Vinnsla Creditinfo Lánstrausts hf. á upplýsingum um fyrri skráningar á vanskilaskrá við gerð skýrslna um lánshæfi kvartanda

Mál nr. 2020010678

17.8.2020

Úrskurður

Hinn 22. júní 2020 kvað Persónuvernd upp svohljóðandi úrskurð í máli nr. 2020010678 (áður 201901852):

I.

Málsmeðferð

1.

Kvörtun og bréfaskipti

Hinn 3. október 2019 barst Persónuvernd kvörtun frá [A] (hér eftir nefndur kvartandi) yfir vinnslu persónuupplýsinga af hálfu Creditinfo Lánstrausts hf. (Creditinfo) í þágu gerðar skýrslu um lánshæfi.

Með bréfi, dags. 9. nóvember 2019, var Creditinfo boðið að koma á framfæri andmælum vega kvörtunarinnar. Svarbréf Creditinfo barst Persónuvernd hinn 28. nóvember s.á.

Með bréfi, dags. 4. desember 2019, var kvartanda boðið að tjá sig um fram komin svör Creditinfo. Svör kvartanda bárust með tölvupósti samdægurs.

Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna þó ekki sé gerð fyrir þeim öllum sérstaklega með mjög ítarlegum hætti.

2.

Sjónarmið kvartanda

Í kvörtun er vikið að því að þrátt fyrir að kvartandi hafi lent í tímabundnum erfiðleikum hafi hann alltaf greitt skuldir sínar án endanlegra fullnustugerða, hann hafi aldrei orðið gjaldþrota, verið eigandi fasteigna beint eða óbeint í gegnum eignarhaldsfélög í um þrjátíu ár, verið með háar fjármagnstekjur árið 2018 og að engin vanskil hafi verið skráð á hann í gögnum Creditinfo. Þrátt fyrir framangreint hafi hann verið með skráð lánshæfismat nánast allt árið 2019 í D flokki sem útiloki nánast alla bankafyrirgreiðslu. Skráning hafi breyst í lok september s.á. í flokk C3 um að mögulegar líkur séu á vanskilum og að sú skráning standi þrátt fyrir að engar upplýsingar séu um vanskil né skuldbindingar til að byggja slíkar upplýsingar á.

Vísar kvartandi til þess að samkvæmt upplýsingum frá Creditinfo byggi lánshæfismat félagsins meðal annars á eldri upplýsingum eða allt að fjórum árum aftur í tímann. Telur kvartandi framangreint ekki standast reglur um persónuvernd enda sé eðlilegt að matið byggi á þeim upplýsingum sem réttastar séu á hverjum tíma.

Með vísan til framangreinds er kvartað undan verklagi Creditinfo við vinnslu lánshæfismats og gerð sú krafa að Persónuvernd tryggi við útgáfu starfsleyfis Creditinfo að við vinnslu lánshæfismats kvartanda séu lagðar til grundvallar nýjar upplýsingar, takmarkað verði hversu gamlar upplýsingar geti haft áhrif á matið og eftir atvikum verði óheimilt að skrá einstakling með engin vanskil og einstakling sem er ekki með lánasamninga eða skuldir í vanskilum neðar en í tiltekinn flokk.

Telur kvartandi að Persónuvernd verði í fyrsta lagi að tryggja gagnsæi í vinnslu lánshæfismats þannig að fyrir liggi; hvaða upplýsingar megi nota, með hvaða hætti og hversu gamlar upplýsingar megi nota og í öðru lagi hvaða áhrif greiðsla krafna eða vanskila skuli hafa á gerð lánshæfismats.

3.

Sjónarmið Creditinfo

Creditinfo fer yfir þær skyldur sem lagðar eru á lánveitendur samkvæmt lögum nr. 33/2013 um neytendalán sem meðal annars hafi það að markmiði að koma í veg fyrir lánveitingar til einstaklinga sem séu líklegir til að lenda í vanskilum. Vísar Creditinfo til þess að lánveitendum beri að viðhafa ábyrga útlánastefnu og nýta áreiðanlegar upplýsingar til að fyrirbyggja yfirskuldsetningu einstaklinga, sem endurspeglist í vanskilum og afskriftum krafna. Framangreind sjónarmið endurspeglist í 10. gr. laganna, þar sem tiltekin sé sú meginregla að lánveitanda sé óheimilt að veita lán ef lánshæfis- og/eða greiðslumat bendi til þess að lántaki hafi ekki fjárhagslega burði til að standa í skilum með lán.

