Reykjavík, 1. mars 2023

Tilvísun: 2022111817/ÞS

Efni: Nýtt starfsleyfi Creditinfo Lánstrausts hf. til vinnslu upplýsinga um fjárhagsmálefni og lánstraust einstaklinga og lögaðila í því skyni að miðla þeim til annarra

Hjálagt er nýtt starfsleyfi til handa fjárhagsupplýsingastofunni Creditinfo Lánstrausti hf., dags. 1. mars 2023, til vinnslu upplýsinga um fjárhagsmálefni og lánstraust einstaklinga og lögaðila í því skyni að miðla þeim til annarra. Leyfið, sem kemur í stað leyfis frá 3. maí 2021 (mál nr. 2020041404), er veitt með stoð í 1. mgr. 15. gr. laga nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga að fenginni beiðni fjárhagsupplýsingastofunnar í bréfi, dags. 26. október 2022. Þá liggja fyrir óskir hennar um breytingar á tilteknum leyfisskilmálum sem fram hafa komið í bréfi, dags. 28. desember 2022, og í tölvupósti 10. febrúar 2023. Í köflunum hér á eftir er tekin rökstudd afstaða til þessara beiðna og komist að niðurstöðu um þær.

1.

Beiðni um viðbót við lið 2.2.1 í leyfisskilmálum

Í beiðni um breytingu á leyfisskilmálum í bréfinu 28. desember 2022 er óskað eftir viðbót við lið 2.2.1 í skilmálunum. Nánar tiltekið er farið fram á heimild til skráningar upplýsinga frá fyrirtækjaskrá og dómstólum um að einstaklingur hafi verið úrskurðaður í atvinnurekstrarbann, sbr. XXVI. kafla laga nr. 21/1991 um gjaldþrotaskipti o.fl., en honum var bætt við lögin hinn 16. desember sl., sbr. lög nr. 133/2022. Rakið er að samkvæmt þessum nýja kafla í lögum nr. 21/1991 skal skiptastjóri hlutafélags eða einkahlutafélags krefjast þess að lagt verði á atvinnurekstrarbann á einstakling sem ekki telst hæfur til að stýra hlutafélagi vegna skaðlegra eða óverjandi viðskiptahátta, sbr. 1. mgr. 180. gr. laganna, en héraðsdómstóll úrskurðar um þá kröfu, sbr. 187. gr. laganna, og er bannið skráð hjá fyrirtækjaskrá, sbr. 189. gr. laganna. Jafnframt er vísað til þess að atvinnurekstrarbann gildir almennt í þrjú ár en getur verið styttra við sérstakar aðstæður, sbr. 1. mgr. 182. gr. laganna, auk þess sem hægt er að framlengja bann til allt að tíu ára ef brotið er gegn því, sbr. 2. mgr. sömu greinar. Enn fremur er vísað til þess að þeim sem sætir atvinnurekstrarbanni er óheimilt að stjórna félagi sem rekið er með takmarkaðri ábyrgð eigenda og fara með prókúru eða annað umboð slíks félags, sbr. 2. mgr. 180. gr. laganna. Þá er tekið fram að sé brotið gegn þessu banni ber viðkomandi persónulega og ótakmarkaða ábyrgð á skuldum og skuldbindingum sem ekki fást greiddar úr þrotabúum þeirra félaga sem hann tekur þátt í að stýra, sbr. 1. mgr. 190. gr. laganna.

Í þessu sambandi vísar Creditinfo Lánstraust hf. til ummæla í almennum athugasemdum í greinargerð með frumvarpinu til breytingalaganna 2022, en samkvæmt því sem þar segir eru flest félög með takmarkaðri ábyrgð rekin í góðri trú og tekin til gjaldþrotaskipta af ástæðum sem ekki verður við ráðið, t.d. vegna þess að ekki hafi reynst vera rekstrargrundvöllur fyrir starfseminni. Því er hins vegar einnig lýst að í aðdraganda gjaldþrots geti sá ásetningur hafa verið fyrir hendi að fara á svig við eða gegn lagareglum, svo og að félag í greiðsluerfileikum kunni að hafa verið rekið í þrot og eignir jafnframt færðar að hluta eða öllu leyti í nýtt félag á undirverði eða án endurgjalds. Reksturinn haldi þannig áfram í nýju félagi með sama eða svipuðu nafni, en skuldir eldra félagsins séu skildar þar eftir og það tekið til gjaldþrotaskipta með tilheyrandi tjóni fyrir kröfuhafa. Í tengslum við þessi tilvik þurfi að tryggja almannahagsmuni og miði ákvæði frumvarpsins að því.

