Vinnsla Creditinfo Lánstrausts hf. í tengslum við gerð skýrslna um lánshæfi

Mál nr. 2020010708

27.4.2021

Úrskurður

Hinn 18. mars 2021 kvað Persónuvernd upp svohljóðandi úrskurð í máli nr. 2020010708 (áður mál nr. 2019122373):

I.

Málsmeðferð

1.

Tildrög máls

Hinn 18. desember 2019 barst Persónuvernd kvörtun frá [A] (hér eftir kvartandi) yfir vinnslu persónuupplýsinga um hann hjá Creditinfo Lánstrausti hf. (Creditinfo) í tengslum við gerð skýrslna um lánshæfismat hans.

Með tölvupósti, dags. 14. apríl 2020, óskaði Persónuvernd eftir nánari upplýsingum frá kvartanda. Svar kvartanda barst samdægurs með tölvupósti. Með bréfi, dags. 23. júní 2020, óskaði Persónuvernd eftir frekari upplýsingum frá kvartanda. Svar kvartanda barst með tveimur tölvupóstum 7. júlí 2020 og 3. október s.á.

Með bréfi, dags. 2. nóvember 2020, var Creditinfo tilkynnt um framangreinda kvörtun og veittur kostur á að tjá sig um hana. Svarbréf Creditinfo barst Persónuvernd 23. nóvember s.á.

Við úrlausn málsins hefur verið tekið tillit til allra framangreindra gagna, þó ekki sé gerð sérstaklega grein fyrir þeim öllum í eftirfarandi úrskurði.

Meðferð þessa máls hefur dregist vegna mikilla anna hjá Persónuvernd.

2.

Sjónarmið kvartanda

Kvartað er yfir því að Creditinfo geymi og notist við upplýsingar um fyrri vanskil kvartanda gagnvart Arion banka við gerð skýrslna um lánshæfismat í fjögur ár frá skráningu, þrátt fyrir að þau hafi löngu verið gerð upp. Creditinfo taki ekki mið af greiðsluhæfi og greiðslugetu m.t.t. eiginfjárstöðu kvartanda á þeim tímapunkti sem skýrslur um lánshæfismat séu sóttar í kerfi Creditinfo af hálfu fjármálastofnana og annarra aðila. Kveðst kvartandi hafa óskað eftir leiðréttingu á matinu en Creditinfo hafi það að markmiði að varðveita þessar upplýsingar, með milligöngu Arion banka.

Kvartandi telur að upplýsingar um fyrri vanskil hans séu óáreiðanlegar og villandi. Vísar hann til þess að ekki geti talist eðlilegt að vanskil, sem ekki hafi verið vegna gjaldþrota eða auglýst í Lögbirtingarblaði, lifi í áraraðir eftir að þau hafi verið gerð upp hjá fjármálastofnun eða öðrum aðilum.

Krefst kvartandi þess að vinnslan verði stöðvuð og skráning í vanskilaskrá Creditinfo verði hætt nema sá sem skráður er heimili hana.

Óskar kvartandi jafnframt eftir því að fá upplýsingar um þá aðferð sem beitt er við útreikninga á lánshæfismati hans. Ekki verði séð hvaða gæðaeftirlit sé í gangi þegar útreikningar á lánshæfismati séu unnir. Þá sé ámælisvert að nýta upplýsingar um vanskil sem búið sé að gera upp fyrir löngu með þessum hætti gegn hagsmunum einstaklingsins. Kvartandi hafi með engum hætti haft tök á að hafa áhrif á útreikninga eða fá upplýsingar með gagnsæjum hætti um það hvernig reiknað hafi verið út að hann hafi það lánshæfismat sem Creditinfo hafi selt til þriðja aðila.

3.

Sjónarmið Creditinfo Lánstrausts hf.

Creditinfo vísar til þess að samkvæmt lögum nr. 33/2013 um neytendalán sé rík áhersla lögð á að gert sé áreiðanlegt lánshæfismat í aðdraganda samnings um neytendalán og skýrslum Creditinfo sé ætlað að nýtast við gerð slíks mats.

