PVN-2012-07 Konsesjon kredittopplysningsvirksomhet

Personvernnemndas avgjørelse av 18. oktober 2012 (Eva I. E. Jarbekk, Ørnulf Rasmussen, Tom Bolstad, Leikny Øgrim, Gisle Hannemyr, Jostein Halgunset)

1 Innledning

Personvernnemnda har ved oversendelse fra Datatilsynet mottatt klage på Datatilsynets standardkonsesjon til å behandle personopplysninger i kredittopplysningsvirksomhet.

2 Saksgang

Datatilsynet har mottatt en klage fra Wikborg, Rein & Co, på vegne av Experian AS, AAA Soliditet AS, LindorffDecision AS og EDB Ergo Group AS, som er en klage på Datatilsynets standardkonsesjon til å behandle personopplysninger i kredittopplysningsvirksomhet. Standardkonsesjonen har ikrafttredelse 1.4.2012.

Klagen kommer fra selskapene som er medlem i Norske kredittopplysningsbyråers forening (heretter NKF), som klager på ny standardkonsesjon for behandling av personopplysninger i kredittopplysningsvirksomhet. Klagen gjelder fire punkter, henholdsvis bruk av adressehistorikk og tidligere forespørsler som parameter i kredittvurderingen, samt registrering av eierskap til fast eiendom og fakturaer betalt før forfall. Datatilsynet har ikke funnet det nødvendig å gi klagen oppsettende virkning fordi de påklagde punktene i realiteten gjelder klage på manglende utvidelse av konsesjonen. Punktene innebærer således ikke en innstramning av dagens praksis, men en videreføring.

Datatilsynet sendte ut oversendelsesbrev med endringer i kredittopplysningskonsesjonen samt ny konsesjon til samtlige kredittopplysningsbyråer 2.3.2009. Det var da blitt foretatt flere endringer i konsesjonen av 2006. Bakgrunnen for endringene var flere konkrete saker som hadde vært til behandling i Datatilsynet og Personvernnemnda.

Konsesjonen ble påklaget av selskapene som var medlem i Norske kredittopplysnings-byråers forening (NKF). Klagen ble gitt oppsettende virkning. Datatilsynet har siden 2009 vært i dialog med NKF for å få på plass ny konsesjon for kredittopplysningsbyråenes behandling av personopplysninger. NKF leverte skriftlige innspill med konkrete endringsforslag til utkastet til konsesjon som forelå, i brev av 3.3.2011. Dette brevet samt søknad om utvidelse av konsesjonen av 11.2.2009 ble diskutert i møte av 7.6.2011. Revidert utkast til ny konsesjon ble sendt til NKF 24.9.2011. NKF sendte ytterligere kommentarer i brev av 18.10.2011.

NKF har gjennom skriftlige innspill samt konkrete søknader kommet med flere endringsforslag til konsesjonen. Datatilsynet har etterkommet en rekke av NKFs innspill, som er gjennomgått i oversendelsesbrevet fra Datatilsynet datert 30.11.2011. Etter gjennomgangen gjensto fire punkter som Datatilsynet ikke har funnet grunnlag for å imøtekomme. Punktene gjelder bruk av adressehistorikk og tidligere forespørsler som parameter i kredittvurderingen, samt registrering av eierskap til fast eiendom og fakturaer betalt før forfall. Samtlige punkter vil innebære en utvidelse av dagens konsesjon.

Ny standardkonsesjon samt oversendelsesbrev ble sendt ut 30.11.2011. I e-post av 13.12.2011 ble det søkt om utvidet klagefrist til 10.1.2012, som ble innvilget i e-post av 15.12.2011. Klage på vedtak om ny konsesjon ble sendt 10.1.2012.

Saken ble oversendt Personvernnemnda 15.3.2012, som mottok saken 16.4.2012. Klager ble orientert om dette i brev fra nemnda datert 17.4.2012, med frist til uttalelse innen 9.5.2012. Klager uttalte seg innen fristen, i brev av 7.5.2012 med vedlegg. Personvernnemnda henvendte seg til klager i e-post av 4.6.2012 og ba om mer utfyllende informasjon om opplysninger om betalte fakturaer. Klager besvarte henvendelsen i e-post av 11.6.2012.

3 Faktum

NKF har påklaget ny standardkonsesjon for kredittopplysningsvirksomhet. Klagen gjelder fire punkter, henholdsvis bruk av adressehistorikk og bruk av opplysninger om tidligere forespørsler som parameter i kredittvurderingen, samt registrering av eierskap til fast eiendom (hjemmelshaver) og registrering av opplysninger om betalte fakturaer (betalt før forfall).

4 Klagers anførsler

4.1 Om adgangen til å nekte konsesjon og/eller sette vilkår

De påklagede deler av Datatilsynets avgjørelse gjelder søknader om utvidelse av nåværende konsesjon. Det fremgår av Datatilsynets avgjørelse at de anser de opplysningstyper det er søkt om adgang til å registrere som saklige og relevante for kredittopplysningsformål. Datatilsynet har ikke hatt innvendinger mot kredittopplysningsbyråenes beskrivelse av hvordan man vil sikre at opplysningene holder tilfredsstillende kvalitet og hvorledes de kan holdes oppdatert. Det er heller ikke anført at det ikke foreligger lovlig behandlingsgrunnlag.

Alle grunnvilkår for å registrere og bruke opplysningene i kredittopplysningsvirksomhet er følgelig oppfylt. Datatilsynet har likevel valgt å nekte utvidelse av konsesjonen. Det er etter kredittopplysningsbyråenes oppfatning ikke adgang til dette. Datatilsynet anfører at det "nesten ikke er grenser for hvilke opplysninger som kan anses relevant for behandlingen", men at det, til tross for dette, "like fullt [må] trekkes grenser for hvilke opplysningstyper kredittopplysningsvirksomheter skal ha adgang til å registrere samt bruke som parameter i en kredittvurdering." Klager er ikke uenig i dette. Disse grensene må imidlertid trekkes ut fra de vilkår som er oppstilt i personopplysningsloven § 33-35 om konsesjon, jf personopplysningsforskriften § 4-5, andre avsnitt.

Lovens utgangspunkt er at bare sensitive personopplysninger er omfattet av konsesjonsplikt. I personopplysningsloven § 33 andre avsnitt fremgår det imidlertid at:

"Datatilsynet kan bestemme at også behandling av annet enn sensitive personopplysninger krever konsesjon, dersom behandlingen ellers åpenbart vil krenke tungtveiende personverninteresser."

Kredittopplysningsbyråene er, i likhet med enkelte andre bransjer, pålagt særskilt konsesjonsplikt gjennom personopplysningsforskriften § 4-5. Ved anvendelsen av bestemmelsen, og vurderingen av hvorvidt konsesjon skal gis i henhold til § 34, må det imidlertid sees hen til vurderingskriteriet som er angitt i lovens § 33 for når det ellers kan stilles krav om konsesjon. Klager kan ikke se at Datatilsynet anfører eller forsøker å begrunne at registrering og bruk av de aktuelle opplysningstyper i kredittopplysningsvirksomhet "åpenbart vil krenke tungtveiende personverninteresser". Det fremgår av personopplysningsloven § 34 at:

"Ved avgjørelsen av om konsesjon skal gis, skal det klarlegges om behandlingen av personopplysninger kan volde ulemper for den enkelte som ikke avhjelpes gjennom bestemmelsene i kapitlene II-V og vilkår etter § 35. I så fall må det vurderes om ulempene blir oppveid av hensyn som taler for behandlingen»

Datatilsynet har ikke pekt på noen slike konkrete ulemper, verken for den enkelte person eller det enkelte foretak. Riktignok er det anført, når det gjelder registrering av hjemmelshaver til fast eiendom, at det som utgjør en fordel for en må innebære en ulempe for andre. Dette er imidlertid verken forsøkt begrunnet eller konkretisert. Klager mener også at Datatilsynets antakelse er uriktig. Videre har Datatilsynet ikke vurdert om slike eventuelle ulemper oppveies av hensynene som taler for behandlingen. Det må etter klagers oppfatning være tilfellet her, i særdeleshet når det gjelder registrering av opplysning om hjemmelshaver i fast eiendom og om rettidig betalte fakturaer (for juridiske personer), som teller positivt for den opplysningene er registrert for, men det vil også være tilfellet for de to andre opplysningstypene klagen gjelder, blant annet fordi det gir et mer presist vurderingsgrunnlag. Klager viser til det som tidligere er sagt om betydningen av antall parametere som inngår i kredittvurderingen. Under enhver omstendighet skulle det vært vurdert om en eventuell ulempe kan avhjelpes gjennom vilkår i konsesjonen, se personopplysningsloven § 35.

