KLAGESAK 2003/01:
Klage på Datatilsynets vedtak i sak om avslag på konsesjonssøknad for opprettelse av sentralt låneregister

1. Innledning

Personvernnemnda har ved oversendelse 22.01.03 fra Datatilsynet mottatt klage fra Kreditnett AS. Saken gjelder avslag om konsesjon for opprettelsen av et sentralt låneregister. Klagen er fremmet rettidig


2. Saksgang

Kreditnett AS, tidligere Bivo AS søkte 19.1.2000 om konsesjon for opprettelse av et sentralt låneregister. Datatilsynet avslo søknaden i brev av 9.6.2000. Bivo AS klaget ikke på avslaget, men ba om en ny vurdering på bakgrunn av nye opplysninger. Datatilsynet opprettholdt avslaget i brev av 5.7 2000. Kreditnett AS klaget 8.1.2002 dette avslaget inn for Arbeids- og administrasjonsdepartementet. Klagen ble oversendt Datatilsynet for behandling 21.1.2002. Datatilsynet avviste i brev av 12.3.2002 å behandle klagen som en klagesak under henvisning til forvaltningsloven § 31,3.ledd, i samme brev vurderte Datatilsynet konsesjon for Kreditnett AS på bakgrunn av ny søknad som var innsendt 13.2.2002, Søknad om konsesjon ble avslått. Datatilsynet AS opprettholdt avsalget i brev av 28.6.2002, og Kreditnett AS klaget på vedtaket 19 6.02.

Før Datatilsynet behandlet klagen oversendte Kreditnett AS 9.9.2002 nye opplysninger. Datatilsynet vurderte på bakgrunn av de nye opplysningene saken på nytt. Avslag på konsesjonssøknad ble opprettholdt i brev av 19.12.2002. Kreditnett AS påklaget avslaget i brev av 2.1.2003. Personvernnemnda har mottatt ytterligere dokumenter i saken, faks fra Kreditnett AS av 18.2.2003 og kopi av e-postutveksling mellom Datatilsynet og Kreditnett AS av 12.12.2002 sendt per faks fra Kreditnett AS til Personvernnemnda 21.02.03, samt faks av 6.06.03 kopi av patentsøknad.


3. De faktiske forhold

Kreditnett AS har søkt om konsesjon for å opprette et sentralt register for låneporteføljen i landets kredittinstitusjoner. Formålet med behandlingen er å sørge for at kredittinstitusjonene til enhver tid har oversikt over hva en lånesøker har av løpende lån, slik at de kan gi en riktig betjeningsvurdering av en lånekunde. Innhenting av opplysninger er basert på samtykke fra den enkelte lånekunde. Registeret tar sikte på å være oppdatert slik at databasen vil fange opp alle bevegelsene på låneengasjement som er registrert. Det forutsettes at registeret benyttes av alle landets låneinstitusjoner. Det er det er søkt patent for informasjonssystemet.


4. Anførslene

Kreditnett AS klager på Datatilsynets saksbehandling. Det anføres at Datatilsynet skulle ha oversendt saken direkte til behandling for Personvernnemnda etter behandlingen av klagen 19.7.2002. Kreditnett AS hevdet at det ikke er fremkommet nye momenter i saken.

Kreditnett AS klager på at Datatilsynet avstår fra å møte virksomheten til en dialog.

Kreditnett AS hevder at Datatilsynet skulle forespørre virksomheten og innhente nødvendige opplysninger før søknaden avslås.

Kreditnett AS klager på Datatilsynets avslag om konsesjon for opprettelsen av sentralt låneregister uten at det gis en nærmere begrunnelse for klagen.


5. Datatilsynets vurdering

Saksbehandlingen
Datatilsynet beklager den svært lange saksbehandlingstiden.

Datatilsynet har ikke funnet grunn til et møte da Tilsynet mener å ha nødvendige opplysninger i saken.

Datatilsynet vurderer de opplysningene som ble gitt i brev av 9.9.2002 som nye, og behandlet på denne bakgrunn hele saken på nytt.

En eventuell saksbehandlingsfeil vil ikke ha betydning for vedtaket da saken nå er oversendt Nemnda for behandling.

