Reykjavík, 3. maí 2021

Tilvísun: 2020041404/ÞS

Greinargerð

með stöðluðum skilmálum í starfsleyfum til fjárhagsupplýsingastofa

I.

Almennt

Eins og meðal annars var greint frá í frétt á vefsíðu Persónuverndar hinn 8. október 2020 hefur stofnunin, líkt og áður hafði komið fram í opinberri umræðu, unnið að gerð staðlaðra skilmála í starfsleyfum til fjárhagsupplýsingastofa, sbr. 1. mgr. 15. gr. laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga. Með fréttinni fylgdu drög að skilmálunum, ásamt texta bréfs til fjárhagsupplýsingastofunnar Creditinfo Lánstrausts hf., dags. 8. október 2020, þar sem farið var yfir samskipti sem Persónuvernd hafði átt við stofuna í tengslum við gerð skilmálanna fram að því. Tengdust þau samskipti umsókn frá stofunni um nýtt starfsleyfi á grundvelli nýrrar persónuverndarlöggjafar, en ljóst er að vinna við hina stöðluðu skilmála er nátengd meðferð þeirrar umsóknar.

Um skilmáladrögin bárust umsagnir frá níu aðilum, þ.e. umsögn Creditinfo Lánstrausts hf., dags. 30. október 2020., umsögn Greiðslumiðlunar ehf., dags. s.d., umsögn Lögheimtunnar ehf. og Motus ehf., dags. s.d., umsögn Neytendasamtakanna og Alþýðusambands Íslands, dags. s.d., umsögn Samtaka fjármálafyrirtækja, dags. s.d., umsögn Símans hf., dags. s.d., umsögn Samtaka iðnaðarins, dags. 2. nóvember 2020, umsögn Hagsmunasamtaka heimilanna, dags. 8. s.m., og umsögn umboðsmanns skuldara, dags. 27. október 2020, auk viðbótarumsagnar umboðsmanns, dags. 24. febrúar 2021, og viðbótarumsagnar Creditinfo Lánstrausts hf., dags. 28. apríl s.á. Þá hafði Persónuvernd áður borist umsögn frá Neytendasamtökunum og Alþýðusambandi Íslands, dags. 18. júní 2020, um skilmála starfsleyfis þess fyrirtækis, dags. 29. desember 2017 (mál nr. 2017/1541 hjá Persónuvernd). Til alls þess sem fram kemur í þessari umsögn samtakanna tveggja er vísað í umsögn þeirra frá 30. október s.á.

Með hliðsjón af meðal annars framangreindum umsögnum hefur Persónuvernd nú formlega gefið út skilmála í starfsleyfum til fjárhagsupplýsingastofa, en þeir voru samþykktir á fundi stjórnar stofnunarinnar hinn 29. apríl 2021. Við afgreiðslu umsókna um starfsleyfi fjárhagsupplýsingastofu munu skilmálarnir framvegis verða notaðir sem grunnur að leyfisskilmálum. Þar sem Creditinfo Lánstraust hf. er nú eina fjárhagsupplýsingastofan á Íslandi mótast þeir mjög af starfsemi hennar eins og hún hefur þróast samfara leyfisveitingum frá Persónuvernd þar sem ýmist hafa verið gerðar breytingar á leyfisskilmálum í samræmi við tillögur frá stofunni eða slíkum tillögum verið synjað. Hefur Creditinfo Lánstrausti hf. nú verið veitt nýtt starfsleyfi, dags. í dag, þar sem skilmálarnir eru notaðir sem fyrirmynd. Umsóknir frá aðilum, sem síðar meir kunna að berast, kunna að verða tilefni til breytinga á stöðluðu skilmálunum að því marki sem fallist kann að verða á tillögur um tilhögun vinnslu sem víkja frá því því sem þeir gera ráð fyrir.

Hér á eftir er farið yfir hvaða athugasemdir hafa verið gerðar við skilmáladrögin og því lýst hvernig brugðist hefur verið við þeim. Að lokum verður lýst nokkrum breytingum sem gerðar hafa verið frá drögunum óháð athugasemdum umsagnaraðila.

II.

Umfjöllun um einstök atriði

1.

Um að óskað verði umsagnar Samkeppniseftirlitsins

Í umsögn Neytendasamtakanna og ASÍ (bls. 2) um skilmáladrögin er gerð sú athugasemd að leita ætti umsagnar Samkeppniseftirlitsins vegna yfirburðastöðu Creditinfo Lánstrausts hf. á innlendum markaði.

Eins og fyrr greinir er Creditinfo Lánstraust hf. nú eina fjárhagsupplýsingastofan á Íslandi. Sökum þess kann að reyna á samkeppnissjónarmið í tengslum við þá starfsemi sem skilmáladrögin lúta að. Ekki verður hins vegar séð að slík sjónarmið ættu að hafa áhrif á efni einstakra skilmála. Telur Persónuvernd því ekki tilefni til öflunar umsagnar frá Samkeppniseftirlitinu, en bendir á að öllum var frjálst að senda inn athugasemdir við drög þau sem birt voru á vefsíðu Persónuverndar, sbr. fyrrgreinda frétt á vefsíðu stofnunarinnar í október 2020.

2.

Kennitala starfsleyfishafa – 1. mgr. 1. gr.

Í umsögn Neytendasamtakanna og ASÍ (bls. 2) um skilmáladrögin er gerð sú athugasemd við 1. mgr. 1. gr. draganna, þar sem fjallað er um skyldu til öflunar starfsleyfis, að kennitölu starfsleyfishafa vanti.

Persónuvernd telur ljóst að til skýrleika sé fallið að kennitalan komi fram, en ætla verður að starfsleyfi væri veitt lögaðila fremur en einstaklingi þannig að ekki reyni á ákvæðið um notkun kennitölu í 13. gr. laga nr. 90/2018. Er því nú gert ráð fyrir því í 1. mgr. 1. gr. draganna að kennitala starfsleyfishafa komi fram.

3.

Vanskil við erlenda aðila – 1. gr.

Í umsögn Neytendasamtakanna og ASÍ um skilmáladrögin (bls. 3) er gerð sú athugasemd við 1. gr. draganna að þar vanti skilmála um meint vanskil við erlenda aðila sem haldi því fram að erlend lög gildi um kröfu og að veruleg hætta sé á að slíkt sé nýtt sem tæki til að skrá umdeildar kröfur.

Persónuvernd telur ljóst að á það geti reynt hvort það teljist eðlilegir viðskiptahættir að byggja á erlendum lögum við lánveitingar hér á landi. Það fellur hins vegar ekki undir valdsvið stofnunarinnar að fjalla um slíkt. Þá er ljóst að það hvort unnt sé að innheimta kröfur hér á landi, þannig að reglur í starfsleyfisskilmálum verði virkar vegna vanskila, fer eftir almennum reglum kröfuréttarins sem ekki verður haggað við með starfsleyfisskilmálum. Ekki verður því séð að tilefni sé til sérstakrar umfjöllunar í skilmálunum um erlenda aðila. Hins vegar má ætla að meðal annars Neytendastofa og Fjármálaeftirlit Seðlabankans geti tekið álitaefni í því sambandi til umfjöllunar.

4.

Almennt um viðbrögð við brotum gegn starfsleyfi – 1. mgr. 1. gr.

Í umsögn Neytendasamtakanna og ASÍ (bls. 2–3) um skilmáladrögin eru gerðar þær athugasemdir við 1. mgr. 1. gr. draganna að Persónuvernd ætti að birta gagnsæistilkynningar um brot gegn starfsleyfi, að skilgreina ætti hvaða brot geti leitt til synjunar um endurnýjun á starfsleyfi eða sviptingar þess, svo og að fjalla ætti um sektir og bætur til neytenda. Segir nánar um sektir að þær ættu að renna til þess sem brotið er á eða í ríkissjóð. Þá segir að greiða ætti hinum skráða bætur fyrir skráningu sem nemi fjárhæð krafna.

Hvað gagnsæistilkynningar snertir skal tekið fram að Persónuvernd birtir úrlausnir sínar um það hvort farið hafi verið að starfsleyfisskilmálum og verður talið óþarft að þeir hafi að geyma sérstakt ákvæði þar að lútandi. Í tengslum við ákvæði um sektir skal minnt á að um slíkt fer eftir settum lögum og hefur Persónuvernd ekki heimildir til þess að setja sérákvæði þar að lútandi. Þá hefur Persónuvernd ekki heimild til þess að setja sérstakar reglur um skaðabætur heldur fer um þær eftir almennum reglum skaðabótaréttarins og reglum í settum lögum.

5.

Fyrningartími krafna – Ákvæði 2.1

Í umsögn Hagsmunasamtaka heimilanna (bls. 3) um skilmáladrögin er gerð sú athugasemd við ákvæði 2.1 í drögunum, þar sem fjallað er almennt um heimila vinnslu, að ekki sé þar minnst á fyrningartíma krafna. Þá segir að skráning upplýsinga um fyrndar kröfur ætti að vera með öllu óheimil og kröfur afskráðar um leið og þær fyrnist.

Persónuvernd telur ljóst að miðað við upptalningu á því hvaða upplýsingar má skrá í liðum 2.2.1 og 2.2.2 í skilmálunum ætti ekki að koma til skráningar fyrndra krafna. Hins vegar er ljóst að kröfur geta verið fyrndar áður en hámarksvarðveislutíma upplýsinga samkvæmt ákvæði 5.3 í drögunum er lokið, þ.e. þegar við á regla 2. mgr. 165. gr. laga nr. 21/1991 um gjaldþrotaskipti o.fl., sbr. lög nr. 142/2010, um tveggja ára fyrningu eftir lok gjaldþrotaskipta.

Hér telur Persónuvernd verða að líta til þess hver réttaráhrif fyrningar á kröfu eru, þ.e. að ekki er lengur hægt að krefjast fullnustu hennar. Það þarf ekki að merkja að við slíka vinnslu og skilmálarnir lúta að, þ.e. einkum vanskilaskráningu og gerð skýrslna um lánshæfismat, verði upplýsingar um kröfuna ávallt álitnar þýðingarlausar. Í því sambandi skal tekið fram að afskrift kröfu vegna gjaldþrots skuldara hlýtur að teljast hluti viðskiptasögu aðila á milli sem samkvæmt k-lið 5. gr. laga nr. 33/2013 um neytendalán og 17. tölul. 4. gr. laga nr. 118/2016 um fasteignalán til neytenda skal líta til við lánshæfismat hjá lánveitanda. Af því leiðir jafnframt að málefnalegt getur verið af hálfu fjárhagsupplýsingastofu að hafa hliðsjón af gjaldþroti við gerð skýrslna um lánshæfi. Má í því sambandi líta til tilvísunar framangreindra ákvæða til gagnagrunna um fjárhagsmálefni og lánstraust, sbr. einnig 9. gr. tilskipunar 2008/48/ESB um lánssamninga fyrir neytendur og 21. gr. tilskipunar 2014/17/ESB um lánssamninga fyrir neytendur í tengslum við íbúðarhúsnæði. Þá vísast til 28. liðar formála fyrrnefndu tilskipunarinnar og 60. liðar formála þeirrar síðarnefndu, þess efnis að lánveitendum skuli tryggður aðgangur að gagnagrunnum opinberra aðila eða einkaaðila til að meta lánshæfi í því skyni að tryggja jafna samkeppni þeirra á milli, þ.e. að því gefnu að farið sé að persónuverndarlöggjöf, sbr. 9. gr. fyrrnefndu tilskipunarinnar og meðal annars 59., 61. og 62. lið formála og 21. gr. þeirrar síðarnefndu. Þegar litið er til alls þessa telur Persónuvernd ekki tilefni til að mæla fyrir um skyldu til afskráningar krafna um leið og þær fyrnast, en ekki verður séð að um fyrningu yrði að ræða í öðrum tilvikum en þegar við á umrætt ákvæði laga nr. 21/1991. Þá telur Persónuvernd að öðru leyti ekki tilefni til að fjalla um fyrningu krafna í ákvæði 2.1 í skilmálunum.

Hins vegar skal tekið fram að önnur sjónarmið en að framan eru rakin eiga við um svonefnt skuldastöðukerfi sem Creditinfo Lánstraust hf. starfrækir. Er þar um að ræða kerfi sem lánveitendur nota til að fá upplýsingar um stöðu lánsumsækjenda hjá öðrum lánveitendum, en upplýsingum má því aðeins miðla til lánveitanda um kerfið að umsækjandi hafi óskað þess. Þar sem kerfinu er aðeins ætlað að veita yfirlit yfir gildar skuldbindingar á hverjum tíma er óheimilt að miðla þar inn upplýsingum um fyrndar kröfur. Gefst ekki tilefni til umfjöllunar þar að lútandi í skilmálunum, enda taka þeir ekki til skuldastöðukerfisins.

6.

Viðurlög við að fylgja ekki skilmála um heimila vinnslu – Ákvæði 2.1

Í umsögn Neytendasamtakanna og ASÍ um skilmáladrögin er gerð sú athugasemd (bls. 4) við ákvæði 2.1 í drögunum að óljóst sé hver viðurlögin eru við að fylgja ekki kröfum ákvæðisins um heimila vinnslu.

Persónuvernd áréttar í þessu sambandi það sem fram kemur í 4. kafla hér að framan um að álagning viðurlaga verður að byggjast á lögum. Persónuvernd getur ekki sett sérreglur þar að lútandi í starfsleyfisskilmála.

7.

Skilyrði um löginnheimtu – 1. mgr. ákvæðis 2.1

Í umsögn Creditinfo Lánstrausts hf. (bls. 9–10), umsögn Greiðslumiðlunar ehf. (bls. 2), umsögn Lögheimtunnar ehf. og Motus ehf. (bls. 2), umsögn Samtaka fjármálafyrirtækja (bls. 2–3), umsögn Samtaka iðnaðarins (bls. 2) og umsögn Símans hf. (bls. 2) er gerð sú athugasemd við 1. mgr. ákvæðis 2.1 í skilmáladrögunum að of strangt sé að gera það að skilyrði vanskilaskráningar að löginnheimta sé hafin. Meðal þess sem nefnt er í því sambandi er að löginnheimta sé oftast örþrifaráð og að skuldari geti skuldsett sig víða áður en hún hefjist, að skilyrði um hana geti orðið hvati til að beita dýrari innheimtuaðgerðum en ella væri raunin og að tilefni sé til að rýmka reglur frá því sem verið hefur í starfsleyfum hingað til í ljósi innheimtulaga nr. 95/2008, en nægilegt ætti að vera að innheimta samkvæmt þeim lögum sé hafin svo að til vanskilaskráningar megi koma.

Persónuvernd bendir á að vanskilaskráning er í eðli sínu íþyngjandi fyrir þann sem henni sætir og er því eðlilegt að gera þá kröfu að töluvert þurfi til svo að til hennar komi. Telur Persónuvernd í ljósi þess að ekki sé ástæða til að afnema skilyrðið um löginnheimtu. Hins vegar má fallast á það sem fram kemur í umsögn Lögheimtunnar ehf. og Motus ehf. um að villandi sé að taka stefnu sem dæmi um upphaf löginnheimtu, enda er ljóst að hún getur hafist með tilkynningu lögmanns sem samrýmist góðum lögmannsháttum, sbr. 1. mgr. 24. gr. a í lögum nr. 77/1998 um lögmenn. Hefur Persónuvernd í ljósi þessa fellt brott dæmi um það hvenær löginnheimta telst hafin í 1. mgr. ákvæðis 2.1 í skilmálunum.

Hvað skilyrðið um löginnheimtu snertir er sú athugasemd gerð í umsögn Neytendasamtakanna og ASÍ (bls. 3) við skilmáladrögin að skýrt þurfi að vera að löginnheimta sé raunverulega hafin, t.d. með kröfu um gjaldþrotaskipti eða fjárnám, svo og að tilkynning um innheimtu eða innheimtuviðvörun ætti ekki að nægja. Hvað þetta varðar tekur Persónuvernd fram að í lögum er að finna skilgreiningu á hvað felist í löginnheimtu og verður það talið nægja. Þá skal tekið fram að samkvæmt orðalagi umrædds starfsleyfisákvæðis geta tilkynningar, viðvaranir og aðrar aðgerðir sem tengjast frum- og milliinnheimtu, sbr. 2. mgr. 1. gr. laga nr. 95/2008, aldrei orðið grundvöllur vanskilaskráningar. Aðeins að því gefnu að slíkri innheimtu sé lokið og löginnheimta á vegum lögmanns hafin, svo og að eitthvert þeirra atriða sem talin eru upp í liðum 2.2.1 og 2.2.2 eigi við, má skráning eiga sér stað.

8.

Misræmi í hugtakanotkun – 2. mgr. ákvæðis 2.1

Í umsögn Símans hf. (bls. 2) við skilmáladrögin er gerð sú athugasemd við 2. mgr. ákvæðis 2.1 í drögunum að þar komi í tvígang fyrir orðin „vinnsla“ en að annars ræði um „skráningu og miðlun“ í ákvæðinu.

Af þessu tilefni skal tekið fram að hér mótast orðalag af samhengi og verður ekki talið að það geti leitt til misskilnings. Telur Persónuvernd því ekki því ekki þörf á breytingu á skilmálunum í ljósi þessarar athugasemdar.

9.

Varðveislutími of langur – 2. mgr. ákvæðis 2.1

Í umsögn Neytendasamtakanna og ASÍ (bls. 3–4) um skilmáladrögin er gerð sú athugasemd við 2. mgr. ákvæðis 2.1 að fjögurra ára varðveislutími upplýsinga um vanskil sé of langur og að hann ætti að vera tvö ár eins og fyrningartími krafna eftir gjaldþrot, sbr. 2. mgr. 165. gr. laga nr. 21/1991 um gjaldþrotaskipti o.fl., sbr. lög nr. 142/2010. Auk þess ætti ekki að leggi öll vanskil að jöfnu og óeðlilegt sé að um vanskil á einni kröfu gildi hið sama og um skráningar vegna margra krafna. Ætti varðveislutíminn aðeins að vera eitt ár þegar um ræðir eina skráningu. Þá sé brýnt að útbúið sé hvatningarkerfi fyrir fólk til að komast af skrá um vanskil.

Samkvæmt 4. mgr. 3. g. reglugerðar nr. 246/2001, sbr. lagastoð í 2. mgr. 15. gr. laga nr. 90/2018, er almennt miðað við fjögurra ára varðveislutíma. Er það sambærilegur varðveislutími og annars staðar á Norðurlöndunum, en einnig er miðað við fjögur ár í Noregi, sbr. 1. mgr. 21. gr. norskra laga um fjárhagsupplýsingastofur, nr. 2019-12-20-109. Þá er í Danmörku miðað við fimm ár, sbr. 3. mgr. 20. gr. dönsku persónuverndarlaganna, nr. 502/2018.

Samkvæmt þessu telur Persónuvernd ekki tilefni til styttingar varðveislutíma úr fjórum árum í tvö. Hvað varðar fyrningartíma eftir gjaldþrot í því sambandi vísast til 5. kafla hér að framan. Í tengslum við þörfina á hvatningarkerfi telur Persónuvernd mikilvægt að gætt sé meðalhófs, t.d. þannig að upplýsingar séu teknar af skrá hafi kröfu verið komið í skil, og að tryggt sé að einstaklingar geti neytt úrræða til að tryggja rétt sinn þar lútandi. Er fjallað um álitaefni í því sambandi í tengslum við einstök ákvæði þar sem á þau reynir.

10.

Brottfall banns við vinnslu upplýsinga um greiðsluaðlögun – 2. mgr. ákvæðis 2.1

Í fyrri umsögn umboðsmanns skuldara (bls. 1) við skilmáladrögin er gerð athugasemd við þá breytingu frá gildandi starfsleyfi að ekki sé í 2. mgr. ákvæðis 2.1 í drögunum lagt bann við vinnslu upplýsinga um greiðsluaðlögun eftir að greiðsluaðlögunartímabili lýkur.

Bannið er fellt brott úr ákvæðinu þar sem því er ætlað að hafa almennt gildi en ekki snúa að heimildum til vinnslu tiltekinna, afmarkaðra tegunda persónuupplýsinga. Verður því ekki talið gefast tilefni til umfjöllunar um greiðsluaðlögun í ákvæðinu. Hins vegar er fjallað um vinnslu persónuupplýsinga um það úrræði annars staðar í skilmálunum eins og síðar verður rakið, sbr. 21., 29. og 59. kafla hér á eftir.

11.

Umdeildar kröfur – 3. mgr. ákvæðis 2.1 og 2. mgr. liðar 5.1.1

Í umsögn Neytendasamtakanna og ASÍ (bls. 3) við gildandi starfsleyfi er gerð athugasemd við 3. mgr. ákvæðis 2.1 í leyfinu þar sem fjallað er um bann við vinnslu upplýsinga um umdeildar kröfur, en sams konar reglu og þar kemur fyrir er að finna í sama ákvæði starfsleyfisskilmálanna. Er lýst þeirri afstöðu í umsögninni að skilgreina þurfi umdeildar kröfur betur og að lán sem úrskurðuð hafi verið ólögmæt ætti ekki að skrá, né heldur höfuðstól með ólöglegum vöxtum. Einnig segir að skuldari ætti ekki að þurfa að andmæla kröfu sem fyrir liggi að sé umdeild, auk þess sem erindi til skuldara um andmæli eigi að vera á skiljanlegu máli. Þá segir að skuldari ætti að vera raunverulega upplýstur um að sé krafa umdeild sé skráning óheimil þannig að slíkt komi ekki aðeins fram í almennum skilmálum.

Persónuvernd telur ljóst að ekki geti legið fyrir með tæmandi hætti hvenær kröfur eru umdeildar, enda geti margvíslegar ástæður legið til þess, allt eftir málsatvikum hverju sinni. Verður ekki séð að þörf sé á sérstakri skilgreiningu á hvað átt sé við með umdeildri kröfu umfram það sem fram kemur í umræddu ákvæði gildandi starfsleyfis og starfsleyfisskilmálanna sem veitt var færi á umsögn um. Þá verður að telja það forsendu þess að krafa sé umdeild að fyrir liggi andmæli skuldarans, enda verður eitthvert tiltekið atriði almennt ekki álitið umdeilt nema til staðar sé mismunandi huglæg afstaða tveggja eða fleiri aðila til þess. Er ekki hægt að gefa sér slíka huglæga afstöðu hafi henni ekki verið lýst yfir.

Jafnframt skal hins vegar tekið fram að samkvæmt 4. mgr. greinar 2.1 í skilmálunum skal fjárhagsupplýsingastofa ekki skrá kröfu telji hún vafa geta leikið á um lögmæti hennar. Gildir sú regla óháð því hvort andmæli skuldara liggi fyrir eins og tekið er fram í ákvæðinu, en auk þess er ljóst að það nær bæði til höfuðstóls kröfu og vaxta af henni. Í því sambandi skal tekið fram að gerðar hafa verið breytingar á þeim ákvæðum skilmálanna sem lúta að höfuðstóli krafna, sbr. 18. kafla hér á eftir. Þá skal tekið fram að við 2. mgr. liðar 5.1.1, þar sem fjallað er um fræðslu fjárhagsupplýsingastofu til hins skráða um rétt til andmæla, hefur því verið bætt að geta skuli þar umdeildra krafna. Verður að telja þessar breytingar koma til móts við þær athugasemdir Neytendasamtakanna og ASÍ sem fyrr eru raktar.

12.

Fræðsla um andmæli vegna umdeildra krafna – 3. mgr. ákvæðis 2.1

Í umsögn Neytendasamtakanna og ASÍ (bls. 3) við skilmáladrögin er sú athugasemd gerð við 3. mgr. ákvæðis 2.1 í drögunum, þar sem lagt er bann við skráningu upplýsinga um umdeildar kröfur, að kröfuhafi skuli upplýsa um andmælarétt skuldara í lánsskjali, svo og að hjá fjárhagsupplýsingastofu skuli vera skýr, virk og einföld andmælaleið og án þess að gerð sé krafa um skrifleg andmæli. Hvað snertir fræðslu um andmælarétt í lánsskjölum er til þess að líta að samkvæmt 1. mgr. 15. gr. laga nr. 90/2018 veitir Persónuvernd fjárhagsupplýsingastofu starfsleyfi og geta skilmálar þess ekki lagt skyldur á aðra með beinum hætti. Jafnframt er þó ljóst að unnt er að mæla fyrir um skyldu fjárhagsupplýsingastofu til að semja með tilteknum hætti við áskrifendur að því marki sem það varðar beina notkun þeirra á skráðum upplýsingum og sendingu upplýsinga frá þeim til skráningar. Persónuvernd telur það ekki falla innan þessa svigrúms að í starfsleyfi sé mælt fyrir um skyldu allra lánveitenda, sem láta skrá upplýsingar um vanskil hjá fjárhagsupplýsingastofu, til að setja þar inn sérstaka skilmála í tengslum við einstök réttindi hins skráða hvað slíka skráningu varðar. Þá telur Persónuverndar það ekki samrýmast grunnsjónarmiðum um frágang samninga að þeir séu í upphafi gerðir með fyrirvara um að síðar verði þeir véfengdir, t.d. hvað varðar tilvist kröfu samkvæmt þeim eða umsamda fjárhæð vaxta.

Að öðru leyti en að framan greinir vísar Persónuvernd til þeirrar viðbótar við 2. mgr. liðar 5.1.1 sem fjallað er um í 11. kafla hér að framan, þess efnis að geta skuli umdeildra krafna í fræðslu fjárhagsupplýsingastofu til hins skráða um andmælarétt, svo og ákvæðis 5.4 í skilmálunum. Skýrt er af því ákvæði að hinn skráði skal geta andmælt vinnslu með einföldum hætti, auk þess sem meðal annars er tekið fram að ekki megi geri kröfu um skrifleg andmæli. Þá mælir fyrrnefnda ákvæðið fyrir um skyldu til að fræða hinn skráða um að hann geti andmælt tilvist kröfu og fjárhæð hennar, þ. á m. munnlega.