Datatilsynet har på denne bakgrunn ikke grunnlag i personopplysningsloven for å nekte behandling av de opplysningstyper det er søkt om utvidelse for.

4.2 Hjemmelshaver til fast eiendom

Kredittopplysningsbyråene har søkt om adgang til å registrere opplysninger om at en person er hjemmelshaver til fast eiendom. Opplysningene er søkt registrert uten detaljer om eiendommen eller dens verdi, og vil bli innhentet fra offentlig tilgjengelige registre og oppdateres derfra. I Datatilsynets oversendelsesbrev angis følgende:

«Datatilsynet legger til grunn at en eventuell registrering av hvem som er hjemmelshaver for fast eiendom vil medføre positive konsekvenser for disse personene, og nødvendigvis en tilsvarende negativ konsekvens for øvrige. Tilsynet kan ikke se behovet for å registrere denne opplysningstypen og vil ikke endre konsesjonen på dette punkt.»

NKF anfører at Datatilsynet ikke har adgang til å avslå søknad om å benytte eierskap til fast eiendom i kredittvurderingen med henvisning til at betingelsene i personopplysningsloven §§ 34 og 35 ikke er oppfylt. Det argumenteres med at opplysningen er relevant, at opplysningene lett kan holdes ajour, samt at bruk av opplysningen ikke vil slå uheldig ut for personer som ikke står oppført som eier av bolig.

Det fremgår av Datatilsynets uttalelse at opplysningstypen anses relevant og at den vurderes som positiv for den enkelte som opplysningene direkte gjelder. Det er derimot vanskelig å se hvilke ulemper for den enkelte Datatilsynet argumenterer med. Hvis hjemmelsforhold registreres vil vurderingsgrunnlaget styrkes. Opplysninger om hjemmelshaver vil særlig kunne ha betydning i situasjoner der den registrerte ellers ligger i grenseområdet for at det vil bli frarådet å gi kreditt eller hvor dette anses å være forbundet med en ikke ubetydelig risiko. I slike sammenhenger vil en tilleggsopplysning om eierskap i fast eiendom kunne være utslagsgivende i positiv retning for den registrerte. Opplysningen vil bidra til å sikre at vurderingen gjøres basert på et mer komplett bilde av den enkeltes betalingsevne og soliditet, helt i overensstemmelse med kravene til at opplysningene skal være tilstrekkelige og oppdaterte i personopplysningslovens § 11 bokstav d) og e). Ved å supplere med denne typen objektive opplysninger om den enkelte, vil man øke treffsikkerheten for kredittvurderingen. Dette kan også gi grunnlag for å sette ned den alminnelige "tvilsgrensen" for når det er forsvarlig å yte kreditt. Mangel på eierskap i fast eiendom vil imidlertid aldri føre til at det blir frarådet å gi kreditt som vedkommende ellers ville ha fått. Slik bruk av opplysningene har altså ingen negative konsekvenser for andre registrerte. I tillegg vil klager påpeke at hjemmelsregisteret er et offentlig tilgjengelig register som både enkeltpersoner og virksomheter kan innhente opplysninger fra også i dag.

Det er ikke korrekt som anført av Datatilsynet at registrering av opplysning om eierskap i fast eiendom for de som har dette, vil slå uheldig ut for andre. Kredittgivere og kredittopplysningsbyråene har en felles interesse av at kreditt innvilges på korrekt grunnlag. Målet med byråenes virksomhet er, med størst mulig presisjon, å skille ut de som ikke er i stand til, eller ikke har vilje til, å betjene ytterligere gjeld. Dette er også viktig mht finansinstitusjonenes frarådingsplikt.

Ved å tilføre en ny parameter til vurderingen vil byråene kunne øke treffsikkerheten slik at personer som ellers ville være i grenseland for å bli nektet eller innvilget kreditt får en bedre vurdering (score) fordi opplysning om eierskapet trekker opp. Ved slik ytterligere nyansering og økt treffsikkerhet vil kredittgivere også lettere kunne gi kreditt til søkere som ligger i det helt nedre sjikt av anbefalt eller akseptabel score, fordi sannsynligheten for at vurderingen er korrekt har økt ytterligere sammenliknet med eksisterende løsning. Denne nyansering mellom individer vil ikke påvirke scoren til de som ikke er innehaver av fast eiendom. Under enhver omstendighet kan klager ikke se at behandlingen har negative konsekvenser for den opplysningene gjelder, og dette må være avgjørende mht vurderingen av om vilkårene for å nekte eller sette vilkår iht personopplysningsloven §§ 34 og 35 er oppfylt.

4.3 Opplysninger om betalte fakturaer

Kredittopplysningsbyråene har i dag adgang til å registrere opplysninger om fakturaer som er betalt etter forfall. NKF ba i brev av 3.3.2011 om å registrere fakturaer betalt før og på forfallstidspunkt. NKF har frafalt den del av søknaden som gjaldt registrering av opplysninger om ubetalte fakturaer som har forfalt. Det er altså søkt om adgang til å registrere fakturaer som er rettidig betalt. Søknaden er begrenset til opplysninger om juridiske personer. Datatilsynet har i sin vurdering ikke lagt tilstrekkelig vekt på at opplysninger om rettidig betalte fakturaer vil tale til den registrertes fordel. Den opprinnelige søknaden om også å få registrere opplysninger om forfalte, men ikke betalte fakturaer, ble trukket i klagen. Datatilsynet har redegjort for dette i innledningen i oversendelsesbrevet, men de synes å ha oversett det i vurderingen av søknaden og klagen lenger ut i det samme brevet. Videre synes Datatilsynet ikke å legge vekt på at det her dreier seg om opplysninger om juridiske personer – ikke om enkeltpersoner. Bestemmelsene om behandling av personopplysninger gjelder riktignok, etter forskriften, også for kredittopplysningsbyråenes behandling av opplysninger om annet enn fysiske personer. Det skal imidlertid forholdsvis mye til for det er grunn til eller grunnlag for å gripe inn med avslag eller vilkår i konsesjonen for juridiske personer, da denne behandlingen på ingen måte krenker tradisjonelle personverninteresser. Det må i så fall kunne pekes på andre tungtveiende hensyn for at konsesjon skal nektes eller vilkår settes. Det er det ikke gjort i dette tilfellet og det er etter klagers oppfatning åpenbart at det heller ikke finnes argumenter av betydning som taler mot slik registrering.

Med dagens regulering er det ingen av byråene som registrer opplysninger om fakturaer betalt etter forfall, da dette bare gir mening hvis man kan se hvilken andel dette utgjør av den totale porteføljen, og om det avviker fra de alminnelige mønstre i bransjen mv.

