Personvernnemndas avgjørelse av 15.4.2009 (Eva I. E. Jarbekk, Arve Føyen, Tom Bolstad, Leikny Øgrim, Ann R Sætnan, Jostein Halgunset, Ørnulf Rasmussen)
1 Innledning
Personvernnemnda har ved oversendelse fra Datatilsynet mottatt klage på tre vedtak av 9.10.2008. I vedtakene påla Datatilsynet tre kredittopplysningsforetak å endre sine gjenpartsbrev. Kredittopplysningsforetakene – CreditInform AS, Lindorff Decision AS og Dun & Bradstreet Norway AS – påklaget vedtakene. Norske Kredittopplysningsbyråers Forening (NKF) representerer foretakene.
2 Saksgang
Datatilsynet gjennomførte tilsyn hos CreditInform AS, Lindorff Decision AS og Dun & Bradstreet Norway AS (heretter kalt ”byråene”) våren 2008. Tema for tilsynene var blant annet utformingen av gjenpartsbrevene til de registrerte.
Etter tilsynene ble byråene i vedtak av 9.10.2008 pålagt å utforme gjenpartsbrev slik at det gjenspeiler den informasjonen som kunden får. Det betyr at blant annet ”scoren” skal fremkomme av brevet.
I brev av 4.11.2008 påklaget NKF at scoren mv skal fremkomme av gjenpartsbrevet.
Personvernnemnda mottok saken fra Datatilsynet 2.2.2009. Klager ble orientert om dette i brev fra nemnda samme dag, med frist til uttalelse innen 23.2.2009. I brev av 23.2.2009 utdyper klagers advokat (Rolf Riisnæs, Wikborg, Rein & Co) klagen og kommenterer Datatilsynets oversendelsesbrev.
3 Faktum
Byråene tilbyr en rekke produkter innenfor kategorien kredittopplysning. Kredittopplysninger blir gitt på forespørsel (muntlig eller skriftlig), online i standardiserte eller bedriftsspesifikke løsninger eller integrert i kundens eget saksbehandlingssystem.
Alle byråene tilbyr såkalte scoringprodukter. Scoring bygger på matematiske metoder for å anslå sannsynligheten for at en viss hendelse skal inntreffe, i dette tilfellet hovedsakelig betalingsmislighold. Produktene kan tilpasses den enkelte virksomhets risikoprofil. I en scoring inngår både personopplysninger (alder, skatteklasse, formue, inntekt, betalingsanmerkninger mv) og statistiske opplysninger (gjennomsnittsinntekt/formue per postnummer). Kundene kan få opplyst resultatene av scoringen som et trafikklys eller et tall. Scoren kan være knyttet opp til en anbefaling eller forklaring. Kundene kan få tilgang til de underliggende personopplysningene dersom de ønsker det.
I gjenpartsbrevet som skal sendes til den registrerte opplyser byråene de fleste personopplysninger som ligger til grunn for scoren. Enkelte av byråene opplyser også at det er foretatt en score. Det gis ingen informasjon om resultatet av scoren.
4 Klagers anførsler
Klager anfører at det ikke er rettslig grunnlag for å gi pålegg om at selve kredittvurderingen skal fremgå av gjenparten. Klager viser til personopplysningsforskriften § 4-4 og standardkonsesjonen for kredittopplysningsvirksomhet punkt 3.2. Klager anfører at dette omfatter alle opplysninger om den registrerte som kredittopplysningsbyråene har innhentet for bruk i kredittopplysningsvirksomhet, og som benyttes eller utleveres i forbindelse med kredittvurdering. Byråene vil innrette seg slik at disse opplysningene fremgår av gjenpartsbrevet til den registrerte.
Byråene er av den oppfatning at det bare er de opplysninger som byråene har lagret om den registrerte, og som blir utlevert til spørrer eller lagt til grunn for kredittvurderingen, som skal fremgå av gjenpartsbrevet, ikke den konkrete kredittvurderingen som gjøres i det enkelte tilfellet.
