Personvernnemndas vedtak 25. april 2023 (Mari Bø Haugstad, Bjørnar Borvik, Hans Marius Graasvold, Ellen Økland Blinkenberg, Hans Marius Tessem, Morten Goodwin, Malin Tønseth)
Saken gjelder klage fra A på Datatilsynets vedtak 21. februar 2022 der tilsynet kom til at Getaround (tidligere Nabobil.no) hadde rettslig grunnlag for å kredittvurdere A da han skulle leie bil via selskapets bildelingsplattform, jf. personvernforordningen artikkel 6 nr. 1 bokstav f.
Sakens bakgrunn
Nabobil.no er en plattform som knytter kontakt mellom brukere som ønsker å leie ut sin bil, og brukere som ønsker å leie andres bil. Nabobil er ikke selv part i avtalen mellom utleier og leietaker, men formidler betalingen fra leietaker til utleier. Som betaling for sine tjenester, trekker Nabobil et gebyr fra leieprisen. Leieforholdet forskuddsbetales. Leietaker må registrere sitt betalingskort ved leie av bil via Nabobil, og Nabobil forbeholder seg retten til å belaste betalingskortet for alle utestående beløp leietaker er ansvarlig for. I tillegg til leie, kan dette for eksempel dreie seg om bompenger, parkeringsgebyrer, egenandel og erstatning. Sistnevnte utgifter er utgifter som oppstår under leieforholdet, og som ikke er forskuddsbetalt.
Nabobil tilbyr sine brukere forsikring gjennom If Skadeforsikring for potensielle skader som kan påføres bilen og tredjeparter under leieforholdet. Nabobil er ansvarlig under forsikringsvilkårene. Leietaker er ikke forsikringstaker i henhold til forsikringsvilkårene, men er forpliktet til å betale egenandel til Nabobil som en del av avtalen for bruk av tjenesten. I et forsikringstilfelle betaler Nabobil egenandelen til If Skadeforsikring, og krever deretter dette dekket av leietaker.
Nabobil foretok en kredittvurdering av A da han i november 2019 ønsket å leie bil via Nabobils tjenester. På grunn av en betalingsanmerkning fikk ikke A inngått en leieavtale med Nabobil.no.
A klaget saken inn for Datatilsynet 24. november 2019 og meldte fra om det han oppfattet som ulovlig kredittsjekk fra Nabobil.
Datatilsynet skrev til Nabobil 3. november 2020 og ba om en redegjørelse. Selskapet redegjorde i brev 10. desember 2020 for sin praksis.
Nabobil.no AS endret i november 2021 navn til Getaround Norway AS. Selskapet omtales i det følgende som Nabobil, som var navnet på selskapet på utleietidspunktet i 2019.
Datatilsynet konkluderte i vedtak 21. februar 2022 med at Nabobil hadde rettslig grunnlag for å kredittvurdere A da han skulle leie bil via selskapet, jf. personvernforordningen artikkel 6 nr. 1 bokstav f.
A klaget rettidig på Datatilsynets vedtak 15. mars 2022.
Datatilsynet vurderte klagen, men fant ikke grunnlag for å endre sitt vedtak. Saken ble oversendt Personvernnemnda 5. januar 2023. Partene ble orientert om saken i brev fra nemnda 13. januar 2023 og fikk anledning til å komme med kommentarer. Ingen av partene har inngitt kommentarer.
Saken ble behandlet i nemndas møte 25. april 2023. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Bjørnar Borvik (nestleder), Hans Marius Graasvold, Ellen Økland Blinkenberg, Hans Marius Tessem, Morten Goodwin og Malin Tønseth. Sekretariatsleder Anette Klem Funderud var også til stede.
Datatilsynets vurdering i hovedtrekk
Datatilsynet vurderer om Nabobil har behandlingsgrunnlag for sin innhenting av kredittopplysninger om A i personvernforordningen artikkel 6 nr. 1 bokstav f. Bestemmelsen krever at en behandling av personopplysninger er «nødvendig» for å ivareta en «berettiget interesse» som etter en interesseavveining veier tyngre enn hensynet til den enkeltes personvern.