Til illustrasjon av hvilken betydning det vil ha for analysen å kunne registrere opplysninger også om korrekt betalte fakturaer, fremlegger klager som vedlegg utskrift fra Experian i Danmark (der slik registrering er lovlig). Den første figuren viser antall dager virksomheten har oversittet betalingsfristen de siste 3, 12 og 24 måneder sammenliknet med andre danske virksomheter. Den andre figuren viser andelen rettidig betalte fakturaer siste 12 måneder, samt andelen fakturaer som er betalt henholdsvis inntil 7, 29 og 60 dager etter forfall. Figuren viser også tilsvarende tall for de siste 12-24 måneder slik at det er mulig å se om virksomhetens betalingsmønster beveger seg mot det bedre (større andel av rettidig betaling) eller verre (mindre andel rettidig betaling eller lengre forsinkelser). For å få et korrekt bilde av virksomhetens betalingsmønster (i dette tilfellet at mer enn 81 % av betalingene skjer rettidig og at 98 % er betalt innen en måned etter forfall), basert på den andelen av virksomhetens samlede betalinger som meldes inn, er det avgjørende at det gis anledning til å registrere opplysninger også om rettidig betalte fakturaer. Den siste figuren viser betalingstidspunkt fordelt på kravenes størrelse. I dette tilfellet viser figuren at alle store fakturaer betales rettidig. Det er åpenbart viktig at denne informasjonen også kommer med i vurderingen. Klager vedlegger også uttalelser fra det danske datatilsynet som har tillatt slik registrering. Klager mener at de samme vurderinger bør legges til grunn i Norge.

NKF anfører at Datatilsynet ikke har adgang til å avslå søknad om å registrere fakturaer før og på forfallstidspunkt med henvisning til at betingelsene i personopplysningsloven §§ 34 og 35 ikke er oppfylt. NKF kan ikke se at det vil ha ulemper for den enkelte virksomhet å registrere også fakturaer betalt før og på forfallstidspunkt, og det kan uansett ikke gjøres gjeldende personvernhensyn som gir grunnlag for å sette vilkår som begrenser registreringen.

Det bemerkes for det første at opplysningene utelukkende gjelder juridiske personer. Det er således høyst tvilsomt om det overhodet kan oppstilles vilkår for behandlingen av slike opplysninger gjennom konsesjonen. Under enhver omstendighet må det være utelukket å påberope at det foreligger ulemper som er relevante for personvernhensyn som begrunnelse for å nekte registrering av opplysninger om når juridiske personer (som ikke omfatter enkeltpersonforetak) betaler sine fakturaer.

Videre påpekes det at fakturaene ikke behandles enkeltvis, men som statistikk, uttrykt i form av en betalingsindeks, som skal si noe om hvordan et selskap i gjennomsnitt betaler sine regninger i forhold til forfall. Spesielt endringer i betalingsindeksen (endring i betalingsmønsteret) er en relevant parameter i kredittvurderingen, og en viktig parameter i ratingmodellene i de land som har tilgang til fakturainformasjon. En betalingsindeks som bare er basert på fakturaer betalt etter forfall, vil gi et skjevt bilde av hvordan virksomhetene faktisk betaler sine fakturaer, og det er ikke mulig a skille mellom de som stort sett betaler rettidig og de som regelmessig betaler etter forfall. Det er derfor ingen av de norske byråene som benytter slik informasjon i dag.

Klager kan ikke se at det vil ha ulemper for den enkelte virksomhet å registrere også fakturaer betalt før og på forfallstidspunkt, og det kan uansett ikke gjøres gjeldende som personvernhensyn som gir grunnlag for å sette vilkår som begrenser registreringen. For å unngå tvil med hensyn til anvendelsen av reglene om registrering av betalingsanmerkninger frafalles den del av søknaden som gjelder registrering av opplysninger om ubetalte fakturaer som har forfalt.

Klager har kommet med utfyllende informasjon om betalte fakturaer. Klager opplyser at opplysninger om betalte fakturaer innhentes fra store foretak, for eksempel innenfor transport, telekom og grossister mot bedriftsmarkedet, som har mange kunder, og som fakturerer hyppig, slik at man kan få en god dekning og få mest mulig oppdatert informasjon på selskapene. Det som er mest relevant informasjon å få levert fra leverandørene/partnernes kundereskontro, er: 

• Kundenavn
• Org.nr.
• Fakturabeløp
• Forfallsdato
• Betalingsdato
• Betalt beløp (opplysningen benyttes for å vekte fakturaenes betydning innbyrdes)

Opplysningene vil bli overført elektronisk i form av filer tilrettelagt av rapportøren i henhold til et på forhånd definert format. Det typiske er at dette leveres månedlig. Leveransemetoden vil kunne variere, men det vanligste er overføring via FTP.

4.4 Opplysninger om tidligere forespørsler

Kredittopplysningsbyråene har søkt om adgang til å benytte opplysninger om tidligere forespørsler i kredittvurderingen. Datatilsynet har avslått søknaden under henvisning til en avgjørelse fra Justisdepartementet fra 1991. Klager bemerker at Datatilsynet ikke har drøftet vilkårene for å nekte konsesjon. Datatilsynet har heller ikke drøftet de forhold som er anført i klagers brev – verken når det gjelder relevans og betydning av opplysningstypen, hvordan opplysningene kan avgrenses, eller hvorfor klager mener Justisdepartementets avgjørelse ikke lenger kan legges til grunn. Datatilsynet har også pekt på at det å benytte opplysninger om tidligere forespørsler vil utgjøre behandling for et nytt formål. Klager er uenig i dette. Viktigere er imidlertid at Datatilsynet har oversett at det, for det tilfellet at det anses som et nytt formål, er søkt om adgang til å lagre opplysningstypen også for dette formålet fra nå og fremover. Dette alternativet har Datatilsynet ikke vurdert i sitt oversendelsesbrev.

Etter klagers oppfatning er betingelsene i personopplysningsloven §§ 34 og 35 for å nekte eller sette vilkår for behandlingen ikke oppfylt. Datatilsynet erkjenner at opplysningene vil være egnet til å belyse kredittverdighet, og at de vil være relevante. Datatilsynet drøfter imidlertid spørsmålet om hvorvidt anvendelse av opplysninger om tidligere forespørsler i kredittvurderingen vil være anvendelse for et nytt formål. Ettersom all behandling av personopplysninger hos kredittopplysningsbyråene gjelder kredittvurdering (de har etter konsesjonen ikke anledning til å behandle personopplysninger for noe annet formål), kan klager ikke se at det her kan dreie seg om anvendelse til nytt formål, langt mindre et formål som er uforenlig med det opprinnelige formålet.

Datatilsynet henviser videre kort til Justisdepartementets tidligere avgjørelse, men har ikke drøftet noen av kredittopplysningsbyråenes synspunkter på hvorfor denne avgjørelsen ikke lenger bør opprettholdes eller de øvrige forhold som er anført av byråene i søknaden. Datatilsynet synes ikke å ha gjort noen selvstendig vurdering av spørsmålet.

Hvis Personvernnemnda mot formodning skulle komme til at det dreier seg om et nytt formål, og at dette er uforenlig med det opprinnelige formålet og således (i praksis) til hinder for den omsøkte utvidelse, søkes det om adgang til, for fremtiden, å registrere opplysninger om nye forespørsler også for bruk i kredittvurderingen for den periode som er relevant.

4.5 Bruk av adressehistorikk i kredittvurderingen

Bruk av adressehistorikk ble behandlet av Personvernnemnda i sak PVN-2008-04. Spørsmålet den gangen var hvilke behandlinger som var dekket av ordlyden i den dagjeldende konsesjonen. I forlengelsen av denne avgjørelsen søkte kredittopplysningsbyråene om utvidelse av konsesjon til også å omfatte bruk av adressehistorikk i kredittvurderingen. Datatilsynet har innvilget søknaden om registrering og behandling av opplysninger om tidligere adresse for to av de tre bruksområder som er beskrevet i søknaden. Datatilsynet har imidlertid avslått søknaden om bruk av tidligere adresse som parameter i kredittvurderingen.

Datatilsynet har avvist dette under henvisning til Personvernnemndas avgjørelse. Dette utgjør imidlertid verken noe grunnlag for, eller noen begrunnelse for, å avslå søknaden, ettersom Personvernnemnda kun konstaterte at behandlingen ikke var forenlig med ordlyden i den daværende konsesjonen. Datatilsynet synes ikke å ha gjort noen selvstendig vurdering av spørsmålet, i alle fall finnes det ikke spor av dette i begrunnelsen for vedtaket. Dette tilsier at vedtaket i prinsippet bør hjemvises til ny behandling. I lys av den lange tid som har gått siden søknaden ble sendt, vil klager likevel be om at Personvernnemnda realitetsbehandler klagen.

