Bréf Persónuverndar til Creditinfo Lánstrausts hf.

Efni: Drög að skilmálum í starfsleyfum til fjárhagsupplýsingastofa

Persónuvernd vísar til fyrri samskipta um drög að skilmálum í starfsleyfum til fjárhagsupplýsingastofa, nú síðast skjals frá Creditinfo Lánstrausti hf. hinn 24. apríl 2020 með tillögum um breytingar á skilmálunum, fundar með fyrirtækinu hinn 10. júlí 2020, skjals með athugasemdum fyrirtækisins frá 9. s.m. við drög að skilmálum sem því voru kynntir hinn 7. s.m., svo og bréfs þess til Persónuverndar, dags. 1. september 2020, en með því var hjálögð tillaga þess að breyttum skilmálum.

Hér á eftir er farið yfir þær breytingar sem Persónuvernd telur rétt á þessu stigi að gera á umræddum drögum, þ. á m. í ljósi framkominna athugasemda Creditinfo Lánstrausts hf. og ákvæða í drögum fyrirtækisins að breyttum skilmálum. Þegar sérstök ástæða er til verður auk þess fjallað um atriði sem ekki verður talin ástæða til að breyta í ljósi athugasemda þess, svo sem þegar drögin hafa í raun efnislega að geyma tiltekna reglu sem Creditinfo Lánstraust hf. telur skorta. Að öðru leyti verður ekki vikið að athugasemdum fyrirtækisins.

Hins vegar er bent á að í lok dags á morgun, 8. október 2020, verða drögin sett í almennt umsagnarferli samfara birtingu þeirra, ásamt bréfi þessu, á vefsíðu Persónuverndar, en til þess er að líta að skilmálar á grundvelli draganna hefðu almennt gildi og fælu því að nokkru í sér ígildi stjórnvaldsfyrirmæla, auk þess sem um ræðir fyrstu starfsleyfisskilmálana á grundvelli nýrrar persónuverndarlöggjafar. Gefst fyrirtækinu færi, með sendingu umsagnar, á að rökstyðja frekar þær athugasemdir sínar sem ekki hefur verið fallist á.

1.

Breytt skipan ákvæða

Í bréfinu 1. september 2020 tekur Creditinfo Lánstraust hf. fram að ákvæðin um réttindi hins skráða ættu að vera sett fram sem sérstök grein sem eingöngu hafi að geyma reglur þar að lútandi. Eru þau og sett svo fram í drögum fyrirtækisins að breyttum skilmálum. Þá er efnisskipan almennt breytt að mörgu leyti frá sem verið hefur í skilmáladrögum Persónuverndar fram til þessa, m.a. á þann veg að greinin um skýrslur um lánshæfi er höfð framar en þar.

Persónuvernd hefur haft mið af þessu við breytingar á skilmáladrögunum og kemur nú greinin um lánshæfi, þ.e. 3 gr., beint á eftir upptalningu 2. gr. á því hvenær færa má upplýsingar á skrá um fjárhagsmálefni og lánstraust einstaklinga. Að auki eru ákvæðin um réttindi hins skráða nú í sérstakri grein, þ.e. 5. gr., í stað þess að tilheyra sömu grein og margvísleg önnur atriði. Í samræmi við þetta og fleiri breytingar hafa númer ákvæða að öðru leyti verulega breyst, en tekið er fram að efnisákvæðin koma fram í sömu röð og áður að því undanskildu sem fyrr segir um greinina um skýrslur um lánshæfi, svo og því að ákvæði, sem fram að þessu hefur verið sett fram sem liður 2.2.1 í skilmáladrögunum, hefur verið fært aftur fyrir ákvæði sem sett var fram sem liður 2.2.2 og er nú 2.2.1 en hitt 2.2.2. Tilgangurinn með þessu er að upptalningin á því hvaða upplýsingar úr opinberum gögnum megi færa á skrá um fjárhagsmálefni og lánstraust einstaklinga komi á undan upptalningunni á upplýsingum sem safna megi frá áskrifendum. Samrýmist efnisröðunin þá betur þeirri áherslu sem lögð er á að upplýsingar, sem skráðar eru hjá fjárhagsupplýsingastofum, séu sem áreiðanlegastar.

Tekið skal fram í þessu sambandi að samfara breyttri skipan ákvæða í skilmáladrögunum er nú orðalagi ákvæðanna um réttindi hins skráða og fleiri atriði nú hagað svo að þau taki sem slík til hvoru tveggja skrár um fjárhagsmálefni og lánstraust einstaklinga og skýrslna um lánshæfi eftir því sem við á. Er tilvísun, sem var í 4. mgr. ákvæðis 3. gr. um slíkar skýrslur í skilmáladrögunum til ákvæða sem gilda eiga í tengslum við þær, því orðin óþörf og hefur málsgreinin samkvæmt því verið felld brott.

2.

Tilgreining á hvaða vinnsla sé heimil – Ákvæði 2.1

Gerð hefur verið breyting á ákvæði 2.1 í skilmáladrögunum þar sem almennt er fjallað um heimildir fjárhagsupplýsingastofu til vinnslu persónuupplýsinga í tengslum við skrá um fjárhagsmálefni og lánstraust einstaklinga. Er nú ekki lengur tekið fram í ákvæðinu að vinnsla persónuupplýsinga þurfi ávallt að uppfylla eitthvert af skilyrðum 9. gr. laga nr. 90/2018. Ljóst er að þar kemur aðeins eitt skilyrði til greina, þ.e. 6. tölul. 1. mgr. ákvæðisins, þess efnis að vinna má með persónuupplýsingar sé það nauðsynlegt vegna lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða vegi þyngra. Tilvísun til 9. gr. gæfi því ranglega til kynna að önnur skilyrði gætu átt við, auk þess sem af sjálfu sér leiðir að fara ber að lögum og hefur það ekki sérstakt gildi til skýringar að vísa til umrædds ákvæðis laganna hér. Að auki er ákvæði 2.2 ætlað að geyma tæmandi upptalningu á hvaða upplýsingar má skrá og hefur upphafi ákvæðis 2.1 nú verið breytt á þann veg að það er sérstaklega áréttað.

Auk þess sem tilvísunin til 9. gr. laga nr. 90/2018 hefur verið felld brott hefur tilvísun til þess sem fram kemur í upphafi 1. mgr. 3. gr. reglugerðar nr. 246/2001 um söfnun og miðlun upplýsinga um fjárhagsmálefni og lánstraust, sbr. nú 1. mgr. 15. gr. laga nr. 90/2018, verið fært úr 1. í 2. mgr. ákvæðis 2.1. Sjálft reglugerðarákvæðið er ekki tilgreint, en efni þess er hins vegar tekið upp, þ.e. að því aðeins megi vinna með persónuupplýsingar að eðli sínu samkvæmt geti þær haft þýðingu við mat á fjárhag og lánstrausti hins skráða. Verður það talið sérstaklega fallið til skýringar að taka þetta fram. Þá þykir það fallið til skýringar að vísa ekki aðeins til þess í 2. mgr. ákvæðis 2.1 að vinna megi með upplýsingar úr opinberum auglýsingum, enda tilgreinir upptalning skilmáladraganna á opinberum gögnum, sem skrá má upplýsingar úr, sbr. lið 2.2.1 (áður 2.2.2), einnig annars konar gögn. Hefur orðalagi verið breytt með tilliti til þessa, auk þess sem upplýsingar frá áskrifendum eru nú sérstaklega tilgreindar. Verður það enn talið til skýringar að bæta því við umrædda málsgrein.

3.