Tilsynet kommer til at Nabobils økonomiske interesse i å beskytte seg mot tap i forbindelse med utleie av bil utgjør en berettiget interesse.
Tilsynet vurderer at det var nødvendig for Nabobil å kredittvurdere A slik at selskapet kunne forsikre seg om at han som leietaker hadde økonomisk evne til å betale utgifter som kan oppstå under leieforholdet.
Datatilsynet foretar etter dette en konkret interesseavveining og kommer til at Nabobils berettigede interesse veier tyngre enn As personvern. Selv om en kredittvurdering innebærer et stort inngrep i den enkeltes rettigheter og friheter, legger tilsynet i denne saken avgjørende vekt på Nabobils tungtveiende interesse i å senke den økonomiske risikoen.
Datatilsynet konkluderer med at Nabobil hadde rettslig grunnlag etter artikkel 6 nr. 1 bokstav f for å kredittvurdere A i forbindelse med leie av bil.
As syn på saken i korte trekk
Datatilsynets avgjørelse framstår helt urimelig fordi den står i motstrid til andre forsikringsforhold.
Argumentet om at dette er å anse som et kredittforhold faller på sin egen urimelighet. Han skulle som kunde forskuddsbetale leien kontant sammen med et depositum for en tidsbestemt tjeneste som inneholder en bilforsikring som er lovbestemt. Som bileier er du forpliktet til å ha en forsikring, og et forsikringsselskap kan ikke nekte deg å tegne forsikring. Ved å betale forskudd som her, har man faktisk allerede betalt for produktet. Egenandelen er del av forsikringsavtalen, og det er ikke noen større risiko her enn for andre forsikringsavtaler. Argumentet om kredittelement er derfor ugyldig.
Det ville også vært betalt et depositumsbeløp her som dekker mer enn 50% av egenandelen ved skade. Når selskapet i tillegg har forbeholdt seg retten til å belaste et debetkort som hos de fleste er knyttet opp mot en lønnskonto blir argumentene rundt kredittforhold ytterligere urimelig.
En betalingsanmerkning gir ingen opplysninger om hvor mye som er innestående på konto. Det er ikke behov for kreditt knyttet til bompenger i et leieforhold som varer i 4 timer når man har gitt selskapet adgang til å trekke dette fra konto.
Forsikringen hadde dessuten en lav egenandel på 4000 kr. Selskapet kunne krevd et depositum tilsvarende egenandelen som en reservasjon på kortet. Det ville vært enkelt å administrere. Det er derfor ikke riktig at selskapet ikke hadde andre muligheter.
I dag har 261 000 nordmenn betalingsanmerkninger eller 7,6% av alle som er kredittaktive. Det kan ikke brukes kredittvurderinger for å nekte folk nødvendige tjenester når de betaler på forhånd.
I hans tilfelle hadde han gjort opp alle krav og hadde over 300 000 kroner på brukskontoen, men han hadde en betalingsanmerkning på grunn av en feil hos et inkassobyrå. Det kostet han dyrt at han ikke fikk leie fra Nabobil fordi han da måtte benytte et flyttebyrå i stedet. Flyttebyrået sendte regning og foretok ingen kredittvurdering.
Det foreligger ingen saklig grunn for å kredittvurdere her, og bruken framstår som diskriminerende. Han ber derfor om nemndsbehandling av saken.
Nabobils syn på saken i korte trekk
Behandling av kredittopplysninger er nødvendig for å ivareta berettigede interesser hos Nabobil, og har rettslig grunnlag i artikkel 6 nr. 1 bokstav f.