Materielle regler
Etter Datatilsynets vurdering vil ikke et samtykke slik Kreditnett legger opp til, være i samsvar krav til samtykke i personopplysningsloven § 2 nr 7. Skal det pålegges en slik plikt til registrering antar Datatilsynet at dette i henhold til legalitetsprinsippet må skje med hjemmel i lov. Velger Kreditnett likevel å registrere opplysninger i basen basert på et samtykke i samsvar med loven, vil databasen etter Datatilsynets vurdering sannsynligvis bli ufullstendig. Datatilsynet antar også at formålet med behandlingen av personopplysningene neppe kan oppnås.

Datatilsynet legger også til grunn at det i dag ikke er tillatt for noe kreditopplysningsforetak å registrere den totale gjeldsbyrden til enkeltpersoner.


6. Personvernnemndas vurderinger

Saksbehandlingen
Personvernnemnda tar til etterretning at Datatilsynet beklager den lange saksbehandlingstiden. Nemnda slutter seg til Datatilsynets vurdering at eventuelle saksbehandlingsfeil ikke har betydning for vedtaket.

Fullstendighet og samtykke
Det er ikke av betydning for vurderingen etter personopplysningsloven at det er søkt om patent på informasjonssystemet.

I denne saken står to grunnleggende krav i personopplysningsloven mot hverandre. For det første krever personopplysningsloven § 11, 1.ledd litra d og e at opplysningene er tilstrekkelige, relevante for formålet, korrekte og oppdaterte. Hvis man baserer seg på samtykke fra låntaker, vil dette føre til at låntakere som ønsker å unndra sitt gjeldsforhold fra den oversikt som registeret skal gi, nekter å gi et slikt samtykke. Personvernnemnda vurderer det derfor slik at man ikke kan tilfredsstille kravet til fullstendighet ved å bygge på samtykke fra låntaker.

Som en slags løsning på dette foreslår Kreditnett i sitt brev av 9.9.2002 at kredittinstitusjonene kan "legge inn i sin lånebehandling at en låntaker må samtykke i en registrering i registeret ved en eventuell innvilgelse hvis de ønsker sin søknad behandlet". Dette forutsetter, så vidt Personvernnemnda forstår, at kredittinstitusjonene må få plikt til å bruke registeret som vilkår i konsesjon fra Kredittilsynet.

Personvernnemnda har ikke vurdert hvor realistisk det vil kunne være å etablere en slik plikt til bruk av et sentralt register som antydet av klager. Nemnda finner det tilstrekkelig å understreke kravet til samtykke i personopplysningsloven § 2 nr 7 om at det skal være "en frivillig, uttrykkelig og informert erklæring fra den registrerte om at han eller hun godtar behandling av opplysninger om seg selv". Kravet til frivillighet er særlig presisert i lovens forarbeider, jfr Or prp nr 92 (1998-99) s 103-104, og innebærer at det "ikke må være avgitt under noen form for tvang fra den behandlingsansvarlige eller andre". Jfr også Michal Wiik Johansen, Knut-Brede Kaspersen og Åste Marie Bergseng Skullerud Personopplysningsloven - Kommentarutgave (Universitetsforlaget, Oslo 2001:77), som diskuterer kravet til frivillighet. Som eksempel på en situasjon hvor dette kravet ikke er oppfylt, nevnes "en person som søker på en stilling og bes om samtykke til at det skal foretas en psykologtest".

Personvernnemnda ser det slik at når samtykke stilles som betingelse for å få et gode av betydning for den registrerte, vil som hovedregel samtykket ikke kunne anses å være avgitt frivillig. Det er åpenbart at hvis samtykke stilles som vilkår for at en lånesøknad skal behandles, vil det ikke være avgitt med det krav til frivillighet som stilles i personopplysningsloven. Dermed vil man ikke kunne oppfylle de grunnleggende krav til persondatabehandling etter personopplysningsloven § 11, 1.ledd litra a jfr § 8.

Personvernnemnda kan for sin del vanskelig se at et register som omhandlet i konsesjonssøknaden kan etableres uten hjemmel i lov.


7. Vedtak

Klagen tas ikke til følge.

For Personvernnemnda

Jon Bing
Leder