Upplýsingar um greiðsluaðlögun – Ákvæði 2.1, 6. tölul. liðar 2.2.1 og 1. mgr. ákvæðis 5.3

Auk þeirra breytinga á ákvæði 2.1 í skilmáladrögunum sem raktar eru í 2. kafla hér að framan hefur það verið fellt brott úr 2. mgr. ákvæðisins að ekki megi vinna með upplýsingar um greiðsluaðlögun þegar greiðsluaðlögunartímabili, sbr. 2. mgr. 16. gr. laga nr. 110/2010 um greiðsluaðlögun einstaklinga, er lokið. Á betur við að taka fram í 1. mgr. ákvæðis 5.3 (áður 2.7) að afskrá skuli slíkar upplýsingar við lok tímabilsins, en umrætt ákvæði fjallar almennt um afskráningu og eyðingu upplýsinga. Að auki er eðlilegt að fyrst tekið er fram að eftir ákveðinn tíma skuli afskrá upplýsingar um greiðsluaðlögun sé einnig tekið fram að þær megi skrá, en svo hefur ekki verið. Er það nú gert í nýjum 6. tölul. liðar 2.2.1 (áður 2.2.2) um heimild til skráningar upplýsinga um innkallanir til lánardrottna sem birtar hafa verið í Lögbirtingablaðinu samkvæmt 1. mgr. 10. gr. laga nr. 101/2010. Númer þeirra töluliða sem á eftir koma breytast í samræmi við þetta.

4.

Vöktun vegna innheimtu á umdeildum kröfum – 2. mgr. ákvæðis 2.1

Í skjalinu 24. apríl 2020, skjalinu 9. júlí s.á. og bréfinu 1. september s.á. hefur Creditinfo Lánstraust hf. lýst þeirri afstöðu að innheimtuaðilar hafi lögmæta hagsmuni af vöktun kennitalna óháð því hvort krafa er umdeild eður ei. Tengist þessi athugasemd úrskurði Persónuverndar, dags. 16. desember 2019 (mál nr. 2017/1456), þar sem Motus ehf. var talið hafa verið óheimilt að vakta kennitölu kvartanda í málinu vegna innheimtu kröfu á hendur honum þar sem um ræddi umdeilda kröfu sem óheimilt væri að vinna með upplýsingar um samkvæmt 3. mgr. ákvæðis 2.1 í þágildandi starfsleyfi Creditinfo Lánstrausts hf. til vinnslu upplýsinga um fjárhag og lánstraust einstaklinga, sbr. nú sama ákvæði í gildandi starfsleyfi, dags. 29. desember 2017 (mál nr. 2017/1541), sem hefur verið fengið gildi umfram upphaflegan gildistíma vegna endurskoðunar á leyfisskilmálum í ljósi nýrrar löggjafar.

Í kjölfar umrædds úrskurðar óskuðu Credintifo Lánstraust hf. og Motus ehf. eftir fundi með Persónuvernd sem haldinn var hinn 19. febrúar 2020 (mál nr. 2020010540). Á fundinum komu fyrirtækin þeirri afstöðu á framfæri að þau teldu umrætt leyfisákvæði aðeins eiga að ná til skráningar upplýsinga og miðlunar þeirra til áskrifenda þegar krafa væri umdeild í skilningi ákvæðisins. Af því leiddi að vöktun innheimtuaðila á nýjum skráningum vegna innheimtu á umdeildri kröfu félli ekki þar undir. Þá var því lýst að ef ekki yrði unnt að vakta kennitölu skuldara vegna umdeildrar kröfu yrðu innheimtuaðilar væntanlega að þurfa að gera umtalsverðar breytingar á starfsháttum sínum. Var í því sambandi nefnt að upplýsingar um árangurslaus fjárnám væru slíkum aðilum nauðsynlegar til þess að taka ákvarðanir um hvort innheimtu yrði fram haldið eður ei, en almennt væri litið svo á að árangurslaust fjárnám benti ótvírætt til ógjaldfærni skuldara. Þá var nefnt að vitneskja innheimtuaðila um skráningar hjá Creditinfo Lánstrausti hf., sem þeir fengju með vöktun kennitölu, gæti orðið til þess að skuldari kæmist hjá kostnaðarsömum innheimtuaðgerðum á hendur sér þar sem þær væru ekki álitnar svara kostnaði. Er þetta áréttað í bréfinu frá 1. september 2020.

Í byrjun fundarins 10. júlí 2020 lýsti Persónuvernd þeirri afstöðu sinni að framangreind rök fyrir vöktun innheimtuaðila á nýjum skráningum hjá Creditinfo Lánstrausti hf. vegna umdeildra skulda væru málefnaleg. Þá var því lýst að til að taka af allan vafa um að slík vöktun væri heimil væri notað það orðalag í skilmáladrögum að í stað þess að „vinnsla“ upplýsinga um umdeildar skuldir væri lýst óheimil væri „skráning og miðlun“ þeirra sögð bönnuð. Persónuvernd áréttar þá afstöðu sína að það orðalag nægi til að tryggja þá málefnalegu hagsmuni sem fallist er á að til staðar séu vegna umræddrar vöktunar og er notast við þetta orðalag í stað orðsins „vinnsla“ í 2. mgr. ákvæðis 2.1 í skilmáladrögunum þar sem fjallað er um umdeildar skuldir.

5.

Höfnun á skráningu á kröfu – 4. mgr. ákvæðis 2.1

Í bréfinu 1. september 2020 er lögð til sú regla að fjárhagsupplýsingastofa geti hafnað skráningu á kröfu telji hún vafa leika á lögmæti hennar jafnvel þótt skuldari hafi ekki hreyft við andmælum. Persónuvernd telur ljóst að þó svo að ekki sé kveðið á um þetta í gildandi starfsleyfisskilmálum megi telja ljóst að fjárhagsupplýsingastofu sé þetta heimilt. Jafnframt telur stofnunin hins vegar til bóta að fjalla um afskráningu þegar uppi er vafi um að krafa sé lögmæt. Telur stofnunin hins vegar eðlilegt að ekki aðeins geti fjárhagsupplýsingastofa þá hafnað skráningu heldur skuli skráningin þá vera óheimil. Hefur ákvæði þess efnis verið bætt við sem nýrri 4. mgr. ákvæðis 2.1 í skilmáladrögunum.

6.

Varðveisla frumgagna – 5. mgr. ákvæðis 2.1

Í skjalinu 24. apríl 2020, á fundinum 10. júlí s.á.. og í skjalinu 9. s.m. hefur Creditinfo Lánstraust hf. gert athugasemd við 4. mgr. ákvæðis 2.1 (nú 5. mgr.) í skilmáladrögunum um skyldu fjárhagsupplýsingastofu til að hafa undir höndum afrit frumgagna. Nánar tiltekið hefur þeirri afstöðu verið lýst að óraunhæft sé að fjárhagsupplýsingastofa geti ávallt búið yfir slíkum gögnum. Fellst Persónuvernd á þau rök og hefur umrædd krafa nú verið felld brott. Hins vegar skal áréttað að eftir sem áður ber fjárhagsupplýsingastofu að tryggja að áskrifendur geti lagt fram umrædd gögn.

7.

Fjárhæðarmörk – 1. og 2. tölul. liðar 2.2.1, liður 2.2.2 og 1. og 5. mgr. 4. gr.

Í skjalinu 9. júlí 2020, á fundinum 10. júlí s.á. og í bréfinu 1. ágúst 2020 hefur Creditinfo Lánstraust hf. gert athugasemd við að samkvæmt ákvæði skilmáladraganna um söfnum upplýsinga frá áskrifendum, sbr. lið 2.2.2 (áður 2.2.1), megi ekki skrá upplýsingar um kröfur sem nemi lægri upphæð en 70.000 kr., en þar er um 20.000 kr. hækkun að ræða frá því sem verið hefur í starfsleyfisskilmálum frá 2012. Benti Creditinfo Lánstraust hf. á það á fundinum í þessu sambandi að fjárhæðarmörkin eru mun lægri samkvæmt danskri löggjöf en hér á landi (sbr. 3. mgr. dönsku persónuverndarlaganna nr. 502/2018 (almennt kölluð „databeskyttelsesloven“)) og hefur farið fram á að þau verði áfram 50.000 kr.

