Personvernnemndas vedtak 5. mars 2024 (Mari Bø Haugstad, Bjørnar Borvik, Hans Marius Graasvold, Hans Marius Tessem, Morten Goodwin, Malin Tønseth)
Saken gjelder klage fra A på Datatilsynets vedtak 7. juni 2023 der Datatilsynet avsluttet sak om Qliro ABs kredittvurdering av ham uten ytterligere undersøkelser og uten å gi pålegg.
Sakens bakgrunn
A mottok et gjenpartsbrev fra kredittopplysningsbyrået Bisnode datert 25. januar 2022, hvor det framgikk at Qliro AB (heretter Qliro) hadde foretatt en kredittsjekk av ham. Qliro er et svensk betalingsløsningsselskap som leverer betalingsløsningen ved kjøp på nettet hos blant annet Biltema. A sendte e-post til Qliros kundeservice 10. februar 2022 og ba om opplysninger knyttet til den foretatte kredittsjekken. Qliro opplyste i e-post samme dag til A at han var blitt kredittvurdert på grunn av et kjøp hos Biltema 26. januar 2022. A har oppgitt at han den aktuelle dagen kun hadde foretatt ett kjøp på kroner 20,90 hos Biltema Follo som ble betalt med VISA-kort. Han mente derfor at den foretatte kredittsjekken var ulovlig.
A henvendte seg til Datatilsynet 11. februar 2022 og klaget på det han oppfattet som ulovlig kredittvurdering av ham fra Qliro.
Datatilsynet ba 22. mars 2023 A om mer informasjon for å avklare faktum, særlig det forholdet at det kjøpet A mente var grunnlag for uberettiget kredittvurdering hadde skjedd dagen etter datoen på gjenpartsbrevet. I e-post fra A til Datatilsynet 28. mars 2023 hevder A at gjenpartsbrevet er feildatert.
Datatilsynet fant faktum fortsatt uavklart og ba A 25. april 2023 om å stille oppfølgingsspørsmål til Qliro for å avklare hvilket kjøp hos Biltema kredittvurderingen gjaldt og bakgrunnen for at han ble kredittvurdert. Datatilsynet opplyste at i og med at Qliro er et svenskregistrert selskap, måtte de faktiske forholdene avklares før Datatilsynet eventuelt kunne be om bistand fra det svenske datatilsynet.
A kontaktet Qliro på e-post, men ble bedt om å ta telefonisk kontakt fordi Qliro av sikkerhetsmessige grunner ikke kunne besvare e-poster uten muligheter for kontroll av hvem de kommuniserte med. A ønsket ikke å ta telefonisk kontakt med Qliro.
I e-post til A 15. mai 2023 varslet Datatilsynet om at usikkerheten om faktum medførte at tilsynet verken kunne fastslå hvilken saksbehandlingsprosedyre eller hvilke rettslige grunnlag som skulle ligge til grunn for den videre behandlingen av saken. Tilsynet ba derfor A om å kontakte Qliro på telefon slik selskapet hadde bedt om. A ønsket ikke det.
I vedtak til A 7. juni 2023 besluttet Datatilsynet å ikke gjøre nærmere undersøkelser i saken, jf. personvernforordningen artikkel 57 nr. 1 bokstav f.Datatilsynet avsluttet deretter saken uten å gi noen pålegg. Nemnda forstår vedtaket slik at Datatilsynet, basert på As presentasjon av faktum, ikke fant det tilstrekkelig sannsynliggjort at det var foretatt en ulovlig kredittvurdering av A og at tilsynet ikke fant det hensiktsmessig med ytterligere undersøkelser.
A klaget 20. juni 2023 rettidig på Datatilsynets vedtak.
Datatilsynet vurderte klagen, men fant ikke grunnlag for å endre sitt vedtak. Saken ble oversendt Personvernnemnda 11. september 2023. A ble orientert om saken i brev fra nemnda og fikk anledning til å komme med kommentarer. Han har ikke inngitt kommentarer.
Nemnda har innhentet en redegjørelse fra Biltema 19. februar 2024 om den betalingsløsningen de tilbyr sine nettkunder via Qliro.