13.

Efni andmæla vegna umdeildra krafna – 3. mgr. ákvæðis 2.1

Í umsögn Samtaka fjármálafyrirtækja (bls. 2) og umsögn Símans hf. (bls. 2) við skilmáladrögin er gerð athugasemd við kröfur 3. mgr. ákvæðis 2.1 í drögunum til andmæla skuldara til kröfuhafa á þeim grundvelli að krafa sé umdeild. Segir í ákvæðinu að í slíkum andmælum skuli greint frá ástæðu andmæla. Í umræddum umsögnum er talin ástæða til að gera ríkari kröfur. Nánar tiltekið segir í þeirri fyrrnefndu að til dæmis ætti að tilgreina að andmælt sé tilvist, lögmæti eða fjárhæð kröfu og í þeirri síðarnefndu að andmæli ættu að vera rökstudd.

Persónuvernd telur eðlilegt, í ljósi íþyngjandi áhrifa vanskilaskráningar og þess aðstöðumunar sem getur verið milli fjárhagsupplýsingastofu og hins skráða, að ekki séu gerðar ríkar kröfur til andmæla hins skráða. Telur Persónuvernd það eiga að nægja fjárhagsupplýsingastofu að ástæða andmælanna liggi fyrir og að því sé ekki tilefni til breytinga á umræddu ákvæði í ljósi framangreindra athugasemda í umsögnum.

14.

Hvert andmælum við umdeildri kröfu er beint – 3. mgr. ákvæðis 2.1

Í umsögn Creditinfo Lánstrausts hf. (bls. 13) og umsögn Lögheimtunnar ehf. og Motus ehf. (bls. 5) við skilmáladrögin er lýst þeim skilningi að misræmi sé á milli annars vegar 3. mgr. ákvæðis 2.1 í drögunum, þar sem fram kemur að andmælum er beint til kröfuhafa, og hins vegar 2. mgr. liðar 5.1.1 og ákvæðis 5.4 í drögunum, þar sem fjallað er um andmæli sem beint er að fjárhagsupplýsingastofu. Er vakið máls á að hér sé misræmi á milli ákvæða og lagðar til breytingar.

Persónuvernd vekur athygli á að 3. mgr. ákvæðis 2.1 í skilmálunum tekur samkvæmt efni sínu ekki til andmæla sem komið er á framfæri við fjárhagsupplýsingastofu heldur mælir fyrir um efnisleg skilyrði þess að krafa sé umdeild. Undirrót þess hlýtur ávallt að vera einhver ágreiningur milli skuldara og kröfuhafa og verður því krafa ekki talin umdeild nema fyrir liggi einhver samskipti þar að lútandi þeirra á milli. Það sem segir í umræddu ákvæði tekur til þessara samskipta en ekki andmæla sem höfð eru uppi við fjárhagsupplýsingastofu. Ljóst er að til að henni geti verið kunnugt um að krafa sé umdeild þarf henni að hafa borist um það vitneskja. Um það fer eftir ákvæði 5.4 í skilmálunum um andmæli hins skráða, sbr. 2. mgr. liðar 5.1.1 í skilmálunum um fræðslu sem fjárhagsupplýsingastofu ber að veita honum í því sambandi. Verður ekki séð í ljósi framangreinds að fyrrnefnd athugasemd gefi tilefni til breytinga á þeim ákvæðum, né heldur 3. mgr. ákvæðis 2.1 í skilmálunum.

15.

Hvenær fjárhagsupplýsingastofa getur talið vafa leika á um lögmæti kröfu – 4. mgr. ákvæðis 2.1

Í umsögn Neytendasamtakanna og ASÍ (bls. 3) um skilmáladrögin er gerð athugasemd við 4. mgr. ákvæðis 2.1 í drögunum, þess efnis að fjárhagsupplýsingastofa skuli hafna skráningu á kröfu telji hún vafa geta leikið á um lögmæti hennar. Nánar tiltekið er í umsögninni gerð sú athugasemd að afar óljóst sé hvenær fjárhagsupplýsingastofa geti talið vafa sem þennan vera uppi.

Persónuvernd telur ljóst að vafi um lögmæti kröfu geti stafað af margvíslegum ástæðum, allt eftir málsatvikum hverju sinni. Ekki er unnt að gefa yfirlit þar að lútandi í umræddu ákvæði og telur stofnunin því ekki tilefni til breytinga á því eða viðbóta við það í ljósi umræddrar athugasemdar.

16.

Um að aflað verði samþykkis hins skráða fyrir öflun gagna um kröfur – 5. mgr. ákvæðis 2.1

Í umsögn Neytendasamtakanna og ASÍ (bls. 3) um starfsleyfið frá 2017 er lögð til viðbót við 4. mgr. ákvæðis 2.1 í leyfinu sem samsvarar 5. mgr. sama ákvæðis skilmáladraganna. Viðbótin felur í sér að aflað verði samþykkis hins skráða fyrir öflun gagna um kröfur ef þörf krefur, þ.e. þegar slíkt er nauðsynlegt til að geta sýnt fram á að farið sé að skilmálum leyfisins.

Persónuvernd telur hér verða að líta til þess að starfsemi fjárhagsupplýsingastofa er heimil á grundvelli 1. mgr. 15. gr. laga nr. 90/2018 að því gefnu að Persónuvernd leyfi hana. Ekki er gert ráð fyrir að þar ræði um vinnslu á grundvelli samþykkis hins skráða, sbr. 1. tölul. 9. gr. laganna, heldur lögmætra hagsmuna sem vega þyngra en hagsmunir og grundvallarréttindi og frelsi hins skráða, sbr. 6. tölul. þeirrar greinar. Þá getur upplýsingaöflunin verið heimil þar sem hún sé nauðsynleg vegna lagaskyldu sem hvílir á fjárhagsupplýsingastofu, sbr. 3. tölul. sömu greinar, þ. á m. til að fara að þeim lögum eins og þau eru nánar útfærð í starfsleyfisskilmálum. Telur Persónuvernd því ekki tilefni til að færa inn skilyrði um samþykki í það ákvæði skilmáladraganna sem samsvarar því ákvæði leyfisins frá 2017 sem umrædd athugasemd í umsögn lýtur að.

Jafnframt leggur Persónuvernd hins vegar áherslu á að umrædd upplýsingaöflun verður ávallt að samrýmast öllum grunnkröfum 8. gr. laga nr. 90/2018, þ. á m. þeirrar að persónuupplýsinga skal aflað í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og þær ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi, sbr. 2. tölul. 1. mgr. ákvæðisins, svo og þeirrar að slíkar upplýsingar skulu vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar, sbr. 3. tölul. sömu málsgreinar.

17.

Skilyrði um gögn um kröfur – 5. mgr. ákvæðis 2.1

Í umsögn Creditinfo Lánstrausts hf. (bls. 13–14), umsögn Greiðslumiðlunar ehf. (bls. 2), umsögn Löginnheimtunnar hf. og Motus ehf. (bls. 2–3) og umsögn Símans hf. (bls. 2) um skilmáladrögin eru gerðir athugasemdir við 5. mgr. ákvæðis 2.1 í drögunum. Nánar tiltekið lúta athugasemdirnar að því orðalagi að fjárhagsupplýsingastofa skuli gæta þess að áskrifendur geti lagt fram afrit frumgagna, svo sem skuldaviðurkenninga og stefna, ef þörf krefur. Er í því sambandi meðal annars vikið að því að viðskipti verða í æ meiri mæli rafræn þannig að eiginleg frumgögn liggja ekki fyrir og leggja Lögheimtan ehf. og Motus ehf. til í ljósi þess að í stað orðsins „frumgögn“ komi orðin „viðeigandi gögn“. Þá tekur Creditinfo Lánstraust hf. fram að sending upplýsinga til skráningar fari fram með rafrænum hætti.

Persónuvernd telur tilefni til breytinga á umræddu ákvæði draganna i ljósi framangreinds. Hefur það verið gert með viðbótinni „eða eftir atvikum viðeigandi rafræn gögn um tilurð kröfu“ á undan orðunum „ef þörf krefur“ í niðurlagi ákvæðisins.

18.

Fjárhæðarmörk – 1. og. 2. töluliður liðar 2.2.1 og liður 2.2.2

Í umsögn Creditinfo Lánstrausts hf. (bls. 10–11), umsögn Greiðslumiðlunar ehf. (bls. 3–4), umsögn Lögheimtunnar ehf. og Motus ehf. (bls. 3–4), umsögn Samtaka iðnaðarins (bls. 2) og umsögn Símans hf. (bls. 2–3) um skilmáladrögin eru gerðar athugasemdir við fjárhæðarmörk í 1. og 2. tölul. liðar 2.2.1 og lið 2.2.2, þ.e. um bann við skráningu krafna sem eru undir 60.000 kr. að höfuðstóli. Kemur fram í umsögnunum að fjárhæðarmörkin séu of há og er, eftir atvikum, lýst þeirri afstöðu að þau ætti alfarið að afnema. Þá kemur meðal annars fram að vegna fjárhæðarmarka viti kröfuhafar ekki af lægri vanskilum þannig að gripið sé til dýrari innheimtuaðgerða en ella væri, að vanskil á lægri fjárhæðum geti haft afgerandi áhrif og að í reglugerð nr. 246/2001 um skráningu og miðlun upplýsinga um fjárhagsmálefni og lánstraust, sem nú sækir í stoð í 2. mgr. 15. gr. laga nr. 90/2018, sé ekki að finna nein fjárhæðarmörk.

Auk þeirra athugasemda um fjárhæðarmörk, sem gerðar eru í framangreindum umsögnum, gera Neytendasamtökin og ASÍ athugasemdir þar að lútandi í umsögn sinni um skilmáladrögin (bls. 4). Benda samtökin á að fjárhæðarmörkin voru eitt sinn 30.000 kr., en þar má nefna leyfi Persónuverndar til Lánstrausts hf. (nú Creditinfo Lánstraust hf.), dags. 17. október 2002 (mál nr. 2002/371). Segir að miðað við breytingar á vísitölu launa frá þeim tíma ætti fjárhæðin nú að nema 97.583 kr. og er lagt til að sú fjárhæð verði námunduð upp í 100.000 kr. Þá leggja samtökin til að bætt verði við skilmálana skilgreiningu á höfuðstóli, svohljóðandi: „Höfuðstóll er fjárhæð láns eða kröfu sem ekki inniheldur vexti, eða annars konar kostnað, þ.m.t. innheimtukostnað.“

Um langt skeið hefur verið byggt á mjög svipuðum sjónarmiðum við útgáfu starfsleyfa og hafa þau verið grundvölluð á reglugerð nr. 246/2001. Eins og rakið er í 7. kafla bréfs Persónuverndar til Creditinfo Lánstrausts, dags. 7. október 2020, þar sem fyrirtækinu voru kynnt skilmáladrögin og hvaða breytingar þar væru frá gildandi leyfi, telur stofnunin ekki rétt, á meðan reglugerðin er í gildi, að gera grundvallarbreytingar frá þeim sjónarmiðum sem starfsleyfisskilmálar hafa byggst á í gildistíð hennar. Af því leiðir að stofnunin telur ekki rétt að lækka fjárhæðarmörk verulega eða afnema þau með öllu. Samkvæmt gildandi leyfi frá 2017 eru fjárhæðarmörkin 50.000 kr. og telur Persónuvernd, í ljósi þess að þau hafa smám saman farið hækkandi með hliðsjón af breytingum á vísitölu verðlags og launa, að rétt sé að hækka þau nokkuð nú. Jafnframt má hins vegar hafa hliðsjón af framkvæmd í öðrum löndum þar sem fjárhæðarmörkin eru alla jafna ekki há og má þar nefna 3. mgr. 21. gr. dönsku persónuverndarlaganna nr. 502/2018, en þar er miðað við 1.000 danskar krónur. Þegar höfð er hliðsjón af þessu verður ekki talin ástæða til verulegrar hækkunar, svo sem í 100.000 kr.

Með vísan til framangreinds hefur Persónuvernd ákveðið að í starfsleyfisskilmálum verði miðað við að ekki séu skráðar kröfur undir 60.000 kr. að höfuðstóli, svo sem verið hefur í fyrirliggjandi drögum. Þá hefur svohljóðandi skilgreiningu á höfuðstóli verið bætt við upphaf ákvæðis 2.2.2 í skilmálunum: „þ.e. fjárhæð kröfu að undanskildum vöxtum og öðrum kostnaði, þ.m.t. innheimtukostnaði.“

Einnig hefur verið bætt við orðunum „hver um sig“ á eftir orðunum „skuldir einstaklinga sem“ í upphafi ákvæðisins til að taka af vafa um að ekki er hægt að leggja saman fleiri en eina kröfu undir fjárhæðarmörkunum til að þeim sé náð. Jafnframt hafa verið gerðar smávægilegar breytingar aðrar á upphafi ákvæðisins til aðlögunar, auk þess sem bætt hefur verið við tilvísun til skilgreiningar þess á höfuðstóli í 1. og 2. tölul. ákvæðis 2.2.1.

19.

Um öflun upplýsinga úr opinberum gögnum – liður 2.2.1

Í umsögn Creditinfo Lánstrausts hf. (bls. 11–12), umsögn Greiðslumiðlunar ehf. (bls. 2) og umsögn Lögheimtunnar ehf. og Motus ehf. (bls. 2) um skilmáladrögin eru gerðar athugasemdir við lið 2.2.1 þar sem fjallað er um öflun upplýsinga úr opinberum gögnum. Vísar fyrstnefndi aðilinn til þess að vandasamt sé að afla upplýsinga frá dómstólasýslunni vegna nýs upplýsingakerfis og að heimilt ætti að vera að afla upplýsinga úr opinberum gögnum frá áskrifendum beint, svo og frekari upplýsinga úr slíkum gögnum en hingað til hefur verið heimilað, eða að öðrum kosti upplýsinga af válista Skattsins. Þá tilgreina einnig síðarnefndu tveir aðilarnir að unnt ætti að vera að afla upplýsinga úr opinberum gögnum frá áskrifendunum sjálfum og taka auk þess fram að ekki sé hægt að skylda opinbera aðila til að veita aðgang að gögnum.

Bent skal á í þessu sambandi að um áratugi hefur tíðkast að í starfsleyfum til fjárhagsupplýsingastofa er gert ráð fyrir að upplýsinga úr opinberum gögnum sé aflað hjá opinberum aðilum. Þá er gert ráð fyrir því sem meginreglu í 2. mgr. 3. gr. reglugerðar nr. 246/2001 að upplýsinga sé aflað úr opinberum skrám. Í ljósi þess telur Persónuvernd ekki tilefni gefast til breyttrar nálgunar í þessum efnum. Þá áréttar stofnunin það sem fram kemur í bréfi hennar, dags. 7. október 2020, þar sem Creditinfo Lánstrausti hf. voru kynnt skilmáladrögin og hvaða breytingar þar væru frá gildandi leyfi, um að það sé á ábyrgð dómstólasýslunnar að tryggja að miðlun upplýsinga þaðan samrýmist gildandi starfsleyfisskilmálum. Þó svo að ekki sé beinlínis á hana lögð skylda til miðlunar upplýsinga er um að ræða fyrirkomulag sem byggist á reglugerð með stoð í settum lögum, fyrst 45. gr. eldri persónuverndarlaga, nr. 77/2000, og nú 2. mgr. 15. gr. laga nr. 90/2018. Má því telja eðlilegt að opinberir aðilar, sem hafa yfir að ráða skrám með upplýsingum sem vinna má með vegna vanskilaskráningar, líti til þessa fyrirkomulags við útfærslu upplýsingakerfa sinna.

Í ljósi þess sem að framan er rakið telur Persónuvernd ekki tilefni til þess að heimila sérstaklega öflun upplýsinga úr opinberum gögnum frá áskrifendum. Þá telur Persónuvernd að öðru leyti ekki rétt, á meðan reglugerð nr. 246/2001 hefur ekki verið endurskoðuð, að veita ríkari heimildir til þess hvaða upplýsinga afla má úr opinberum gögnum nema um sé að ræða upplýsingar sem fyllilega eru sambærilegar við þær sem fjárhagsupplýsingastofur hafa mátt sækja fram að þessu. Gefa fyrrgreindar athugasemdir við skilmáladrögin því ekki tilefni til breytinga á skilmálunum.

20.

Um að heimildir til öflunar upplýsinga úr opinberum gögnum verði þrengdar – liður 2.2.1

Í umsögn Hagsmunasamtaka heimilanna (bls. 2) um skilmáladrögin er gerð sú athugasemd við lið 2.2.1 að skuldari hafi oft ekki fengið færi á andmælum í aðdraganda opinberra gerða sem færðar eru á skrá um vanskil. Ekki ætti að skrá upplýsingar fyrr en frestur til að leita til dómstóla eða til að fá útivistarmál endurupptekið sé liðinn.

Persónuvernd telur verða að líta til þess markmiðs með vanskilaskráningu að draga úr áhættu við veitingu fjárhagslegrar fyrirgreiðslu. Má ætla að það myndi ekki samrýmast því markmiði að miða heimild til skráningar við það að ekki sé lengur nokkur möguleiki á að fá mál endurskoðað innan dómskerfisins og svo er heldur ekki gert í þeim löndum sem litið hefur verið til sem fyrirmynda í tengslum við umrædda skráningu. Jafnframt er hins vegar brýnt að líta til hagsmuna hins skráða af því að hafa virk úrræði í tengslum við skráningu og í ljósi þess er í skilmálunum meðal annars að finna bann við vinnslu upplýsinga um umdeildar kröfur, sbr. 3. mgr. ákvæðis 2.1 í skilmálunum.

Samkvæmt þessu telur Persónuvernd ekki tilefni til breytinga á umræddu ákvæði skilmálanna í ljósi þeirrar athugasemdar sem fyrr er rakin.

21.

Innkallanir vegna greiðsluaðlögunar – 6. tölul. 1. mgr. liðar 2.2.1

Í fyrri umsögn umboðsmanns skuldara (bls. 1–2) við skilmáladrögin eru gerðar athugasemdir við 6. tölul. 1. mgr. liðar 2.2.1 í drögunum, þess efnis að skrá megi upplýsingar um innkallanir til lánardrottna vegna umsókna um greiðsluaðlögun. Segir meðal annars að skráning á þessum upplýsingum hafi fram að þessu átt sér stað á grundvelli gildandi leyfis eftir samþykki umboðsmanns skuldara á umsókn um greiðsluaðlögun. Hafi skráningin verið verulega íþyngjandi, en oft sé ekki um neina eftirgjöf skulda að ræða og sé úrræðið þá líkt því þegar banki veiti greiðslufrest. Séu þess mörg dæmi að einstaklingar, sérstaklega þeir sem séu í skilum en þurfi tímabundna aðstoð, hafi hætt við að leita til umboðsmanns skuldara vegna mögulegrar skráningar á innköllun.

Því er bætt við í síðari umsögn umboðsmanns skuldara (bls. 1–2) að samkvæmt upplýsingum frá Creditinfo Lánstrausti hf. hafi framkvæmdin verið sú að fólk fari sjálfkrafa í neðstu lánshæfiseinkunn eftir birtingu innköllunar. Byggt virðist vera á því að einstaklingar séu í fjárhagsvanda þegar þeir sæki um greiðsluaðlögun, en þeir geti hins vegar verið í skilum þegar umsókn um greiðsluaðlögun sé samþykkt. Hefðu viðkomandi ekki leitað greiðsluaðlögunar væru þeir því ekki með lægstu einkunn. Í því sambandi er vísað til þess að samkvæmt 3. mgr. 3. gr. skilmáladraganna má því aðeins vinna með upplýsingar í þágu gerðar skýrslna um lánshæfi að þær hafi raunverulegt vægi, en Creditinfo Lánstraust hf. hafi ekki upplýsingar um stöðu umsækjenda og niðurstöðu greiðsluaðlögunar. Geti lánshæfiseinkunn haft mikil áhrif á líf fólks og séu þess dæmi að fólk veigri sér við að leita greiðsluaðlögunar vegna hennar. Þá bendir umboðsmaður skuldara á að ekkert bannar fjárhagslegar skuldbindingar á greiðsluaðlögunartímabili og að slíkt bann er aðeins við lýði þar til samningur um greiðsluaðlögun kemst á. Segir að skráning á greiðsluaðlögun geti haft veruleg áhrif, t.d. á endurfjármögnun lána. Þá segir að hún feli í sér félagslegt úrræði á vegum ríkisins sem ekki leiði til sjálfkrafa eftirgjafar krafna líkt og á hinum Norðurlöndunum. Einn armur ríkisvaldsins hvetji til nýtingar þessa úrræðis en annar letji hins vegar til þess. Auk þess sé hægt að undanskilja greiðsluaðlögun við gerð lánshæfismats þar sem Creditinfo Lánstraust hf. hafi heimild til að nýta aðrar viðamiklar upplýsingar.

Eins og aðrar umsagnir við skilmáladrögin var síðari umsögn umboðsmanns skuldara birt á vefsíðu Persónuverndar. Barst í framhaldi af því bréf frá Creditinfo Lánstrausti hf., dags. 28. apríl 2021, þar sem gerðar eru athugasemdir við það sem fram kemur í umsögninni. Segir meðal annars að samkvæmt greiningu á sögulegum vanskilum komi til vanskilaskráningar hjá um 50% einstaklinga, sem fengið hafi samþykkta greiðsluaðlögun, á því tveggja ára tímabili sem áhrifa greiðsluaðlögunar gæti í lánshæfismati. Um 85% þeirra sem fái úrræðið samþykkt hafi átt sögu um fyrri vanskil og hjá þeim sem ekki hafi átt slíka sögu hafi komið til vanskilaskráningar eftir samþykkt greiðsluaðlögunar í um 25% tilvika. Tekið er fram að að þeir sem fara í gegnum greiðsluaðlögunarúrræðið séu um 30 sinnum líklegri til að fara í vanskil á næstu misserum en þeir sem sýni engin merki um söguleg, fjárhagsleg vandræði og sé nauðsynlegt að slíkt endurspeglist í lánshæfismati eigi það að nýtast lánveitendum til að taka upplýstar og ábyrgar ákvarðanir við lánveitingar eins og þeim sé skylt að gera lögum samkvæmt. Verði ekki séð með hvaða rökum eigi að undanskilja þær upplýsingar sem hér ræðir frá skráningu.

Í þessu sambandi telur Persónuvernd verða að líta til þess skilyrðis fyrir greiðsluaðlögun að einstaklingur hafi sýnt fram á að hann sé eða verði um fyrirsjáanlega framtíð ófær um að standa í skilum með fjárskuldbindingar sínar, sbr. 1. mgr. 2. gr. laga nr. 101/2010 um greiðsluaðlögun einstaklinga. Einnig er til þess að líta að á meðan leitað er greiðsluaðlögunar skal skuldari ekki stofna til nýrra skulda eða gera aðrar ráðstafanir sem gætu skaðað hagsmuni lánardrottna nema skuldbinding sé nauðsynleg til að sjá skuldara og fjölskyldu hans farborða, sbr. d-lið 1. mgr. 12. gr. laganna. Þá skal í frumvarpi til samnings um greiðsluaðlögun miða við að framfærsla skuldara og fjölskyldu hans sé tryggð og að raunhæft megi telja að öðru leyti að hann geti staðið við skuldbindingar sínar, endurskipulagt fjármál sín og komið á jafnvægi milli skulda og greiðslugetu, sbr. 3. mgr. 16. gr. laganna, og sé á því byggt að skuldari inni af hendi reglulegar afborganir á tilteknu tímabili skal við það miðað að hann haldi eftir svo miklu af tekjum sínum að dugi til að sjá honum og heimilisfólki hans farborða og þeim einstaklingum sem hann hefur framfærsluskyldu við samkvæmt lögum, sbr. 4. mgr. sömu greinar. Eins og fram kemur í 2. mgr. greinarinnar skal þetta fyrirkomulag vera við lýði í eitt til þrjú ár, þ.e. á meðan á svonefndu greiðsluaðlögunartímabili stendur.

Eins og rakið hefur verið er skuldara óheimilt að stofna til nýrra skuldbindinga á meðan leitað er greiðsluaðlögunar, en auk þess verður ráðið af framangreindu að á meðan á hinu eins til þriggja ára langa greiðsluaðlögunartímabili stendur sé svigrúm skuldara til að taka sér slíkar skuldbindingar á herðar verulega takmarkað þó svo að það sé ekki beinlínis óheimilt. Þegar litið er til hinna Norðurlandanna má finna hliðstæðu í norskri löggjöf, en þarlend lög um greiðsluaðlögun einstaklinga, nr. 1992-07-17-99, eru að efni til sambærileg þeim íslensku. Samkvæmt 1. mgr. greinar 4-2 í lögunum getur frumvarp til greiðsluaðlögunar falið í sér að veittur sé greiðslufrestur en að kröfur séu jafnframt greiddar í heild sinni eða að hluta, svo og meðal annars að kröfur séu að öllu leyti eða að hluta til felldar niður. Að auki segir í ákvæðinu að greiðsluaðlögunartímabil skuli í síðarnefnda tilvikinu að jafnaði vera fimm ár. Þá er tekið fram í 3. mgr. 23. gr. norskra laga um fjárhagsupplýsingastofur, nr. 2019-12-20-109, að þær megi vinna með upplýsingar um greiðsluaðlögun á meðan greiðsluaðlögun vari.

