fordelene med forslagene klart overstiger de personvernmessige ulempene:

«Som det framgår av punktene nedenfor, medfører flere av arbeidsgruppens forslag økt bruk av personopplysninger. Selv om forslagene innebærer økt bruk av personopplysninger, er personvernkonsekvensene etter arbeidsgruppens vurdering ikke vesentlige, og arbeidsgruppen mener at fordelene med forslagene klart overstiger de personvernmessige ulempene.

Inkassoforetakene tilpasser allerede inndrivingen dersom de blir kjent med forholdene som arbeidsgruppens forslag gjelder. Endringene i behandlingen av personopplysninger gjelder derfor at inkassoforetakene i større grad blir forpliktet til å innhente opplysninger fra offentlige registre, at inkassoforetakene får innsyn i opplysninger om foreldre og foreldreansvar fra folkeregisteret, samt vergemål og stadfestet fremtidsfullmakt, som ikke er taushetsbelagt i dag, og at opplysningene vil bli brukt i et større antall saker.

Undersøkelsesplikten som følger av forslagene, innebærer også at inkassoforetakene må innhente opplysninger om at skyldneren ikke faller inn under de aktuelle bestemmelsene – eksempelvis at skyldneren er myndig, og at det ikke har vært forsøkt tatt utlegg tidligere. Arbeidsgruppen antar at denne behandlingen av personopplysninger er lite problematisk.

I og med at inkassoforetakene behandler opplysningene allerede, antar arbeidsgruppen at endringene ikke gir grunn til rutineendringer når det gjelder ivaretakelsen av personvernet.»

I rapportens punkt 11.9 redegjør arbeidsgruppen kort for personvernkonsekvenser av forslagene om plikt til i rimelig utstrekning å tilpasse inndrivingen til skyldnere som er i en særlig vanskelig situasjon, og plikt til i rimelig utstrekning å tilpasse kommunikasjonen til skyldneren (lovforslaget § 14 tredje ledd og § 15 første ledd). Arbeidsgruppen vurderer forslagene slik at de bare i ubetydelig grad medfører økt bruk av personopplysninger, og begrunner det slik:

«Når det gjelder skyldnere i en særlig vanskelig situasjon, har inkassoforetakene etter god inkassoskikk allerede plikt til å tilpasse inndrivingen […]. Opplysningene om situasjonen vil som regel komme fra skyldneren selv, fordi skyldneren ønsker tilpasninger i inndrivingen. Det kan eksempelvis være forbigående betalingsvansker, helsesituasjon eller annet som ikke framkommer av offentlige registre. Ofte vil det være sensitiv informasjon. Når skyldnere tar kontakt med slik informasjon i dag, registreres informasjonen i inkassoforetakets saksbehandlingssystem. Selv om forslaget ikke innebærer ny bruk av personopplysninger, er det sannsynlig at forslaget om lovfesting av plikten til tilpasninger og forslaget om at det skal opplyses i betalingsoppfordringen om hvordan skyldneren kan ta opp betalingsvanskeligheter, vil føre til at skyldnere oftere tar kontakt. I så fall vil inkassoforetakene oftere behandle slike personopplysninger enn i dag. Arbeidsgruppen legger for øvrig til grunn her som ellers at inkassoforetakene følger taushetspliktsbestemmelsen og personopplysningsregelverket.

Plikten til å tilpasse kommunikasjonen til skyldneren henger for en stor del sammen med plikten til å tilpasse inndrivingen til skyldnere som er i en særlig vanskelig situasjon. Det er likevel mulig at plikten vil føre til større oppmerksomhet rundt kommunikasjonsvanskeligheter og behov for tilpasninger i den forbindelse. Behovet for tilpasset kommunikasjon trenger for øvrig ikke gjelde det at skyldneren er i en vanskelig situasjon. Det kan også være f.eks. at skyldneren ber om å få snakke med en saksbehandler på engelsk.»

Departementet slutter seg til disse vurderingene.