Persónuvernd tekur fram í þessu sambandi að eðlilegt má telja að hafa hliðsjón af framkvæmd og löggjöf annars staðar á Norðurlöndunum. Jafnframt hefur hins vegar verið litið til þess að sem mest sé gætt samræmis í framkvæmd Persónuverndar miðað við það sem verið hefur, en líta ber til þess að um ræðir nýja skilmála án þess að sett hafi verið ný reglugerð um starfsemi fjárhagsupplýsingastofa, sbr. 2. mgr. 15. gr. laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga. Er því enn í gildi reglugerð nr. 246/2001 um söfnun og miðlun upplýsinga um fjárhagsmálefni og lánstraust, sett með stoð í 45. gr. eldri laga á sviði persónuverndar, þ.e. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Á meðan umrædd reglugerð er enn í gildi verður ekki talið rétt að gera grundvallarbreytingar frá ríkjandi fyrirkomulagi. Má samkvæmt því telja eðlilegt að miða fjárhæðarmörk við breytingar á vísitölu neysluverðs frá leyfisútgáfu 2012, þ.e. í september það ár, þar til hún var mæld síðast, þ.e. fyrir september 2020, en á þessu tímabili hefur vísitalan hækkað úr 399,6 í 487 miðað við maí 1988. Þegar til framangreinds er litið hefur verið ákveðið að hækka fjárhæðarmörk nokkuð en ekki jafnmikið og áður var fyrirhugað. Í umræddum ákvæðum skilmáladraganna er því nú miðað við 60.000 kr.

Auk fjárhæðarmarka í upptalningu á hvaða upplýsingum safna má frá áskrifendum, sbr. lið 2.2.2 í skilmáladrögunum nú, hefur Creditinfo Lánstraust hf. gert athugasemdir við fjárhæðarmörk í 1. og 2. tölul. upptalningarinnar á því hvaða upplýsinga má afla úr opinberum gögnum, sbr. lið 2.2.1 (áður 2.2.2) í drögunum nú. Lýtur 1. tölul. að heimild til öflunar upplýsingar frá dómstólum um skuldara samkvæmt uppkveðnum dómum eða samkvæmt áritunum dómara á stefnur í málum þar sem ekki hefur verið mætt fyrir stefnda við þingfestingu máls eða þingsókn hefur síðar fallið niður af hans hálfu. Þá lýtur 2. tölul. að heimild til öflunar upplýsinga um framkvæmd fjárnáms sem ekki er gert ráð fyrir að séu skráðar, þegar krafa er undir tiltekinni upphæð, nema því aðeins að fjárnám hafi verið árangurslaust.

Hvað fyrra atriðið varðar hefur Creditinfo Lánstraust hf. tekið fram að dómstólasýslan, sem miðlar upplýsingum til fyrirtækisins um uppkveðna dóma og áritaðar stefnur, búi ekki lengur yfir kerfi sem geri það kleift að undanskilja mál vegna krafna undir tiltekinni upphæð. Persónuvernd bendir í því sambandi á að um áraraðir hefur verið gert ráð fyrir fjárhæðarmörkum vegna umræddra krafna. Telur stofnunin það á ábyrgð dómstólasýslunnar að miðlun upplýsinga þaðan samrýmist gildandi starfsleyfisskilmálum og að vankantar á upplýsingakerfum hennar eigi ekki að leiða til breytingar leyfisskilmála. Þá tekur Persónuvernd fram, í tengslum við upplýsingar um fjárnám, að sem stendur er ekki ráðgert að gera mjög viðamiklar breytingar frá gildandi fyrirkomulagi eins og fyrr hefur verið lýst. Er því áfram gert ráð fyrir fjárhæðarmörkum í umræddum töluliðum ákvæðis skilmáladraganna um öflun upplýsinga úr opinberum gögnum, sbr. lið 2.2.1, og eru þau hin sömu og í ákvæðinu um söfnun upplýsinga frá áskrifendum, sbr. lið 2.2.2, eins og verið hefur.

Í tengslum við fjárhæðarmörk hefur Creditinfo Lánstraust hf. einnig gert þá athugasemd, þ.e. í skjalinu 9. júlí 2020 og á fundinum 10. s.m., að ekki ættu að vera fjárhæðarmörk í 1. mgr. liðar 2.3 í skilmáladrögunum, nú 1. mgr. 4. gr., þess efnis að óheimil sé miðlun upplýsinga um skuld undir fjárhæð samkvæmt 1. og 2. tölul. liðar 2.2.2, nú 2.2.1, og lið 2.2.1, nú 2.2.2. Það leiði enda til þess að miðað við túlkun eftir orðanna hljóðanna geti verið heimilt að skrá upplýsingar, þ.e. samkvæmt 3.–7. tölul. liðar 2.2.2, nú 2.2.1, án þess þó að þeim megi miðla til áskrifenda. Persónuvernd fellst á að órökrétt sé í ljósi framangreinds að binda alla miðlun við tiltekin fjárhæðarmörk, sbr. mgr. 1. mgr. 4. gr. draganna nú, og er það heldur ekki í samræmi við leyfisskilmála eins og þeir voru fyrir 2012. Er fallist á að fella brott fjárhæðarmörk í umræddu ákvæði.

Að auki hefur Creditinfo Lánstrausts hf., í skjalinu 9. júlí 2020, á fundinum 10. s.m. og í bréfinu 1. september 2020, gert athugasemd við að í skilmáladrögum sé heimild til vöktunar á kennitölum vegna áhættustýringar við veitingu fjárhagslegrar fyrirgreiðslu háð því að krafa sé yfir tiltekinni fjárhæð, þ.e. 200.000 kr., sbr. reglu þar að lútandi sem var í 4. mgr. ákvæðis 2.3 í skilmáladrögunum, sbr. nú 5. mgr. 4. gr. Tekur fyrirtækið fram í því sambandi að slíkt kunni að leiða til fleiri uppflettinga en ella þar sem veitendur fjárhagslegrar fyrirgreiðslu geti ekki lengur stýrt áhættu í ljósi tilkynninga sem þeim berast þegar breytingar verða á vanskilaskráningu og skýrslum um lánshæfi. Persónuvernd telur þetta málefnaleg rök. Þá er litið til þess að í lögum nr. 13/2013 um neytendalán er lögð áhersla á að lánshæfi neytenda sé metið vegna lánafyrirgreiðslu, sbr. meðal annars 10. gr. laganna, og að ekki eru þar tilgreind fjárhæðarmörk í þeim efnum. Í ljósi þessa eru ekki lengur tilgreind fjárhæðarmörk í tengslum við vöktun á kennitölu vegna umræddrar áhættustýringar.

Í tengslum við það sem fram kemur í bréfinu 1. september 2020 um að vöktun í þágu innheimtu eigi að geta farið fram óháð fjárhæð skal tekið fram að í skilmáladrögunum hefur ekki verið byggt á öðru.

8.

Lýsing á vinnslu vegna gerðar skýrslna um lánshæfi – 1. mgr. 3. gr.

Í 1. mgr. 3. gr. draga Creditinfo Lánstrausts hf. að starfsleyfisskilmálum er að finna lýsinga á vinnslu vegna gerðar skýrslna um lánshæfi, en nánar tiltekið er því þar lýst að hún byggist á tölfræðilíkani sem meti líkur á greiðslufalli og skráningu upplýsinga hjá fjárhagsupplýsingastofu. Persónuvernd telur það til skýrleika fallið að taka þetta fram og hefur bætt því við 1. mgr. 3. gr. skilmáladraganna.

9.

Notkun viðbótarupplýsinga og vinnsluheimildir vegna gerðar skýrslna um lánshæfi – 2. mgr. 3. gr.