Persónuvernd hafi litið svo á að það feli ekki í sér óheimila miðlun upplýsinga um vanskilakröfur, sem komið hafi verið í skil, að þær hafi áhrif á niðurstöðu skýrslna um lánshæfi, innan þeirra tímamarka sem starfsleyfi Creditinfo, ákvæði laga um persónuvernd og vinnslu persónuupplýsinga nr. 90/2018 og ákvæði reglugerðar nr. 246/2001 setja, enda liggi fyrir að upplýsingarnar sjálfar berist ekki viðtakendum matsins. Vísað er til þess að í 1. mgr. greinar 2.7. í gildandi starfsleyfi Creditinfo frá 29. desember 2017 (mál nr. 2017/1541), sem endurnýjað hafi verið þann 28. júní 2019 (mál nr. 2019/1202), sé fjallað um eyðingu upplýsinga. Þar segi meðal annars að eyða skuli upplýsingum um einstakar skuldir sé vitað að þeim hafi verið komið í skil. Þá skuli eyða upplýsingum af skránni þegar þær verði fjögurra ára gamlar. Í greininni komi einnig fram að félagið megi geyma upplýsingar í þrjú ár til viðbótar og megi nýta upplýsingarnar til að verða við beiðnum frá skráðum einstaklingum um vitneskju um vinnslu persónuupplýsinga um sig og til að leysa úr ágreiningi um réttmæti skráningar. Að hámarki þar til fjögur ár séu liðin frá skráningu upplýsinga á vanskilaskrá sé einnig heimilt að nýta þær til gerðar lánshæfismats að beiðni hins skráða, enda sé ekki miðlað neinum upplýsingum um kröfurnar sjálfar heldur eingöngu tölfræðilegum niðurstöðum, sbr. 2. mgr. greinar 2.7. Þær fyrri skráningar sem hafi haft áhrif á lánshæfismat kvartanda, á þeim tíma sem kvörtunin hafi verið lögð fram, hafi verið dagsettar 27. júní 2017 og 14. júní 2018 og því verið innan við fjögurra ára gamlar.

Lánshæfismat Creditinfo meti líkur á greiðslufalli og skráningu á vanskilaskrá næstu tólf mánuði. Tölfræðileg spá um atburði í framtíðinni verði að byggja á sögulegum upplýsingum, svo sem um skilvísi og greiðslusögu. Eigi upplýsingar um vanskil og greiðslusögu í fortíðinni ekki að hafa áhrif á lánshæfismat sé grundvellinum kippt undan gagnsemi matsins. Slíkt mat myndi ekki fullnægja ákvæðum 5. gr. laga nr. 33/2013 um neytendalán og færi þvert gegn athugasemdum við 10. gr. í frumvarpi því sem varð að þeim lögum, en þar sé tiltekið að lánshæfismat geti meðal annars byggst á skilvísi og greiðslusögu. Það hafi sýnt sig að sögulegar upplýsingar um skilvísi, vanskil og greiðslusögu hafi mikið forspárgildi um líkur á vanskilum í framtíðinni.

II.

Forsendur og niðurstaða

1.

Gildissvið – Ábyrgðaraðili

Gildissvið laga nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerðar (ESB) 2016/679, sbr. 1. mgr. 4. gr. laganna, og þar með valdsvið Persónuverndar, sbr. 1. mgr. 39. gr. laganna, nær til vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá.

Til persónuupplýsinga teljast upplýsingar um persónugreindan eða persónugreinanlegan einstakling og telst einstaklingur persónugreinanlegur ef unnt er að persónugreina hann, beint eða óbeint, með tilvísun í auðkenni hans eða einn eða fleiri þætti sem einkennandi eru fyrir hann, sbr. 2. tölul. 3. gr. laganna og 1. tölul. 4. gr. reglugerðarinnar.

Með vinnslu er átt við aðgerð eða röð aðgerða þar sem persónuupplýsingar eru unnar, hvort heldur sem vinnslan er sjálfvirk eða ekki, sbr. 4. tölul. 3. gr. laganna og 2. tölul. 4. gr. reglugerðarinnar.