Etter lovforslaget § 14 fjerde ledd er det adgang til i rimelig utstrekning å tilpasse inndrivingen til skyldnere som søker å unndra seg forpliktelsene sine. Går det klart frem at skyldneren søker å unndra seg betalingen, eller foreligger det andre særlige forhold, kan dessuten reglene om varsling og inndriving av flere krav med samme skyldner og fordringshaver fravikes i den utstrekningen det er fare for at dekningsmulighetene ellers helt eller delvis vil bli forspilt, etter lovforslaget § 23 første ledd. I rapportens punkt 11.9 vurderer arbeidsgruppen også disse forslagene slik at de bare i ubetydelig grad medfører økt bruk av personopplysninger. Arbeidsgruppen viser til at det etter gjeldende ulovfestet rett er adgang til mer pågående inndriving der det går klart frem at skyldneren søker å unndra seg forpliktelsene sine. I inkassoloven § 12 er det oppstilt unntak fra varslingsreglene i §§ 9 til 11 i slike tilfeller. Arbeidsgruppen foreslår å videreføre dette unntaket, men å utvide det slik at det også omfatter unntak fra reglene om inndriving av flere krav med samme skyldner og fordringshaver. Arbeidsgruppen vurderer konsekvensene slik:

«Det siste forslaget vil innebære at inkassoforetaket gis en utvidet adgang til å fravike lovens normale saksgang, og dermed at inkassoforetaket i større utstrekning kan behandle og vurdere personopplysninger. Forslaget innebærer imidlertid bare marginalt økt bruk av disse opplysningene, sammenlignet med i dag. Arbeidsgruppen kan ikke se at det vil dreie seg om andre personopplysninger eller flere tilfeller enn etter dagens unntaksbestemmelse. Det synes opplagt at skyldnere ikke ønsker at opplysningene om at han eller hun søker å unndra seg forpliktelsene sine, skal behandles. Likevel er det viktig både for den enkelte fordringshaveren og i siste instans også for kredittmarkedet og de som betaler forpliktelsene sine, at inkassoforetakene kan tilpasse inndrivingen til disse skyldnerne.»

Departementet slutter seg også til disse vurderingene.

Etter lovforslaget vil det være aktuelt å behandle opplysninger om skyldnernes alder gjennom arbeidet med å forebygge inndriving av urettmessige krav (§§ 24 og 25), gjennom reglene om kommunikasjon der skyldneren er mindreårig (§ 29), og gjennom regelen om at det ikke kan kreves erstattet kostnader ved inndriving av krav som skyldneren pådro seg som mindreårig (§ 18 femte ledd). Departementet er enig med arbeidsgruppen når den i rapportens punkt 11.5 legger til grunn at forslagene i praksis innebærer at inkassoforetakene får en plikt til å undersøke skyldnernes alder.

Av de nevnte reglene er det bare lovforslaget § 18 femte ledd som gjelder direkte ved ordinær egeninkasso. (Det å inndrive ugyldige krav, for eksempel fordi skyldneren ikke hadde kompetanse til å inngå avtalen, kan likevel være i strid med god inkassoskikk.) Departementet er enig med arbeidsgruppen i at en fordringshaver som driver ordinær egeninkasso, og som ikke har grunn til å tro at skyldneren pådro seg kravet som mindreårig, vanskelig kan pålegges å undersøke skyldnerens alder.

Departementet slutter seg også til uttalelsene fra arbeidsgruppen om at opplysninger om alder i seg selv ikke vil være en personopplysning som er egnet til å krenke skyldnerens integritet. Som arbeidsgruppen viser til, behandler inkassoforetakene i stor utstrekning fødselsnumre allerede for å identifisere skyldneren og for å slå opp i registre.