Formålet med gjenpartsplikten er å sette den registrerte i stand til å ivareta sine rettigheter etter personopplysningsloven gjennom kontroll med hvem personopplysningene utleveres til, hvilke opplysninger som utleveres, og for å gi den registrerte mulighet til retting av eventuelle feil i opplysningene som kredittvurderingen bygger på.
Formålet med gjenpartsplikten er oppfylt når den registrerte får informasjon om hvilke opplysninger som er utlevert til spørrer eller lagt til grunn for kredittvurderingen. Selve kredittvurderingen er det opp til byråene å foreta. Denne kan ikke påvirkes av den registrerte, med mindre det kan påvises at uriktige eller mangelfulle opplysninger har ligget til grunn for vurderingen.
Det er kunden – den som innhenter kredittvurderingen – som fatter beslutning om kreditt skal innvilges eller ikke. Dette kan variere mellom kredittytere og den konkrete transaksjonen.
Resultatet av en kredittvurdering kan angis på ulike måter, og kan være tilpasset den enkelte spørrer. Det kan være angitt som en poengsum, en bokstavkode eller farge. Slike angivelser gir ikke noen presis informasjon hvis den blir sendt til den registrerte. Informasjon om selve kredittvurderingen kan virke mer villedende enn opplysende. Derfor taler også hensynet til den registrerte imot at selve kredittvurderingen skal tas med i gjenpartsbrevet.
Gjenpartsplikten er en direkte videreføring av den ordning som gjaldt under personregisterloven § 19. Ordningen har hele tiden vært praktisert slik at selve kredittvurderingen ikke har vært med i gjenpartsbrevet. Byråene kan ikke se at det er grunnlag for å kreve endring av denne langvarige praksis.
5 Datatilsynets vurdering
Datatilsynet viser til personopplysningsloven § 2 nr 1, hvor personopplysninger er definert som opplysninger og vurderinger som kan knyttes til en enkeltperson. En score sier noe om en persons kredittverdighet og er følgelig å anse som en personopplysning.
Begrepet ”kredittopplysning” er i personopplysningsforskriften § 4-2 definert som meddelelser som belyser kredittverdighet eller økonomisk vederheftighet. Etter Datatilsynets mening må kredittopplysningsbegrepet leses i lys av personopplysningsloven § 2 nr 1 når det gjelder kredittvurdering av enkeltpersoner. Med bakgrunn i definisjonen av personopplysninger er det naturlig å forstå begrepet kredittopplysning som opplysninger og vurderinger som belyser kredittverdighet eller økonomisk vederheftighet. Dette innebærer at både scoren og de underliggende personopplysningene omfattes av kredittopplysningsbegrepet.
Det følger av personopplysningsforskriften § 4-3 at kunder med saklig behov kan få tilgang til kredittopplysninger. Samtidig skal den omspurte (den registrerte) få oversendt gjenpart, kopi eller annen melding om innholdet, jf § 4-4. Datatilsynet kan ikke se at § 4-4, 1. ledd, og de utdypende konsesjonsbestemmelsene tilsier at den registrerte skal få noen annen informasjon enn det kunden får. En normal forståelse av begrepene gjenpartog kopi tilsier at den registrerte skal få informasjonen presentert på nøyaktig samme måte som kunden. Begrepet annen melding om innholdet tilsier at den registrerte og kunden skal få den samme informasjonen, men at denne kan være presentert på en annen måte, for eksempel muntlig.
Datatilsynet viser også til personopplysningsforskriften § 4-4, 3. ledd, som lyder: Den registrerte kan også få opplyst hvilke kredittopplysningersom er gitt om vedkommende de siste seks måneder. (Datatilsynets understreking). Begrepet kredittopplysning skal her tolkes som i §§ 4-2 og 4-3. Den registrerte har dermed krav på å få oppgitt scoren etter § 4-4, 3. ledd, dersom kunden har fått en slik.