Samkvæmt þessu hafa fjárhagsupplýsingastofur í Noregi tiltölulega ríkt svigrúm til að vinna með upplýsingar um greiðsluaðlögun. Því er hins vegar ekki alls staðar svo háttað og má þar nefna að í Danmörku er vinnsla slíkra upplýsinga hjá fjárhagsupplýsingastofum óheimil þegar greiðsluaðlögun hefur endanlega verið samþykkt, sbr. 3. mgr. 21. gr. dönsku persónuverndarlaganna, nr. 502/2018. Um er að ræða ákvæði sem staðið hefur í dönskum lögum frá árinu 1986 og felur í sér að þegar frumvarp skuldara til greiðsluaðlögunar hefur verið tekið til greina í heild eða að hluta er miðlun upplýsinga frá fjárhagsupplýsingastofum um greiðsluaðlögunina óheimil. Jafnframt hefur hins vegar verið litið svo á á að áfram megi miðla upplýsingum um vanskil krafna sem skráðar voru fyrir samþykkt greiðsluaðlögunar og sem hún nær til (Waaben, Henrik og Nielsen, Kristian Korfits, Lov om behandling af personoplysningar, bls. 406 (3. útgáfa, Kaupmannahöfn 2015)).

Þegar á allt er litið telur Persónuvernd ljóst að upplýsingar um greiðsluaðlögun geti verið til þess fallnar að hafa afgerandi þýðingu við mat á fjárhag og lánstrausti hins skráða, sbr. 1. mgr. 3. gr. reglugerðar nr. 246/2001, m.a. þar sem ógjaldfærni skuldara er gerð að skilyrði fyrir veitingu úrræðisins. Hér hefur verið vikið að löggjöf í Noregi og Danmörku hvað þetta varðar og er ljóst að nálgunin í þeim tveimur löndum er nokkuð ólík og svigrúm fjárhagsupplýsingastofa til vinnslu upplýsinga um greiðsluaðlögun tiltölulega ríkt í því fyrrnefnda en þröngt í því síðarnefnda þar sem fjárhagsupplýsingastofum er hins vegar talið heimilt að miðla vanskilaupplýsingum sem skráðar voru fyrir samþykkt greiðsluaðlögunar. Jafnframt liggur fyrir sú afstaða umboðsmanns skuldara að af því séu ríkir hagsmunir að upplýsingar um greiðsluaðlögun séu ekki skráðar hjá fjárhagsupplýsingastofum. Persónuvernd telur að það væri heppilegast að til álitaefna í þessu sambandi væri tekin afstaða í löggjöf. Þá telur Persónuvernd, í ljósi annars vegar hagsmuna viðskiptalífsins af áhættumati við veitingu fjárhagslegrar fyrirgreiðslu og hins vegar eðlis greiðsluaðlögunar sem úrræðis fyrir skuldara, að miðað við gildandi lagaumhverfi eigi fjárhagsupplýsingastofur að geta unnið með greiðsluaðlögunarupplýsingar en jafnframt að fyrir því séu rök að svigrúmið sé þrengra en þegar um annars konar upplýsingar er að ræða. Í því felst að ekki verður talið tilefni til að fella 6. tölul. 1. mgr. liðar 2.2.1 í skilmálunum brott. Hins vegar telur Persónuvernd rétt, eins og á stendur, að stytta varðveislutíma upplýsinga um greiðsluaðlögun í samanburði við aðrar upplýsingar. Er það gert með breytingum á ákvæði 5.3 frá því sem er í drögunum og verður fjallað um það í 59. kafla hér á eftir.

22.

Upplýsingar um raunverulega eigendur – 8. tölul. 1.mgr. liðar 2.2.1

Í umsögn Símans hf. (bls. 3) um skilmáladrögin er gerð sú athugasemd við 8. tölul. 1. mgr. liðar 2.2.1 að við upptalningu á því hvað skrá megi úr fyrirtækjaskrá um þá sem hafa haft aðkomu að gjaldþrota félögum þurfi að bæta raunverulegum eigendum, sbr. 9. tölul. 1. mgr. 4. gr. laga nr. 17/2003 um fyrirtækjaskrá, sbr. lög nr. 82/2019.

Persónuvernd fellst á þessa athugasemd og hefur nú bætt raunverulegum eigendum við umrædda upptalningu í skilmálunum.

23.

Takmörkun á skráningu vegna gjaldþrota félaga – 8. tölul. 1. mgr. liðar 2.2.1

Í umsögn Neytendasamtakanna og ASÍ (bls. 4) við skilmáladrögin er gerð sú athugasemd við 8. tölul. 1. mgr. liðar 2.2.1 í drögunum að heimild til skráningar um tengsl einstaklings við gjaldþrota félög ætti að miðast við að hann hafi staðið að tveimur slíkum félögum síðastliðin tvö ár í stað fjögurra.

Í reglugerð nr. 246/2001 er að meginstefnu gert ráð fyrir að upplýsingar vegna vanskilaskráningar séu varðveittar í fjögur ár, sbr. 4. mgr. 3. gr. reglugerðarinnar. Telur Persónuvernd ekki hafa komið fram rök sem leiða ættu til þeirrar niðurstöðu að styttri varðveislutími ætti að eiga við um þær upplýsingar sem hér um ræðir. Er því ekki fallist á framangreinda athugasemd.

24.

Um að heimildir til öflunar upplýsinga frá áskrifendum verði þrengdar – liður 2.2.2

Í umsögn Hagsmunasamtaka heimilanna (bls. 3) um skilmáladrögin er gerð sú athugasemd við lið 2.2.2 að upplýsingar frá áskrifendum ætti ekki að skrá nema allir frestir til málskots, kæru o.s.frv. séu liðnir.

Með vísan til þeirra röksemda sem raktar eru í 20. kafla hér að framan telur Persónuvernd ekki tilefni til breytinga á umræddu ákvæði skilmáladraganna í ljósi þessarar athugasemdar.

25.

Staðfesting á tilvist skuldar – liður 2.2.2

Í umsögn Creditinfo Lánstrausts hf. (bls. 13) og umsögn Greiðslumiðlunar ehf. (bls. 4) við skilmáladrögin er gerð athugasemd við það orðalag í upphafi liðar 2.2.2 í drögunum að fyrir skuli liggja óyggjandi skriflegar upplýsingar um tilvist skulda sem upplýsinga er aflað um frá áskrifendum. Segir í fyrrnefndu umsögninni að fjárhagsupplýsingastofa ætti ekki að þurfa að fá önnur gögn frá áskrifendum en rafrænar skráningar. Þá segir í þeirri síðarnefndu að almennt ættu orð áskrifanda að duga en að eðlilegt væri að fjárhagsupplýsingastofa gæti óskað frekari upplýsinga.

Persónuvernd telur, í ljósi íþyngjandi eðlis umræddrar skráningar, að nauðsynlegt sé að til staðar séu óyggjandi upplýsingar um tilvist skuldar og er því ekki fallist á að orð áskrifanda ein og sér verði tekin gild. Jafnframt telur stofnunin hins vegar að unnt sé að fá óyggjandi rafrænar upplýsingar rétt eins og skriflegar. Hefur umræddu ákvæði verið breytt til samræmis við það með því að bæta við orðunum „eða rafrænar“ á eftir orðinu „skriflegar“.

26.

Um að heimilt verði að skrá upplýsingar um stefnur – liður 2.2.2

Í umsögn Creditinfo Lánstrausts hf. (bls. 10), umsögn Lögheimtunnar ehf. og Motus ehf. (bls. 4) og umsögn Samtaka fjármálafyrirtækja (bls. 3) um skilmáladrögin er gerð sú athugasemd við lið 2.2.2 í drögunum að heimilt ætti að vera að skrá upplýsingar um stefnur frá áskrifendum, sbr. XIII. kafla laga nr. 91/1991 um meðferð einkamála. Segir í umsögn Lögheimtunnar ehf. og Motus ehf. að sömu rök eigi þar við og um greiðsluáskoranir, sbr. nú 5. tölul. liðar 2.2.2 um heimild til skráningar greiðsluáskorana samkvæmt 7. gr. laga nr. 90/1989 um aðför og 9. gr. laga nr. 90/1991 um nauðungarsölu að liðnum þeim frestum sem ákvæðin tilgreina.

Persónuvernd telur, í ljósi íþyngjandi eðlis vanskilaskráningar, að ríkar kröfur beri að gera til áreiðanleika við skráninguna, sbr. 4. tölul. 1. mgr. 8. gr. laga nr. 90/2018. Telur stofnunin þeim kröfum vera fullnægt þegar um ræðir greiðsluáskoranir samkvæmt framangreindu og frestir samkvæmt áðurnefndum ákvæðum um þær eru liðnir, enda hefur skuldari þá fengið svigrúm til þess að andmæla kröfu og er unnt að fá fullnustu hennar með aðfarargerð eða nauðungarsölu. Hið sama á ekki við um það eitt að stefna hafi verið birt skuldara og verður þá ávallt að gera ráð fyrir að hann kunni að kjósa að grípa til varna. Verður því ekki fallist á fyrrnefndar tillögur að breytingu á skilmálunum.

27.

Vanskil sem varað hafa í 30 daga – liður 2.2.2

Í umsögn Creditinfo Lánstraust hf. (bls. 10) við skilmáladrögin er gerð sú athugasemd við lið 2.2.2 í drögunum að heimila ætti skráningu upplýsinga frá áskrifendum um vanskil sem varað hafa í 30 daga, enda hafi verið send innheimtuviðvörun og tvær innheimtuaðgerðir framkvæmdar í milliinnheimtu. Þá er lagt til að framangreint verði bundið því skilyrði að hinum skráða hafi verið tilkynnt um það í síðustu innheimtuaðgerð að til skráningar komi verði krafa ekki greidd.

Persónuvernd telur ekki unnt að fallast á þessa tillögu og vísast til 7. og 26. kafla hér að framan um röksemdir fyrir því.

28.

Upplýsingar um boðun í fyrirtöku fjárnámsgerðar – 4. tölul. liðar 2.2.2

Í umsögn Lögheimtunnar ehf. og Motus ehf. (bls. 4) er gerð athugasemd við 4. tölul. liðar 2.2.2 í drögunum um að skrá megi upplýsingar þegar ókleift hefur verið að ljúka fjárnámsgerð vegna fjarveru skuldara. Er vísað til breytingar sem gerð var á 62. gr. laga nr. 90/1989 með lögum nr. 95/2010 og varð til þess að nú er unnt að ljúka fjárnámi án árangurs þegar enginn mætir til fjárnámsgerðar af hálfu gerðarþola þótt hann hafi sannanlega verið boðaður til hennar og engin vitneskja liggur fyrir um gögn sem gera mætti fjárnám í. Þá er vísað til 1. mgr. 24. gr. og 5. mgr. 39. gr. laga nr. 90/1989 þar sem fram kemur að unnt er að ljúka fjárnámi með árangri í fjarveru gerðarþola að ákveðnum skilyrðum fullnægðum.

Persónuvernd telur ljóst að eftir gildistöku laga nr. 95/2010 sé ólíklegt að fjarvera gerðarþola ætti að tálma framkvæmd fjárnáms. Hins vegar gerir 1. mgr. 24. gr. laga nr. 90/1989 ráð fyrir því, orðalagi sínu samkvæmt, að komið geti upp þær aðstæður vegna fjarveru skuldara að fjárnámsgerð verði ekki lokið, sbr. orðin „ef unnt reynist annarra hluta vegna að ljúka henni vegna fjarveru hans“. Telur Persónuvernd því ekki tilefni til breytingar á skilmálunum í ljósi umræddrar athugasemdar.

29.

Vanefndir á samningum um greiðsluaðlögun – 6. tölul. liðar 2.2.2

Í fyrri umsögn umboðsmanns skuldara (bls. 3–4) við skilmáladrögin er gerð sú athugasemd við 6. tölul. liðar 2.2.2 í drögunum að fella ætti hann brott. Segir að í lögum nr. 101/2010 sé að finna sérstök ákvæði um vanefndir á samningum um greiðsluaðlögun og hafi gengið vel að vinna eftir þeim og skuldarar náð að semja um breytingar á samningi. Þá velti umboðsmaður því fyrir sér hvernig fá eigi staðfestingu á vanefndum, en bankar sjái um að útdeila greiðslum og hafi hver og einn kröfuhafi ekki heildaryfirsýn yfir efndir á samningi.

Persónuvernd telur nægilegt, í tengslum við skráningu, að samningur um greiðsluaðlögun sé vanefndur við einhvern þeirra kröfuhafa sem bundnir eru af samningnum, enda nægir það til að umrædd heimild til skráningar verði virk. Þá telur Persónuvernd að í ljósi þess að ógjaldfærni skuldara er gerð að skilyrði fyrir samningi um greiðsluaðlögun, sbr. 1. mgr. 2. gr. laga nr. 101/2010, teljist upplýsingar um vanskil á slíkum samningi vera til þess fallnar að hafa afgerandi þýðingu við mat á fjárhag og lánstrausti hins skráða, sbr. 1. mgr. 3. gr. reglugerðar nr. 246/2001. Telur Persónuvernd samkvæmt því að umrædd athugasemd gefi ekki tilefni til breytingar á skilmálunum.

30.

Skuldabréf með texta um skráningu – 7. tölul. liðar 2.2.2

Í umsögn Creditinfo Lánstrausts hf. (bls. 10), umsögn Greiðslumiðlunar ehf. (bls. 4–5) og umsögn Símans hf. (bls. 3–4) við skilmáladrögin eru gerðar athugasemdir við 7. tölul. liðar 2.2.2 í drögunum þar sem fjallað er um heimild til skráningar krafna samkvæmt skuldabréfum þegar þau hafa að geyma sérstaka yfirlýsingu þar að lútandi. Samkvæmt umsögnum síðastnefndu aðilanna tveggja er það skilyrði ákvæðisins óþarft að lögmaður eða fulltrúi hans undirriti beiðni um skráningu á þessum grundvelli, en auk þess sé það til þess fallið að valda skuldara auknum kostnaði. Í umsögn Símans hf. er sagt óljóst hvað felist í orðunum „enda séu skilyrði til þeirrar heimildar uppfyllt“, auk þess sem tekið er fram að endurskoða þurfi ákvæðið í heild sinni, svo og meðal annars að orðalagið „sérstök yfirlýsing“ virðist miða við að samþykkis sé hér aflað til vanskilaskráningar gagnstætt afstöðu Persónuverndar í þeim efnum (sjá 9. kafla bréfs stofnunarinnar til Creditinfo Lánstrausts, dags. 7. október 2020, þar sem fyrirtækinu voru kynnt skilmáladrögin og hvaða breytingar þar væru frá gildandi leyfi). Þá er þess óskað í umsögn Creditinfo Lánstrausts hf. að ef ekki verði fallist á tillögu um að almennt megi skrá upplýsingar um vanskil, sem varað hafi í 30 daga, sbr. 27. kafla hér að framan, verði slíkt heimilt þegar um ræði skuldabréf og þá með sams konar skilyrðum, þ. á m. um að greint sé frá því bréflega við milliinnheimtu að til skráningar komi. Jafnframt eru lagðar til breytingar á kröfum til yfirlýsingar um skráningu, en samkvæmt skilmáladrögunum verður yfirlýsing meðal annars ávallt að koma fram í sjálfu skuldaskjalinu vegna viðkomandi kröfu með skýrum hætti. Nánar tiltekið er lagt til að nægilegt verði að samkvæmt texta láns- eða skuldaskjals eða annarra skjala, sem tengjast skuldbindingum hins skráða, komi til skráningar að ákveðnum skilyrðum uppfylltum. Að auki komi skýrt fram að þetta eigi við óháð því hvort um ræði undirrituð skjöl á pappírsformi eða skjöl með rafrænni undirritun eða annarri fullnægjandi auðkenningu.

Hvað það varðar að óþarft sé að lögmaður eða fulltrúi hans undirriti beiðni um skráningu vegna vanskila á skuldabréfi, svo og að það valdi skuldara auknum kostnaði, vísast til þess skilyrðis 1. mgr. ákvæðis 2.1 í skilmálunum að því aðeins megi koma til skráningar að löginnheimta sé hafin, en lögmenn annast hana, sbr. 1. mgr. 24. gr. a í lögum nr. 77/1998 um lögmenn. Í tengslum við tillögur Creditinfo Lánstrausts hf. um að dregið verði úr kröfum til yfirlýsingar um skráningu vísast til þeirra röksemda sem fram koma í 7. og 26. kafla hér að framan. Vegna athugasemdar fyrirtækisins um rafræn skjöl skal jafnframt tekið fram að orðalag 7. tölul. liðar 2.2.2 í skilmálunum útilokar ekki slík skjöl. Þá tekur Persónuvernd fram, í tengslum við þá athugasemd Símans hf. að orðalagið „sérstök yfirlýsing“ virðist vísa til samþykkis hins skráða, að ekki er um slíka tilvísun að ræða heldur kröfu um fræðslu sem hinn skráði fær við undirritun lánsskjals. Persónuvernd telur jafnframt ekki þörf á endurskoðun orðalags í umræddu ákvæði skilmálanna í heild sinni. Hins vegar má fallast á að lagfæra megi orðalagið „enda séu skilyrði til þeirrar heimildar uppfyllt“. Því er ætlað að merkja að því aðeins megi koma til vanskilaskráningar að skilyrðum fyrir slíkri skráningu sé fullnægt og er óskýrt að orðið „heimild“ sé notað yfir skráningu í því samhengi. Hefur Persónuvernd samkvæmt því fellt brott orðin „til þeirrar heimildar“ og sett orðið „þess“ í staðinn.

31.

Afnám eða takmörkun heimildar til skráningar samkvæmt skuldabréfum – 7. tölul. liðar 2.2.2

Í umsögn Hagsmunasamtaka heimilanna (bls. 1) og umsögn Neytendasamtakanna og ASÍ (bls. 5) við skilmáladrögin eru gerðar athugasemdir við 7. tölul. liðar 2.2.2 í drögunum þar sem fjallað er um heimild til skráningar vanskila á kröfum samkvæmt skuldabréfum með yfirlýsingu um að til skráningar geti komið. Segir í fyrrnefndu umsögninni að skilmálar séu oft ekki kynntir fólki og að þeir geti talist ólögmætir, sbr. 36. gr. a til 36. gr. d í lögum nr. 7/1936 um samningsgerð, umboð og ógilda löggerninga. Sé rétt að heimildin falli brott. Þá segir í síðarnefndu umsögninni að leiðbeining um rétt til andmæla við skuld og um umdeildar kröfur ætti að koma jafnskýrt fram og heimild til skráningar. Mikilvægt sé að úrræði á vegum fjárhagsupplýsingastofa og annarra sem hlut eiga að máli séu einföld, skilvirk og skýr. Jafnframt þurfi rangar skráningar að hafa skýrar og alvarlegar afleiðingar, t.d. fjárbætur til hins skráða og lokun aðgangs. Ættu fjárhæðir að vera verulegar, ásamt því að auk tilkynningar til Persónuverndar um riftun á áskriftarsamningi ætti að birta opinbera tilkynningu um brot.

Persónuvernd telur ljóst að kröfur samkvæmt skuldabréfum, sem hafa að geyma yfirlýsingu um að til skráningar geti komið, ættu ekki að vera skráðar nema skuldara hafi gefist verulegt svigrúm til að bregðast við. Í því sambandi skal bent á að skráning samkvæmt skilmálunum er óheimil nema löginnheimta á kröfu hafi hafist, sbr. 1. mgr. ákvæðis 2.1 í skilmálunum sem fjallað er um í 7. kafla hér að framan. Þá á upplýsingum um kröfu ekki að vera miðlað frá fjárhagsupplýsingastofu til áskrifenda fyrr en að loknum fresti til andmæla sem stofan veitir, sbr. upphaf ákvæðis 5.1 í skilmálunum. Telur Persónuvernd að hér sé jafnvægis gætt milli hagsmuna af áhættustýringu við veitingu fjárhagslegrar fyrirgreiðslu annars vegar og hagsmuna hins skráða af því að rétt sé staðið að vinnslu persónuupplýsinga hins vegar. Ekki sé því tilefni til að afnema umrædda heimild. Einnig vísar Persónuvernd til þess sem segir í 12. kafla hér að framan um að það samrýmist ekki grunnsjónarmiðum um frágang samninga að þeir séu í upphafi gerðir með fyrirvara um að síðar verði þeir véfengdir. Í ljósi þess telur stofnunin ekki unnt að fallast á að hafa skuli sérstakar leiðbeiningar um andmæli við skuld í skuldabréfum. Þá bendir Persónuvernd á að hún hefur ekki vald til þess að setja sérstakar reglur um viðurlög, enda þarf þar að byggja á settum lögum, auk þess sem um fjárbætur fer samkvæmt almennum reglum skaðabótaréttarins og ákvæðum í settum lögum þar að lútandi. Samkvæmt þessu telur Persónuvernd ekki tilefni til breytinga á umræddu ákvæði skilmálanna í ljósi þeirra athugasemda sem fyrr eru raktar.

32.

Færsla upplýsinga á lokaða skrá – liðir 2.2.1 og 2.2.2

Í umsögn Creditinfo Lánstrausts hf. (bls. 12) við skilmáladrögin er sú athugasemd gerð að ef ekki sé fallist á tillögur að auknum heimildum til skráningar vanskilaupplýsinga, þannig að áskrifendur geti flett viðbótarupplýsingunum upp, verði heimilt að færa þær á lokaða skrá vegna gerðar skýrslna um lánshæfi.

Eins og rakið er í 7., 26., 27. og 30. kafla hér að framan telur Persónuvernd ekki tilefni til að fallast á tillögur Creditinfo Lánstrausts hf. um auknar skráningarheimildir og vísast til þeirra röksemda sem fyrr eru raktar í því samhengi, þ. á m. um að skráning vanskila hjá fjárhagsupplýsingastofu er í eðli sínu íþyngjandi og að því verður að gera strangar kröfur til hennar. Telur stofnunin þessar röksemdir einnig eiga við hvað það snertir að upplýsingar séu færðar á lokaða skrá vegna gerðar skýrslna um lánshæfi. Samkvæmt því telur stofnunin ekki tilefni til að fallast á umrædda athugasemd.

33.

Úttekt óháðs aðila á tölfræðilíkani – 3. gr.

Í umsögn Neytendasamtakanna og ASÍ (bls. 5) við skilmáladrögin er sú athugasemd gerð við 3. gr. draganna að óháður aðili ætti að taka út það tölfræðilíkan sem notað er við gerð skýrslna um lánshæfi, að aðferðafræðin við gerð slíkra skýrslna skuli verða aðgengileg og opin öllum, að óheimilt skuli að nota líkanið nema úttekt sýni að það virki sem skyldi og að mikilvægt sé að úttektin verði birt. Þá segir að það skjóti skökku við að allar uppflettingar áskrifenda skuli rekjanlegar (sbr. 2. mgr. greinar 7.1 í skilmálunum) en að engin áhersla sé lögð á rekjanleika og áreiðanleika reikniaðferðarinnar sjálfra. Sé mikilvægt að kerfi til flokkunar og einkunnagjafar sé gagnsætt, sannreynanlegt og skýrt þannig að aðilar viti hvaða áhrif breytur hafa og hvert vægi hverrar breytu sé.

Hvað það snertir að upplýsingar um virkni hugbúnaðar til gerðar skýrslna um lánshæfi verði að öllu leyti opnar telur Persónuvernd þurfa að líta til 63. liðar almennu persónuverndarreglugerðarinnar, (ESB) 2016/679, þar sem er að finna skýringar við ákvæði hennar um aðgang hins skráða að persónuupplýsingum um sig og til vitneskju um vinnslu, sbr. 15. gr. reglugerðarinnar. Í umræddum lið formálans er sá fyrirvari gerður við þennan rétt að hann ætti ekki að hafa neikvæð áhrif á réttindi og frelsi annarra, sbr. einnig 4. mgr. 15. gr. reglugerðarinnar, þ.m.t. vegna viðskiptaleyndarmála eða hugverkaréttinda og þá einkum höfundarréttar til verndar hugbúnaði.

Ljóst er að á því er byggt í 15. gr. laga nr. 90/2018 að fjárhagsupplýsingastofur séu einkarekin fyrirtæki sem byggi rekstur sinn á vinnslu fjárhagsupplýsinga vegna áhættustýringar við veitingu fjárhagslegrar fyrirgreiðslu. Persónuvernd telur að í þessu sambandi verði að líta til samkeppnissjónarmiða sem meðal annars getur reynt á ef fjárhagsupplýsingastofum fjölgar hér á landi og í tengslum við evrópska og alþjóðlega samkeppni. Samkvæmt því er afstaða stofnunarinnar sú að ekki sé unnt að mæla fyrir um að upplýsingar um virkni hugbúnaðar til gerðar skýrslna um lánshæfi verði að öllu leyti opnar.

Jafnframt áréttar Persónuvernd hins vegar mikilvægi þess að gagnsæi ríki um umrædda vinnslu þrátt fyrir þá takmörkun á því sem að framan er lýst. Í samræmi við það er í 4. mgr. 3. gr. skilmálanna mælt fyrir um að hinir skráðu skuli, þegar þeir leggja fram beiðni um öflun skýrslu um lánshæfismat, vera upplýstir um á hvaða breytum byggt sé við gerð þess, auk þess sem þeim skuli veittur kostur á frekari fræðslu um vægi einstakra breytna. Telur Persónuvernd að með þessu, svo og ákvæði 5.5 í skilmálunum um aðgangsrétt hins skráða, sé nægt gagnsæi tryggt.

Auk gagnsæis er meðal annars mikilvægt að persónuupplýsingar séu áreiðanlegar, sbr. 4. tölul. 1. mgr. 8. gr. laga nr. 90/2018. Persónuvernd telur það myndu verða mjög til bóta að gera slíka úttekt og fjallað er um í umsögn Neytendasamtakanna og sem fyrr er lýst. Ljóst er að sá aðili sem hana gerði þyrfti að hafa sérþekkingu á lánshæfi og þeim þáttum sem áhrif hafa á það. Ekki liggur fyrir nú hvers konar aðila væri hægt að leita til vegna úttektar eins og hér um ræðir og gefst því ekki tilefni, eins og á stendur, til að færa ákvæði þar að lútandi inn í skilmálana. Hins vegar mun Persónuvernd rita atvinnuvega- og nýsköpunarráðuneyti og Seðlabanka Íslands bréf þar sem vakin verður athygli á mikilvægi óháðrar úttektar á virkni upplýsingakerfa til gerðar skýrslna um lánshæfismat. Mun Persónuvernd birta það bréf, svo og viðbrögð við því.