Personvernnemnda pekte den gang på at en søknad om utvidelse ville være gjenstand for selvstendig klagebehandling. Datatilsynet har åpenbart oversett dette når de avgjør søknaden under henvisning til Personvernnemndas forrige avgjørelse.

Spørsmålet om bruk av opplysninger om tidligere adresser i kredittvurderingen som var til behandling i PVN-2008-04 var basert på en tolkning av begrepet "kontaktopplysning" i den daværende konsesjonen og nemnda kom til at formuleringen ikke ga adgang til å registrere tidligere adresse. En eventuell søknad om utvidelse av konsesjonen ville være gjenstand for ny selvstendig klagebehandling. Kredittopplysningsbyråene mener at tilsynet ikke har adgang til å avslå søknaden. Det vises til personopplysningsloven §§ 34 og 35.

Videre er vedtaket beheftet med saksbehandlingsfeil. Datatilsynet har ikke redegjort for hvorledes de ovennevnte bestemmelsene skal forstås eller drøftet om betingelsene er oppfylt. Datatilsynet har heller ikke drøftet de faktiske forhold og de hensyn som er anført av kredittopplysningsbyråene. Det er ikke mulig, ut fra den knappe begrunnelsen på angjeldende punkt i vedtaket, å se hvilket rettslig og faktisk grunnlag Datatilsynet bygger sin avgjørelse på, eller om det er foretatt en forsvarlig vurdering.

4.6 Oppsummering

Datatilsynet har på denne bakgrunn ikke grunnlag i personopplysningsloven for å nekte behandling av de opplysningstyper det er søkt om utvidelse for. Det fremgår ikke av begrunnelsen om de har vurdert hvorvidt vilkårene for å nekte konsesjon er oppfylt eller noe forsøk på å begrunne dette. Skulle man komme til at vilkåret for å nekte behandling er oppfylt, skulle det ha vært vurdert om ulempene kunne avbøtes ved å stille vilkår i konsesjonen, og det skulle vært vurdert om ulempene blir oppveid av fordelene med behandlingen. Dette er ikke gjort. Klager ber om at klagen realitetsbehandles slik at Personvernnemnda tar stilling til om vilkårene for å gi konsesjon for behandling av de fire aktuelle opplysningstypene er oppfylt og, i den utstrekning det er mulig, om det eventuelt skal stilles vilkår for behandlingen.

5 Datatilsynets vurdering

NKF har gjennom skriftlige innspill samt konkrete søknader kommet med flere endringsforslag til konsesjonen. Datatilsynet har etterkommet en rekke av NKFs innspill. Etter gjennomgangen gjenstår fire punkter som Datatilsynet ikke har funnet grunnlag for å imøtekomme. Samtlige punkter vil innebære en utvidelse av dagens konsesjon. Datatilsynet vil innledningsvis bemerke at vilkårene i personopplysningsloven §§ 34 og 35 legger opp til en interesseavveining mellom behovet for behandlingen av opplysninger holdt opp mot personvernkrenkelsen – hvor det skal vurderes konkret om de generelle reglene for behandling av personopplysninger samt om eventuelle vilkår i konsesjon kan avhjelpe personvernulempen.

Det spesielle med kredittopplysningsvirksomhet er at det nesten ikke er grenser for hvilke opplysninger som kan anses relevant for behandlingen. Det faktum at det kan konstateres en sammenheng mellom en gitt betingelse og betalingsevne eller -vilje, gjør at opplysningen objektivt sett er relevant. Etter tilsynets vurdering må det like fullt trekkes grenser for hvilke opplysningstyper kredittopplysningsvirksomheter skal ha adgang til å registrere samt bruke som parameter i en kredittvurdering.

Tilsynet vil det følgende komme med en begrunnelse for avslag på omsøkte utvidelser.

5.1 Registrering av hjemmelshaver til fast eiendom

NKF har søkt om anledning til å registrere opplysning om at en person er registrert som hjemmelshaver til fast eiendom. Det vises til at det er ønskelig "å registrere at den registrerte er eier av fast eiendom. Det er ikke påkrevet med informasjon om eiendommen, formuesverdi eller lignende, men selve opplysningen om at man faktisk er registrert som hjemmelshaver til fast eiendom (som en ja/nei opplysning) vil i seg selv ha positiv betydning for den registrerte".

Datatilsynet legger til grunn at en eventuell registrering av hvem som er hjemmelshaver for fast eiendom vil medføre positive konsekvenser for disse personene, og nødvendigvis en tilsvarende negativ konsekvens for øvrige. Tilsynet kan ikke se behovet for å registrere denne opplysningstypen og vil ikke endre konsesjonen på dette punkt.

5.2 Utvidet lagring av betalte fakturaer

Kredittopplysningsbyråene kan i henhold til konsesjonen registrere informasjon om betalte fakturaer. Rammene for dette er nærmere beskrevet i merknadene til punkt 1.1.3.2, hvor det står at:

Den enkelte faktura skal ikke presenteres. Opplysninger om betalte fakturaer skal presenteres som statistikk, og kan gi informasjon om punktlig betaling, og informasjon om betaling hvor betalingsfristen er oversittet. Betaling før forfall kan ikke registreres.

For at slike opplysninger skal kunne bearbeides og fremlegges som kredittopplysninger, må minst to kreditorer ha meldt inn slike opplysninger om den registrerte, og det må til sammen være rapportert inn opplysninger om minst ti betalte fakturaer i løpet av de siste tolv månedene.

Informasjon om fakturaer kan ikke omfatte fakturaer som ikke er betalt i rett tid, dersom dette skyldes motregning, omtvistede poster, krediterte eller på annen måte annullerte poster, tapsførte poster eller annet som gjør at fakturaen ikke er godtatt.

Slike opplysninger kan ikke registreres om enkeltpersonforetak, som ikke er registrert i foretaksregisteret.

Det fremgår blant annet at det ikke kan registreres opplysninger om betaling før forfall. NKF har fremmet forslag til endring av disse rammene. NKF anfører at det "i alle fall bør være anledning til å registrere fakturaer betalt per forfallsdato. Denne type opplysninger kan ikke ha annet enn positiv betydning for den registrerte, og bidrar til å vise forholdet mellom rettidig betalte og for sent betalte fakturaer, hvilket gir et mer balansert bilde enn bare opplysninger om for sent betalte fakturaer uten opplysninger om helhetsbildet. Videre ville det, etter de samme retningslinjer som er angitt for fakturahistorikk ellers, være relevant å kunne registrere opplysninger om fakturaer som er forfalt, men ikke betalt, for senere å oppdatere med dato for faktisk betaling (som man har anledning til å registrere etter denne bestemmelsen i dag)".

Etter Datatilsynets vurdering skal det være snevre rammer for å registrere denne type opplysninger. Det er strenge regler for på hvilke vilkår og på hvilket tidspunkt betalingsmislighold kan registreres, og en utvidelse på dette punktet kan medføre en uthuling av dette vernet. Tilsynet har videre vanskeligheter med å se at registrering av fakturaer betalt per forfallsdato utelukkende vil medføre positive konsekvenser for den registrerte, da mangelfull betaling per forfallsdato etter alt å dømme vil slå negativt ut for den enkelte.

Tilsynet bemerker for øvrig at det følger direkte av personopplysningsforskriften § 4-1 at personopplysningsloven gjelder for behandling av personopplysninger i kredittopplysningsvirksomhet, også for behandling av kredittopplysninger om andre enn enkeltpersoner.

5.3 Registrering av opplysninger om tidligere forespørsler

NKF har søkt om å utvide konsesjonen med adgang til å benytte opplysninger om tidligere forespørsler. Det vises til at kredittopplysningsbyråene mener at tidligere forespørsler om kredittopplysninger vil bidra til ytterligere å styrke treffsikkerheten i kredittvurderingene. Videre argumenteres det med at erfaringer fra andre land, herunder Storbritannia og Sverige, viser at dette er en av de sterkeste variablene, noe som underbygges med tall og praksis fra de respektive land i brev av 3.3.2011.