Nabobil påtar seg et stort ansvar når det inngås en leieavtale via plattformen, både ved å forplikte seg til å dekke og kreve inn utgifter for bompenger, ekstra kjørte kilometer, drivstoff, mm. til utleier og ved å betale og kreve inn eventuell egenandel til forsikringsselskapet i tilfelle skade. Total egenandel for ett skadetilfelle kan overstige 12 000 kroner. Betaler ikke leietaker kravet, vil det være et tap for Nabobil. Nabobil er avhengig av at leietakerne har en viss betalingsevne for å sikre utleier dekning av utgifter i leieperioden.
Nabobil er direkte ansvarlig overfor forsikringsselskapet for egenandel ved skadetilfeller, som kan dreie seg om betydelige summer. Ansvaret har påført Nabobil store utgifter som følge av manglende betaling. Nabobil har forbeholdt seg retten til å kreve depositum, men vurdert det slik at depositum ikke vil kunne gi en tilfredsstillende sikkerhet for potensielle krav selskapet vil kunne ha mot leietaker, uten at prisen for å leie blir avskrekkende høy. Nabobil mener derfor at det er nødvendig å kredittvurdere sine leietakere.
Selv om ikke alle leieforhold vil aktualisere skader som utløser egenandel, kan ikke Nabobil vite det på forhånd, og løper derfor en risiko ved ethvert leieforhold som inngås via plattformen.
Nabobils og utleiernes interesser må veie tyngre enn hensynet til de registrerte og deres behov for vern av opplysninger om seg. Av personvernhensyn innhenter Nabobil bare kredittscoren, om det foreligger betalingsanmerkninger og om det foreligger kredittsperre. Det er først når leietaker ønsker å leie en bil at kredittsjekken gjennomføres. Det er frivillig for leietakerne å bruke Nabobil.
Tjenestens karakter, herunder dets kredittelement og risikoen Nabobil og utleierne tar for forhold på leietakers side, tilsier at det kan forventes at Nabobil setter som vilkår for tjenesten at den registrerte har tilstrekkelig betalingsevne.
Personvernnemndas vurdering
Det er ingen tvil om at innhenting av kredittopplysninger utgjør en behandling av personopplysninger som må ha rettslig grunnlag for å være lovlig, jf. personvernforordningen artikkel 6 nr. 1. Nabobil er behandlingsansvarlig for behandlingen, jf. artikkel 4 nr. 7.
Lovens vilkår for innhenting av kredittopplysninger
I personvernforordningen artikkel 6 nr. 1 bokstav a til f er det oppstilt alternative rettslige grunnlag for behandling av personopplysninger. Det aktuelle behandlingsgrunnlaget for innhenting av kredittopplysninger i dette tilfellet er artikkel 6 nr. 1 bokstav f.
Behandlingsgrunnlag etter artikkel 6 nr. 1 bokstav f krever at tre kumulative vilkår er oppfylt. For det første må det foreligge en berettiget interesse, normalt hos den behandlingsansvarlige, eventuelt hos en tredjepart. Ved vurderingen av om det foreligger en berettiget interesse, skal det tas hensyn til om den registrerte med rimelighet kan forvente at personopplysningene blir anvendt til det aktuelle formålet mv. jf. fortalepunkt 47 til forordningen der det blant annet uttales:
«[…] Det kan f.eks. foreligge en slik berettiget interesse når det er et relevant og passende forhold mellom den registrerte og den behandlingsansvarlige, f.eks. dersom den registrerte er kunde av den behandlingsansvarlige eller i vedkommendes tjeneste. En berettiget interesse krever i alle tilfeller en nøye vurdering, herunder av om en registrert på tidspunktet for og i forbindelse med innsamling av personopplysninger med rimelighet kan forvente at disse behandles for nevnte formål […].»
Etter artikkel 6 nr. 1 bokstav f er det for det andre et krav om at behandlingen av personopplysningene er nødvendig «for formål knyttet til de berettigede interessene», og for det tredje skal det foretas en interesseavveining mellom den registrertes interesse til privatliv på den ene side og den behandlingsansvarliges/tredjeparts berettigede interesse i å behandle personopplysningene på den andre.