34.

Heimildir til vinnslu persónuupplýsinga vegna gerðar skýrslna um lánshæfi – 1. mgr. 3. gr.

Í umsögn Creditinfo Lánstrausts hf. (bls. 8–9), Greiðslumiðlunar ehf. (bls. 5) og Símans hf. við skilmáladrögin eru gerðar athugasemdir við 1. mgr. 3. gr. draganna og það hvaða vinnsluheimild virðist byggt á samkvæmt því ákvæði í tengslum við gerð skýrslna um lánshæfi. Í öllum umsögnunum er gerð athugasemd við það orðalag að fyrir skuli liggja beiðni hins skráða fyrir gerð slíkrar skýrslu. Meðal þess sem nefnt er í því sambandi er að á því virðist byggt að hinn skráði hafi eitthvert val um það hvort skýrslan sé gerð og hennar aflað af lánveitanda, svo og að samþykki sé álitið liggja til grundvallar vinnslu persónuupplýsinga vegna gerðar skýrslunnar, gagnstætt því sem komið hafi fram af hálfu Persónuverndar í þeim efnum (sjá 9. kafla bréfs stofnunarinnar til Creditinfo Lánstrausts, dags. 7. október 2020, þar sem fyrirtækinu voru kynnt starfsskilmáladrögin og hvaða breytingar þar væru frá gildandi leyfi). Þá kemur meðal annars fram að telja ætti vinnsluna falla undir heimild til vinnslu persónuupplýsinga sem nauðsynleg er til að gera ráðstafanir að beiðni hins skráða áður en samningur er gerður, sbr. 2. tölul. 9. gr. laga nr. 90/2018, svo og heimild til vinnslu sem nauðsynleg er vegna lögmætra hagsmuna nema hagsmunir eða grundvallarréttindi og frelsi hins skráða vegi þyngra., sbr. 7. tölul. sömu greinar. Er tekið fram í umsögn Símans hf. að sé byggt á fyrrnefndu heimildinni sé raunar ekki tilefni til athugasemda við að notað sé orðið „beiðni“, enda komi það fyrir í texta laga nr. 90/2018 þar sem mælt er fyrir um heimildina.

Af þessu tilefni skal tekið fram að það leiðir af lögum nr. 90/2018 hvort vinnsla persónuupplýsinga er heimil og telur Persónuvernd ekki tilefni til sérstakrar umfjöllunar um einstakar vinnsluheimildir í skilmálum starfsleyfa nema slíkt sé nauðsynlegt samhengisins vegna. Verður ekki séð að þess háttar umfjöllunar sé þörf í 3. gr. skilmálanna. Þá skal tekið fram að orðið „beiðni“ er notað um það þegar hinn skráði fer fram á að gerð verði skýrsla um lánshæfi hans og hennar aflað með það í huga að um ræði ráðstöfun vegna samnings sem hann er aðili að, en ekki er óeðlilegt að orðalag í því sambandi endurspegli að einhverju marki áhersluna sem lögð er á sjálfsákvörðunarrétt einstaklinga þegar um samningsgerð er að ræða. Að sama skapi er ljóst að oft verður ekki hjá því komist að umrædd vinnsla eigi sér stað, m.a. í ljósi lagaskyldu til gerðar lánshæfismats samkvæmt. 1. mgr. 10. gr. laga nr. 33/2013 um neytendalán og 1. mgr. 20. gr. laga nr. 118/2016 um fasteignalán til neytenda. Í samræmi við það og skilgreininguna á samþykki samkvæmt 8. tölul. 3. gr. laga nr. 90/2018 er ekki notast við orðið „samþykki“ í umræddu samhengi í skilmálunum, en það útilokar ekki að notað sé orð sem gefi til kynna einhvers konar frumkvæði hins skráða, t.d. „beiðni“, þó svo að ekki sé um gilda samþykkisyfirlýsingu að ræða. Telur Persónuvernd því ekki tilefni til breytinga á skilmálunum hvað umrædda orðnotkun snertir. Þá telur stofnunin að öðru leyti ekki tilefni til breytinga í ljósi þeirra athugasemda sem fyrr eru raktar. Hins vegar skal tekið fram að gerðar hafa verið nokkrar breytingar á orðalagi í 1. mgr. 3. gr. skilmálanna til að skerpa á skilyrðinu um beiðni hins skráða.

35.

Skilyrði um fræðslu hjá lánveitendum – 1. og 4. mgr. 3. gr.

Í umsögn Creditinfo Lánstrausts hf. (bls. 8 og 14), umsögn Greiðslumiðlunar ehf. (bls. 5–6) og umsögn Símans hf. (bls. 4–5) um skilmáladrögin eru gerðar athugasemdir við að samkvæmt 1. og 4. mgr. 3. gr. draganna skuli lánveitendur hafa með höndum veitingu fræðslu og að hún skuli vera skrifleg og liggja frammi hjá þeim. Meðal þess sem nefnt er í umsögnunum í þessu sambandi er að lánsviðskipti fari nú oftast fram um Netið og að í stað tilvísunar til skriflegrar fræðslu ætti að mæla fyrir skyldu lánveitanda til að vísa til fræðslu fjárhagsupplýsingastofu með vefhlekk. Þá er þeirri afstöðu lýst að fræðsluskylda eigi að hvíla á fjárhagsupplýsingastofu en ekki viðkomandi lánveitendum, auk þess sem Síminn hf. telur óþarft að fjalla sérstaklega um útfærslu fræðslu, inntak hennar eða tímasetningu, enda fari um slíkt eftir persónuverndarlöggjöf.

Persónuvernd telur að í starfsleyfisskilmálunum sé þörf á nánari afmörkun á því hvernig fræðsla er veitt en fram kemur í lögum nr. 90/2018 og almennu persónuverndarreglugerðinni, (ESB) 2016/679, sbr. hér einkum 14. gr. hennar. Má enda telja ljóst að tilgangur löggjafans með því að kveða á um starfsleyfisskyldu vegna vinnslu persónuupplýsinga sé sá að um vinnsluna séu settar nánari reglur innan ramma gildandi löggjafar. Að öðru leyti telur Persónuvernd hins vegar þurfa að taka tillit til framangreindra athugasemda með breytingum á 1. og 4. mgr. 3. gr. draganna. Er nú ekki lengur vísað til þess að skrifleg fræðsla skuli liggja frammi hjá veitendum fjárhagslegrar fyrirgreiðslu, auk þess sem orðalagi er nú þannig háttað að tekinn er af vafi um að þeir beri ekki einir ábyrgð á að hinn skráði fái nauðsynlega fræðslu. Að auki er vísað til þess að fræðsla geti verið rafræn og veitt með hlekk á vefsíðu, en jafnframt þykir þó rétt að gera ráð fyrir þeim möguleika áfram að fræðsla sé lögð fram skriflega. Þá skal tekið fram að því hefur verið bætt við 4. mgr. 3. gr. skilmálanna að fræðsla skuli veitt með skýrum hætti.

36.

Fræðsla um áhrif vinnslu upplýsinga úr opinberum gögnum – 2. mgr. 3. gr.

Í umsögn Neytendasamtakanna og ASÍ (bls. 5) við skilmáladrögin er gerð athugasemd við 2. mgr. 3. gr. draganna þar sem fjallað er um heimild til að vinna með upplýsingar við gerð skýrslna um lánshæfi umfram það sem almennt gildir, enda samþykki hinn skráði slíkt. Er lagt til að á eftir 1. málsl. ákvæðisins verði bætt við eftirfarandi orðum: „Fjárhagsupplýsingastofa skal upplýsa hinn skráða um hvaða áhrif vinnsla með upplýsingar úr opinberum gögnum hefur, áður en samþykki er fengið.“

Vegna umfjöllunar víða í greinargerð þessari um að samþykki komi ekki til greina sem vinnsluheimild þegar unnið er með persónuupplýsingar hjá fjárhagsupplýsingastofu skal tekið fram að Persónuvernd telur rök í því sambandi ekki eiga við hér, enda um að ræða vinnslu persónuupplýsinga sem telja verður hinn skráða hafa frjálst val um. Að öðru leyti skal tekið fram að Persónuvernd fellst á framangreinda athugasemd með fyrirvara um að umrætt samþykki lýtur ekki að notkun upplýsinga úr opinberum gögnum heldur upplýsinga umfram það. Hefur Persónuvernd nú fært inn umrædda tillögu að viðbót á eftir 1. málsl. 2. mgr. 3. gr. skilmáladraganna með smávægilegum breytingum, þ. á m. í ljósi þessa. Hljóðar viðbótin þá svo: „Meðal þess sem hinn skráði skal upplýstur um áður en samþykkisins er aflað eru áhrif vinnslu á einstökum flokkum upplýsinga.“

37.

Notkun upplýsinga um uppflettingar vegna innheimtu – 2. mgr. 3. gr.

Í umsögn Creditinfo Lánstrausts hf. (bls. 9) við skilmáladrögin er sú athugasemd gerð við 2. mgr. 3. gr. draganna að auk upplýsinga um vöktun innheimtuaðila ætti að vera heimilt að notast við upplýsingar um uppflettingar þeirra hjá fjárhagsupplýsingastofu við gerð skýrslna um lánshæfismat.

Persónuvernd telur hér verða að líta til þess að skráning á uppflettingum þjónar þeim tilgangi að unnt sé að rekja þær þannig að bregðast megi við ef aðgangur að upplýsingakerfum er misnotaður. Í 2. tölul. 1. mgr. 8. gr. laga nr. 90/2018 er mælt fyrir um að persónuupplýsingar skuli fengnar í skýrt tilgreindum, lögmætum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi. Telur Persónuvernd að notkun upplýsinga um uppflettingar við gerð umræddra skýrslna, hvort sem er uppflettinga innheimtuaðila eða annarra, teldist ekki samrýmanleg tilganginum með skráningu þeirra. Þá má hér hafa hliðsjón af norskum lögum um fjárhagsupplýsingastofur, nr. 2019-12-20-109, en í 13. gr. þeirra laga er lagt bann við notkun upplýsinga um uppflettingar í starfsemi slíkra stofa. Í ljósi þessa telur Persónuvernd ekki tilefni til að bæta umræddri heimild við skilmálana.

38.

Gjald fyrir að fá í hendur skýrslu um lánshæfi – 4. mgr. 3. gr.

Í umsögn Creditinfo Lánstraust hf. (bls. 8) um skilmáladrögin er gerð sú athugasemd við 4. mgr. 3. gr. draganna að ekki sé fallist á að hinn skráði eigi rétt á að fá skýrslu um lánshæfi sitt sér að endurgjaldslausu, en um sé að ræða afurð sem framleidd sé með miklum tilkostnaði. Í umsögn Hagsmunasamtaka heimilanna (bls. 3) er þessu hins vegar fagnað.

Samkvæmt 5. mgr. 12. gr. almennu persónuverndarreglugerðarinnar, (ESB) 2016/679, skal ekki lagt á gjald fyrir meðal annars þær upplýsingar sem hinn skráði fær á grundvelli aðgangs- og upplýsingaréttar síns samkvæmt 15. gr. reglugerðinnar. Eins og fram kemur í 3. mgr. þeirrar greinar tekur sá réttur meðal annars til afrits af þeim persónuupplýsingum sem eru í vinnslu. Verður að leggja til grundvallar að þar sé átt við upplýsingar sem þegar liggja fyrir en ekki upplýsingar sem enn eru ekki orðnar til, svo sem þar sem enn hafi ekki farið fram tiltekið mat og niðurstöður fengist úr því. Ljóst er að þegar gert er greiðslumat, sbr. meðal annars 2. mgr. 10. gr. laga nr. 33/2013 um neytendalán og VI. kafla laga nr. 118/2016 um fasteignalán til neytenda, er alla jafna tekið gjald fyrir það og verður ekki séð að slíkt sé óheimilt samkvæmt umræddum ákvæðum reglugerðar (ESB) 2016/679. Þá verður ekki séð að þau banni gjaldtöku fyrir gerð lánshæfismats, sbr. meðal annars 1. mgr. 10. gr. laga nr. 33/2013 og 1. mgr. 20. gr. laga nr. 118/2016. Þegar um ræðir niðurstöðu um mat á lánshæfi sem þegar er fyrirliggjandi, þ.e. vegna mats á áhættu við veitingu fjárhagslegrar fyrirgreiðslu sem þegar hefur átt sér stað, verður hins vegar ekki talið heimilt að taka gjald fyrir afhendingu skýrslu um matið. Til að framangreint endurspeglist í 4. mgr. 3. gr. draganna hefur Persónuvernd þar skipt út orðinu „skýrslu“ á einum stað og orðinu „skýrslunni“ á öðrum fyrir orðin „fyrirliggjandi skýrslum“ og er samkvæmt því skýrt að hinn skráði getur farið fram á afhendingu skýrslna um lánshæfi sem þegar hafa verið gerðar án endurgjalds en að gjaldtaka er ekki óheimil þegar um ræðir gerð nýrrar skýrslu.

39.

Um aðgang áskrifenda að skýrslum um lánshæfi o.fl. – 5. mgr. 3. gr.

Í umsögn Neytendasamtakanna og ASÍ (bls. 5–6) um skilmáladrögin eru gerðar athugasemdir við 5. mgr. 3. gr. draganna. Er lagt til að 2. málsliður greinarinnar falli brott þar sem hann uppljóstri um það sem óheimilt sé samkvæmt málsliðnum á undan. Nánar tiltekið er í þeim málslið lagt bann við miðlun upplýsinga til áskrifenda um hvaða tilteknu breytur hafi áhrif á niðurstöðu skýrslu um lánshæfi hins skráða og tekið fram að eingöngu sé heimilt að upplýsa þá um tölfræðilegar niðurstöður. Í málsliðnum þar á eftir, sem lagt er til í umsögn Neytendasamtakanna og ASÍ að falli brott, er tekið fram að fjárhagsupplýsingastofu sé þó heimilt að greina áskrifendum frá því hvort byggt sé á breytum sem hinn skráði hefur sérstaklega samþykkt, en þá skuli þess sem endranær gætt að ekki sé upplýst um hverjar þessar tilteknu breytur séu.

Einnig er lagt til í umsögninni að við 5. mgr. 3. gr. skilmálanna bætist svohljóðandi viðbót:

„Einstaklingi er á hverjum tíma heimilt að óska eftir lánshæfismati sínu, sér að kostnaðarlausu, og skal fjárhagsupplýsingastofa verða við óskum hans og senda með þeim hætti sem einstaklingur óskar. Einstaklingi er ekki skylt að sækja upplýsingarnar inn á lokað vefsvæði í eigu fjárhagsupplýsingastofu, heldur getur fengið upplýsingar sendar hvenær sem er, til dæmis í bréfpósti, island.is, eða í netbanka sinn.“

Að auki kemur fram í umsögninni að ef ekki er fallist á framangreinda tillögu að viðbót er svohljóðandi tillaga lögð fram til vara:

„Séu upplýsingar sóttar inn á öruggt vefsvæði í eigu fjárhagsupplýsingastofu má fjárhagsupplýsingastofa ekki gera einstaklingi að samþykkja vinnslu sem telst íþyngjandi eða heimila vinnslu upplýsinga a[nnarra] en þ[eirra] sem sóttar eru.“

Hvað snertir þá tillögu að 2. málsliður 5. mgr. 3. gr. skilmálanna falli brott skal tekið fram að hann heimilar að veitendum fjárhagslegrar fyrirgreiðslu sé greint frá atriði sem þeir hafa lögmæta hagsmuni af að fá vitneskju um, þ.e. að lánshæfismat sé gert á grundvelli ítarlegri breytna en eingöngu upplýsinga úr opinberum gögnum þannig að það sé nákvæmara en það ella væri. Er því ekki fallist á að umræddur málsliður falli brott. Í tengslum við þær tillögur að viðbót við 5. mgr. 3. gr. skilmálanna, sem vitnað er til hér að framan, skal tekið fram að þær lúta að atriði sem gerð eru skil í 5. málsl. 4. mgr. sömu greinar þar sem fjallað er um hvernig fræðslu og skýrslum um lánshæfi, sem hinn skráði óskar eftir, er komið á framfæri við hann. Að gerðri tiltekinni breytingu á málsliðnum, sbr. 38. kafla hér að framan, segir nú þar að fræðslan, ásamt fyrirliggjandi skýrslum, skuli send á skráð lögheimili hins skráða en að einnig megi veita aðgang á öruggu, aðgangsstýrðu vefsvæði. Telur Persónuvernd þetta ákvæði nægja til að tryggja réttindi hins skráða og að ekki sé því þörf á að útfæra nánar hvernig fræðslan er veitt, svo sem með sérstökum skilyrðum um að hana skuli senda á tilteknar vefsíður eða í netbanka. Ljóst má telja að skilyrði fyrir veitingu fræðslu umfram það sem mælt er fyrir um í lögum nr. 90/2018 og almennu persónuverndarreglugerðinni, (ESB) 2016/679, teldust ólögmæt, sbr. meðal annars grunnkröfur 1. tölul. 1. mgr. 8. gr. laganna og a-liðar 1. mgr. 5. gr. reglugerðarinnar um gagnsæi, og er óþarft að fjalla sérstaklega um það í skilmálunum. Hins vegar skal tekið fram að tillögur Neytendasamtakanna og ASÍ í þessum efnum hafa orðið til þess að Persónuvernd hyggst kanna hvort einhverjum skilyrðum eins og hér um ræðir sé fyrir að fara hér á landi, þ.e. hjá fjárhagsupplýsingastofunni Creditinfo Lánstrausti hf., og verður henni sent bréf af því tilefni.

40.

Miðlun upplýsinga úr landi – 4. gr. og ákvæði 5.1

Í umsögn Neytendasamtakanna og ASÍ (bls. 6) um skilmáladrögin er gerð sú athugasemd við 4. gr. draganna að ólíkt því sem sé í starfsleyfum í nágrannalöndum sé ekki fjallað um miðlun upplýsinga úr landi. Er lagt til að bætt verði við skilyrði um að leyfi Persónuverndar þurfi fyrir slíkri miðlun, svo og um að vernd skuli vera fullnægjandi í landi viðtakanda.

Um miðlun persónuupplýsinga úr landi fer nú samkvæmt 44. til 50. gr. almennu persónuverndarreglugerðarinnar, (ESB) 2016/679, sbr. 2. gr. laga nr. 90/2018. Er þar ekki gert að skilyrði að persónuverndarstofnanir leyfi slíka miðlun og hefur Persónuvernd ekki valdsvið til að setja þess háttar skilyrði í starfsleyfisskilmála. Eins og ákvæðin eru úr garði gerð er hins vegar rík áhersla lögð á að upplýsingum sé ekki miðlað til landa sem ekki veita fullnægjandi persónuupplýsingavernd, sbr. 46. og 47. gr. reglugerðarinnar, nema gerðar séu sérstakar ráðstafanir til verndar upplýsingunum eða að öðrum kosti að fyrir miðluninni liggi samþykki hins skráða eða að hún byggist á brýnum ástæðum, sbr. 49. gr. reglugerðarinnar. Telur Persónuvernd ekki tilefni til að setja sérstakar reglur í starfsleyfisskilmála umfram það sem fram kemur í þessum ákvæðum.

Hins vegar telur Persónuvernd tilefni til að fylgja því fordæmi, sem fram kemur í 2. mgr. 4. gr. staðlaðra starfsleyfisskilmála dönsku persónuverndarstofnunarinnar, að hinn skráði skuli fræddur um það ef ráðgert er að miðla upplýsingum til þriðja lands, þ.e. lands utan ESB og EES, eða alþjóðastofnunar. Í ljósi þessa hefur Persónuvernd bætt nýjum lið við ákvæði 5.1 í skilmálunum, þ.e. lið 5.1.5, svohljóðandi:

„Hyggist fjárhagsupplýsingastofa miðla persónuupplýsingum til viðtakanda í þriðja landi eða alþjóðastofnunar skal hinn skráði upplýstur um það. Einnig skal hann upplýstur um hvort og í hvaða mæli framkvæmdastjórn ESB hefur tekið ákvörðun um hvort persónuupplýsingum sé veitt fullnægjandi vernd í viðkomandi þriðja landi eða innan hlutaðeigandi alþjóðastofnunar. Falli miðlunin ekki undir slíka ákvörðun skal hinn skráði upplýstur um þær ráðstafanir sem gerðar eru til verndar upplýsingunum samkvæmt 47. og 48. gr. reglugerðarinnar eða á hvaða grundvelli samkvæmt 1. mgr. 49. gr. reglugerðarinnar miðlunin er fyrirhuguð. Þá skal hann upplýstur um hvernig hann geti nálgast upplýsingar um verndarstig í viðkomandi þriðja landi eða hjá hlutaðeigandi alþjóðastofnun, liggi ákvörðun þar að lútandi fyrir, eða um hvernig leitast er við að vernda upplýsingar að öðrum kosti.“

41.

Ósamræmi um hvaða upplýsingum má miðla eftir uppruna þeirra – 2. mgr. 4. gr.

Í umsögn Creditinfo Lánstrausts hf. (bls. 14), umsögn Greiðslumiðlunar ehf. (bls. 6), umsögn Samtaka fjármálafyrirtækja (bls. 4) og umsögn Símans hf. (bls. 5) um skilmáladrögin er gerð sú athugasemd við 2. mgr. 4. gr. draganna að þar sé ósamræmi um hvaða upplýsingum megi miðla eftir því hvort um ræði gögn úr opinberum skrám eða frá áskrifendum. Nánar tiltekið megi ekki miðla upplýsingum um grundvöll kröfu, grundvöll skráningar og kröfuhafa þegar gögn stafi frá áskrifendum þó svo að slíkt sé heimilt þegar þau séu úr opinberum skrám. Er tiltekið í umsögn Samtaka fjármálafyrirtækja og umsögn Símans hf. að upplýsingar um grundvöll kröfu geti skipt máli við áhættustýringu. Að auki segir í umsögn fyrrnefnda aðilans að þær geti haft jákvæðar afleiðingar fyrir hinn skráða. Þá segir í umsögn Creditinfo Lánstrausts hf. að á meðal þeirra upplýsinga, sem miðla má úr gögnum frá áskrifendum eða úr opinberum skrám, ættu að vera dagsetning skráningar og nafn kröfuhafa og umboðsmanns hans.

Persónuvernd telur ekki rök standa til annars en að upplýsingum um grundvöll krafna megi miðla óháð því hvort upplýsingar um þær eru fengnar frá áskrifendum eða úr opinberum skrám. Þá telur Persónuvernd upplýsingar um dagsetningu skráningar og nafn kröfuhafa og umboðsmanns hans geta haft þýðingu við mat á lánstrausti. Nánar tiltekið má meðal annars ætla að sá tími sem liðinn er frá skráningu geti skipt máli við mat á greiðslugetu eða greiðsluvilja, auk þess sem upplýsingar um það til dæmis að vanskil séu við aðila, sem veitir tiltekna tegund þjónustu, kunna að hafa þýðingu fyrir aðra veitendur sams konar þjónustu. Hefur Persónuvernd breytt umræddu ákvæði skilmálanna til samræmis við þær athugasemdir sem fyrr greinir.

42.

Upptalning á því hvenær krafa telst ekki vera í vanskilum – 3. mgr. 4. gr.

Í umsögn Símans hf. (bls. 4) um skilmáladrögin er gerð sú athugasemd við 3. mgr. 4. gr. draganna að sú upptalning sem þar kemur fyrir á því hvenær krafa telst í skilum sé óþörf.

Persónuvernd telur þessa upptalningu geta haft leiðbeiningargildi. Hafa því ekki verið gerðar breytingar á ákvæðinu í ljósi þessarar athugasemdar.

43.

Notkun upplýsinga við gerð skýrslna um lánshæfi – 4. mgr. 4. gr. og 2. mgr. ákvæðis 7.1

Í umsögn Neytendasamtakanna og ASÍ (bls. 4) um skilmáladrögin er gerð athugasemd við 4. mgr. 4. gr. draganna, þess efnis að óheimilt sé að miðla upplýsingum um hve oft tilteknum einstaklingi eða einstaklingum hefur verið flett upp. Nánar tiltekið er lögð til svofelld viðbót við ákvæðið: „Jafnframt er óheimilt að nota þær upplýsingar í gerð skýrslna um lánshæfi einstaklinga.“

Persónuvernd telur, í ljósi þeirra röksemda sem raktar eru í 37. kafla hér að framan, að tilefni sé til að kveða á um framangreint í skilmálunum, svo og bann við notkun uppflettinga í umræddu skyni almennt. Í stað þess að reglu þar að lútandi sé að finna í 4. mgr. 4. gr. skilmálanna telur stofnunin henni betur fyrir komið í niðurlagi 2. mgr. ákvæðis 7.1. Hefur henni nú verið bætt þar við með svohljóðandi texta: „Óheimilt er að nota upplýsingar úr skránni um einstakar uppflettingar, svo og aðrar upplýsingar sem þar er að finna, t.d. um fjölda uppflettinga á tilteknum skuldara, við gerð skýrslna um lánshæfi einstaklinga.“

44.

Um að aðeins innheimtuaðilar með lögmenn megi vakta kennitölu – 5. mgr. 4. gr.

Í umsögn Creditinfo Lánstrausts hf. (bls. 14), umsögn Lögheimtunnar ehf. og Motus ehf. (bls. 4) og umsögn Símans hf. (bls. 5) um skilmáladrögin er gerð athugasemd við að samkvæmt 5. mgr. 4. gr. draganna megi aðeins innheimtuaðilar, þar sem starfa lögmenn, vakta kennitölu einstaklings vegna innheimtu krafna. Er þeirri afstöðu lýst að aðilar sem stunda frum- og milliinnheimtu á grundvelli innheimtulaga, og sem ekki hafa yfir að ráða lögmönnum, hafi einnig hagsmuni af slíkri vöktun.