Mál þetta lýtur að vinnslu persónuupplýsinga um kvartanda við gerð skýrslna um lánshæfi hans hjá Creditinfo. Að því virtu og með hliðsjón af framangreindum ákvæðum varðar mál þetta vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar. Í kvörtun er einnig óskað upplýsinga um þá aðferð sem beitt er við útreikninga á lánshæfismati kvartanda. Í því sambandi er til þess að líta að verkefnum Persónuverndar er nánar lýst í 39. gr. laga nr. 90/2018 og samkvæmt því hefur stofnunin eftirlit með því að vinnsla samrýmist lögum nr. 90/2018 og reglugerð (ESB) 2016/679, sérákvæðum í lögum sem fjalla um vinnslu persónuupplýsinga og öðrum reglum um efnið. Með vísan til þess, sbr. einnig rökstuðning í úrskurði Persónuverndar, dags. 11. september 2020, í máli nr. 2020010592, verður ekki séð að eftirlit Persónuverndar nái til þess að endurskoða stærðfræðilega reikniformúlu og líkindamat Creditinfo í tengslum við útreikning á lánhæfismati einstaklinga. Verður því að telja þann hluta kvörtunarinnar falla utan gildissviðs persónuverndarlaga og þar með valdsviðs Persónuverndar. Hins vegar fellur það í hlut Persónuverndar að leggja mat á þær forsendur sem lagðar eru til grundvallar við gerð lánshæfismats um einstaklinga, svo sem hvort Creditinfo sé heimilt að notast við upplýsingar um fyrri skráningar á vanskilaskrá.

Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 90/2018 er nefndur ábyrgðaraðili. Samkvæmt 6. tölul. 3. gr. laganna er þar átt við einstakling, lögaðila, stjórnvald eða annan aðila sem ákveður einn eða í samvinnu við aðra tilgang og aðferðir við vinnslu persónuupplýsinga, sbr. 7. tölul. 4. gr. reglugerðarinnar.

Creditinfo hefur yfir að ráða upplýsingakerfum um fjárhagsmálefni og lánstraust og vinnur með upplýsingar í þeim í því skyni að miðla þeim til áskrifenda. Sú vinnsla er á ábyrgð Creditinfo og telst því fyrirtækið vera ábyrgðaraðili að þeirri vinnslu sem fólst í notkun upplýsinga um kvartanda, sem þar höfðu verið skrásettar, til gerðar skýrslna fyrirtækisins um mat á lánshæfi kvartanda.

2.

Starfsleyfi Creditinfo Lánstrausts hf.

Starfræksla fjárhagsupplýsingastofa og vinnsla upplýsinga sem varða fjárhagsmálefni og lánstraust einstaklinga og lögaðila, þ.m.t. vanskilaskráning og gerð lánshæfismats, í því skyni að miðla þeim til annarra, skal bundin leyfi Persónuverndar, sbr. 1. mgr. 15. gr. laga nr. 90/2018. Starfsemi Creditinfo fellur að miklu leyti undir þetta ákvæði og hefur Persónuvernd veitt fyrirtækinu starfsleyfi í samræmi við það, sbr. nú hvað einstaklinga varðar starfsleyfi Creditinfo vegna vinnslu upplýsinga um fjárhagsmálefni og lánstraust, dags. 29. desember 2017 (mál nr. 2017/1541 hjá Persónuvernd). Persónuvernd hefur jafnframt veitt fyrirtækinu starfsleyfi til vinnslu upplýsinga um lögaðila, dags. 23. desember 2016 (mál nr. 2016/1822 hjá Persónuvernd), og starfsleyfi til bráðabirgða vegna vinnslu persónuupplýsinga í þágu gerðar lánshæfismats, dags. 23. ágúst 2018 (mál nr. 2018/1229 hjá Persónuvernd).

3.