Datatilsynet erkjenner at en slik opplysning vil kunne være egnet til å belyse kredittverdighet, og at opplysningen av denne grunn kan klassifiseres som en relevant opplysning, jf personopplysningsloven § 11 bokstav d.

Formålet med å foreta en kredittvurdering er å gi et øyeblikksbilde av kredittverdigheten til en person, som kun kan foretas når det foreligger saklig behov – typisk ved avtaleinngåelse. Når formålet er oppfylt skal opplysningene slettes, jf personopplysningsloven § 28. Det følger av personopplysningsforskriften § 4-4 at i tillegg til gjenpartsplikten kan den registrerte også kreve å "få opplyst hvilke kredittopplysninger som er gitt om vedkommende de siste seks måneder, hvem disse er gitt til og hvor de er  innhentet fra".

En eventuell lagring av opplysningen til et nytt formål – som anses uforenlig med det opprinnelige formålet – krever et samtykke fra den registrerte, jf personopplysningsloven § 11 bokstav c. Datatilsynet er av den oppfatning at en eventuell bruk av tidligere kredittvurderinger som en parameter i kredittvurderingen vil være et nytt formål som krever behandlingsgrunnlag i personopplysningsloven § 8, jf § 11.

Det vises for øvrig til brev fra Justisdepartementet av 28.8.1991 hvor det er lagt til grunn at det ikke er anledning til å utgi opplysninger om antall forespørsler i kredittopplysningsvirksomhet. Det legges til grunn at:

Selv om den anførte statistiske undersøkelse viser at hyppige søknader om lån eller kreditt kan være et tegn på svak betalingsevne, finner departementet det lite betryggende å benytte en slik statistisk tendens som kriterium i en konkret vurdering av enkelttilfeller.

Datatilsynet tolker dette vedtaket dit hen at denne type opplysninger heller ikke kan benyttes som underlagsopplysning ved beregning av scoring eller risikoprofiler.

5.4 Bruk av opplysninger om tidligere adresser i kredittvurderingen

NKF har søkt om adgang til å benytte opplysninger om tidligere adresser i kredittvurderingen. Etter tidligere konsesjon har det vært adgang til å registrere opplysninger om navn/firmanavn og kontaktopplysninger.

Datatilsynet mottok en klage på at et kredittopplysningsforetak benyttet historiske adresser som variabel i kredittvurderingen, jf. DT 06/01787. Tilsynet konkluderte med at kredittopplysningskonsesjonen ikke tillater registrering av tidligere adresser eller navn.

NKF opplyste at tidligere adresser benyttes til tre formål:

1. For å etablere unike treff ved enkeltoppslag i kredittopplysningsdatabasen
2. Ved ajourføring av inkassobyråenes porteføljer
3. Som en eller flere variabler i forbindelse med en kredittvurdering

Datatilsynet aksepterte formål nummer 1 og 2, men ikke formål nummer 3, og saken ble påklaget til Personvernnemnda. Merknadene til kredittopplysningskonsesjonen punkt 11.1 nr 1 og 2 er endret i tråd med Personvernnemndas avgjørelse, jf PVN-2008-04, og tilsynets saksbehandling i sak DT 06/01787:

Tidligere og nåværende adresser kan ikke benyttes som ledd i kredittvurderingen, herunder i risikoklassifiseringen. Dette gjelder også antall ganger en person eller næringsdrivende har flyttet. Den samme begrensningen gjelder for navn. Det vises til PVN-2008-04 hvor Personvernnemnda uttaler at:

… når adresse er klassifisert under "kontaktopplysninger", så må dette bety at det bare er nåværende adresse som er en korrekt og relevant opplysning. Etter nemndas syn er det en rimelig tolkning av konsesjonen at adresse bare skal brukes til kontakt, ikke som variabel i kredittvurdering. Konsekvensen av dette er at adresseopplysninger skal oppdateres med en gang de endres, jf personopplysningsloven §§ 11 bokstav e og 28. Som kilde kan kredittopplysningsforetaket bruke Folkeregisteret, jf konsesjonens pkt 1.2 nr. 6. Personopplysninger skal være korrekte og oppdaterte, og når formålet for lagring av adresse er "kontakt", finnes det etter nemndas syn ingen hjemmel, verken i nåværende konsesjon eller loven, for å lagre gamle adresser.

Tidligere adresser og navn kan imidlertid lagres i fire år i henhold til slettefristen i konsesjonens punkt 6.1 og benyttes for å etablere unike treff ved enkeltoppslag i kredittopplysningsdatabasen. Det samme gjelder i forbindelse med ajourføring av inkassobyråenes porteføljer. Slik bruk av historiske adresser er bare aktuelt der den som foretar en kredittvurdering ikke har adgang til å benytte fødselsnummer ved søk i kredittopplysningsdatabasen, jf personopplysningsloven § 12.

Det er gjort enkelte endringer knyttet til dette punktet i ny konsesjon, uten at disse er ment å medføre realitetsendringer.

6 Personvernnemndas merknader

Arve Føyen fratrådte behandlingen av denne saken fordi han er inhabil. Varamedlem for Føyen, Ingvild Hanssen-Bauer, er også inhabil i saken. Personvernnemnda behandlet saken med seks medlemmer.

Personvernnemnda skal vurdere klagens fire punkter, henholdsvis bruk av adressehistorikk og tidligere forespørsler som parameter i kredittvurderingen, samt registrering av eierskap til fast eiendom og fakturaer betalt før og på forfall. Det klages over den nye standardkonsesjonen for kredittopplysningsvirksomhet som trådte i kraft 1.4.2012 fordi fire punkter som klager ønsket inn i konsesjonen ikke ble tatt med. Klager viser til at dette er data som bør være omfattet av konsesjonen, fordi det er relevant og kan ha en statistisk sammenheng og således bidrar til en mer presis kredittvurdering. Datatilsynet har på sin side uttalt at det er grenser for hvor "komplett" bildet skal være, og at Datatilsynet må trekke en grense et sted. Datatilsynet har gitt ny standardkonsesjon og satt de vilkår etter personopplysningsloven § 35 som etter Datatilsynets skjønn er nødvendige.

Personvernnemnda skal vurdere:

• adgangen til å nekte konsesjon og/eller sette vilkår
• bruk av opplysninger om betalte fakturaer
• bruk av opplysninger om tidligere forespørsler
• bruk av adressehistorikk i kredittvurderingen
• registrering av hjemmelshaver til fast eiendom

6.1 Nekte konsesjon eller sette vilkår

Kredittopplysningsvirksomhet krever konsesjon fra Datatilsynet. Det gjelder også virksomhetsopplysninger, jf personopplysningsforskriften § 4-5. Ved avgjørelsen av om konsesjon skal gis, gjelder personopplysningsloven §§ 34 og 35. Etter § 34 skal det klarlegges om behandlingen av personopplysninger kan volde ulemper for den enkelte som ikke avhjelpes gjennom vilkår etter § 35. I så fall må det vurderes om ulempene blir oppveid av hensyn som taler for behandlingen. Etter § 35 skal det vurderes å sette vilkår for behandlingen når slike vilkår er nødvendige for å begrense ulempene behandlingen ellers ville medføre for den registrerte. I NOU 1997: 19 ble følgende bestemmelse foreslått tatt inn som § 35 annet ledd:

«I vurderingen av om det er nødvendig å sette vilkår etter første ledd bør det bl.a. tas i betraktning om

1. det er lagt til rette for at de registrerte kan gjøre nytte av rettighetene etter loven, herunder om de vil bli gitt tilstrekkelig informasjon om sine rettigheter og mulighetene til å gjøre nytte av dem
2. personopplysningene vil bli tilstrekkelig korrekte, dekkende og ajourførte i forhold til formålet med behandlingen, jf. § 7
3. personopplysningene vil bli behandlet med den diskresjon som regler om taushetsplikt og formålet med behandlingen gjør nødvendig
4. det er planlagt informasjons- og veiledningstiltak som står i et rimelig forhold til kontrolltiltak
5. det er etablert tilstrekkelig sikkerhet i forhold til formålene med behandlingen av personopplysninger.»

