Bréf til Neytendasamtakanna og VR

Neytendasamtökin
Guðrúnartúni 1
105 Reykjavík
--
VR
Kringlunni 7
103 Reykjavík

Reykjavík, 6. desember 2023
Tilvísun: 2023111903/IAH

1.

Erindi Neytendasamtakanna og VR

Persónuvernd vísar til fyrirspurnar Neytendasamtakanna og VR sem barst stofnuninni með bréfi, dags. 29. nóvember 2023. Í bréfinu er óskað eftir afstöðu Persónuverndar til útreikninga fjárhagsupplýsingastofunnar Creditinfo Lánstrausts hf. í kjölfar uppfærslu á lánshæfismati fyrirtækisins.

Nánar tiltekið er í bréfinu óskað eftir upplýsingum um hvort ákvæði reglugerðar nr. 606/2023, og þá sérstaklega 9. gr., sbr. 8. gr. reglugerðarinnar, veiti fjárhagsupplýsingastofum heimild til að sækja eldri vanskilagögn en áður við útreikning á lánshæfismati. Bent er á að hið uppfærða lánshæfismat Creditinfo Lánstrausts hf. hafi haft víðtækar og skyndilegar afleiðingar fyrir fjölda fólks, sem einnig hafi misst lánsheimildir og lánstraust hjá lánveitendum í kjölfarið.

Þá er í bréfinu meðal annars fjallað um ákvæði greinar 5.3 í núgildandi starfsleyfi Creditinfo Lánstrausts hf., sem sé samsvarandi ákvæði í stöðluðum skilmálum í starfsleyfum til fjárhagsupplýsingastofa um gerð skýrslna um lánshæfismat. Bent er á að í greininni sé mælt fyrir um að fjárhagsupplýsingastofu sé heimilt, við gerð lánshæfismats að beiðni hins skráða, að nýta upplýsingar í vanskilaskrá að hámarki í 1 ár frá því að kröfu er komið í skil eða 4 ár frá skráningu kröfunnar á vanskilaskrá.

Vísað er til þess að nú hafi Creditinfo Lánstraust hf. birt frétt á vefsíðu fyrirtækisins um að það hafi uppfært lánshæfismat sitt og líti nú til eldri upplýsinga um vanskil einstaklinga en áður við gerð skýrslna um lánshæfi.

Með vísan til þess er óskað eftir skýringum Persónuverndar um þann tímaramma sem sé á heimildum fjárhagsupplýsingastofa til að sækja upplýsingar í vanskilaskrá við gerð skýrslna um lánshæfi. Spurt er hvort skýra beri ákvæði greinar 5.3 í almennum skilmálum fjárhagsupplýsingastofa þannig að þeim sé heimilt að sækja gögn um fyrri skráningar í vanskilaskrá í eitt ár frá því að kröfu er komið í skil eða í fjögur ár frá skráningu, eða hvort reglugerð nr. 606/2023 veiti fjárhagsupplýsingastofum rýmri heimild til að sækja gögn á vanskilaskrá en ákvæði í stöðluðum skilmálum mæli fyrir um.

2.

Svar Persónuverndar

Fjárhagsupplýsingastofum með starfsleyfi frá Persónuvernd er heimilt að vinna upplýsingar um fjárhagsmálefni og lánstraust einstaklinga og lögaðila í því skyni að miðla þeim til annarra, í samræmi við 1. mgr. 15. gr. laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga, sbr. einnig 3. gr. reglugerðar nr. 606/2023 um vinnslu upplýsinga um fjárhagsmálefni og lánstraust, sbr. 2. mgr. 15. gr. laganna. Í dag hefur eitt fyrirtæki á Íslandi starfsleyfi eins og hér um ræðir, þ.e. Creditinfo Lánstraust hf.

Hinn 3. maí 2021 gaf Persónuvernd út staðlaða skilmála í starfsleyfum til fjárhagsupplýsingastofa og birti á vefsíðu sinni. Í aðdraganda útgáfu stöðluðu skilmálanna hafði Creditinfo Lánstraust hf. sótt um uppfært starfsleyfi hjá Persónuvernd á grundvelli nýrrar persónuverndarlöggjafar, en ljóst er að vinna við gerð hinna stöðluðu skilmála var nátengd meðferð þeirrar umsóknar.