En annen sak er at lovforslaget § 29 innebærer at en annen person enn skyldneren selv gis informasjon om det misligholdte kravet, i og med at inndrivingen skal rettes mot vergen. Arbeidsgruppen ser ut fra dette behov for i enkelte tilfeller å verne den mindreårige skyldneren mot at informasjon om kravet tilflyter vergen. Den forslår derfor at inndrivingen ikke skal rettes vergen dersom vern av sensitive opplysninger eller andre hensyn til den mindreårige tilsier at inndrivingen bare rettes mot den mindreårige. Dette er fulgt opp i § 29 andre punktum i departementets lovforslag, med en noe annen ordlyd. Som arbeidsgruppen viser til, er uttrykket sensitive opplysninger ment å gi anvisning på en skjønnsmessig vurdering, og det skal ikke bety det samme som særlige kategorier personopplysninger (tidligere: sensitive personopplysninger) etter personopplysningsregelverket, selv om innholdet i begrepene vil være delvis overlappende. Arbeidsgruppen legger for øvrig til grunn at hensynet til den mindreårige i de aller fleste tilfeller tilsier at inndrivingen rettes mot vergen, og at det ligger naturlig innenfor foreldrenes rolle som verge og foreldreansvaret, at de involveres der barnet har en inkassosak. Departementet er enig i dette.

I lovforslaget § 30 foreslås det at der skyldneren er en voksen som har verge, skal inkassoforetakene rette skriftlige henvendelser til både skyldneren og vergen, mens muntlige henvendelser kan rettes til vergen. I paragrafen foreslås det også at dersom skyldneren har opprettet en fremtidsfullmakt som er i kraft og omfatter inkasso, og inkassoforetaket er kjent med dette, skal inkassoforetaket henvende seg til fullmektigen. Arbeidsgruppen uttaler i rapportens punkt 11.6 at forslagene i praksis innebærer en plikt til å undersøke i Folkeregisteret om skyldneren har verge eller er registrert med stadfestet fremtidsfullmakt. For øvrig antar arbeidsgruppen at inkassoforetakene allerede forholder seg til vergen i mange tilfeller. Departementet er enig i dette. Videre uttaler arbeidsgruppen:

«Etter det arbeidsgruppen er kjent med, vil det å betale regninger og å håndtere inkassosaker vanligvis være innenfor vergens kjerneoppgaver. Hvis ikke inkassokravet betales, påløper det høye gebyrer, og til slutt kan det bli aktuelt med tvangsfullbyrdelse og betalingsanmerkninger. Man kan ikke forvente at skyldneren selv opplyser om vergemålet, og i dag er det i all hovedsak verger og ikke skyldnere som opplyser inkassoforetakene om vergemålet.

[…]

Som for mindreårige er det foreslått at andre enn skyldneren selv gis informasjon om inkassosaken. Arbeidsgruppen foreslår imidlertid at skyldneren kan be om at henvendelser ikke skal rettes vergen, og at inkassoforetaket i så fall skal rette seg etter det. Når det gjelder voksne med verge, har ikke arbeidsgruppen foreslått et unntak for vern av sensitive opplysninger, slik det foreslås for mindreårige. Det skyldes for det første at voksne med verge for en stor del har svært høy alder og er demente. Arbeidsgruppen antar at en vesentlig del av kravene for denne gruppen gjelder medisinsk behandling, at skyldnerne pga. helsetilstanden ikke har noen mulighet til å ta hånd om kravene selv, og at vergen er godt kjent med at skyldneren har dårlig helse. Tilsvarende vil kunne gjelde også for yngre voksne med verge. Kravet vil angi fordringshaverens navn, men arbeidsgruppen legger til grunn at opplysninger om sykdom mv. ikke angis. Det siste vil også følge av helsepersonellets/fordringshaverens taushetsplikt. For det andre har oppnevnte verger taushetsplikt om det han eller hun får vite som ledd i vergeoppdraget om noens personlige forhold. Foreldre har ikke taushetsplikt om barnas personlige forhold.»

Departementet slutter seg til disse vurderingene, og også til at vurderingene gjelder tilsvarende for reglene om skyldnere som har opprettet en fremtidsfullmakt som er i kraft.

I lovforslaget § 38 foreslås det at et inkassoforetak kan innhente fra Folkeregisteret opplysninger om foreldre, foreldreansvar, vergemål, herunder innholdet i vergemålet og vergens oppdrag, og stadfestet fremtidsfullmakt når det er nødvendig for å utføre oppgaver etter denne loven. Denne bestemmelsen gir unntak fra taushetspliktbestemmelsen i folkeregisterloven § 9-1. Tilgangen til disse opplysningene er nødvendige for å anvende reglene nevnt ovenfor om mindreårige skyldnere og voksne skyldnere som har verge eller fremtidsfullmektig. Det er redegjort nærmere for forslaget i punkt 26. I rapportens punkt 11.8 forutsetter arbeidsgruppen «her som ellers» at inkassoforetakene overholder taushetsplikten og personopplysningsloven, og departementet gjør også det.