I Ot.prp. nr. 92 (1998-99) s. 130 er innholdet av dette forslaget til bestemmelse anerkjent som relevant, men regnet som overflødig å ta inn i lovteksten. Videre uttales det at:

Som ledd i vurderingen av om det skal gis konsesjon må det først klarlegges om personopplysningsbehandlingen vil volde problemer for den enkelte, og om problemene eventuelt avhjelpes ved lovens regler for behandlingen. Hvis behandlingen ikke volder problemer for den enkelte, vil det som regel ikke være aktuelt å nekte konsesjon. Dersom lovens materielle regler ikke gir et fullgodt personvern, kan det fastsettes supplerende, mer detaljerte eller strengere regler for hvordan behandlingen kan skje, enten i form av konsesjonsvilkår i henhold til § 35 i lovforslaget, eller – dersom det dreier seg om en homogen gruppe behandlingsansvarlige, typisk en bransje – i form av forskrifter med hjemmel i § 33 siste ledd. Til slutt må det vurderes om behandlingen slik den vil være regulert gjennom lov og konsesjonsvilkår eller forskrifter, fremdeles vil volde ulemper for den enkelte, og i så fall om fordelene ved behandlingen oppveier disse ulempene. På samme måte som i dag vil en rekke ulike typer interesser – økonomiske såvel som ideelle – måtte veies mot hverandre.

(…)

Bestemmelsen [§ 35] medfører en plikt til å vurdere å sette vilkår som trengs til å begrense ulempene, men innebærer ikke noen plikt til å fastsette slike vilkår. Om det skal gjøres, vil bero på en avveining av den type som nevnt i § 34. At plikten til å vurdere vilkår er overholdt selv om det ikke blir satt, må normalt vises gjennom begrunnelsen for konsesjonsvedtaket, jf fvl § 25.

Dersom vilkår etter Datatilsynets skjønn ikke avhjelper ulempene, kan Datatilsynet nekte konsesjon. Personvernnemnda kan overprøve Datatilsynets skjønn. Personverninteressen gjør seg ikke gjeldende med like stor tyngde for juridiske personer som for fysiske personer.

Klager har anført at Datatilsynet ikke har vurdert ulemper og vilkår for hvert punkt. Nemnda er enig med klager i at Datatilsynet skal vurdere ulemper og deretter vurdere om vilkår kan oppveie ulempene – og at dette skal foretas for hvert punkt. Datatilsynet har imidlertid uttalt at en grense må settes et sted og Personvernnemnda tolker utsagnet dithen at det i dette implisitt ligger at Datatilsynet har vurdert det slik at det vil medføre ulemper og at vilkår ikke vil kunne avhjelpe disse ulempene. Personvernnemnda vil likevel påpeke at det er uheldig at denne vurderingen ikke er gjort eksplisitt og at det var ønskelig om denne vurderingen hadde vært uttrykt klarere fra Datatilsynets side.

6.2 Hjemmelshaver fast eiendom

Som parameter i kredittvurderingen ønsker klager å benytte informasjon om hvorvidt personen som kredittvurderes har hjemmel til fast eiendom. Klager anfører at informasjonen vil bli innhentet fra offentlige registre og oppdatert derfra. Det er således tale om bruk av offentlig tilgjengelig informasjon. Klager anfører at personvernulempene ikke er store fordi det kun vil være til fordel for den registrerte, for eksempel i en vippesituasjon. Datatilsynet mener at en registrering av hvem som er hjemmelshaver til fast eiendom vil medføre positive konsekvenser for disse personene, og nødvendigvis en tilsvarende negativ konsekvens for øvrige. Tilsynet vil ikke endre konsesjonen på dette punkt.

Informasjon om hjemmel til fast eiendom kan fås fra Statens Kartverk. Informasjonen er elektronisk og søkbart tilgjengelig fra Norsk Eiendomsinformasjon, Infoland mv. Dersom man har avtale med Infoland kan man også søke på person på www.infoland.no. 

Personvernnemnda er av den oppfatning at dersom klager får benytte hjemmelsinformasjon som parameter i kredittvurderingen, vil opplysninger om hjemmel til fast eiendom sannsynligvis bli innhentet rutinemessig. Videre vil nemnda bemerke at bruk av hjemmelsinformasjon ikke alltid vil være treffende, for eksempel kan en annen enn den som har hjemmel til eiendommen eie eiendommen. Nemnda vil imidlertid ikke spekulere i hvordan opplysningen vil bli brukt, men nøye seg med å konstatere at dette er registrering og bruk av offentlig tilgjengelig informasjon som statens har utleveringsplikt til ved konkrete henvendelser. Nemnda kan ikke se at behandlingen av personopplysningene kan sies å volde spesielle personvernmessige ulemper for den enkelte, jf § 34. Personvernnemnda er derfor kommet til at konsesjonen kan utvides til å omfatte hjemmel til fast eiendom.

6.3 Opplysninger om betalte fakturaer

Klager ønsker å registrere fakturabetaling før og på forfall og å benytte dette i kredittvurdering av juridiske personer. Ønsket om å registrere rettidige fakturabetalinger gjelder ikke privatpersoner. Når det gjelder personvernulempen ved slik registrering er den noe mindre betenkelig fordi det utelukkende dreier seg om opplysninger om virksomheter, ikke privatpersoner.

Klager ønsker å kjøpe informasjon om betaling fra store bedrifter med mange kunder. Selgere av slik informasjon vil være foretak som fakturerer hyppig, typisk i sektorer som transport, telekommunikasjon og grossister mot bedriftsmarkedet. Siktemålet er å få god dekning og oppdatert informasjon på betalingshistorikk på det enkelte selskap.

Datatilsynet mener at slik registrering og bruk av nevnte informasjon, kan medføre en uthuling av vernet mot å registrere betalingsmislighold. Nemnda deler bekymringen.

Det rettslige utgangspunktet er at betaling før eller på forfall, er en lovlig oppfyllelse av en avtale. Videre kan ingen krav sendes inkasso før forfall, jf inkassoloven § 9.

Nemnda påpeker at en forskyvning i betalingstidspunkt mot forfallsdato ikke nødvendigvis må være et negativt tegn for en virksomhet. Dessuten er en slik forskyvning lovlig og avtalemessig, jf ovenfor. Nemnda finner det betenkelig at man benytter en lovlig oppførsel fra en bedrifts side som potensielt negativt for bedriften. Dette gjelder desto mer ettersom kredittrating ikke bare benyttes som beslutningsgrunnlag for innvilgelse av kreditt, men i mange tilfeller også som vilkår for å kunne inngi anbud.

Nemnda er på denne bakgrunn kommet til at slik behandling kan volde ulemper for den enkelte virksomhet og at disse ikke kan avhjelpes gjennom bestemmelsene i kapitlene II-V eller vilkår etter § 35. Nemnda er derfor kommet til at konsesjonen ikke skal utvides på dette punkt.

Klager har tillatelse til å registrere og bruke informasjon om betalingsmislighold. Klager anfører at man trenger å registrere informasjon om betaling før og på forfall også, fordi det er forholdstallene som kan si noe om kredittverdigheten. Nemnda ser at dette er et poeng.

Dersom registreringen av antall betalingsmislighold skal gi mening, må man også registrere antall betalinger før forfall. Nemnda er derfor kommet til at konsesjonen kan utvides slik at klager kan registrere antallet rettidig betalte fakturaer, men – som følge av de ovenfor nevnte betenkeligheter – vil nemnda ikke tillate at klager registrerer tidspunktet (før/på forfall) slik at man kan analysere trenden av forflytning av rettidig betaling før og på forfall.

6.4 Tidligere forespørsler

Klager ønsker å utvide konsesjonen med adgang til å lagre og benytte opplysninger om tidligere kredittforespørsler. Datatilsynet har lagt til grunn at dette vil være bruk av opplysninger til et nytt formål, som er uforenlig med det opprinnelige formålet, jf § 11 bokstav c).