Samhliða útgáfu staðlaðra skilmála í starfsleyfum til fjárhagsupplýsingastofa 3. maí 2021 afgreiddi Persónuvernd umsókn Creditinfo Lánstrausts hf. með útgáfu nýs starfsleyfis og átti það að taka gildi 10. s.m. Að ósk fyrirtækisins var gildistöku starfsleyfisins frestað og tók leyfið gildi þann 1. júlí 2021 með gildistíma til 31. desember 2022.

Nýtt starfsleyfi til handa Creditinfo Lánstrausts hf. tók gildi 1. mars 2023 með gildistíma til 31. desember 2024. Leyfið, sem kom í stað framangreinds leyfis frá 3. maí 2021, var veitt að fenginni beiðni fjárhagsupplýsingastofunnar í bréfi, dags. 26. október 2022.

Í 3. gr. í núgildandi starfsleyfi Persónuverndar til handa Creditinfo Lánstrausti hf. frá 1. mars 2023 er fjallað um gerð skýrslna um lánshæfi einstaklinga. Þar kemur fram að um notkun upplýsinga úr skrá um fjárhagsmálefni og lánstraust einstaklinga (vanskilaskrá) fari eftir 2. mgr. ákvæðis 5.3 í leyfinu. Þar kemur fram að þar til 1 ár er liðið frá því að kröfu var komið í skil eða skráning á henni náði fjögurra ára aldri sé heimilt að nýta upplýsingar um kröfuna í þágu gerðar skýrslna um lánshæfi að beiðni hins skráða, enda sé ekki miðlað neinum upplýsingum um kröfuna sjálfa heldur eingöngu tölfræðilegum niðurstöðum.

Hins vegar er athygli vakin á því að framangreint starfsleyfi Creditinfo Lánstrausts hf. var gefið út í gildistíð reglugerðar nr. 246/2001 um söfnun og miðlun upplýsinga um fjárhagsmálefni og lánstraust, sem nú hefur verið felld úr gildi. Þrátt fyrir að sú reglugerð hafi ekki tekið til starfsemi sem fælist í útgáfu skýrslna um lánshæfi, sbr. 1. mgr. 1. gr. reglugerðarinnar, hefur Persónuvernd hins vegar talið að ákvæði í starfsleyfum verði að vera innan þess ramma sem reglugerðin afmarkar. Í framangreindri reglugerð var til að mynda ekki fjallað um eyðingu upplýsinga um leið og kröfu hefði verið komið í skil en hins vegar var þar lagt bann við miðlun slíkra upplýsinga. Því taldi Persónuvernd þau fyrirmæli í reglugerð um eyðingu upplýsinga, sem komið hefði verið í skil, ætti ekki að túlkast á þann veg að þeim skyldi eytt alfarið við það tímamark, heldur þannig að þeim skyldi þá eytt af þeirri skrá sem notuð væri til miðlunar. Samkvæmt því hefur Persónuvernd talið það málefnalegt og í samræmi við reglugerð nr. 246/2001 að fjárhagsupplýsingastofa noti slíkar upplýsingar við útreikning á lánshæfismati einstaklinga innan fyrrgreindra tímamarka hvað þær snertir.

Ný reglugerð um vinnslu upplýsinga um fjárhagsmálefni og lánstraust nr. 606/2023 tók gildi 1. september 2023, en í henni er hins vegar ekki mælt fyrir um sérstök tímamörk við vinnslu upplýsinga um fjárhagsmálefni og lánstraust, með sama hætti og gert var í þeirri eldri.

Í 9. gr. reglugerðarinnar er fjallað um gerð skýrslna um lánshæfi. Í ákvæðinu kemur fram að fjárhagsupplýsingastofu er heimilt að gera skýrslur um lánshæfi einstaklinga og lögaðila og miðla þeim til þriðja aðila. Einnig er mælt fyrir um að skýrslur um lánshæfi skuli byggjast á áreiðanlegum upplýsingum sem hafi afgerandi þýðingu og veiti áreiðanlegar vísbendingar um líkindi þess hvort viðkomandi einstaklingur eða lögaðili geti efnt lánssamning. Þá kemur fram að við mat á lánshæfi einstaklings er fjárhagsupplýsingastofu eingöngu heimilt að afla og vinna upplýsingar úr opinberum gögnum og skrám sínum og aðeins að því marki sem nauðsynlegt er til að framkvæma áreiðanlegt mat.