Í skjalinu 24. apríl 2020, skjalinu 9. júlí s.á., á fundinum 10. s.m. og í bréfinu 10. september 2020 er lýst þeirri afstöðu að í starfsleyfisskilmálum ætti að vera ákvæði þess efnis að byggja mætti skýrslur um lánshæfi á upplýsingum sem hinn skráði samþykkir sjálfur að séu notaðar. Persónuvernd telur ekkert því til fyrirstöðu að slíku ákvæði sé bætt við skilmáladrögin, enda komi skýrt fram að samþykkið sé veitt með óþvingaðri, sértækri, upplýstri og ótvíræðri viljayfirlýsingu, sbr. kröfur til samþykkis samkvæmt 8. tölul. 3. gr. laga nr. 90/2018, sbr. 11. tölul. 4. gr. reglugerðar (ESB) 2016/679. Hefur 2. mgr. 3. gr. nú að geyma ákvæði þess efnis.

Rétt er að víkja að því í þessu sambandi að í framangreindum skjölum og á fundinum hefur Creditinfo Lánstraust hf. fjallað um hvaða vinnsluheimild fyrirtækið telur eiga við um öflun skýrslna um lánshæfi. Kemur fram í skjalinu frá 24. apríl 2020 að í starfsemi fyrirtækisins hafi verið byggt á því að samþykki lægi fyrir, sbr. 1. tölul. 9. gr. laga nr. 90/2018, sbr. a-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679, en síðar hafa lögmætir hagsmunir sem vega þyngra en réttindi og frelsi hins skráða, sbr. 6. tölul. 9. gr. laganna, sbr. f-lið 1. mgr. 6. gr. reglugerðarinnar einnig verið nefndir. Þá var þeirri afstöðu lýst á fundinum að ruglandi væri af hálfu Persónuverndar að nota hugtakið „beiðni“ um það þegar hinn skráði veitir umboð til öflunar skýrslu um lánshæfi, en það er gert í 2. mgr. ákvæðis 5.3 (áður 2.6) og 1. og 3. mgr. 3. gr. í skilmáladrögunum og hefur tíðkast um hríð í framkvæmd Persónuverndar (sjá t.d. úrskurð, dags. 28. september 2017 (mál nr. 2016/1138)). Segir í því sambandi í skjalinu 9. júlí 2020 að í raun sé um að ræða hið sama og samþykki.

Í þessu sambandi leggur Persónuvernd áherslu á það sem fyrr er rakið um kröfur til samþykkis samkvæmt lögum nr. 90/2018 og reglugerð (ESB) 2016/679. Ljóst er að öflun skýrslna um lánshæfi er mjög útbreidd í íslensku viðskiptalífi og oft lögskyld, sbr. 1. mgr. 10. gr. laga nr. 33/2013 um neytendalán og 1. mgr. 20. gr. laga nr. 118/2016 um fasteignalán til neytenda. Því er ljóst að mjög oft er hinum skráða ókleift að eiga tiltekin viðskipti nema hann fallist á að skýrslu um lánshæfi sé aflað. Þegar til þess er litið verður ekki talið að um ræði óþvingaða yfirlýsingu eins og gerð er krafa um samkvæmt persónuverndarlöggjöf.

Þar sem ekki er samkvæmt þessu hægt að byggja öflun umræddra skýrslna á samþykki verður önnur vinnsluheimild að eiga við. Reynir þar á hvort vinnsla sé nauðsynleg vegna lögmætra hagsmuna sem vega þyngra en grundvallarréttindi og frelsi hins skráða, sbr. fyrrnefnd ákvæði þar að lútandi. Þá getur öflun umræddra skýrslna verið nauðsynleg til að fullnægja lagaskyldu, sbr. 3. tölul. 9. gr. laga nr. 90/2018, sbr. c-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679.

Það að ekki sé hægt að styðja vinnslu við samþykki breytir því ekki að mikilvægt er að hún samrýmist grunnreglunni um gagnsæi í 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018, sbr. a-lið 1. mgr. 6. gr. ESB-reglugerðarinnar. Það að hinum skráða sé fyrirfram kunnugt um öflun skýrslu um lánshæfi er hér þáttur í þessu gagnsæi og telur Persónuvernd ekki tilefni til að breyta hugtakanotkun í þeim efnum, né heldur draga úr skyldu til að upplýsa hinn skráða, en skilja verður tilvísun Creditinfo Lánstrausts hf. til lögmætra vinnsluheimilda á þann veg að svo yrði gert.

10.

Notkun upplýsinga um vöktun innheimtuaðila í þágu skýrslna um lánshæfi – 2. mgr. 3. gr.

Í bréfinu 1. september 2020 gerir Creditinfo Lánstraust hf. þá athugasemd að vaktanir innheimtuaðila á kennitölum hafi vægi við lánshæfismat og kemur fram sú afstaða að nú, þegar gerð skýrslna um lánshæfi er orðin leyfisskyld, ætti þessa að vera getið í starfsleyfisskilmálum. Í þessu sambandi er til þess að líta að bæði lög nr. 33/2013 um neytendalán og lög nr. 118/2016 um fasteignalán til neytenda gera ráð fyrir að lánveitendur megi notast við upplýsingar frá fjárhagsupplýsingastofum við gerð lánshæfismats, sbr. k-lið 5. mgr. 3. gr. fyrrnefndu laganna og 1. mgr. 28. gr. þeirra síðarnefndu. Þá má telja það samrýmast grunnreglunni um áreiðanleika persónuupplýsinga, sbr. 4. tölul. 1. mgr. 8. gr. laga nr. 90/2018, að slíkar upplýsingar hafi áhrif á niðurstöður skýrslna um lánshæfi og hefur verið á því byggt í framkvæmd Persónuverndar að þær megi nota í því samhengi, sbr. úrskurð stofnunarinnar, dags. 18. september 2018 í máli nr. 2017/676. Í samræmi við þetta er því nú tekið fram í 2. mgr. 3. gr. í skilmáladrögunum að vöktun innheimtuaðila megi hafa áhrif á umræddar skýrslur. Jafnframt er hins vegar gerð undantekning frá því þegar vöktunin er vegna innheimtu á umdeildri kröfu.

11.

Upplýsingar um breytur sem byggt er á við gerð skýrslna um lánshæfi – 3., 4. og 5. mgr. 3. gr.

Í 3. mgr. 3. gr. skilmáladraganna er meðal annars fjallað um skyldu fjárhagsupplýsingastofu til að senda Persónuvernd lýsingu á því hvaða breytum skýrslur um lánshæfi byggjast á. Samkvæmt 3. mgr. 3. gr. draga Creditinfo Lánstrausts hf. að nýjum starfsleyfisskilmálum á þessi lýsing að hafa að geyma upplýsingar um vægi breytnanna og röksemdir fyrir því að þær hafi raunverulegt vægi. Persónuvernd telur til bóta að bæta þessu við og hefur því gert það. Jafnframt koma ekki lengur fram fyrirmæli um að umrædd lýsing skuli send stofnuninni innan mánaðar frá útgáfu leyfis heldur segir að hún skuli geta fengið hana í hendur hvenær sem er. Í því sambandi hefur stofnunin meðal annars litið til þess að umrædd fyrirmæli eiga í raun ekki við í leyfisskilmálum, enda ætti lýsingarinnar að vera aflað í aðdraganda leyfisútgáfu sem liður í að fara að rannsóknarskyldu stjórnvalds.

Einnig hefur Persónuvernd gert þá breytingu á skilmáladrögunum að færa þann hluta 3. mgr. 3. gr. sem lýtur að fræðslu til hinna skráðu í nýja 4. mgr. Þar er að finna þá viðbót frá því sem verið hefur í drögunum að auk upplýsinga um hvaða breytum byggt sé á skuli hinum skráða veittur kostur á frekari fræðslu með upplýsingum um vægi þeirra, svo og aðgangi að skýrslu um lánshæfi sitt sér að endurgjaldslausu.