Saken ble behandlet i nemndas møte 5. mars 2024. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Bjørnar Borvik, Hans Marius Graasvold, Morten Goodwin, Hans Marius Tessem og Malin Tønseth. Utredningsleder Anette Klem Funderud var også til stede.
Datatilsynets vurdering i korte trekk
Datatilsynet viser til at tilsynet etter personvernforordningen artikkel 57 nr. 1 bokstav f skal behandle klager og eventuelt undersøke dem i den grad det er hensiktsmessig.
Datatilsynet vurderer at det er så stor usikkerhet om faktum i saken at tilsynet verken kan fastslå hvilken prosedyre eller hvilket rettslig grunnlag som skal ligge til grunn for den videre behandlingen av saken. Det er bakgrunnen for at tilsynet ba A om å kontakte Qliro for å få besvart sine spørsmål knyttet til kredittsjekken. A har uttalt at han ikke ønsket å ringe Qliro.
Basert på ovennevnte er det etter tilsynets vurdering ikke hensiktsmessig å gjøre nærmere undersøkelser. Tilsynet avsluttet deretter saken uten ytterligere undersøkelser og uten å gi pålegg.
I oversendelsesbrevet til nemnda 11. september 2023 utdyper tilsynet hva det mener ligger innenfor deres utredningsplikt etter forvaltningsloven § 17. Tilsynet redegjør også for behovet for at klager selv bistår med klarlegging av faktum, særlig med bakgrunn i at den behandlingsansvarlige i dette tilfellet har sin hovedvirksomhet i Sverige.
As syn på saken i korte trekk
A aksepterer ikke at Datatilsynet avslutter saken.
De faktiske forholdene er godt opplyst, med unntak av de krystallklare spørsmål som er stilt til Qliro og som de beklageligvis nekter besvare. Av den grunn må ikke saken avsluttes. Det er en kjent sak at når noen nekter å besvare spørsmål ligger det noe mer bak, og man må åpenbart stille spørsmål ved deres redelighet og seriøsitet.
Å kontakte Qliro på telefon er lite hensiktsmessig da det som da blir sagt aldri kan ettergås eller dokumenteres. Det betyr samtidig at sannsynligheten for at uriktige opplysninger fremsettes er svært stor.
Det som skjer i denne saken må være av allmenn interesse, da det med stor sannsynlighet også er andre som er blitt utsatt for dette. Det kan ikke være slik at Qliro slipper unna bare fordi de nekter å besvare spørsmål skriftlig.
Personvernnemndas vurdering
Når Qliro innhenter kredittopplysninger om en kunde, må Qliro ha behandlingsgrunnlag for dette i personvernforordningen artikkel 6. De aktuelle behandlingsgrunnlagene vil være artikkel 6 nr. 1 bokstav a (samtykke) eller artikkel 6 nr. 1 bokstav b (nødvendig for å oppfylle en avtale eller nødvendig for å gjennomføre tiltak på den registrertes anmodning før en avtaleinngåelse).
Nemnda forstår As klage slik at han mener Qliro på egenhånd, uten samtykke eller anmodning fra ham, har innhentet kredittopplysninger.
Nemnda vil først redegjøre for de faktiske forholdene, slik de legges til grunn av nemnda.
Qliro er leverandør av Biltemas betalingsløsning for handel på nett, også kalt Pay and Collect. Det vil si at kunden bestiller varer på nett som kan hentes i valgt varehus innen tre dager. En kunde som kjøper en vare på Biltema.no blir omdirigert til Qliro for betaling av varen. Kunden velger hvilken betalingsmetode for kjøpet; kortbetaling eller Qliro faktura. Dersom kunden velger betaling med faktura, overtar Qliro ansvaret for betalingstransaksjonen. Qliro henter i disse tilfellene inn kredittopplysninger om kunden for å ta stilling til om det skal innvilges kreditt.