Lovens krav om at behandlingen (innhentingen av kredittopplysningene) må være nødvendig for formål knyttet til den behandlingsansvarliges berettigede interesse, innebærer at interessen som ivaretas av den behandlingsansvarlige må være lovlig og reelt begrunnet.
Det følger av kredittopplysningsloven (lov-2019-12-20-109) § 14 at kredittopplysninger bare kan gis til mottakere som har «saklig behov for opplysningene i forbindelse med vurdering av kredittevne». Loven trådte i kraft 1. juli 2022 og gjaldt ikke da kredittopplysningene til A ble innhentet av Nabobil i denne saken. Tilsvarende vilkår (saklig behov) fulgte imidlertid også av dagjeldende overgangsregler om behandling av personopplysninger i kredittopplysningsvirksomhet i forskrift 15. desember 2000 nr. 1265 § 4-3.
Nemnda er enig med Datatilsynet i at når det gjelder innhenting av kredittopplysninger om fysiske personer representerer ikke kravet til «saklig behov» noe tilleggsvilkår til artikkel 6 nr. 1 bokstav f. Personvernforordningen gir ikke nasjonalt handlingsrom for særregulering av innhenting av kredittopplysninger om fysiske personer. Vurderingen av om virksomheten har saklig behov for innhenting av kredittopplysninger har imidlertid nær sammenheng med vurderingen etter artikkel 6 nr. 1 bokstav f. Nemnda er derfor enig med tilsynet i at tidligere forvaltningspraksis knyttet til kravet til saklig behov fortsatt er relevant ved vurdering av om vilkårene i artikkel 6 nr. 1 bokstav f er oppfylt. Det samme gjelder uttalelser i forarbeidene til kredittopplysningsloven om hva som ligger i vilkåret om «saklig behov».
I prop. 139 L (2018-2019) uttaler departementet i merknadene til kredittopplysningsloven § 14 blant annet:
«Saklig behov for kredittopplysninger vil for det første foreligge i situasjoner der det skal ytes kreditt, eller der mottaker av opplysningene på annen måte vurderer å påta seg en økonomisk risiko ved å inngå avtale med den registrerte. Departementet viser her til Personvernnemndas uttalelse i PVN-2006-03 der nemnda uttalte at det «ikke alltid [vil] være tilstrekkelig at det foreligger et kredittelement dersom den forretningsmessige risiko er lav og motsatt vil det ikke alltid være nødvendig med et kredittelement dersom den forretningsmessige risiko er høy». Denne uttalelsen legger på en god måte til rette for konkrete vurderinger av det saklige behovet for kredittopplysninger i den enkelte situasjon. Det er i regelverket ikke satt noen nedre beløpsgrense for når det kan foreligge saklig behov, og heller ikke satt noen begrensninger i type tjenester kreditten kan knyttes til. Det vil derfor være opp til kreditor og kredittopplysningsforetaket å vurdere om den risikoen kreditor påtar seg er av en slik art at den tilsier behov for kredittvurdering.
Gode kredittvurderinger kan ha stor betydning både for kreditor og skyldner. For kreditor er det av stor viktighet at skyldner kan betjene de økonomiske forpliktelsene vedkommende påtar seg, slik at kreditor unngår tap. For skyldner kan det også ha betydning at kreditor foretar en god kredittvurdering, og eventuelt fraråder eller nekter skyldner en kreditt vedkommende trolig ikke vil kunne betjene. Bestemmelsen skal legge til rette for at potensielle kreditorer har tilgang til nødvendig og riktig informasjon som grunnlag for sine kredittvurderinger.
Samtidig skal bestemmelsen bidra til å forhindre unødig spredning av opplysninger de fleste registrerte opplever som beskyttelsesverdige. Krav om saklig behov vil derfor bidra til å hindre snoking i økonomiske opplysninger.»
Nemnda legger dette rettslige utgangspunktet til grunn for sin vurdering.