Forslaget til regler om dokumentasjon ved utførelsen av inkassooppdragene (lovforslaget § 36) innebærer behandling av personopplysninger. Det gjelder særlig kravet til dokumentasjon av kommunikasjon med fordringshavere og skyldnere og krav til oppbevaringstid for denne. Etter hva departementet forstår, innebærer ikke kravene til hva som skal dokumenteres, endringer i gjeldende praksis (se punkt 24). Kravene til oppbevaringstid (som hovedregel minst fem år fra den aktuelle oppdrags- eller utkontrakteringsavtalen opphører), innebærer likevel en utvidelse sammenlignet med gjeldende bransjenorm, hvor hovedregelen er sletting tre år etter at saken er avsluttet. De foreslåtte reglene om dokumentasjon gjelder ikke opplysninger fra offentlige registre, men det er mulig at kravene til oppbevaringstid reelt sett også vil kunne få betydning for hvor lenge opplysninger fra offentlige registre vil bli oppbevart. Departementet legger til grunn at kravet til oppbevaringstid er vurdert å være forholdsmessig ved utarbeidelsen av direktiv (EU) 2021/2167.

Reglene om egnethet (se punkt 7) innebærer at både inkassoforetakene og Finanstilsynet skal behandle personopplysninger for angitte personer i foretakene. Enkelte regler innebærer økt behandling av personopplysninger sammenlignet med i dag:

• Etter lovforslaget § 7 første ledd bokstav d skal det foretas egnethetsvurderinger av varamedlemmer til styret og daglig leders stedfortreder.

• Etter lovforslaget § 7 første ledd bokstav d, jf. § 12, skal en eier med betydelig eierandel fremlegge politiattest, og det vil si at Finanstilsynet vil kunne få opplysninger om begåtte lovbrudd som ellers ville vært ukjente.

• Etter lovforslaget § 12 tredje ledd andre punktum, jf. andre ledd bokstav b skal Brønnøysundregistrene bekrefte at personer som skal egnethetsvurderes, ikke er under konkursbehandling, konkurskarantene, rekonstruksjonsforhandling, gjeldsforhandling eller gjeldsordning, og dette innebærer økt tilgang til opplysninger om de aktuelle personene.

Etter departementets syn er personvernkonsekvensene her forholdsmessige. Departementet viser til at personopplysningene er nødvendige for å foreta egnethetsvurderinger av sentrale personer i foretakene.

Etter lovforslaget § 46 skal virksomhetsregisteret gjelde foretak som har norsk inkassobevilling, og virksomheter som driver grensekryssende inkassovirksomhet eller grensekryssende inndriving etter direktiv (EU) 2021/2167 i Norge. Registeret skal være offentlig, bortsett fra opplysninger om fødselsnummer. Hvilke opplysninger registeret skal inneholde, vil bli fastsatt i forskrift. Departementet antar at personvernkonsekvensene av forslaget vil være begrenset, i og med at Finanstilsynet allerede har et offentlig virksomhetsregister hvor inkassoforetak inngår.

En generell konsekvens av direktiv (EU) 2021/2167 er at flere aktører vil kunne inndrive krav i Norge etter reglene om grensekryssende inndriving (se punkt 29 og lovforslaget § 48). Flere aktører vil derfor behandle personopplysninger etter inkassoloven. Departementet har ikke grunnlag for å anslå hvor vanlig det vil bli at utenlandske foretak inndriver krav i Norge etter direktivet, men direktivet har et nokså snevert virkeområde. Foretakene vil ha bevilling fra sin hjemstat og være underlagt tilsyn etter direktivet. Departementet legger til grunn at personvernkonsekvensene av direktivet er vurdert å være forholdsmessige i EU.