Í hinni nýju 4. mgr. er sérstaklega fjallað um hvernig frekari fræðslu og skýrslu um lánshæfi skuli koma á framfæri við hinn skráða. Er þar litið til 6. mgr. 3. gr. draga Creditinfo Lánstrausts hf. að nýjum starfsleyfisskilmálum, en þar er gert ráð fyrir að upplýsingar um áhrifaþætti megi gera aðgengilegar á aðgangsstýrðu vefsvæði, auk þess sem hinn skráði geti óskað eftir því að fá slíkar upplýsingar sendar á skráð lögheimili samkvæmt þjóðskrá. Telur Persónuvernd til bóta að því sé lýst hvernig aðgangur er veittur og kemur nú fram í umræddu ákvæði skilmáladraganna að viðhafa skuli framangreint verklag þegar hinum skráða er veitt frekari fræðsla og skýrsla um lánshæfi gerð honum aðgengileg. Jafnframt kemur fram að ekki aðeins skuli vefsvæði, sem notað er í þessu skyni, vera aðgangsstýrt heldur einnig öruggt.

Auk framangreinds hefur Persónuvernd nú bætt við 3. gr. skilmáladraganna nýrri 5. mgr. sem hefur að geyma takmörkun á því hvaða upplýsingum um breytur miðla megi áskrifendum. Nánar tiltekið er þar tekið upp efni 8. mgr. 3. gr. draga Creditinfo Lánstrausts hf. að nýjum starfsleyfisskilmálum, þ.e. að fjárhagsupplýsingastofu sé óheimilt að miðla til áskrifenda upplýsingum um hvaða tilteknu breytur hafi áhrif á niðurstöðu skýrslu um lánshæfi hins skráða, að eingöngu sé heimilt að upplýsa þá um tölfræðilegar niðurstöður, svo og að þó sé heimilt að greina þeim frá því hvort byggt hafi verið á breytum sem hinn skráði hafi samþykkt sérstaklega. Í tengslum við þá upplýsingagjöf hefur Persónuvernd bætt því við til áréttingar að sem endranær skuli ekki upplýst um hverjar þessar tilteknu breytur séu.

12.

Miðlun upplýsinga til áskrifenda símleiðis – 1. mgr. 4. gr.

Í skjalinu 9. júlí 2020 gerði Creditinfo Lánstraust hf. athugasemd við að samkvæmt 1. mgr. ákvæðis 2.3 í skilmáladrögunum, nú 4. gr., mætti miðla upplýsingum til áskrifenda símleiðis og kom fram að fyrirtækið teldi það hafa öryggisáhættu í för með með sér. Persónuvernd telur ljóst að svo sé og er um að ræða ákvæði sem lengi hefur verið í skilmálum en sem orðið er úrelt. Hefur ákvæðinu verið breytt í samræmi við það.

13.

Um það hverjir megi vakta og afla skýrslna um lánshæfi – 5. mgr. 4. gr. og 1. mgr. 3. gr.

Í skjalinu 9. júlí 2020 og á fundinum 10. s.m. hefur Creditinfo Lánstraust hf. gert athugasemd við að samkvæmt 5. mgr. ákvæðis 2.3 í skilmáladrögunum, nú 5. mgr. 4. gr., sé heimild til vöktunar vegna áhættustýringar við veitingu fjárhagslegrar fyrirgreiðslu bundin því skilyrði að hún fari fram í atvinnuskyni. Tekur fyrirtækið fram í því sambandi að einnig geti verið lögmætir hagsmunir af vöktun í öðrum tilvikum.

Persónuvernd telur mega fallast á þetta, enda er meðal annars ljóst að aðilar, sem ekki veita að jafnaði fjárhagslega fyrirgreiðslu, geta engu að síður á lögmætan hátt veitt lán og haft af því lögmæta hagsmuni að geta stýrt áhættu vegna þess. Fellst því Persónuvernd á að fella brott það skilyrði að fjárhagsleg fyrirgreiðsla fari fram í atvinnuskyni. Þar sem sömu rök og fyrr greinir má telja eiga við um öflun skýrslna um lánshæfi vegna fjárhagslegrar fyrirgreiðslu er umrætt skilyrði einnig fellt brott í tengslum við hana, þ.e. úr 1. mgr. 3. gr.

14.

Sending fræðslutilkynninga – Liður 5.1.2 og 3. mgr. ákvæðis 5.5

Í skjalinu 9. júlí 2020, á fundinum 10. s.m. og í bréfinu 1. september 2020 er gerð athugasemd við þá kröfu í lið 2.4.2, nú 5.1.2, í skilmáladrögunum að bréflegar tilkynningar um skráningu skuli sendar í ábyrgðarpósti. Segir nánar tiltekið að slíkt sé of íþyngjandi í ljósi kostnaðar við sendingu slíks pósts. Í ljósi fjölda þeirra bréfa sem hér um ræðir má telja þessa athugasemd hafa vægi. Þá er litið til þess að bréf vegna meðal annars innheimtu fjárkrafna hafa jafnan verið send í almennum pósti án þess að athugasemdir hafi verið gerðar við það. Í ljósi þessa hefur krafan um að umræddar tilkynningar fari í ábyrgðarpóst verið felld brott. Þá hefur 3. mgr. ákvæðisins um aðgangsrétt hins skráða, þ.e. ákvæðis 5.5 (áður 2.8), einnig verið breytt á þann veg að ekki sé krafist sendingar í ábyrgðarpósti.

Að auki hefur Creditinfo Lánstraust hf. gert þá athugasemd í áðurgreindu skjali, á fundinum og í fyrrnefndu bréfi að samkvæmt lið 2.4.2, nú 5.1.2, skuli bréflegar tilkynningar sendar á annað heimilisfang en samkvæmt þjóðskrá hafi hinn skráði sannanlega óskað þess. Hefur verið bent á að Pósturinn bjóði upp á þá þjónustu að láta senda póst annað en á skráð lögheimili. Í ljósi þessa telur Persónuvernd óþarft að kveða á um umrætt atriði í starfsleyfisskilmálum og hefur það verið fellt brott. Jafnframt skal hins vegar tekið fram að berist Creditinfo Lánstrausti hf. óskir frá skráðum einstaklingum eins og hér um ræðir er eðlilegt að þeim sé leiðbeint um áðurnefnda þjónustu Póstsins.

15.

Varðveisla í þágu tölfræði – Ákvæði 5.3

Í skjalinu 24. apríl 2020, skjalinu 9. júlí s.á., á fundinum 10. s.m. og í bréfinu 1. september 2020 er óskað heimildar til að varðveita upplýsingar lengur en starfsleyfisskilmálar hafa hingað til gert ráð fyrir, sbr. ákvæði 2.6, nú 5.3, eins og skilmálarnir hafa verið undanfarin ár, svo að unnt sé að halda saman tölfræði. Ekki verður annað ráðið af ósk Creditinfo Lánstrausts hf. hér að lútandi en að átt sé við upplýsingar sem ekki sé með neinu móti hægt að rekja til hlutaðeigandi einstaklinga þannig að þær séu algjörlega ópersónugreinanlegar og falli því utan gildissviðs persónuverndarlöggjafar, sbr. 1. mgr. 4. gr. og 2. tölul. 3. gr. laga nr. 90/2018 um persónuvernd og meðferð persónuupplýsinga, sbr. 1. mgr. 2. gr. og 1. tölul. 4. gr. reglugerðar (ESB) 2016/679. Verður því ekki séð að breytingar sé þörf á starfsleyfisskilmálum í umræddu samhengi.

16.