Personvernnemnda ser at det følger av § 11 bokstav c at personopplysninger ikke kan gjenbrukes til formål som er "uforenlig" med det opprinnelige formålet med innsamlingen uten at den registrerte samtykker. Hva som skal til for at det nye formålet skal anses å være "uforenlig" med det opprinnelige formålet er imidlertid avhengig av en konkret vurdering. Etter nemndas skjønn må "uforenlig" tolkes som "i strid med" det opprinnelige formålet. For eksempel at den nye bruken virker mot de interesser som den opprinnelige bruken skulle fremme. I denne saken kan ikke nemnda se at den nye bruken, det vil si bruk av opplysningene som parameter i kredittopplysningsvirksomhet, er "uforenlig" med det opprinnelige formålet, som nettopp var kredittopplysning, samt å informere den registrerte om hvilke kredittopplysninger som er gitt om vedkommende de siste seks måneder, hvem disse er gitt til og hvor de er innhentet fra i samsvar med personopplysningsforskriften § 4-4 siste ledd. Slik nemnda ser det, kommer derfor ikke § 11 bokstav c til anvendelse i denne saken.

Når det gjelder registrering og bruk av tidligere kredittforespørsler som parameter i kredittvurderingen, er nemnda av den oppfatning at Justisdepartementets uttalelse av 28.8.1991 fortsatt er relevant. Nemnda viser til at departementet uttaler at det er lite betryggende å benytte en slik statistisk tendens som kriterium i en konkret vurdering av enkelttilfeller. Antall kredittvurderinger er i dag nærmest utenfor en persons kontroll. Det store antall kredittvurderinger som foretas (ved henvendelse til banker og forsikringsselskap, ved inngåelse av mobiltelefonabonnement, kredittkort tilknyttet supermarkeder etc) og den lave terskelen som foreligger for kredittvurdering, taler imot å benytte dette som parameter ved kredittvurdering, herunder som underlagsopplysning ved beregning av scoring eller risikoprofiler. Nemnda er kommet til at slik behandling kan volde ulemper for den enkelte som ikke kan avhjelpes gjennom bestemmelsene i kapitlene II-V eller vilkår etter § 35. Nemnda er derfor kommet til at konsesjonen ikke skal utvides på dette punkt.

6.5 Adressehistorikk

Klager har søkt om å få bruke tidligere adresser (adressehistorikk) som parameter i kredittvurderingen. Datatilsynet har avvist dette med henvisning til tidligere sak PVN-2008-04. Klager mener at Datatilsynets vedtak lider av saksbehandlingsfeil på dette punktet. Datatilsynet skulle ha vurdert §§ 34 og 35 for søknaden om bruk av adressehistorikk, ikke kun avvist søknaden med henvisning til en tidligere sak i Personvernnemnda. Nemnda er enig med klager i at klagers søknad om å få bruke adressehistorikk som parameter i kredittvurderingen burde ha vært vurdert etter §§ 34 og 35. PVN-2008-04 anses ikke som relevant i nærværende sak fordi den gjaldt fortolkningen av daværende konsesjons benevnelse "kontaktopplysning", hvoretter nemnda kom til at "kontaktopplysning" ikke hjemlet bruk av adressehistorikk som parameter i kredittvurderingen.

Personvernnemnda er av den oppfatning at personopplysningsvernet tilsier at adressehistorikk ikke registreres og brukes som parameter i kredittvurdering. Dette er historiske opplysninger, som ikke kan sees å være nødvendige for formålet. Årsakene til at personer flytter er ulike og forskjelligartede, og et register over flyttemønster vil være inngripende for den enkelte. En slik bruk av adressehistorikk er etter nemndas skjønn en uakseptabel inngripen i personsfæren. Det kan volde personvernmessige ulemper for den enkelte som ikke som ikke kan avhjelpes gjennom bestemmelsene i kapitlene II-V eller vilkår etter § 35. Det er mulig at dette er statistisk signifikant, men nemnda kan ikke se at nytteverdien oppveier den inngripen i privatsfæren dette innebærer. Nemnda er derfor kommet til at konsesjonen ikke skal utvides på dette punkt.

6.6 Særmerknad fra Gisle Hannemyr

Jeg slutter meg til de retningslinjer nemnda angir for å nekte konsesjon eller sette vilkår (personvernnemndas merknader punkt 6.1). Jeg slutter meg også til nemndas vedtak hva angår hjemmelshaver fast eiendom (punkt 6.2). Denne særmerknaden gjelder altså punkt 6.3, 6.4 og 6.5.

6.6.1 Formålet med behandlingen

Formålet med behandlingen det søkes om konsesjon for er å drive med kredittopplysning. Det er opplagt at kredittgiver har interesse i at kredittopplysninger er så presise som mulig. Jeg mener at det også kan legges til grunn at det er i kredittmottagers interesse at disse opplysningene er så presise som mulig, siden det vil være negativt for kredittmottager å motta kreditt som vedkommende ikke vil være i stand til å betjene.  Til sist mener jeg det også kan legges til grunn at det er i det enkelte kredittopplysningsbyrås interesse at kredittopplysningene som byrået leverer er presise og individuelle. Upresise opplysninger, og opplysninger som bruker grovmaskede metoder for å avgjøre kredittverdighet, vil utvilsomt medføre senket etterspørsel etter, og lavere betalingsvilje for, de kredittopplysninger byrået selger.

Å yte kreditt er i dag en naturlig del av å drive næringsvirksomhet. Å yte kreditt til en dårlig betaler kan imidlertid bety likviditetsproblemer og i verste fall tap. Å avslå kreditt til en kredittverdig kunde kan bety et tapt salg. Det er derfor ikke slik at kredittytere etterspør grunner til å avslå kreditt – de etterspør så god informasjon om kredittverdighet som det er mulig å oppdrive. Når Datatilsynets legger til grunn at kredittvurdering fungerer som et nullsumspill der opplysninger som vil medfører positive konsekvenser for enkelte nødvendigvis vil føre til negative konsekvenser for de øvrige, har de etter min mening misforstått hvordan kreditt benyttes i næringslivet. Dersom en aktør ansees som kredittverdig blir denne neppe mindre kredittverdig dersom en annen aktør også ansees som kredittverdig. Dessuten er det å motta kreditt man ikke makter å betjene ikke «positivt» for den det gjelder dersom man tar det faktum at kreditt før eller senere skal betales med i vurderingen.

6.6.2 Modellen som ligger til grunn for kredittvurderingen

Kredittopplysningsvirksomhet er næringsvirksomhet. Å samle inn, lagre, og behandle opplysninger har en kostnad. Et kredittopplysningsbyrå vil neppe ta denne kostnaden for opplysninger som er unødvendige, utilstrekkelige, irrelevante, eller som svekker kvaliteten på kredittopplysningsproduktet.

Klager har opplyst (brev datert 2.11.2009) at grunnlaget for kredittvurderingen er en statistisk modell der det til de enkelte opplysninger er knyttet vekter basert på statistisk sannsynlighet for mislighold. Det er således ikke slik at det er den enkelte opplysning som avgjør kredittverdighet, men en stor mengde individuelle opplysninger, inklusive de omsøkte opplysninger, som i kombinasjon med andre opplysninger som bl.a. inntekt, alder, næringsinteresser, m.v. til sammen produserer en prediksjon om sannsynligheten for framtidig mislighold. Den inverse verdien av denne prediksjonen er det samme som kredittverdighet.

Det er en umulig oppgave å stå «på utsiden» å vurdere den individuelle betydningen av de enkelte opplysninger som inngår i en slik statistisk modell.  Som det framgår av klagers redegjørelse er det knyttet vekter til hver enkelt opplysning. Det innebærer selvsagt at de ulike individuelle opplysningene blir tillagt ulik vekt når kredittverdighet for en bestemt person eller virksomhet beregnes. Men det innebærer også at det er mulig for den som benytter modellen å sikre at de opplysningene som bare er relevante i marginale tilfeller faktisk blir behandlet som marginale (ved at disse opplysningene tilordnes en lavere vekt).