Vísar Creditinfo til þess að í 5. gr. reglugerðar um lánshæfis- og greiðslumat nr. 920/2013 segi að lánshæfismat skuli byggt á viðskiptasögu milli lánveitanda og lántaka og/eða upplýsingum úr gagnagrunni um fjárhagsmálefni og lánstraust. Þar segi ennfremur að í þeim tilfellum sem engri viðskiptasögu sé til að dreifa á milli lánveitanda og lántaka sé lánveitanda heimilt, að fengnu samþykki lántaka, að byggja mat sitt eingöngu á upplýsingum úr gagnagrunni þriðja aðila um fjárhagsmálefni og lánstraust.

Í bréfinu fjallar Creditinfo um þær breytingar sem hafi orðið á lánamarkaði á undanförnum árum á þann veg að fleiri aðilar bjóði neytendum aðgengi að lánsfé. Í mörgum tilfellum sé því nær engri viðskiptasögu til að dreifa hjá lánveitanda og til að uppfylla lagaskyldu sína skv. lögum um neytendalán þurfi lánveitandi að leita upplýsinga úr gagnagrunni um fjárhagsmálefni og lánstraust, afla opinberra upplýsinga og eftir atvikum óska eftir frekari upplýsingum frá lántaka með hans samþykki, sbr. það sem segi í 5. gr. reglugerðar um lánshæfis- og greiðslumat. Lögð sé skylda á lánveitanda að nýta áreiðanlegar upplýsingar til að meta lánshæfi og því sé ljóst að lánshæfismat verði að byggja á gögnum og upplýsingum sem geti á áreiðanlegan hátt metið líkur á að viðkomandi lántaki geti staðið í skilum með skuldbindingar sínar. Bæði lánveitendur og lántakar hafi hagsmuni af því að þær upplýsingar og þau gögn sem notuð séu til að meta lánshæfi séu eins ítarleg og hlutlæg og völ sé á.

Creditinfo byggi vinnslu lánshæfismats á heimild í 1. tölul. 9. gr. laga nr. 90/2018 en áskrifendur Creditinfo geti ekki aflað lánshæfismats nema fyrir liggi samþykki viðkomandi einstaklings.

Vísar Creditinfo til þess að lánshæfismat félagsins meti líkur á greiðslufalli og skráningu á vanskilaskrá næstu tólf mánuði. Þeir sem séu með virka skráningu á vanskilaskrá fái því ekki reiknað lánshæfismat. Telur Creditinfo þá staðhæfingu kvartanda að hann hafi mátt þola skráningu sem standi enn þrátt fyrir að engar skuldbindingar hafi verið fyrir hendi, hafa verið ranga, enda hafi skráningar verið afskráðar af vanskilaskrá. Upplýsingar um fyrrum skráningar á vanskilaskrá, sem hafi áhrif á lánshæfismat, séu hins vegar aðgengilegar einstaklingum, m.a. inni á þjónustuvefnum mitt.creditinfo.is. Aðeins geti einstaklingurinn sjálfur fengið þær upplýsingar en lánveitandi sem sæki um lánshæfismat á grundvelli samþykkis fái eingöngu upplýsingar um áhættuflokk og prósentutölu sem greini frá líkum á vanskilaskráningu næstu tólf mánuði.

Fjallar Creditinfo um það að félaginu sé heimilt samkvæmt grein 2.7. í starfsleyfi þess að nýta fyrrum skráningar við gerð lánshæfismats í allt að fjögur ár frá skráningu. Upplýsingar um söguleg vanskil séu með mikilvægustu breytum í líkaninu og hafi mikið spágildi, en vægi þeirra fari minnkandi eftir því sem upplýsingarnar verði eldri.

Vísað er til þess að líkt og fram hafi komið í svörum Creditinfo til umboðsmanns kvartanda í byrjun október 2019, hafi söguleg vanskil verið einn helsti áhrifaþáttur í lánshæfismati kvartanda á þeim tíma. Vegna athugasemda umboðsmanns kvartanda í kvörtun til Persónuverndar og í samskiptum við Creditinfo um að ekki hafi verið horft til tekna við gerð lánshæfismats er það tekið fram að Creditinfo hafi ekki aðgengi að slíkum upplýsingum en slíkar upplýsingar séu sóttar af lánveitendum við gerð greiðslumats sem skylt sé að framkvæma, ásamt því að framkvæma eða sækja lánshæfismat, skv. 10. gr. laga nr. 33/2013, fari lánsfjárhæð yfir tiltekin fjárhæðarmörk. Eins og fram komi í greinargerð með lögunum skuli lánveitandi með greiðslumati leitast við að staðreyna greiðslugetu lántaka en greiðsluvilja með lánshæfismati og við það mat skuli m.a. líta til skilvísi og greiðslusögu.

