Personvernnemndas avgjørelse av 10. november 2008 (Jon Bing, Gro Hillestad Thune, Leikny Øgrim, Siv Bergit Pedersen, Jostein Halgunset, Hanne I Bjurstrøm, Tom Bolstad)
1 Innledning
Personvernnemnda har ved oversendelse fra Datatilsynet mottatt klage på tilsynets vedtak av 11.6.2008 hvor Datatilsynet gir pålegg om at Creditinform må stoppe salg av ”bransjeanalyser” inntil konsesjon for slik bruk av kredittopplysningsdatabasen foreligger.
2 Saksgang
Datatilsynet mottok 29.10.2007 en klage fra en person som er eier av et enkeltpersonforetak. Vedkommende hadde blitt kontaktet av Creditinform AS (heretter ”Creditinform”), vedrørende bestilling av en bransjeanalyse om sitt eget foretak. Vedkommende skjønte ikke at tjenesten kostet penger, og reagerte da en faktura kom i posten. Personen klagde saken inn for Datatilsynet med spørsmål om hvorvidt Creditinform har konsesjon til å selge slike tjenester.
Datatilsynet tilskrev Creditinform 20.12.2007, der det ble opplyst at enhver har rett på innsyn i opplysninger om seg selv, jf personopplysningsloven § 18, og slikt innsyn skal gis vederlagsfritt, jf personopplysningsloven § 17.
Brevet ble besvart av Creditinform 22.1.2008. Det ble bekreftet at innsyn gis vederlagsfritt, men at dette gjelder et ”verdiøkende produkt” som det tas betalt for.
Datatilsynet svarte 5.3.2008 at kredittopplysningskonsesjonen ikke regulerer salg av ”verdiøkende produkter”. Creditinform må derfor søke om en utvidelse av dagens konsesjon. Datatilsynet varslet vedtak med følgende pålegg:
- Creditinform må endre sine rutiner for innsyn slik at juridiske personer ved krav om innsyn i henhold til personopplysningsloven § 18 andre ledd også får tilgang til de kredittvurderinger som Creditinform oppbevarer
- Creditinform må stoppe salget av verdiøkende produkter inntil konsesjonen for slik bruk av kredittopplysningsdatabasen foreligger
Fristutsettelse ble innvilget til 9.4.2008.
I brev av 9.4.2008 svarte Creditinform at de vil gi tilgang til kredittvurdering som på det aktuelle tidspunkt er lagret i databasen, jf personopplysningsloven § 18. Creditinform fremholdt imidlertid at salg av bransjeanalyser er omfattet av dagens konsesjon og Creditinform vil opprettholde dagens praksis med salg av slike analyser uten å søke om utvidelse av konsesjonen.
Den 11.6.2008 ga Datatilsynet følgende pålegg:
Creditinform må stoppe salget av verdiøkende produkter inntil konsesjonen for slik bruk av kredittopplysningsdatabasen foreligger
Creditinform svarte 7.7.2008 med å påklage vedtaket.
Datatilsynet oversendte saken til Personvernnemnda 29.7.2008. Creditinform ble orientert om dette i brev fra nemnda 19.8.2008, med frist til uttalelse innen 10.9.2008.
3 Faktum
Creditinform er et kredittopplysningsforetak som har konsesjon fra Datatilsynet. I tillegg til vanlig kredittopplysning, selger Creditinform såkalte bransjeanalyser. Creditinform kaller dette et ”verdiøkende produkt”, ettersom det har karakter av en analyse som viser det aktuelle foretakets soliditet og kredittverdighet i forhold til andre virksomheter i samme bransje lokalt og nasjonalt.
Datatilsynet og Creditinform er enige om at denne type tjeneste er omfattet av begrepet kredittopplysningsvirksomhet og at det faller innenfor formålet med kredittopplysningskonsesjonen. Det er imidlertid ingen vilkår i konsesjonen som sier noe om salg av ”verdiøkende produkter”. Datatilsynet er derfor av den oppfatning at Creditinform må søke om utvidelse av dagens konsesjon.
4 Klagers anførsler
Creditinform anfører at salg av verdiøkende produkter som bransjeanalyser er omfattet av gjeldende konsesjon og at det derfor ikke er nødvendig å søke om en utvidelse av konsesjonen.
Behandlingens formål er i konsesjonen definert som: ”Utøvelse av virksomhet som består i å gi meddelelser som belyser kredittverdigheten eller økonomisk vederheftighet”.