Orðalag í tengslum við afskráningu og eyðingu – 1. mgr. ákvæðis 5.3

Nokkrar breytingar hafa orðið á 1. mgr. ákvæðisins þar sem fjallað er um hversu lengi má varðveita upplýsingar sem færðar eru á skrá um fjárhagsmálefni og lánstraust, sbr. ákvæði 5.3 (áður 2.7), en þessar breytingar tengjast að langmestu leyti breyttri nálgun við framsetningu skilmáladraganna, sbr. umfjöllun í 1. kafla hér að framan. Nánar tiltekið verður sú nálgun til þess að umrædd málsgrein þarf sérstaklega að bera með sér að hún afmarkist við umrædda skrá, enda er hún sniðin að henni. Óþarft er að rekja þær breytingar sem tengjast þessu sérstaklega.

Hins vegar er ástæða til að geta þess að með hliðsjón af athugasemd í bréfi Creditinfo Lánstrausts hf. 1. september 2020 er það nú kallað „afskráning“ en ekki „eyðing“ þegar upplýsingar eru teknar af skrá um fjárhagsmálefni og lánstraust einstaklinga. Þar er enda ekki um eiginlega eyðingu upplýsinga að ræða þar sem varðveita má þær í þrjú ár til viðbótar til nota samkvæmt 2. mgr. umrædds ákvæðis að fullnægðum nánari skilyrðum. Breyting hefur orðið á fyrirsögn í samræmi við þetta.

17.

Notkun upplýsinga um afskráðar kröfur í þágu skýrslna um lánshæfi – 2. mgr. ákvæðis 5.3

Í bréfinu 1. september 2020 er vísað til þess að upplýsingar sem ekki má lengur miðla til áskrifenda vegna aldurs, þ.e. þær sem orðnar eru fjögurra ára, má þó varðveita í þrjú ár til viðbótar með ákveðnum skilyrðum, sbr. 3. málsl. 1. mgr. ákvæðis 5.3 (áður 2.7) í skilmáladrögunum. Í 2. mgr. er tilgreint hvaða tilgangi þessi varðveisla má þjóna, þ.e. að verða við beiðnum frá skráðum einstaklingum um vitneskju um vinnslu persónuupplýsinga um sig og til að til leysa úr ágreiningi um réttmæti skráningar. Þá segir að þar til að hámarki fjögur ár eru liðin frá skráningu upplýsinganna sé heimilt að nýta þær í þágu gerðar lánshæfismats að beiðni hins skráða.

Í þessu sambandi er vísað til þess í bréfinu að við gerð lánshæfismats á grundvelli laga nr. 33/2013 um neytendalán mega lánveitendur nýta upplýsingar frá fjárhagsupplýsingastofum, sbr. k-lið 5. mgr. 3. gr. laganna, sem og að samkvæmt 1. mgr. 10. gr. laganna skal lánshæfismat sem skylt er að gera samkvæmt lögunum meðal annars byggjast á greiðslusögu. Óeðlilegt sé að krafa, sem ekki hefur verið greidd þau fjögur ár sem hún hefur verið á skrá um fjárhagsmálefni og lánstraust einstaklinga, hafi ekki áhrif á lánshæfismat og leggur fyrirtækið til að í tvö frá því að fjögurra ára fresturinn er liðinn geti hún haft þau áhrif.

Persónuvernd telur verða að líta til þess að miðað við umrætt ákvæði, sbr. einnig 2. mgr. ákvæðis 2.7 í núgildandi starfsleyfi Creditinfo Lánstrausts hf., getur krafa sem greidd er einu ári eftir skráningu haft áhrif á niðurstöðu skýrslu um lánshæfi næstu þrjú árin en að krafa sem ógreidd er í fjögur ár hefur þar engin áhrif að liðnum þeim tíma. Til að gæta jafnræðis telur Persónuvernd rétt að breyta því réttarástandi. Í því skuli felast að eftir að krafa hafi verið afskráð, hvort sem ástæðan sé sú að henni hafi verið komið í skil eða að hún hafi náð fjögurra ára aldri, geti hún ávallt haft áhrif á niðurstöðu skýrslu um lánshæfi um jafnlangan tíma sem hæfilega er metinn tvö ár. Er efni 2. mgr. ákvæðis 5.3 nú í samræmi við þetta.

18.

Viðbrögð við andmælum skuldara – 2. mgr. ákvæðis 5.4

Gerð hefur verið breyting á 2. mgr. ákvæðisins um andmælarétt hins skráða í skilmáladrögunum, sbr. nú ákvæði 5.4 (áður 2.6). Þar hefur verið gert ráð fyrir að berist andmæli frá hinum skráða, þar sem því sé haldið fram að kröfu hafi verið komið í skil, sé fjárhagsupplýsingastofu heimilt að gera athugun á réttmæti þess, t.d. með því að bera málið undir viðkomandi áskrifanda og eftir atvikum fá færslu bakfærða. Hvað átt er við með að færsla sé bakfærð er óljóst og hefur það orðalag verið fellt brott. Jafnframt er ekki lengur aðeins um að ræða heimild til að bera mál undir áskrifanda eða kröfuhafa heldur skyldu til að ganga úr skugga um áreiðanleika andmæla, enda liggi ekki þegar fyrir nauðsynlegar upplýsingar sem sýni fram á réttmæti þeirra.

19.

Atriði sem hinn skráði á rétt á að vera upplýstur um – 1. mgr. ákvæðis 5.5

Gerð hefur verið breyting á 1. mgr. ákvæðisins um aðgangsrétt hins skráða í skilmáladrögunum, sbr. nú ákvæði 5.5 (áður 2.8). Fram að þessu hefur aðeins verið rætt um rétt hins skráða til að vera upplýstur um uppflettingar og tilgang þeirra, en einnig er nú tilgreindur réttur hans til að fá vitneskju um hverjir hafi sett kennitölu hans á vöktun og til hvers. Þá þarf orðalagið að bera skýrt með sér að aðgangsrétturinn taki bæði til upplýsinga um það hverjir hafi flett hinum skráða upp í skrá um fjárhagsmálefni og lánstraust og sótt skýrslu um lánshæfi hans. Orðið „að fletta upp“ er í drögunum notað um það þegar aflað er upplýsinga úr fyrrnefndri skrá. Svo að ekki leiki vafi á að ákvæðið taki einnig til réttar hins skráða til að vera upplýstur um hverjir hafi sótt um hann skýrslu um lánshæfi hefur fyrrnefndu orðalagi því verið skipt út fyrir orðalagið „sækja upplýsingar“.

20.

Notkun skrár um fjárhagsmálefni og lánstraust við ráðningar – 6. gr.

Í starfsleyfisdrögunum er meðal annars að finna upptalningu á atriðum sem koma skulu fram í samningum við áskrifendur fjárhagsupplýsingastofu, sbr. nú 6. gr., sbr. áður ákvæði 2.9. Í 2. tölul. 1. mgr. þess ákvæðis, sbr. sama ákvæði í gildandi starfsleyfi, var að finna umfjöllun um notkun upplýsinga úr skrá um fjárhagsmálefni og lánstraust við ráðningar í störf. Nánar tiltekið var slíkt lýst óheimilt, óháð því hvort skuldari hefði gefið samþykki sitt fyrir því, nema um alveg sérstakt trúnaðarstarf væri að ræða og nauðsynlegt væri, eðlis starfsins vegna, að afla upplýsinganna.