Persónuvernd fellst á framangreint og hefur nú fellt það skilyrði brott úr 5. mgr. 4. gr. skilmálanna að því aðeins megi vakta kennitölu vegna innheimtu að hún sé á vegum aðila þar sem starfa lögmenn. Þá hefur verið gert skýrt að átt sé við innheimtu samkvæmt innheimtulögum nr. 95/2008 eða 24. gr. a í lögum nr. 77/1998 um lögmenn.

45.

Ósamræmi í orðalagi um vöktun kennitölu – 5. mgr. 4. gr.

Í umsögn Samtaka fjármálafyrirtækja (bls. 4) um skilmáladrögin er sú athugasemd gerð við 5. mgr. 4. gr. draganna að þar sé ósamræmi í orðalagi. Nánar tiltekið sé á einum stað rætt um vöktun við áhættustýringu við veitingu fjárhagslegrar fyrirgreiðslu í formi úttektar- eða lánsheimilda en á öðrum um vöktun _vegna_slíkrar áhættustýringar. Er þeirri afstöðu lýst að orðalagið „vegna áhættustýringar“ sé betra en orðalagið „við veitingu áhættustýringar“ þar sem vakta þurfi kennitölu allan þann tíma sem hinn skráði njóti fjárhagslegrar fyrirgreiðslu, ekki aðeins þegar hún sé veitt.

Persónuvernd fellst á þessa athugasemd. Við breytingar á orðalagi til aðlögunar vegna brottfalls þess skilyrðis í ákvæðinu, sem fjallað er um í 44. kafla hér að framan, hafa orðin „vegna áhættustýringar“ fallið brott, en textinn á þeim stað ber enn með sér að vöktun eigi sér ekki aðeins stað á þeim tiltekna tíma sem fjárhagsleg fyrirgreiðsla er veitt. Þá hefur orðalaginu „við veitingu áhættustýringar“ framar í ákvæðinu verið breytt og stendur þar nú „í þágu áhættustýringar“.

46.

Skilyrði um fræðslu um kennitöluvöktun – 5. mgr. 4. gr.

Í umsögn Creditinfo Lánstrausts hf. (bls. 14), umsögn Greiðslumiðlunar ehf. (bls. 6) og umsögn Símans hf. (bls. 5) um skilmáladrögin er gerð athugasemd við það skilyrði 5. mgr. 4. gr. draganna að fræðsla til hins skráða um kennitöluvöktun eigi að vera skrifleg. Er í því sambandi vísað til athugasemda við 1. og 4. mgr. 3. draganna um að í ljósi tækniumhverfis nútímans verði að gera ráð fyrir rafrænni fræðslu. Þá áréttar Síminn hf. þá afstöðu sína, sem greint er frá í tengslum við þessi ákvæði, að óþarft sé að fjalla ítarlega um fræðslu í starfsleyfisskilmálum þegar skýrt sé fjallað um hana í lögum.

Persónuvernd áréttar umfjöllun í 35. kafla um þá afstöðu stofnunarinnar að í starfsleyfisskilmálum sé þörf á að afmarka nánar en í löggjöf hvernig fræðslu skal háttað. Þá skal tekið fram að í ljósi framangreindra athugasemda gerir orðalag í 5. mgr. 4. gr. skilmálanna nú ráð fyrir að fræðsla geti verið bæði skrifleg og rafræn.

47.

Um að tilkynnt verði um upphaf og lok vöktunar – 5. og 6. mgr. 4. gr. og liður 5.1.4

Í umsögn Neytendasamtakanna og ASÍ (bls. 6) við skilmáladrögin er sú athugasemd gerð við 5. og 6. mgr. 4. gr. draganna að bæta ætti þar við skilyrði um að tilkynna skuli hinum skráða um hvenær vöktun hefjist og hvenær henni ljúki.

Persónuvernd fellst efnislega á þessa athugasemd. Í stað þess að mælt sé fyrir um framangreint í 5. og 6. mgr. 4. gr. draganna telur Persónuvernd lið 5.1.4 í drögunum, þar sem fjallað er um fræðslu sem fjárhagsupplýsingastofu ber að veita hinum skráða, heppilegri stað. Hefur nú eftirfarandi texta verið bætt við það ákvæði og orðalagi að öðru leyti breytt til aðlögunar eftir þörfum: „Einnig skal hún upplýsa hann um það þegar áskrifandi hefur vöktun á kennitölu hans, enda hafi hann ekki þegar fengið fræðslu þar að lútandi, sbr. 5. mgr. 3. gr. leyfis þessa, svo og þegar látið er af vöktun.“

48.

Miðlun upplýsinga um bættan hag áskrifanda – 6. mgr. 4. gr.

Í umsögn Greiðslumiðlunar ehf. (bls. 6) og umsögn Símans hf. (bls. 5–6) við skilmáladrögin er gerð athugasemd við skilyrði 6. mgr. 4. gr. draganna um að lögmætir hagsmunir áskrifanda þurfi að vera til staðar svo að tilkynna megi honum að einstaklingur, sem er í kennitöluvöktun hjá áskrifandanum, hafi verið færður af skrá. Er þeirri afstöðu lýst að lögmætir hagsmunir séu hér ávallt til staðar. Þá segir í umsögn Símans hf. að það hljóti alltaf að þjóna hagsmunum einstaklings að upplýsingar um að hann hafi verið færður af skrá rati til lánveitenda hans sem þegar hafi fengið upplýsingar um að hann verið færður á skrána.

Persónuvernd fellst á framangreint og telur því óþarft að tilgreina sérstaklega lögmæta hagsmuni í 6. mgr. 4. gr. skilmálanna. Hefur skilyrðið um slíka hagsmuni því verið fellt brott úr ákvæðinu.

49.

Almennt um fræðsluskyldu – ákvæði 5.1, 3. mgr. liðar 5.1.1 og 3. mgr. liðar 5.1.3

Í umsögn Neytendasamtakanna og ASÍ (bls. 3–4) um starfsleyfið frá 2017 er gerð athugasemd við ákvæði 2.4 í leyfinu sem samsvarar ákvæði 5.1 í skilmálunum. Segir að miðað við upphaf ákvæðisins lúti það ekki að fræðsluskyldu (sbr. fyrirsögn) heldur upplýsingaskyldu og að bæta þurfi verulega vernd og réttindi hinna skráðu, svo og raunverulega aðstoð við þá. Ítarlegri umfjöllun í þessu sambandi er að finna í umsögn samtakanna (bls. 6–7) um skilmáladrögin þar sem gerðar eru athugasemdir við ákvæði 5.1 í drögunum. Segir að í ákvæðinu sé ekki fjallað um upplýsingaskyldu um skýrslur um lánshæfi og vöktun og er lögð til eftirfarandi viðbót:

„Fjárhagsupplýsingastofu sem reiknar lánshæfi einstaklinga sbr. 3. gr. eða „vaktar“ þá ber að upplýsa og skýra út fyrir einstaklingi hver aðferðarfræðin sé, hvernig persónulegt líkindamat hans sé unnið, hvað hann geti gert til að bæta hæfi sitt og hvaða áhrif það mun hafa“.

Einnig segir í umsögninni um skilmáladrögin að fræðsla eigi að vera á tungumáli viðkomandi einstaklings og sannanlega þannig úr garði gerð að hann skilji fræðsluna. Þá er lögð til svohljóðandi viðbót við ákvæði 5.1: „Sérstaklega skal tekið tillit til mannréttinda og mannlegrar reisnar viðkvæmra og jaðarsettra hópa.“

Í þessu sambandi segir að auki að fjárhagsupplýsingastofu eigi að vera skylt að upplýsa hinn skráða um allan rétt sinn og veita ókeypis, óháða, raunverulega fræðslu og ráðgjöf, m.a. um úrræði og hvar leita má óháðrar fræðslu. Afar mikilvægt sé að hinn skráði geti á hverjum tíma fengið upplýsingar um stöðu sína og vinnslu upplýsinga sér að kostnaðarlausu. Þá þurfi að vera tryggt að hann geti skilið efni tilkynningar, enda ekki endilega um að ræða íslenskan ríkisborgara eða íslenskumælandi.

Persónuvernd skilur athugasemdina í umsögninni um starfsleyfið frá 2017 svo að þær upplýsingar, sem samkvæmt ákvæði 2.4 í leyfinu ber að veita hinum skráða, séu ekki nógu ítarlegar til að geta með réttu kallast fræðsla. Verður umsögnin um skilmáladrögin skilin svo að hið sama sé talið eiga við um samsvarandi ákvæði í drögunum, þ.e. ákvæði 5.1. Af því tilefni skal bent á að ákvæðið byggist á þeirri löggjöf sem gildir um vinnslu persónuupplýsinga og reynir þar á ákvæði 13. og 14. gr. almennu persónuverndarreglugerðarinnar, (ESB) 2016/679, sbr. 2. mgr. 17. gr. laga nr. 90/2018. Persónuvernd hefur með ákvæði 5.1 skilmálunum sniðið efni þeirra ákvæða að starfsemi fjárhagsupplýsingastofa innan þess ramma sem þau veita. Þá er í 3. mgr. liðar 5.1.1 og 3. mgr. liðar 5.1.3 að finna tilvísanir til annars vegar 14. gr. og hins vegar 13. gr. reglugerðarinnar til áréttingar því að allar þær reglur sem þar koma fram eiga við um fræðslu samkvæmt skilmálunum. Persónuvernd hefur ekki heimildir að lögum til að ganga lengra en löggjöfin gerir ráð fyrir þannig að sú upplýsingagjöf til hins skráða, sem í persónuverndarlöggjöfinni er nefnd fræðsla, feli að auki í sér ráðgjöf til hins skráða eins og lagt er til umsögninni um skilmáladrögin. Einnig skal tekið fram, hvað snertir tillögu um ákvæði um viðkvæma og jaðarsetta hópa, að á því er byggt sem forsendu í skilmálunum að upplýsingar á skrá hjá fjárhagsupplýsingastofu lúti að fjárhagslegum atriðum. Sérstakt ákvæði um mannréttindi og mannlega reisn viðkvæmra og jaðarsettra hópa gæti skilist á þann veg að fjárhagsupplýsingastofu sé ætlað að fella einstaklinga, sem unnið er með upplýsingar um hjá stofunni, undir skilgreiningar á slíkum hópum og væri það ekki í anda fyrrgreindrar forsendu.

Tekið skal hins vegar fram að Persónuvernd telur mikilvægt að mannréttindi og mannleg reisn séu virt í umræddri starfsemi. Í stað þess að fjalla um slíkt í ákvæði, þar sem viðkvæmir og jaðarsettir hópar eru tilgreindir sérstaklega, er leitast við að tryggja að svo sé gert með hinum almenna ramma um starfsemi fjárhagsupplýsingastofa sem mótaður er með skilmálunum. Þá skal, í tengslum við tillögu þess efnis að fræðsla verði á móðurmáli viðkomandi einstaklings, bent á að ekki er hægt að gera ráð fyrir að fjárhagsupplýsingastofu sé ávallt kunnugt um það fyrirfram hvert það tungumál er. Hins vegar telur Persónuvernd, í ljósi grunnkröfunnar um gagnsæi samkvæmt 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018, að rétt sé að taka tillit til athugasemda hvað þetta varðar með því að bæta við skilmálana reglu þess efnis að fjárhagsupplýsingastofa skuli leitast við að gera fræðslu aðgengilega á ekki aðeins íslensku heldur einnig algengustu erlendum tungumálum á Íslandi. Hefur þetta verið gert með viðbót við 3. mgr. liðar 5.1.1 og 3. mgr. liðar 5.1.3 í skilmálunum.

50.

Hvert andmælum er beint og hvernig – 2. mgr. liðar 5.1.1

Í umsögn Creditinfo Lánstrausts hf. (bls. 13) og umsögn Lögheimtunnar ehf. og Motus ehf. (bls. 5) við skilmáladrögin er lýst þeim skilningi að misræmi sé á milli annars vegar 3. mgr. ákvæðis 2.1 í drögunum, þar sem fram kemur að andmælum er beint til kröfuhafa, og hins vegar 2. mgr. liðar 5.1.1 og ákvæðis 5.4 í drögunum, þar sem fjallað er um andmæli sem beint er að fjárhagsupplýsingastofu. Eru í umsögnunum lagðar til breytingar í því sambandi.

Þegar hefur verið fjallað um þessar athugasemdir hvað snertir 3. mgr. ákvæðis 2.1 í skilmálunum og vísast til umfjöllunar þar að lútandi í 14. kafla hér að framan. Til viðbótar þeirri umfjöllun skal hér vikið að þeirri athugasemd, sem fram kemur í umsögn Lögheimtunnar ehf. og Motus ehf., að andmælum samkvæmt 2. mgr. liðar 5.1.1 í skilmálunum, þar sem fjallað er um andmæli við vanskilaskráningu til fjárhagsupplýsingastofu, ætti einnig að vera hægt að beina til kröfuhafa. Þá skal vikið að þeirri athugasemd Creditinfo Lánstrausts hf. að ekki sé gerð krafa um að andmæli samkvæmt 2. mgr. umrædds liðar séu sannanleg, ólíkt því sem gildi um andmæli samkvæmt 3. mgr. ákvæðis 2.1.

Persónuvernd tekur í þessu sambandi fram að skráning vanskilaupplýsinga hjá fjárhagsupplýsingastofu er í eðli sínu íþyngjandi. Því er eðlilegt að leggja á slíka stofu ríkar skyldur í tengslum við skráninguna, þ. á m. til að fara yfir og taka afstöðu til andmæla frá hinum skráða, og er það í anda þess að einungis fjárhagsupplýsingastofa sé hér tilgreind sem viðtakandi andmæla. Þá stendur 2. mgr. liðar 5.1.1 í beinum tengslum við upphaf ákvæðis 5.1 þar sem fjallað er um tilkynningu fjárhagsupplýsingastofu til hins skráða um fyrirhugaða skráningu 14 dögum fyrir miðlun upplýsinganna í fyrsta sinn svo að hann geti gætt hagsmuna sinna. Má samkvæmt þessu telja eðlilegt að í lið 5.1.1 séu aðeins tilgreind andmæli til fjárhagsupplýsingastofu, enda fela þau í sér viðbrögð hins skráða við þeirri tilkynningu frá stofunni til hans sem fyrr greinir.

Hvað það snertir að andmæli til fjárhagsupplýsingastofu skuli vera sannanleg með sama hætti og andmæli til kröfuhafa vegna umdeildrar kröfu, sbr. 3. mgr. ákvæðis 2.1, tekur Persónuvernd fram að andmæli samkvæmt því ákvæði leggja þá skyldu á fjárhagsupplýsingastofu að hvorki skrá upplýsingar né miðla þeim án þess þó að andmælunum hafi verið beint til stofunnar. Getur hún því þurft að leita til kröfuhafa til að fá nauðsynleg gögn til staðfestingar því að umrædd skylda hvíli á henni. Þegar um ræðir andmæli sem berast fjárhagsupplýsingastofu beint ætti það hins vegar að teljast til eðlilegra vinnubragða að gerðar séu ráðstafanir til að tryggja að fyrir liggi gögn um þau, svo sem með því að skrá munnleg andmæli. Er því ekki ástæða til að leggja sérstakar kröfur á hinn skráða til að koma andmælum til fjárhagsupplýsingastofu sannanlega á framfæri.

Að framangreindu virtu telur Persónuvernd að ekki sé tilefni til breytinga á umræddum lið í ljósi þeirra athugasemda sem fyrr greinir.

51.

Hugtakanotkun – 2. mgr. liðar 5.1.1

Í umsögn Símans hf. (bls. 6) við skilmáladrögin er gerð sú athugasemd við 2. mgr. liðar 5.1.1 í drögunum að óljóst sé hvað átt sé við með orðinu „réttargjörð“, þ.e. þar sem segir að liggi ekki fyrir nein réttargjörð, sem staðfesti réttleika upplýsinga um vanskil, skuli geta þess í fræðslu að þeim verði eytt af skrá snúi viðkomandi sér til stofunnar og andmæli tilvist kröfu eða fjárhæð hennar.

Persónuvernd fellst á að orðalag mætti vera skýrara í umræddu ákvæði. Hefur því nú verið bætt við það orðunum „opinber skráning eða löggerningur samkvæmt liðum 2.2.1. og 2.2.2 í leyfi þessu“ á eftir orðinu „réttargjörð“. Þá hafa frekari breytingar verið gerðar á orðalagi frá þeim texta skilmáladraganna sem vitnað er til hér að framan, sbr. nánari umfjöllun í 89. kafla hér á eftir.

52.

Efni og form andmæla – 2. mgr. liðar 5.1.1

Í umsögn Símans hf. (bls. 6) við skilmáladrögin er gerð sú athugasemd við 2. mgr. liðar 5.1.1 í drögunum, þar sem fjallað er um andmæli skuldara við skráningu, að ekki ætti að nægja að andmæli samkvæmt ákvæðinu snúi að tilvist kröfu og fjárhæð hennar fyrst strangari kröfur gilda um andmæli og rökstuðning fyrir þeim samkvæmt 3. mgr. ákvæðis 2.1. Einnig segir að munnleg andmæli, eins og gert er ráð fyrir í ákvæðinu, ættu ekki að nægja og er þeirri spurningu velt upp hvernig fjárhagsupplýsingastofa eigi þá að fá sönnun fyrir andmælum, tryggja áreiðanleika þeirra og auðkenningu og varðveita þau. Eftir standi stærsta álitaefnið, þ.e. hvernig fjárhagsupplýsingastofa eigi að geta tekið afstöðu til andmæla við tilvist eða fjárhæð kröfu án aðkomu kröfuhafa. Samkvæmt því ætti fjárhagsupplýsingastofa að bera andmæli undir kröfuhafa áður en afstaða sé tekin til þess hvort upplýsingum verði eytt af skrá. Þá segir að ósamræmi virðist vera milli 2. mgr. liðar 5.1.1 og ákvæðis 5.3 um hvenær afskrá skal upplýsingar eða eyða þeim og þarfnist fyrrnefnda ákvæðið endurskoðunar.

Hvað form andmæla snertir tekur Persónuvernd fram að í ljósi íþyngjandi eðlis vanskilaskráningar verður ekki talið rétt að gera strangar kröfur í umræddum efnum. Um munnleg andmæli má ávallt gera minnisblað. Þá fela þau í sér að skuldari kemur á framfæri við fjárhagsupplýsingastofu upplýsingum sem hann telur skipta máli en ekki að stofan veiti upplýsingar um einstakling sem eðlilegt er og sanngjarnt að fari leynt gagnvart öðrum en þeim sem lögmæta hagsmuni hafa af aðgangi að þeim. Verður samkvæmt því ekki talin þörf á sérstakri auðkenningu þegar munnleg andmæli eru móttekin.

Hvað það varðar að andmæli séu borin undir kröfuhafa skal bent á að skilmálarnir gera ráð fyrir að fjárhagsupplýsingastofa leiti til kröfuhafa þegar þörf krefur, sbr. 1. mgr. ákvæðis 5.4 í skilmálunum. Í ákveðnum tilvikum ætti þess ekki að vera þörf, svo sem ef hinn skráði sendir stofunni gögn til staðfestingar því að kröfu hafi verið komið í skil, sbr. bann 3. mgr. 4. gr. og 1. mgr. ákvæðis 5.3 í skilmálunum við vinnslu upplýsinga um slíkar kröfur, en tekið skal fram í því sambandi að við 2. mgr. liðar 5.1.1 hefur nú verið bætt tilvísun til þess banns. Þá skal tekið fram að í samskiptum við kröfuhafa ætti með einföldum hætti að vera unnt að fá úr því skorið, þegar hinn skráði leggur ekki fram gögn til stuðnings andmælum sínum eða rökstyður þau, hvort skráning á rétt á sér og er óþarft að áskilja að tilgreind sé ástæða andmæla eins og í 3. mgr. ákvæðis 2.1 í skilmálunum þar sem fjallað er um umdeildar kröfur.

Í tengslum við að ósamræmi sé milli 2. mgr. liðar 5.1.1 og ákvæðis 5.3 í skilmálunum um hvenær afskrá skal upplýsingar og eyða þeim tekur Persónuvernd fram að ekki er útskýrt í umsögn Símans hf. hvert ósamræmið sé. Hins vegar er ljóst að nokkur munur er á umræddum ákvæðum. Nánar tiltekið er fyrrnefnda ákvæðið sérregla um upplýsingar sem frá upphafi voru ekki forsendur til að skrá, þar sem lagalegan grundvöll skorti fyrir skráningu kröfu, en hitt ákvæðið lýtur að öllum andmælum, þ. á m. þeim sem koma eftir að upplýsingar hafa verið skráðar á lögmætan hátt þegar ekki er lengur fullnægt skilyrðum til skráningarinnar. Þegar upplýsingar berast til skráningar sem ekki eru forsendur til að skrá er ljóst að þeim ber alfarið að eyða. Hafi forsendur hins vegar verið til skráningar er sú aðstaða aftur á móti uppi að þær eru afskráðar og þeim ekki framar miðlað en þær jafnframt varðveittar í þrjú ár háðar ströngum aðgangstakmörkunum í þágu þess tilgangs sem skilgreindur er í 1. og 2. mgr. ákvæðis 5.3. Þar sem þessar reglur um afskráningu og viðbótarskráningu eiga ekki við um kröfur samkvæmt 2. mgr. liðar 5.1.1 er eðlilegt að munur birtist á annars vegar því ákvæði og hins vegar ákvæði 5.3.

Að framangreindu virtu telur Persónuvernd ekki tilefni til breytinga á skilmálunum í ljósi umræddrar athugasemdar Símans hf.

53.

Strangari kröfur til veitingar kosts á andmælum – 1. mgr. liðar 5.1.2

Í umsögn Neytendasamtakanna og ASÍ (bls. 4) um starfsleyfið frá 2017 eru gerðar athugasemdir við 1. mgr. liðar 2.4.2 í leyfinu sem samkvæmt efni sínu eiga einnig um 1. mgr. liðar 5.1.2 í skilmáladrögunum. Tekið er fram í umsögninni að orðið fræðslutilkynning, sem notað er í báðum ákvæðunum, finnist ekki í orðabók og að því þurfi að skilgreina hvað í því felst. Jafnframt ætti að koma fram að fjárhagsupplýsingastofa skuli með sannanlegum hætti, svo sem með ábyrgðarpósti eða stefnuvotti, koma upplýsingum til skuldara og bjóða honum upp á fræðslu á móðurmáli sem sé sannanlega þannig úr garði gerð að hann skilji hana.

Persónuvernd telur orðið „fræðslutilkynningu“ vera gagnsætt og auðskiljanlegt og skiptir ekki máli hvort það er skráð í orðabók, enda er ljóst að orðabækur hafa ekki að geyma öll samsett orð sem fyrirfinnast í íslensku máli. Hvað varðar þær kröfur, sem lagt er til að gerðar verði til veitingar kosts á andmælum, skal bent á að þær myndu leggja mun ríkari skyldur á starfsleyfishafa en gilda til dæmis um sendingu innheimtubréfa, en þess er ekki krafist samkvæmt íslenskri löggjöf að þau séu send í ábyrgðarpósti eða með stefnuvotti. Ljóst er að vanskilaskráning er íþyngjandi fyrir hinn skráða, en einnig er ljóst að um ræðir skráningu sem tekur til mikils fjölda krafna og að henni er ætlað að stuðla að auknu öryggi við veitingu fjárhagslegrar fyrirgreiðslu. Telur Persónuvernd að svo ríkar kröfur til veitingar kosts á andmælum, sem lagðar eru til í umsögn Neytendasamtakanna og ASÍ, fælu í sér óhóflega skerðingu á þeim hagsmunum. Einnig bendir Persónuvernd á að samkvæmt niðurlagi 1. mgr. liðar 5.1.2 í skilmálunum ber fjárhagsupplýsingastofu, verði hún þess vör að fræðslutilkynning hafi ekki borist hinum skráða, að senda honum aðra tilkynningu. Þá telur stofnunin að erfitt sé að tryggja sönnun fyrir huglægum atriðum á borð við það hvort hinn skráði hafi skilið efni tilkynningar en jafnframt að tilkynning eigi að vera skýr og að eðlilegt sé að gera tilteknar ráðstafanir í ljósi þess að ekki eiga allir á Íslandi sér íslensku að móðurmáli, sbr. 49. kafla hér að framan. Að undanskilinni þeirri viðbót við skilmálana sem þar er fjallað um telur Persónuvernd ekki tilefni til breytinga á þeim í ljósi umræddra athugasemda.

54.

Um að vefsvæði til móttöku andmæla verði í eigu þriðja aðila – 1. mgr. liðar 5.1.2

Í umsögn Neytendasamtakanna og ASÍ um skilmáladrögin er gerð sú athugasemd við 1. mgr. liðar 5.1.2 í drögunum að vefsvæði, sem fjárhagsupplýsingastofu er heimilt samkvæmt ákvæðinu að nota til sendingar fræðslutilkynningar, skuli vera í eigu þriðja aðila.

Persónuvernd telur rök ekki standa til þess að umrætt vefsvæði, sem því aðeins er notað til sendingar tilkynninga til hins skráða að hann hafi samþykkt það, megi ekki vera í eigu fjárhagsupplýsingastofu, enda liggur ekki fyrir hvers vegna réttindi hins skráða ættu að vera betur tryggð sé vefsvæðið í eigu þriðja aðila. Telur Persónuvernd því ekki tilefni til breytingar á skilmálunum í ljósi umræddrar athugasemdar.

55.