Með vísan til framanritaðs telur Creditinfo að félagið hafi farið að ákvæðum starfsleyfis útgefins af Persónuvernd, lögum um persónuvernd og vinnslu persónuupplýsinga, svo og reglum settum á grundvelli þeirra laga.

II.

Forsendur og niðurstaða

1.

Gildissvið – Ábyrgðaraðili

Gildissvið laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679, sbr. 1. mgr. 4. gr. laganna, og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá.

Til persónuupplýsinga teljast upplýsingar um persónugreindan eða persónugreinanlegan einstakling og telst einstaklingur persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, með tilvísun í auðkenni hans eða einn eða fleiri þætti sem einkennandi eru fyrir hann, sbr. 2. tölul. 3. gr. laganna og 1. tölul. 4. gr. reglugerðarinnar.

Með vinnslu er átt við aðgerð eða röð aðgerða þar sem persónuupplýsingar eru unnar, hvort heldur vinnslan er sjálfvirk eða ekki, sbr. 4. tölul. 3. gr. laganna og 2. tölul. 4. gr. reglugerðarinnar.

Mál þetta lýtur að vinnslu persónuupplýsinga um kvartanda við gerð skýrslu um lánshæfi um hann. Að því virtu og með hliðsjón af framangreindum ákvæðum varðar mál þetta vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili. Samkvæmt 6. tölul. 3. gr. laganna er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga, sbr. 7. tölul. 4. gr. reglugerðarinnar. Eins og hér háttar til telst Creditinfo Lánstraust hf. vera ábyrgðaraðili að þeirri vinnslu sem kvartað er yfir, þ.e. vinnslu persónuupplýsinga við gerð lánshæfismats um kvartanda.

2.

Starfsleyfi Creditinfo Lánstrausts hf.

Starfræksla fjárhagsupplýsingastofa og vinnsla upplýsinga sem varða fjárhagsmálefni og lánstraust einstaklinga og lögaðila, þ.m.t. vanskilaskráning og gerð lánshæfismats, í því skyni að miðla þeim til annarra, skal bundin leyfi Persónuverndar, sbr. 15. gr. laga nr. 90/2018. Starfsemi Creditinfo fellur að miklu leyti undir framangreint ákvæði og hefur Persónuvernd veitt fyrirtækinu starfsleyfi í samræmi við það, sbr. nú starfsleyfi Creditinfo Lánstrausts hf. vegna vinnslu upplýsinga um einstaklinga, dags. 29. desember 2017 (mál nr. 2017/1541) og nú starfsleyfi til bráðabirgða vegna vinnslu persónuupplýsinga í þágu gerðar lánshæfismats, dags. 23. ágúst 2018 (mál nr. 2018/1229).

Til þess er að líta að tilvísun 15. gr. laga nr. 90/2018 til vinnslu upplýsinga sem fer fram við gerð lánshæfismats og að slík vinnsla þurfi að byggjast á leyfi Persónuverndar er nýmæli og var ekki að finna í sambærilegu ákvæði þágildandi laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Þá tekur reglugerð nr. 46/2001 um söfnun og miðlun upplýsinga um fjárhagsmálefni og lánstraust, sem sett var með stoð í 45. gr. laga nr. 77/2000, einungis til vinnslu í því skyni að miðla upplýsingum til annarra um fjárhagsmálefni og lánstraust og tekur því ekki til starfsemi sem felst í útgáfu skýrslna um lánshæfi. Framangreint bráðabirgðaleyfi breytir þó engu um það að nú sem áður ber Creditinfo að gæta að því þær upplýsingar sem skráðar eru á grundvelli starfsleyfa, sem Persónuvernd hefur veitt, má ekki nýta í þágu gerðar lánshæfismats á þann hátt að brjóti gegn útgefnum leyfum eða gildandi lögum almennt.

3.

Lögmæti vinnslu

Í máli þessu reynir á hvort við gerð skýrslna um lánshæfi kvartanda hafi Creditinfo mátt notast við upplýsingar um færslu á vanskilaskrá félagsins sem eytt hafði verið af þeirri skrá á grundvelli leyfis til starfrækslu skrárinnar af þeirri ástæðu að skuldinni hafði verið komið í skil. Í því sambandi reynir einnig á hvaða þýðingu tekjur kvartanda og núverandi staða hans hafi almennt við lánshæfismat Creditinfo um kvartanda.