Om vilkårene for innhenting av kredittopplysninger er oppfylt i dette tilfellet
Nemnda legger til grunn at leietaker under leieforholdet kan pådra utgifter som ikke er forhåndsbetalt. Det kan være utgifter til bompenger, ekstra kjørte kilometer, parkeringsgebyrer, egenandeler og eventuelle erstatninger. Nabobil påtar seg derfor uten tvil et ikke ubetydelig økonomisk ansvar når det inngås leieavtale via plattformen.
Selv om det tegnes en forsikring så er det Nabobil som er ansvarlig under forsikringsvilkårene. Leietaker er ikke forsikringstaker, men er forpliktet til å betale egenandel til Nabobil som en del av avtalen for bruk av tjenesten. Nabobil betaler egenandel til forsikringsselskapet, og vil deretter kreve dette dekket av leietaker. Nabobil er derfor avhengig av at leietakerne har en viss betalingsevne for å sikre utleier dekning av utgifter i leieperioden. Selv om en kredittvurdering av en potensiell leietaker ikke vil eliminere enhver form for økonomisk risiko, legger nemnda til grunn at en slik kredittvurdering uten tvil vil redusere den.
Etter nemndas vurdering var det påregnelig for A at han ville bli kredittsjekket dersom kan valgte å sende inn forespørselen om billeie. Både i Nabobils applikasjon og på nettsstedet framgår det at:
«Nabobil forbeholder seg retten til å gjennomføre en kredittvurdering av deg når du sender en forespørsel om leie av bil. For å kunne leie bil må din kredittvurdering være tilfredsstillende.»
Nemnda er etter dette enig med Datatilsynet i at Nabobils økonomiske interesse i å beskytte seg mot tap i forbindelse med utleie av bil utgjør en berettiget interesse, slik det også framgår av Nabobils avtalevilkår.
Det er videre et krav at den aktuelle behandlingen av personopplysningene er nødvendig for formål knyttet til den berettigede interessen. Nemnda har kommet til at også dette vilkåret er oppfylt.
Det er Nabobil som er direkte ansvarlig for påførte utgifter overfor bileier og overfor forsikringsselskapet for egenandel ved skadetilfeller. Dette kan dreie seg om betydelige beløp. Det er opplyst at ansvaret har påført Nabobil store utgifter som følge av manglende betaling og nemnda legger det til grunn. Selv om Nabobil i avtalevilkårene har forbeholdt seg retten til å kreve inn et depositum, har nemnda forståelse for at dette ikke er et like egnet tiltak idet det er vanskelig å forhåndsberegne størrelsen på slike utgifter. Det vil heller ikke gi en tilfredsstillende sikkerhet for potensielle krav selskapet vil kunne ha mot leietaker, uten at prisen for leie blir avskrekkende høy. Nemnda er derfor enig i at det er nødvendig for Nabobil å kredittvurdere sine leietakere for å redusere selskapets økonomiske risiko.
Nemnda slutter seg også til Datatilsynets interesseavveining og legger til grunn at Nabobils berettigede interesser i denne saken veier tyngre enn hensynet til As ønske om å verne opplysningene. Nabobil har gjort tiltak for å begrense personvernulempene ved at opplysninger om leietakers kredittscore ikke blir tilgjengelig for utleier eller synlig for andre på plattformen. Dette er i samsvar med prinsippet om dataminimering i personvernforordningen artikkel 5 nr. 1 bokstav c.
Nemndas konklusjon er etter dette at Nabobils innhenting av kredittopplysninger om A i forbindelse med hans forespørsel om leie av bil via Nabobils digitale plattform var lovlig, jf. personvernforordningen artikkel 6 nr. 1 bokstav f.
A får ikke medhold i klagen.
Konklusjon
Datatilsynets vedtak opprettholdes.
Vedtaket er enstemmig.
Oslo, 25. april 2023
Mari Bø Haugstad
Leder