Með vísan til þessa er þeirri afstöðu lýst í bréfi Creditinfo Lánstrausts hf. að vinnsla persónuupplýsinga um atvinnurekstrarbann einstaklinga samrýmist meginreglum laga nr. 90/2018 og reglugerðar (ESB) 2016/679, sbr. m.a. 8. gr. laganna og 5. gr. reglugerðarinnar. Þá er lýst þeirri afstöðu að fullnægt sé kröfum 1. mgr. 3. gr. reglugerðar nr. 246/2001 um söfnun og miðlun upplýsinga um fjárhagsmálefni og lánstraust, sbr. nú 2. mgr. 15. gr. laga nr. 90/2018, en samkvæmt reglugerðarákvæðinu er fjárhagsupplýsingastofu einungis heimilt að vinna með upplýsingar sem eðli sínu samkvæmt hafa afgerandi þýðingu við mat á fjárhag og lánstrausti hins skráða.

Persónuvernd gerir ekki athugasemdir við þetta mat Credtinfo Lánstrausts hf. og fellst því á ósk fjárhagsupplýsingastofunnar um umrædda viðbót. Birtist hún í nýjum 9. tölul. í lið 2.2.1 í starfsleyfisskilmálum, en viðeigandi breyting er jafnframt gerð á númeri þess töluliðar sem á eftir kemur.

Svo sem Creditinfo Lánstraust hf. vísar til er umrædd viðbót efnislega skyld 8. tölul. liðar 2.2.1 í skilmálunum, þess efnis að skrá megi upplýsingar úr fyrirtækjaskrá um aðstandendur hlutafélaga og einkahlutafélaga hafi þeir í það minnsta staðið að tveimur slíkum félögum sem orðið hafa gjaldþrota síðustu fjögur ár. Skal tekið fram að eftir því sem lengra líður frá gildistöku ákvæða um atvinnurekstrarbann mun þýðing þessarar skráningarheimildar minna. Af því leiðir jafnframt að hún mun falla brott úr starfsleyfisskilmálum innan fárra ára að öllu óbreyttu.

2.

Beiðni um viðbót við lið 2.2.2 í leyfisskilmálum

Í beiðni um breytingu á leyfisskilmálum í tölvupósti 10. febrúar 2023 er óskað eftir viðbót við lið 2.2.2 í skilmálunum. Þar hefur verið mælt fyrir um heimild til skráningar upplýsinga um að skuldara hafi með dómi, úrskurði eða áritaðri stefnu verið gert að greiða skuld. Er þess óskað að jafnframt verði kveðið á um heimild til skráningar upplýsinga um að skuldara hafi með dómi, úrskurði, skilnaðarleyfisbréfi eða staðfestu samkomulagi fyrir sýslumanni verið gert að greiða meðlag og/eða önnur framfærsluframlög sem Tryggingastofnun ríkisins fyrirframgreiðir til móttakanda samkvæmt 63. gr. laga nr. 100/2007 um almannatryggingar.

Persónuvernd telur hér verða að líta til grunnreglna 3. og 4. tölul. 1. mgr. 8. gr. laga nr. 90/2018, sbr. og c- og d-liði 1. mgr. 5. gr. reglugerðar (ESB) 2016/679, um að gæta skuli meðalhófs við vinnslu persónuupplýsinga og um að slíkar upplýsingar skuli vera áreiðanlegar. Má í því sambandi einnig benda á kröfu áðurnefnds ákvæðis 1. mgr. 3. gr. reglugerðar nr. 246/2001 um að upplýsingar hjá fjárhagsupplýsingastofu skuli eðli sínu samkvæmt hafa afgerandi þýðingu við mat á fjárhag og lánstrausti hins skráða.

Ljóst er að almennt hefur það íþyngjandi áhrif gagnvart einstaklingi að nafn hans sé fært á skrá um fjárhagsmálefni og lánstraust. Í ljósi þess og fyrrgreindra grunnreglna persónuverndarlöggjafarinnar hafa starfsleyfisskilmálar haft að geyma ströng skilyrði fyrir slíkri skráningu sem miðast fyrst og fremst við að um ræði veruleg vanskil og að grípa hafi þurft til réttarúrræða vegna þeirra.

Ekki verður séð að skráning upplýsinga um skyldu einstaklings til greiðslu meðlags eða annars konar framfærsluframlaga falli innan þessa ramma. Þá verður að öðru leyti ekki talið að sérstök þörf geti verið á skráningunni í ljósi annarra brýnna sjónarmiða. Er því ekki fallist á þá tillögu Creditinfo Lánstrausts hf. að viðbót við starfsleyfisskilmála sem hér um ræðir.

F.h. Persónuverndar,

Helga Þórisdóttir Þórður Sveinsson