Scoren er basert på statistiske opplysninger. Denne type opplysninger behøver ikke byråene å opplyse om, men de bør opplyse om at også slike opplysninger ligger til grunn for scoren.
Datatilsynet er enig i at det er kunden som beslutter om kreditt skal gis eller ikke – og at scoren i utgangspunktet er veiledende for kunden. Datatilsynet mener at dette ikke endrer scorens karakter av å være en kredittopplysning som skal gjengis i gjenpartsbrevet.
Datatilsynet er ikke enig i at hensikten med gjenpartsinstituttet er oppfylt ved å oppgi de underliggende personopplysninger. Gjenpartsbrevet sendes ut for at den registrerte skal kunne kontrollere om opplysningene er korrekte. For at den registrerte skal få best mulig kontroll, er det nødvendig med tilgang til alle opplysningene som utleveres. Datatilsynet har fått henvendelser fra flere personer uten betalingsanmerkninger som ikke forstår hvorfor de ikke får kreditt. I slike tilfeller kan scoren indikere at det er andre opplysninger om dem som er lagt til grunn for vurderingen. Dersom gjenpartsbrevet ikke informerer om scoren, må kunden informere den registrerte om dette, jf personopplysningsloven § 20 som foreskriver at den registrerte skal informeres om hvilke personopplysninger som samles inn. Det er mest hensiktsmessig at den registrerte informeres én gang.
6 Personvernnemndas merknader
Personvernnemnda viser til at personopplysningsloven § 2 nr 1 definerer personopplysninger som opplysninger og vurderinger som kan knyttes til en enkeltperson.
Kredittopplysningsvirksomhet er regulert i personopplysningsforskriftens kapittel 4. Det følger av forskriftens § 4-1, 2. ledd at personopplysningsloven gjelder også for behandling av kredittopplysninger om juridiske personer.
Når personopplysninger er definert som både fakta og vurderinger, blir det etter Personvernnemndas mening uriktig å skille mellom opplysningene og scoren. En score sier noe om en persons eller virksomhets kredittverdighet og er følgelig å anse som en personopplysning.
Krav til gjenpartsbrevets innhold er regulert i personopplysningsforskriften § 4-4. Her fremgår det at:
Dersom kredittopplysning om enkeltperson blir gitt eller bekreftet skriftlig, skal kredittopplysningsforetaket samtidig vederlagsfritt sende gjenpart, kopi eller annen melding om innholdet til den det er bestilt opplysninger om. Den registrerte skal oppfordres til å be om at eventuelle feil rettes.
Videre er bestemmelsen presisert i standardkonsesjonens pkt 3.2, som lyder:
Gjenpart skal inneholde informasjon om:
- kopi av den utleverte kredittopplysning med tilhørende forklaring
- kilden til den utleverte opplysning
- hvem som har initiert kredittvurdering (…)
Datatilsynet mener at når den registrerte skal få oversendt gjenpart, kopi eller annen melding om innholdet, jf § 4-4, tilsier det at den registrerte skal få samme informasjon som det kunden får. Personvernnemnda er enig i dette resonnementet. Etter en naturlig språklig forståelse av uttrykket ”gjenpart, kopi eller annen melding om innholdet” skal den ha samme innhold. Nemnda kan ikke se at det foreligger andre rettskilder som skulle tale mot dette.
Formålet med personopplysningsforskriften § 4-4 er at den registrerte skal få vite hvilke personopplysninger om ham som blir utlevert/benyttet og til/av hvem. Personvernnemnda er derfor av den oppfatning at også scoren skal fremgå av gjenparten.
Klager anfører at opplysning om scoren kan være villedende for den registrerte. Dette er etter nemndas mening ikke avgjørende. Nemnda vil anta at byråene vil finne frem til en løsning på dette problemet, for eksempel ved å sende en veiledning, jf standardkonsesjonen pkt 3.2 nr 1.
7 Vedtak
Klagen tas ikke til følge.
Oslo, 15. april 2009
Eva I. E. Jarbekk
Leder