Skilyrði um samþykki fyrir notkun aðgangsstýrðs svæðis til veitingar fræðslu – 1. mgr. liðar 5.1.2

Í umsögn Creditinfo Lánstrausts hf. (bls. 12) og umsögn Samtaka fjármálafyrirtækja (bls. 4) um skilmáladrögin er gerð athugasemd við það skilyrði 1. mgr. liðar 5.1.2 í drögunum að notkun aðgangsstýrðs vefsvæðis til veitingar fræðslu skuli byggjast á samþykki hins skráða. Segir í fyrrnefndu umsögninni að reynt sé að draga úr bréfasendingum og að þetta skilyrði muni auka slíkar sendingar gríðarlega. Þá er í síðarnefndu umsögninni minnt á markmið stjórnvalda um stafræn samskipti og umhverfis- og kostnaðarsjónarmið sem sjálfsagt sé og eðlilegt að skilmálar miðist við.

Persónuvernd tekur í þessu samhengi fram að einfalt á að vera að útbúa tæknilega leið til þess að afla umrædds samþykkis á einfaldan, rafrænan hátt. Samkvæmt þessu telur Persónuvernd framangreindar athugasemdir ekki gefa tilefni til þess að umræddum skilmála, sem mótaður var með hliðsjón af 2. mgr. ákvæðis 2.3 í stöðluðum starfsleyfisskilmálum frá norsku persónuverndarstofnuninni, sé breytt.

56.

Um að komið sé í veg fyrir skráningu rangra og villandi upplýsinga – ákvæði 5.2

Í umsögn Neytendasamtakanna og ASÍ (bls. 7) um skilmáladrögin er sú athugasemd gerð við ákvæði 5.2 í drögunum, þar sem fjallað er um leiðréttingu og eyðingu rangra og villandi upplýsinga, að á það skorti að komið sé í veg fyrir rangar eða villandi skráningar með viðeigandi refsingu við slíku. Eru lagðar til stighækkandi sektir eftir alvarleika brota.

Persónuvernd áréttar að um viðurlög fer eftir ákvæðum í settum lögum og er beiting þeirra tilvikabundin. Stofnunin getur því ekki sett ákvæði í starfsleyfisskilmála um til dæmis stighækkandi sektir. Hins vegar er ljóst að ef á það reynir að ekki hafi verið farið að umræddum starfsleyfisskilmálum kemur til skoðunar að Persónuvernd beiti valdheimildum sínum, eftir atvikum beitingu stjórnvaldssekta, sbr. 46. og 47. gr. laga nr. 90/2018. Þá er minnt á að í 1. mgr. 1. gr. og 2. mgr. 6. gr. skilmálanna er fjallað um viðbrögð við brotum gegn skilmálunum og áskriftarsamningum, þ. á m. um að komið geti til leyfissviptingar og að brot áskrifenda geti varðað riftun áskriftarsamninga. Að auki eru sektarheimildir Persónuverndar þar nú áréttaðar. Í ljósi þess sem fyrr er rakið telur stofnunin hins vegar ekki að unnt að breyta skilmálunum með þeim hætti sem lagt er til í umræddri athugasemd.

58.

Afskráning verði tafarlaus – 1. mgr. ákvæðis 5.3

Í umsögn Neytendasamtakanna og ASÍ (bls. 7) er gerð athugasemd við 1. mgr. ákvæðis 5.3 í drögunum þar sem fjallað er um afskráningu upplýsinga og varðveislutíma þeirra. Segir að þung áhersla sé lögð á íþyngjandi áhrif skráningar og er lagt til að orðið „tafarlaust“ bætist við 1. málsl. ákvæðisins á undan orðunum „Fjárhagsupplýsingastofa skal“, en í umræddum málslið er fjallað um afskráningu upplýsinga sem komið hefur verið í skil.

Persónuvernd fellst á framangreinda athugasemd og hefur gert viðeigandi breytingu á umræddu ákvæði í samræmi við hana.

58.

Mikilvægi eftirlits og viðurlaga – 1. mgr. ákvæðis 5.3

Í umsögn Neytendasamtakanna og ASÍ (bls. 7) um skilmáladrögin er sú athugasemd gerð við ákvæði 1. mgr. ákvæðis 5.3 í drögunum að í tengslum við varðveislutíma upplýsinga stangist á réttindi neytenda og fjárhagsupplýsingastofu sem hafi hagsmuni af að varðveita upplýsingar sem lengst. Jafnframt er tekið fram að í þessu ákvæði kristallist mikilvægi eftirlits Persónuverndar, en hvorki sé tekið á því né viðurlögum.

Persónuvernd tekur fram að hún telur mikilvægt að fram fari eftirlit með umræddri starfsemi og að beitt sé viðurlögum eftir því sem við á. Eins og rakið er í 56. kafla hér að framan verða viðurlög að byggjast á settum lögum, auk þess sem fjallað er um viðbrögð við brotum gegn skilmálanum í 1. mgr. 1. gr. og 2. mgr. 6. gr. þeirra. Með vísan til þess sem fram kemur í umræddum kafla telur Persónuvernd ekki tilefni til breytinga á skilmálunum í ljósi fyrrgreindra athugasemda.

59.

Afskráning upplýsinga um greiðsluaðlögun – 1. mgr. ákvæðis 5.3

Í fyrri umsögn umboðsmanns skuldara (bls. 3) við skilmáladrögin er gerð athugasemd við 1. mgr. ákvæðis 5.3 í drögunum. Segir að fella ætti brott þau orð að upplýsingar um greiðsluaðlögun eigi að afskrá þegar greiðsluaðlögunartímabili, sbr. 2. mgr. 16. gr. laga nr. 101/2010 um greiðsluaðlögun einstaklinga, er lokið. Byggist þessi tillaga á þeirri afstöðu umboðsmanns skuldara að upplýsingar um greiðsluaðlögun ætti yfir höfuð ekki að skrá. Allar kröfur séu enda í skilum þegar samningur um greiðsluaðlögun komist á og hafi skuldari verið vanskilaskráður sé Creditinfo Lánstraust hf. upplýst um greiðsluaðlögunina til að fá skráningu afmáða.

Persónuvernd vísar í þessu sambandi til umfjöllunar í 21. kafla hér að framan þar sem fjallað er um það meðal annars að ógjaldfærni skuldara er gerð að skilyrði greiðsluaðlögunar og að ljóst megi telja að svigrúm hans til að taka sér nýjar skuldbindingar á herðar sé takmarkað á meðan hún varir. Þá telur Persónuvernd að þó svo að einstakar kröfur séu í skilum þegar greiðsluaðlögun kemst á og að þær eigi því að afskrá megi telja skráningu upplýsinga um greiðsluaðlögunina sem slíka styðjast við málefnaleg rök, enda um að ræða úrræði sem gefur skýra vísbendingu um skerta greiðslugetu. Jafnframt telur Persónuvernd hins vegar verða að taka tillit til afstöðu umboðsmanns skuldara sem stjórnvalds á því sviði sem hér um ræðir. Að auki má hafa hliðsjón af löggjöf annars staðar á Norðurlöndunum. Eins og greinir í fyrrnefndum kafla greinargerðar þessarar er nálgun þar ólík eftir einstökum löndum og er svigrúm fjárhagsupplýsingastofa til að vinna með upplýsingar um greiðsluaðlögun tiltölulega rúmt í Noregi en þröngt í Danmörku þar sem fjárhagsupplýsingastofum er hins vegar talið heimilt að miðla vanskilaupplýsingum sem skráðar voru fyrir samþykkt greiðsluaðlögunar. Að framangreindu virtu hefur Persónuvernd stytt varðveislutíma upplýsinga um greiðsluaðlögun samkvæmt umræddu ákvæði þannig að þær skuli afmá ári eftir skráningu. Að öðru leyti áréttar stofnunin þá afstöðu sína að heppilegast væri að í löggjöf væri tekin afstaða til álitaefna í þessu sambandi.

60.

Varðveislutími – 1. mgr. ákvæðis 5.3

Í umsögn Neytendasamtakanna og ASÍ um skilmáladrögin (bls. 7) er sú athugasemd gerð við 1. mgr. ákvæðis 5.3 að þar ætti ekki að leggja öll vanskil að jöfnu. Eru áréttaðar athugasemdir við 2. mgr. ákvæðis 2.1 um að þörf sé á hvatningarkerfi fyrir fólk til að komast úr vanskilaskráningu og að líta þurfi til fyrningartíma krafna eftir gjaldþrot, en hann er tvö ár, sbr. 2. mgr. 165. gr. laga nr. 21/1991 um gjaldþrotaskipti o.fl., sbr. lög nr. 142/2010. Segir að öllum kröfum ætti að eyða að þeim tíma liðnum, en samtökin hafi engin rök séð sem réttlæti lengri varðveislutíma. Þá liggi fyrir vilji löggjafans með styttingu fyrningarfrests eftir gjaldþrot.

Eins og farið er yfir í 5. kafla hér að framan telur Persónuvernd réttaráhrif gjaldþrots, þ.e. að ekki er lengur unnt að krefjast efnda á kröfu, ekki þurfa að leiða til þess að upplýsingar um hana sé ómálefnanlegt að nota vegna mats á lánstrausti. Í því sambandi er það áréttað sem fram kemur í kaflanum um gildi þeirra sem þáttar í viðskiptasögu sem byggt er á við lánshæfismat, sbr. k-lið 5. gr. laga nr. 33/2013 um neytendalán og 17. tölul. 4. gr. laga nr. 118/2016 um fasteignalán til neytenda. Þá vísast til umfjöllunar um það hvaða varðveislutíma megi telja hæfilegan í 9. kafla hér að framan. Telur Persónuvernd, í ljósi þessa, að ekki sé tilefni til að breyta skilmálunum með vísan til fyrrgreindra athugasemda.

61.

Varðveisla upplýsinga undir gerviauðkennum – 1. mgr. ákvæðis 5.3

Í umsögn Creditinfo Lánstrausts hf. (bls. 7) um skilmáladrögin er sú athugasemd gerð við 1. mgr. ákvæðis 5.3 að lengja ætti heimild til varðveislu upplýsinga í tíu ár að því gefnu að síðustu þrjú árin verði upplýsingarnar varðveittar undir gerviauðkennum, þ.e. þannig að ekki sé unnt að greina tiltekna einstaklinga í upplýsingunum sem slíkum en að með notkun greiningarlykils, sem varðveittur er aðskilinn frá upplýsingunum og varinn sérstaklega, sé unnt að rekja þær til þeirra. Í þessu sambandi er tekið fram að stærri lánveitendur í landinu búi yfir gagnlegum upplýsingum úr viðskiptamannasafni sínu til að þróa lánshæfislíkön. Þá segir að til að minni lánveitendur sitji við sama borð og hafi aðgengi að áreiðanlegu lánshæfismati þurfi að tryggja fjárhagsupplýsingastofum aðgengi að gögnum til að þróa slík líkön.

Persónuvernd telur hér verða að líta til grunnreglu 3. tölul. 1. mgr. 8. gr. laga nr. 90/2018 um að persónuupplýsingar skulu vera nægilegar, viðeigandi og ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslu. Að auki vísar Persónuvernd til 5. tölul. sömu málsgreinar um að persónuupplýsingar skulu varðveittar á því formi að ekki sé unnt að bera kennsl á einstaklinga lengur en þörf krefur miðað við tilgang vinnslu en einnig um undantekningar frá því, m.a. þegar vinnsla þjónar eingöngu tölfræðilegum tilgangi.

Persónuvernd telur óljóst hvernig varðveisla þar til tíu ár eru liðin frá skráningu eigi að gagnast í fyrrnefndu skyni og hvers vegna nauðsynlegt sé talið að geta greint upplýsingar til einstaklinga um svo langt skeið. Þá telur stofnunin hér skipta máli að um ræðir upplýsingar sem safnast upp hjá Creditinfo Lánstrausti hf. vegna skráningar sem í eðli sínu er íþyngjandi. Meðal annars í ljósi grunnreglu 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018, þar sem meðal annars er mælt fyrir um kröfuna um sanngirni við vinnslu persónuupplýsinga, verður að taka sérstakt tillit til þessa íþyngjandi eðlis skráningarinnar við afmörkun á varðveislutíma upplýsinga. Telur Persónuvernd ekki hafa komið fram fullnægjandi rök hvað umrædda varðveislu varðar og fellst því ekki á að gera breytingar frá skilmáladrögunum þannig að varðveislan verði heimil.

62.

Tímalengd réttaráhrifa afskráðra krafna – 2. mgr. ákvæðis 5.3

Í umsögn Creditinfo Lánstrausts hf. (bls. 7) og umsögn Hagsmunasamtaka heimilanna (bls. 3) um skilmáladrögin er gerð athugasemd við 2. mgr. ákvæðis 5.3 í drögunum. Í ákvæðinu er tekið fram að að upplýsingar, sem varðveittar eru í þrjú ár eftir afskráningu af þeirri skrá sem notuð er til miðlunar til áskrifenda, sbr. 1. mgr. ákvæðisins, megi nýta til að verða við beiðnum frá skráðum einstaklingum um vitneskju um vinnslu persónuupplýsinga um sig og til að leysa úr ágreiningi um réttmæti skráningar. Að hámarki þar til tvö ár eru liðin frá því að upplýsingum var komið í skil eða þær náðu fjögurra ára aldri sé einnig heimilt að nýta þær í þágu gerðar skýrslna um lánshæfi að beiðni hins skráða, enda sé ekki miðlað neinum upplýsingum um kröfurnar sjálfar heldur eingöngu tölfræðilegum niðurstöðum. Önnur notkun upplýsinganna sé óheimil.

Hvað varðar framangreint tekur Creditinfo Lánstraust hf. fram að heimildin til nýtingar upplýsinga í þágu gerðar skýrslna um lánshæfi ætti að gilda í þrjú ár frá afskráningu. Hins vegar leggjast Hagsmunasamtök heimilanna alfarið gegn því að afskráðar kröfur geti, ólíkt því sem verið hefur hingað til, haft áhrif á niðurstöður skýrslna um lánshæfi eftir að fjögurra ára varðveislutíma er lokið og krefjast samtökin þess að regla þar að lútandi verði felld brott úr skilmálunum.

Í þessu sambandi áréttar Persónuvernd rökstuðning fyrir umræddri reglu í 17. kafla bréfs Persónuverndar til Creditinfo Lánstrausts hf., dags. 7. október 2020, þar sem fyrirtækinu voru kynnt skilmáladrögin og hvaða breytingar þar væru frá gildandi leyfi. Í umræddum kafla er fjallað um 2. mgr. ákvæðis 2.7 í starfsleyfi Creditinfo Lánstrausts hf. frá 2017, þess efnis að afskráð krafa geti haft áhrif á niðurstöðu skýrslu um lánshæfi í þrjú ár frá afskráningu, þó að hámarki í fjögur ár frá því að krafa var upphaflega tekin á skrá. Segir í því sambandi að samkvæmt þessu geti krafa, sem greidd er einu ári eftir skráningu, haft áhrif á niðurstöðu skýrslu um lánshæfi næstu þrjú árin, en krafa sem ógreidd er í fjögur ár hafi þar engin áhrif að liðnum þeim tíma. Til að gæta jafnræðis telji Persónuvernd rétt að breyta því réttarástandi. Í því skuli felast að eftir að krafa hafi verið afskráð, hvort sem ástæðan sé sú að henni hafi verið komið í skil eða að hún hafi náð fjögurra ára aldri, geti hún ávallt haft áhrif á niðurstöðu skýrslu um lánshæfi um jafnlangan tíma sem hæfilega sé metinn tvö ár. Sé efni 2. mgr. ákvæðis 5.3 nú í samræmi við þetta.

Tekið skal fram að tímabil áhrifa af afskráðum kröfum var stytt úr þremur árum í tvö til mótvægis því að heimiluð væru áhrif af slíkum kröfum eftir að fjögur væru liðin frá skráningu. Telur Persónuvernd, við nánari athugun, að ganga megi lengra í þeim efnum í ljósi þeirrar grunnreglu um vanskilaskráningu að hún skuli eingöngu hafa áhrif á hagsmuni hins skráða um afmarkað skeið, sbr. 4. mgr. 3. gr. reglugerðar nr. 246/2001, sbr. lagastoð í 2. mgr. 15. gr. laga nr. 90/2018, sbr. og til hliðsjónar 1. mgr. 21. gr. norskra laga um fjárhagsupplýsingastofur, nr. 2019-12-20-109, svo og 3. mgr. 20. gr. dönsku persónuverndarlaganna, nr. 502/2018 (sjá umfjöllun í 9. kafla hér að framan). Má í þessu sambandi geta þess að samkvæmt athugasemdum við framangreint ákvæði norskrar löggjafar í greinargerð með frumvarpi til hennar er öll notkun upplýsinga um vanskil, þ. á m. við gerð skýrslna um lánshæfi, óheimil þegar fjögur ár eru liðin frá skráningu. Með hliðsjón af þessu kæmi til álita að banna alfarið notkun afskráðra krafna í umræddu skyni. Jafnframt er hins vegar til þess að líta að heimildir til skráningar upplýsinga samkvæmt norsku löggjöfinni eru allvíðtækar, sbr. 10. gr. löggjafarinnar um skráningu innheimtuupplýsinga, og telur Persónuvernd í því ljósi að brýnni ástæður séu í Noregi en hér til þess að banna umrædda notkun krafna í þágu gerðar lánshæfismats þegar hámarksvarðveislutími á skrá yfir vanskil er liðinn. Hefur Persónuvernd í ljósi alls þessa ákveðið að stytta það tímabil, þar sem afskráðar kröfur geta haft áhrif á niðurstöðu skýrslna um lánshæfi, úr tveimur árum í eitt og hafa verið gerðar breytingar á umræddu ákvæði skilmálanna í samræmi við það.

63.

Viðkvæmir og jaðarsettir hópar – ákvæði 5.4

Í umsögn Neytendasamtakanna og ASÍ (bls. 4) um starfsleyfið frá 2017 er lögð til viðbót við ákvæði 2.6 í leyfinu sem samsvarar ákvæði 5.4 í skilmáladrögunum. Nánar tiltekið er lagt til að á eftir 3. mgr. í leyfisákvæðinu, sbr. niðurlag 2. mgr. ákvæðisins í drögunum, komi ný málsgrein, svohljóðandi: „Sérstaklega skal tekið tillit til mannréttinda og mannlegrar reisnar viðkvæmra og jaðarsettra hópa.“

Eins og rakið er í 49. kafla hér að framan er á þeirri forsendu byggt í skilmálunum að upplýsingar á skrá hjá fjárhagsupplýsingastofu lúti að fjárhagslegum atriðum. Eins og tekið er fram í umræddum kafla gæti ákvæði umrædds efnis skilist á þann að fjárhagsupplýsingastofu sé ætlað að fella einstaklinga, sem unnið er með upplýsingar um hjá stofunni, undir skilgreiningar á slíkum hópum og fyrr greinir og væri það ekki í anda fyrrgreindrar forsendu. Eins og einnig er tekið fram í umræddum kafla telur Persónuvernd hins vegar mikilvægt að mannréttindi séu virt í starfsemi fjárhagsupplýsingastofa, en leitast er við að tryggja að svo sé með hinum almenna ramma um starfsemi fjárhagsupplýsingastofa sem mótaður er með starfsleyfisskilmálum fremur en sérstöku ákvæði um umrædda hópa. Telur Persónuvernd því ekki tilefni til breytinga á umræddu ákvæði skilmálanna í ljósi fyrrgreindrar athugasemdar.

64.

Andmæli við vöktun og uppflettingum vegna innheimtu – ákvæði 5.4

Í umsögn Creditinfo Lánstrausts hf. (bls. 9) við skilmáladrögin er gerð sú athugasemd í tengslum við andmælarétt hins skráða, sbr. ákvæði 5.4 í leyfinu, að kveða ætti á um að andmælum við vöktun og innheimtu ætti að vera komið á framfæri með sama hætti og andmælum við umdeildri kröfu, sbr. 3. mgr. ákvæðis 2.1 í skilmálunum. Eins og þar segir er slíkum andmælum komið sannanlega á framfæri við kröfuhafa, auk þess sem honum skal greint frá ástæðu andmælanna.

Persónuvernd telur ljóst að réttaráhrif andmæla við vöktun og innheimtu ættu ekki sjálfkrafa að verða þau sömu og réttaráhrif andmæla við umdeildri kröfu, þ.e. að tiltekin vinnsla persónuupplýsinga sé bönnuð, og að því gefist tilefni til að gera þær auknu kröfur að andmælum sé komið sannanlega á framfæri og að ástæða þeirra sé tilgreind. Með öðrum orðum getur hefðbundin vinnsla vegna innheimtu krafna, svo sem uppflettingar í skrá hjá fjárhagsupplýsingastofu, ekki sjálfkrafa orðið óheimil vegna ágreinings um þær, enda gerir réttarríkið ráð fyrir að unnt sé að leita efnda á kröfum þrátt fyrir slíkan ágreining og að hann verði leystur innan réttarkerfisins. Þegar litið er til þessa telur Persónuvernd ekki tilefni til þess að sams konar kröfur gildi um andmæli við uppflettingum og vöktun vegna innheimtu og gilda um andmæli við skráningu upplýsinga um umdeildar kröfur. Þá verður að öðru leyti ekki talið tilefni til sérstaks ákvæðis um umrædd andmæli og álítur Persónuvernd hið almenna ákvæði 5.4 um andmæli, sem borin eru upp við fjárhagsupplýsingastofu, vera þar nægilegt. Telur stofnunin því að ekki sé tilefni til breytinga á skilmálunum í ljósi fyrrgreindrar athugasemdar.

65.

Um að misræmi sé milli ákvæða um andmæli – ákvæði 5.4

Í umsögn Creditinfo Lánstrausts hf. (bls. 13) og umsögn Lögheimtunnar ehf. og Motus ehf. (bls. 5) við skilmáladrögin er lýst þeim skilningi að misræmi sé á milli annars vegar 3. mgr. ákvæðis 2.1 í drögunum, þar sem fram kemur að andmælum er beint til kröfuhafa, og hins vegar 2. mgr. liðar 5.1.1 og ákvæðis 5.4, þar sem fjallað er um andmæli sem beint er til fjárhagsupplýsingastofu. Er vakið máls á að hér sé misræmi á milli ákvæða ásamt því að lagðar eru til breytingar á þeim og vísar Creditinfo Lánstraust hf. til þess að gerð er krafa um sannanleg andmæli í 3. mgr. ákvæðis 2.1 en ekki hinum tveimur ákvæðunum.

Þegar hefur verið fjallað um þessar athugasemdir hvað snertir 3. mgr. ákvæðis 2.1 og 2. mgr. liðar 5.1.1 og vísast til umfjöllunar þar að lútandi í 14. og 50. kafla hér að framan. Í ljósi þeirrar umfjöllunar, sem á einnig við um ákvæði 5.4, telur Persónuvernd ekki tilefni til breytinga á skilmálunum í ljósi umræddrar athugasemdar.

66.

Heildarsamtök neytenda geti komið andmælum á framfæri – 1. mgr. ákvæðis 5.4

Í umsögn Neytendasamtakanna og ASÍ (bls. 8) er lögð til sú viðbót við 1. mgr. ákvæðis 5.4 í skilmáladrögunum að samkvæmt því geti heildarsamtök neytenda andmælt skráningu fyrir hönd tiltekins hóps aðila.

Persónuvernd tekur fram að umrætt ákvæði er liður í umfjöllun sem lýtur sérstaklega að réttindum hins skráða og að það myndi flækja framsetningu þess að bæta þar við reglu um andmæli annarra aðila. Þá skal tekið fram að um rétt félagasamtaka til að leggja fram kvörtun hjá Persónuvernd, ef þau telja ástæðu til að ætla að réttindi skráðs einstaklings hafi verið brotin, er fjallað í 2. mgr. 39. gr. laga nr. 90/2018. Er þar um að ræða almenna reglu í tengslum við vinnslu persónuupplýsinga óháð því á hvaða sviði hún á sér stað og er óþarft að endurtaka hana í tengslum við nánar tiltekin félagasamtök í skilmálum frá Persónuvernd sem ætlað er að gilda á afmörkuðu sviði. Telur Persónuvernd því ekki tilefni til breytingar á skilmálunum í ljósi fyrrnefndrar athugasemdar.

67.

Kröfur til grundvallar andmæla, gagna að baki þeim og aðkomu kröfuhafa – 1. mgr. ákvæðis 5.4

Í umsögn Símans hf. (bls. 6–7) um skilmáladrögin er tekið fram í tengslum við 1. mgr. ákvæðis 5.4 í drögunum að vikið sé að andmælum hins skráða víðar en þar, sbr. 3. mgr. ákvæðis 2.1 og 2. mgr. liðar 5.1.1. Segir í því sambandi að framsetning sé óskýr, en það auki líkur á réttaróvissu. Séu gerðar mismunandi kröfur til andmæla og sé notast við annað orðalag í þeim efnum en í 8. gr. reglugerðar nr. 246/2001 um fjárhagsmálefni og lánstraust, en þar ræði um að „lögmætar og knýjandi ástæður“ séu að baki andmælum. Einnig er vikið að samspili við upphafi liðar 2.2.2 í skilmálunum þar sem það er gert að skilyrði skráningar fjárhagsupplýsingastofu á upplýsingum frá áskrifendum að hún hafi fengið óyggjandi upplýsingar sem staðfesti tilvist viðkomandi skuldar og að grundvöllur sé til skráningar. Jafnframt segir að andmæli við lögmæti eða fjárhæð kröfu ætti að bera undir kröfuhafa áður en afstaða sé tekin til viðbragða við andmælum, enda sé ekki um að ræða augljós mistök eða þá aðstöðu að hinn skráði geti sýnt fram á með óyggjandi hætti að krafa hafi verið greidd eða að fallið hafi verið frá henni. Þá er lýst þeirri afstöðu að ef ekki sé fylgt framangreindu verklagi sé engin leið fyrir fjárhagsupplýsingastofu að meta áreiðanleika andmæla.