Öll vinnsla persónuupplýsinga verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018. Má þar nefna 6. tölul. 9. gr. laganna, sbr. e-liður 1. mgr. 6. gr. reglugerðarinnar, en þar kemur fram að vinnsla persónuupplýsinga er heimil ef hún er nauðsynleg vegna lögmætra hagsmuna sem ábyrgðaraðili eða þriðji maður gætir nema hagsmunir eða grundvallarréttindi og frelsi hins skráða sem krefjast verndar persónuupplýsinga vegi þyngra. Telur Persónuvernd þetta ákvæði eiga við um þá vinnslu persónuupplýsinga sem fer fram í upplýsingakerfum Creditinfo í tengslum við gerð skýrslu um lánshæfi kvartanda.

Auk heimildar samkvæmt framangreindu verður vinnsla persónuupplýsinga að fullnægja öllum grunnkröfum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 5. gr. reglugerðar (ESB) 2016/679. Er þar meðal annars kveðið á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða (1. tölul.); að þær skuli fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.) og að þær skuli vera nægilegar og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.).

Persónuvernd hefur áður tekið afstöðu til umrædds álitaefnis, sbr. í því sambandi úrskurður, dags. 26. janúar 2017, í máli nr. 2016/950, úrskurður, dags. 6. desember 2016, í máli nr. 2016/580, úrskurður, dags. 28. september 2017, í máli nr. 2016/1138, og úrskurður, dags. 31. maí 2018, í máli nr. 2017/537. Í öllum framangreindum úrskurðum taldi Persónuvernd að Creditinfo væri heimilt að nýta upplýsingar um færslu á vanskilaskrá félagsins við gerð skýrslna um lánshæfi kvartenda, í fjögur ár frá skráningu slíkra upplýsinga. Í einum af framangreindum úrskurðum Persónuverndar, máli nr. 2016/1138, var meðal annars vísað til ákvæða um eyðingu skráðra upplýsinga að heimilum varðveislutíma liðnum í viðeigandi starfsleyfum sem í gildi voru þegar sú vinnsla átti sér stað sem um ræddi í málinu. Eru þau ákvæði sambærileg við grein 2.7 í núgildandi leyfi, dags. 29. desember 2017 (mál nr. 2017/1541). Að auki voru rakin ákvæði í lögum nr. 33/2013 um neytendalán, þ.e. i-liður (nú k-liður) 5. gr. og 10. gr. sem áskilja að lánshæfi neytanda sé metið áður en neytendalán er veitt og kemur meðal annars fram að notast má við upplýsingar úr gagnagrunnum fjárhagsupplýsingastofa í því skyni. Voru í því sambandi einnig rakin ákvæði úr tilskipun 2008/48/EB um lánasamninga fyrir neytendur þar sem lögð er á það áhersla að lánastarfsemi skuli vera ábyrg, að lán samkvæmt tilskipuninni skuli ekki veita án þess að áður hafi verið aflað mats á lánshæfi og að ákvarða skuli nauðsynleg úrræði til að beita þá lánveitendur viðurlögum sem það geri ekki.

Með vísan til þessa segir í umræddum úrskurði:

„Af framangreindu er ljóst að rík áhersla er á það lögð að gert sé áreiðanlegt lánshæfismat í aðdraganda samnings um neytendalán. Einnig liggur fyrir, eins og áður greinir, að skýrslum Creditinfo Lánstrausts hf. er ætlað að nýtast við gerð slíks mats. Þá verður ekki litið svo á að það feli í sér óheimila miðlun upplýsinga um vanskilakröfur, sem komið hefur verið í skil, að þær hafi áhrif á niðurstöðu skýrslna um lánshæfi, enda liggur fyrir að upplýsingarnar sjálfar berast ekki viðtakendum matsins. Þegar litið er til þessa telur Persónuvernd vinnslu Creditinfo Lánstrausts hf. á þeim upplýsingum um afskráðar færslur á umræddri skrá, sem um ræðir í máli þessu og fram fór á gildistíma fyrrnefnds starfsleyfis, dags. 28. desember 2015, hafa átt stoð í áðurgreindu ákvæði 7. tölul. 1. mgr. 8. gr. laga nr. 77/2000, en auk þess telur stofnunin ekki hafa komið fram að farið hafi verið gegn kröfum annarra ákvæða laganna, þ. á m. 1. mgr. 7. gr. sömu laga um meðal annars sanngirni, meðalhóf, áreiðanleika og varðveislutíma við vinnslu persónuupplýsinga. Telst vinnslan því hafa samrýmst lögunum.