Líta verður til þess að grunntilgangurinn með vinnslu persónuupplýsinga hjá fjárhagsupplýsingastofum er sá að við veitingu fjárhagslegrar fyrirgreiðslu sé hægt að meta lánstraust, auk þess sem upplýsingarnar geta verið nauðsynlegar vegna innheimtu. Ætla má að í einhverjum undantekningartilvikum sé unnt að fallast á að kalla megi eftir upplýsingum frá fjárhagsupplýsingastofu í þágu annars konar tilgangs, svo sem vegna ráðningar í alveg sérstakt trúnaðarstarf. Óheppilegt má telja að öflun upplýsinga fari þá fram með sama hætti og þegar um ræðir venjubundna notkun á þjónustu fjárhagsupplýsingastofu, enda má þá ætla að til yrði tvöfalt kerfi. Nánar tiltekið er þar vísað til þess að aðilar, sem vegna eðlis starfsemi sinnar kaupa sér áskrift að slíkri þjónustu, nýttu sér uppflettimöguleika en að aðrir beindu því til hins skráða að afla upplýsinganna sjálfur og framvísa þeim. Má telja eðlilegt að sem víðast sé viðhaft sambærilegt ferli þegar um ræðir vinnslu persónuupplýsinga í sama tilgangi. Þá telur Persónuvernd að þegar um ræðir slík undantekningartilvik og hér um ræðir sé haganlegast að hinn skráði afli upplýsinganna sjálfur og láti þær þeim í té sem á lögmætum grundvelli getur kallað eftir þeim. Hefur Persónuvernd því ákveðið að fella umræddan tölulið brott og breytast númer töluliða sem á eftir koma í samræmi við það, svo og nýja töluliði sem bætt hefur verið við 1. mgr. 6. gr. skilmáladraganna.

21.

Skráning á tilgangi aðgangs – 1. tölul. 1. mgr. 6. gr.

Gerð hefur verið breyting á 1. tölul. 1. mgr. 6. gr. skilmáladraganna (áður ákvæðis 2.9) um að í áskriftarsamningi skuli koma fram að í hvert sinn sem áskrifandi fletti einstaklingi upp skuli tilgreina og skrá til hvers það sé gert. Er nú tiltekið sérstaklega að um ræði uppflettingar í skrá um fjárhagsmálefni og lánstraust, auk þess sem tekið er fram að umrædd skylda eigi einnig við um öflun skýrslna um lánshæfi. Af 4. mgr. 3. gr., þar sem talin hafa verið upp ákvæði í skilmálunum sem ætlað hefur verið að taka til slíkra skýrslna, hefur fram að þessu verið ljóst að skyldunni sé ætlað að eiga við um öflun þeirra. Vegna breyttrar nálgunar við framsetningu skilmáladraganna hefur þessi upptalning verið felld brott, sbr. umfjöllun í 1. kafla hér að framan, og þarf því nú að tilgreina þessa upplýsingaöflun í umræddum tölulið. Þá hefur því verið bætt við hann að skyldan eigi við um það þegar hafin sé vöktun á kennitölu, en nauðsynlegt var að tekinn yrði af vafi um það.

Fjallað var um tilgang uppflettinga í 2. málsl. töluliðarins. Í ljósi nýs 2. og nýs 3. tölul. með umfjöllun þar að lútandi er sú umfjöllun nú óþörf og hefur hún því verið felld brott.

22.

Ákvæði í áskriftarsamningum til að tryggja málefnalega notkun – 2. og 3. tölul. 1. mgr. 6. gr.

Í 4. og 5. mgr. 5. gr. draga Creditinfo Lánstrausts hf. að nýjum starfsleyfisskilmálum er að finna ákvæði um að uppflettingar, öflun skýrslna um lánshæfi, og vöktun kennitalna sé háð því skilyrði að lögvarðir hagsmunir séu af slíkri vinnslu eða, í ákveðnum tilvikum, þegar um ræðir skýrslur um lánshæfi, að aflað hafi verið samþykkis. Persónuvernd telur til bóta að tilgreina framangreint sérstaklega að því þó undanskildu að stofnunin telur samþykki ekki geta átt hér við sem vinnsluheimild, sbr. umfjöllun í 9. kafla hér að framan.

Umrædd umfjöllun í drögum Creditinfo Lánstrausts hf. er sett fram í samhengi við reglur um miðlun upplýsinga. Persónuvernd telur fara betur á því að í ákvæðinu um samningsgerð við áskrifendur, sbr. 6. gr. skilmáladraganna (áður ákvæði 2.9), sé lögð sú skylda á fjárhagsupplýsingastofu að árétta það við þá hvenær nýta megi sér þjónustu hennar. Hefur því verið bætt við nýjum 2. og nýjum 3. tölul. 1. mgr. ákvæðisins, þess efnis að áskrifendur skuli ábyrgjast að ávallt sé lagalegur grundvöllur fyrir upplýsingaöflun og vöktun kennitalna.

Nánar tiltekið er í 2. tölul. að finna þá reglu að sé þjónusta fjárhagsupplýsingastofu nýtt vegna veitingar fjárhagslegrar fyrirgreiðslu skuli áskrifandi ábyrgjast að öll slík vinnsla og fyrr greinir helgist af lögmætum hagsmunum vegna slíkra viðskipta og, eftir atvikum, lagaskyldu, en í því sambandi er litið til 1. mgr. 10. gr. laga nr. 33/2013 um neytendalán og 1. mgr. 20. gr. laga nr. 118/2016 um fasteignalán til neytenda. Þá er í 3. tölul. umrædds ákvæðis skilmáladraganna að finna þá reglu að þegar áskriftin þjónar löginnheimtu skuli áskrifandi ábyrgjast að vinnsla eins og áður er lýst helgist ávallt af lögmætum hagsmunum vegna slíkrar starfsemi.

23.

Um að áskrifandi láti af vöktun sem ekki er lengur þörf – 4. tölul. 1. mgr. 6. gr.

Samkvæmt 2. tölul. 5. gr. draga Creditinfo Lánstrausts hf. að nýjum starfsleyfisskilmálum skal koma fram í áskriftarsamningum að áskrifandi skuli afskrá hinn skráða af vakt þegar ekki eru lengur til staðar lögvarðir hagsmunir eða hinn skráði hefur afturkallað samþykki sitt til vöktunar í þeim tilfellum sem samþykki er skilyrði vöktunar.

Persónuvernd telur þessa viðbót til bóta að öðru leyti en því að ekki verður hér byggt á samþykki, sbr. umfjöllun í 9. kafla hér að framan. Í ljósi þess er nú tekið fram í nýjum 4. tölul. í ákvæði skilmáladraganna um samningsgerð við áskrifendur, þ.e. 6. gr. (áður ákvæði 2.9), að samkvæmt áskriftarsamningi skuli áskrifandi, sem hafið hafi vöktun á kennitölu, láta af vöktun hennar þegar ekki séu lengur til staðar lögmætir hagsmunir af vöktuninni.

24.

Samningar um innheimtu – 5. tölul. 1. mgr. 6. gr.

Í 3. mgr. ákvæðis 2.2 í tillögu Creditinfo Lánstrausts hf. að nýjum starfsleyfisskilmálum er að finna þá reglu að áskrifendur, sem hafa innheimtu með höndum, skuli ábyrgjast í samningum við viðskiptavini sína að þeir þekki reglur um skráningu upplýsinga um fjárhagsmálefni og lánstraust einstaklinga og tryggi að kröfur, sem skuldari hefur sannanlega andmælt, verði ekki sendar til skráningar.

Persónuvernd telur til bóta að bæta þessu við skilmáladrögin. Eins og komið hefur fram lýtur ákvæði 2.2 í tillögu Creditinfo Lánstrausts hf. að söfnun fjárhagsupplýsingastofu á upplýsingum frá áskrifendum. Persónuvernd telur umrædda viðbót hins vegar betur eiga heima í upptalningu fyrrnefnds ákvæðis 6. gr. skilmáladraganna (áður ákvæðis 2.9) á því hvað koma skuli fram í áskriftarsamningi. Í ljósi þess hefur umrætt skilyrði nú verið sett inn í nýjan 5. tölul. 1. mgr. þeirrar greinar.

25.

Um að áskrifandi ábyrgist að engar réttmætar mótbárur séu við skuld – 6. tölul. 1. mgr. 6. gr.