Bisnode har bekreftet at Qliro foretok en kredittvurdering av A 25. januar 2022, kl. 09.51. Det kjøpet A har redegjort for at han foretok 26. januar og som han har oversendt kvitteringen for (kr 20,90) er ikke det kjøpet som var bakgrunnen for kredittsjekken. Dette kan fastslås både fordi A har opplyst at han betalte med kredittkort (som ikke medfører noen kredittsjekk), samt at kjøpet skjedde dagen etter at kredittsjekken er gjennomført.
Den gjennomførte kredittsjekken må derfor ha sin bakgrunn i noe annet. Enten har A foretatt en bestilling på nettet 25. januar og valgt alternativet betaling med faktura (som har foranlediget en kredittsjekk), eller så har Qliro, slik A hevder, foretatt en kredittsjekk av ham uten noen foranledning.
A har ikke ønsket å bidra ytterligere til å opplyse saken og har ikke etterkommet Datatilsynets oppfordring om å ta telefonisk kontakt med Qliro for å få avklart nærmere bakgrunnen for den gjennomførte kredittsjekken.
Datatilsynet har avsluttet saken uten å foreta ytterligere undersøkelser, og uten å gi Qliro pålegg. Nemnda forstår Datatilsynets avgjørelse slik at tilsynet, basert på As presentasjon av faktum, ikke fant det tilstrekkelig sannsynliggjort at det var foretatt en ulovlig kredittvurdering av A og at tilsynet ikke fant det hensiktsmessig med ytterligere undersøkelser.
Datatilsynets oppgaver følger av personvernforordningen artikkel 57. Datatilsynet skal etter bestemmelsen behandle en klage som er inngitt av en registrert og undersøke, i den grad det er hensiktsmessig, klagens gjenstand og underrette klageren om forløpet og utfallet av undersøkelsen innen en rimelig frist, jf. personvernforordningen artikkel 57 nr. 1 bokstav f.
Nemnda har i en rekke saker lagt til grunn at tilsynet har en viss frihet til å avgjøre hvor omfattende undersøkelser den enkelte sak krever. I PVN-2017-09 uttaler nemnda:
«Personvernnemnda legger til grunn at Datatilsynet som tilsynsmyndighet etter personopplysningsloven, har anledning til å foreta en viss prioritering av saker i form av at ikke alle henvendelser behandles like grundig. En slik prioritering forutsetter at Datatilsynet i det aktuelle tilfellet har oppfylt sin utrednings- og informasjonsplikt slik at saken er tilstrekkelig opplyst, jf. forvaltningsloven § 17, samt at tilsynets skjønnsutøvelse med hensyn til hvor grundig de vurderer lovligheten av den aktuelle behandlingen av personopplysninger framstår forsvarlig. Ved denne forsvarlighetsvurderingen vil personvernhensyn være sentralt jf. lovens formål i § 1.»
Nemnda har i flere saker lagt til grunn at det i utgangspunktet er klagers oppgave å redegjøre for saken og legge fram dokumentasjon for det forholdet som påklages, se blant annet PVN-2023-15 og PVN-2023-22. Både Qliro og Biltema har i e-poster til nemnda 13. og 14. februar 2024 opplyst at A kan få svar på hva som har utløst kredittvurderingen ved å henvende seg til Qliro. Når A har valgt ikke å bidra ytterligere til å opplyse saken, er det forsvarlig av Datatilsynet å avgjøre saken med bakgrunn i de opplysningene som foreligger.
Nemnda er enig med Datatilsynet i at det ikke er sannsynliggjort at personopplysningsloven eller kredittopplysningsloven er brutt i denne saken.
Etter nemndas vurdering har Datatilsynet oppfylt sin utredningsplikt slik at saken er tilstrekkelig opplyst, jf. forvaltningsloven § 17 og personvernforordningen artikkel 57 nr. 1 bokstav f. Datatilsynets avgjørelse om ikke å gjøre ytterligere undersøkelser på dette punktet, men basere sin avgjørelse på det faktum som foreligger, er etter nemndas vurdering forsvarlig og innenfor lovens rammer.
Vedtaket er enstemmig.
Vedtak
Datatilsynets vedtak opprettholdes.
Oslo, 5. mars 2024
Mari Bø Haugstad
Leder