Lögmæti vinnslu

Öll vinnsla persónuupplýsinga, verður að falla undir eitthvert af heimildarákvæðum 9. gr. laga nr. 90/2018, sbr. 6. gr. reglugerðar (ESB) 2016/679. Má þar nefna 6. tölul. ákvæðisins, sbr. e-lið 1. mgr. 6. gr. reglugerðarinnar, en þar kemur fram að vinnsla persónuupplýsinga er heimil ef hún er nauðsynleg vegna lögmætra hagsmuna sem ábyrgðaraðili eða þriðji maður gætir nema hagsmunir eða grundvallarréttindi og frelsi hins skráða sem krefjast verndar persónuupplýsinga vegi þyngra. Telur Persónuvernd þetta ákvæði eiga við um þá vinnslu persónuupplýsinga sem fer fram í upplýsingakerfum Creditinfo í tengslum við gerð skýrslna um lánshæfi kvartanda.

Auk heimildar samkvæmt framangreindu verður vinnsla persónuupplýsinga að fullnægja meginreglum 1. mgr. 8. gr. laga nr. 90/2018. Er þar meðal annars kveðið á um að persónuupplýsingar skuli unnar með lögmætum, sanngjörnum og gagnsæjum hætti gagnvart hinum skráða (1. tölul.); að þær skuli fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi (2. tölul.); að þær skuli vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar (3. tölul.); og að þær skuli vera áreiðanlegar og uppfærðar eftir þörfum (4. tölul.).

Í ljósi framangreinds ber að líta til þess að Persónuvernd hefur nokkrum sinnum áður tekið þá afstöðu að Creditinfo hafi verið heimilt að notast við upplýsingar um fyrri skráningar á vanskilaskrá við gerð lánshæfismats um einstaklinga. Vísast um það nú síðast til úrskurðar Persónuverndar, dags. 11. september 2020, í máli nr. 2020010592, þar sem stofnunin komst að þeirri niðurstöðu að Creditinfo væri heimilt að nýta upplýsingar um færslu á vanskilaskrá félagsins við gerð skýrslna um lánshæfi kvartanda, að hámarki í fjögur ár frá skráningu þeirra upplýsinga, sbr. ákvæði í starfsleyfi Creditinfo þar um. Varðandi rökstuðning Persónuverndar þar að lútandi vísast til framangreinds úrskurðar stofnunarinnar en Persónuvernd telur sömu sjónarmið eiga við í því máli sem hér er til úrlausnar.

Í kvörtun eru jafnframt gerðar athugasemdir við að ekki sé tekið tillit til eignastöðu kvartanda við gerð lánshæfismats hjá Creditinfo. Í því sambandi er til þess að líta að Persónuvernd hefur áður tekið þá afstöðu að Creditinfo hafi ekki verið skylt samkvæmt lögum að líta til tekna og eigna einstaklinga við gerð skýrslna um lánshæfi einstaklinga. Vísast um það til úrskurðar Persónuverndar, dags. 22. júní 2020, í máli nr. 2020010678 og úrskurðar, dags. 11. september 2020, í máli nr. 2020010592. Varðandi rökstuðning Persónuverndar þar að lútandi vísast til framangreindra úrskurða stofnunarinnar en Persónuvernd telur sömu sjónarmið eiga við í þessu máli.

Varðandi kröfur kvartanda um að vinnsla upplýsinga um hann hjá Creditinfo verði stöðvuð og skráningu á vanskilaskrá fyrirtækisins verði hætt nema hann heimili hana er til þess að líta að Persónuvernd hefur áður úrskurðað um að ekki sé hægt að verða við slíkri kröfu. Vísast um það og rökstuðning þar um til úrskurðar Persónuverndar, dags. 25. janúar 2016, í máli nr. 2015/1457, en stofnunin telur sömu sjónarmið eiga við í þessu máli.

Að framangreindu virtu er niðurstaða Persónuverndar sú að vinnsla Creditinfo á upplýsingum um fyrri skráningar kvartanda á vanskilaskrá við gerð lánshæfismats um hann hafi samrýmst lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga.

Ú r s k u r ð a r o r ð:

Vinnsla Creditinfo Lánstrausts hf. á persónuupplýsingum um [A] vegna gerðar skýrslna um lánshæfismat hans samrýmdist lögum nr. 90/2018, um persónuvernd og vinnslu persónuupplýsinga, og reglugerð (ESB) 2016/679.

Í Persónuvernd, 18. mars 2021

Helga Þórisdóttir                               Helga Sigríður Þórhallsdóttir