Hvað varðar athugasemdir um að misræmi sé milli ákvæða vísast til umfjöllunar 14., 50. og 65. kafla hér að framan sem Persónuvernd telur eiga við um athugasemdir Símans hf. þar að lútandi. Hvað snertir samspil við lið 2.2.2 skal tekið fram að eðlilegt er að gera strangar kröfur til gagna sem liggja skráningu vanskilaupplýsinga til grundvallar í ljósi þeirra íþyngjandi áhrifa sem skráningin hefur á hagsmuni hina skráðu. Sams konar sjónarmið eiga ekki við um andmæli sem þeir koma á framfæri. Hvað varðar það að andmæli séu borin undir kröfuhafa bendir Persónuvernd auk þess á að sérstaklega er tekið fram í 3. máls. 1. mgr. ákvæðis 5.4 í skilmálunum að fjárhagsupplýsingastofa skuli ganga úr skugga um áreiðanleika andmæla, svo sem með því að bera málið undir viðkomandi áskrifanda/kröfuhafa, enda liggi ekki þegar fyrir nauðsynlegar upplýsingar sem sýni fram á réttmæti þeirra. Þegar litið er til þessa og annars framangreinds telur Persónuvernd umræddar athugasemdir ekki gefa tilefni til breytinga á skilmálunum.

68.

Um að kröfur í ákvæði um aðgangsrétt verði auknar – ákvæði 5.5

Í umsögn Neytendasamtakanna og ASÍ (bls. 8) um skilmáladrögin er lagt til að samkvæmt ákvæði 5.5 í drögunum verði fjárhagsupplýsingastofu skylt að miðla til einstaklinga upplýsingum um hvaða tilteknu breytur hafi áhrif á lánshæfismat og hvernig megi bæta það. Einnig er vísað til þeirrar athugasemdar við lið 5.1.2 í drögunum að vefsvæði, sem fjárhagsupplýsingastofu er heimilt samkvæmt ákvæðinu að nota, ætti að vera í eigu þriðja aðila, sbr. umfjöllun í 54. kafla hér að framan. Að auki er í umsögn Neytendasamtakanna og ASÍ um starfsleyfið frá 2017 gerð sú athugasemd við ákvæði 2.8 í leyfinu að aðgangur hins skráða ætti að vera honum að kostnaðarlausu, en afar mikilvægt sé að hann geti á hverju tíma fengið upplýsingar um stöðu sína og vinnslu upplýsinga um sig án þess að þurfa að greiða fyrir það. Þá er lagt til að á fjárhagsupplýsingastofu verði lögð skylda til að upplýsa hinn skráða um allan rétt sinn og veita ókeypis, óháða fræðslu og ráðgjöf, m.a. um úrræði og hvar leita má óháðrar fræðslu.

Í þessu sambandi vísar Persónuvernd til umfjöllunar í 49. kafla hér að framan þar sem fjallað er um hvernig hinum skráða er í skilmálunum veitt færi á aðgangi að upplýsingum, þ. á m. sér að kostnaðarlausu eins og nú er mælt fyrir um í 4. mgr. ákvæðis 5.5 í skilmálunum. Í ljósi þessarar umfjöllunar telur Persónuvernd framangreindar athugasemdir ekki gefa tilefni til breytinga á skilmálunum eins og þeir nú eru fram settir.

69.

Frestur til að svara aðgangsbeiðnum – 5. mgr. ákvæðis 5.5

Í umsögn Creditinfo Lánstrausts hf. (bls. 14) um skilmáladrögin er sú athugasemd gerð við 5. mgr. ákvæðis 5.5 í drögunum að lengja ætti frest fjárhagsupplýsingastofu til að svara aðgangsbeiðnum úr 14 dögum frá móttöku í 30. Er í því sambandi vísað til almennu persónuverndarreglugerðinnar, (ESB) 2016/679, en samkvæmt 3. mgr. 12. gr. reglugerðarinnar ber ábyrgðaraðila að vinnslu persónuupplýsinga að svara meðal annars aðgangsbeiðnum frá hinum skráða án ótilhlýðilegrar tafar og hvað sem öðru líður innan eins mánaðar frá viðtöku beiðni. Þá segir í ákvæðinu að lengja megi frestinn um tvo mánuði að nánar tilgreindum skilyrðum fullnægðum.

Persónuvernd tekur í þessu sambandi fram að umrætt ákvæði felur í sér lágmarkskröfur og að í ljósi grunnreglunnar um gagnsæi við vinnslu persónuupplýsinga, sbr. 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018 og a-lið 1. mgr. 5. gr. reglugerðarinnar, má telja Persónuvernd heimilt, þegar vinnslan þarf að byggjast á leyfi frá stofnuninni, að auka kröfurnar í ljósi eðlis þeirrar vinnslu sem um ræðir. Þegar litið er til hins íþyngjandi eðlis vinnslu vanskilaupplýsinga telur Persónuvernd ekki tilefni til að stytta þann frest sem mælt er fyrir um í umræddu ákvæði skilmálanna. Gefst því ekki tilefni til breytingar á þeim í ljósi fyrrgreindrar athugasemdar.

70.

Almennt um samningsgerð fjárhagsupplýsingastofu við áskrifendur – 6. gr.

Í umsögn Samtaka fjármálafyrirtækja (bls. 5) er því lýst að í 6. gr. skilmáladraganna sé að finna efnisleg ákvæði um skyldur áskrifenda sem falli ekki innan reglugerðar nr. 246/2001 um söfnun og miðlun upplýsinga um fjárhagsmálefni og lánstraust. Séu gerðar alvarlegar athugasemdir við hversu langt sé seilst umfram þau lög og reglur sem við eigi um veitingu leyfis. Þá segir í umsögn Símans hf. (bls. 7) að skoða mætti hvort tilgreina þurfi sérstaklega nokkur skilyrði, t.d. skilyrði 10. tölul. 1. mgr. 6. gr um að samkvæmt samningi við fjárhagsupplýsingastofu við áskrifanda skal hann ávallt veita hinum skráða lögskylda fræðslu, svo og 4. tölul. sömu málsgreinar um að samkvæmt slíkum samningi skal áskrifandi láta af kennitöluvöktun séu ekki lengur af henni lögmætir hagsmunir.

Persónuvernd tekur í þessu samhengi fram að stofnunin telur mikilvægt til áréttingar og leiðbeiningar að í samningum fjárhagsupplýsingastofu við áskrifendur sína séu þeir minntir á skyldur sínar, en ljóst er að vinnsla vanskilaupplýsinga er íþyngjandi í eðli sínu. Gefst því ekki tilefni til breytinga á skilmálunum í ljósi fyrrnefndrar athugasemdar Símans hf. Hvað snertir athugasemd Samtaka fjármálafyrirtækja skal tekið fram að í ákveðnum atriðum telur Persónuvernd þörf á breytingum á umræddu ákvæði skilmálanna í ljósi athugasemda sem borist hafa. Verður gerð grein fyrir þeim breytingum í 78. og 79. kafla hér á eftir.

71.

Skráning á til hvers einstaklingi er flett upp – 1. tölul. 1. mgr. 6. gr.

Í umsögn Greiðslumiðlunar ehf. (bls. 6) um skilmáladrögin er gerð athugasemd við 6. tölul. 1. mgr. 6. gr. draganna þar sem tekið er fram að samkvæmt samningum við áskrifendur skuli það skráð í hvert sinn sem áskrifandi fletti upp einstaklingi, afli skýrslu um lánshæfi eða hefji vöktun á kennitölu til hvers það sé gert. Segir í umsögninni að iðulega sé uppfletting eða vöktun nátengd tilteknum þáttum í starfsemi áskrifanda, t.d. lánveitingu, og sé því nægilegt að áskrifandi geti hverju sinni upplýst um ástæðu uppflettingar eða vöktunar. Til þessa er vísað í umsögn Lögheimtunnar ehf. og Motus ehf. (bls. 5). Þá er gerð sú athugasemd í umsögn Samtaka fjármálafyrirtækja (bls. 5) að óljóst sé hvort fjárhagsupplýsingastofa, áskrifendur eða báðir aðilar skuli skrá uppflettingu. Í umsögn Símans hf. (bls. 7) er sambærileg athugasemd gerð, þ.e. að ekki sé ljóst hvort ætlast sé til þess að áskrifendur haldi skrá hjá sér um framangreint eða hvort skráning fari aðeins fram hjá fjárhagsupplýsingastofu. Jafnframt segir að krafa til áskrifenda þar að lútandi myndi leiða til verulegrar óþarfrar vinnslu.

Persónuvernd tekur fram í tengslum við athugasemdir Greiðslumiðlunar ehf. og Lögheimtunnar ehf. og Motus ehf. að meðal annars í ljósi íþyngjandi eðlis umræddrar vinnslu persónuupplýsinga verður ekki talið tilefni til að draga úr kröfum til áskrifenda um skráningu á til hvers upplýsinga er aflað eða vöktun á kennitölu hafin. Hvað snertir athugasemdir Samtaka fjármálafyrirtækja og Símans hf. skal auk þess tekið fram að í tölvuviðmóti, sem fjárhagsupplýsingastofa notar til að gera áskrifendum upplýsingar aðgengilegar, á að vera einfalt að koma því við að upplýsingar verði því aðeins sóttar að fyrst hafi ástæða þess verið skráð. Verður talið ljóst af orðalagi umrædds ákvæðis að því er ekki ætlað að leggja sérstakar skyldur á áskrifendur til að halda sérstaka skrá hjá sér um ástæður upplýsingaöflunar og hvílir sú skylda á fjárhagsupplýsingastofu samkvæmt 2. mgr. ákvæðis 7.2 í skilmálunum. Jafnframt er það hins vegar til þess fallið að brýna fyrir áskrifendum skyldur þeirra til ábyrgrar notkunar á aðgangsheimildum sínum að í samningum við þá sé umrætt atriði tekið fram. Telur Persónuvernd að í ljósi fyrrgreindra athugasemda sé ekki tilefni til breytinga á umræddu ákvæði skilmálanna.

72.

Um að upplýsingaöflun og vöktun helgist af lögmætum hagsmunum – 2. og 3. tölul. 1. mgr. 6. gr.

Í umsögn Samtaka fjármálafyrirtækja (bls. 5) og umsögn Símans hf. (bls. 7) um skilmáladrögin eru gerðar athugasemdir við 2. og 3. tölul. 1. mgr. 6. gr. draganna, þess efnis að samkvæmt áskriftarsamningum skuli upplýsingaöflun og kennitöluvöktun byggjast á lögmætum hagsmunum, en auk þess er í fyrri töluliðnum vísað til þess að upplýsingaöflun geti eftir atvikum byggst á lagaskyldu. Segir í umsögn Samtaka fjármálafyrirtækja að krafan um lögmæta hagsmuni sé sjálfsögð og að ekki sé útilokað að fjárhagsupplýsingastofa bjóði upp á þjónustu sem byggst gæti á öðrum heimildum en nauðsyn vegna lögmætra hagsmuna sem vega þyngra en hagsmunir og grundvallarréttindi og frelsi hins skráða (sbr. 6. tölul. 1. mgr. 9. gr. laga nr. 90/2018). Þá segir í umsögn Símans hf. að auk lögmætra hagsmuna mætti tilgreina nauðsyn vegna ráðstafana að beiðni hins skráða áður en samningur er gerður (2. tölul. sömu málsgreinar). Jafnframt er í báðum umsögnunum gerð athugasemd við að skilyrðið um lögmæta hagsmuni sé haft í tveimur töluliðum og segir í umsögn Samtaka fjármálafyrirtækja að þeir séu eðlislíkir um annað en tilgang vinnslu, þ.e. annars vegar þjónar hún veitingu fjárhagslegrar fyrirgreiðslu og hins vegar innheimtu krafna.

Persónuvernd tekur fram í þessu sambandi að skilyrðið um lögmæta hagsmuni er haft í tveimur töluliðum svo að unnt sé að setja það í skýrt í samhengi við þann tvenns konar vinnslutilgang sem að framan er nefndur ásamt því að orðalagið sé ekki óþarflega flókið þar sem leitast sé við að steypa saman of mörgum efnisatriðum. Telur stofnunin því ekki ástæðu til að sameina töluliðina. Þá skal tekið fram, hvað snertir vinnsluheimild vegna ráðstafana við gerð samnings, að umræddum töluliðum er ekki ætlað að hafa að geyma tæmandi talningu á þeim vinnsluheimildum sem við geta átt. Þess í stað mæla þeir fyrir um atriði sem rétt þykir að áréttuð séu við áskrifendur við gerð samnings um aðgang að upplýsingum hjá fjárhagsupplýsingastofu til að brýna fyrir þeim skyldur sínar við notkun aðgangsins. Telur Persónuvernd þeim tilgangi náð eins og þeir eru orðaðir og að í ljósi þess og annars framangreinds gefist ekki tilefni til breytinga á skilmálunum í ljósi fyrrgreindra athugasemda.

73.

Skilyrði um að innheimtuaðili ábyrgist að hann þekki viðeigandi reglur – 5. tölul. 1. mgr. 6. gr.

Í umsögn Lögheimtunnar ehf. og Motus ehf. (bls. 5), umsögn Samtaka fjármálafyrirtækja (bls. 5–6) og umsögn Símans hf. (bls. 7–8) um skilmáladrögin er gerð athugasemd við það skilyrði 5. tölul. 1. mgr. 6. gr. draganna að í samningum innheimtuaðila við viðskiptavini sína skuli þeir ábyrgjast að þeir þekki reglur um skráningu upplýsinga um fjárhagsmálefni og lánstraust einstaklinga og tryggi að kröfur, sem skuldari hefur sannanlega andmælt, verði ekki sendar til skráningar. Segir í umsögn Lögheimtunnar ehf. og Motus ehf. að hér sé ekki aðeins hlutast til um samningsgerð fjárhagsupplýsingastofu við áskrifendur heldur einnig samningsgerð þeirra við viðskiptavini sína og sé það utan valdsviðs stofnunarinnar. Í umsögn Samtaka fjármálafyrirtækja segir einnig að skilmálinn fari út fyrir valdsvið Persónuverndar og er tekið fram að það leiði af almennum reglum að fjármálafyrirtækjum beri að fara að lögum. Þá segir í umsögn Símans hf. að sérstaklega varhugavert sé hve langt sé seilst hér og séu líkur á að farið sé út fyrir valdheimildir. Jafnframt segir meðal annars að sérkennilegt sé að áskrifendur þurfi að ábyrgjast gagnvart viðskiptavinum sínum að þeir þekki þær reglur sem gilda um umrædda vinnslu.

Persónuvernd tekur af þessu tilefni fram að hér ræðir um vinnslu persónuupplýsinga sem er íþyngjandi í eðli sínu og að því má telja mikilvægt að leitast sé við að brýna fyrir þeim sem koma að vinnslunni hverjar skyldur þeirra eru í tengslum við hana. Þá berst Persónuvernd mikill fjöldi kvartanda yfir umræddri vinnslu, auk þess sem ekki verður séð að hér ræði um íþyngjandi kröfur til fjárhagsupplýsingastofu og áskrifenda hennar. Í ljósi 1. mgr. 15. gr. og 1. mgr. 33. gr. laga nr. 90/2018 telur Persónuvernd sig því hafa svigrúm til að mæla fyrir um umrætt skilyrði og telur ekki tilefni til breytinga á skilmálunum í ljósi fyrrgreindra athugasemda.

74.

Skilyrði um að kröfuhafi ábyrgist að skrá ekki kröfur sem hefur verið andmælt – 5. tölul. 1. mgr. 6. gr.

Í umsögn Lögheimtunnar ehf. og Motus ehf. (bls. 5) og umsögn Símans hf. (bls. 8) um skilmáladrögin er gerð athugasemd við það skilyrði 5. tölul. 1. mgr. 6. gr. draganna að samkvæmt samningum innheimtuaðila við viðskiptavini sína skuli þeir tryggja að kröfur, sem skuldari hefur sannanlega andmælt, verði ekki sendar til skráningar. Segir í umsögn Lögheimtunnar ehf. og Motus ehf. að andmælum geti verið komið á framfæri við kröfuhafa einan og að ekki sé víst að hann upplýsi innheimtuaðilann um andmælin. Þá segir í umsögn Símans hf. að óskýrt sé hvað átt sé við með orðunum „sannanlega andmælt“ og að nægilegt sé að lög og starfsleyfi séu skýr um að ákveðnar kröfur megi ekki skrá. Jafnframt sé unnt að fella umrætt skilyrði undir 10. tölul. 1. mgr. 6. gr. draganna, þess efni að samkvæmt áskriftarsamningum skuli hinum skráða ávallt veitt lögskyld fræðsla.

Hvað síðastnefnda atriðið varðar tekur Persónuvernd fram að sú uppsetning verður ekki talin skýr að skilyrðum um annars vegar viðbrögð innheimtuaðila við andmælum skuldara við kröfum og hins vegar fræðslu til þeirra verði skeytt saman, enda um tvö mismundandi efnisatriði að ræða. Jafnframt telur Persónuvernd ekki tilefni til að færa inn í umrætt ákvæði sérstaka skilgreiningu á því hvenær skuld hefur sannanlega verið andmælt, enda byggist sönnun ávallt á mati á atvikum hverju sinni og verður því ekki fjallað um það með tæmandi hætti hvenær hún telst liggja fyrir. Þá telur Persónuvernd að öðru leyti ljóst að umrætt ákvæði verði ekki talið eiga við nema innheimtuaðili hafi vitneskju um andmæli og er óþarft að orða það sérstaklega. Telur stofnunin því ekki tilefni til breytinga á skilmálunum í ljósi fyrrgreindra athugasemda.

75.

Skilyrði um að áskrifanda sé ekki kunnugt um réttmætar mótbárur – 5. og 6. tölul. 1. mgr. 6. gr.

Í umsögn Símans hf. (bls. 8) við skilmáladrögin er gerð athugasemd við notkun mismunandi orðalags í 5. og 6. tölul. 1. mgr. 6. gr. draganna. Eins og áður greinir segir meðal annars í fyrrnefnda töluliðnum að innheimtuaðilar skuli tryggja að kröfur, sem skuldari hefur sannanlega andmælt, verði ekki sendar til skráningar. Þá er tekið fram í síðarnefnda töluliðnum að áskrifandi, sem sendi upplýsingar til skráningar, skuli ábyrgjast að honum sé ekki kunnugt um að skuldari hafi nokkrar réttmætar mótbárur við greiðslu skuldarinnar. Segir í umsögninni að óljóst sé hvaða munur sé á orðalaginu „sannanlega andmælt“ annars vegar og orðalaginu „réttmætar mótbárur hins vegar“.

Persónuvernd tekur fram að 6. tölul. 1. mgr. 6. gr. draganna er, ólíkt 5. tölul. sömu málsgreinar, ekki aðeins ætlað að taka til tilvika þar sem fyrir liggja andmæli skuldara heldur allra þeirra tilvika þar sem ljóst má telja að krafa eigi ekki rétt á sér, t.d. þar sem grundvöllur hennar sé ólögmætur. Verður samkvæmt þessu ekki talin ástæða til breytinga á skilmálunum í ljósi fyrrgreindrar athugasemdar.

76.

Skilyrði um ákvæði um fræðslu í áskriftarsamningi – 10. tölul. 1. mgr. 6. gr.

Í umsögn Greiðslumiðlunar ehf. (bls. 6), umsögn Samtaka fjármálafyrirtækja (bls. 6) og umsögn Símans hf. (bls. 8) um skilmáladrögin er fjallað um skilyrði 10. tölul. 1. mgr. 6. gr. draganna um að í áskriftarsamningi skuli vera ákvæði um skyldu til að veita lögskylda fræðslu. Vísar Greiðslumiðlun ehf. til athugasemda við 4. mgr. 3. gr. draganna sem fyrr hafa verið raktar, þess efnis að ábyrgðin á veitingu fræðslu eigi að hvíla á fjárhagsupplýsingastofu en ekki lánveitendum, sbr. 35. kafla hér að framan. Þá taka Samtök fjármálafyrirtækja og Síminn hf. fram að óþarft sé að mæla fyrir um samningsákvæði um veitingu fræðslu þar sem það leiði af lögum að hana skuli veita.

Persónuvernd minnir á að á áskrifendum að upplýsingum hjá fjárhagsupplýsingastofu hvíla sjálfstæðar skyldur vegna vinnslu persónuupplýsinga sem þeir bera ábyrgð á, m.a. í tengslum við öflun upplýsinga við meðferð lánsumsókna og uppflettingar á skráðum upplýsingum, sbr. 13. og 14. gr. almennu persónuverndarreglugerðarinnar, (ESB) 2016/679, sbr. 2. mgr. 17. gr. laga nr. 90/2018. Þá telur Persónuvernd að öðru leyti að í ljósi eðlis vanskilaskráningar sé mikilvægt til áréttingar og leiðbeiningar að í samningum fjárhagsupplýsingastofu við áskrifendur hennar séu þeir minntir á skyldur sínar, sbr. umfjöllun í 70. kafla hér að framan. Í ljósi þessa telur Persónuvernd ekki gefast tilefni til breytinga á skilmálunum í ljósi fyrrnefndra athugasemda.

77.

Skilyrði um rekjanleika vinnsluaðgerða – 12. tölul. 1. mgr. 6. gr.

Í umsögn Símans hf. (bls. 9) um skilmáladrögin er sú athugasemd gerð við 12. tölul. 1. mgr. 6. gr. draganna að óljóst sé að hverjum, þ.e. fjárhagsupplýsingastofu eða áskrifanda, það skilyrði beinist að samkvæmt áskriftarsamningi skuli allar upplýsingar vera rekjanlegar. Ekki verði séð hvernig áskrifandi geti tryggt rekjanleika og að því gefnu að það sé á ábyrgð fjárhagsupplýsingastofu að tryggja hann sé óljóst að þörf sé á skilyrðinu.

Eins og ljóst er af ákvæði 7.1 í skilmálunum er það fjárhagsupplýsingastofu að tryggja öryggi vinnslu persónuupplýsinga í tölvukerfum sem notuð eru til að gera áskrifendum upplýsingar aðgengilegar, þ. á m. aðgerðaskráningu til að tryggja rekjanleika. Jafnframt telur Persónuvernd mikilvægt að áskrifendum sé gert það ljóst að upplýsingar þeirra eru rekjanlegar og hafa skilmálarnir að geyma umrædda reglu í því skyni. Verður ekki séð að fyrrnefnd athugasemd gefi tilefni til breytinga á þeim.

78.

Tilkynningarskylda um brot gegn áskriftarsamningi – 2. mgr. 6. gr.

Í umsögn Símans hf. (bls. 9) og umsögn Samtaka fjármálafyrirtækja (bls. 6) við skilmáladrögin er gerð athugasemd við 2. mgr. 6. gr. draganna, þess efnis að á fjárhagsupplýsingastofu hvíli tilkynningarskylda um brot gegn áskriftarskilmálum. Segir í umsögn Símans hf. að tilkynningarskyldan ætti að vera háð sömu skilyrðum um mat á áhrifum brots á réttindi og frelsi hins skráða og fram fer í tengslum við tilkynningar um öryggisbresti til stofnunarinnar. Þá segir í umsögn Samtaka fjármálafyrirtækja að óeðlilegt sé að tilkynningarskylda um brot á starfsleyfisskilmálum sé víðtækari en tilkynningarskylda um öryggisbresti, en tilkynna þurfi hvert smáatvik, svo sem mistök við innslátt kennitölu.

Tilkynningarskylda um öryggisbresti við meðferð persónuupplýsinga samkvæmt 2. mgr. 27. gr. laga nr. 90/2018, sbr. 33. gr. almennu persónuverndarreglugerðarinnar, (ESB) 2016/679, á ekki við ef ólíklegt er að bresturinn leiði af sér mikla áhættu fyrir réttindi og frelsi hins skráða, sbr. fyrrnefnda málsgrein 27. gr. laganna, sbr. 1. mgr. 33. gr. reglugerðarinnar. Í tengslum við þessa reglu er til þess að líta að orðalag umræddra ákvæða mótast af hinu víðtæka gildissviði persónuverndarlöggjafarinnar, sbr. 1. mgr. 4. gr. og 2. og 4. tölul. 3. gr. laga nr. 90/2018, svo og 1. mgr. 2. gr. og 1. og 2. tölul. 4. gr. reglugerðarinnar. Leiðir af þessum ákvæðum að löggjöfin tekur almennt til allrar vinnslu persónuupplýsinga óháð verndarþörf upplýsinganna hverju sinni og verður því að beita henni með hliðsjón af eðli upplýsinga hverju sinni. Jafnframt er hins vegar ljóst að öll sú vinnsla persónuupplýsinga, sem fram hjá fjárhagsupplýsingastofu vegna vanskilaskráningar og gerðar skýrslna um lánshæfi, er til þess fallin að hafa veruleg áhrif á hagsmuni hins skráða. Þá skal tekið fram að mannleg mistök starfsmanna ein og sér, sem ekki verða skýrð með ófullnægjandi öryggiskerfi áskrifanda og sem brugðist hefur verið rétt við á grundvelli fullnægjandi verklagsreglna, verða ekki talin fela í sér samningsbrot og verður talið óþarft að taka það sérstaklega fram. Í ljósi þess telur Persónuvernd ekki tilefni til að draga úr tilkynningarskyldu um brot gegn skilmálum í starfsleyfum til fjárhagsupplýsingastofa og er því ekki ástæða til breytingar á umræddu ákvæði í ljósi fyrrgreindra athugasemda. Jafnframt telur Persónuvernd hins vegar rétt að víkja í skilmálunum að þeim ráðstöfunum áskrifenda og viðbrögðum við öryggisfrávikum sem að framan greinir. Hefur því verið bætt við nýjum 13. tölul. við upptalningu 1. mgr. 6. skilmálanna á því sem fram á að koma í samningi fjárhagsupplýsingastofu við áskrifendur. Hljóðar umræddur töluliður svo:

„Að áskrifandi setji sér verklagsreglur um notkun upplýsinga frá fjárhagsupplýsingastofu þar sem m.a. verði lýst ráðstöfunum til að tryggja að einstakir notendur nýti aðgang sinn í samræmi við 2. og 3. tölul. þessarar málsgreinar, auk þess sem fjallað verði um viðbrögð við frávikum frá því.“

79.