Í 3. mgr. ákvæðis 2.2 í tillögu Creditinfo Lánstrausts hf. að nýjum starfsleyfisskilmálum segir að áskrifandi, sem gert hafi samning við fjárhagsupplýsingastofu um innsendingu upplýsinga, skuli ábyrgjast að honum sé ekki kunnugt um að skuldari hafi nokkrar réttmætar mótbárur við greiðslu skuldarinnar. Þetta skilyrði er að finna í 7. tölul. liðar 2.2.2 í skilmáladrögunum, sbr. einnig 7. tölul. liðar 2.2.1 í gildandi starfsleyfi, en þá eingöngu í samhengi við heimild til að skrá upplýsingar um vanskil á skuld samkvæmt láns- eða skuldaskjali þar sem skuldari fellst á skráningu hjá fjárhagsupplýsingastofu við tiltekin vanskil í samræmi við nánari skilyrði ákvæðisins.

Persónuvernd telur til bóta að skilyrði sem þetta gildi um allar skuldir sem áskrifandi skráir hjá fjárhagsupplýsingastofu. Í tillögu Creditinfo Lánstrausts hf. kemur skilyrðið fyrir beint á eftir upptalningu á því hvaða upplýsingum fjárhagsupplýsingastofa megi safna frá áskrifendum. Persónuvernd telur því hins vegar betur fyrir komið í upptalningu 6. gr. skilmáladraganna (áður ákvæðis 2.9) á því hvað koma skuli fram í samningi fjárhagsupplýsingastofu við áskrifendur. Í samræmi við það hefur umrætt skilyrði nú verið sett inn í nýjan 6. tölul. 1. mgr. ákvæðisins.

Tekið skal fram að þó svo að nú sé mælt fyrir um skilyrðið með almennum hætti á þessum stað þykir Persónuvernd rétt að halda því áfram inni í 7. tölul. liðar 2.2.2, enda er þar um að ræða heimild til skráningar vanskila án þess að sýslumaður eða dómstólar hafi komið að málum.

26.

Aðgerðaskráning – 2. mgr. ákvæðis 7.1

Gerð hefur verið breyting á 2. mgr. ákvæðisins í skilmáladrögunum þar sem fjallað er um öryggisráðstafanir, þ.e. ákvæðis 7.1 (áður 2.10). Umrædd málsgrein lýtur að aðgerðaskráningu, þ.e. skráningu á uppflettingum áskrifenda, og hefur því þar verið bætt við að skrá skuli hvers vegna upplýsingar voru unnar við uppflettingu.

27.

Skýrslugjöf til Persónuverndar – 9. gr.

Í skjalinu 9. júlí 2020 og á fundinum 10. s.m. hefur Creditinfo Lánstraust hf. gert þá athugasemd að óskýrt sé hvað felist í ákvæði 2.13 í skilmáladrögunum, nú 9. gr., sbr. ákvæði 2.11 í núgildandi starfsleyfi fyrirtækisins sem er samhljóða umræddu ákvæði draganna. Nánar tiltekið er vísað til þess að samkvæmt því sem þar segir skal ársfjórðungslega upplýsa Persónuvernd um hve margir hafi aðgang að skrám, eins og það hefur verið orðað, svo og hverjir þeir séu. Segir að óskýrt sé hvort hér sé átt við áskrifendur eða einstaka notendur hjá hlutaðeigandi áskrifendum. Þá er í bréfinu 1. september 2020 lögð til sú breyting að skýrt komi fram að Persónuvernd óski ársfjórðungslega um fjölda áskrifenda fjárhagsupplýsingastofu en ekki fjölda notenda hjá áskrifendum, sem og að ekki verði skylt að upplýsa ársfjórðungslega um hverjir áskrifendur séu en að annaðhvort verði mælt fyrir um að Persónuvernd geti kallað eftir slíkum upplýsingum eða að skylt verði að senda þær árlega.

Persónuvernd fellst á að umrætt ákvæði sé óskýrt að því leyti hvort átt sé við að upplýst skuli um áskrifendur eða notendur þeirra. Jafnframt telur stofnunin mikilvægt að gagnsæi ríki um umrædda vinnslu, sbr. 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018, en að það væri ekki í anda meðalhófs að senda þyrfti stofnuninni lista yfir alla notendur, þ.e. starfsmenn hjá áskrifendum sem aðgang hafa að skrám fjárhagsupplýsingastofu, sbr. 3. tölul. sömu málsgreinar. Hefur ákvæðinu í ljósi framangreinds verið breytt og er þar nú tekið fram að ársfjórðungslega skuli Persónuvernd upplýst um meðal annars hve margir þeir áskrifendur séu sem hafi aðgang að upplýsingum hjá stofunni og hver heildarfjöldi notenda hjá áskrifendum sé.

Tekið skal fram að orðinu „skrár“ hefur hér verið skipt út fyrir orðið „upplýsingar“, en fyrrnefnda orðið gæti skilist sem tilvísun til skrár um fjárhagsmálefni og lánstraust fremur en bæði til þeirrar skrár og skýrslna um lánshæfi. Þá skal tekið fram að sem fyrr telur Persónuvernd rétt að upplýst sé um hve margir einstaklingar séu á skrá um fjárhagsmálefni og lánstraust og hve mikið sé þar skráð af hverri tegund upplýsinga, auk þess sem þeirrar viðbótar sé þörf að upplýst sé um hversu margar kennitölur séu vaktaðar og hve margir einstaklingar falli í hvern lánshæfisflokk sem skýrslur um lánshæfi miðast við. Eru nú öll þessi atriði nefnd í 9. gr. skilmáladraganna.

28.

Orðalagsbreytingar o.fl.

Að öðru leyti skal tekið fram að á skilmáladrögunum hafa verið gerðar smávægilegar breytingar aðrar sem ekki verður talin ástæða til að rekja sérstaklega, en meðal annars er um að ræða minni háttar orðalagsbreytingar, sumar hverjar í ljósi athugasemda frá Creditinfo Lánstrausti hf., umbætur á tilvísunum eða atriði sem ætla verður að fylgt sé í framkvæmd og sem dæmi eru um að tilgreind hafi verið í leyfum sem áður hafa verið gefin út. Er hér um að ræða fyrirsögn og upphaf 2. gr., upphaf ákvæðis 2.2, 1., 3., 5., 7. (áður 6.) og 8. (áður 7.) tölul. 1. mgr. liðar 2.2.1 (áður 2.2.2), 2., 8. og 9. tölul. liðar 2.2.2 (áður 2.2.1), fyrirsögn og 1., 2. og 5. mgr. 3. gr., niðurlag 1. mgr. 4. gr. (áður ákvæðis 2.3), nýja 2. mgr. þeirrar greinar, 5. (áður 4.) mgr. sömu greinar, upphaf ákvæðis 5.1 (áður 2.4), 6. tölul. 1. mgr. og 2. mgr. liðar 5.1.1 (áður 2.4.1), 2. og 3. mgr. liðar 5.1.2 (áður 2.4.2) sem hafa verið sameinaðar, 2. mgr. liðar 5.1.3 (áður 2.4.1), fyrirsögn og eftirfarandi texta liðar 5.1.4 (áður 2.4.4) sem skipt hefur verið í tvær málsgreinar, ákvæði 5.2 (áður 2.5) (efni fært í ákvæði 5.4 (áður 2.6), ákvæði 5.4, 1. og 4. mgr. ákvæðis 5.5 (áður 2.8), 3., 11. og 12. tölul. 1. mgr. 6. gr. (áður 2., 7. og 8. tölul. ákvæðis 2.9), 8. gr. (áður ákvæði 2.12), 10. gr. (áður 4. gr.) og 1. mgr. 11. gr.

Fh. Persónuverndar,

Helga Þórisdóttir                   Þórður Sveinsson