Það leiðir af almennum reglum um rétthæð réttarheimilda að ákvæði reglugerðar nr. 606/2023 ganga framar ákvæðum starfsleyfis Persónuverndar. Að því leyti sem ósamræmi er milli starfsleyfis og reglugerðar, hvað varðar heimildir Creditinfo Lánstrausts hf. til notkunar fjárhagsupplýsinga, gilda ákvæði reglugerðarinnar.

Við túlkun á ákvæðum reglugerðarinnar verður þó ávallt að horfa til persónuverndarlaga, þ. á m. til meginreglnanna um lögmæta, sanngjarna og gagnsæja vinnslu, skýrt tilgreindan og málefnalegan tilgang og lágmörkun gagna, en í tengslum við þessi atriði getur meðal annars reynt á aldur upplýsinga. Fjárhagsupplýsingastofur eru jafnframt bundnar af ákvæðum reglugerðarinnar, sem og ákvæðum persónuverndarlaga, um skyldur þeirra sem ábyrgðaraðila vinnslu persónuupplýsinga til að veita skráðum einstaklingum viðeigandi fræðslu, upplýsinga- og aðgangsrétt, rétt til að fá upplýsingar sínar leiðréttar, þeim eytt og vinnslu þeirra takmarkaða og rétt til að andmæla vinnslu, auk annarra atriða.

Persónuvernd hefur á það bent, m.a. í bréfum stofnunarinnar til atvinnuvega- og nýsköpunarráðuneytisins og Seðlabanka Íslands, dags. 12. janúar 2022 (mál nr. 2021071517), að stofnunin telji það ekki falla undir starfssvið hennar, eins og það er skilgreint í 39. gr. laga nr. 90/2018, að ákveða nákvæmlega hvernig mat á lánshæfi skuli gert og hvert vægi einstakra þátta skuli þar vera, með sama hætti og hún metur til að mynda ekki hvernig staðið skal að greiningu sjúkdóma eða því hvort einelti hefur átt sér stað á vinnustað. Þegar um ræðir slík sérfræðileg atriði álítur Persónuvernd fremur falla í sinn hlut að huga að hinni almennu umgjörð um vinnslu persónuupplýsinga og hvort til staðar séu ferlar til að tryggja gæði og áreiðanleika við vinnsluna. Í framangreindu bréfi segir einnig:

„Jafnframt er bent á að samkvæmt 3. tölul. 2. tölul. 2. gr. forsetaúrskurðar nr. 119/2018 um skiptingu stjórnarmálefna milli ráðuneyta í Stjórnarráði Íslands, sbr. 15. gr. stjórnarskrárinnar og 4. gr. laga nr. 115/2011 um Stjórnarráð Íslands, fer atvinnuvega- og nýsköpunarráðuneytið með margvísleg málefni sem varða viðskiptalífið. Þá er ljóst af IX. kafla laga nr. 151/2019 um Seðlabanka Íslands að honum er ætlað mikilvægt hlutverk í tengslum við rannsóknir á sviði fjármálastarfsemi.

Með vísan til þessa vekur Persónuvernd athygli ráðuneytisins og Seðlabankans á mikilvægi þess að gerð sé óháð úttekt á því hvernig gerð skýrslna um lánshæfismat getur verið sem áreiðanlegust og þannig gagnast viðskiptalífinu sem best samhliða því að réttindi einstaklinga séu virt. Myndi slík úttekt og stuðla að því að vinnsla persónuupplýsinga vegna gerðar umræddra skýrslna samrýmdist sem best grunnreglum persónuverndarlöggjafarinnar, sbr. einkum 8. gr. laga nr. 90/2018 og 5. gr. reglugerðar (ESB) 2016/679.“

Frétt um framangreint bréf, auk bréfs til Creditinfo Lánstrausts hf., var birt á vefsíðu Persónuverndar þann 14. janúar 2022 og samhliða vakti stofnunin athygli á mikilvægi úttektar á því hvernig gerð skýrslna um lánshæfi gæti verið sem áreiðanlegust.

Að lokum er rétt að vekja athygli á því að Persónuvernd vinnur að nýju starfsleyfi þar sem útfærðar verða þær skyldur sem lagðar eru á Creditinfo Lánstraust hf. með nýrri reglugerð. Þá er vakin athygli á að senda má Persónuvernd kvörtun yfir vinnslu persónuupplýsinga í samræmi við 2. mgr. 39. gr. laga nr. 90/2018.

F.h. Persónuverndar,

Inga Amal Hasan