Í öðru lagi reynir hér á hvort umrædd vinnsla teljist hafa verið heimil eftir að núgildandi starfsleyfi, dags. 28. febrúar 2017 (mál nr. 2016/1626), tók gildi. Við veitingu þess var litið til þeirra sjónarmiða sem að framan eru rakin, sbr. grein 2.7 í leyfinu þar sem fjallað er um eyðingu upplýsinga. Segir þar meðal annars að eyða skuli upplýsingum um einstakar skuldir sé vitað að þeim hafi verið komið í skil, auk þess sem eyða skuli upplýsingum, sem mæli gegn lánshæfi hins skráða, þegar þær verði fjögurra ára gamlar. Þó megi geyma upplýsingar í þrjú ár til viðbótar, enda lúti þær ströngum aðgangstakmörkunum og þess sé vandlega gætt að engir aðrir hafi aðgang en þeir starfsmenn sem þess nauðsynlega þurfi starfs síns vegna. Á meðan á þeirri varðveislu standi megi nýta þær til að verða við beiðnum frá skráðum einstaklingum um vitneskju um vinnslu persónuupplýsinga um sig og til að […] leysa úr ágreiningi um réttmæti skráningar. Að hámarki þar til fjögur ár séu liðin frá skráningu upplýsinganna sé einnig heimilt að nýta þær í þágu gerðar lánshæfismats að beiðni hins skráða, enda sé ekki miðlað neinum upplýsingum um kröfurnar sjálfar heldur eingöngu tölfræðilegum niðurstöðum. Önnur notkun upplýsinganna sé óheimil.“

Persónuvernd telur sömu rök og að framan greinir eiga við í því máli sem nú er til úrlausnar. Þá liggur ekki fyrir að farið hafi verið gegn þeim starfsleyfisfyrirmælum, sbr. nú grein 2.7 í fyrrnefndu leyfi, dags. 29. desember 2017, sem rakin eru í tilvitnuðum texta. Í ljósi þess, sem og með vísan til þeirra laga- og reglugerðarákvæða sem fyrr eru rakin, telur stofnunin umrædda vinnslu upplýsinga um afskráða færslu á skrá samkvæmt starfsleyfinu hafa stuðst við fullnægjandi heimild samkvæmt fyrrnefndu ákvæði 6. tölul. 9. gr. laganna, sbr. e-liður 1. mgr. 6. gr. reglugerðarinnar.

Í kvörtun eru jafnframt gerðar athugasemdir við að ekki sé tekið tillit til tekna og eigna kvartanda við gerð lánshæfismats hjá Creditinfo. Í því sambandi er til þess að líta að lánveitanda er skylt að framkvæma greiðslumat samhliða lánshæfismati áður en samningur um neytendalán er gerður að uppfylltum ákveðnum skilyrðum, sbr. 10. gr. laga nr. 33/2013. Með greiðslumati er átt við útreikning á greiðslugetu lántaka, miðað við eignir, skuldir, gjöld og tekjur, sem m.a. byggjast á opinberum neysluviðmiðum, sbr. e-liður 5. gr. sömu laga. Í athugasemdum við 10. gr. í frumvarpi því sem varð að lögum nr. 33/2013 segir að með lánshæfismati sé leitast við að staðreyna greiðsluviljann en greiðslugetu með greiðslumati. Með hliðsjón af framansögðu verður ekki séð að lögin geri þá kröfu að Creditinfo eigi að líta til upplýsinga um tekjur og eignir einstaklinga við gerð skýrslna um lánshæfi einstaklinga. Það falli fremur í hlut viðkomandi lánveitanda að taka mið af slíkum upplýsingum þegar greiðslugeta viðkomandi lántaka er skoðuð í tengslum við gerð greiðslumats. Viðkomandi lánveitandi beri þannig ábyrgð á því að meta greiðsluvilja og greiðslugetu lántakans með heildstæðum hætti í samræmi við framangreint ákvæði 10. gr. laga nr. 33/2013, áður en ákvörðun um lánveitingu er tekin.

Auk heimildar samkvæmt framangreindu verður vinnsla persónuupplýsinga að fullnægja öllum grunnkröfum 1. mgr. 8. gr. laga nr. 90/2018, sbr. 5. gr. reglugerðar (ESB) 2016/679. Er þar meðal annars kveðið á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða (1. tölul.); að þær skuli fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); og að þær skuli vera nægilegar og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.). Ekki verður séð að brotið hafi verið gegn þessum kröfum. Þá telur stofnunin umrædda vinnslu hafa samrýmst lögum nr. 90/2018 að öðru leyti.

Ú r s k u r ð a r o r ð:

Vinnsla Creditinfo Lánstrausts hf. á persónuupplýsingum um [A] í tengslum við gerð skýrslu um lánshæfi hans samrýmdist lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga.

Í Persónuvernd, 22. júní 2020

                     Helga Þórisdóttir                                                    Þórður Sveinsson