Det fremgår videre at klagers redegjørelse at kun er sluttresultatet som kommuniseres til bestiller. De enkelte opplysninger som inngår i den statistiske modellen utleveres ikke til tredjepart.

Klager hevder at det er det høye antall enkeltopplysninger som benyttes i den statistiske modellen som gir kredittvurderingen presisjon og gjør den individuell. Dette er et synspunkt som jeg slutter meg til.

Den form for statistikk (Statistical Prediction Rules – SPR, også kjent som actuarial models) som ligger til grunn for denne type beregninger er omstridt. Kritikere av SPR viser gjerne til kasus eller scenarioer som angivelig skal gi urimelige utfall. Ifølge klager er det for eksempel slik at 46,2 % av de som hadde mer enn 21 kredittforespørsler i 2009 pådro seg minst en betalingsanmerkning i 2010. Det innebærer jo at mer enn halvparten (53,8 %) av de med mer enn 21 kredittforespørsler ikke pådro seg en eneste anmerkning. Trekker man fram enkeltkasus er det altså mer sannsynlig å finne en god betaler blant de med 21 eller mer kredittforespørsler, enn å finne en dårlig. Like fullt tilsier modellering ved bruk av SPR at mange kredittforespørsler bør telle negativt i forhold til kredittverdighet.

Bruken av SPR er vel etablert innen kredittopplysning og forsikring, rett og slett fordi metoden har blitt testet vitenskapelig utallige ganger og vist seg svært pålitelig over lang tid. Bishop & Trout (2002) skriver:

When based on the same evidence, the predictions of SPRs are at least as reliable, and are typically more reliable, than the predictions of human experts.

(Det er ikke plass til å gå nærmere inn på SPR her. Interesserte vises til artikkel: Bishop & Trout: 50 Years of Successful Predictive Modeling Should Be Enough: Lessons for Philosophy of Science; Philosophy of Science, 69 (Sep. 2002), ss. S197–S208).

6.6.3 Vurdering

All behandling må tilfredsstille grunnkrav for behandling av personopplysninger (personopplysningsloven § 11). Videre må det, i samband med vurderingen om konsesjon skal gis, først klarlegges om behandlingen kan volde ulemper, og dernest om disse ulempene evt. kan avhjelpes ved at det settes vilkår for behandlingen (personopplysningsloven §§ 34 og 35). Av dette følger det også at dersom grunnkravene er oppfylt, og det ikke kan påvises ulemper, eller dersom ulemper kan avhjelpes ved at det settes vilkår, skal konsesjon gis.

Vedr. punkt 6.3: Når det gjelder opplysninger om betalte fakturaer har nemnda kommet til at konsesjonen skal utvides slik at byråene har anledning til å lagre antall rettidig betalte fakturaer. Jeg har ingen merknader til dette. Når det gjelder forskyving i betalingstidspunkt mot forfallsdato trekker flertallet i nemnda fram at en slik forskyving «ikke nødvendigvis må være et negativt tegn for en virksomhet». Denne observasjonen er selvsagt korrekt. Men den er etter min mening også irrelevant, og bør ikke inngå i nemndas beslutningsgrunnlag. Som det framgår av min drøfting av SPR (jf. 6.6.2 ovenfor) er det ikke en forutsetning at hver enkeltopplysning som benyttes i samband med SPR skal være en entydig indikator på virksomhetens betalingsevne. Det er sammenstillingen av det høye antall enkeltopplysninger som benyttes i den statistiske modellen som gir kredittvurderingen presisjon, og som sikrer at behandlingen er tilstrekkelig og relevant for formålet. Jeg mener nemnda ikke har anledning til å overprøve relevansen av de enkelte parametre i en statistisk modell uten først å sette seg inn i modellen, og det har nemnda ikke gjort. Det er imidlertid klart at betaling før forfall, uavhengig av når dette skjer, er lovlig og avtalemessig. Uavhengig av den statistiske modell som ligger til grunn, mener jeg det er et uforholdsmessig inngrep å legge grunn opplysninger som skriver seg fra er lovlig og avtalemessig adferd på en måte som ikke er transparent for den det gjelder. Dette tilsier at det foreligger en ulempe. Det er imidlertid mulig for byråene å informere om hvordan de vil benytte forskyving av betalingstidspunkt. I så fall kan ulempen avhjelpes ved at slik informasjon gis. Jeg mener derfor at Datatilsynet kan gi klager konsesjon til å benytte forskyving i betalingstidspunkt i modellen for kredittvurdering, men på det vilkår at det gis tydelig informasjon om hvordan denne opplysningen vil bli benyttet av byråene.

Vedr. punkt 6.4: Når det gjelder opplysninger om tidligere forespørsler om kredittvurdering, mener jeg det framgår av det statistiske materialet som klager har lagt fram at det er en klar statistisk sammenheng mellom et stort antall slike forespørsler og framtidige betalingsanmerkninger. Verken Datatilsynet eller nemnda har bestridt de framlagte tall. At denne opplysningen inngår i modellen bidrar derfor til at kredittvurderingen blir mer presis og relevant for den kredittopplysningen omhandler, noe som også er i datasubjektets interesse.  At det i dag er en lav terskel for kredittvurdering og at det foretas et større antall kredittvurderinger enn tidligere taler etter min mening ikke i mot bruk av denne opplysningen i en statistisk modell for kredittvurdering.  Et større antall forespørsler fører bare til en større tilførsel av statistisk materiale, noe som i statistisk sammenheng reduserer signifikansen av tilfeldige variasjoner. Forekomsten av et stort antall forespørsler er derfor ikke en personvernulempe. Flertallet i nemnda synes imidlertid at behandlingen av denne opplysningen er «lite betryggende» og videre at «slik behandling kan volde ulempe for den enkelte». Jeg kan ikke se at dette er særlig konkrete personvernulemper. Klager har imidlertid selv pekt på at bruk av denne opplysningen kan medføre personvernulempe, ved at personer med god orden på sin økonomi produserer et antall forespørsler ved å henvende seg til mange ulike leverandører i løpet av en kort periode uten andre hensikter enn å identifisere den leverandøren som har det beste tilbudet. Jeg mener at denne ulempen kan avhjelpes ved at det i konsesjonen stilles vilkår om at denne type forespørsler ikke skal vektlegges i modellen, slik klager selv har antydet. Min konklusjon er at klager gis medhold på dette punkt, og at konsesjon, med vilkår som avhjelper den påviste personvernulempe (jf personopplysningsloven §§ 34 og 35), må gis.

Vedr. punkt 6.5: Når det gjelder adressehistorikk mener jeg det framgår av det materiale klager har lagt frem at det er en klar statistisk sammenheng mellom adressehistorikk og betalingsanmerkninger. At denne opplysningen inngår i modellen bidrar derfor til at kredittvurderingen blir mer presis og relevant for den kredittopplysningen omhandler, noe som også er i datasubjektets interesse. Verken Datatilsynet eller nemnda har bestridt de framlagte tall. Nemnda mener imidlertid at en slik bruk av adressehistorikk vil være «en uakseptabel inngripen i personsfæren» og dermed volde ulempe for den enkelte. Det framgår imidlertid at konsesjonen allerede tillater byråene og lagre adressehistorikk og å behandle disse opplysningene for å etablere unike treff ved enkeltoppslag i kredittopplysningsbasen, og ved ajourføring av inkassobyråenes porteføljer. All den tid byråene har konsesjon til å behandle adressehistorikk er det for meg vanskelig å forstå hva det er som gjør det særlig inngripende i privatsfæren at denne opplysningen i tillegg benyttes som en faktor i en vektet statistisk modell for å beregne kredittverdighet. Derfor mener jeg at det følger av personopplysningsloven §§ 34 og 35 at klager på dette punkt må gis medhold.

7 Vedtak

Klagen tas delvis til følge, ved at konsesjonen utvides til å omfatte to av de fire påklagede punkter, det vil si slik at klager kan registrere hjemmel til fast eiendom og antall rettidig betalte fakturaer.

Oslo, 18. oktober 2012

Eva I E Jarbekk
Leder