Konsesjonen begrenser ikke Creditinforms handlefrihet når det gjelder behandling av opplysninger innenfor rammen av behandlingsformålet på annen måte enn de vilkår som er satt når det gjelder hvilke opplysningstyper som behandles (registerets innhold), hvilke kilder som kan benyttes, tidspunkter for registrering og sletting, samt varslingsplikter. For øvrig kan opplysninger behandles innenfor rammen av behandlingsformålet.
Creditinform hevder at tilsynet under enhver omstendighet ikke kan sette vilkår i tilknytning til salg av bransjeanalyser og verdiøkende produkter for juridiske personer. Adgangen til å sette vilkår i konsesjonen går ikke lenger enn det som er nødvendig for å begrense personvernulempene behandlingen ellers ville medføre for den registrerte, jf personopplysningsloven § 35. Det er ingen personvernulemper knyttet til behandling av opplysninger om næringsdrivende.
5 Datatilsynets vurdering
Datatilsynet viser til personopplysningsforskriften § 4-5 første ledd om at kredittopplysningsvirksomhet krever konsesjon og at denne plikten også gjelder kredittopplysninger om juridiske personer. Det følger av konsesjonen at ”Konsesjonen er gitt under forutsetning av at behandlingen foretas i henhold til søknaden” og videre at ”Dersom det skjer endringer i behandlingen i forhold til de opplysninger som er gitt i søknaden, må dette fremmes i en ny konsesjonssøknad”.
Salg av verdiøkende produkter som bransjeanalyser er helt nytt for Datatilsynet. Fordi tilsynet ikke har vært klar over salg av bransjeanalyser om eget foretak, er det ingen regler for slik bruk av kredittopplysningsregisteret i konsesjonen i dag. Dette kan ikke tolkes slik at det er fritt frem for å drive salg av verdiøkende produkter. Når en behandling er konsesjonspliktig, vil det si at behandlingen skal forhåndsgodkjennes av Datatilsynet. Dersom konsesjon innvilges, kan Datatilsynet stille vilkår, jf personopplysningsforskriften § 4-5 siste ledd, jf personopplysningsloven §§ 34 og 35.
6 Personvernnemndas merknader
Personvernnemnda merker seg at Datatilsynet er enig med Creditinform om at denne type tjeneste er omfattet av begrepet kredittopplysningsvirksomhet og faller innenfor formålet med kredittopplysningskonsesjonen. Det betyr at en bransjeanalyse er en ”meddelelse som belyser kredittverdighet eller økonomisk vederheftighet”, jf personopplysningsforskriften § 4-2. Nemnda går derfor ikke nærmere inn på dette spørsmålet.
Kredittopplysningsvirksomhet er regulert i personopplysningsforskriftens kapittel 4. Konsesjon er påkrevd for å drive kredittopplysningsvirksomhet, jf personopplysningsforskriften § 4-5 første ledd. Datatilsynet har laget en standardkonsesjon for kredittopplysningsbransjen av 1.3.2006.
Standardkonsesjonen regulerer på generelt grunnlag hva kredittopplysningsregisteret kan inneholde, herunder hvilke kilder opplysningene i registeret kan innhentes fra, informasjon til den registrerte og sletting. Bransjeanalyser er ikke spesifikt regulert i standardkonsesjonen. Heller ingen andre kredittopplysningsprodukter er spesifikt regulert der. Det er enighet om at opplysningene behandles innenfor rammen av behandlingsformålet. Slik Personvernnemnda ser det, er derfor frembringelse og salg av bransjeanalyser ikke i strid med gjeldende konsesjon. Nemnda kan derfor ikke se at det er nødvendig å søke om en utvidelse av konsesjonen.
Det følger av standardkonsesjonen pkt 5 at ”Datatilsynet tar forbehold om å trekke konsesjonen tilbake, eller gi nye og endrede vilkår, når dette er nødvendig ut fra personvernhensyn”. Slik nemnda ser det, kan Datatilsynet derfor av eget tiltak regulere dette produktet i en ny konsesjon. Dersom Datatilsynet mener at standardkonsesjonene ikke omfatter retten til å utarbeide og selge bransjeanalyser, må dette framgå eksplisitt av konsesjonsvilkårene. I så fall må konsesjonsvilkårene endres. Det vil ha den konsekvens at alle kredittopplysningsforetak vil bli behandlet likt, i og med at det er en standardkonsesjon. Eventuelle vilkår som regulerer bransjeanalyser i en slik konsesjon må være i samsvar med personopplysningsloven § 35.
7 Vedtak
Klagen tas til følge.
Oslo, 10. november 2008
Jon Bing
Leder