Afleiðingar brota gegn áskriftarsamningi – 2. mgr. 6. gr.

Í umsögn Creditinfo Lánstrausts hf. (bls. 14–15), umsögn Greiðslumiðlunar ehf. (bls. 7), umsögn Lögheimtunnar ehf. og Motus ehf. (bls. 6), umsögn Samtaka iðnaðarins (bls. 2) og umsögn Símans hf. (bls. 9) um skilmáladrögin eru gerðar athugasemdir við þá reglu 2. mgr. 6. gr. draganna að noti áskrifandi skrá í óheimilum tilgangi tvisvar á 12 mánuðum skuli rifta samningi við hann, svo og að verði áskrifandi aftur uppvís að óheimilli notkun innan 6 mánaða frá gerð nýs samnings skuli honum sagt upp og skuli honum ekki gefinn kostur á nýjum samningi fyrr en að 12 mánuðum liðnum. Meðal þess sem greinir í umsögnum er að skoða þurfi viðurlög betur þar sem of íþyngjandi sé að misnotkun eins starfsmanns eða slys leiði til lokunar á áskrift, að viðurlög séu hér langt fram úr hófi og geti kippt fótunum undan starfsemi lánveitanda þegar um ræði tæknileg atriði og innsláttarvillur, að mannleg mistök geti haft alvarlegar afleiðingar hjá áskrifendum með hundruð notenda og að slíkt sé afar íþyngjandi og ósanngjarnt gagnvart stærri áskrifendum sem verði jafnvel ókleift að stunda lánastarfsemi til neytenda og framkvæma lögbundið lánshæfismat, að í stærri fyrirtækjum með fjölmarga notendur geti afleiðingar brota eins notanda varðað lokun á aðgangi í sex mánuði án tillits til aðstæðna, að samningsskilmálar Creditinfo Lánstrausts hf. taki á brotum gegn áskriftarsamningum með nægilegum hætti og að Persónuvernd fari hér út fyrir valdsvið sitt, að afar brýnt sé að umrætt ákvæði verði fellt brott eða það tekið til alvarlegrar endurskoðunar þar sem það geti haft afdrifaríkar, íþyngjandi og jafnvel skaðlegar afleiðingar fyrir áskrifanda, að tilfallandi mannleg mistök starfsmanns, jafnvel handvömm, geti leitt til riftunar með gífurlegum afleiðingum og fjárhagslegu tjóni sem kippi jafnvel undan rekstrargrundvelli viðkomandi áskrifanda, svo og að ekki virðist í boði að líta til viðmiða á borð við fjölda starfsmanna hjá áskrifanda, umfangs notkunar, eðlis brots, skýringa áskrifanda og aðstæðna almennt.

Persónuvernd tekur fram í þessu sambandi að umrædd regla, sem að stofni til hefur staðið í starfsleyfum til fjárhagsupplýsingastofunnar Creditinfo Lánstrausts hf. frá 2010, tekur til þeirra brota áskrifanda gegn áskriftarskilmálum sem fela í sér notkun upplýsinga frá fjárhagsupplýsingastofu í óheimilum tilgangi. Sé um það að ræða að starfsmaður verði uppvís að slíkri notkun án þess að fyrirmæli vinnuveitanda hans, þ.e. viðkomandi áskrifanda, hafi legið þar að baki er um að ræða sjálfstætt brot starfsmannsins sjálfs en ekki áskrifanda og er óþarft að tilgreina það sérstaklega. Þá skal tekið fram að mannleg mistök, sbr. einnig 78. kafla hér að framan, verða ekki talin fela í sér notkun upplýsinga í óheimilum tilgangi sem fellur undir ákvæðið. Er þá enda ekki um að ræða slíka notkun upplýsinga heldur öryggisatvik, en í því sambandi áréttar Persónuvernd mikilvægi þess að til staðar sé fullnægjandi öryggiskerfi og að rétt sé brugðist við í samræmi við verklagsreglur, sbr. og þá viðbót við skilmálana í því sambandi sem fjallað er um í framangreindum kafla. Að þessu gættu telur Persónuvernd ekki tilefni til breytinga í ljósi fyrrgreindra athugasemda að öðru leyti en því að orðunum „óheimilli notkun“ hefur verið skipt út fyrir orðin „í óheimilum tilgangi“ í 4. málsl. 2. mgr. 6. gr. skilmálanna.

80.

Skerpt verði á viðurlögum – 2. mgr. 6. gr.

Í umsögn Neytendasamtakanna og ASÍ (bls. 8) um skilmáladrögin er gerð sú athugasemd við 2. mgr. 6. gr. draganna að þar skorti á viðurlög við samningsbrotum, en þau þurfi að vera skýr og kröftug og eigi brot að varða riftingu samnings. Jafnframt er í umsögn Neytendasamtakanna og ASÍ (bls. 3) gerð sú athugasemd við 2. mgr. greinar 2.9 í starfsleyfinu frá 2017, sem samsvarar 2. mgr. 6. gr. draganna, að brot ættu að varða sekt sem rynni til hins skráða eða í ríkissjóð, auk þess sem hinn skráði ætti að fá bætur fyrir ranga skráningu sem næmi fjárhæð kröfu. Ætti fjárhagsupplýsingastofa að greiða bæturnar og annast innheimtu þeirra frá áskrifanda.

Af þessu tilefni áréttar Persónuvernd að ekki fellur undir valdsvið hennar að setja sérákvæði um sektir heldur fer um þær eftir settum lögum, auk þess sem einnig fer um bætur eftir ákvæðum settra laga, svo og hinum almennu reglum skaðabótaréttarins. Samkvæmt þessu telur stofnunin sér ekki fært að breyta umræddu ákvæði skilmálanna til samræmis við fyrrgreinda athugasemd. Jafnframt telur stofnunin það hins vegar til skýrleika fallið, um hverjar afleiðingar brota geti orðið, að bætt verði við tilvísun til valdheimilda Persónuverndar í ákvæðinu. Hefur það nú verið gert með viðbót við 1. málslið þess þannig að í kjölfar þeirrar reglu að áskrifandi skuli tilkynna brot til Persónuverndar segir nú þar (á eftir orðinu „Persónuvernd“): „sem tekur þá þá ákvörðun um beitingu valdheimilda sinna, þ. á m. um hvort lögð verði á stjórnvaldssekt og hver fjárhæð hennar skuli vera“.

81.

Kröfuhafaskipti – 2. mgr. 6. gr.

Í umsögn Neytendasamtakanna og ASÍ (bls. 8) við skilmáladrögin er gerð sú athugasemd við 2. mgr. 6. gr. draganna að koma þurfi í veg fyrir það sem í umsögninni er nefnt kennitöluflakk, þ.e. að einhver kaupi kröfur áskrifanda, sem samningi hefur verið rift við þannig að þær hafi verið afskráðar, og skrái þær síðan að nýju.

Persónuvernd bendir á að samkvæmt almennum reglum kröfuréttarins geta kröfuhafaskipti átt sér stað án samþykkis skuldara. Að því gefnu að skilyrðum fyrir skráningu kröfu sé fullnægt eftir að nýr kröfuhafi hefur eignast kröfuna verður því ekki séð að hægt sé að undanskilja hana almennum reglum um vanskilaskráningu. Gefst því ekki tilefni til breytinga á umræddum skilmála í ljósi fyrrgreindrar athugasemdar.

82.

Brot áskrifanda komi við fjárhagsupplýsingastofu – 2. mgr. 6. gr.

Í umsögn Neytendasamtakanna og ASÍ (bls. 8) um skilmáladrögin er gerð sú athugasemd við 2. mgr. 6. gr. draganna að ekki sé nóg að brot gegn áskriftarskilmálum séu tilkynnt Persónuvernd samkvæmt ákvæðinu. Skýrt þurfi að vera að þau komi við fjárhagsupplýsingastofu, auk þess sem mikilvægt sé að hún hafi virkt eftirlit með áskrifendum.

Persónuvernd telur eftirlit fjárhagsupplýsingastofu með áskrifendum mikilvægt og er ljóst af 6. gr. skilmáladraganna, bæði 1. og 2. mgr., að gert er ráð fyrir slíku eftirliti. Engu að síður má draga það skýrar fram og hefur Persónuvernd því sett eftirfarandi málslið fremst í 2. mgr. greinarinnar: „Fjárhagsupplýsingastofa skal hafa virkt eftirlit með því að áskrifendur fari að áskriftarsamningum.“ Jafnframt hefur orðunum „við slíkt eftirlit eða með öðrum hætti“ verið skeytt við 2. málsl. greinarinnar þar sem fjallað er um tilkynningar um brot gegn samningum til Persónuverndar, þ.e. á eftir orðunum „Komi í ljós“.

Bent skal á, hvað varðar þá athugasemd að brot áskrifanda eigi að koma við fjárhagsupplýsingastofu, að Persónuvernd getur ekki sett almenna reglu þar að lútandi í starfsleyfisskilmála heldur yrði hún að byggjast á lögum eins og almennt gildir um hlutlæga ábyrgð óháð sök. Þar sem lög hafa ekki að geyma ákvæði um slíka ábyrgð fjárhagsupplýsingastofa verður ákvæði þar að lútandi ekki bætt við skilmálana. Hins vegar skal tekið fram að hafi fjárhagsupplýsingastofa átt þátt í broti áskrifanda eða ekki brugðist við því á fullnægjandi hátt verður að grípa til viðeigandi ráðstafana gagnvart henni.

83.

Varðveislutími upplýsinga í atvikaskrá – 2. mgr. ákvæðis 7.1

Í umsögn Creditinfo Lánstrausts hf. (bls. 14) um skilmáladrögin er gerð sú athugasemd við 3. málsl. 2. mgr. ákvæðis 7.1 að bæta ætti orðunum „a.m.k.“ framan við orðin í „tvö ár“, þ.e. í reglu þess efnis að upplýsingar um uppflettingar og fyrirspurnir áskrifenda skuli varðveittar í þann tíma. Er í því sambandi vísað til þess að í 2. mgr. 6. gr. reglugerðar nr. 246/2001 um söfnun og miðlun upplýsinga um fjárhagsmálefni og lánstraust, sbr. nú 2. mgr. 15. gr. laga nr. 90/2018, er mælt fyrir um varðveislu slíkra upplýsinga og hér um ræðir í a.m.k. tvö ár.

Persónuvernd telur að í ljósi umrædds reglugerðarákvæðis beri að taka tillit til þessarar athugasemdar. Hefur það verið gert með því að færa þá viðbót sem þar er lögð til inn í umræddan málslið, en í ljósi grunnreglunnar um að upplýsingar skulu ekki vera á persónugreinanlegu formi lengur en nauðsynlegt er hefur eftirfarandi einnig verið bætt þar við: „en ekki lengur en nauðsynlegt er í þágu eftirlits með að áskrifendur fari að skilmálum áskriftarsamninga“.

84.

Um að áskrifanda verði tilkynnt um öryggisbrest – ákvæði 7.2

Í umsögn Símans hf. (bls. 9) um skilmáladrögin er gerð sú athugasemd við ákvæði 7.2 í drögunum, þar sem fjallað er um skyldu fjárhagsupplýsingastofu til að tilkynna Persónuvernd og hinum skráðu um öryggisbresti, að einnig mætti leggja þá skyldu á slíka stofu að tilkynna áskrifanda, sem upplýsingarnar stafa frá, um brestinn.

Skylda fjárhagsupplýsingastofu til að senda áskrifendum tilkynningar sem þessar verður ekki leidd beint af lögum nr. 90/2018, en hins vegar má telja að þær gætu, eftir atvikum, verið nauðsynlegar til að fara að grunnkröfunni um gagnsæi við vinnslu persónuupplýsinga samkvæmt 1. tölul. 1. mgr. 8. gr. laga nr. 90/2018. Telur Persónuvernd að mat að þar að lútandi verði að vera tilvikabundið og að ekki séu efni til að fjalla um það í skilmálunum. Hins vegar mun Persónuvernd líta til þessa atriðis í framkvæmd sinni.

85.

Tölfræðiupplýsingar – 9. gr.

Í umsögn Neytendasamtakanna og ASÍ (bls. 8) við skilmáladrögin er sú athugasemd gerð við 9. gr. draganna, þar sem fjallað er um skyldu fjárhagsupplýsingastofu til að taka reglulega saman tilteknar tölfræðiupplýsingar, að Persónuvernd og aðrar stofnanir ríkisins ættu að geta óskað upplýsinga um frekari tölfræði en þar er tilgreind. Þeirri afstöðu er lýst að slíkt hafi þjóðfélagslegt gildi og er tekið fram að eðlilegt sé og í raun mjög mikilvægt að fjárhagsupplýsingastofa upplýsi um hvaðeina sem óskað er eftir. Með vísan til þessa er lagt til að fjárhagsupplýsingastofum verði gert skylt að veita ópersónugreinanlegar upplýsingar um meðal annars fjölda skráninga, tegundir lána, aldur lántaka og búsetu. Þá er lagt til að Persónuvernd fái mánaðarlega eða ársfjórðungslega skýrslur frá fjárhagsupplýsingastofu sem Hagstofa Íslands, Seðlabanki Íslands, fjármálaráðuneytið og fleiri opinberir aðilar telji mikilvægar.

Eins og umrætt ákvæði hefur verið sett fram til umsagnar er þar lögð skylda á fjárhagsupplýsingastofu til að tilkynna Persónuvernd ársfjórðungslega um hve margir áskrifendur hafa aðgang að upplýsingum hjá stofunni, hver heildarfjöldi notenda hjá áskrifendum er, hve margir einstaklingar eru á skrá um fjárhagsmálefni og lánstraust, hve mikið er þar skráð af hverri tegund upplýsinga, hversu margar kennitölur eru vaktaðar og hve margir einstaklingar falla í hvern lánshæfisflokk sem skýrslur um lánshæfi miðast við. Samkvæmt þessari upptalningu ber að upplýsa um fjölda hinna skráðu, bæði hvað snertir vanskilaskráningu, þ.e. skrá um fjárhagsmálefni og lánstraust, og skýrslur um lánshæfi. Ekki er hins vegar getið um tegundir lána, aldur lántaka og búsetu. Persónuvernd telur ljóst að þeir skilmálar sem hún setur verði að hafa þýðingu vegna vinnslu persónuupplýsinga og er umrætt ákvæði skilmálanna mótað með hliðsjón af því. Þá telur Persónuvernd að upplýsingar um samsetningu þess hóps sem er á skrá hjá fjárhagsupplýsingastofu geti, eftir atvikum, haft þýðingu í tengslum við beitingu persónuverndarreglna, svo sem hvað snertir framsetningu á upplýsingagjöf til hinna skráðu, sbr. 13.–15. gr. almennu persónuverndarreglugerðarinnar, (ESB) 2016/679, sbr. 2. mgr. 15. gr. laga nr. 90/2018.

Tekið skal fram að Persónuvernd telur upplýsingar um búsetu ekki til þess fallnar að hafa slíka þýðingu og fyrr greinir. Öðru máli getur hins vegar gegnt um aldur hinna skráðu og í ljósi þess hefur Persónuvernd nú bætt því við 9. gr. skilmálanna að fjárhagsupplýsingastofa skuli upplýsa stofnunina um aldursdreifingu einstaklinga á skrá um fjárhagsmálefni og lánstraust og í einstökum lánshæfisflokkum eftir fimm ára aldursbilum. Þá hefur stofnunin aukið því við sömu grein skilmálanna að upplýsa skuli stofnunina um hver fjöldi skráninga er á kröfum samkvæmt annars vegar lögum nr. 33/2013 um neytendalán og hins vegar lögum nr. 118/2016 um fasteignalán til neytenda, svo og hver fjöldi krafna frá einstökum fjármálafyrirtækjum er. Telja má að þessar breytur samanlagðar geti gefið góða yfirsýn yfir skráningu á ýmsum tegundum krafna. Sú yfirsýn verður þó ekki tæmandi og þar sem ekki liggur fyrir opinber skilgreining á einstökum tegundum lána telur Persónuvernd ekki unnt að svo komnu máli að kveða ítarlegar á um upplýsingagjöf í þessu sambandi.

Að öðru leyti áréttar Persónuvernd að hún getur ávallt farið fram á þær upplýsingar sem henni eru nauðsynlegar hverju sinni til að gegna hlutverki sínu, sbr. 1. og 5. tölul. 41. gr. laga nr. 90/2018. Þá skal tekið fram að stofnunin telur ekki ástæðu til að mæla fyrir um að tölfræðiupplýsingar skuli senda henni mánaðarlega fremur en ársfjórðungslega, enda verður ekki séð að sérstakir hagsmunir kalli á þá auknu tíðni upplýsingagjafar. Þá verða athugasemdir Neytendasamtakanna og ASÍ um auknar upplýsingar umfram það sem fallist hefur verið á ekki tengjast beitingu persónuverndarreglna heldur annars konar hagsmunum, þ. á m. efnahagslegum ráðstöfunum. Verða þeir aðilar sem koma að beitingu réttarreglna á viðkomandi sviðum að meta hvort þeir hafa heimildir að lögum til að kalla eftir tölfræði frá fjárhagsupplýsingastofu vegna hagsmuna sem þeir gæta í ljósi lögbundins hlutverks síns.

86.

Staða starfsleyfisskilmála – 1. mgr. 11. gr.

Í umsögn Símans hf. (bls. 6) um skilmáladrögin er gerð athugasemd við að samkvæmt 1. mgr. 11. gr. draganna standa skilmálar samkvæmt þeim við hlið laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga, reglna með stoð í þeim og almennu persónuverndarreglugerðarinnar, (ESB) 2016/679, og eru þeim til fyllingar. Segir að með þessu virðist gefið til kynna að skilmálarnir hafi sama vægi og sett lög.

Persónuvernd telur verða að líta til þess að í lagamáli er orðið „hliðsettur“ notað í því samhengi að eitthvað tvennt eða fleira hafi sömu rétthæð, til dæmis þegar um hliðsettar réttarheimildir eða hliðsett stjórnvöld er að ræða. Telur Persónuvernd það orðalag að umræddir skilmálar standi við hlið meðal annars laga nr. 90/2018 geta skilist á þann veg að þeim sé ætlað sama vægi og sett lög. Ljóst er að þeir geta ekki haft slíkt gildi og hefur Persónuvernd því breytt orðalagi umrædds ákvæðis. Nánar tiltekið stendur þar ekki lengur að skilmálarnir standi við hlið fyrrnefndrar löggjafar heldur að þeir gildi ásamt henni. Jafnframt skal hins vegar tekið fram að Persónuvernd telur það geta staðið í ákvæðinu að skilmálarnir séu löggjöfinni til fyllingar, enda er ljóst að skilmálar í starfsleyfum hljóta alltaf að vera settir með slíkt í huga. Hefur orðalagi því ekki verið breytt að því leytinu til.

87.

Um að Persónuvernd sannreyni öryggi og innra eftirlit – 3. mgr. 11. gr.

Í umsögn Neytendasamtakanna og ASÍ (bls. 6) um starfsleyfið frá 2017 er lögð til viðbót við 3. mgr. 3. gr. leyfisins sem samsvarar 3. mgr. 11. gr. skilmáladraganna. Nánar tiltekið er í umræddu ákvæði fjallað um skyldu fjárhagsupplýsingastofu til að sannreyna öryggi hjá aðila sem hún felur að vinna með persónuupplýsingar fyrir sína hönd, þ.e. svonefndum vinnsluaðila, sbr. 5. tölul. 2. gr. og 13. gr. þágildandi persónuverndarlaga, nr. 77/2000, sbr. nú 7. tölul. 3. gr. og 25. gr. laga nr. 90/2018, svo og 8. tölul. 4. gr. og 28. almennu persónuverndarreglugerðarinnar, (ESB) 2016/679. Er lagt til í umsögninni að því verði bætt við leyfisákvæðið að auk sannreyningar fjárhagsupplýsingastofu á öryggi hjá vinnsluaðila hafi Persónuvernd sannreynt öryggið og heimilað að samið sé við hann.

Persónuvernd telur ljóst að eftir atvikum geti verið nauðsynlegt að stofnunin beiti valdheimildum sínum áður en fjárhagsupplýsingastofa semur við vinnsluaðila. Getur slíkt falið í sér að kallað sé eftir upplýsingum og að veittar séu skýringar um tiltekin atriði, sbr. 1. og 5. tölul. 41. gr. laga nr. 90/2018. Þá getur slíkt falið í sér að öryggi sé metið hjá vinnsluaðilanum, sbr. m.a. 40. gr. laganna. Gera verður hins vegar ráð fyrir að það hvort sérstakrar athugunar sé þörf og þá hversu ítarlegrar fari eftir tilvikabundnu mati. Telur Persónuvernd því ekki tilefni til að færa inn í umrætt ákvæði fyrrgreinda tillögu Neytendasamtakanna og ASÍ, en hún fæli í raun í sér að ábyrgð fjárhagsupplýsingastofu sem ábyrgðaraðila að vinnslu persónuupplýsinga yrði færð yfir á herðar stofnunarinnar sem eftirlitsaðila. Hins vegar telur hún mikilvægt að hún viti af því þegar fjárhagsupplýsingastofa semur við vinnsluaðila, þ. á m. til að meta hvort tilefni sé til tiltekinna eftirlitsaðgerða. Í ljósi þess hefur því verið bætt við 3. mgr. 11. gr. skilmálanna að áður en fjárhagsupplýsingastofa semur við vinnsluaðila skuli hún hafa upplýst stofnunina um það.

88.

Gildistími – 5. mgr. 11. gr.

Í umsögn Creditinfo Lánstrausts hf. (bls. 15) um skilmáladrögin er lagt til að í stað þess að mælt sé fyrir um afmarkaðan gildistíma starfsleyfis í 5. mgr. 11. gr. draganna sé því veitt gildi þar til annað sé ákveðið.

Persónuvernd telur verða að líta til þess að hér ræðir um vinnslu persónuupplýsinga sem að miklu leyti er íþyngjandi í garð hins skráða. Telur Persónuvernd mikilvægt að handhafa leyfis til slíkrar vinnslu sé veitt aðhald og að afmarkaður gildistími sé þáttur í því. Telur Persónuvernd því ekki ástæðu til að breyta umræddu ákvæði í samræmi við fyrrgreinda athugasemd.

89.

Önnur atriði – 3. mgr. ákvæðis 2.1, 2. mgr. 3. gr., 2. mgr. liðar 5.1.1

Nokkrar breytingar hafa verið gerðar frá skilmáladrögunum óháð athugasemdum umsagnaraðila. Þær eru raktar hér á eftir, en tekið skal fram að breytingarnar lúta að mestu að orðalagi skilmálanna en ekki efni þeirra. Í 3. mgr. ákvæðis 2.1 í drögunum ræddi um „aðfararhæfa ákvörðun sýslumanns“, en því orðalagi hefur nú verið breytt í „ákvörðun sýslumanns um að fullnusta kröfu“. Í sama ákvæði, svo og í 2. mgr. 3. gr. í drögunum, ræddi um „umdeildar skuldir“, en því orðalagi hefur nú verið breytt í „umdeildar kröfur“. Breytingar hafa einnig orðið á uppbyggingu og orðalagi 2. mgr. liðar 5.1.1, en þær breytingar lúta ekki að efni liðarins umfram það sem greinir í 51. kafla hér að framan. Þá hefur breyting orðið á upphafi ákvæðis 5.1 frá því sem var í drögunum, en orðalag gerir þar nú ráð fyrir að fræðsla til hins skráða samkvæmt ákvæðinu geti verið rafræn. Hefur sambærileg breyting orðið á 2. mgr. ákvæðis 5.4 frá því sem var í drögunum, en þar kemur nú fram að fjárhagsupplýsingastofa getur svarað andmælum skuldara rafrænt á vefsvæði samkvæmt 1. mgr. liðar 5.1.2 í skilmálunum. Skal tekið fram að síðastnefndu tvær breytingarnar eru gerðar til samræmis við aðrar sambærilegar breytingar sem orðið hafa frá drögunum, sbr. umfjöllun í 17., 25., 35. og 46. kafla hér á undan.

Auk framangreindra breytinga hefur nýjum 14. tölul. verið bætt við 1. mgr. 6. gr. skilmálanna, þess efnis að í samningum fjárhagsupplýsingastofu við áskrifendur sína skuli tekið fram að verði óeðlilegur dráttur á að upplýsingar frá áskrifanda séu sendar til skráningar verði skráningu hafnað. Í tengslum við þessa viðbót skal tekið fram að henni er ætlað að fyrirbyggja að upp geti komið sú aðstaða að upplýsingar séu skráðar hjá fjárhagsupplýsingastofu óeðlilega seint og hafi fyrir vikið áhrif á hagi einstaklings þegar slík áhrif ættu ekki að geta verið til staðar miðað við eðlilega verkferla. Skal í því sambandi tekið fram að lagt hefur verið til grundvallar að það fjögurra ára tímabil, sem vanskil geta verið á skrá sem aðgengileg er áskrifendum, hefjist þegar upplýsingar eru færðar á slíka skrá, en telja verður annars konar afmörkun á upphafi tímabilsins geta valdið vandkvæðum, svo sem í tengslum við sjálfvirka eyðingu upplýsinga. Hefur orðalagi verið breytt í 1. mgr. ákvæðis 5.3, þar sem fjallað er um afskráningu fjögurra ára gamalla upplýsinga, til að taka af vafa um þetta og túlkast önnur ákvæði skilmálanna, þar sem fjallað er um aldur upplýsinga, í samræmi við það.

F.h. Persónuverndar,

Helga Þórisdóttir Þórður Sveinsson